Задача сетевого администратора сводится к обеспечению работы сетевых систем. Статус системных ресурсов и их загруженность радикально меняются со временем, причем не всегда так, как хочется пользователям и сетевому администратору — останавливаются службы, файловая система испытывает недостаток свободного места, ошибки приложений приводят к системным проблемам, в сеть пытаются проникнуть неавторизованные пользователи. Мониторинг сетевых устройств — это постоянное наблюдение за деятельностью данных устройств, поиск проблем и неисправностей в их работе, принятие решений о ликвидации проблем и неисправностей, повышению эффективности функционирования устройств.
Данный раздел посвящен вопросам мониторинга состояния сетевых узлов на базе систем Windows Server. В разделе обсуждаются вопросы, связанные с просмотром системных событий, аудитом доступа к ресурсам, мониторингом производительности серверов, поиска узких мест в их работе и выработки решений о ликвидации этих узких мест, а также мониторинга сетевой активности.
Одно из самых часто используемых и наиболее важных средств мониторинга системы — это регистрация различных событий в журналах операционной системы Windows. Регистрацию событий в системе Windows осуществляет служба " Журнал событий " ( Event Log ). В любой системе семейства Windows всегда присутствуют 3 журнала:
%SystemRoot%\system32\config\SysEvent.Evt ";%SystemRoot%\system 32\соnfig\SecEvent.Evt ";%SystemRoot%\system32\config\AppEvent.Evt ".При установке в системе каких-либо компонент могут появиться журналы, регистрирующие события, относящиеся к работе данных компонент.
При установке службы DNS появляется журнал " DNS-сервер " ( DNS Server ), регистрирующий события, связанные с работой службы DNS (расположение по умолчанию — " %SystemRoot%\system32\config\DNSEvent.Evt ").
При создании контроллера домена в системе появляются журналы:
%SystemRoot%\system32\config\NTDS.Evt ";%SystemRoot%\system32\config\NtFrs.Evt ".Открыть системные журналы можно следующими способами:
(рис 16.1) В левой части консоли будет список имеющихся на данном компьютере журналов, в правой части — список событий для выбранного журнала.
В большинстве журналов события бывают трех видов:
В журнале " Безопасность " — 2 типа событий:
В столбцах журнала, кроме типа события, содержатся следующие данные:
Если открыть какое-либо событие, то можно получить более детальную информацию о нем (рис. 16.2):
(рис 16.2)
Размер и способ ведения журналов событий можно настраивать. Для настройки параметров надо щелкнуть правой кнопкой на нужном журнале событий и выбрать в контекстном меню команду Свойства. Откроется диалоговое окно, показанное на рис. 16.3.
(рис 16.3) По умолчанию размер большинства журналов системы Windows 2003 — 16 МБ (для журнала безопасности — 128 МБ, в предыдущих версиях системы стандартный размер журнала — 512 КБ). При заполнении журнала старые события будут стираться. Администратор может изменить как размер журнала, так и способ управления записями при достижении максимального размера журнала (например, автоматически затирать события старше какого-то определенного количества дней или вообще не затирать старые события, в этом случае новые события в журнале регистрироваться не будут).
Содержимое журналов можно очищать вручную — щелкнуть правой кнопкой мыши на журнале, выбрать в меню команду " Стереть все события ". Система предложит сохранить стираемые события в отдельном файле, нужно выбрать требуемый вариант, и журнал будет очищен. При этом сохранять стираемые записи можно в трех разных вариантах: двоичном (с расширением файла " .evt ", такой файл можно будет просматривать только программой " Просмотр событий "), или текстовых (с расширением файла " .txt " —со знаком табуляции в качестве разделителя столбцов, а также с расширением файла " .csv " — с запятой в качестве разделителя). Сохранять содержимое журналов можно и без стирания старых записей. Открыть сохраненные записи можно через меню " Действие " консоли " Просмотр событий ", выбрав пункт " Открыть файл журнала
".
В каждом из журналов накапливается большое количество событий, в которых трудно иногда найти нужные события. Заметим вначале, что щелчок мышью на заголовке любого столбца в консоли (оснастке) " Просмотр событий " позволяет отсортировать события по убыванию или возрастанию значений данного столбца. Для более точного отбора искомых событий служат средства фильтрации в " Просмотре событий ". Если открыть свойства какого-либо журнала, то в открывшейся панели, кроме закладки " Общие ", имеется также закладка " Фильтр ", позволяющая установить правила для отбора событий. Посмотрим внимательно на данную закладку (рис. 16.4):
(рис 16.4) Можно установить правила отбора:
На рис. 16.5 изображен фильтр, отбирающий события с кодом 6005 с 00 ч 00 мин 20.02.2007 до 12 ч 00 мин 01.03.2007. Результат применения фильтра — на рис. 16.6 (с помощью данного фильтра были отобраны события, регистрирующие процесс запуска системной службы " Журнал событий ).
(рис 16.5) 
(рис 16.6) Вернуться к полному просмотру всех событий можно, выбрав в меню " Вид " команду " Все записи " (рис. 16.7):
(рис 16.7)
Настройка политик аудита — важный фактор обеспечения безопасности и целостности системы. Каждая компьютерная система в сети должна быть настроена для протоколирования определенных событий, относящихся к системе безопасности. Политики аудита определяют, какие именно события в области безопасности системы должны регистрироваться в журнале " Безопасность ".
Процесс аудита безопасности настраивается с помощью групповых политик (напомним, что групповые политики можно определять для сайта, домена или организационного подразделения, а также для отдельной рабочей станции или сервера). Параметры аудита безопасности находятся в разделе " Параметры безопасности — Локальные политики — Политики аудита " любого
На рис. 16.8 изображены стандартные политики аудита для организационного подразделения " Контроллеры домена ".
(рис 16.8) Рассмотрим параметры этого раздела:
Рассмотрим подробнее аудит доступа к объектам. Необходимость регистрации событий доступа к объектам возникает, когда есть подозрения, что кто-то из пользователей пытается получить несанкционированный доступ к информации, к которой он не должен иметь доступа.
По умолчанию на обычном сервере или рабочей станции политики аудита доступа к объектам отключены. Включим данные политики (на уровне сайта, домена или нужного нам ОП) — откроем данный параметр в редакторе политик и установим регистрацию как успешных, так и неуспешных попыток доступа к объектам (рис. 16.9).
(рис 16.9) После применения политик настроим аудит доступа для нужных объектов (например, для папки Folder1 на сервере DC1 ) — откроем Свойства данной папки (папка должна быть размещена на разделе с файловой системой NTFS), перейдем на закладку " Безопасность ", нажмем кнопку " Дополнительно " и перейдем на закладку " Аудит ". Добавим в список пользователей, для которых будут отслеживаться попытки доступа к папке Folder1, группу " Пользователи домена " и установим, какие именно попытки будут регистрироваться в журнале " Безопасность " (например, попытки удаления папок и файлов, успешные и неуспешные, рис. 16.10).
(рис 16.10) Теперь для проверки работы механизма аудита удалим какой-нибудь файл в этой папке, а затем просмотрим соответствующие события, появившиеся в журнале " Безопасность ". Пример события, зарегистрировавшего в журнале безопасности удаление файла " Документ.doc ", показан на рис. 16.11 и 16.12:
(рис 16.11) 
(рис 16.12) На рис. 16.11 видно, что пользователь Администратор получил успешный доступ к файлу " H:\Folder1\Документ.doc " на компьютере DC1, а на рис. 16.12 показан вид доступа — DELETE ( Удаление ).
