Win2K FAQ (v. 6.0)

(6.1) Как управлять пользователями, которым можно заходить на компьютер?

В W2k есть механизм идентификации пользователей, при этом каждого пользователя можно ограничить в правах. Пользователей, на одной машине может быть множество, и что бы было проще ими управлять, пользователи разбиты на группы. Управление пользователями и пользовательскими группами осуществляется с помощью апплета Users and Passwords в Control Panel. После установки системы, образуется только два пользователя, Administrator и Guest, которые прописаны в закладке Users. Если вы обладаете правами администратора, то вы можете добавить или удалить пользователя в этом окне, можете отредактировать уже существующих, поменять им группу, и т.д. Здесь же можно снять галочку с Users must enter a user name and password to use this computer, что позволит заходить на вашу машину не набирая пароля. Перейдя на закладку Advanced, и нажав там на кнопку Advanced, можно попасть в окно Local users and Groups, которое расширяет возможности по управлению пользователями. В частности, здесь можно отключить (disable) отдельных пользователей, разрешить/запретить им менять свои пароли, и т.д.

(6.2) Как обеспечить доступ пользователям локальной сети к моим ресурсам?

Сделать это стало немного сложнее, чем в W9х, зато возможностей по настройке стало гораздо больше. Для начала, как и в W9x надо убедиться, что установлен File and Printer Sharing for Microsoft Networks. После этого, открываем Explorer, выбирам диск или директорию, которую хотим расшарить и нажимаем правую кнопку мыши. В открывшемся меню выбираем пункт Sharing. Ставим там Share this folder. Выбираем Share name – имя, под которым данный объект будет виден в сети, и Comment, комментарий, который будет виден там же. Ставим User Limit, количество пользователей которые могут одновременно иметь доступ к объекту.

Теперь осталось определить, кто именно сможет иметь доступ к Вашим файлам. Для этого жмём на кнопку Permissions, и оказываемся в соответствующем меню. После этого, кнопкой Add… добавляем того, кто должен иметь доступ, и выставляем им права доступа. Для домашней сети, где все свои, и прятать ничего не нужно, можно добавить в Share Permissions пользователей Everyone, Guest и группу Guests, а потом установить для них полномочия (При этом полномочия Guests и Guest определяются по Everyone).

После этого, все компьютеры в сети смогут заходить на вашу машину не используя пароля. Не надо забывать, что пользователь Guest по умолчанию, сразу после инсталяции, отключен (disabled). Если его не включить (в Local Users and Groups), то никто не сможет использовать ресурсы (диски, принтеры и т.д.) вашей машины. Вообще-то, политика безопасности для каждой конкретной системы дело весьма тонкое и вариантов здесь множество. Так что не следует принимать наш совет за единственно возможный. Например, если есть желание иметь больший уровень контроля за пользователями, то можно завести на машине нужное число локальных пользователей, имена которых должны совпадать с именами пользователей машин-клиентов. Причем, можно запретить им локальный вход в систему, разрешив только сетевой доступ. Для этого зайдите в Панель управления→Администрирование→Локальная политика безопасности→Параметры безопасности→Локальные политики→Назначение прав пользователя, параметр "Локальный вход в систему" – уберите пользователя из списка или в параметре "Отклонить локальный вход" – внесите.

(6.3) Как настроить модемное соединение?

В W2k объединили Network и Dial-Up connections в одном месте, которое так и называется. Прямо оттуда можно сконфигурировать любое сетевое устройство, хоть модем, хоть сетевую карту. Новые соединения делаются так же как в W9x, с помощью wizard-а Make new connection. Также появились несколько новых функций для управления и настройки Dial-up соединения, которых не было в W9x. Ознакомиться с ними можно взглянув на Properties соединения.

На первой закладке, General, напротив Phone number появилась кнопка, Alternates. Нажав на неё, можно задать целый список телефонов, по которым модем будет звонить, если первый номер в списке занят. Очень полезная функция, когда у провайдера несколько номеров, по которым можно дозваниваться.

