Доступ к папкам через интернет windows server

If you want to configure access to files over the network for one or more users, you need to configure file sharing on the computer on which these files are stored. A common way to deploy a shared resource for storing files is by configuring a Windows file share. In this case, we are talking about a Windows SMB share, and this file share can be configured on any Windows version.

This blog post explains how to configure a Windows file share on Windows Server 2019 to allow multiple users to access this share.

What Is a Fileshare

A file share is a directory on a computer, server, or virtual machine that contains files and directories that are accessible to other users via the network by using one of the supported file sharing protocols. A file share can be configured on any operating system supporting the appropriate file sharing protocol, for example, SMB or NFS. We have already covered the SMB protocol and its dialects.

Both client Windows versions (Windows XP, 7, 8, 10, etc.) and server Windows versions (Windows Server 2003, 2008, 2012, 2016, 2019, etc.) support Windows file sharing via the SMB protocol. However, Windows Server versions provide more capabilities compared to the client versions. For example, the maximum number of concurrent connections. Recently, we have compared a file server and NAS. In this blog post, we will explain how to set up a server for file sharing in Windows or, in other words, how to configure a file server.

Our Window Server Environment

We configure a Windows SMB share in Windows Server 2019 that is in a workgroup. The configuration principle for Windows machines in an Active Directory domain is identical, but you need to specify (determine) domain users and local users on computers when setting share permissions.

The parameters of our Windows file server are:

• IP address: 192.168.101.209
• Computer name: Win2019

The workflow in this article can be used for older Windows Server versions. As for client Windows versions, you can mostly follow the same Windows file sharing workflow for top editions like Windows XP Pro, Windows 7 Ultimate, Windows 10 Pro, etc. However, note that there may be certain limitations.

Creating Users and Groups

First of all, we need to create users. Using existing user accounts in Windows for file sharing is technically possible, but this approach is not recommended for security reasons. That is why, we will not use the existing administrator and user accounts to configure a Windows file share, and we will not provide these credentials to users accessing the share.

We will create special accounts for users who need to access the file share server. If a username and password on a file server are the same as a user’s username and password on a remote client computer for Windows logon, then credentials are not prompted when accessing a Windows SMB share. This feature makes accessing a file share more convenient for users and optimal for administrators.

Open the Computer Management window, which you can access by going to Server Manager > Tools > Computer Management. Alternatively, you can simply run the compmgmt.msc command in CMD.

Картинка с сайта: www.nakivo.com

Note: In an Active Directory domain, you need to open the Active Directory Users and Computers window on a domain controller to create domain users and groups. You can do it by running dsa.msc in the command line or the Run (Win+R) prompt. Use Active Directory Users and Computers instead of Computer Management on a domain controller.

Creating users

1. In the Computer Management Window that opens (that can also be called a collection of Microsoft Management Console snap-ins), go to System Tools > Local Users and Groups > Users.
2. After selecting Users, right-click in the empty space of the right pane and click New User in the context menu.
   

   Картинка с сайта: www.nakivo.com

1. Enter a user name, which will be used for user authentication when accessing a Windows file share. Keep in mind that this account can also be used for login on the current Windows Server machine. The name of our user is user1.
   1. If your file server is a domain member, the created domain user accounts can be used to log in to domain computers.
   2. Enter a password and confirm the password.
   3. Click Create

1. We create more users the same way. The users that we create for accessing the file share server are:
   • user1, user2, user3, user4
   • user11, user12, user13, user14

Creating groups

When you need to configure access with the same settings for several users, it is more convenient to manage groups of users.

We create two groups in our fileshare server configuration example:

• Group_A – for providing full access to the file share (Read, Write, Change). The group contains the following members: user1, user2, user3, user4.
• Group_B – for providing read-only access to the share. The group contains the following members: user11, user12, user13, user14.

You can create a group, add users to the group, and configure access to a Windows SMB share for a group rather than adding each user separately in the share configuration and configuring the same settings for each user manually.

To create a new group:

1. Right-click Groups in the Computer Management window and click New Group in the context menu.

Картинка с сайта: www.nakivo.com

1. Enter a group name (which is Group_A in our case) in the New Group window (see the screenshot below).
2. Click Add to add users to the group.
3. In the Select Users window, enter a user name such as user1, then click Check Names. When the user name is entered correctly, this user name is underlined and displayed as a full name (ComputerName\UserName or DomainName\UserName). To continue adding users, press Space or add semicolon and enter the next user name, then click Check Names, and so on.

If you want to set access for a local user account created on the computer that is a domain member, enter the full user name manually, like this: ComputerName\UserName. You can similarly enter the full name of a domain user.

1. After entering all needed user names and checking them, click OK to save settings and close the Select Users window.
2. Click Create in the New Group window to finish group creation.

Картинка с сайта: www.nakivo.com

Windows File Sharing Setup

Once we have created the needed users and groups, we can move forward to set up the Windows file share.

1. Select the directory that you want to share or select a new directory. We create a new directory in our example and the path to this directory is: E:\share

1. Right-click this directory (folder) and in the context menu, hit Properties.

Картинка с сайта: www.nakivo.com

Setting up sharing permissions

1. Select the Sharing tab in the directory Properties window and click the Advanced Sharing button.
2. Select the Share this folder checkbox in the Advanced Sharing window and click Permissions.