Не рекомендуем злоупотреблять применением политик аудита доступа к объектам и регистрацией доступа к большому числу объектов, т.к. системой генерируется очень большое число записей, отыскать среди которых нужные будет весьма непросто. К тому же надо будет постоянно заботиться о сохранении старых записей и очистке журнала. Наиболее рациональный способ применения аудита доступа к объектам — настройка данного аудита в те моменты, когда есть обоснованные опасения о наличии в сети попыток несанкционированного доступа.
Мы рассмотрим два основных инструмента мониторинга производительности систем Windows Server — программу " Диспетчер задач ", которая предназначена для мониторинга работы приложений и служб сервера в реальном времени, и консоль " Производительность ", которая может осуществлять мониторинг производительности как в реальном времени, так и путем накопления статистики о работе системы за определенный период времени, причем консоль " Производительность " может показывать и собирать данные одновременно с нескольких систем.
Чтобы открыть " Диспетчер задач ", основной инструмент мониторинга и управления системными процессами и приложениями, нужно выполнить одно из перечисленных действий:
taskmgr и нажать кнопку " ОК ";Настройка общих параметров " Диспетчера задач "
Прежде чем изучать работу данной программы по управлению приложениями и процессами, сделаем некоторые настройки, позволяющие повысить удобство использования программы:
На закладке " Приложения " показан статус программ, работающих в данный момент в системе (рис. 16.13):
(рис 16.13) Кнопки в нижней части вкладки предназначены для выполнения следующих действий:
Замечание. В столбце " Состояние " для каждого приложения указано, нормально ли выполняется данное приложение. Статус " Не отвечает " свидетельствует о том, что приложение, возможно, "зависло" и надо завершить связанные с ним процессы. Однако некоторые приложения не отвечают на запросы системы в ходе выполнения интенсивных расчетов. Поэтому, прежде чем закрыть приложение, убедитесь, что оно действительно "зависло".
Контекстное меню списка приложений
При щелчке правой кнопкой мыши на строке приложения или группы приложений в списке отображается контекстное меню, позволяющее:
Замечание. Команда " Перейти к процессу " полезна, когда необходимо найти основной процесс для приложения, запустившего несколько процессов.
Подробная информация о выполняемых процессах отображается на закладке " Процессы " (рис. 16.14):
(рис 16.14) По умолчанию в этом окне перечислены только процессы, запущенные ОС, локальными службами, сетевыми службами и интерактивным пользователем, т. е. пользователем, локально зарегистрировавшимся на компьютере. Чтобы увидеть процессы, запущенные удаленными пользователями, например подключившимися с помощью удаленного рабочего стола, надо установить галочку у поля " Отображать процессы всех пользователей ".
В столбцах на закладке " Процессы " содержится информация о выполняемых процессах. Она позволяет выявить те из них, которые поглощают системные ресурсы, например, процессорное время или память. По умолчанию отображаются следующие столбцы:
При выборе в меню " Вид " команды " Выбрать столбцы ", откроется диалоговое окно, из которого на закладку " Процессы " можно добавить другие столбцы (рис. 16.15):
(рис 16.15) Некоторые из них могут оказаться очень полезными при поисках причин системной проблемы.
Замечание. В списке процессов присутствует процесс " Бездействие системы ". Он отслеживает объем неиспользуемых ресурсов. Так, число 99 в столбце ЦП (CPU) означает, что 99% системных ресурсов в настоящий момент не используется. Приоритет этого процесса задать нельзя.
Просматривая информацию о процессах, надо помнить, что одно приложение может породить несколько процессов. Обычно все они зависят от родительского процесса и формируют расходящееся от него дерево процессов. Чтобы найти главный (родительский) процесс для данного приложения, на закладке "Приложения" щелкните приложение правой кнопкой мыши и выберите команду " Перейти к процессу ". Чтобы корректно завершить работу приложения с помощью " Диспетчера задач ", останавливайте либо само приложение, либо его главный процесс. Не останавливайте по отдельности зависимые процессы.
Остановить главный процесс приложения и порожденные им вторичные процессы можно несколькими способами:
На закладке " Быстродействие " в виде графиков и статистических данных отображается степень использования процессора и памяти (рис. 16.16).
(рис 16.16) Эта информация позволяет быстро оценить нагрузку на системные ресурсы. Чтобы получить более подробные сведения, необходимо использовать консоль " Производительность ".
На графиках закладки " Быстродействие " отображена следующая информация:
Замечание. Если нагрузка на процессор остается неизменно высокой даже в обычных условиях, для выяснения причин этого стоит заняться более детальным исследованием работы системы. Зачастую причина снижения производительности скрыта в памяти. Проверьте эту возможность, прежде чем принимать решение об обновлении процессора или о добавлении дополнительных процессоров.
Отображение графиков можно настроить или обновить с помощью команды меню Вид.
Под графиками приведены статистические данные:
На закладке " Сеть " приводятся сведения о сетевых адаптерах, используемых системой, — процент загрузки, скорость соединения и статус. Если в системе установлен единственный сетевой адаптер, на сводной диаграмме (рис. 16.17) показана информация об изменении со временем трафика через этот адаптер:
(рис 16.17) Если сетевых адаптеров в системе несколько, на диаграмме отображается сводный показатель использования всех сетевых подключений. По умолчанию это суммарное количество байт, переданных по сети.
В полях закладки " Сеть " содержится множество сведений о входящем и исходящем сетевом трафике сервера. С их помощью можно, например, установить объем поступающих на сервер данных. По умолчанию отображаются следующие поля:
Замечание. Если загрузка адаптера часто достигает 50% или больше, внимательнее следите за сетевой активностью сервера и подумайте о приобретении дополнительных сетевых адаптеров.
Для исследования работы сети могут понадобиться дополнительные столбцы на закладке " Сеть ". Можно выбрать в меню " Вид " пункт " Выбрать столбцы " и установить отображение следующих столбцов:
Удаленные пользователи подключаются к системе через службы терминалов, или удаленные рабочие столы. Подключения с помощью удаленного рабочего стола активизируются автоматически при установке Windows Server 2003. " Диспетчер задач " предоставляет один из способов управления такими подключениями. Перейдите на закладку " Пользователи ", где перечислены пользовательские сеансы как для локальных, так и для удаленных пользователей (рис. 16.18):
(рис 16.18) Для каждого подключения указаны: имя пользователя, код сеанса, состояние, клиентский компьютер и тип сеанса. Пользователю, зарегистрировавшемуся локально, соответствует тип сеанса " Консоль " ( Console ). Для других пользователей в этом столбце указан протокол подключения, например,
Консоль " Производительность " (находящая в разделе " Администрирование " Главного меню системы Windows) позволяет более детально исследовать функционирование системы по сравнению с " Диспетчером задач ". И, кроме того, данная консоль позволяет накапливать статистику о работе системы в фоновом режиме, без непосредственного наблюдения администратором системы, а также собирать данные о производительности с нескольких компьютеров одновременно. Данная консоль содержит два раздела — "Системный монитор" и "Журналы и оповещения производительности". "Системный монитор" предназначен для наблюдения за системой (или системами в режиме реального времени), "Журналы и оповещения производительности" используются для накопления статистики в фоновом режиме и последующего изучения накопленных данных.
Работа консоли "Производительность" основана на понятиях "Объект" и "Счетчик". Понятие " Объект" относится к той или иной компоненте системы или к определенному приложению и состоит из набора "Счетчиков", числовых показателей, измеряющих степень загруженности данной компоненты. Набор доступных объектов и счетчиков обновляется при установке служб и дополнительных компонент. Например, после установки на сервере службы DNS консоль "Производительность" пополняется рядом объектов и счетчиков для отслеживания работы этой службы.
