Windows+网络编程技术(二)Windows_网络编程技术(二)_.pdf

《Windows+网络编程技术(二)Windows_网络编程技术(二)_.pdf》由会员分享，可在线阅读，更多相关《Windows+网络编程技术(二)Windows_网络编程技术(二)_.pdf（9页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、下载第2章 重 定 向 器Wi n d o w s使应用程序能通过操作系统内建的文件系统服务在网络上通信。有时候，我们将之称为“网络操作系统”（N O S）能力。本章准备利用Windows 95、Windows 98、Wi n d o w sN T、Windows 2000和Windows CE等均含有的Wi n d o w s文件系统组件，向大家展示这些网络连接能力。本章的目的是让大家理解这些能力与邮槽和命名管道连网技术的关系。邮槽和命名管道连网技术分别是第3章和第4章的主题。若应用程序希望访问本地系统中的文件，需要依赖操作系统来满足 I/O（输入输出）请求。我们通常把它称为“本地 I/O”

2、。例如，在一个应用程序打开或关闭文件时，需要由操作系统来决定如何访问包含了指定文件内容的一个设备。找到设备后，I/O请求会被转发给一个本地设备驱动程序。通过网络来访问一个设备也同样。然而，I/O请求必须通过网络转发给对应的远程设备。我们将其称为“I/O重定向”（I/O Redirection）。例如，Wi n d o w s允许我们将一个本地磁盘标识符（如 E:）映射或重定向到远程计算机上的一个目录共享入口。应用程序若指出自己需要使用E:时，操作系统便会将 I/O请求自动重定向至一个设备，那个设备叫作“重定向器”（R e d i r e c t o r）。重定向器会建立到远程计算机的一个网络信

3、道，以便访问指定的远程目录。随后，应用程序可自由使用一些常规的文件系统 A P I函数，比如R e a d F i l e（读文件）和Wr i t e F i l e（写文件）等。虽然实际是通过网络访问的，但表面上却与访问本地文件无异。本章着重讲解了如何通过重定向器将普通的 I/O请求“重定向”到远程设备。本章内容对于以后的学习异常重要，重定向机制是邮槽和命名管道技术的基础。首先，我们打算解释如何通过网络，使用“多U N C提供者”（Multiple UNC Provider,MUP）资源定位符，通过“通用命名规范”（Universal Naming Convention,UNC）来引用远程文

4、件。随后，我们讲解了M U P如何调用一个网络提供者，从而揭示出怎样通过一个重定向器，在“服务器消息块”（Server Message Block,SMB）协议的帮助下，在不同的计算机之间建立数据通信。最后，我们探讨了网络安全方面的一些问题。使用基本的文件 I/O操作，通过网络来访问文件时，这些安全问题是必须考虑到的。2.1 通用命名规范“U N C路径”?为网络文件及设备的访问建立了一套统一的规范。它最大的特点便是不必指定或引用一个已映射到远程文件系统的本地驱动器字母。这一点非常重要，因为应用程序可变得“与驱动器字母无关”。在复杂的网络环境中，应用程序不必对此有任何顾忌。同引用本地驱动器字母

5、的方法相比，U N C名字要优越得多，因为在访问共享资源时，不必担心用光有限的驱动器字母的问题。另外，驱动器字母的分配也和具体的用户有着密切的联系如果进程在你的用户环境中不能运行，便无法利用由你规定的驱动器字母映射关系。U N C名字完全解决了这些问题，它的格式如下：服务器 共享名 路径第一部分是 服务器，必须以两个反斜杠开头，紧跟着一个服务器名字。服务器的名字代表着网络中的一台远程服务器，我们想访问的远程文件便位于其中。在 U N C名字中，第二部分是 共享名，它对应着远程服务器上的一个“共享入口”或者“共享位置”。所谓“共享位置”，实际就是文件系统中的一个目录（包括根目录），表示可共享的资

