Роман Клименко - Windows Vista. Для профессионалов

Политики данного подраздела изменяют параметры REGDWORD-типа, расположенные в ветви реестра HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsof t\ Windows\LLTD.

• AllowRspndrOnDomain – если значение данного параметра равно 1, то работа драйвера ответчика RSPNDR в домене будет разрешена. Он используется лишь тогда, когда параметру EnableRspndr присвоено значение 1.

• AllowRspndrOnPublicNet – при установке значения этого параметра равным 1 работа драйвера ответчика RSPNDR в публичной сети будет разрешена. Он используется лишь тогда, когда параметру EnableRspndr присвоено значение 1.

• EnableRspndr – если значение данного параметра равно 1, то работа драйвера ответчика RSPNDR будет разрешена.

• ProhibitRspndrOnPrivateNet – при установке значения этого параметра равным 0 работа драйвера ответчика RSPNDR в частной сети будет разрешена. Он используется лишь тогда, когда параметру EnableRspndr присвоено значение 1.

• AllowLLTDIOOnDomain – если значение данного параметра равно 1, то работа драйвера отображения ввода/вывода LLTDIO в домене будет разрешена. Он используется лишь тогда, когда параметру EnableLLTDIO присвоено значение 1.

• AllowLLTDIOOnPublicNet – при установке значения этого параметра равным 1 работа драйвера отображения ввода/вывода LLTDIO в публичной сети будет разрешена. Он используется лишь тогда, когда параметру EnableLLTDIO присвоено значение 1.

• EnableLLTDIO – если значение данного параметра равно 1, то работа драйвера отображения ввода/вывода LLTDIO будет разрешена.

• ProhibitLLTDIOOnPrivateNet – при установке значения этого параметра равным 0 работа драйвера отображения ввода/вывода LLTDIO в частной сети будет разрешена. Он используется лишь тогда, когда параметру EnableLLTDIO присвоено значение 1.

Служба инициатора Майкрософт iSCSI

Тип запуска: вручную.

Учетная запись: система.

Дополнительные привилегии: SeAuditPrivilege, SeChangeNotifyPrivilege, SeCreateGlobalPrivilege, SeCreatePermanentPrivilege, SeImpersonatePrivilege, SeTcbPrivilege.

Файлы службы: iscsiexe.dll.

Исполняемый файл: svchost.exe – k netsvcs.

Подраздел реестра: MSiSCSI.

Службы, необходимые для работы данной: нет.

Позволяет создавать сессии подключения к iSCSI-устройствам с помощью Интернета. После отключения данной службы вы не сможете установить связь с iSCSI-устройствами.

Настройки данной службы содержатся в ветви реестра HKEY_LOCAL_MACHINE\ SOFTWARE\MicrosoftWindows NT\CurrentVersion\iSCSI.

Служба общего доступа к портам Net.Тер

Тип запуска: отключена.

Учетная запись: локальная служба.

Дополнительные привилегии: SeCreateGLobaLPriviLege.

Файлы службы: нет.

Исполняемый файл: %systemroot%\WinFX\v3. 0\Windows Communication Foundation\SMSvcHost.exe.

Подраздел реестра: NetTcpPortSharing.

Службы, необходимые для работы данной: нет.

Управляет возможностью совместного доступа к портам TCP с помощью протокола Net.TCP.

Сетевой вход в систему

Тип запуска: вручную.

Учетная запись: система. Дополнительные привилегии: нет. Файлы службы: нет.

Исполняемый файл: lsass.exe.

Подраздел реестра: Netlogon.

Службы, необходимые для работы данной: Рабочая станция (LanmanWorkstation).

Управляет безопасным каналом между данным компьютером и контроллером домена, с помощью которого выполняется вход в систему.

Пароль безопасного канала хранится на каждом контроллере домена вместе с учетной записью компьютера. При этом пароль периодически изменяется и синхронизируется с данными LSA. В поставку операционной системы Windows ХР входила программа командной строки Netdom.exe (она не устанавливалась по умолчанию), с помощью которой можно было переустановить безопасный канал. Для этого применялась команда Netdom.exe reset <���компьютер> /domain:<���домен>. Например, переустановка канала была необходима в том случае, если происходила рассинхронизация пароля безопасного канала с данными LSA.

Для просмотра состояния безопасного канала в операционной системе Windows ХР также применялась программа командной строки nltest.ехе, не устанавливающаяся по умолчанию при установке операционной системы.

Если ваш компьютер не подключен к домену Active Directory, то в данной службе нет необходимости. В противном случае благодаря ее использованию между вашим компьютером и контроллером домена создается аутентифицированное соединение RPC. Оно используется для проверки такой конфиденциальной информации, например, как идентификаторы безопасности (SID) пользователей и групп.

Настройка регистрации записей

Еще одной обязанностью службы Сетевой вход в систему при работе в домене является регистрация записей типа SRV, CNAME и А, определяющих домен и глобальный каталог, в базе DNS через определенные промежутки времени. При этом список регистрируемых службой записей хранится в файле Netlogon.dns каталога %systemroot%\System32\Config.

С помощью параметров REG_DWORD-типа ветви реестра HKEY_LOCAL_MACHINE\ SYSTEM\CurrentControlSet\Services\Netlogon\Parameters можно настроить некоторые возможности регистрации записей в базе DNS.

• UseDynamicDns – применяется только на контроллерах домена. Он позволяет запретить службе Сетевой вход в систему автоматическую регистрацию записей, идентифицирующих данный контроллер домена, в базе DNS на этом контроллере домена.

• RegisterDnsARecords – используется только на контроллерах домена. Он позволяет запретить службе Сетевой вход в систему автоматическую регистрацию записей типа А (включая обязательные записи вида gc. msdcs. имял еса, которые после отключения нужно будет регистрировать вручную). Если записи типа А регистрироваться не будут, то протокол LDAP, не поддерживающий записи типа SRV, не сможет обнаружить сервер LDAP на данном контроллере домена.

Настройка с помощью групповой политики

Настроить работу службы Сетевой вход в систему можно и с помощью групповых политик операционной системы. Для этого применяются политики, расположенные в разделе Конфигурация компьютера → Административные шаблоны → Система → Сетевой вход в систему.

Следующие политики данного раздела изменяют параметры REGDWORD-типа, расположенные в ветви реестра HKEY_LOCAL_MACHINE\SOFTWARE\Policies\ Microsoft\Netlogon\Parameters.

• Обращение к PDS в случае неудачи входа в систему – изменяет значение параметра AvoidPdcOnWan. Данная политика позволяет определить, должен ли контроллер домена при вводе пользователем ошибочного пароля контактировать с PDC, чтобы проверить, не был ли пароль данного пользователя изменен, но еще не передан на контроллер домена.

• Ожидаемая задержка при удаленном входе – дает возможность изменить значение параметра ExpectedDialupDelay. Политика позволяет определить интервал ожидания ответа от контроллера домена при выполнении входа в систему.

• Окончательный интервал попыток обнаружения контроллера домена для фоновых клиентов – изменяет значение параметра BackgroundRetryQuitTime. Данная политика позволяет определить интервал времени, в течение которого клиент может пытаться обратиться к контроллеру домена, если ответа от контроллера не поступает. Если по истечении этого интервала контроллер домена так и не ответил, то клиент прекращает попытки связаться с ним.