Эти приложения дистанционного управления наилучшим образом проявляют себя при перехвате функций управления какой-то одной станции. Они позволяют администратору взаимодействовать с пользователем в интерактивном режиме, что помогает решать нетривиальные задачи, создавать уникальные конфигурационные настройки, а также выручают там, где не может помочь исполнение сценария.

Основная цель – выполнение каждой административной задачи на нескольких компьютерах одновременно, с помощью утилит командной строки. Для этого используется инструментарий дистанционного управления Microsoft Windows NT Server 4.0 Resource Kit Supplement 4. Для тех, кто имеет аналогичные цели, хочу привести перечень инструментальных средств, на мой взгляд, наиболее полезных для решения ежедневных задач управления.

Утилита командной строки Addusers (addusers.exe) добавляет списки пользователей, глобальные и локальные группы в NT Server 4.0 SAM. Эта программа работает с SAM контроллера домена, с обычным сервером или рабочей станцией. Утилита Addusers формирует файл (т. е. создает список пользователей или групп для импорта) в некотором входном формате. Команда

добавляет пользователей и группы пользователей в myPDC из файла userlist.txt. Утилита Addusers, выполняемая с параметром /c, формирует новые списки, в соответствии с описанием пользователей во входном файле. Параметр /d позволяет создавать дамп списка пользователей SAM в виде файла на диске. Конечный файл имеет необходимый для импорта формат.

Утилита Addusers заполняет тестируемый домен многочисленными списками или создает дамп содержания SAM для дублирования. При использовании параметра для формирования дампа учетной записи, утилита Addusers не сохраняет SID учетной записи домена. Параметр /d просто формирует дамп имени пользователя и связанных с ним учетных характеристик в текстовом виде.

Утилита Auditpol (auditpol.exe) позволяет назначать политику аудита для домена или локального SAM на локальной или удаленной машине. (Можно также установить политику аудита из User Manager/Policies /Audit.) Если в команде Auditpol задается имя PDC домена, политика аудита распространяется на целый домен. Для каждой категории аудита указывается только один параметр; эти категории те же, что и в User Manager/Policies/Audit. Например, при установке аудита регистрации можно установить проверку для удачных или неудачных попыток регистрации в системе либо для тех и других сразу.

Команда

изменяет политику аудита сервера с именем servera. Если servera – это PDC, то изменение должно повлиять на политику аудита целого домена. Параметр /enable включает аудит. Параметр /logon:failure контролирует только неудачные попытки регистрации в системе. Параметр /sam:failure контролирует неудачные попытки изменения SAM. Если администратор не смог удалить список пользователей из-за недостатка прав, то параметр политики аудита /sam:failure приведет к записи сообщения в журнал безопасности.

Графическая утилита Browmon (browmon.exe) позволяет контролировать состояние компьютеров-браузеров локальной подсети для каждого сетевого транспорта. С ее помощью можно идентифицировать главный и резервный браузеры локальной подсети, просмотреть содержащиеся в них списки компьютеров и определить причину неисправности. Так, Browmon поможет найти источник проблемы, если при просмотре сети некоторые машины не появляются в Network Neighborhood. Утилита Browmon идентифицирует главный и резервный браузеры подсети. Просмотрев списки главного и резервного браузеров, круг поисков можно сузить – надо просто посмотреть, в каком из списков пропущен один или более компьютеров. Утилита Browmon сообщает о состоянии браузера только в той подсети, где она выполняется, и не выдает информацию об удаленных подсетях, если только компьютер, на котором выполняется команда Browmon, физически не соединен с этими подсетями.

Утилиты Browstat (browstat.exe) и Browmon имеют похожие функции, но утилита Browstat обеспечивает еще и статистику параметров браузера. Каждый компьютер в сети с установленным протоколом NetBIOS имеет параметры-флажки, определяющие его роль (например, сервер, рабочая станция, сервер синхронизации времени). При использовании команды Time Service из Resource Kit утилита Browstat сообщит, какие серверы объявляют себя главными. Команда

отображает список компьютеров, использующих транспортный протокол NetBT_ELNK3 и параметры NetBIOS этих машин (ELNK3 – имя адаптера). Утилита Browstat поставляется вместе с другими командами, связанными с работой браузера. Эти команды позволяют назначить браузер удаленной подсети (использование параметра elect) или останавливать функционирование главного браузера (параметр tickle). Такие возможности могут пригодиться при применении утилиты Browmon для поиска неисправностей. Утилита Browstat часто требует указать имя транспортного протокола, поскольку браузер поддерживает отдельные списки для каждого транспорта (т. е. TCP/IP, NWLink, NetBEUI). Для получения такого имени следует использовать команду Browstat Status.

