Introdução ao Windows Server 2008

CAPÍTULO 1
Introdução ao Windows Server 2008
Tudo começou com o Windows NT, o primeiro lançamento da Microsoft no mercado de servidor
de rede. As versões 3.1 e 3.5 do Windows NT não ganharam muita atenção no mundo dominado
pelo NetWare porque eles eram preguiçosos e se recusavam a brincar com os outros. Logo
veio o Windows NT 4.0, que usava a interface do novo Windows 95 (revolucionário somente
para aqueles que não conheciam a interface de usuário do SO Macintosh da Apple) para dar
uma face mais amigável para alguns aprimoramentos na arquitetura, que apesar de simples
eram fundamentais. Com a versão 4.0, empresas maiores viram que a Microsoft pretendia
realmente entrar no mercado de computação corporativa, mesmo que seu produto naquela
época fosse limitado em relação à escalabilidade e disponibilidade. Em primeiro lugar, a
Microsoft fez concessões para os usuários do NetWare, oferecendo a eles uma maneira fácil
de integrar a uma nova rede NT. A empresa também incluiu um conjunto revisado de recursos
de segurança, que incluía permissões e domínios finamente granulados, isso significou que a
Microsoft considerava a computação corporativa uma parte importante do Windows.
Após seis service packs e meio, o NT 4.0 é considerado por alguns como sendo o sistema
operacional mais estável a surgir de Redmond. No entanto, apesar disso, a maioria dos
administradores com experiência com Unix necessitavam de um SO mais confiável para o
ambiente corporativo, um sistema que fosse comparável às enormes máquinas Unix que
haviam penetrado e ocupado aquele mercado há muito tempo. Em fevereiro de 2000, quando
o Windows 2000 Server foi lançado, essas exigências foram atendidas. O Windows 2000 era
uma revisão completa do NT 4.0 e foi projetado para ter estabilidade e escalabilidade como
prioridades.
No entanto, alguma coisa ainda estava faltando. A Sun e a IBM incluíram software de servidor
de aplicações e recursos centralizados no desenvolvedor em seus sistemas operacionais de
nível industrial, Solaris e AIX. O Windows 2000 não tinha essa funcionalidade. Além disso, os
problemas de segurança associados ao servidor web integrado ao Windows 2000, o Internet
Information Services (IIS), lançava uma nuvem ameaçadora sobre a idéia de que o Windows
poderia ser um SO corporativo viável com suporte à Internet. Por isso a Microsoft apostou
todas as suas cartas em uma iniciativa de serviços da web chamada .NET, era crucial que a
Microsoft protegesse sua honra e acertasse na próxima vez.
Não era tarde demais, mas os clientes estavam muito preocupados com as inúmeras
vulnerabilidades na segurança e com a falta de um sistema conveniente de gerenciamento
de patches para corrigir essas vulnerabilidades. As coisas precisavam mudar.
Assim surgiu o Windows Server 2003. O que distinguia o lançamento além de um nome mais
longo e de três anos de diferença entre as data de lançamento? A segurança, principalmente.
Windows Server 2008
01.indd 1
1
07/11/2008 17:28:54
O Windows Server 2003 vinha com mais segurança desde a fábrica e sofreu grande influência
de um novo desenvolvimento ocorrido em março de 2002, que foi referido pela Microsoft
como o início da Iniciativa de Computação Confiável. Durante um mês os desenvolvedores e
gerentes de produto não fizeram nada além de analisar o código-fonte existente para falhas na
segurança e participar de treinamentos sobre as melhores práticas para a criação de códigos
seguros. O desempenho também foi aprimorado no Windows Server 2003, o objetivo era
tornar o sistema operacional mais escalonável e a administração corporativa mais eficiente
e fácil de automatizar. Além disso, a Microsoft atualizou um software de bonificação com a
versão Windows Server 2003R2, isso simplificou o gerenciamento de identidades em diferentes
serviços de diretório e limites de segurança, a distribuição de arquivos e a réplica de estruturas
de diretório em diferentes servidores, entre outras coisas.
Mas como sempre, nenhum software é perfeito, e sempre há lugar para melhorias. Como as
exigências comerciais mudaram, os desenvolvedores da Microsoft trabalharam em conjunto
para criar o Windows Vista e a nova versão do Windows no servidor. Quando o Windows Vista
foi liberado para fabricação, as equipes se separaram novamente, e o grupo do Windows Server
2008 adicionou alguns recursos e, então, passou a focar no desempenho e na confiabilidade
até o lançamento.
As principais alterações
Diferente da transição do Windows 2000 Server para o Windows Server 2003, que foi uma
atualização basicamente de estilo, o Windows Server 2008 é uma revisão radical do código
fonte que constitui o Windows Server. O Windows Server 2008 compartilha muito do código
básico do Windows Vista, que é um produto derivado diretamente das técnicas do secure
development model (SDM – modelo seguro de desenvolvimento). Essa foi uma grande
mudança nas tecnologias de programação da Microsoft, que sempre coloca a segurança do
código em primeiro lugar. Assim, muitos dos novos recursos e melhorias que você verá no
produto são resultados de um código fonte mais seguro e de um maior foco na integridade
e na confiabilidade do sistema.
