局域网的共享与安全设置

局域网的共享与安全设置

　　1. 局域网实现原理

　　在了解共享之前，我们需要对局域网的概念有个了解，局域网并不同于外界通讯使用的TCP/IP协议体系，它是一种建立在传统以太网(Ethernet)结构上的网络分布，除了使用TCP/IP协议，它还涉及许多协议。

　　在局域网里，计算机要查找彼此并不是通过IP进行的，而是通过网卡MAC地址，它是一组在生产时就固化的唯一标识号，根据协议规范，当一台计算机要查找另一台计算机时，它必须把目标计算机的IP通过ARP协议(地址解析协议)在物理网络中广播出去，“广播”是一种让任意一台计算机都能收到数据的数据发送方式，计算机收到数据后就会判断这条信息是不是发给自己的，如果是，就会返回应答，在这里，它会返回自身地址。当源计算机收到有效的回应时，它就得知了目标计算机的MAC地址并把结果保存在系统的地址缓冲池里，下次传输数据时就不需要再次发送广播了，这个地址缓冲池会定时刷新重建，以免造成数据冗余现象。实际上，共享协议规定局域网内的每台启用了文件及打印机共享服务的计算机在启动的时候必须主动向所处网段广播自己的IP和对应的MAC地址，然后由某台计算机(通常是局域网内某个工作组里第一台启动的计算机)承担接收并保存这些数据的角色，这台计算机就被称为“浏览主控服务器”，它是工作组里极为重要的计算机，负责维护本工作组中的浏览列表及指定其他工作组的主控服务器列表，为本工作组的其他计算机和其他来访本工作组的计算机提供浏览服务，它的标识是含有_MSBROWSE_名字段。这就是我们能在网络邻居看到其他计算机的来由，它实际上是一个浏览列表，用户可以使用“nbtstat -r”来查看在浏览主控服务器上声明了自己的NetBIOS名称列表。

　　浏览列表记录了整个局域网内开启的计算机的资源描述，当我们要访问另一台计算机的共享资源时，系统实际上是通过发送广播查询浏览主控服务器，然后由浏览主控服务器提供的浏览列表来“发现”目标计算机的共享资源的。

　　但是仅知道彼此的地址还不够，计算机之间必须建立一条连接的数据链路才能正常工作，这就需要另一个基本协议来进行了。NetBIOS(网络基本输入输出系统)协议是IBM开发的用于给局域网提供网络以及其他特殊功能的命令集，几乎每个局域网都必须在这种协议上面进行工作，NetBIOS相当于Intranet上的TCP/IP协议。而后推出的NetBEUI协议(NetBIOS用户扩展接口协议)则是对前者进行了功能扩充，这几个协议都是组成局域网的基本必备，最后，为了建立连接，局域网还需要TCP/IP协议。

　　2. Windows下的局域网共享

　　Windows系统对于局域网内机算机的身份和权限验证是在一个被称为“IPC”(命名管道)的组件技术上实现的，它实质上是Windows为了方便管理员从远方登录管理计算机而设置的，在局域网里它也负责文件的共享和传输，所以它是Windows局域网不可缺的基础组件。

　　默认情况下，局域网之间的共享服务通过来宾帐户“Guest”的身份进行，这个帐户在Windows系统里权限最少，为方便阻止来访者越权访问提供了基础，同时它也是资源共享能正常进行的最小要求，任何一台要提供局域网共享服务的计算机都必须开放来宾帐户，命令是“net user guest /active:yes”。

　　除了使用IPC作为身份验证，系统还使用SMB(Server Message Block)协议用来做文件共享，这个协议与共享存在很大联系，稍后我们将会讲到。

　　二. 局域网共享的实现

　　虽然我们可以把局域网定义为“一定数量的计算机通过互连设备连接构成的网络”，但是仅仅使用网卡让计算机构成一个物理连接的网络还不能实现真正意义的局域网，它还需要进行一定的协议设置，才能实现资源共享。

　　首先，同一个局域网内的计算机IP地址应该是分布在相同网段里的，虽然以太网最终的地址形式为网卡MAC地址，但是提供给用户层次的始终是相对好记忆的IP地址形式，而且系统交互接口和网络工具都通过IP来寻找计算机，因此为计算机配置一个符合要求的IP是必须的，这是计算机查找彼此的基础，除非你是在DHCP环境里，因为这个环境的IP地址是通过服务器自动分配的。