" Системный монитор "
Если открыть консоль "Производительность", то мы сразу попадем в раздел "Системного монитора". При этом на экране отображаются 3 самых важных с точки зрения операционной системы счетчика: "Обмен страниц в сек " (объекта " Память"), " Средняя длина очереди диска " (объекта " Физический диск ") и " % загруженности процессора " (объекта " Процессор "); обновление данных на экране производится раз в секунду (Рис. 16.19).
(рис 16.19) Для выбранного мышью активного процесса регистрируются показатели:
Если открыть Свойства счетчика, то можно изменить способ отображения данного счетчика на экране: цвет, толщину и стиль линии и масштаб (от 1:10000000 до 10000000:1), также изменить частоту сбора показаний.
Нажатием комбинации клавиш CTRL+H можно выделить активный счетчик белым цветом (так лучше видно активный счетчик среди большого количества счетчиков).
Нажатием кнопки со знаком "+" на панели инструментов можно добавить другие счетчики, в том числе полученные с других компьютеров сети (рис. 16.20):
(рис 16.20) " Журналы и оповещения производительности "
Раздел " Журналы и оповещения производительности " в свою очередь состоит из трех частей:
Рассмотрим подробнее использование " Журналов счетчиков ".
Основное назначение этих журналов — накопление статистики загруженности системы, поиск "узких мест" в работе сервера и выработка рекомендаций по модернизации или замене системы (если возникает такая потребность).
Для создания нового журнала в меню " Действие " необходимо выбрать пункт " Новые параметры журнала ". Далее надо задать имя журнала (к введенному администратором имени система добавит последовательность цифр, отображающую номер журнала, при каждом новом запуске журнала его номер будет увеличиваться, рис. 16.21).
(рис 16.21) При создании самого первого журнала на томе с системой Windows создастся папка Perflogs, в которой и будут сохраняться все файлы с журналами. Далее нажатием кнопок " Добавить объекты " или " Добавить счетчики " можно добавить соответственно необходимые для мониторинга объекты (целиком со всем набором счетчиков) или отдельные счетчики. Для примера создадим журнал с именем Log-1, выберем счетчики " Память\Обмен страниц в сек ", " Процессор\% загруженности процессора " и " Физический диск\Средняя длина очереди диска " для сервера DC1, установим интервал опроса для сбора данных — 1 секунду (рис. 16.22). Нажмем кнопку " Применить ".
(рис 16.22) Теперь можно менять другие параметры журнала. На закладке " Файлы журнала " можно указать, где накапливать данные — в двоичном файле с расширением " .blg " (по умолчанию), в текстовом с разделителями в виде табуляции или запятой, в базе данных. На закладке " Расписание " задается время и дата запуска журнала. Назначим режим запуска журнала " Вручную " и нажмем кнопку " ОК ". Теперь запустим журнал для накопления данных (рис. 16.23). Саму консоль " Производительность " можно закрыть (и даже завершить сеанс работы в системе).
(рис 16.23) Для тестового примера запустим подряд несколько управляющих консолей и приложений, а также процесс копирования большого объема данных из одной папки в другую (все это в совокупности достаточно сильно нагрузит и процессор, и дисковую подсистему), причем сделаем это несколько раз в течение определенного интервала времени.
По окончании процесса накопления данных снова запустим консоль " Производительность " и удалим автоматически открытые счетчики. Для того чтобы открыть файл журнала для анализа накопленных данных, выполним следующие действия: нажмем кнопку " Просмотр данных журнала " (рис. 16.24) или комбинацию клавиш CTRL+L, выберем для источника данных вариант " Файлы журнала ", нажмем кнопку " Добавить ", укажем путь к файлу с накопленными данными, откроем этот файл, нажмем кнопку " Применить " (рис. 16.25).
(рис 16.24) 
(рис 16.25) Перейдем на закладку " Данные " и добавим нужные счетчики. Нажмем " ОК ". Если период накопления был достаточно долгий, то данных будет накоплено много и картинка получится не очень разборчивая (рис. 16.26).
(рис 16.26) Для сужения интервала времени, который подвергается анализу, откроем Свойства любого из счетчиков и перейдем на закладку " Источник ". В нижней части панели подвинем границы анализируемого интервала и установим нужный нам " Диапазон просмотра " (рис. 16.27).
(рис 16.27) После этого график приобретет вид (рис. 16.28):
(рис 16.28) Чтобы значения некоторых графиков не выходили за границы экрана просмотра, произведем масштабирование этих графиков. В итоге получится картинка, вполне пригодная для изучения и анализа (рис. 16.29):
(рис 16.29) Диапазон просмотра можно менять и переключаться на другие промежутки времени. Соответственно может потребоваться настроить масштаб отображения графиков.
Основное назначение этих журналов — обнаружение ситуации, когда какие-то показатели превышают или становятся меньше определенных критических значений, и выполнение каких-либо действий в качестве реакции на данное событие (регистрация события в системном журнале, отправка сообщения администратору, запуск соответствующей программы).
Для создания нового журнала в меню " Действие " необходимо выбрать пункт " Новые параметры оповещений ", после чего надо задать имя журнала. Для нашего примера сразу же определим счетчик, значения которого будет отслеживать данный журнал оповещений — " Процессор\%загруженности процессора ", пороговое значение — 5%, отношение — "Больше", и интервал опроса показаний системы — 1 секунда. Нажмем кнопку " Применить " (рис. 16.30):
(рис 16.30) Эти настройки означают, что журнал оповещений с именем " Alert-1 " будет реагировать на события, когда суммарная загруженность процессоров сервера превысит 5%.
На закладке " Действие " определим те действия, которые будет выполнять система в случае возникновения данного события:
В нашем примере включим первые 2 параметра (рис. 16.31):
(рис 16.31) На закладке " Расписание " задается расписание запуска данного журнала (установим ручной режим запуска и запустим данный журнал, при этом включим и запустим службу " Оповещатель ").
При превышении загрузки процессора порогового значения 5% на экране рабочего места пользователя с именем " Администратор " будут появляться сообщения, изображенные на рис. 16.32, а в журнале " Приложение " будут регистрироваться аналогичные записи (рис. 16.33).
(рис 16.32) 
(рис 16.33)
Определенный набор счетчиков являются очень наглядным индикатором загруженности системы. Регулярное превышение предельных значений этих счетчиков является показателем перегруженности тех или иных компонент системы. Перечислим эти счетчики в табл. 16.1.
| Счетчик | Предельно значение | Описание |
|---|---|---|
| Память - Страницы/сек | 20 | Данный счетчик показывает суммарное количество чтений и записи страниц файла подкачки в секунду. Если значение данного счетчика превышает значение 20, это говорит о том, что в системе идет слишком интенсивный обмен страниц файла подкачки, что, в свою очередь, сигнализирует о недостатке оперативной памяти. |
| Физический диск - Средняя длина очереди | Число жестких дисков (число шпинделей) + 2 | Данный счетчик показывает |
| Процессор - % Проц. времени | 85 | Постоянная загруженность процессора более чем на 85% как правило является показателем перегруженности сервера вычислительными задачами. Хотя иногда высокий показатель является требуемым значением для данного сервера. В некоторых случаях высокая загруженность процессора может возникать при сбоях в какой-либо подсистеме или приложении. Такие приложения и системные модули надо определять и корректировать ошибки (например, устанавливать исправления или даже удалять некорректные приложения). |
| Система - Длина очереди процессора | 2 | Данный счетчик отображает число потоков, ожидающих очереди на исполнение. Очередь потоков хранится в одной области для всех процессоров системы. Если длина очереди систематически превышает 2, процессоры нужно обновлять. Этот счетчик является более объективным показателем загруженности процессорной системы в многопроцессорных серверах, чем счетчик " Процессор - % Проц. времени ". |
В каждой системе могут быть и другие важные счетчики, значения которых показывают те или иные перегрузки или недостаток ресурсов (например, % свободного пространства на логических дисках). Для отдельных приложений имеются свои специфические счетчики (в частности, для MS SQL Server). Описание мониторинга данных счетчиков и их предельные значения приводятся в документации по соответствующим приложениям.