You can see that everyone can read the contents of the shared folder by default. Everyone is the default group containing all users on the current computer. In our example, we select Everyone and click Remove because we need to create a custom configuration.

1. Click Add to add the needed users and groups for configuring access to the Windows SMB share for them.

Картинка с сайта: www.nakivo.com

1. The Select Users or Groups window is opened.
2. Enter the name of users and groups for which you want to configure access. In our case, we enter Group_A.
3. Click Check Names like you did when adding users to a group. An entered name is underlined and displayed in the full format if the name is correct (and exists). You can enter multiple user or group names if needed.
4. Click OK to save settings and close this window.

Картинка с сайта: www.nakivo.com

1. We can see Group_A in the list of group or user names in the Permissions window for our share folder.
2. Select this user/group (Group_A in our case) and select the Allow Full Control checkbox.

Картинка с сайта: www.nakivo.com

1. Then we add Group_B just like we added Group_A. Let’s keep the read-only sharing permissions for Group_B.

Картинка с сайта: www.nakivo.com

1. We also add the built-in Administrators group and enable full access for administrators. (If a computer is a domain member, you can use the Domain Administrators group).
2. Click OK to save permissions for the Windows file share and close the Permissions window.

Setting file system permissions

We have now configured file sharing permissions for the shared folder. In addition to that, we must configure file system permissions for this folder to set the appropriate access for users. NTFS is the file system we use on Windows volumes.

1. Select the Security tab in the Properties window for the shared folder. Default NTFS permissions are set for CREATOR OWNER, SYSTEM, Administrators and Users.
2. Click Edit to set permissions for a folder on the file system level.

1. As you can see, users in the Users group have read access to this folder by default.
2. Click Add to add the needed group or user and set permissions for them at the file system level.

1. The Select Users or Groups window opens.
2. Enter the name of the user or group that you want to add (Group_A in our case).
3. Click Check Names.
4. Hit OK to save settings.

Картинка с сайта: www.nakivo.com

1. Select Group_A in the list of users and groups. Select the Allow Full Control checkbox to grant full access to Group_A.

1. Add Group_B just like you added Group_A.
2. We preserve the default permissions, which include Read & Execute, List folder contents, and Read for Group_B.
3. Click OK in the Permissions window. Click OK in the shared folder Properties window.

We have configured sharing permissions and file system permissions for the shared folder. Similarly, you can create other shares on file sharing servers.

Accessing a Windows SMB Share

Now users can access the Windows file share (SMB share) from their computers.

To access the Windows SMB share from another computer, open Windows Explorer (click the My Computer or This PC icon) and enter the network address of the file server in the address bar in the format: \\Server-IP-Address or \\Server-Name

We enter the path:

\\192.168.101.209

We access this file share from a Windows machine after logging in as user1.

We can see a shared folder with the name share on our shared file server.

Картинка с сайта: www.nakivo.com

Double-click the shared folder to access its contents. We see the files in the shared folder. Our user1 is a member of Group_A and has full access to the shared folder contents. This user can write, edit and delete files in this shared folder.

Картинка с сайта: www.nakivo.com

The workflow to create a hidden Windows SMB share is the same. The difference is in the file share name. Append the $ character at the end of a share name to make this shared directory hidden, for example, share_h$. A hidden file share is not displayed when you browse a file server over the network by adding the server IP address or name (\\192.168.101.209 or \\Server2019, for example).

Картинка с сайта: www.nakivo.com

To access a hidden file share, you must enter the full path to the share, for example:

\\192.168.101.209\share_h$

Картинка с сайта: www.nakivo.com

Note: There are hidden shares created by default in Windows for system purposes and administrative access.

• C$ for a system volume and similar shares for each disk volume
• Admin$ – access to the %SystemRoot% directory (usually C:\Windows)
• IPC$ – remote IPC used in named pipes

Advanced Sharing Settings

There are advanced sharing settings in the Network and Sharing Center in the Windows GUI.

To access these settings, go to Control Panel > Network and sharing center > Advanced sharing settings.

If you want to make a Windows machine visible over the network when sharing files and allow users to access shared resources, select the following options in the network profile you are using:

• Turn on network discovery
• Turn on file and printing sharing

These settings impact Windows Firewall settings to allow ICMP and SMB traffic.

TCP ports 445 and 139 must be opened in the firewall on the server for file sharing. Ensure that the File and Printer Sharing (SMB-In) rule in Windows Firewall is enabled to avoid issues.

Картинка с сайта: www.nakivo.com

Note that the Server service must be running in Windows to make a Windows file share work.

How to Map a Network Drive

As mentioned above, users can enter the path to the share to access shared files and folders. It is also possible to make shortcuts to the shared folders. However, this way may not be the most convenient for some users. In this case, you can map a file share as a network drive and access this network drive in My Computer or This PC (Windows Explorer) just like you would access local disk volumes.

Do the following to map a network drive:

1. Access the file share server in Windows Explorer as explained above. Enter the server name or IP address in the address bar, for example, \\192.168.101.209
2. Wait until the list of shared folders is displayed. You may need to enter a username and password if the credentials on the client and server don’t match.
3. Right-click a shared folder you want to connect as a network drive and click Map network drive.
   