Во-вторых, в Configure можно настроить модем, не выходя в другие окна. В-третьих, в Options можно задать массу всяких вещей для звонилки, там же находятся настройки для X.25. В закладке Networking находятся настройки сети для Dial-up соединения. Некоторые из них могут помочь, если компьютер провайдера по непонятной причине разрывает соединение. Если такое случается, то необходимо убедиться, что в Type of dial-up server I calling, стоит PPP: Windows95/98/NT/2000, Internet. Сразу под ней есть кнопочка, Settings. За ней кроется меню из трёх пунктов.

Первый, Enable LCP extentions, которые используются для автоматической настройки некоторых параметров соединения, таких как максимальный и минимальный размеры пакетов, обнаруживает looped-back линки, и другие распространённые ошибки. Однако, Ваш провайдер может не поддерживать эти расширения, что иногда приводит к тому, что компьютер провайдера просто разрывает соединие. К такому же эффекту может привести и разрешение Negotiate Multi-link for single link connections. Эта опция позволяет одновременно использовать два модема и две телефоных линии, при работе с одним провайдером, что позволяет теоретически вдвое увеличить скорость соединения. Enable software compression разрешает сжатие передаваемых данных, поэтому её лучше всего разрешить.

Последняя закладка, Sharing. С помощью этой закладки можно позволить другим компьютерам в локальной сети пользоваться Вашим соединением. Для этого достаточно отметить галочкой Enable Internet Conection Sharing for this connection, а если выбрать Enable on-demand dialing, то от Вас не потребуется даже соединяться самому. Достаточно, что бы Ваш компьютер просто был включен. Когда Ваш коллега откроет у себя IE, то модем сам начнёт звонить. А когда дозвонится, то пользователь абсолютно не будет ощущать, что у него самого модема нет. Всё абсолютно прозрачно: не надо настраивать мэйлеры и броузеры для работы с proxy-сервером (достаточно, выставить LAN connection), ICQ, mIRC и даже BattleNet будут работать так, словно модем стоит у клиента, а не на другой машине в локальной сети. Если возникают сложности, то необходимую службу можно добавить вручную. Для этого нажимаем на кнопку Settings… и в открывшемся окне добавляем нужную службу или приложения. Для этого надо знать, по какому порту программа или служба будет принимать сообщения и по какому отправлять. Для того, что бы Connection Sharing заработал, необходимо выполнить ещё несколько условий. IP адрес машины с модемом для локальной сети (выставляется в Properties Local area network connection→Properties для Internet Protocol (TCP/IP)), должен быть 192.168.0.1.

У клиентов же, надо просто поставить Internet Protocol (TCP/IP). Никаких адресов им присваивать не надо, нужно отметить Obtain IP adress automatically. Локальная сеть, естественно, тоже будет работать, просто клиент будет сам себе генерировать адрес из пространства 192.168.0.x. Причём, всё вышеперечисленное относится и к клиентам с W98.

Также нужно отметить, что изменился механизм хранения паролей. Если сохранить пароль для соединения с Интернет галочкой Remember password, то при следующем соединении вместо пароля нарисуются 16 звёздочек. Не надо впадать в панику, это просто механизм защиты пароля, сам пароль будет передан в том виде, в котором Вы его ввели. Правда некоторое, очень ограниченое число провайдеров, могут не поддерживать этот механизм. В этом случае, можно порекомендовать использовать скрипт, в котором пароль будет храниться и отсылаться в открытом виде. Но учтите, что любой, кто получит доступ к Вашей машине, сможет с лёгкостью узнать Ваш пароль.

(6.4) Если пытаться звонить в Инет сразу после старта W2k, то окно звонилки открывается не сразу, а через некоторое время.

Причина в том, что при запуске W2k не запускаются автоматически все необходимые для Dial Up службы. Для управления системными службами, запускаемыми при старте, служит апплет Control Panel→Administrative Tools→Services. При запуске Services увидите список служб, их текущее состояние, статус, и метод запуска, автоматически (Automatic), вручную (Manual), или не запускаются ни при каких обстоятельствах (Disabled). В Properties каждого процесса имеется возможность выставить метод старта для процесса, и некоторые параметры, которые будут переданы службе при её старте. Для нашего случая, необходимо убедиться, что бы в автоматическом режиме запускались следующие службы: Remote Access Connection Manager и Telephony. Однако, если вы не уверены в том что делаете, то лучше не трогать ничего остального – последствия могут быть довольно неприятны.

