L annuaire et le Service DNS

Transcription

1 L annuaire et le Service DNS Rappel concernant la solution des noms Un nom d hôte est un alias assigné à un ordinateur. Pour l identifier dans un réseau TCP/IP, ce nom peut être différent du nom NETBIOS. Il s agit d une chaine de caractères (max. 256) qui va identifier le poste. Un hôte peut avoir plusieurs noms d hôtes au niveau du DNS. Rappel: Commande permettant d obtenir le nom : NETBIOS sous Windows et hostname sous Linux. Pour accéder au début du chemin qui concerne l installation de l OS on utilise les commandes associées aux variables d environnement : %systemroot% et %windir% Pour accéder à une ressource du réseau on peut utiliser l un de ces noms d hôtes. Ces informations peuvent se retrouver dans un fichier host. Linux : /etc/hosts Windows : %systemroot%\system32\drivers\etc\ Dans un environnement TCP/IP, les méthodes de résolution de noms qui sont appliquées sont les suivantes : - Consulter les informations figurant dans le cache ; - Consulter le fichier hosts ; - Consultation en local (via un serveur WINS (Windows Internet Name Service Nom NETBIOS)) ; - Serveur DNS (d abord celui du domaine), puis les sous domaines s il n en trouve pas. On peut avoir deux serveurs DNS préférés sur Windows. Le fichier lmhosts.sam permet de faire le lien entre les adresses IP et les noms NETBIOS des serveurs distants. Le DNS est décrit par les RFC 1034 et Les clients DNS s appellent des solveurs. Le serveur DNS utilise principalement UDP, et seulement TCP en cas de problème. Si le serveur de noms n est pas en mesure de satisfaire la requête, il peut la renvoyer à un autre serveur. Un serveur de noms ne s occupe pas que d un nœud dans l arborescence, mais d un ensemble de nœuds sur lesquels il aura autorité. Une ZA recouvre au moins un domaine ; appelé domaine racine de la zone, et peut inclure des sous domaines mais pas forcément tous. TLD : Top Level Domain 1 / 7

2 Les Serveurs de Noms - Un serveur de nom principal (primaire) gère une ou plusieurs zones stockées dans des fichiers locaux en y récupérant les informations. - Un serveur de nom secondaire et un serveur de secours qui ne sert uniquement en cas de panne du primaire. Il y a cependant un transfert de zone continu entre les deux serveurs. Quand il démarre, le secondaire doit reconnaitre son maître pour entamer le transfert de zone. - Un serveur cache se contente de mettre en cache les informations qui circulent. L Annuaire L Active Directory est le service d annuaire de Microsoft intégré aux versions serveurs de Windows. Ce service d annuaire est basé sur le protocole le plus connu du domaine : LDAP Ce protocole fonctionne avec TCP/IP A la base, un annuaire a été conçu pour gérer des objets. Annuaire LDAP L annuaire LDAP regroupe tous les objets dans un arbre : - La racine de cet arbre est le domaine (DNS) ; - Les branches sont des unités d organisations ; - Les feuilles sont des objets. L authentification sur un service réseau est en trois étapes : - Le client s identifie à l aide de sa clé secrète sur le réseau d authentification ; - Le client demande un ticket pour un certain service et une certaine durée ; - Le client présente au service le ticket qu il a reçu du serveur de ticket. TCP/IP et DNS L Active Directory fonctionne obligatoirement sur TCP/IP et donc avec DNS. Les anciens protocoles (NETBIOS, WINS ) n existent plus. Le domaine au sens de l AD est le niveau le plus bas. Il contient au moins un contrôleur de domaine. Il représente une organisation ou une partie de celle-ci. L arborescence est un ensemble de domaines et de sous domaines. La forêt est un ensemble d arborescences. 2 / 7