   Картинка с сайта: www.nakivo.com

1. Set the network drive parameters for the shared folder in the opened window.

• Select a drive letter, for example, H:
• The path to the shared folder has been automatically selected.
• Reconnect at sign-in – the shared folder is connected automatically when a user logs into Windows on a client machine.
• Connect using different credentials – use this option if the credentials of the user account you use to log in on a client computer don’t match the credentials of the user account configured on the file server to access the file share. An alternative use case is using the credentials of a user who has more permissions than the current logged-in user.

1. Hit Finish to save settings and close this window.
   

   Картинка с сайта: www.nakivo.com

Now you can see the mapped network drive in Windows Explorer and use it for accessing the folder on the fileshare server (file server).

Картинка с сайта: www.nakivo.com

How to Check the Windows SMB Share Status

Configuring a Windows file share is the main point for setting up a file server. However, you need to know how to monitor shared resources, including shared folders, connection status, and opened files. This information is also useful for troubleshooting.

You can get Windows file sharing status in the Computer Management window, which you can access by running the compmgmt.msc command in CMD.

Go to System Tools > Shared Folders in the Computer Management window. There you can locate three items: Shares, Sessions, and Open Files.

• Shares. This item shows you all folders shared on the current Windows machine, including hidden shares.
• Sessions. This item displays all active sessions by showing connected users, computers and connection time.
• Open files. Displays which files stored in shared folders are opened and in which mode (read/write).

You can right-click the needed item, such as an opened session or file and close this session or file (disconnect a connected user and remove the file lock).

Картинка с сайта: www.nakivo.com

Configure Windows File Sharing in the Command Line

Actions we made in the graphical user interface (GUI) to set up a Windows file share can also be performed in the command line interface (CMD). Knowing how to configure a Windows SMB share in CMD can help you automate the configuration process.

Let’s configure a file share with settings identical to the settings we configured before in the GUI.

1. Press Win+R. In the Run prompt type cmd and hit Enter to open Windows Command Line.
2. Add a user with setting the username and password.The command syntax is:

   net user username userpassword /add

   We add user21 in CMD:

   net user user21 Password-21 /add

3. The command to add a group is as follows:

   net localgroup groupname /add.

   We add group2 in this case:

   net localgroup group2 /add

4. Add the user to the group by using the command like:

   net localgroup groupname username /add.

   In our case, we add user21 to group2:

   

   Картинка с сайта: www.nakivo.com

   net localgroup group2 user21 /add

5. Now we need to create a new directory, which we will share. We go to drive E: and create the share2c directory (c means command line or console for more clarity in our directory name).

   e:

   md share2c

6. List directory contents to ensure that the directory has been created:

   dir

7. Share the share2c directory by setting the folder path, user or group name and permissions for this user or group. The general command syntax is:

   net share sharename=folderpath /grant:username, permissions.

   Permissions can be read, change, or full. In our case the exact command is:

   net share share2c=e:\share2c /grant:group2,full.

   We grant full permissions to group2.

   

   Картинка с сайта: www.nakivo.com

8. Set NTFS permissions for the shared folder with icacls.
9. We set full permissions to group2 for the E:\share2c directory:

   icacls "E:\share2c" /grant group2:(OI)(CI)F /T

   You can see how these settings applied in the command line are displayed in the GUI in the screenshot below.

   

   Картинка с сайта: www.nakivo.com

10. Check the Windows file share status.

• Check existing file shares:

  net share

• View sessions opened by users connected to the shares:

  net sessions

• View files opened by users over the network:

  net files

  

  Картинка с сайта: www.nakivo.com

1. Useful commands to manage working Windows file shares.

• Close the files opened by users by defining the file id (the id is displayed with the net files command that you can see in the screenshot above):

  net file id /close

• List opened sessions for the appropriate computer name:

  net session \\ComputerName

• Disconnect incoming SMB connections for the selected machine:

  net session \\ComputerName /delete

• Connect to a file share and map the file share as a network drive using the logged-in credentials:

  net use H: \\FileServer\SharedFolder

  If a file share contains spaces, you must enclose the path in quotes (“path”).

• The alternative command:

  pushd \\FileServer\SharedFolder

Conclusion

Configuring a server for file sharing is not difficult, especially on Windows Server 2019. Keep in mind that with access granted to multiple users, files on Windows SMB shares as well as NFS shares can get corrupted or permanently deleted. Make sure to use a dedicated solution to backup Windows servers and file sharing servers. The best choice is a solution that supports multiple platforms like NAKIVO Backup & Replication.

В этой заметке мы поговорим о замечательной надстройке над службой Internet Information Services (IIS) под названием WebDAV. WebDAV это протокол для доступа к общим файлам и папкам через интернет, чем то похожий на FTP. Передача файлов по протоколу WebDAV может быть осуществлена через различные межсетевые экраны и брандмауэры, передаваемую информацию можно шифровать, да и работа с файлами и папками реализована намного удобнее, полностью напоминая работу службы общего доступа к фалам и папкам в Windows.

