File Server và Share PermissionChuẩn bị: server2012may1: IP 192.168.1.100/24 server2012may2: IP 192.168.1.101/24 Turn off: windows firewall. Tạo KT1, KT2 group Ketoan. NS1, NS2 group NhanSu Tạo Folder Data trong ổ C máy server2012may1. File Server (FS) Nói 1 cách đơn giản, file server là một server dùng để lưu trữ dữ liệu và chia sẽ cho người dùng sử dụng. Yêu cầu cho FS: Hardware: Ổ cứng (HDD, SSD) lớn, có khả năng chịu lỗi (sẽ đề cập ở các bài sau). Có ít nhất 1 card mạng online. Software: Nếu FS sử dụng HDH windwos client thì bị giới hạn số kết nối đồng thời Win XP: cho phép 10 kết nối đồng thời. Win 7, 8: 20 kết nối (có thể chỉnh registry để tăng kết nối). Nếu FS sử dụng HDH họ Server thì có thể nói số kết nối cao hơn (bản Datacenter hỗ trợ tối đa 16777216 kết nối) Dùng lệnh net config server để xem:  Net config server * Khi truy cập vào Server (file server, print server hay remote vào server, v.v) thì các user cần có thêm các license để hợp pháp hóa việc truy cập, license đó gọi là CAL (Client Access License). ( vào đây để tìm hiểu thêm về CAL) Để File Server (print server v.v) và các Client có thể liên lạc được với nhau thì cả 2 phải đáp ứng các điều kiện sau: Về Service: Mở Start -> Run -> Services.msc Phải đảm bảo 3 dịch vụ sau phải ở trạng thái (status) running và Startup type: Automatic – Server – Workstation – Computer Browser Nếu File Server bị disable Server Services, thì client truy cập vào sẽ thấy thông báo: thiếu Server service Nếu Workstation service bị disable thì xuất hiện thông báo: thiếu Workstation service Về Firewall: nếu có firewall thì phải mở port TCP, UDP port 445 Về Policy: chỉnh các policy thích hợp (xem phần cuối của bài local group policy) Về NIC: Start -> run -> ncpa.cpl -> Properties biểu tượng network connection trong windows, phải đảm bảo 2 option: + Client for Microsoft Network. + File and Printer sharing for Microsoft Network. Đương nhiên, để người dùng có thể truy cập tài nguyên trong File Server ta phải share các tài nguyên đó Cách Share Folder: Properties Folder -> tab sharing Ta thấy có 2 cách share tài nguyên Share (giao diện File Sharing) và Advanced Sharing Chọn Share: File sharing Ở giao diện này thì chỉ có 2 quyền: Read và Read/ Write Chọn Advanced Sharing: Check vào share this folder Share name: là trên hiển thị khi người dùng truy cập tài nguyên (ta có thể đặt tên khác để người dùng không thể biết dữ liệu nằm trong folder nào). Chọn Permission Share permission Đây là giao diện của Share Permission, gồm 3 quyền cơ bản: – Read: đọc, copy dữ liệu. (giống như read/ execute trong NTFS) – Change: = Read + chỉnh sửa, xóa dữ liệu (giống Modify trong NTFS) – Full: toàn quyền (giống full control trong NTFS). Ta thấy có sự tương đồng giữa Share Permission và NTFS Permission. Khi 1 Folder vừa sử dụng Share permission và NTFS permission thì quyền áp lên user là giao của 2 bộ quyền trên. VD: Share: cho full control, NTFS cho Read/ Execute thì giao của Full và Read => Read. Share: Read, NTFS: Full => kết quả Read. Share: Read, NTFS: Write => kết quả là không có quyền nào cả Và lưu ý rằng: Share Permisson chỉ tác động đến người dùng Network Access (\\), không tác động với người dùng local access (ngồi trực tiếp trên máy). Mẹo: Khi share folder, để đảm bảo giữ nguyên bộ quyền NTFS thì thực hiện share permission với group Users: allow full control. Ta share folder Data. Cách truy cập tài nguyên: Cách 1: Dùng UNC (Universal naming convention): đường dẫn mạng (hay còn gọi là đường dẫn tuyệt đối) Cú pháp: \\[IP] hoặc [tên server]\Share name : \\192.168.1.100 Nhược điểm: gây khó khăn với người dùng. Cách 2: Map