Мониторинг сетевой активности
Системы семейства Windows Server позволяют осуществлять мониторинг сетевой активности на низком уровне — на уровне сетевых фреймов, передаваемых и принимаемых сетевыми адаптерами компьютера. Для выполнения этой задачи служит компонента системы " Сетевой монитор " (
Все данные, пересылаемые по сети от одного сетевого адаптера другому, состоят из фреймов (кадров). Каждый фрейм содержит следующую информацию:
В обычном состоянии каждый сетевой адаптер принимает только те фреймы, которые адресованы данному адаптеру (или всем сетевым адаптерам при отправке широковещательных пакетов). Все остальные фреймы сетевыми адаптерами игнорируются. Все захватываемые в процессе работы " Сетевого монитора " фреймы сохраняются в буфере захвата (по умолчанию размер буфера 1 МБ, поэтому " Сетевой монитор " хранит только последний мегабайт захваченных фреймов). Захваченные фреймы после окончания процесса захвата и изучения можно сохранить в файле с расширением " .cap " для последующего более детального изучения.
Установка " Сетевого монитора "
" Сетевой монитор " устанавливается так же, как и другие компоненты системы: " Панель управления " — " Установка и удаление программ " — кнопка " Установка компонентов Windows " — " Средства управления и наблюдения " — кнопка " Состав " — " Средства сетевого монитора ". После установки " Сетевого монитора " в разделе " Администрирование " Главного меню системы появляется соответствующий ярлык.
Запуск " Сетевого монитора " и выбор сетевого интерфейса
При запуске " Сетевого монитора " администратору необходимо выбрать тот интерфейс, для которого будет производиться захват сетевых пакетов. " Сетевой монитор " может перехватывать фреймы для различных типов интерфейсов — сетевые адаптеры, модемы, VPN-соединения. После запуска " Сетевого монитора " администратор видит запрос, изображенный на рис. 16.34:
(рис 16.34) Выберем " Подключение по локальной сети " (рис. 16.35). Для выбранного подключения программа показывает краткую сводку: модель сетевого адаптера, MAC-адрес адаптера, скорость передачи данных, максимальный размер фрейма (в данном примере — 1500 байт).
(рис 16.35)
В начале работы можно указать размер буфера захвата для временного хранения перехваченных фреймов: пункт меню " Запись " — " Параметры буфера ".
Запуск захвата сетевых пакетов
Запуск захвата фреймов осуществляется через меню " (рис 16.47) Кнопка). В процессе работы " Сетевой монитор " показывает статистику сетевой активности данного компьютера (рис. 16.36).
(рис 16.36) Левая верхняя панель показывает процент загруженности сетевого сегмента, скорость передачи кадров и скорость передачи байтов.
Панель слева посередине окна показывает физические адреса адаптеров, с которыми происходит обмен данными.
Нижняя панель показывает детальную статистику обмена пакетами для всех сетевых адаптеров, с которых получены или на которые отправлены фреймы.
Панель справа вверху показывает общую статистику сети.
Останов захвата пакетов
Для останова процесса захвата фреймов нужно выбрать пункт меню " (рис 16.48) Кнопка) или " (рис 16.49) Кнопка).
Просмотр захваченных фреймов
Если вы сразу после останова записи фреймов не перешли в режим их просмотра, это можно сделать через меню " (рис 16.50) Кнопка). Первоначально при переходе в режим просмотра окно " Сетевого монитора " примет вид, изображенный на рис. 16.37 (в окне отображается полный список захваченных фреймов с краткой информацией о каждом из них):
(рис 16.37) Двойным щелчком мыши на любом из фреймов мы переходим в режим просмотра содержимого захваченных фреймов (рис. 16.38).
(рис 16.38) На данном рисунке:
(рис 16.39) 
(рис 16.40) 
(рис 16.41) 
(рис 16.42) 
(рис 16.43) 
(рис 16.44)
В окне просмотра данных, захваченных " Сетевым монитором " можно установить фильтры, ограничивающих множество просматриваемых пакетов. Фильтры просмотра используются для отбора кадров по следующим критериям:
Включить фильтр просмотра можно через меню " (рис 16.51) Кнопка). Панель редактирования фильтра изображена на рис. 16.45:
(рис 16.45) Нажатие кнопок логических операторов AND ( И ), OR ( ИЛИ ), NOT ( НЕ ) и значений выражений можно накладывать условия на тип протокола или адреса компьютеров. По умолчанию выбираются все протоколы (" Protocol == Any ") и все сетевые адреса с передачей пакетов в обоих направлениях (" ANY <-> ANY ").
Фильтрация захватываемых данных
Чтобы уменьшить количество захватываемых фреймов, можно установить фильтр захвата до начала процесса захвата фреймов (меню " Запись " — " Фильтр "). На рис. 16.46 изображена панель редактирования фильтра захвата (записи):
(рис 16.46)
Данный раздел посвящен вопросам мониторинга сетевых узлов и состоит из четырех частей:
Консоль " Просмотр событий " позволяет просматривать события, регистрируемые системой и относящиеся к функционированию различных системных компонент:
Задача сетевого администратора — регулярный просмотр системных журналов с целью своевременного обнаружения уже возникших или предупреждения потенциальных неисправностей или атак злоумышленников. Для более удобного просмотра событий можно создать отдельную консоль, в которой будут отображаться события группы серверов и, возможно, отдельных рабочих станций.
Аудит различных событий заключается в разработке и реализации в системе политик аудита. Набор категорий событий, подлежащих аудиту, необходимо формировать на основе требований безопасности компании/организации и потенциальных угроз системе безопасности.
После определения и настройки политик аудита задача администратора снова сводится к регулярному просмотру журналов событий (в первую очередь — журнала " Безопасность ").
Третья часть раздела посвящена описанию мониторинга производительности системы Windows. Рассмотрены два основных инструмента — " Диспетчер задач " и консоль " Производительность ". " Диспетчер задач " предназначен для наблюдения и оценки параметров производительности в реальном времени. Консоль " Производительность " позволяет как просматривать параметры производительности в реальном времени, так и накапливать статистику загруженности компонент системы в фоновом режиме с последующим детальным анализом, причем статистика может собираться с нескольких систем одновременно. Работа в режиме оповещений позволяет настроить отправку оповещений администратору в случае отклонения каких-либо параметров от допустимых значений.
Задача сетевого администратора — оценка функционирования системы с точки зрения производительности с целью обнаружения узких мест и принятия решения о перераспределении нагрузки между серверами или приобретении более мощных серверов.
В четвертой части рассказано о мониторинге сетевой активности не сточки зрения производительности и пропускной способности сети, а с точки зрения содержимого передаваемых по сети пакетов (фреймов). Изучение содержимого сетевых пакетов позволяет определить и ликвидировать некоторые сложные
Задача сетевого администратора при анализе сетевой активности — поиск сетевых проблем на основе данных, содержащихся в сетевых фреймах.
Задача сетевого администратора сводится к обеспечению работы сетевых систем. Статус системных ресурсов и их загруженность радикально меняются со временем, причем не всегда так, как хочется пользователям и сетевому администратору — останавливаются службы, файловая система испытывает недостаток свободного места, ошибки приложений приводят к системным проблемам, в сеть пытаются проникнуть неавторизованные пользователи. Мониторинг сетевых устройств — это постоянное наблюдение за деятельностью данных устройств, поиск проблем и неисправностей в их работе, принятие решений о ликвидации проблем и неисправностей, повышению эффективности функционирования устройств.