Вместе с выходом Windows Server 2008 Microsoft презентовала обновленную версию модуля WebDAV для IIS 7. Данный модуль существенно расширил возможности, удобство и безопасность использования WebDAV для доступа к файлам в Интернет, кроме того теперь он стал поддерживать многопользовательскую работу и блокировку файлов.

В этой статье мы поговорим о том, как установить WebDAV на ОС Windows 7 и Windows Server 2008 R2, как его настроить и каким образом можно получить доступ к файлам и папкам, к которым открыт общий сетевой доступ по WebDAV .

Еще раз напомню, что WebDAV это расширение службы IIS, поэтому, если у вас еще не установлен IIS, сделайте это (как вы, наверное, помните и в Windows 7 и в Windows Server 2008 R2, IIS идет по умолчанию, но в целях безопасности этот компонент нужно включать отдельно). Установка WebDAV в Windows 7 и в Windows 2008 R2 немного отличается.

Установка WebDAV на IIS 7.5 в Windows Server 2008 R2

1. Откройте меню Start-> Administrative Tools-> Server Manager.
2. В окне управления сервером выберите Roles и отметьте Web Server (IIS).
3. В окне Web Server (IIS), найдите секцию Role Services и добавьте новую роль Add Role Services.
4. В списке служб разверните элемент Common HTTP Features, выберите опцию WebDAV Publishing и нажмите Next.
   

   Картинка с сайта: winitpro.ru

5. Затем нажмите Install.
6. После установки расширения WebDAV, закройте окно установки кнопкой Close.

Установка WebDAV на IIS 7.5 в Windows 7

1. Перейдите в панель управления.
2. В панели управления откройте элемент Programs and Features, и перейдите в режим установки функций Windows (Turn Windows Features on or off).
3. Разверните узел Internet Information Services, затем World Wide Web Services, и Common HTTP Features.
   

   Картинка с сайта: winitpro.ru

4. Отметьте WebDAV Publishing и нажмите OK.

Настраиваем публикацию WebDAV в менеджере IIS

На этом этапе мы включим WebDAV для сайта IIS и дадим права на редактирование содержимого локальному администратору.

1. В менеджере IIS Manager, разверните дерево сайтов и выберите Default Web Site.
2. Как показано на рисунке, щелкните по элементу WebDAV Authoring Rules.
   

   Картинка с сайта: winitpro.ru

3. На странице WebDAV Authoring Rules щелкните в правой колонке(Actions) по сслыке Enable WebDAV
   

   Картинка с сайта: winitpro.ru

4. После включения WebDAV, создадим правила доступа к содержимому, нажав кнопку Add Authoring Rule.
   

   Картинка с сайта: winitpro.ru

5. В окне Add Authoring Rule укажем:
   • All content – значит, что правило будет применяться для контента всех типов.
   • Выберите «Specified users»и введте имя пользователя «administrator»
   • Права доступа: Read, Source и Write.
   • После настройки, жмите OK.
6. В панели управления IIS выберите опцию Authentication.
   

   Картинка с сайта: winitpro.ru

7. В окне аутентификации активируйте аутентификацию Windows (Windows Authentication), если IIS будет работать только в качестве сервера WebDAV, анонимную аутентификацию можно отключить.
   

   Картинка с сайта: winitpro.ru

8. Вернитесь на уровень сайта Default Web Site и выберите Authorization Rules (либо .Net Authorization Rules)
   

   Картинка с сайта: winitpro.ru

9. Создайте Allow правило (либо убедитесь, что оно уже существует), в котором администратору было бы разрешено получать доступ к серверу (в моем случае, такое правило уже было, и всем пользователям — All Users, в том числе администратору был разрешен доступ к IIS).
   

   Картинка с сайта: winitpro.ru

Попробуем теперь подключиться к сайту WebDAV c учетной записью администратора, для чего в командной строке наберите:

net use * http://localhost/

В результате в системе появиться новый сетевой диск, подключенный с сервера с помощью WebDAV.

Совет. Если при попытке подключить каталог по WebDav появляется ошибка «System error 67 has occurred. The network name cannot be found.«, в Windows 8 /Windows Server 2012 попробуйте установить компонент Desktop Experience и убедится, что служба Web Client запущена.

Если же нужно расшарить определенную папку на диске, необходимо создать виртуальный каталог IIS. Для этого щелкните правой кнопкой мыши по сайту и выберите ‘Add New Virtual Directory’:

Картинка с сайта: winitpro.ru

Укажите алиас (имя виртуального каталога IIS) и путь к папке, к которой необходимо открыть доступ и нажмите OK.

Теперь, чтобы подключить данный каталог, нужно воспользоваться командой:

net use * _https://winitpro.ru/projects

Сетевой диск, подключенный по WebDAV выглядит так:

Картинка с сайта: winitpro.ru

Как вы видите WebDAV — это отличное средство для удаленного доступа к файлам и папкам в Windows поверх протокола HTTP, которое можно использовать, даже через межсетевой экран. Кроме того, так как WebDAV базируется на службе IIS, это означает, что в такой архитектуре мы можем использовать различные технологии обеспечения безопасности и средства управления IIS, в том числе HTTPS для шифрования передаваемых данных (при использовании обычного HTTP вся информация передается в открытом виде, кроме пароля, который при использовании Windows Authentication шифруется).