As maiores mudanças no Windows Server 2008 são o Server Core e o novo Internet Information
Services 7.0.
Server Core
O Server Core é uma opção de instalação mínima para o Windows Server 2008 que contém
apenas um subconjunto de arquivos executáveis e as funções do servidor. O gerenciamento é
feito por meio de linhas de comando ou de um arquivo automático de configuração. Segundo
a Microsoft:
O Server Core foi desenvolvido para ser usado em organizações que tenham muitos
servidores, dentre os quais alguns precisam executar somente tarefas específicas, mas
2
01.indd 2
Capítulo 1: Introdução ao Windows Server 2008
07/11/2008 17:28:54
com excelente estabilidade, ou em ambientes onde as altas necessidades de segurança
exigem uma superfície mínima contra ataque no servidor.
Conseqüentemente, os servidores Core só podem executar algumas funções limitadas. São
elas:
s3ERVIDORDE0ROTOCOLODE#ONlGURA ÎODE(OST$INÊMICO$(#0
s3ERVIDORDESISTEMADENOMESDEDOMÓNIO$.3
s3ERVIDORDEARQUIVOSINCLUINDOSERVIDORDEREPLICA ÎODEARQUIVOSO$ISTRIBUTED&ILE
3YSTEM$&3O$ISTRIBUTED&ILE3YSTEM2EPLICATION$&32OSISTEMADEARQUIVOSDE
REDEEOARMAZENAMENTODEINSTÊNCIAÞNICA3)3
s3ERVI OSDEIMPRESSÎO
s#ONTROLADORDEDOMÓNIOINCLUINDOUMCONTROLADORDEDOMÓNIOSOMENTELEITURA
s3ERVIDOR!CTIVE$IRECTORY,IGHTWEIGHT$IRECTORY3ERVICES!$,$3
s6IRTUALIZA ÎODO7INDOWS3ERVER
s))3PORÏMAPENASCOMPARTEDESUASHABILIDADESNORMAISOUSEJASOMENTE(4-,
ESTÉTICOENENHUMSUPORTEAAPLICATIVOSDINÊMICOSDAWEB
s7INDOWS-EDIA3ERVICES7-3
Além disso, as máquinas Server Core podem participar de clusters na Microsoft, usarem o
balanceamento de carga de rede, hospedarem aplicativos do Unix, criptografarem suas unidades
com Bitlocker, serem gerenciadas remotamente usando o Windows PowerShell em uma máquina
cliente e serem monitoradas pelo Simple Network Management Protocol (SNMP).
A maioria dos administradores perceberá que usar máquinas Server Core em suas filiais para
executar as funções do controlador de domínio é uma excelente maneira de utilizar hardwares
um pouco mais antigos que provavelmente seriam descartados. O tamanho reduzido do Server
Core permite que o SO faça mais com menos recursos de sistema, e a superfície reduzida de
ataque e a estabilidade o tornam uma excelente escolha para uma máquina tipo appliance.
Além disso, com uma filial, é possível combinar o Server Core com a habilidade de implantar
um controlador de domínio somente leitura e criptografar tudo com o BitLocker, fornecendo
uma ótima solução segura e leve.
Melhorias no IIS
O respeitável servidor web da Microsoft passou por uma grande revisão no Windows Server
2008. O IIS 7 é, pela primeira vez, totalmente extensível e personalizável, você só instala aquilo
que quiser, assim o servidor fica mais leve, mais responsivo e menos vulnerável a ataques. A
interface administrativa do IIS também foi completamente reprojetada. As principais melhorias
incluem:
Windows Server 2008
01.indd 3
3
07/11/2008 17:28:54
Nova estrutura, reprojetada e personalizável
Pela primeira vez na história do IIS, os administradores têm total controle para escolher
quais partes do IIS serão instaladas e executadas. É possível executar exatamente os
serviços que você precisa, nem mais nem menos. O que, é claro, é mais seguro, além
disso ele é mais fácil de gerenciar e tem um melhor desempenho.
Modelo de extensibilidade flexível
O IIS 7 permite que os desenvolvedores acessem um novo conjunto de API que pode
interagir diretamente com o núcleo do IIS, facilitando como nunca o desenvolvimento e
a personalização dos módulos. Os desenvolvedores podem até mesmo acessar as áreas
de configuração, scripting, logging de eventos e administração do IIS, isso abre portas
para que os administradores de empresas e os fornecedores de software de terceiros
estendam os recursos do IIS mais cedo, em vez de mais tarde.
Fácil configuração e implantação de aplicativos
A configuração pode ser realizada inteiramente por meio de arquivos XML. A configuração
central do IIS pode ser estendida para diversos arquivos, permitindo que diferentes locais
e aplicativos hospedados pelo mesmo servidor tenham configurações independentes
e, ainda assim, sejam simples de gerenciar. Um dos demos do IIS 7 preferidos pela
Microsoft é a instalação de um web farm com máquinas identicamente configuradas;
à medida que novos membros são conectados, o administrador simplesmente usa um
XCOPY e move os arquivos de configuração existentes para o novo servidor, e em uma
questão de segundos, a instalação do IIS na nova máquina é idêntica à configuração
das máquinas já existentes. Talvez, essa seja a alteração mais significativa e bem-vinda
do IIS 7.