Утилита Compreg (compreg.exe) позволяет сравнивать содержимое ключей реестра локальной и удаленной машин. Например, чтобы удостовериться, что две машины имеют одинаковые заданные по умолчанию параметры настройки рабочего стола, следует набрать:

В примере сравнивается содержимое раздела defaultcontrol paneldesktop ветви HKEY_USERS реестра локальной машины us с тем же ключом удаленной машины remotews. Аналогично, с помощью данной команды можно выполнить сравнение реестров двух удаленных машин, вставляя путь в формате Uniform Naming Convention (UNC) перед названием раздела реестра (например, \ws2us.defaultcontrol paneldesktop).

Утилита Delprof (delprof.exe) позволяет удалять кэшированные профили пользователей на локальном или удаленном компьютерах. Утилита Delprof просматривает профили в разделе реестра HKEY_LOCAL_ MACHINESOFTWAREMicrosoft WindowsNTCurrentVersion ProfileList. По умолчанию, утилита Delprof предлагает удалить все неактивные профили (т. е. профили, которые не использовались в течение определенного времени). Параметр /p применяется для выполнения утилиты Delprof с подтверждением удаления для каждого профиля. Чтобы установить срок, по истечении которого утилита Delprof полагает, что неиспользованный профиль неактивен, нужно задействовать параметр /d. В примере

команда Delprof удаляет все профили на сервере, которые не использовались в течение 10 дней. Параметр /p предписывает команде Delprof запрашивать подтверждение для удаления каждого профиля. Когда все системные профили активны, команда Delprof никакой информации не выдает.

Иногда обнаруживается профиль, пропущенный утилитой Delprof, который не удается удалить ни вручную, ни специальными инструментальными средствами. Ошибка в NT 4.0 позволяет профилю (особенно это характерно для файла ntuser.dat) оставаться заблокированным, даже если пользователь завершает сеанс. Если невозможно определить, какой процесс блокирует файл, лучше всего перезагрузить компьютер. Например, звуковое устройство на некоторых рабочих станциях Compaq способно блокировать файл ntuser.dat. В большинстве случаев можно освободить файл и удалить профиль, если остановить звуковое устройство с помощью Control Panel.

Утилита Dhcpcmd (dhcpcmd.exe) позволяет просматривать и обслуживать серверы DHCP, формировать список занятых адресов из пула адресов, создавать новые пулы адресов, добавлять адреса или изменять пулы адресов и глобальные параметры, а также модифицировать параметры сервера. Команда

создает подробный листинг арендованных адресов из указанного пула. Параметр enumclients предписывает утилите Dhcpcmd перечислить все арендованные адреса из определенного пула. В примере 192.168.1.1 – IP-адрес DHCP-сервера, 192.168.20.0 – пул адресов подсети, в котором команда составляет список арендуемых адресов. Параметр -v задает более подробный вывод информации.

Утилита Dhcploc (dhcploc.exe) помогает обнаруживать неавторизованные DHCP-серверы. В команде указывается список IP-адресов серверов DHCP, затем утилита Dhcploc опрашивает серверы и возвращает список ответов. Команда

выполняется с компьютера, имеющего IP-адрес 192.168.1.20. Первым в командной строке обычно стоит адрес машины, на которой вводится команда. IP-адреса в кавычках – адреса авторизованных серверов. Если ответившие серверы не указаны в списке авторизованных серверов, то они являются нарушителями. Параметр -p позволяет утилите Dhcploc не отображать ответы от серверов, названных в списке. Таким образом, любые принятые ответы – ответы нарушителей. Когда Dhcploc их обнаруживает, утилита посылает предупреждения определенным пользователям (через указанные интервалы времени). Для рассылки предупреждений используют параметры -a и -I. Команда

посылает сигнал тревоги администратору (параметр -а) каждые 30 мин (параметр -I – значение в секундах). Утилита Dhcploc использует широковещательные пакеты для получения ответов от DHCP-серверов. Способ пересылки по сети таких широковещательных пакетов может ограничить эффективность использования утилиты. В маршрутизируемой сети настраивать сетевые маршрутизаторы нужно так, чтобы пакеты с запросами к серверам DHCP рассылались во все подсети, где могут быть нарушители. Если сеть достаточно сложной конфигурации, то для выполнения утилиты Dhcploc на рабочей станции каждой подсети можно использовать такой инструмент, как планировщик NT.

