Служба каталогов NTDS

NTDS представляет собой плоскую модель доменов, при этом под доменом понимается совокупность компьютеров с общей базой учетных записей пользователей и единой политикой защиты.
У каждого домена свое уникальное имя. Оно может отражать либо его функциональное назначение (например, DEVELOPERS_DOM), либо географическое расположение (например, MOSCOW_EAST), либо что-то, понятное лишь одному автору этого имени (например, MASTER_DOM1).

Каждый домен представляет собой замкнутое пространство со своими учетными записями пользователей и ресурсами. По умолчанию пользователи одного домена не имеют доступа к ресурсам другого домена. Для предоставления им такой возможности между доменами устанавливаются доверительные отношения. Эти отношения могут быть как односторонними (например, домен А доверяет домену Б, но не наоборот), так и двусторонними (оба домена доверяют друг другу). Доверительные отношения не транзитивны, иными словами, если домены А и В доверяют домену Б, то это не означает по умолчанию, что А и В доверяют друг другу. При организации корпоративных сетей используются четыре модели доверительных отношений: модель с одним доменом, модель с одним мастер-доменом, модель с несколькими мастер-доменами и модель полностью доверительных отношений. Подробно об этих моделях см. [I].
Недостаток доменной службы каталогов NTDS — сложность администрирования для крупных организаций. Например, перемещая учетную запись пользователя из одного домена в другой, администратор вынужден заново переопределять права доступа, что зачастую непросто. Кроме того, эта служба каталогов не предоставляет средств эффективного поиска объектов сети. Например, невозможно найти в нескольких доменах пользователя UserPo, определить объекты, к которым он имеет доступ, а также вид этого доступа.

Еще одно слабое место NTDS — относительно невысокая емкость доменов. В одном домене может быть не более 40 000 учетных записей, что опять-таки мало пригодно для крупных организаций.
Кроме того, в домене может существовать только один первичный контроллер домена и несколько резервных. Модификация базы учетных записей выполняется только на первичном контроллере, а если последний временно недоступен — сеть становится неуправляемой.

1.2 Структура VPN

VPN состоит из двух частей: «внутренняя» (подконтрольная) сеть, которых может быть несколько, и «внешняя» сеть, по которой проходит инкапсулированное соединение (обычно используется Интернет). Возможно также подключение к виртуальной сети отдельного компьютера. Подключение удалённого пользователя к VPN производится посредством сервера доступа, который подключён как к внутренней, так и к внешней (общедоступной) сети. При подключении удалённого пользователя (либо при установке соединения с другой защищённой сетью) сервер доступа требует прохождения процесса идентификации, а затем процесса аутентификации. После успешного прохождения обоих процессов, удалённый пользователь (удаленная сеть) наделяется полномочиями для работы в сети, то есть происходит процесс авторизации.