Transferência de gerenciamento
Assim como, o Active Directory permite que os administradores atribuam permissões
administrativas a outros usuários, os administradores do IIS podem delegar o controle
de algumas funções a outras pessoas, como proprietários de sites.
Administração eficiente
O IIS Manager foi totalmente reprojetado e vem acompanhado de um novo recurso de
administração de linha de comando, appcmd.exe.
Melhorias na rede
A equipe do Windows Server 2008 se esforçou muito para melhorar o desempenho e a eficiência
DAREDE0ELAPRIMEIRAVEZHÉUMAARQUITETURADECAMADADUPLADE)0PARASUPORTESIMULTÊNEO
de IPv4 e IPv6 nativos. (Se você alguma vez configurou o IPv4 e o IPv6 em máquina Windows
Server 2003, sabe o trabalho que é fazê-los interoperar sem que um atrapalhe o outro.) A
segurança da comunicação é aprimorada por meio de uma melhor integração do IPsec com
4
01.indd 4
Capítulo 1: Introdução ao Windows Server 2008
07/11/2008 17:28:54
ASVÉRIASPARTESDAPILHA4#0)0/(ARDWAREÏUSADODEMANEIRAMAISSØLIDAEElCIENTEPARA
melhorar o desempenho das transmissões da rede, algoritmos de otimização e sincronização
inteligente são executados regularmente para garantir uma comunicação eficiente e a API
da pilha da rede é exposta mais diretamente, o que facilita a interação dos desenvolvedores
com a pilha. Vamos dar uma olhada em algumas melhorias da Rede de Última Geração, como
foi denominada pela equipe.
Melhorias na pilha TCP/IP
Como mencionei anteriormente, muitas alterações do Windows Server 2008 foram feitas
na pilha TCP/IP em si. Uma dessas melhorias é o tamanho da janela TCP de auto-tuning: O
Windows Server 2008 pode ajustar automaticamente o tamanho da janela de recebimento em
cada conexão individual, aumentando a eficiência de grandes transferências de dados entre
máquinas da mesma rede. A Microsoft cita o seguinte exemplo: “...em uma rede Ethernet de 10
Gigabit, o tamanho do pacote pode ser ajustado para um tamanho de até 6 Megabytes.”
O algoritmo de detecção de gateway inativo presente no Windows Server 2003 teve uma
pequena melhoria: O Windows Server 2008 tenta, de vez em quando, enviar tráfego TCP por
aquilo que ele considera como sendo um gateway inativo. Se não ocorrer um erro na transmissão,
o Windows automaticamente muda o gateway padrão para o gateway inativo detectado
anteriormente, que agora que está ativo. E o Windows Server 2008 suporta o descarregamento
de funções de processamento de rede da CPU para o circuito de processamento no cartão de
interface da rede, liberando a CPU para gerenciar outros processos.
(OUVEMELHORIASTAMBÏMNOESCALONAMENTODAREDE0OREXEMPLONAVERSÎOANTERIORDO7INDOWS
Server, um NIC (Placa de Rede) estava associado a um único processador físico. No entanto, com
o cartão de rede apropriado, o Windows Server 2008 suporta o escalonamento de NICs (Placa de
Rede) e de seus tráfegos associados em diversas CPUs (um recurso chamado de escalonamento
do lado receptor), o que permite que uma quantidade muito maior de tráfego seja recebida por
um NIC (Placa de Rede) em um servidor muito carregado. Esse recurso beneficia principalmente
servidores com multiprocessadores, pois mais escalas podem ser adicionadas, para isso basta
adicionar outros processadores ou NICs (Placa de Rede), em vez de novos servidores.
Alterações nos serviços de terminal
A cada semana que passa, os aplicativos de rede estão ficando mais populares. O Windows Server
2008 encontra mais trabalho na área de serviços de terminal/desktop remoto do que jamais foi
esperado, e alguns destes novos recursos são aprimoramentos muito bem-vindos. Além dos três
novos recursos, a equipe trabalhou para aprimorar os principais processos que fazem os serviços
de terminal funcionar, incluindo log-on único às sessões dos serviços de terminal, abrangência
de monitoramento e suporte de alta resolução para seções, integração com o Gerenciador de
Recursos de Sistema do Windows para melhor monitorar o desempenho e o uso do recurso e
temas que tornam as seções dos serviços de terminal simples para o cliente.