Утилита Dnscmd (dnscmd.exe) помогает обслуживать DNS серверы NT 4.0 (для реализаций DNS в среде UNIX не подходит). С помощью команды Dnscmd можно собирать статистику серверов, просматривать файлы зон, создавать или удалять новые зоны, переключаться между первичными и вторичными зонами для указанного сервера DNS. Команда

собирает статистику DNS сервера myserver.

Dommon (dommon.exe) – это графическая утилита, позволяющая вести мониторинг надежности соединения по каналу безопасности между контроллерами домена при наличии доверительных отношений в сети NT 4.0. Утилита Dommon обеспечивает просмотр «с высоты птичьего полета» всех контроллеров домена и их состояния во всех доменах, участвующих в доверительных отношениях: позволяет выявлять причины неполадок и идентифицировать контроллеры доменов, вносящие нарушения в соединение. Если при попытке подключения к домену на рабочей станции или сервере получено сообщение No logon servers available to service your request («Для выполнения запроса нет доступных серверов»), можно прибегнуть к помощи утилиты Dommon. Обычно ошибка возникает из-за неудачного соединения по каналу безопасности между BDC и PDC. Утилита Dommon поможет выявить данную проблему, показывая состояние всех контроллеров или в рамках «родного» домена, или через домен доверитель. В больших сетях для определения всех подключений к доверенному домену всех контроллеров работа команды Dommon может занять несколько минут. При обнаружении неисправности, для точного определения ее источника рекомендуется использовать утилиты Nlmon (nlmon.exe) и Nltest (nltest.exe).

Утилита Dumpel (dumpel.exe) использует информационный фильтр для сохранения в файле содержимого журналов событий локального или удаленного сервера NT. Утилита Dumpel – вариант для командной строки функции Save As приложения NT Event Viewer. Команда

отображает протокол событий в журнале Security удаленной машины с именем remote (параметр -s) за последние пять дней (параметр -d), с фильтром по событиям ID 515 (параметр -e). В данном примере параметр -m указывает на подсистему NT, которая зафиксировала событие с ID 515. Если задан параметр -e, то необходимо определять -m. Параметр безопасности -l означает, что информацию о событиях нужно брать из журнала Security, а не Application или System. Далее в примере используется DOS оператор переадресации (>) для переназначения вывода команды Dumpel в файл remotesecurity.log. Для переназначения вывода в файл предусмотрен параметр -f, но похоже, что в имеющейся версии утилиты он работает некорректно.

Утилита Fcopy (fcopy.exe) выполняет надежное многопотоковое копирование файлов между многочисленными системами. Во всех системах, где используется утилита Fcopy, необходимо установить Microsoft Message Queue Server (MSMQ). Служба MSMQ гарантирует надежное копирование файлов по неустойчивым сетевым соединениям, создавая Fcopy условия для копирования файлов по коммутируемому каналу или WAN. Команда

копирует исходные файлы в указанную систему. Параметр /s предлагает утилите Fcopy копировать каждый исходный файл; параметр /o определяет сжатие.

Утилита Fcopy поддерживает сохранение разрешений NTFS при копировании. Команда Fcopy сжимает, кодирует и проверяет правильность контрольных сумм, чтобы не копировать файлы повторно. Для выполнения утилиты Fcopy требуется три файла: fcopy.exe для пользователя, fcopysrv.exe для сервера и fcopy.dll. Эти файлы необходимо установить в исходной и целевой системах.

Утилита Findgrp (findgrp.exe) позволяет отслеживать принадлежность пользователя к конкретной группе. Например, определять, какие права имеет пользователь на доступ к ресурсу. По разрешениям для локальной группы на использование ресурса нельзя судить о том, имеет ли пользователь право на доступ к ресурсу как член глобальной группы. Утилита Findgrp поможет определить, является ли пользователь членом глобальной группы и входит ли он прямо или косвенно в локальную группу. Команда

проверяет принадлежность domainbjoeuser к группам в domaina.