6、源便放在这个位置下面，是其他机器获取共享资源的“入口”。而第三部分 路径?对应的是共享位置下的某个具体目录（或子目录）。举个例子来说，假定现在有一台名为 M y s e r v e r的服务器，在其本地硬盘驱动器D:上设置了一个共享目录，名为 D:M y f i l e s C o o l M u s i c，并将这一长串名字简化为“M y s h a r e”这个易记的“共享名”。现在，假定该共享目录下含有一个名为 S a m p l e.m p 3文件。那么，假如网络中其他任何一台机器想引用（访问）这个 M P 3音乐文件，只需像下面这样指定它的U N C名字即可：M y s e r v

7、e r M y s h a r e S a m p l e.m p 3可以看出，与其将一个本地驱动器映射到共享目录 M y s h a r e，还不如通过网络用U N C名字来直接引用一个文件因为所有机器使用的都是同样的U N C名字！若通过U N C名字在网络中引用文件，应用程序便不必关心通过网络建立连接的细节，这显然是一种非常出色的设计。使用 U N C名字，系统便可非常轻松地定位网络服务器共享目录以及文件路径。网络通信的所有细节都是由网络提供者的“重定向器”来负责控制的，本章稍后即会对此进行详细论述。完成了第 3和第4章的学习之后，大家便会知道邮槽和命名管道技术非常依赖U N C名字。在

8、图2-1中，我们展示了Wi n d o w s环境下在网络操作系统上建立 U N C连接所需的一些常规组件。此图也显示了数据流在客户机与服务器的N O S组件之间逐渐推进的情况。以前面的U N C路径 M y s e r v e r M y s h a r e S a m p l e.m p 3为基础，本章将对每一个组件进行细致讲解，并阐述通过一个网络来打开这个文件的过程。图2-1 重定向器的各个组件46计计第一部分附传统网络API下载客户户户机应用程序本地I/O重定向器服务器服务MUP重定向器网络提供者传送驱动程序传送驱动程序网络接口卡网络接口卡服户务户器2.2 多UNC提供者M U P如图

9、2-1是一种资源定位器，负责选择具体的网络提供者，来满足 U N C连接请求。所谓“网络提供者”（Network Provider），其实就是一种服务，可通过网络硬件访问位于一台远程计算机上的资源（如文件和打印机）。M U P需要通过一个网络提供者，在以 U N C名字为基础的所有文件及打印机I/O请求上提供服务，建立通信关系。Windows NT、Windows 2000、Windows 95以及Windows 98均支持多个网络提供者的安装。举个例子来说，?Wi n d o w s平台支持一个名为“M i c r o s o f t网络用户”（Client for MicrosoftN e

10、 t w o r k）的网络提供者。当然，亦可安装除微软以外的其他网络提供者，比如 N o v e l l公司的Novell Client v3.01 for Windows 95/98等等。换句话说，一次可能有多个网络提供者为一个U N C请求提供服务。但必须注意的是，Windows CE目前仅支持一个网络提供者：“M i c r o s o f t网络用户！”M U P的基本任务便是决定具体由哪个网络提供者来满足一个 U N C请求。为作出这个决定，M U P需将请求中提到的 U N C名字发给已经安装好的每一个提供者（以并行方式）。若某个网络提供者表明自己能够提供 U N C名字牵涉到的

11、那一种服务，M U P便会将请求中剩余的部分发给它。如果有多个提供者都表示能够服务一个 U N C请求，M U P便会根据优先级，挑选出最恰当的一个提供者。网络提供者的优先级是由各个提供者在系统内安装的顺序决定的。在Windows NT、Windows 2000、Windows 95和Windows 98中，要想对这种优先级进行改动，可考虑对注册表（R e g i s t r y）中一个名为P r o v i d e r O r d e r的键值进行修改。它的位置在：H K E Y _ L O C A L _ M A C H I N E S Y E T E M C u r r e n t C