　　其次，要为局域网内的机器添加“交流语言”——局域网协议，包括最基本的NetBIOS协议和NetBEUI协议，然后还要确认“Microsoft 网络的文件和打印机共享”已经安装并为选中状态，然后，还要确保系统安装了“Microsoft 网络客户端”，而且仅仅有这个客户端，否则很容易导致各种奇怪的网络故障发生。

　　然后，用户必须为计算机指定至少一个共享资源，如某个目录、磁盘或打印机等，完成了这些工作，计算机才能正常实现局域网资源共享的功能。

　　最后，计算机必须开启139、445这两个端口的其中一个，它们被用作NetBIOS会话连接，而且是SMB协议依赖的端口，如果这两个端口被阻止，对方计算机访问共享的请求就无法回应。

　　但是并非所有用户都能很顺利的享受到局域网资源共享带来的便利，由于操作系统环境配置、协议文件受损、某些软件修改等因素，时常会令局域网共享出现各种各样的问题，如果你是网络管理员，就必须学习如何分析排除大部分常见的局域网共享故障了。

　　三. 局域网共享故障的分析与排除

　　IPC、Server服务与共享故障

　　临近毕业了，学生小王找了一家平面设计公司作为实习单位，这天办公室有同事急匆匆找网络部索要杀毒软件，但不凑巧管理员外出未归，小王为人比较热心，虽然自己不是学网络专业的，可是想想也略懂皮毛，就自告奋勇去帮忙了，幸好只是个小病毒，他轻易就解决了，在同事的夸奖下，小王心血来潮顺便给她做了系统优化。

　　可是才过十几分钟，那个同事又出来找网络部了，她说自己的机器被小王摆弄后无法打开别人计算机的共享了，这下，小王第一次明白了什么叫好心的后果……

　　我在前面说起Windows的局域网共享时，提到了IPC(Internet Process Connection)，IPC是NT以上的系统为了让进程间通信而开放的命名管道，可以通过验证用户名和密码获得相应的权限，在远程管理计算机和查看计算机的共享资源时使用，微软把它用于局域网功能的实现，如果它被关闭，计算机就会出现“无法访问网络邻居”的故障。

　　在Windows NT以后的'系统里，IPC是依赖于Server服务运行的，一些习惯了单机环境的用户可能会关闭 ……此处隐藏1358个字……受争议的话题，但如果用户要使用完全的系统权限功能，或者要安装作为服务器使用，建议最好还是使用NTFS分区格式。

　　与FAT32分区相比，NTFS分区多了一个“安全”特性，在里面，用户可以进一步设置相关的文件访问权限，而且前面提到的相关用户组指派的文件权限也只有在NTFS格式分区上才能体现出来。

　　一些刚接触NTFS分区的用户经常会发现，自己机器的共享和来宾帐户都开了，但是别人无论怎么访问都提示“权限不足”，即使给共享权限里添加了来宾帐户甚至管理员帐户也无效，这是为什么?归根究底还是因为在NTFS这部分被拦截了，用户必须理清一个概念，那就是如果你对某个共享目录的访问权限做了什么设置，例如添加删除访问成员，其相应的NTFS权限成员也要做出相应的修改，即共享权限成员和NTFS权限成员必须一致或者为“Everyone”成员，在XP/2003系统里出于安全因素，文件夹时常会缺少Everyone权限，因此，即使你的共享权限里设置了Everyone或Guest，它仍然会被NTFS权限因素阻止访问;如果NTFS权限成员里有共享权限成员的存在，那么访问的权限就在共享权限里匹配，例如一个目录的共享权限里打开了Everyone只读访问权限，那么即使在NTFS权限里设置了Everyone的完全控制权限，通过共享途径访问的用户依然只有“只读”的权限，但是如果在NTFS权限成员或共享权限成员里缺少Everyone的话，这个目录就无法被访问了。因此要获得正常的访问权限，除了做好共享目录的权限设置工作以外，还在共享目录上单击右键---属性----安全，在里面添加Guest和Everyone权限并设置相应的访问规则(完全控制、可修改、可读取等)，如果没有其他故障因素，你就会发现共享正常开启访问了。

　　防火墙与共享的矛盾

　　现在基本上已经没有一台计算机是不曾安装网络防火墙和病毒防火墙的了，可是用户在众多的墙里享受安全特性的时候，偶尔也会发现局域网共享莫名其妙的失败了，如果用户留意到防火墙正在闪烁的报警状态，也许会发现日志上记录着“计算机x.x.x.x 试图访问本机139 – NetBIOS端口，该操作已被拦截”，这是为什么?因为防火墙把NetBIOS的通讯给拦截掉了，别忘记NetBIOS可是局域网通讯的基础。防火墙此举是为了阻止前面提到的利用NetBT进行的“139入侵”模式攻击，虽然防火墙规则里可能写着“允许局域网资源共享”，但是可能这条规则没被选中，或者防火墙没能认出这是一个局域网。