Утилита Getmac (getmac.exe) находит MAC-адрес и транспортное имя локальной или удаленной машины. Эта информация полезна для просмотра сетевого трафика с помощью Network Monitor и необходима для определения MAC-адреса машины при установке фильтра. Команда

находит MAC-адрес и транспортное имя machinea.

Утилита Getsid (getsid.exe) устанавливает SID пользователя по заданному имени. Необходимо ввести два учетных имени, поскольку Getsid сравнивает идентификаторы SID с двух машин. Однако утилита Getsid может установить SID одной учетной записи, если имя вводится дважды. Например,

возвращает SID joeuser с контроллера домена pdca. Если указывается сервер-контроллер домена, команда Getsid возвращает SID для учетной записи пользователя домена.

Команда

сравнивает SID локальных учетных записей administrator на двух рабочих станциях. Эта методика удобна, если используется ПО для клонирования установок NT Workstation 4.0, при проверке, что SID на другой машине изменяется должным образом. Утилита Getsid покажет идентичные SID учетных записей администратора, если программное обеспечение для клонирования инсталляций не в состоянии должным образом сгенерировать новый SID.

Global (global.exe) – утилита командной строки, определяет список членов глобальных групп в домене. Например, команда

перечисляет членов группы пользователей домена Domain Users в домене DC1. Утилита Global позволяет быстро определить, является ли пользователь членом конкретной группы.

Утилита Local (local.exe) формирует список членов локальных групп домена, сервера или рабочей станции. Например,

перечисляет членов группы administrators удаленного компьютера workstationa. Однако команда Local не покажет полные имена (Fully Qualified Domain Names, FQDN) членов локальной группы домена. Например, если domainajoeuser и domainbjoeuser – члены локальной группы users, утилита Local покажет двух пользователей joeuser без уточнения их членства в домене.

Утилита Logevent (logevent.exe) позволяет регистрировать события в системном журнале на локальном или удаленном компьютерах. Записи о событиях, которые создаются при использовании Logevent, появляются только в журнале Application; где-либо еще регистрировать события нельзя. Команда

записывает сообщение об ошибке на удаленной машине mypc с категорией события №9999 и некоторым текстом описания.

Можно использовать утилиту Logevent вместе со сценарием выполнения инсталляции для группы машин: она позволяет централизованно записывать сообщения об успешном завершении инсталляции для каждой машины.

Утилита Netdom (netdom.exe) может исполнять ряд функций, связанных с Netlogon, таких, как сброс соединения по каналу безопасности компьютеров в домене, добавление и удаление учетных записей компьютеров. После добавления учетной записи компьютера подключение к домену происходит без перезагрузки. Если для того, чтобы добавить компьютер к домену, применяется стандартный пользовательский интерфейс, необходимо перезагрузить компьютер. Например, чтобы создать учетную запись компьютера mypc и присоединить его к домену, выполняются команды

Утилита Netsvc (netsvc.exe) позволяет запускать, останавливать и узнавать состояния локальных или удаленных служб. Указывая название службы, можно воспользоваться или ее полным именем (например, Windows Time Service), или именем, фигурирующим в реестре (т. е. w32time). Имена служб, содержащие пробелы, необходимо заключать в кавычки. Команда

создает запрос о состоянии службы w32time на машине mypc.

Графическая утилита Netwatch (netwatch.exe) позволяет контролировать использование каталогов общего доступа и просматривать список открытых файлов локальной или удаленной системы. Этот инструмент используется и для просмотра удаленных подключений к рабочим станциям. Утилита Netwatch также может пригодиться для быстрого просмотра на удаленной машине каталогов общего доступа и скрытых. Однако если команда Netwatch выполняется на сервере с множеством пользователей, где обновление происходит часто, просмотр становится бесполезным.

Утилита Nlmon (nlmon.exe) выполняется резидентно и контролирует доверительные отношения между доменами и дополнительно между всеми доверенными доменами. Например, при работе с доменами resourcea, resourceb и resourcec команда

каждые пять минут контролирует доверительные отношения между ресурсными доменами и главным доменом и, в случае возникновения проблем, выводит на экран сообщения. Для переназначения вывода в текстовый файл можно использовать оператор переадресации.