Данный раздел посвящен вопросам мониторинга состояния сетевых узлов на базе систем Windows Server. В разделе обсуждаются вопросы, связанные с просмотром системных событий, аудитом доступа к ресурсам, мониторингом производительности серверов, поиска узких мест в их работе и выработки решений о ликвидации этих узких мест, а также мониторинга сетевой активности.
Одно из самых часто используемых и наиболее важных средств мониторинга системы — это регистрация различных событий в журналах операционной системы Windows. Регистрацию событий в системе Windows осуществляет служба " Журнал событий " ( Event Log ). В любой системе семейства Windows всегда присутствуют 3 журнала:
%SystemRoot%\system32\config\SysEvent.Evt ";%SystemRoot%\system 32\соnfig\SecEvent.Evt ";%SystemRoot%\system32\config\AppEvent.Evt ".При установке в системе каких-либо компонент могут появиться журналы, регистрирующие события, относящиеся к работе данных компонент.
При установке службы DNS появляется журнал " DNS-сервер " ( DNS Server ), регистрирующий события, связанные с работой службы DNS (расположение по умолчанию — " %SystemRoot%\system32\config\DNSEvent.Evt ").
При создании контроллера домена в системе появляются журналы:
%SystemRoot%\system32\config\NTDS.Evt ";%SystemRoot%\system32\config\NtFrs.Evt ".Открыть системные журналы можно следующими способами:
(рис 16.1) В левой части консоли будет список имеющихся на данном компьютере журналов, в правой части — список событий для выбранного журнала.
В большинстве журналов события бывают трех видов:
В журнале " Безопасность " — 2 типа событий:
В столбцах журнала, кроме типа события, содержатся следующие данные:
Если открыть какое-либо событие, то можно получить более детальную информацию о нем (рис. 16.2):
(рис 16.2)
Размер и способ ведения журналов событий можно настраивать. Для настройки параметров надо щелкнуть правой кнопкой на нужном журнале событий и выбрать в контекстном меню команду Свойства. Откроется диалоговое окно, показанное на рис. 16.3.
(рис 16.3) По умолчанию размер большинства журналов системы Windows 2003 — 16 МБ (для журнала безопасности — 128 МБ, в предыдущих версиях системы стандартный размер журнала — 512 КБ). При заполнении журнала старые события будут стираться. Администратор может изменить как размер журнала, так и способ управления записями при достижении максимального размера журнала (например, автоматически затирать события старше какого-то определенного количества дней или вообще не затирать старые события, в этом случае новые события в журнале регистрироваться не будут).
Содержимое журналов можно очищать вручную — щелкнуть правой кнопкой мыши на журнале, выбрать в меню команду " Стереть все события ". Система предложит сохранить стираемые события в отдельном файле, нужно выбрать требуемый вариант, и журнал будет очищен. При этом сохранять стираемые записи можно в трех разных вариантах: двоичном (с расширением файла " .evt ", такой файл можно будет просматривать только программой " Просмотр событий "), или текстовых (с расширением файла " .txt " —со знаком табуляции в качестве разделителя столбцов, а также с расширением файла " .csv " — с запятой в качестве разделителя). Сохранять содержимое журналов можно и без стирания старых записей. Открыть сохраненные записи можно через меню " Действие " консоли " Просмотр событий ", выбрав пункт " Открыть файл журнала
".
В каждом из журналов накапливается большое количество событий, в которых трудно иногда найти нужные события. Заметим вначале, что щелчок мышью на заголовке любого столбца в консоли (оснастке) " Просмотр событий " позволяет отсортировать события по убыванию или возрастанию значений данного столбца. Для более точного отбора искомых событий служат средства фильтрации в " Просмотре событий ". Если открыть свойства какого-либо журнала, то в открывшейся панели, кроме закладки " Общие ", имеется также закладка " Фильтр ", позволяющая установить правила для отбора событий. Посмотрим внимательно на данную закладку (рис. 16.4):
(рис 16.4) Можно установить правила отбора:
На рис. 16.5 изображен фильтр, отбирающий события с кодом 6005 с 00 ч 00 мин 20.02.2007 до 12 ч 00 мин 01.03.2007. Результат применения фильтра — на рис. 16.6 (с помощью данного фильтра были отобраны события, регистрирующие процесс запуска системной службы " Журнал событий ).
(рис 16.5) (рис 16.6) Вернуться к полному просмотру всех событий можно, выбрав в меню " Вид " команду " Все записи " (рис. 16.7):
(рис 16.7)
Настройка политик аудита — важный фактор обеспечения безопасности и целостности системы. Каждая компьютерная система в сети должна быть настроена для протоколирования определенных событий, относящихся к системе безопасности. Политики аудита определяют, какие именно события в области безопасности системы должны регистрироваться в журнале " Безопасность ".
Процесс аудита безопасности настраивается с помощью групповых политик (напомним, что групповые политики можно определять для сайта, домена или организационного подразделения, а также для отдельной рабочей станции или сервера). Параметры аудита безопасности находятся в разделе " Параметры безопасности — Локальные политики — Политики аудита " любого
На рис. 16.8 изображены стандартные политики аудита для организационного подразделения " Контроллеры домена ".
(рис 16.8) Рассмотрим параметры этого раздела:
Рассмотрим подробнее аудит доступа к объектам. Необходимость регистрации событий доступа к объектам возникает, когда есть подозрения, что кто-то из пользователей пытается получить несанкционированный доступ к информации, к которой он не должен иметь доступа.
По умолчанию на обычном сервере или рабочей станции политики аудита доступа к объектам отключены. Включим данные политики (на уровне сайта, домена или нужного нам ОП) — откроем данный параметр в редакторе политик и установим регистрацию как успешных, так и неуспешных попыток доступа к объектам (рис. 16.9).
(рис 16.9) После применения политик настроим аудит доступа для нужных объектов (например, для папки Folder1 на сервере DC1 ) — откроем Свойства данной папки (папка должна быть размещена на разделе с файловой системой NTFS), перейдем на закладку " Безопасность ", нажмем кнопку " Дополнительно " и перейдем на закладку " Аудит ". Добавим в список пользователей, для которых будут отслеживаться попытки доступа к папке Folder1, группу " Пользователи домена " и установим, какие именно попытки будут регистрироваться в журнале " Безопасность " (например, попытки удаления папок и файлов, успешные и неуспешные, рис. 16.10).
(рис 16.10) Теперь для проверки работы механизма аудита удалим какой-нибудь файл в этой папке, а затем просмотрим соответствующие события, появившиеся в журнале " Безопасность ". Пример события, зарегистрировавшего в журнале безопасности удаление файла " Документ.doc ", показан на рис. 16.11 и 16.12:
(рис 16.11) (рис 16.12) На рис. 16.11 видно, что пользователь Администратор получил успешный доступ к файлу " H:\Folder1\Документ.doc " на компьютере DC1, а на рис. 16.12 показан вид доступа — DELETE ( Удаление ).
Не рекомендуем злоупотреблять применением политик аудита доступа к объектам и регистрацией доступа к большому числу объектов, т.к. системой генерируется очень большое число записей, отыскать среди которых нужные будет весьма непросто. К тому же надо будет постоянно заботиться о сохранении старых записей и очистке журнала. Наиболее рациональный способ применения аудита доступа к объектам — настройка данного аудита в те моменты, когда есть обоснованные опасения о наличии в сети попыток несанкционированного доступа.
