Jaką rolę serwera z rodziny Windows Server należy dodać, aby serwer realizował usługi rutingu?
A. Usługi zasad i dostępu sieciowego.
B. Usługi zarządzania dostępu w usłudze Active Directory.
C. Serwer sieci Web (IIS).
D. Usługi domenowe w usłudze Active Directory.
Pytanie z egzaminu CKE, styczeń 2019 (arkusz E.13-X-19.01).
Rola Usługi zasad i dostępu sieciowego jest właściwym wyborem, bo w rodzinie Windows Server to właśnie z tym obszarem administracyjnym powiązane są mechanizmy dostępu zdalnego, zasad sieciowych oraz rutingu, szczególnie usługa Routing i dostęp zdalny, znana jako RRAS. Po jej dodaniu serwer może pełnić funkcję rutera programowego, czyli przekazywać pakiety między różnymi sieciami IP, obsługiwać NAT, połączenia VPN czy dostęp zdalny użytkowników. W praktyce spotyka się to np. w małych firmach, laboratoriach szkolnych albo środowiskach testowych, gdzie Windows Server łączy dwie podsieci, np. LAN pracowników i sieć serwerową. Moim zdaniem warto pamiętać, że serwer z RRAS nie zawsze zastąpi porządny router sprzętowy, ale do nauki, testów i prostszych wdrożeń jest bardzo użyteczny. Dobra praktyka branżowa mówi, żeby przy takiej konfiguracji pilnować poprawnej adresacji IP, bramy domyślnej, tras statycznych, reguł zapory oraz separacji sieci. Routing to nie tylko włączenie roli, ale też świadome zaplanowanie przepływu ruchu, żeby nie zrobić przypadkiem dziury w bezpieczeństwie.
Jeżeli wybrana została inna rola niż Usługi zasad i dostępu sieciowego, to najczęściej wynika to z pomylenia ogólnej roli serwera z konkretną funkcją sieciową. Serwer sieci Web IIS służy do publikowania stron, aplikacji WWW i usług działających przez HTTP lub HTTPS. Można na nim uruchomić portal firmowy, panel administracyjny albo aplikację intranetową, ale samo IIS nie powoduje, że komputer zacznie rutować pakiety między podsieciami. To częsty skrót myślowy: skoro serwer działa w sieci, to może będzie obsługiwał także routing. No właśnie niekoniecznie.
Usługi domenowe Active Directory odpowiadają za domenę, konta użytkowników, komputery, grupy, uwierzytelnianie Kerberos i zasady grupy. To fundament zarządzania tożsamością w środowisku Windows, ale nie mechanizm przekazywania ruchu IP między interfejsami sieciowymi. Kontroler domeny może oczywiście mieć kartę sieciową i pracować w sieci, jednak jego główna rola jest katalogowa, a nie rutująca. Z mojego doświadczenia wynika, że mieszanie roli kontrolera domeny z routerem bywa też kiepskim pomysłem organizacyjnie i bezpieczeństwa, bo zwiększa powierzchnię ataku.
Usługi zarządzania dostępu w Active Directory dotyczą bardziej kontroli dostępu, integracji tożsamości i zarządzania uprawnieniami niż klasycznego routingu. Routing w Windows Server realizuje się przez komponenty dostępu sieciowego i RRAS, gdzie konfiguruje się interfejsy, NAT, VPN oraz trasy. Poprawne podejście to najpierw rozumieć, jaką usługę chcemy świadczyć, a dopiero potem dobierać rolę systemową. W tym pytaniu chodzi konkretnie o przekazywanie pakietów między sieciami, więc trzeba myśleć kategoriami warstwy sieciowej modelu OSI, adresacji IP i tablic routingu, a nie usług WWW ani katalogu domenowego.
Usługi domenowe Active Directory odpowiadają za domenę, konta użytkowników, komputery, grupy, uwierzytelnianie Kerberos i zasady grupy. To fundament zarządzania tożsamością w środowisku Windows, ale nie mechanizm przekazywania ruchu IP między interfejsami sieciowymi. Kontroler domeny może oczywiście mieć kartę sieciową i pracować w sieci, jednak jego główna rola jest katalogowa, a nie rutująca. Z mojego doświadczenia wynika, że mieszanie roli kontrolera domeny z routerem bywa też kiepskim pomysłem organizacyjnie i bezpieczeństwa, bo zwiększa powierzchnię ataku.
Usługi zarządzania dostępu w Active Directory dotyczą bardziej kontroli dostępu, integracji tożsamości i zarządzania uprawnieniami niż klasycznego routingu. Routing w Windows Server realizuje się przez komponenty dostępu sieciowego i RRAS, gdzie konfiguruje się interfejsy, NAT, VPN oraz trasy. Poprawne podejście to najpierw rozumieć, jaką usługę chcemy świadczyć, a dopiero potem dobierać rolę systemową. W tym pytaniu chodzi konkretnie o przekazywanie pakietów między sieciami, więc trzeba myśleć kategoriami warstwy sieciowej modelu OSI, adresacji IP i tablic routingu, a nie usług WWW ani katalogu domenowego.