Windows Server 2008
01.indd 5
5
07/11/2008 17:28:54
Três novos recursos foram adicionados à versão Windows Server 2008. O primeiro é o
RemoteApp dos serviços de terminal. Assim como a funcionalidade oferecida pelo Citrix
-ETA&RAMEHÉALGUNSANOSO7INDOWS3ERVERDÉSUPORTEDEFÉBRICAÌHABILIDADEDE
definir programas para serem executados diretamente do servidor ativado pelos serviços de
terminal, ao mesmo tempo em que estão integrados dentro da cópia local do Windows. Isso é
possível por meio da adição de botões independentes na barra de tarefas, áreas com janelas
dimensionáveis de aplicativos, funcionalidade de comutação Alt-Tab, população remota de
ícones de bandeja de sistemas e muito mais. Exceto por uma ocasional lentidão de resposta
devido à latência da rede ou sobrecarga do servidor, os usuários não perceberão que seus
aplicativos estão hospedados em outro lugar. E é muito fácil ativar essa funcionalidade: os
administradores criam arquivos .RDP, que são essencialmente perfis baseados em texto de uma
conexão de serviços de terminal que o cliente lê e usa para configurar uma seção RDP para
um programa específico. Eles também podem criar arquivos .MSI que podem preencher perfis;
a principal vantagem aqui é que os arquivos .MSI normalmente são muito fáceis de implantar
usando métodos automatizados de gerenciamento de sistema como Systems Management
Server, Política de Grupo e IntelliMirror, entre outros.
A seguir, temos o Gateway dos Serviços de Terminal. Este recurso permite que os usuários
acessem aplicativos hospedados pelos serviços de terminal a partir de um portal da web em
qualquer lugar na Internet, protegidos por um CANAL(4403CRIPTOGRAFADO/GATEWAYPODE
enviar conexões por meio de firewalls e percorrer corretamente situações de tradução NAT
que antes impediam o uso desta tecnologia. Isso possibilita que as empresas não precisem
implantar o acesso VPN para usuários remotos com o único objetivo de acessar máquinas de
SERVI OSDETERMINALALÏMDISSOCOMOOSDADOSSÎOENVIADOSVIA(4403PRATICAMENTEQUALQUER
pessoa pode acessar as sessões, mesmo em locais em que o protocolo RDP está bloqueado pelo
firewall. Os administradores podem estabelecer políticas de autorização de conexão (CAPs),
que definem os grupos de usuários que têm permissão para acessar os serviços de terminal
por meio da máquina de gateway de serviços de terminal.
Por fim, juntamente com o recurso RemoteApp dos serviços de terminal, há também no
Windows Server 2008 o recurso TS Web Access, que permite que os administradores exibam
publicamente os programas remotos do TS em uma página da web. Os usuários podem procurar
em uma lista o aplicativo que desejam executar, clicar nele e, então, se integrar completamente
ao aplicativo, usando todos os recursos dos programas remotos do TS, enquanto mantêm a
habilidade de iniciar outros programas a partir do mesmo site de acesso à web. Este serviço é
inteligente o suficiente para saber que os diversos programas iniciados pelo mesmo usuário
devem ficar na mesma sessão de serviços de terminal, isso torna o gerenciamento de recursos
um pouco mais simples. Além disso, é possível integrar o TS Web Access com sites do SharePoint
usando uma parte incluída da web.
Active Directory: controladores de domínio somente leitura
O Windows Server 2008 introduz o conceito de controlador de domínio somente leitura
(RODC), que é ótimo para filiais e outros locais onde as máquinas que hospedam a função do
6
01.indd 6
Capítulo 1: Introdução ao Windows Server 2008
07/11/2008 17:28:54
controlador de domínio não podem ser fisicamente protegidas da mesma maneira que uma
máquina em um datacenter. RODCs têm uma cópia somente leitura do Active Directory, que
dá acesso aos benefícios imediatos de logons mais rápidos e um ciclo de autenticação mais
curto para outros recursos da rede, além de benefícios de segurança de longo prazo. Ninguém
pode fazer alterações em um controlador de domínio de fácil acesso na filial que será replicado
na árvore principal do escritório corporativo, pois o controlador de domínio é somente leitura.
O RODC pode também fazer cache das credenciais dos usuários da filial, e com somente um
contato com um controlador regular, gravável no topo da árvore, pode atender diretamente
as necessidades de logon dos usuários. No entanto, esse cache é encerrado por padrão na
Política de Replicação de Senha, por motivos de segurança.
Melhorias na segurança
Problemas de segurança atormentam a Microsoft desde os primórdios do Windows, mas
somente nos últimos anos, à medida que mais pessoas se conectaram, é que essas falhas têm
sido exploradas por pessoas mal-intencionadas. Na verdade, algumas das vulnerabilidades dos
produtos para as quais encontramos patches no “Patch Tuesdays” são resultados de decisões
ruins em relação ao design. Esses são os tipos de falhas que a Microsoft espera eliminar com
o lançamento do Windows Server 2008. Você perceberá muitas mudanças na arquitetura dos
serviços no Windows Server 2008, incluindo um aumento no número de camadas necessárias
para chegar ao núcleo, serviços de segmentação para reduzir os estouros de buffer e uma
redução no tamanho das camadas confidenciais de alto risco para reduzir o tamanho da
superfície de ataque.
Além de alterar fundamentalmente o sistema operacional, a equipe do Windows Server 2008
incluiu diversos recursos desenvolvidos para eliminar violações da segurança e invasões de
malware, assim como recursos destinados a proteger os dados corporativos contra vazamentos
e interceptações. Vamos analisar algumas destas melhorias.