Мы рассмотрим два основных инструмента мониторинга производительности систем Windows Server — программу " Диспетчер задач ", которая предназначена для мониторинга работы приложений и служб сервера в реальном времени, и консоль " Производительность ", которая может осуществлять мониторинг производительности как в реальном времени, так и путем накопления статистики о работе системы за определенный период времени, причем консоль " Производительность " может показывать и собирать данные одновременно с нескольких систем.
Чтобы открыть " Диспетчер задач ", основной инструмент мониторинга и управления системными процессами и приложениями, нужно выполнить одно из перечисленных действий:
taskmgr и нажать кнопку " ОК ";Настройка общих параметров " Диспетчера задач "
Прежде чем изучать работу данной программы по управлению приложениями и процессами, сделаем некоторые настройки, позволяющие повысить удобство использования программы:
На закладке " Приложения " показан статус программ, работающих в данный момент в системе (рис. 16.13):
(рис 16.13) Кнопки в нижней части вкладки предназначены для выполнения следующих действий:
Замечание. В столбце " Состояние " для каждого приложения указано, нормально ли выполняется данное приложение. Статус " Не отвечает " свидетельствует о том, что приложение, возможно, "зависло" и надо завершить связанные с ним процессы. Однако некоторые приложения не отвечают на запросы системы в ходе выполнения интенсивных расчетов. Поэтому, прежде чем закрыть приложение, убедитесь, что оно действительно "зависло".
Контекстное меню списка приложений
При щелчке правой кнопкой мыши на строке приложения или группы приложений в списке отображается контекстное меню, позволяющее:
Замечание. Команда " Перейти к процессу " полезна, когда необходимо найти основной процесс для приложения, запустившего несколько процессов.
Подробная информация о выполняемых процессах отображается на закладке " Процессы " (рис. 16.14):
(рис 16.14) По умолчанию в этом окне перечислены только процессы, запущенные ОС, локальными службами, сетевыми службами и интерактивным пользователем, т. е. пользователем, локально зарегистрировавшимся на компьютере. Чтобы увидеть процессы, запущенные удаленными пользователями, например подключившимися с помощью удаленного рабочего стола, надо установить галочку у поля " Отображать процессы всех пользователей ".
В столбцах на закладке " Процессы " содержится информация о выполняемых процессах. Она позволяет выявить те из них, которые поглощают системные ресурсы, например, процессорное время или память. По умолчанию отображаются следующие столбцы:
При выборе в меню " Вид " команды " Выбрать столбцы ", откроется диалоговое окно, из которого на закладку " Процессы " можно добавить другие столбцы (рис. 16.15):
(рис 16.15) Некоторые из них могут оказаться очень полезными при поисках причин системной проблемы.
Замечание. В списке процессов присутствует процесс " Бездействие системы ". Он отслеживает объем неиспользуемых ресурсов. Так, число 99 в столбце ЦП (CPU) означает, что 99% системных ресурсов в настоящий момент не используется. Приоритет этого процесса задать нельзя.
Просматривая информацию о процессах, надо помнить, что одно приложение может породить несколько процессов. Обычно все они зависят от родительского процесса и формируют расходящееся от него дерево процессов. Чтобы найти главный (родительский) процесс для данного приложения, на закладке "Приложения" щелкните приложение правой кнопкой мыши и выберите команду " Перейти к процессу ". Чтобы корректно завершить работу приложения с помощью " Диспетчера задач ", останавливайте либо само приложение, либо его главный процесс. Не останавливайте по отдельности зависимые процессы.
Остановить главный процесс приложения и порожденные им вторичные процессы можно несколькими способами:
На закладке " Быстродействие " в виде графиков и статистических данных отображается степень использования процессора и памяти (рис. 16.16).
(рис 16.16) Эта информация позволяет быстро оценить нагрузку на системные ресурсы. Чтобы получить более подробные сведения, необходимо использовать консоль " Производительность ".
На графиках закладки " Быстродействие " отображена следующая информация:
Замечание. Если нагрузка на процессор остается неизменно высокой даже в обычных условиях, для выяснения причин этого стоит заняться более детальным исследованием работы системы. Зачастую причина снижения производительности скрыта в памяти. Проверьте эту возможность, прежде чем принимать решение об обновлении процессора или о добавлении дополнительных процессоров.
Отображение графиков можно настроить или обновить с помощью команды меню Вид.
Под графиками приведены статистические данные:
На закладке " Сеть " приводятся сведения о сетевых адаптерах, используемых системой, — процент загрузки, скорость соединения и статус. Если в системе установлен единственный сетевой адаптер, на сводной диаграмме (рис. 16.17) показана информация об изменении со временем трафика через этот адаптер:
(рис 16.17) Если сетевых адаптеров в системе несколько, на диаграмме отображается сводный показатель использования всех сетевых подключений. По умолчанию это суммарное количество байт, переданных по сети.
В полях закладки " Сеть " содержится множество сведений о входящем и исходящем сетевом трафике сервера. С их помощью можно, например, установить объем поступающих на сервер данных. По умолчанию отображаются следующие поля:
Замечание. Если загрузка адаптера часто достигает 50% или больше, внимательнее следите за сетевой активностью сервера и подумайте о приобретении дополнительных сетевых адаптеров.
Для исследования работы сети могут понадобиться дополнительные столбцы на закладке " Сеть ". Можно выбрать в меню " Вид " пункт " Выбрать столбцы " и установить отображение следующих столбцов:
Удаленные пользователи подключаются к системе через службы терминалов, или удаленные рабочие столы. Подключения с помощью удаленного рабочего стола активизируются автоматически при установке Windows Server 2003. " Диспетчер задач " предоставляет один из способов управления такими подключениями. Перейдите на закладку " Пользователи ", где перечислены пользовательские сеансы как для локальных, так и для удаленных пользователей (рис. 16.18):
(рис 16.18) Для каждого подключения указаны: имя пользователя, код сеанса, состояние, клиентский компьютер и тип сеанса. Пользователю, зарегистрировавшемуся локально, соответствует тип сеанса " Консоль " ( Console ). Для других пользователей в этом столбце указан протокол подключения, например,
Консоль " Производительность " (находящая в разделе " Администрирование " Главного меню системы Windows) позволяет более детально исследовать функционирование системы по сравнению с " Диспетчером задач ". И, кроме того, данная консоль позволяет накапливать статистику о работе системы в фоновом режиме, без непосредственного наблюдения администратором системы, а также собирать данные о производительности с нескольких компьютеров одновременно. Данная консоль содержит два раздела — "Системный монитор" и "Журналы и оповещения производительности". "Системный монитор" предназначен для наблюдения за системой (или системами в режиме реального времени), "Журналы и оповещения производительности" используются для накопления статистики в фоновом режиме и последующего изучения накопленных данных.
Работа консоли "Производительность" основана на понятиях "Объект" и "Счетчик". Понятие " Объект" относится к той или иной компоненте системы или к определенному приложению и состоит из набора "Счетчиков", числовых показателей, измеряющих степень загруженности данной компоненты. Набор доступных объектов и счетчиков обновляется при установке служб и дополнительных компонент. Например, после установки на сервере службы DNS консоль "Производительность" пополняется рядом объектов и счетчиков для отслеживания работы этой службы.
" Системный монитор "
Если открыть консоль "Производительность", то мы сразу попадем в раздел "Системного монитора". При этом на экране отображаются 3 самых важных с точки зрения операционной системы счетчика: "Обмен страниц в сек " (объекта " Память"), " Средняя длина очереди диска " (объекта " Физический диск ") и " % загруженности процессора " (объекта " Процессор "); обновление данных на экране производится раз в секунду (Рис. 16.19).