(6.5) А как отвечать человеку, который мне шлет с Вин98 по винпопапу всякие сообщения по сети?

Для этого можно воспользоваться кносольной командой net send. Для того что бы ознакомится с её возможностями, прочитайте справку: net send /? Кроме этого, можно в Computer Management выбрать Action→All Tasks→Send Console Message. А вообще, под W2k удобнее использовать для посылки сообщений друг другу программу winchat.

(6.6) Как включить роутинг в Windows 2000 Professional?

Придется заняться правкой реестра:

Раздел: SYSTEM\CurrentControlSet\Services\Tcpip\Parameters

Параметр 9

Hазвание: IPEnableRouter

Тип: REG_DWORD

Значение: 0

Вместо нуля прописываем "1".

(6.7) Как организовать удаленное управление под W2k? Radmin v.1.1 не pаботает.

1. Используйте Radmin v.2.01 с http://www.famatech.com/russian/.

2. Terminal Service. Идет в стандартной поставке W2k Server.

3. Remote Control – можно скачать с авторского сайта: http://www.dataset.fr/.

4. Georgia SoftWorks Telnet Server – http://www.georgiasoftworks.com/.

(6.8) Как сделать, чтобы dos-программа, печатая на LPT1, на самом деле печатала на сетевой пpинтеp [\\server_name\printer_name]?

Точно так же, как и в NT4. Вводим из консоли:

net use lpt1: [\\Server_Name\Printer_Name]

При завершении работы программы можно освободить порт:

net use lpt1: /d

(6.9) Слышал, что terminal server имеет ограниченый срок использования (потом его нужно будет лицензировать). Правда ли это, и какой срок?

Terminal Server может устанавливаться в двух вариантах – для удаленного администрирования и как сервер приложений (Application Server). Для первого варианта лицензия не требуется, а для второго существует ограничение в 90 дней, после чего нужно будет зарегистрироваться на сайте Microsoft: https://activate.microsoft.com/ и получить свой регистрационный код. Подробнее о лицензировании можно почитать там же, по адресу: https://activate.microsoft.com/faq.asp – terminal Services License FAQ. Этот FAQ вообще полезно почитать, что бы знать, к чему следует готовиться. Что то мне кажется, что в будущем подобная система лицензирования будет использоваться не только для Terminal Server…

(6.10) Имеется смешанная сеть, netware и NT, клиенты W2kPro и W98. Машины с W98 не могут войти на машины с W2k.

Для решения этой проблемы необходимо сделать привязку по протоколам, IPX/SPX только к клиент Novell, TCP/IP только к клиенту Microsoft. Сделать это можно в свойствах сетевых подключений меню advanced закладка – advanced setting.

(6.11) На сервере имеется две сетевые карты, каждая из них смотрит в свой сегмент локальной сети. Роутинг включен. Компьютеры из одного сегмента не видят компьютеры из другого сегмента, хотя всё пингуется.

Для того что бы компьютеры из разных сегментов видели друг друга в Сетевом окружении, самое правильное WINS на сервере установить и настроить. Но можно попробовать просто прописать адреса и имена всех машин в сети в файлике hosts в %SystemRoot%.

(6.12) Как отключить датчик наличия сетевого соединения (media sense)?

Определение состояния сетевого соединения возможно при использовании протокола TCP/IP в сети на витой паре. При отсутствии соединения в тpее появляется значок "Network Cable Unplugged" и сетевое соединение отключается. После этого компьютер теряет свой сетевой адрес и отвечает только на адрес 127.0.0.1, что может повлиять на работоспособность многих сетевых программ. Для мобильных или домашних пользователей в таком случае будет полезно отключить эту возможность. Для этого в разделе HKLM\System\CurrentControlSet\Services\Tcpip\Parameters реестра параметр DisableDHCPMediaSense (тип REG_DWORD) нужно установить в "1". Более подробно почитать об этой проблеме можно здесь: http://support.microsoft.com/support/kb/articles/Q239/9/24.ASP?LN=EN-US.

(6.13) Как полностью отключить скрытые общие ресурсы (admin$, c$, d$ и т.д.)?