Proteção de arquivo do sistema operacional
Um novo recurso conhecido como proteção de arquivo do sistema operacional garante a
integridade do processo de inicialização dos servidores. O Windows Server 2008 cria uma
chave de validação baseada no arquivo de núcleo que está em uso, uma camada de abstração
de hardware ((!,ESPECÓlCAPARAOSEUSISTEMAEUNIDADESQUEINICIAMNOMOMENTODA
inicialização. Se, em alguma inicialização subseqüente após a criação dessa chave, esses
arquivos mudarem, o sistema operacional saberá e interromperá o processo de inicialização
para que o problema possa ser resolvido.
A proteção de arquivo do sistema operacional se estende também a todas as imagens binárias
localizadas na unidade de disco. Deste modo, a proteção de arquivo do SO consiste em uma
unidade de filtro do sistema de arquivos que lê todas as páginas que são carregadas na
memória, verificando seus hashes e validando qualquer imagem que tente se carregar em um
Windows Server 2008
01.indd 7
7
07/11/2008 17:28:54
processo protegido (processos que geralmente são mais suscetíveis a ataques de elevação).
Esses hashes são armazenados em um catálogo específico do sistema ou em um certificado
X.509 incorporado em um arquivo seguro na unidade. Se algum desses testes falhar, a proteção
de arquivo do SO interromperá o processo para manter a máquina segura. Isso é proteção
ativa contra malwares problemáticos.
BitLocker
Ultimamente, a necessidade de criptografia da unidade tem sido um assunto bem discutido nos
canais de segurança e, tanto no Windows Vista quanto no Windows Server 2008, a Microsoft
excedeu as expectativas com a criação de um recurso chamado BitLocker. O BitLocker foi
desenvolvido especialmente para situações em que um ladrão possa ter acesso físico ao disco
rígido. Sem a criptografia, o hacker poderia simplesmente inicializar outro sistema operacional
ou executar uma ferramenta de invasão, desviando completamente das permissões do
SISTEMADEARQUIVOS.4&3/3ISTEMADE#RIPTOGRAlADE!RQUIVOSNO7INDOWS3ERVERE
no Windows Server 2003 foi um passo além, literalmente embaralhando os bits na unidade,
mas as chaves para descriptografar os arquivos não eram tão protegidas quanto deveriam
ser. Com o BitLocker, as chaves são armazenadas dentro de um chip TPM (Trusted Platform
Module – Módulo de Plataforma Confiável) no seu sistema ou em um drive USB que você
insere no momento da inicialização.
O BitLocker é sem dúvida completo: quando ativado, o recurso criptografa todo o conteúdo do
Windows incluindo os dados do usuário e os arquivos do sistema, o arquivo de hibernação, e
os arquivos temporários. O processo de inicialização em si é protegido pelo BitLocker, o recurso
cria um hash com base nas propriedades de arquivos de inicialização específicos, assim se
algum for modificado e substituído por, digamos, um cavalo de Tróia, o BitLocker perceberá
o problema e impedirá a inicialização. Esse é com certeza um passo à frente em relação às
LIMITA ÜESDO%&3EUMAMELHORIASIGNIlCATIVAPARAASEGURAN ADOSISTEMAEMCOMPARA ÎO
com unidades sem criptografia.
Controle de instalação de dispositivo
Outro problema que atormenta empresas em todos os lugares do mundo é a proliferação de
de uso de drive USB. Não importa a segurança das permissões dos seus servidores de arquivos,
não importa a capacidade de destruição dos seus arquivos e não importa que tipo de controles
internos você tenha para documentos somente leitura, um usuário pode simplesmente colocar
um thumb drive em uma porta USB aberta e copiar todos os dados, desviando completamente
da sua segurança física. Essas unidades normalmente contêm informações confidenciais que
nunca deveriam sair de dentro da empresa, mas são freqüentemente encontradas em chaveiros
que são perdidos, dentro de malas de computador que são deixadas sem supervisão nas
salas de espera dos aeroportos ou em algum outro lugar perigoso. Esse problema é grande o
suficiente para fazer com que algumas empresas desabilitem as portas USB colocando cola
quente nas portas. Uma solução eficiente, mas suja.
8
01.indd 8
Capítulo 1: Introdução ao Windows Server 2008
07/11/2008 17:28:54
No Windows Server 2008, o administrador poderá bloquear todas as instalações de novos
dispositivos, inclusive thumb drives USB, discos rígidos externos e outros novos dispositivos.
Você pode simplesmente implantar uma nova máquina e não permitir que novos dispositivos
sejam instalados. Além disso, é possível ajustar as expectativas com base na classe e no ID
do dispositivo, por exemplo, permitir que somente teclados e mouses sejam adicionados. Ou,
permitir IDs específicas de dispositivos, caso tenha aprovado a instalação de uma determinada
marca de produto, mas não de outras. Tudo isso pode ser configurado por meio da Política de
Grupo e essas políticas são configuradas no computador.
Firewall do Windows com segurança avançada
!VERSÎODO&IREWALLDO7INDOWSINCLUÓDANO3ERVICE0ACKDO7INDOWS3ERVERERA
exatamente a mesma incluída no Service Pack 2 do Windows XP. A Microsoft incluiu esse
firewall no Service Pack 1 como medida provisória, implante o firewall agora, dizia a Microsoft,
assim você estará protegido, e nós continuaremos a melhorar o firewall na próxima versão
do Windows.