(рис 16.19) Для выбранного мышью активного процесса регистрируются показатели:
Если открыть Свойства счетчика, то можно изменить способ отображения данного счетчика на экране: цвет, толщину и стиль линии и масштаб (от 1:10000000 до 10000000:1), также изменить частоту сбора показаний.
Нажатием комбинации клавиш CTRL+H можно выделить активный счетчик белым цветом (так лучше видно активный счетчик среди большого количества счетчиков).
Нажатием кнопки со знаком "+" на панели инструментов можно добавить другие счетчики, в том числе полученные с других компьютеров сети (рис. 16.20):
(рис 16.20) " Журналы и оповещения производительности "
Раздел " Журналы и оповещения производительности " в свою очередь состоит из трех частей:
Рассмотрим подробнее использование " Журналов счетчиков ".
Основное назначение этих журналов — накопление статистики загруженности системы, поиск "узких мест" в работе сервера и выработка рекомендаций по модернизации или замене системы (если возникает такая потребность).
Для создания нового журнала в меню " Действие " необходимо выбрать пункт " Новые параметры журнала ". Далее надо задать имя журнала (к введенному администратором имени система добавит последовательность цифр, отображающую номер журнала, при каждом новом запуске журнала его номер будет увеличиваться, рис. 16.21).
(рис 16.21) При создании самого первого журнала на томе с системой Windows создастся папка Perflogs, в которой и будут сохраняться все файлы с журналами. Далее нажатием кнопок " Добавить объекты " или " Добавить счетчики " можно добавить соответственно необходимые для мониторинга объекты (целиком со всем набором счетчиков) или отдельные счетчики. Для примера создадим журнал с именем Log-1, выберем счетчики " Память\Обмен страниц в сек ", " Процессор\% загруженности процессора " и " Физический диск\Средняя длина очереди диска " для сервера DC1, установим интервал опроса для сбора данных — 1 секунду (рис. 16.22). Нажмем кнопку " Применить ".
(рис 16.22) Теперь можно менять другие параметры журнала. На закладке " Файлы журнала " можно указать, где накапливать данные — в двоичном файле с расширением " .blg " (по умолчанию), в текстовом с разделителями в виде табуляции или запятой, в базе данных. На закладке " Расписание " задается время и дата запуска журнала. Назначим режим запуска журнала " Вручную " и нажмем кнопку " ОК ". Теперь запустим журнал для накопления данных (рис. 16.23). Саму консоль " Производительность " можно закрыть (и даже завершить сеанс работы в системе).
(рис 16.23) Для тестового примера запустим подряд несколько управляющих консолей и приложений, а также процесс копирования большого объема данных из одной папки в другую (все это в совокупности достаточно сильно нагрузит и процессор, и дисковую подсистему), причем сделаем это несколько раз в течение определенного интервала времени.
По окончании процесса накопления данных снова запустим консоль " Производительность " и удалим автоматически открытые счетчики. Для того чтобы открыть файл журнала для анализа накопленных данных, выполним следующие действия: нажмем кнопку " Просмотр данных журнала " (рис. 16.24) или комбинацию клавиш CTRL+L, выберем для источника данных вариант " Файлы журнала ", нажмем кнопку " Добавить ", укажем путь к файлу с накопленными данными, откроем этот файл, нажмем кнопку " Применить " (рис. 16.25).
(рис 16.24) (рис 16.25) Перейдем на закладку " Данные " и добавим нужные счетчики. Нажмем " ОК ". Если период накопления был достаточно долгий, то данных будет накоплено много и картинка получится не очень разборчивая (рис. 16.26).
(рис 16.26) Для сужения интервала времени, который подвергается анализу, откроем Свойства любого из счетчиков и перейдем на закладку " Источник ". В нижней части панели подвинем границы анализируемого интервала и установим нужный нам " Диапазон просмотра " (рис. 16.27).
(рис 16.27) После этого график приобретет вид (рис. 16.28):
(рис 16.28) Чтобы значения некоторых графиков не выходили за границы экрана просмотра, произведем масштабирование этих графиков. В итоге получится картинка, вполне пригодная для изучения и анализа (рис. 16.29):
(рис 16.29) Диапазон просмотра можно менять и переключаться на другие промежутки времени. Соответственно может потребоваться настроить масштаб отображения графиков.
Основное назначение этих журналов — обнаружение ситуации, когда какие-то показатели превышают или становятся меньше определенных критических значений, и выполнение каких-либо действий в качестве реакции на данное событие (регистрация события в системном журнале, отправка сообщения администратору, запуск соответствующей программы).
Для создания нового журнала в меню " Действие " необходимо выбрать пункт " Новые параметры оповещений ", после чего надо задать имя журнала. Для нашего примера сразу же определим счетчик, значения которого будет отслеживать данный журнал оповещений — " Процессор\%загруженности процессора ", пороговое значение — 5%, отношение — "Больше", и интервал опроса показаний системы — 1 секунда. Нажмем кнопку " Применить " (рис. 16.30):
(рис 16.30) Эти настройки означают, что журнал оповещений с именем " Alert-1 " будет реагировать на события, когда суммарная загруженность процессоров сервера превысит 5%.
На закладке " Действие " определим те действия, которые будет выполнять система в случае возникновения данного события:
В нашем примере включим первые 2 параметра (рис. 16.31):
(рис 16.31) На закладке " Расписание " задается расписание запуска данного журнала (установим ручной режим запуска и запустим данный журнал, при этом включим и запустим службу " Оповещатель ").
При превышении загрузки процессора порогового значения 5% на экране рабочего места пользователя с именем " Администратор " будут появляться сообщения, изображенные на рис. 16.32, а в журнале " Приложение " будут регистрироваться аналогичные записи (рис. 16.33).
(рис 16.32) (рис 16.33)
Определенный набор счетчиков являются очень наглядным индикатором загруженности системы. Регулярное превышение предельных значений этих счетчиков является показателем перегруженности тех или иных компонент системы. Перечислим эти счетчики в табл. 16.1.
| Счетчик | Предельно значение | Описание |
|---|---|---|
| Память - Страницы/сек | 20 | Данный счетчик показывает суммарное количество чтений и записи страниц файла подкачки в секунду. Если значение данного счетчика превышает значение 20, это говорит о том, что в системе идет слишком интенсивный обмен страниц файла подкачки, что, в свою очередь, сигнализирует о недостатке оперативной памяти. |
| Физический диск - Средняя длина очереди | Число жестких дисков (число шпинделей) + 2 | Данный счетчик показывает |
| Процессор - % Проц. времени | 85 | Постоянная загруженность процессора более чем на 85% как правило является показателем перегруженности сервера вычислительными задачами. Хотя иногда высокий показатель является требуемым значением для данного сервера. В некоторых случаях высокая загруженность процессора может возникать при сбоях в какой-либо подсистеме или приложении. Такие приложения и системные модули надо определять и корректировать ошибки (например, устанавливать исправления или даже удалять некорректные приложения). |
| Система - Длина очереди процессора | 2 | Данный счетчик отображает число потоков, ожидающих очереди на исполнение. Очередь потоков хранится в одной области для всех процессоров системы. Если длина очереди систематически превышает 2, процессоры нужно обновлять. Этот счетчик является более объективным показателем загруженности процессорной системы в многопроцессорных серверах, чем счетчик " Процессор - % Проц. времени ". |
В каждой системе могут быть и другие важные счетчики, значения которых показывают те или иные перегрузки или недостаток ресурсов (например, % свободного пространства на логических дисках). Для отдельных приложений имеются свои специфические счетчики (в частности, для MS SQL Server). Описание мониторинга данных счетчиков и их предельные значения приводятся в документации по соответствующим приложениям.