　　知道了缘由，解决起来也就容易多了，对于有原配规则设置的防火墙，只要勾上“允许局域网资源共享”，就能让NetBIOS协议正常通讯了，如果没有，就自己建立一个规则：协议方向为“入”，协议选择“TCP”，端口范围134—139，标志位“SYN”，满足时的规则为“通行”即可。一些XP系统内置的Windows防火墙ICF往往会掐了自家共享的脖子，如果是这样，就把它关掉，因为ICF始终比不过专门的防火墙，更别指望靠它抵挡一切入侵了。

　　特殊的共享故障

　　在一小部分机器里，网络共享是艰难的，它们怎么做也看不到对方的计算机和资源列表，但是使用一些局域网管理工具如LANExplorer、LANetAdmin等却能看到一切，对于这种计算机，只能通过直接输入资源名称或把对方共享资源通过net use命令给映射过来作为虚拟盘符才能工作，对于这种机器，它实际上并没有故障，只是对方通过某种手段阻止了计算机向浏览主控服务器通报自己的共享资源，让整个局域网里的浏览列表缺少对着台计算机的描述，也就无法在网络邻居里发现它了。

　　另一种情况是大家都能看到网络邻居里的计算机，但某台计算机的网络邻居里却是空的，而且它也无法通过输入UNC地址(即前面提到的共享资源，它是用“计算机资源”的格式表达的)来访问到对方计算机，用户会收到一个错误提示“找不到网络路径”，这种就是真正的故障了，一般是因为计算机没有正常获得浏览列表所导致，某种原因让它无法获得浏览主控服务器返回的数据，我们可以先尝试使用“nbtstat -R”清空本机的浏览列表缓存试试看，或者运行“net stop browser && net stop LmHosts && net stop Server && net start Server && net start LmHosts && net start browser”命令集来重新启动几个与文件共享相关的服务，不过建议已经成为浏览主控服务器身份的计算机不要轻易执行这个命令，因为它可能会让你丧失在该工作组里的主控身份，因为当一个网络里的浏览主控服务器停止运行时，同一工作组里的某台计算机会变为浏览主控服务器，这个过程被称为“浏览主控服务器重选”，目的是为了保持工作组共享资源的正常访问，但是如果不幸这个浏览列表被安排在一台故障机器上，整个工作组可能就无法正常进行共享访问了。如果经历这些步骤还是无法查看网络邻居，可以试试看修改“TCP/IP协议属性-高级-WINS”里的“启用TCP/IP上的NetBIOS”，最后可以尝试删除“Microsoft 网络的文件和打印机共享”和“Microsoft 网络客户端”再重新添加一次。

　　四. 共享与安全

　　也许，只要是有开放互连的地方，就会有无法逃脱安全问题的难堪，共享更是不例外，许多用户根本不知道，默认情况下系统就已经为你开了一个庞大的后门供人来品尝，而这个后门的官方名称就是“默认共享”——系统会自动为用户开放以每个盘符进行命名的隐藏共享“盘符$”，虽然网络邻居里看不出来，但是有经验的用户都知道那是什么一回事了，只需使用“IP盘符$”的格式便完成了资源的访问操作。而另一个被称为“默认管理共享”(ADMIN$)的共享，更是提供了一系列强大的网络指令，甚至包括关机命令。你也许会说，这不正符合微软的构思“远程管理”吗?话虽如此，但是对于一个只有来宾帐户身份标识的共享来说，它能判断出谁是主人吗?

　　因此，稍有经验的用户对这两个共享都是深恶痛绝的，幸好系统提供了永久关闭它的方法：运行regedit开启注册表编辑器，找到“HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServiceslanmanserverparameters”分支，添加名为“AutoShareServer”和“AutoSharewks”的DWORD类型值，均设为0，重启计算机就会发现仅仅剩下一个维持共享功能的IPC$了。

　　除了这里，共享还为我们带来了“计划任务”的潜在危害，即通过IPC$，入侵者可以设定机器在一个固定的时间里执行某种操作，这实际上是通过“计划任务”实现的，而“计划任务”的实体为“Task Scheduler”服务项，赶快进services.msc里禁止掉它。