%SSEMOMENTOCHEGOU/NOVO&IREWALLDO7INDOWSCOMSEGURAN AAVAN ADACOMBINAO
firewall e o gerenciamento de IPsec em um único e conveniente snap-in do MMC. O mecanismo
do firewall em si foi reestruturado para reduzir a sobrecarga de coordenação entre a filtragem e
o IPsec. Uma maior funcionalidade de regras foi ativada, e é possível especificar explicitamente
e com facilidade exigências de segurança, como autenticação e criptografia. As configurações
podem ser estabelecidas em cada computador ou por grupos de usuários. A filtragem de saída
FOIATIVADANAVERSÎOANTERIORDO&IREWALLDO7INDOWSSØHAVIAlLTRAGEMINTERNA%lNALMENTE
houve também uma melhoria no suporte de perfil, com base no computador, agora existe um
perfil para quando a máquina é conectada a um domínio, um perfil para uma conexão de rede
privada e um perfil para uma conexão de rede pública, como um ponto de acesso de rede sem
fio. As políticas podem ser facilmente importadas e exportadas, o que torna o gerenciamento
da configuração do firewall de diversos computadores consistente e simples.
Proteção de acesso à rede (NAP)
Vírus e malwares normalmente são interceptados pelas defesas do software antes que
possam ser executados na sessão do usuário, mas a verdadeira proteção seria se eles nem
mesmo tivessem acesso à rede. No Windows Server 2008, a Microsoft criou uma plataforma
na qual os computadores são examinados em contraste com uma linha de base definida pelo
administrador, e se uma máquina não encaixa na linha de base, esta pode ser impedida de
acessar a rede que está em quarentena, digamos assim, até que o usuário possa configurar
a máquina que não possui os requisitos para acessar a rede. Essa funcionalidade é chamada
de Proteção de Acesso à Rede.
Windows Server 2008
01.indd 9
9
07/11/2008 17:28:54
A NAP pode ser dividida em três componentes principais:
Validação da política de integridade
Validação é o processo no qual a máquina que está tentando se conectar à rede é
examinada e verificada em relação a alguns critérios de integridade estabelecidos
pelo administrador.
Conformidade com a política de integridade
É possível estabelecer políticas de conformidade para que os computadores gerenciados
que forem reprovados no processo de validação possam ser atualizados automaticamente
ou configurados por meio do Systems Management Server (SMS) ou por algum outro
software de gerenciamento, assim como pelo Microsoft Update ou Windows Update.
Acesso limitado
A limitação do acesso pode ser o mecanismo de fiscalização da NAP. É possível executar a
NAP no modo somente monitoração, que registra o estado de conformidade e validação
dos computadores conectados à rede. Mas no modo ativo, os computadores que são
reprovados nas validações são colocados em uma área da rede com acesso limitado,
que normalmente bloqueia quase todo o acesso à rede e limita o tráfego a um conjunto
de servidores mais protegidos que contêm as ferramentas mais usadas para deixar as
máquinas com um bom nível.
Tenha em mente que a NAP é somente uma plataforma pela qual essas verificações podem ser
feitas, pois após a implantação do Windows Server 2008 ainda será necessário ter as peças do
QUEBRACABE AINCLUINDOOSAGENTESDEINTEGRIDADEDOSISTEMA3(!EOSVALIDADORESDEINTEGRIDADE
DOSISTEMA3(6QUEGARANTEMQUEASVERIlCA ÜESEVALIDA ÜESSÎOFEITASEMTODASASMÉQUINAS
CLIENTES/7INDOWS6ISTATEMPORPADRÎOO3(!EO3(6QUEPODEMSERPERSONALIZADOS
Melhorias na gerenciabilidade
Os servidores só são eficientes se o administrador os configurar da maneira correta. Os produtos
do Windows Server são tradicionalmente muito fáceis de operar, mas no Windows Server
2008 há muitas melhorias na experiência inicial de instalação e configuração. Muitos desses
detalhes ainda estão sendo desenvolvidos, e esses elementos podem ser alterados à medida
que nos aproximamos da data de lançamento prevista, mas mesmo assim vamos ver o que o
Windows Server 2008 tem para oferecer em termos de melhorias na gerenciabilidade.
Gerenciador de servidores
O Gerenciador de servidores é uma opção abrangente para a visualização de informações no
servidor, análise da sua estabilidade e integridade, gerenciamento das funções instaladas e
detecção e solução de possíveis problemas. O Gerenciador de servidores substitui as interfaces
do Configure Your Server, do Manage Your Server e do Security Configuration Wizard. Ele
centraliza uma variedade de snap-ins do MMC 3.0, que permite a rápida visualização das
funções e dos recursos que estão instalados em uma determinada máquina, além de oferecer
um ponto de partida para o gerenciamento dessas unidades.