Share folder thành ổ đĩa mạng trên máy tính (Map Network Drive), ánh xã ổ đĩa mạng từ sahre folder trên File Server (thực hiện trên client). Client chỉ cần vào ổ đĩa này và thao tác với dữ liệu. start -> run -> \\192.168.1.100 Propersties -> chọn Map Network Drive map network drive Ta check vào Reconnect at sign-in: tự động connect lại khi user đăng nhập lần kế tiếp ->Finish Ổ đĩa mạng Z Ta thấy xuất hiện ổ Z Nếu không thích sử dụng nữa thì chuột phải vào ổ Z -> disconnect. Cách thứ 2 để tạo Map Network Drive: Dùng lệnh: net use [drive] \\[IP File server]\[tên share folder] /user:[username] [pass] VD: net use Z: \\192.168.1.100\data /user:hoang 123. Đăng nhập với username nào thì sẽ có quyền tương ứng với username đó. Nếu không đánh user, pass thì mặc định chứng thực với user đang sử dụng. (1 ổ đĩa mạng chỉ map được 1 folder) Tình huống 1: Ta không muốn người dùng thấy 1 folder nào đó mà ta đã share. (Hiden Share -Share ẩn). Trên File server tạo folder QuanTrong. Properties Folder -> Tab Sharing -> Advanced Sharing Share name: sau tên folder ta thêm dấu “$” => dấu “$” để làm ẩn folder. Hiden Share Nếu user muốn truy cập thì phải đánh đúng tên vd: \\192.168.1.100\QuanTrong$ System Share: mặc định hệ thống share ẩn các ổ đĩa, nhằm phục vụ cho các user thuộc group administrator từ xa truy cập (C$, D$, E$ v.v). Để quản lý Share folder và các user đang truy cập tài nguyên đó ta dùng các tool sau: Tool 1: Trên File Server : start -> run -> compmgmt.msc (giao diện computer management) Share Folders Shares : liệt kê các folder đã share. Sessions: liệt kê các user đang sử dụng tài nguyên mà ta share. Open Files: Xem user đang truy cập file nào Công cụ này còn giúp ta share folder bất kì : Chuột phải Shares -> New Share. Tool 2: Mở Server Manager (góc dưới cùng bên trái màn hình) -> File and Storage Service -> Shares Shares Tình huống 2: Khi share folder, user truy cập tài nguyên vào các folder mà user đó không có quyền sẽ bị báo “deny”. Ta có nhu đầu đối với những folder mà user không có quyền truy cập thì ta ẩn, không cho hiển thị lên. Ta dùng tính năng Access-Base Enumeration (ABE) để xử lý tình huống Trong giao dien Shares (File and Storage Service), ta chọn folder Data ( cứ chọn folder cha) Phải chuột properties -> Setting -> check vào Enable access-base enumeration. Access-base enumeration Kết quả: User chỉ thấy những folder mà mình có quyền Read (hoặc tương đương). Các bạn tự test tình huống này nhé. Bonus: Giao thức truy cập tài nguyên (SMB) của Microsoft Ở các phiên bản cũ thì Windows sử dụng NBT (Net Bios Name over TCP/IP) sử dụng các port 137, 138, 139. Đến thời win 2000, XP trở lên thì cung cấp thêm khả năng chạy SMB trực tiếp trên TCP/IP (port 445). Các cổng liên quan: 137 UDP/TCP: cho dịch vụ NetBIOS Name Service (netbios-ns), là một phần trong họ giao thức NetBIOS (Network Basic Input/Output System) trên các trạm M$, sử dụng chủ yếu để ánh xạ giữa hostname và địa chỉ của các trạm trong mạng NetBIOS. 138 UDP: NETBIOS Datagram Service (netbios-dgm), là một phần trong họ giao thức NetBIOS trên các trạm M$, sử dụng chủ yếu truyền tải dữ liệu hai chiều giữa các trạm trong mạng NetBIOS. Giao thức này cũng được Messenger service sử dụng (lệnh net send …) 139 TCP: NetBIOS Session Services (netbios-ssn), là một phần trong họ giao thức NetBIOS trên các trạm Microsoft, sử dụng cho chia sẻ file, máy in. 445 TCP, UDP: SMB over TCP , chia sẻ file, máy in Bạn chỉ nên mở TCP, UDP 445 để đảm bảo vấn đề bảo mật. Mình xin kết thúc bài viết “tự học MCSA 2012 File Server và Share permission” ở đây. Nếu có thắc mắc xin các bạn đặt câu hỏi ở phía dưới. |