Утилита Nltest (nltest.exe) позволяет проверять события, связанные с регистрацией в сети NT. Netlogon выполняет несколько задач, включая управление соединениями по каналу безопасности между компьютерами домена. Я обычно использую утилиту Nltest для определения количества неудачных попыток подключения, с учетом даты и времени последней аутентификации пользователя контроллером домена. Команда

отображает информацию об учетной записи пользователя joeuser в домене DomainDC. Информация включает: полное имя пользователя и его описание, сервер с его профилями и число неудачных попыток подключения.

Утилита Ntrights (ntrights.exe) позволяет предоставлять или отменять пользовательские права на локальном или удаленном компьютере. Просматривать права можно в окне User Manager/Policies/User Rights. Команда

дает право Logon as a Service на сервере servera глобальной группе domain admins домена domaina. Наименования прав (т. е. SeServiceLogonRight) чувствительны к регистру написания (заглавных и строчных букв), и, кроме того, в одной строке можно предоставить только одно право. Параметр -u определяет пользователя или группу, которым оно предоставляется. Параметр -m указывает удаленный сервер или рабочую станцию, к которой применяется команда. Если указывается PDC, то изменяются права во всем домене. Параметр +r предоставляет, (-r) – отменяет указанное право. Чтобы предоставлять какие-либо права, необходимо быть зарегистрированным с соответствующими привилегиями NT. 4.0. Получить информацию относительно прав NT 4.0 можно в rktools.hlp в Resource Kit.

Утилита Permcopy (permcopy.exe) копирует разрешения на доступ с одного совместно используемого ресурса на другой. Эта утилита не копирует разрешения NTFS на файлы, но она удобна для дублирования разрешений совместно используемых каталогов на множестве компьютеров и установки сложных разрешений, которые трудно дублировать вручную. Команда

копирует разрешения с совместно используемого ресурса servera на новый общий ресурс serverb. Не стоит применять Permcopy для копирования разрешений административных ресурсов, которые NT устанавливает по умолчанию (например, c$, admin$). Эта утилита может стать причиной проблем при копировании разрешений специальных ресурсов.

Утилита Pulist (pulist.exe) предоставляет список процессов, запущенных на локальной или удаленной системе, их идентификаторов процессов (PID) и контекстов защиты для каждого процесса (контекст защиты доступен только тогда, когда команда выполняется на локальной машине). Если командная строка содержит имена нескольких машин, утилита Pulist возвращает индивидуальный список процессов для каждой удаленной машины. Команда

показывает процессы, выполняющиеся на трех компьютерх – servera, workstationb и serverc. При запуске Pulist на удаленных компьютерах утилита указывает имена процессов и ID, а не имена пользователей, связанных с каждым процессом.

Утилита командной строки Reg (reg.exe) позволяет управлять значениями параметров реестра на локальных и удаленных компьютерах. Можно использовать утилиту Reg, чтобы добавлять, удалять, запрашивать, резервировать, восстанавливать и изменять параметры реестра.

В отличие от Regini и Regedit, утилита Reg выполняет одновременно только одну операцию с реестром. Утилита Reg применяется при необходимости внести несколько изменений в реестр и для использования в сценариях. Regdmp

Утилита Regdmp (regdmp.exe) позволяет выводить в текстовый файл параметры и значения реестра локальной или удаленной машины. Для импорта созданной информации можно использовать утилиту Regini. Команда

создает дамп параметров реестра с удаленной машины servera (параметр –m) из раздела HKEY_CURRENT_ USEREnvironment.

Утилита Regini (regini.exe) выполняет множественные изменения в реестрах локальных или удаленных машин. Для ввода она использует текстовый файл в форме, созданной утилитой Regdmp, и для каждого выполненного в реестре изменения выводит коды завершения. Отличный от нуля код возврата означает неудачное изменение. Команда

вносит изменения, содержащиеся в файле regchanges.ini, в реестр компьютера servera. Параметр -m определяет, что команда выполняется на удаленной машине servera.