Данные скрытые ресурсы существуют по умолчанию. Доступ к ним возможен только из под аккаунта администратора, поэтому не рекомендуется задавать для этого аккаунта слишком простой пароль (например, Enter :)). Для увеличения степени секретности можно также изменить имя пользователя "Администратор" на другое. Если удалить эти ресурсы через "Управление компьютером"→"Общие папки", то после перезагрузки они появятся снова. Полностью отключить скрытые ресурсы можно только с помощью правки реестра. Откройте раздел

HKLM\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters

Добавьте или измените следующие значения:

Однако, этот метод не уберёт sharing с IPC$. Для того что бы полностью избавиться от всех административных шарингов, создайте BAT или CMD файлик следующего содержания, и вставьте его в автозагрузку.

net share c$ /delete

net share d$ /delete

net share e$ /delete

.

.

net share admin$ /delete

net share ipc$ /delete

(6.14) Как настроить роутинг между двумя подсетями на W2kPro?

Это нужно когда на машине с W2k имеется две сетевые карты, одна из которых смотрит в одну подсеть, а другая в другую. Для того что бы компьютеры из разных подсетей могли видеть друг друга, на машине с W2k надо прописать маршруты роутинга, какие пакеты откуда и куда пересылать. Для этого в командной строке вводим:

route –p add subnet1 mask 255.255.255.0 interface1_ip IF 1

где subnet1 – первая подсеть (например 192.168.1.0, если адреса в ней имеют вид 192.168.1.*)

interface1_ip – IP адрес сетевой карты смотрящей в первую подсеть.

и

route –p add sunbet2 mask 255.255.255.0 interface2_ip IF 2

где subnet2 – вторая подсеть (например 192.168.2.0, если адреса в ней имеют вид 192.168.2.*)

interface2_ip – IP адрес сетевой карты смотрящей в вторую подсеть.

Маска подсети, конечно же, должна соответствовать реально используемой маске (255.255.255.0, это сеть класса С, наиболее часто используемая).

(6.15) Компьютеры с W98 по сети открываются очень медленно. Как это ускорить?

Происходит это из за того, что W2k каждый раз сканирует сеть на наличие сетевых принтеров и отложенных заданий (Scheduled Tasks). Для того что бы он этого не делал, достаточно удалить две папки из реестра. Находятся они по адресу HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion/Explorer/Remote Computer/Name Space И называются {2227A280-3AEA-1069-A2DE-08002B30309D} для принтеров и {D6277990-4C6A-11CF-8D87-00AA0060F5BF} для отложенных заданий.

(6.16) Как запретить пользователю логиниться локально?

Это может понадобиться, например, для пользователей которые пользуются ресурсами вашего компьютера только по сети. Что бы запретить такому пользователю логиниться локально, запускаем апплет Local Security Policy (Control panel – Administrative Tools), и переходим в рездел Local Polices – User Right Assignment. Находим здесь ключ Deny logon locally, дважды кликаем на нём, и добавляем (Add:) пользователей которым требуется запретить логинится локально.

(6.17) Как запретить пользователю логинится по сети?

Запускаем апплет Local Security Policy (Control panel – Administrative Tools), и переходим в рездел Local Polices – User Right Assignment. Находим здесь ключ Access this computer from the network, дважды кликаем на нём, и получаем возможность удалить группу, члены которой не должны иметь доступ к компьютеру из сети. Если вам понадобиться разрешить доступ члену удалённой группы, его придётся добавлять индивидуально, через кнопку Add:

(6.18) Как заставить W2k принимать входящие звонки? В Win9x был Сервер удаленного доступа, а под W2k не могу найти ничего подобного.

Заходим в меню Пуск (Start)→Панель Управления (Control Panel)→Сеть и удаленный доступ к сети (Network and Dial-up Connections)→Файл (File)→Hовое подключение (Make New Connection)→Принимать входящие подключения (Accept Incoming Connections). Этот пункт активен только под логином администратора. В версии Professional возможно создать только одно входящее соединение, в версии Server их число ограничено числом установленных модемов.

(6.19) Можно ли подключиться к серверу удаленного доступа на Win9x?

Да, можно. Зайдите в Свойства соединения, закладка "Безопасность"→"Дополнительные (особые параметры)"→"Hастройка"→"Разрешить следующие протоколы"→опция "Разрешить старый протокол MS-CHAP для Windows 95".