Опишем еще несколько аспектов использования WebDAV

• Если вы используете Basic authentication вместе с HTTP, это означит, что ваш пароль будет пересылаться в открытом виде, поэтому лучше использовать протокол HTTPS или все-таки включить аутентификацию Windows.
• Не забудьте, что IIS работает из под учетной записи, у которой нет доступа к большинству каталогов и файлам, поэтому придется назначить NTFS права этой учетной записи вручную.
• Для того, чтобы подключить диск по WebDAV с клиента Windows XP, необходимо убедится, что запущена служба WebClient
  

  Картинка с сайта: winitpro.ru

• Чтобы подключить каталог WebDAV по HTTPS, воспользуйтесь командой:

  net use x: "_https:// winitpro.ru/projects " /User:UserName Password

Задача:

Имеется общая папка на сервере компании. К ней разграничен доступ пользователей правами NTFS. Пользователи локальной сети имеют доступ к подпапкам этой папки — туда, куда им прописан доступ.

Однако, есть группа внешних корпоративных пользователей — тех, которые хотели бы получить доступ к этой папке со своими правами из сети Internet. А так же нужно предоставить пользователям ЛВС возможность подключаться к этой папке извне (из Internet) на случай, например, работы из дома или с мобильных устройств.

Решение:

Конечно, можно воспользоваться, например FTP, но, как показывает практика, для пользователей это сложновато.

Можно использовать VPN. Но, в этом случае, внешний пользователи получат доступ не только к заданной папке, но и к прочим ресурсам ЛВС.

Поэтому воспользуемся самым «красивым» способом решения этой задачи — технологией WebDAV. Эта технология позволяет предоставлять доступ пользователям к заданным папкам как из ЛВС, так и из Internet по протоколам http и https, разграничивая права, соответственно прописанным в папках NTFS разрешениям.

При использовании WebDAV на клиентских компьютерах с ОС MS Windows не требуется никакого дополнительного программного обеспечения. Служба «Веб клиент» уже встроена в саму операционную систему, начиная с Windows 2000. Пользователь же будет видеть ресурсы, подключенные через WebDAV прямо из проводника Windows.

Итак, приступим к настройке сервера WebDAV на MS Windows 2003 Server Standart Edition с установленным Internet Information Services 6 (IIS6) и включенным расширением WebDAV:

1. Во-первых, конечно, убеждаемся что у нас установлены и запущены службы IIS6 (в частности, служба Веб-публикации). А так же в том, что расширения WebDAV включены. Все это можно сделать из оснастки Администрирования IIS (Диспетчер служб IIS):

   

   Картинка с сайта: manaeff.ru

2. В проводнике создаем папку (если ее еще нет), к которой будем предоставлять общий доступ и назначаем права NTFS для пользователей и групп. Папка может располагаться как на этом сервере, так и быть любым общим ресурсом в ЛВС. В примере назовем папку «Exchange». Пусть она располагается по пути \\Server\Exchange

3. В диспетчере служб IIS открываем свой веб-узел — тот, через который будем предоставлять WebDAV доступ. Для примера пусть это будет веб-узел с именем «my.server.ru». Если веб-узла еще нет, то его нужно создать.

4. На этом веб-узле создаем виртуальный каталог:

   

   Картинка с сайта: manaeff.ru

   1. Дадим ему имя такое же, как и имя общей папки «Exchange» — просто чтобы не было путаницы. Вообще ему можно присвоить любое имя. Это имя и будет частью url-адреса нашего WebDAV ресурса. В нашем примере: http://my.server.ru/Exchange

   2. Указываем путь до нашей папки «Exchange». Это означает что виртуальный каталог http://my.server.ru/Exchange будет сопоставлен папке \\Server\Exchange

   3. Устанавливаем глобальные права доступа на виртуальный каталог: чтение, запись, обзор:

      

      Картинка с сайта: manaeff.ru

      Это глобальные права для всех пользователей, который будут подключаться через WebDAV. То есть мы в принципе разрешаем чтение, запись и обзор при подключении через WebDAV. Если здесь не дать права на запись, то ни один пользователь, подключающийся к папке посредством WebDAV не сможет ничего в нее записать, несмотря на то, что NTFS права позволяют ему это сделать. То же самое с чтением и обзором. Поэтому здесь предоставляем глобальные права на чтение, запись и обзор, а права для конкретных пользователей и групп уже будут определяться NTFS.

5. Настраиваем наш глобальный каталог:

   1. Открываем свойства глобального каталога «Exchange»

   2. На вкладке «Безопасность каталога» в разделе «Управление доступом и проверка подлинности» нажимаем кнопку «Изменить»

   3. В открывшемся окне «Методы проверки подлинности» отключаем анонимный доступ. В разделе «Доступ с проверкой подлинности» снимаем галочку «Встроенная проверка подлинности Windows» (так как мы не будем пользоваться встроенной проверка подлинности веб-обозревателей) и ставим — «Краткая проверка для серверов доменов Windows». Этот метод поддерживается только для учетных записей Active Directory, при этом по сети передается не пароль открытым текстом, а хешированное значение.