12、o n t r o l S e t C o n t r o l N e t w o r k P r o v i d e r O r d e r根据优先级，已安装的各个网络提供者会按照先后顺序排列。由于 Windows CE只有一个网络提供者，所以根本就不会用 M U P来解析U N C名字。相反，U N C请求会直接进入那个唯一的提供者。2.3 网络提供者如前所述，网络提供者实际只是一种服务，通过网络硬件来访问位于远程计算机上的共享资源，比如文件和打印机等等。事实上，这正是网络操作系统的一种核心功能。网络提供者具备的最主要的功能之一便是将本地磁盘标识符（如 E:）重定向至远程机器上的一个磁盘目

13、录。作为提供者，它必须能为 U N C连接请求提供服务。在 Wi n d o w s环境中，网络提供者需要向操作系统展示出一个重定向器，从而做到这一点。Wi n d o w s最有特色的一个网络提供者称为“M i c r o s o f t网络用户”，以前叫作“M i c r o s o f t网络提供者”（M S N P）。打开前述的注册表目录，排在第一名的往往便是“M S N P 3 2”。通过M S N P，可在Windows NT 4、Windows 2000、Windows 95、Windows 98和Windows CE间自由地通信。但要注意的是，Windows CE不支持多个网络

14、提供者，只提供了对 M S N P的内建客第2章计重 定 向 器计计47下载户端支持。2.4 重定向器简介“重定向器”由网络提供者展示给用于接收和处理远程 I/O服务请求的操作系统。要做到这一点，它需要格式化服务请求消息，再将其发给远程计算机的重定向器服务器服务。远程机器的重定向器服务器服务收到这个请求之后，?会以发出本地I/O请求的方式，来满足这一请求。由于重定向器需要为较高级的服务（如 M U P）提供I/O服务，所以会在应用程序面前，将网络层的工作细节隐藏起来。这样一来，应用程序便毋需为重定向器提供协议特有的一些参数。因此，我们认为网络提供者是“与协议无关”的。换言之，在几乎任何网络配置

15、中，应用程序都能正常运作。M S N P提供了一个特殊的重定向器，可直接与网络传送层和 N e t B I O S打交道，以便在客户机与服务器之间建立通信。本书第 1章讨论的NetBIOS API函数提供了一系列编程接口，正好可以做相同的事情。由 M S N P提供的这个重定向器有一个通俗的名字，叫作“L A N管理器重定向器”（LAN Manager Redirector）。之所以叫这个名字，是由于当初设计它的时候，针对的便是老式的Microsoft LAN Manager软件，以便为 M S-D O S应用程序提供网络操作系统能力（欲了解N e t B I O S编程接口的详情，请参阅第

16、1章）。N e t B I O S接口可通过大量网络协议进行通信。这便使得M S N P重定向器具有了“与协议无关”的特性，即应用程序不必关注某种网络协议的具体工作细节！若在自己的程序中使用了 M S N P重定向器，便能通过T C P/I P、N e t B E U I甚至I P X/S P X进行通信。显然，这是一种非常有价值的特性，因为无论网络在物理上是如何构成的，程序都可以正常地实现通信。然而，我们仍应留意一个重要的问题。两个应用程序要想通过网络相互通信，那么对两个工作站来说，必须有一种协议是“通用”的。换言之，两者必须至少安装同一种通信协议。举个例子来说，假定工作站 A只安装了T C

17、 P/I P，而工作站B只安装了I P X。此时，尽管M S N P重定向器是“与协议无关”的，但仍会对此一筹莫展，无法通过一个网络在这两个工作站之间建立正常的通信。M S N P重定向器与其他工作站通信时，需要向对方的“重定向器服务器”服务发送消息。这些消息采用一种固定的结构形式，称为 S M B。至于重定向器具体如何收发消息，要由“服务器消息块文件共享”（Server Message Block File Sharing）协议来决定，或简称S M B协议。2.5 服务器消息块S M B协议最早是由微软及 I n t e l于8 0年代末期联合开发成功的。当时的设计宗旨是让远程的文件系统能由