Утилиты Rkill (rkill.exe), Wrkill (wrkill.exe) и Rkillsrv (rkillsrv.exe) составляют утилиту Remote-kill. Установка Rkillsrv на каждом компьютере позволяет выполнять принудительное завершение процессов на удаленных станциях. Также можно использовать утилиту командной строки Rkill или графическую утилиту Wrkill. Команда

позволяет отслеживать процессы на удаленном сервере servera. Для ликвидации процесса нужно указать его PID. Например,

уничтожает процесс, PID которого задан.

Утилита Rmtshare (rmtshare.exe) позволяет создавать и изменять права доступа к файловым ресурсам и принтерам на локальных и удаленных компьютерах. Можно использовать rmtshare для получения всех параметров доступа, которые устанавливаются через Windows Explorer. Команда

создает ресурс newshare на servera и добавляет комментарий.

Утилиту Sc (sc.exe), которая позволяет управлять всеми аспектами локальных и удаленных служб, я бы назвал удобным, но капризным инструментом удаленного управления. Ее можно использовать для остановки, запуска, запроса, установки, удаления и даже изменения подчиненности служб сервера. Команда

сообщает, какие именно службы являются зависимыми от службы Browser, запущенной на удаленной машине mypc. Параметр qc указывает на запрос. Sc чувствительна к синтаксису, поэтому лучше его проверить. Для разделения всех параметров командной строки необходимо использовать пробелы. Рекомендую обращать внимание на примеры, которые дает утилита при вводе sc в командной строке без параметров.

Утилита Scanreg (scanreg.exe) осуществляет поиск в реестре разделов, параметров и их значений. Команда

ищет раздел telnet в lmSoftware Microsoft на mypc. Параметр -s идентифицирует строку, которую нужно найти, в данном случае – telnet. Параметр -k задает поиск только по именам разделов, а не по параметрам или значениям. Выполнение scanreg без параметров формирует список сокращений имен ветвей реестра.

Утилита командной строки Shutdown (shutdown.exe) и графическая утилита Shutgui (shutgui.exe) предназначены для завершения работы локального или удаленного компьютера. Команда

останавливает и перезагружает mypc через 30 с. Параметр /c принудительно закрывает все открытые приложения, с возможной потерей данных, но с гарантией корректного завершения работы системы. Параметр /r указывает на необходимость перезагрузки рабочей станции.

Утилита командной строки Srvinfo (srvinfo.exe) предоставляет список служб или устройств, работающих на локальной или удаленной машине. Srvinfo также генерирует информацию о версии NT, выполняющейся на компьютере во время работы сервера (включая любые сервисные пакеты и «заплатки»). Если утилита Srvinfo запущена на компьютере с Microsoft Exchange Server или Microsoft SQL Server, то она возвращает информацию о версиях этих программ. Команда

генерирует информацию о сервере servera. Параметр -s предписывает утилите создать список найденных ресурсов, а параметр -d – отображать драйверы и службы.

Утилита Winsdmp (winsdmp.exe) выводит дамп содержания базы данных WINS в файл или на дисплей. Для создания дампа содержимого сервера WINS с DNS-именем WINSServerA и IP-адресом 192.168.1.1 можно использовать

Утилита Winsdmp печатает записи в формате Comma Separated Values (CSV). Она создает дамп записей целевого сервера и любых записей, которые другие серверы WINS реплицируют на целевой сервер.

Supplement 4 включает 62 основных сценария Windows Script Host (WSH), основанных на VBScript, для выполнения различных задач удаленного администрирования. Сценарии требуют запуска Windows Management Instrumentation (WMI). По умолчанию, Windows 2000 и Windows 98 включают WMI. При установке Supplement 4 на системах с NT 4.0 можно установить также WMI SDK. Сценарии позволяют выполнять ряд задач автоматизации, от включения и перезагрузки системы до активизации DHCP для систем, использующих статическую IP-адресацию. Для вызова сценария следует воспользоваться командой

Большинство сценариев позволяет указывать как параметр имя управляемой удаленной машины. Например, команда

вызывает сценарий poweroff на mypc.

Помимо перечисленных утилит Resource Kit имеется целый ряд независимых инструментальных средств, доступных в Internet. Их можно поискать на серверах Beverly Hills Software (http://www.bhs.com), Systems Internals (http://www.sysinternals.com) и Winternals Software (http://www.winternals.com). При решении задач, для которых сложно подобрать конкретный инструмент, следует изучить некоторые сценарии VBScript или Jscript и познакомиться с WSH и WMI.