      

      Картинка с сайта: manaeff.ru

   4. Сохраняем изменения и снова оказываемся на вкладке «Безопасность каталога»

   5. Если для сайта еще не установлен сертификат, то устанавливаем его, нажимая на кнопку «Сертификат» в разделе «Безопасные подключения». Далее выполняем все шаги мастера получения сертификата.

   6. Сохраняем изменения и снова оказываемся на вкладке «Безопасность каталога»

   7. Теперь настроим обязательное требование безопасного канала (SSL). В разделе «Безопасные подключения» нажимаем кнопку «Изменить» и в открывшемся окне «Безопасные подключения» ставим галочку «Требуется безопасный канал (SSL)». В разделе «Сертификаты клиентов» устанавливаем переключатель в положение «игнорировать сертификаты клиентов» если мы не планируем использовать сертификаты клиентов либо — в положение «принимать сертификаты клиентов», если планируем использовать сертификаты клиентов когда-нибудь в будущем, либо — в положение «требовать сертификаты клиентов» если уже пользуемся клиентскими сертификатами. Самое нейтральное положение — «принимать сертификаты клиентов» — при этом, если сертификаты клиента есть — они будут приниматься, а если нет, — то нет.

6. Если этот сервер подключается к Internet через роутер/NAT, то нам понадобится сделать проброс http и https портов, которые используются веб-узлом my.server.ru.В нашем случае это нестандартные порты 88 и 587 (вместо стандартных 80 и 443 соответственно).

   Проброс портов индивидуален для каждого роутера и не представляет сложности. Во вне можно транслировать как порты, на которых крутится веб-узел (88->88 и 587->587), так и ретранслировать их на другие, альтернативные порты (например, 88->98 и 587->687). При этом следует помнить, что когда мы подключаемся к WebDAV ресурсу из ЛВС, то нужно подключаться по внутренним портам, а когда подключаемся из Internet, — то к внешним.

   Например, если мы ретранслировали на NAT порты (88->98 и 587->687), то из лвс подключаемся к http://my.server.ru:88/Exchange или к https://my.server.ru:587/Exchange, а из Internet ,будем подключаться к http://my.server.ru:98/Exchange или к https://my.server.ru:687/Exchange.

   Здесь еще нужно помнить, что при подключении из ЛВС доменное имя my.server.ru должно преобразовываться в ip-адрес из локальной сети (например, 192.168.1.1), а при подключении из Internet имя my.server.ru должно преобразоваться в нормальный «белый» (маршрутизируемый) ip-адрес. Этого можно добиться, используя локальные DNS серверы для клиентов ЛВС. Либо можно подключаться, используя не имена хостов, а их ip-адреса (http://192.168.1.1:88/Exchange).

Теперь настроим клиентские компьютеры.

1. Для всех ОС — проверяем, чтобы служба «Веб-клиент» была включена и запущена

2. Для Windows XP и ниже:

   1. Открываем «Сетевые подключения»

      01.JPG (18.5 КБ) 29979 просмотров

   2. Выбираем «Новое место в сетевом окружении»

      09.JPG (24.61 КБ) 29979 просмотров

      (Либо то же самое делаем через «Подключение сетевого диска» -> «Подписаться на хранилище в Интернете или подключиться к сетевому серверу»)

      

      Картинка с сайта: manaeff.ru

   3. Указываем соответствующий путь в формате для http: http://server_address:port/folder, для https: https://server_address:port/folder

      В нашем примере для ЛВС — https://192.168.1.1:587/Exchange, для Internet — https://my.server.ru:687/Exchange

      

      Картинка с сайта: manaeff.ru

   4. Вводим имя пользователя и пароль, от имени которого будем открывать NTFS ресурсы общий папки WebDAV. Имя пользователя нужно вводить не указывая домен, так как он уже указан на сервере в настройках безопасности WebDAV каталога, в методах проверки подлинности, в доступе с проверкой подлинности указана область «domain.local»

      

      Картинка с сайта: manaeff.ru

   5. Получаем новый ресурс в папке «Сетевые подключения»

      08.JPG (25.25 КБ) 29979 просмотров

   6. Вытаскиваем ярлык для этого ресурса или его подпапок, например, на рабочий стол

   7. Пользуемся ресурсом WebDAV как обычной папкой в проводнике

      10.JPG (31.9 КБ) 29979 просмотров

3. Для Windows Vista и выше:

   1. Подключаем ресурс WebDAV

      Вариант 1:

      Прямо в проводнике набираем адрес в формате:

      Код: Выделить всё

      \\<имя_компьютера>@<порт>\<путь>\DavWWWRoot

      То есть, для http по стандартному порту это будет: \\<имя_компьютера>@80\<путь>\DavWWWRoot, а для https по стандартному порту это будет: \\<имя_компьютера>@ssl\<путь>\DavWWWRoot

      Для http по нестандартному порту это будет: \\<имя_компьютера>@port\DavWWWRoot, для https по нестандартному порту: \\<имя_компьютера>@ssl:port\<путь>\DavWWWRoot или так: \\<имя_компьютера>@ssl@port\<путь>\DavWWWRoot

      В нашем примере (поскольку мы разрешили только SSL подключения) для ЛВС: \\192.168.0.1@ssl:587\Exchange, для Internet: \\my.server.ru@ssl:687\Exchange

      Вариант 2:

      Подключаем сетевой диск, указывая адрес в формате (как описано выше)

      Код: Выделить всё

      \\<имя_компьютера>@<порт>\<путь>\DavWWWRoot

      либо в формате (как описано в подключении для Windows XP)

      Код: Выделить всё

      http://server_address:port/folder
      https://server_address:port/folder

      Вариант 3:

      Добавляем сетевое расположение через «Подключение сетевого диска» -> «Подключение к веб-сайту, на котором вы можете хранить документы и изображения»), указывая адрес в формате (как описано выше)

      Код: Выделить всё

      \\<имя_компьютера>@<порт>\<путь>\DavWWWRoot

      либо в формате (как описано в подключении для Windows XP)

      Код: Выделить всё

      http://server_address:port/folder
      https://server_address:port/folder

      

      Картинка с сайта: manaeff.ru

   2. Вводим имя пользователя и пароль, от имени которого будем открывать NTFS ресурсы общий папки WebDAV. Имя пользователя нужно вводить не указывая домен, так как он уже указан на сервере в настройках безопасности WebDAV каталога, в методах проверки подлинности, в доступе с проверкой подлинности указана область «domain.local»

      

      Картинка с сайта: manaeff.ru

   3. Вытаскиваем ярлык для этого ресурса или его подпапок, например, на рабочий стол

   4. Пользуемся ресурсом WebDAV как обычной папкой в проводнике

      

      Картинка с сайта: manaeff.ru

Примечание: Просто для просмотра файлов и папок на ресурсе WebDAV можно пользоваться веб-обозревателем, введя в адресной строке url своего ресурса, например https://my.server.ru:587/Exchange

Для опытных пользователей, у которых уже есть свой веб-узел c http и https, доступный как из ЛВС, так и из Internet, и у которых уже есть общая рабочая папка, вся эта длительная процедура сводится к следующим шагам:

1. Создаем виртуальный каталог, указывая путь на общую папку

2. Отключаем анонимный доступ к этому каталогу

3. Включаем обязательное требование безопасного канала (SSL)

4. Настраиваем клиентов для подключения по https

Статья по теме: Неочевидные аспекты использования WebDAV в Windows

Обновлено: 05.10.2020
Опубликовано: 2016 год или раньше

В качестве примера используется Windows Server 2012 R2 (2016, 2019). Инструкция разбита на несколько шагов и представляет из себя полный цикл настройки файлового хранилища для использования в малых и средних компаниях.

Выбор оборудования и подготовка сервера
Установка Windows и настройка системы
Базовые настройки файлового сервера
Тюнинг файлового сервера или профессиональные советы
Настройка средств обслуживания
Тестирование

Шаг 1. Выбор оборудования и подготовка сервера

В качестве сервера, желательно, выбрать профессиональное оборудование. Системные требования для файлового сервера не высокие:

• Процессор может быть самый простой;
• Оперативная память также не сильно используется;
• Дисковая система — самый основной компонент. Ее объем зависит от специфики бизнеса. Примерная формула — не менее 15 Гб на пользователя и не менее 1 Тб на сервер. До 50 пользователей можно рассматривать диски SATA, после — SAS или SSD.

Например, для компании в 300 пользователей подойдет сервер с процессором Xeon E3, 8 Гб ОЗУ и 5 Тб дискового пространства на дисках SAS 10K.

Дополнительные требования

1. Для обеспечения сохранности информации при выходе из строя жесткого диска, необходим RAID-контроллер. Настройка последнего выполняется из специального встроенного программного обеспечения, которое запускается при загрузке сервера;
2. Сервер должен быть подключен к источнику бесперебойного питания;
3. Необходимо предусмотреть резервное копирование. Для этого нужен дисковый накопитель (внешний жесткий диск) или другой сервер.

Подробнее о выборе оборудования читайте статью Как выбрать сервер.

Шаг 2. Установка Windows и настройка системы

Установка системы

На этом шаге все стандартно, за исключением одного нюанса: разбивая во время установки Windows жесткий диск, стараемся выделить небольшую часть (70 — 120 Гб) для системы и все остальное под данные. Если выделить много дискового пространства для системного раздела, увеличится время его обслуживания и фрагментация, что негативно скажется на производительности и надежности системы в целом.

Настройка системы

1. Проверяем правильность настройки времени и часового пояса;
2. Задаем понятное имя для сервера и, при необходимости, вводим его в домен;
3. Если сервер не подключен напрямую к сети Интернет, стоит отключить брандмауэр;
4. Для удаленного администрирования, включаем удаленный рабочий стол;
5. Устанавливаем все обновления системы.

Шаг 3. Базовые настройки файлового сервера

Это стандартные действия, которые выполняются при настройке обычного файлового сервера.

Установка роли и вспомогательных компонентов

Как правило, данная роль устанавливается вместе с Windows. Остается только это проверить и доустановить компоненты, которые нужны для полноценной эксплуатации сервиса.

Открываем Диспетчер серверов. Он может быть запущен из панели быстрого запуска.

Нажимаем Управление — Добавить роли и компоненты.

В открывшемся окне оставляем Установка ролей и компонентов и нажимаем Далее.

В следующем окне выбираем нужный сервер (выбран по умолчанию, если работаем на сервере, а не через удаленную консоль) и нажимаем Далее.