18、 M S-D O S程序进行“透明”的访问。发展至今，这种协议的作用变得非常单一，就是以S M B数据结构的形式，让 Windows MSNP重定向器与远程工作站的 M S N P服务器服务进行通信。在 S M B数据结构中，总共包含了三个基本组件：命令代码、命令特有的以及用户数据。S M B协议采用的是一个非常简单的“客户机请求服务器响应”传输模型。M S N P重定向器创建一个S M B结构时，需要在“命令代码”字段中指定一个特定的请求。若命令要求的是发送数据，比如一条 S M B写指令，数据便会随结构一道传送出去。随后，S M B结构会通过一种像T C P/I P这样的传送协议传给一个远

19、程工作站的服务器服务。远程工作站的服务器服务会对收到的客户机请求进行处理，然后将一个 S M B响应数据结构传回客户机。48计计第一部分附传统网络API下载现在，大家知道了通过M S N P重定向器建立通信时，需要用到哪些基本组件。接下来，且让我们看看假定通过一个网络打开 M y s e r v e r M y s h a r e S a m p l e.m p 3，那么各组件的通信情况是怎样的。如下所示：1)使用C r e a t e F i l e这个A P I函数，应用程序向本地操作系统提交一个请求，要求打开 M y s e r v e r M y s h a r e S a m p l

20、 e.m p 3。2)根据从U N C路径描述中获得的信息，本地（本机）操作系统的文件系统判断出该I/O（输入输出）请求的目的地是一台远程机器，名为 M y s e r v e r，所以将此请求传递给M U P。3)MUP调查出该I/O请求发给的是一个 M S N P提供者，因为网上的 M y s e r v e r机器正在使用N e t B I O S名字解析机制。4)I/O请求随即传给M S N P提供者的重定向器。5)重定向器将此请求格式化成一条 S M B消息，要求打开包含在远程 M y s h a r e目录下的S a m p l e.m p 3文件。6)格式化好的S M B消息终于

21、通过一种网络传送协议，正式送入网络。7)名为 M y s e r v e r的服务器从网上接收到这个 S M B请求，并将请求传给服务器的 M S N P重定向器服务器服务。8)服务器的重定向器服务提交一个本地 I/O请求，希望打开位于 M y s h a r e这个共享位置处的S a m p l e.m p 3文件。9)服务器的重定向器服务格式化好一条 S M B响应消息，指出本地打开文件的 I/O请求是成功，还是失败。10)通过一种网络传送协议，服务器的这条 S M B响应消息返回客户机。11)MSNP重定向器收到服务器的这条 S M P响应消息，并向本机操作系统传递一个返回代码。12)本

22、机操作系统再将该代码返回给当初应用程序的 CreateFile API请求。从中可以看出，M S N P重定向器必须经历大量步骤，才能让一个应用程序访问到远程资源。当然，M S N P重定向器也需要对网络资源提供访问控制服务。这其实正是“网络安全”机制的一部分。2.6 安全问题这里对安全问题的讨论只限于通过网络对资源的访问。但在深入探讨如何保证通过网络安全访问一个资源之前，首先要对本地机器（本机）的安全机制有一定程度的了解。针对像文件和目录这样的系统资源，Windows NT和Windows 2000都同时提供了本地和远程访问控制的能力。在此，需要将这些资源看作需要“保密”的对象。若应用程序试

23、图访问一个保密对象，操作系统便会检查该程序，看它是否有那个对象的“访问权限”。访问权限共分几种，最基本的包括读、写以及执行。Windows NT和Windows 2000是通过“安全描述符”以及“访问令牌”来实现访问控制的。2.6.1 安全描述符对需要保密的所有对象来说，都应包含一个特殊的“安全描述符”（Security Descriptor），规定自己特有的访问控制信息。在一个安全描述符内，包含了一个 S E C U R I T Y _ D E S C R I P TO R第2章计重 定 向 器计计49下载结构，以及对应的安全信息，包括：所有人安全标识符（Security Identifie