Мониторинг сетевой активности
Системы семейства Windows Server позволяют осуществлять мониторинг сетевой активности на низком уровне — на уровне сетевых фреймов, передаваемых и принимаемых сетевыми адаптерами компьютера. Для выполнения этой задачи служит компонента системы " Сетевой монитор " (
Все данные, пересылаемые по сети от одного сетевого адаптера другому, состоят из фреймов (кадров). Каждый фрейм содержит следующую информацию:
В обычном состоянии каждый сетевой адаптер принимает только те фреймы, которые адресованы данному адаптеру (или всем сетевым адаптерам при отправке широковещательных пакетов). Все остальные фреймы сетевыми адаптерами игнорируются. Все захватываемые в процессе работы " Сетевого монитора " фреймы сохраняются в буфере захвата (по умолчанию размер буфера 1 МБ, поэтому " Сетевой монитор " хранит только последний мегабайт захваченных фреймов). Захваченные фреймы после окончания процесса захвата и изучения можно сохранить в файле с расширением " .cap " для последующего более детального изучения.
Установка " Сетевого монитора "
" Сетевой монитор " устанавливается так же, как и другие компоненты системы: " Панель управления " — " Установка и удаление программ " — кнопка " Установка компонентов Windows " — " Средства управления и наблюдения " — кнопка " Состав " — " Средства сетевого монитора ". После установки " Сетевого монитора " в разделе " Администрирование " Главного меню системы появляется соответствующий ярлык.
Запуск " Сетевого монитора " и выбор сетевого интерфейса
При запуске " Сетевого монитора " администратору необходимо выбрать тот интерфейс, для которого будет производиться захват сетевых пакетов. " Сетевой монитор " может перехватывать фреймы для различных типов интерфейсов — сетевые адаптеры, модемы, VPN-соединения. После запуска " Сетевого монитора " администратор видит запрос, изображенный на рис. 16.34:
(рис 16.34) Выберем " Подключение по локальной сети " (рис. 16.35). Для выбранного подключения программа показывает краткую сводку: модель сетевого адаптера, MAC-адрес адаптера, скорость передачи данных, максимальный размер фрейма (в данном примере — 1500 байт).
(рис 16.35)
В начале работы можно указать размер буфера захвата для временного хранения перехваченных фреймов: пункт меню " Запись " — " Параметры буфера ".
Запуск захвата сетевых пакетов
Запуск захвата фреймов осуществляется через меню " (рис 16.47) Кнопка). В процессе работы " Сетевой монитор " показывает статистику сетевой активности данного компьютера (рис. 16.36).
(рис 16.36) Левая верхняя панель показывает процент загруженности сетевого сегмента, скорость передачи кадров и скорость передачи байтов.
Панель слева посередине окна показывает физические адреса адаптеров, с которыми происходит обмен данными.
Нижняя панель показывает детальную статистику обмена пакетами для всех сетевых адаптеров, с которых получены или на которые отправлены фреймы.
Панель справа вверху показывает общую статистику сети.
Останов захвата пакетов
Для останова процесса захвата фреймов нужно выбрать пункт меню " (рис 16.48) Кнопка) или " (рис 16.49) Кнопка).
Просмотр захваченных фреймов
Если вы сразу после останова записи фреймов не перешли в режим их просмотра, это можно сделать через меню " (рис 16.50) Кнопка). Первоначально при переходе в режим просмотра окно " Сетевого монитора " примет вид, изображенный на рис. 16.37 (в окне отображается полный список захваченных фреймов с краткой информацией о каждом из них):
(рис 16.37) Двойным щелчком мыши на любом из фреймов мы переходим в режим просмотра содержимого захваченных фреймов (рис. 16.38).
(рис 16.38) На данном рисунке:
(рис 16.39) (рис 16.40) (рис 16.41) (рис 16.42) (рис 16.43) (рис 16.44)
В окне просмотра данных, захваченных " Сетевым монитором " можно установить фильтры, ограничивающих множество просматриваемых пакетов. Фильтры просмотра используются для отбора кадров по следующим критериям:
Включить фильтр просмотра можно через меню " (рис 16.51) Кнопка). Панель редактирования фильтра изображена на рис. 16.45:
(рис 16.45) Нажатие кнопок логических операторов AND ( И ), OR ( ИЛИ ), NOT ( НЕ ) и значений выражений можно накладывать условия на тип протокола или адреса компьютеров. По умолчанию выбираются все протоколы (" Protocol == Any ") и все сетевые адреса с передачей пакетов в обоих направлениях (" ANY <-> ANY ").
Фильтрация захватываемых данных
Чтобы уменьшить количество захватываемых фреймов, можно установить фильтр захвата до начала процесса захвата фреймов (меню " Запись " — " Фильтр "). На рис. 16.46 изображена панель редактирования фильтра захвата (записи):
(рис 16.46)
Данный раздел посвящен вопросам мониторинга сетевых узлов и состоит из четырех частей:
Консоль " Просмотр событий " позволяет просматривать события, регистрируемые системой и относящиеся к функционированию различных системных компонент:
Задача сетевого администратора — регулярный просмотр системных журналов с целью своевременного обнаружения уже возникших или предупреждения потенциальных неисправностей или атак злоумышленников. Для более удобного просмотра событий можно создать отдельную консоль, в которой будут отображаться события группы серверов и, возможно, отдельных рабочих станций.
Аудит различных событий заключается в разработке и реализации в системе политик аудита. Набор категорий событий, подлежащих аудиту, необходимо формировать на основе требований безопасности компании/организации и потенциальных угроз системе безопасности.
После определения и настройки политик аудита задача администратора снова сводится к регулярному просмотру журналов событий (в первую очередь — журнала " Безопасность ").
Третья часть раздела посвящена описанию мониторинга производительности системы Windows. Рассмотрены два основных инструмента — " Диспетчер задач " и консоль " Производительность ". " Диспетчер задач " предназначен для наблюдения и оценки параметров производительности в реальном времени. Консоль " Производительность " позволяет как просматривать параметры производительности в реальном времени, так и накапливать статистику загруженности компонент системы в фоновом режиме с последующим детальным анализом, причем статистика может собираться с нескольких систем одновременно. Работа в режиме оповещений позволяет настроить отправку оповещений администратору в случае отклонения каких-либо параметров от допустимых значений.
Задача сетевого администратора — оценка функционирования системы с точки зрения производительности с целью обнаружения узких мест и принятия решения о перераспределении нагрузки между серверами или приобретении более мощных серверов.
В четвертой части рассказано о мониторинге сетевой активности не сточки зрения производительности и пропускной способности сети, а с точки зрения содержимого передаваемых по сети пакетов (фреймов). Изучение содержимого сетевых пакетов позволяет определить и ликвидировать некоторые сложные
Задача сетевого администратора при анализе сетевой активности — поиск сетевых проблем на основе данных, содержащихся в сетевых фреймах.
Для получения официальных документов о завершении программы дополнительного профессионального образования (удостоверения о повышении квалификации, дипломов о профессиональной переподготовке и MBA) необходимо предоставить:
Внимание! Вы можете не заказывать доставку бумажной версии официального документы, а скачать его в электронном виде и распечатать самостоятельно. Информация о выданном документе в течение 1 месяца загружается в Федеральную информационную систему «Федеральный реестр сведений о документах об образовании и (или) о квалификации, документах об обучении» - ФИС ФРДО.
Доступ на новый сайт осуществляется с использованием адреса электронной почты, который был указан вами при регистрации на "старом". Мы постарались перенести все ваши данные с прежнего ресурса, однако не исключена вероятность потери части информации.
При возникновении проблемы со входом, воспользуйтесь функцией сброса пароля
Если вы обнаружите несоответствия, пожалуйста, сообщите нам.