Среди ролей находим Файловые службы и службы хранилища, раскрываем ее и проверяем, что установлены галочки напротив следующих компонентов:

• Службы хранения;
• Файловый сервер;

Если данные службы не установлены, выбираем их и нажимаем Далее.

В окне Выбор компонентов просто нажимаем Далее.

Откроется окно Подтверждение установки компонентов. Нажимаем Установить и после окончания процесса перезагружаем сервер.

Настройка шары (общей папки)

Создаем первую папку, которую хотим предоставить в общее использование. Затем кликаем по ней правой кнопкой мыши и нажимаем Свойства:

В открывшемся окне переходим на вкладку Доступ и нажимаем Расширенная настройка:

Ставим галочку Открыть общий доступ к этой папке и нажимаем кнопку Разрешения:

Предоставляем полный доступ всем пользователям:

* конечно же, мы не будем давать доступ всем пользователям, но для этого есть вкладка безопасность (см. ниже).

Нажимаем OK и еще раз OK.

Теперь переходим на вкладку Безопасность и нажимаем Дополнительно:

В открывшемся окне нажимаем Отключение наследования и Преобразовать унаследованные разрешения в явные разрешения этого объекта.

Картинка с сайта: www.dmosk.ru

Нажимаем OK и Изменить. 

Выставляем необходимые права на папку, например:

Совет: старайтесь управлять правами на ресурсы только при помощи групп. Даже если доступ необходимо предоставить только одному человеку!

Теперь нажимаем OK два раза. Папка настроена для общего использования и в нашем примере доступна по сетевому пути \\fs1\Общая папка.

Шаг 4. Тюнинг файлового сервера или профессиональные советы

Данные настройки, по сути, представляют секреты того, как сделать файловый сервер лучше, надежнее и безопаснее. Применяя их, администраторы создают более правильную и профессиональную среду ИТ.

DFS

С самого начала стоит создавать общие папки в пространстве имен DFS. На это есть две основные причины:

1. При наличии или появлении нескольких файловых серверов пользователям будет удобнее находить общие папки в одном месте.
2. Администратор легко сможет создать отказоустойчивую систему при необходимости.

Как создать и настроить DFS читайте в статьях Как установить и настроить DFS и Как установить и настроить DFS с помощью Powershell.

Теневые копии

Позволят вернуться к предыдущим версиям файлов. Это очень полезная функция позволит не только восстановить некорректно отредактированный документ, но и вернуть случайно удаленный файл или папку.

Как настроить и пользоваться данной возможностью, читайте подробнее в инструкции Как включить и настроить теневые копии.

Аудит

Аудит позволит вести протокол доступа к данным — понять, кто и когда удалил важные данные или внес в них изменения.

О том, как настроить данную возможность читайте статью Как включить аудит доступа к файлам Windows. 

Анализатор соответствия рекомендациям

В диспетчер управления серверами Windows встроен инструмент для проверки конфигурации сервера — анализатор соответствия рекомендациям. Чтобы им воспользоваться переходим в диспетчере в Локальный сервер:

Находим раздел «Анализатор соответствия рекомендациям» и справа кликаем по ЗАДАЧИ — Начать проверку BPA:

Рассмотрим решения некоторых рекомендаций.

1. Для XXX должно быть задано рекомендованное значение.

Это набор однотипных рекомендаций, для выполнения которых нужно обратить внимание на описание и задать значение параметро, которое в нем указано. Например, для CachedOpenLimit в описании проблемы есть описание решения — «Задайте для CachedOpenLimit рекомендуемое значение 5». Чтобы это сделать, открываем Powershell от администратора и вводим команду:

Set-SmbServerConfiguration -CachedOpenLimit 5

* мы задаем параметру CachedOpenLimit значение 5, как это и рекомендовано анализатором.

На запрос, уверены ли мы, что хотим выполнить команду, отвечаем утвердительно.

Остальные параметры задаем аналогичными действиями.

2. Файл Srv.sys должен быть настроен на запуск по требованию.

В командной строке от имени администратора вводим:

sc config srv start= demand

3. Создание коротких имен файлов должно быть отключено.

В командной строке от имени администратора вводим:

fsutil 8dot3name set 1

Шаг 5. Настройка средств обслуживания

Ни одна инфраструктура не может полноценно существовать без мониторинга и резервного копирования. Предупредить о возможной проблеме, узнать о последней раньше пользователей или иметь возможность восстановить данные — показатели высокой ответственности и профессионализма системного администратора.

Резервное копирование

Для файлового сервера все просто — необходимо резервировать все рабочие папки и файлы. Лучшим решением будет ежедневное копирование новых данных, и с определенной периодичностью (например, раз в месяц), создавать полный архив.

Мониторинг

Мониторить стоит:

1. Сетевую доступность сервера;
2. Свободное дисковое пространство;
3. Состояние жестких дисков.

Шаг 6. Тестирование

Тестирование состоит из 3-х основных действий:

1. Проверить журналы Windows и убедиться в отсутствие ошибок. В случае их обнаружения, необходимо устранить все проблемы.
2. Выполнить действия анализатора соответствий рекомендациям.
3. Провести живой тест работы сервиса с компьютера пользователя.