3 Plusieurs contrôleurs peuvent être installés dans une architecture (relation d approbation entre les contrôleurs). Cela permet une meilleure tolérance des pannes. Les autres serveurs peuvent lire et écrire dans l annuaire. Les données de l annuaire présent dans le sysvol sont répliquées par le protocole DFS. Approbation Dans un contexte de multi-domaine ou multi-forêt, les annuaires peuvent dialoguer en eux en utilisant les approbations. Cela permet aux utilisateurs de pouvoir utiliser certaines ressources dans des domaines qui ne sont pas leurs originaux. Direction et Transitivité Direction : Les relations peuvent être unidirectionnelles ou bidirectionnelles. Transitivité : Si une relation est transitive, cela signifie que : - Le domaine 1 est approuvé par le domaine 2 ; - Le domaine 2 est approuvé par le domaine 3 ; - Alors le domaine 1 est approuvé par le domaine 3. Types d Approbations Lors de l ajout d un domaine, l AD définit les relations d approbations multidirectionnelles transitives suivantes : - Relation Parent / Enfant (Domaine / Sous-Domaine) ; - Relation avec la racine d arborescence. Il existe d autres relations telles que les relations de domaine Kerberos, les relations entre forêts, les relations de raccourcis 3 / 7

4 Maître et Catalogue Globaux Les Rôles FSMO Les rôles des maîtres d opérations servent à savoir quel est le serveur référence qui va gérer la réplication des modifications vers les autres serveurs. Les termes contrôleurs primaire et secondaire n existent plus, sauf pour une question de comptabilité. Dans une forêt, il ne doit y avoir qu un serveur maître de schéma, et un seul serveur maître d attribution de nom de domaine. Les Commandes de Base PING -n nombre -w délai -l taille -f Détermine le nombre de requêtes d écho à envoyer. La valeur par défaut est 4 requêtes. Vous permet d ajuster le délai d attente (en millisecondes). La valeur par défaut est 1000 (un délai d attente d une seconde). Vous permet d ajuster la taille du paquet ping. La taille par défaut est de 32 octets. Définit le bit. Ne pas fragmenter sur le paquet ping. Par défaut, le paquet ping autorise la fragmentation. /? Fournit une aide sur la commande. IPCONFIG ipconfig ipconfig /all Affiche la configuration TCP/IP de votre ordinateur. Affiche la configuration TCP/IP complète de votre ordinateur. TRACERT tracert xxx.xx.xxx.xxx L ordinateur va alors déterminer l'itinéraire pour atteindre l'adresse xxx.xx.xxx.xxx 4 / 7

5 NETSTAT -a Affiche l'ensemble des connexions et des ports en écoute sur la machine. -e Affiche les statistiques Ethernet. Peut-être combinée avec l option s. -n Affiche les adresses et les numéros de port en format numérique. -o Détaille le numéro du processus associé à la connexion. - p protocole Affiche les informations demandées concernant le protocole spécifié (TCP, UDP ou IP). -r Permet d'afficher la table de routage -s Affiche les statistiques détaillées par protocole ROUTE -f Efface les tables de routage de toutes les entrées de passerelles. -p Rend rémanente l entrée dans la table après le reboot de la machine. DELETE PRINT ADD CHANGE Efface un itinéraire. Affiche un itinéraire. Ajoute un itinéraire. Modifie un itinéraire existant. ARP -a Affiche les entrées ARP actives en interrogeant le protocole de données actif. -n adr_if Affiche les entrées ARP pour l'interface réseau spécifiée par adr_if. NBTSTAT -a Liste la table de noms de la machine distante (nom connu). -A Liste la table de noms de la machine distante (adresse IP). 5 / 7