10 Capítulo 1: Introdução ao Windows Server 2008
01.indd 10
07/11/2008 17:28:54
Serviços de implantação do Windows
Muitos administradores aprenderam a amar os Serviços de Instalação Remota (RIS), o
complemento do Windows 2000 Server e do Windows Server 2003 que possibilitou a instalação
de sistemas operacionais clientes e servidores na rede e forneceu a capacidade de personalizar
instalações e iniciá-las com apenas alguns cliques. No Windows Server 2008, a Microsoft
revisou completamente o RIS e o chamou de Serviços de Implantação do Windows (WDS). O
WDS continua usando o ambiente de execução de pré-inicialização (PXE) e o protocolo de
TRANSFERÐNCIADEARQUIVOSTRIVIAL4&40NO3/MASINCLUIO7INDOWS0%UMFRONTENDGRÉlCO
para o processo de instalação que substitui a fase de configuração de tela azul baseada em
texto que era mais feia e menos funcional e que atormentou o Windows desde o NT 3.0.
Atualizações no desempenho e na confiabilidade
Entre outras melhorias no Windows Server 2008, muito trabalho foi feito para aumentar
a confiabilidade e o desempenho do sistema em geral. Por exemplo, para visualizar os
processos em versões anteriores do Windows Server, tínhamos duas ferramentas básicas, que
praticamente não foram alteradas de uma versão para outra, o Gerenciador de Tarefas e o
Monitor de Desempenho. No Windows Server 2008, essas ferramentas foram combinadas em
uma única interface, chamada de Console de Diagnóstico de Desempenho (que também está
integrado no Gerenciador de servidores), para facilitar a visualização de estatísticas e alertas
sobre como sua máquina está realizando as tarefas.
A Visualização de Recursos é uma maneira mais simples e eficiente de visualizar como
determinados processos e serviços, entre outras métricas, estão usando os recursos disponíveis
na máquina. O Monitor de Confiabilidade mostra uma visão detalhada de quais eventos estão
ocorrendo regular ou intermitentemente para reduzir a estabilidade do servidor. Por exemplo, é
possível ver os problemas e degradações com base na atividade de instalação do software, nas
falhas dos aplicativos, nos erros do hardware, nas falhas do Windows e em outros problemas não
classificados. O Monitor de Confiabilidade gera um “índice de estabilidade”, que é um número
arbitrário que supostamente representa, em uma escala de 1 a 10, a qualidade do sistema.
Edições do Windows Server 2008
Como sempre, a Microsoft dividiu as diferentes edições do Windows Server 2008 assim,
teoricamente, cada segmento de cliente recebe o produto certo com os recursos adequados e
com um preço justo. O Windows Server 2008 está disponível nas seguintes edições:
Windows Web Server 2008
Esta versão do Windows Server 2008 foi otimizada para hospedar sites da web usando
IIS e, portanto, é limitada no suporte a hardware e em seu conjunto de recursos. Ela
foi desenvolvida especificamente como um servidor da web, por isso não encontramos
Windows Server 2008 11
01.indd 11
07/11/2008 17:28:54
muitos recursos além do IIS, ASP.NET e alguns outros recursos específicos para
hospedagem da web. Esta edição deve ser evitada, a menos que tenha máquinas cujo
único objetivo é servir a web e outros conteúdos da Internet.
Standard Edition (SE)
Esta é a versão padrão do Windows que a maioria das empresas implantará. Ela dá
suporte para até dois processadores e 4 GB de memória. A versão SE inclui a maioria
DOSRECURSOSEOSUPORTEDASOUTRASEDI ÜESINCLUINDOO.%4&RAMEWORK))3!CTIVE
Directory, os sistemas de arquivos distribuídos e de criptografia e diversas ferramentas
de gerenciamento. Além disso, há o Balanceamento de Carga em Rede (um recurso que
antes fazia parte das edições “premium” do servidor NT) e um servidor de Post Office
Protocol 3(POP3) que em conjunto com o servidor de Protocolo Simples de Transferência
de Correio (SMTP) integrado ao IIS, pode transformar sua máquina Windows Server em
um servidor de correio eletrônico.
Enterprise Edition (EE)
Diretamente voltada para ambientes mais exigentes, a EE adiciona suporte a cluster,
suporte para oito processadores, 64 GB de RAM para sistemas baseados em x86 e até
2 TB de RAM para sistemas x64, além de oferecer a habilidade de adicionar memória a
um servidor que está em execução e conexões ilimitadas à rede, entre outras coisas.
Datacenter Edition (DE)
Esta edição do Windows Server 2008, com melhor desempenho e maior escalabilidade,
suporta de 8 a 32 processadores, possui a capacidade de adicionar processadores sem
interromper o funcionamento e tem a mesma capacidade de suporte de memória do
Enterprise Edition. Com a exceção de ter recursos mais extensos de firewall e mais
licenças para máquinas virtuais, a edição DE é idêntica a EE.
Para obter mais informações, acesse o site da Microsoft http://www.microsoft.com/
windowsserver2008/en/us/editions-overview.aspx.
Requisitos de hardware
A Tabela 1-1 mostra os requisitos de sistema mínimos e recomendados pela Microsoft para
executar o Windows Server 2008.