6 -c Liste le cache de noms distant y compris les adresses IP. -n Liste les noms NetBIOS locaux. - r Liste les noms résolus par diffusion et via WINS. NSLOOKUP nslookup Envoie des requêtes DNS sur un serveur DNS. nslookup [domaine] [serveur dns] Review sur FSMO Le Maître d opérations (master operation en anglais) désigne certains types de contrôleur de domaine dans Active Directory, de Microsoft. Ce sont ceux qui jouent un rôle nécessitant un maître unique pour la réplication entre contrôleurs de domaine ; certains rôles sont uniques pour tous les domaines de la forêt ; d autres rôles sont plus simplement uniques à l intérieur d un domaine. L ancienne dénomination (avant 2005) était FSMO qui signifiait Flexible Single Master Operation. Les 5 Types de Maîtres d Opérations Maître d opérations unique à l intérieur d une forêt de domaine - Le maître de schéma qui gère la modification du schéma sur le serveur et sa réplication sur les autres contrôleurs de domaine. À un instant donné, il ne peut y avoir qu un seul maître de schéma dans une forêt de domaines. - Le maître d attribution de noms de domaine (Domain Naming Master) qui gère l ajout et la suppression de domaine dans une forêt. À un instant donné, il ne peut y avoir qu un seul maître de ce type dans une forêt de domaines. Maître d opérations unique à l intérieur d un simple domaine - Le maître RID (Relative IDentifier) qui alloue un identificateur relatif à l intérieur d un domaine (pour un utilisateur, un groupe ou tout autre objet géré par Active Directory). L association de ce RID avec l identificateur du domaine forme le SID (l identificateur de sécurité). Le maître RID gère aussi le déplacement d un objet d un domaine à un autre, à l intérieur de la forêt. À un instant donné, il ne peut y avoir qu un seul maître RID dans un domaine. - Le maître d infrastructure qui maintient les SID (identificateurs de sécurité) et les GUID. Le plus souvent, il s agit seulement de maintenir les liens entre les utilisateurs et les groupes auxquels ils appartiennent. - Émulateur d'un contrôleur de domaine principal de NT 4.0 (en anglais, un PDC Primary Domain Controller). C'est aussi ce contrôleur de domaine qui est choisi préférentiellement pour la réplication vers les autres contrôleurs de domaine pour les changements de mots de passe, comme serveur de temps, w32time, basé sur le protocole SNTP (Simple NTP). 6 / 7

7 Le Catalogue Global Lors de la création d une forêt de domaines, le premier contrôleur de domaine créé est aussi par défaut le serveur de Catalogue Global. Le Catalogue Global a plusieurs fonctions : - Il stocke les informations sur tous les objets ; - Gère les requêtes sur ces objets et leurs attributs ; - Autorise ou refuse la connexion d un utilisateur à un domaine. Certains maîtres d opérations peuvent être aussi serveur de Catalogue Global. Lors de la création d une forêt de domaines, le premier contrôleur de domaine créé est par défaut le maître d opération pour chacun des différents rôles. En cas de panne d un serveur ayant un des rôles maîtres d opérations, il faut pouvoir transmettre ce rôle à l un des autres contrôleurs de domaine. Il est mieux de mettre l émulateur de PDC et le maître RID sur le même contrôleur de domaine. De même, il est mieux de mettre le maître de schéma et le maître d attribution de noms de domaine sur le même contrôleur de domaine. Les Systèmes des Noms et Chemins d Accès NETBIOS Historiquement, Windows utilisait les noms Netbios pour connaître les machines. Le nom Netbios est celui qu'on retrouve dans les propriétés systèmes de Windows. Netbios n'est pas basé sur TCP/IP. La résolution de noms Netbios se fait par broadcast. DNS Cette utilisation est spécifique à Microsoft. Dans le monde TCP/IP, on utilise les chemins URL. \\nomdelordinateur\partage\chemin\ressource - \\ : Demande d'accès par le protocole smb (partage de fichiers MS) ; - nomdelordinateur : nom netbios (ex : pc1) ou nom DNS (ex : pc1.greta.fr) ; - partage : un des dossiers partagés sur l'ordinateur ; - chemin : un sous-répertoire à partir de ce partage ; - ressource : le fichier ou le répertoire auquel vous voulez accéder. Netsh Netsh communique avec d'autres composants du système d'exploitation à l'aide de fichiers DLL (bibliothèque de liaisons dynamiques). Pour les commandes : Netsh est un utilitaire de script de ligne de commande qui vous permet, localement ou à distance, d'afficher ou de modifier la configuration réseau d'un ordinateur en cours d'exécution. 7 / 7