Tabela 1-1. Requisitos de sistema mínimos e recomendados para o Windows Server
2008
12 Capítulo 1: Introdução ao Windows Server 2008
01.indd 12
07/11/2008 17:28:54
Requisitos
Mínimos
Recomendados
0ROCESSADOR'(ZPROCESSADORXOU'(ZOUMAISRÉPIDO
'(ZPROCESSADORX
Memória
512 MB RAM
2 GB RAM ou maior
Espaço disponível no disco
10 GB
40 GB ou mais
Unidade
Unidade de DVD-ROM
Monitor
Monitor com resolução Super
VGA (800x600) ou superior
Outros
Teclado e mouse da Microsoft ou
dispositivo de indicação compatível
No entanto, qualquer pessoa que já tenha experiência com os sistemas operacionais
Windows está familiarizada com o fato de que os requisitos de sistema mínimos (e, muitas
vezes, os recomendados também) da Microsoft são, infelizmente, inadequados para todas
as tarefas que não as mais básicas. Com base em considerações sobre preço e desempenho,
no momento da criação deste livro, recomendo as seguintes especificações para qualquer
versão disponível do Windows Server 2008. A partir de agora estas especificações serão
chamadas de “mínimos reais”.
s5MPROCESSADOR0ENTIUM)))'(Z
s5MAMÉQUINADESERVIDORCOMCAPACIDADEPARAPROCESSADORESDUPLOS
s0ELOMENOS-"DE2!s0ELOMENOS'"DEESPA ONODISCO
Atualmente, os hardwares de PC mudam de valor, velocidade e disponibilidade quase que
diariamente. A menos que o seu trabalho seja exclusivamente especificar as plataformas e
configurações de hardware nas quais seus computadores clientes e de servidor serão executados,
basta perder uma semana de desenvolvimentos para deixar passar novas velocidades de
processadores, substituições ou introduções de chipset e melhorias no disco rígido.
É claro que a metodologia de seleção de hardware para servidores continua a mesma
independente do sistema operacional. A velocidade do disco é o maior obstáculo em um servidor
de arquivos, enquanto que um servidor de aplicação encontra obstáculos de desempenho no
processador e na memória.
Windows Server 2008 13
01.indd 13
07/11/2008 17:28:54
A última palavra
O Windows Server 2008 apresenta um conjunto interessante de recursos que representará grandes
benefícios para os administradores. A versão Server Core do produto talvez seja a opção de
instalação do Windows no servidor mais útil de todos os tempos e pode ser usada em diversas
situações nas quais são necessários servidores muito estáveis. Se o seu farm de servidores
hospeda aplicações altamente intensivas na rede, essas alterações na pilha TCP/IP e as outras
melhorias no desempenho da rede serão irresistíveis, além disso, a assistência de hardware
torna o escalonamento da rede muito mais econômico, pois necessita de menos servidores. A
SEGURAN AÏCLAROÏDEGRANDEIMPORTÊNCIAEA.!0PORSISØSERIAUMBOMMOTIVOPARAINVESTIR
no Windows Server 2008. Os recursos de gerenciamento também foram otimizados.
Dois grupos de pessoas e suas empresas encontrarão ótimas razões para fazer imediatamente
a atualização para Windows Server 2008:
Aquelas que ainda possuem uma versão do Windows NT ou do Windows 2000
Server
O NT Server 4.0 alcançou o fim de sua vida útil em 31 de dezembro de 2004. O principal
suporte do Windows 2000 Server teve seu fim em 30 de junho de 2005, e apesar de o
suporte estendido estar disponível até 13 de julho de 2010, seria bom considerar uma
mudança. O Windows Server 2008, que é um grande lançamento, fornece uma ótima
ponte para novos recursos, embora provavelmente exija uma renovação de hardware
se você ainda está rodando o Windows NT ou o Windows 2000.
Aquelas com contratos Microsoft Select, Software Assurance ou Open License que
permitem a atualização para a última versão sem custos adicionais.
Como não há taxas nem despesas para a atualização, é possível obter o benefício do
Windows Server 2008 a custos muito baixos.
Se você não faz parte desses grupos, o valor da atualização para o Windows Server 2008 não
fica tão claro, no entanto, existem ótimos argumentos a favor desta mudança. Se você está
feliz com o Windows Server 2003 ou R2, leu este capítulo e não encontrou nenhum recurso
que realmente precisa ter, e não possui um contrato de atualização com a Microsoft, é possível
que queira ignorar esta versão e esperar pelo Windows Server 2009 (ou seja, lá qual for o
ano apropriado).
Para a maioria das empresas é uma questão de tempo. Imagine que a próxima revisão radicalmente
diferente do Windows aconteça daqui a três anos para os desktops e quatro ou cinco anos para
OSSERVIDORES(AVERÉTEMPOSUlCIENTEPARAMUDARPARAO7INDOWS3ERVERNESTEPERÓODO
Para outras, é uma questão financeira: se as condições financeiras não permitem uma atualização
para o Windows Server 2008, não há saída. Se você está satisfeito com o Windows Server 2003
ou com a edição R2 e possui a segurança adequada, não há nada no Windows Server 2008 que
seja absolutamente obrigatório. O mesmo serve para quem tem a versão original do Windows
Server 2003 com o Service Pack 1 sem uma atualização para o R2.
14 Capítulo 1: Introdução ao Windows Server 2008
01.indd 14
07/11/2008 17:28:54