24、r，S I D）：代表对象所有人。组S I D：指定对象的主组所有人。授权访问控制列表（Discretionary Access Control List，D A C L）：指定能由哪些人进行什么类型的访问。访问类型包括读、写及执行权限等。系统访问控制列表（System Access Control List，S A C L）：指定需要为哪些类型的访问企图生成审核记录，以便将来稽查。就程序本身来说，无权直接对一个安全描述符结构的内容进行修改。然而，我们可利用一些Wi n 3 2安全A P I函数，来进行这种形式的修改。通过这些 A P I，可进行安全信息的设置与获取。在本章结束的时候，会向大家

25、展示具体如何操作。1.访问控制列表和访问控制实体安全描述符的D A C L和S A C L字段指定的是访问控制列表（access control list,ACL）。这些字段可能包含了零值，或包含着更多的访问控制条目（access control entities,ACE）。每个A C E都负责控制或监视着指定用户或用户组对一个对象的访问。在一个 A C E中，包含着下述类型的访问控制信息：一个S I D，标识着该A C E应用于哪个用户或用户组。一个掩码，指出象读、写和执行这样的访问权限。一个标志，指出A C E所属的类型允许访问、拒绝访问或者系统审核等。注意系统审核A C E仅在S A C

26、 L中使用，而允许访问和拒绝访问这两种 A C E类型在D A C L中使用。在图2-2中，我们展示了一个文件对象的D A C L设置情况。图2-2 设置了DACL的一个文件对象对一个保密对象来说，假如没有 D A C L（它的D A C L已被A P I函数S e t S e c u r i t y D e s c r i p t o rD a c l设为一个空值），那么系统就允许所有人拥有对它的“完全”访问权限。若对象有一个D A C L，便会参照D A C L中的A C E设定，只允许进行那些明确允许的访问。假如 D A C L中没有设置A C E，那么任何人都不能以任何形式访问该对象。

27、类似地，假定 D A C L设置了一些“允许访问”A C E，那么凡是A C E中未包括进来的所有用户及用户组，系统都会拒绝他们的访问。50计计第一部分附传统网络API下载所有人SID组SIDDACL允许小张写安全描述符拒绝小马读允许网络部读SACLACEACEACE大多数情况下，我们只需指定“允许访问”A C E就足够了。但下面这种情况是个例外：如果为某个用户组设置了一个“只允许访问”A C E，那么可能还要设置一些“拒绝访问”A C E，将那个组的某些特定成员排除在外。要想达到目的，必须将一个用户的“拒绝访问”A C E放在整个组的“允许访问”A C E之前。注意A C E的顺序是至关重要

28、的，因为除非访问被允许或拒绝，否则系统会一直按序读取 A C E。用户的“拒绝访问”A C E必须放在最前面；否则的话，在系统读到用户组的“允许访问”A C E时，便会为那些受到限制的用户开放不该开放的权限。图2-2展示了如何设置D A C L，以便向一个名为“网络部”的用户组开放读权限。假定在这个组内，包含了小安、小张和小王三名用户。我们的目的是为组内除小安之外的所有人都授予“读”权限。为做到这一点，必须在为整个“网络部”设置“允许访问”权限之前，先为小安设置“拒绝访问”权限。在图 2-中，我们也为小张设置了一个允许访问 A C E，允许他拥有“写”的权力。记住应用程序并不能直接操作 A C

29、 L，它们必须通过一系列涉及安全保密的A P I函数，来做这些事情。2.安全标识符我们知道，在保密对象的安全描述符及 A C E设置中，包含了一个安全标识符（S I D）。所谓S I D，其实是一个独一无二的值，用于标定一个用户帐号、一个用户组帐号或者一次登录会话。对于像Windows NT服务器域这样的安全总监来说，它们需要在一个安全帐号数据库中对S I D信息加以维护。用户登录进入后，系统便会从数据库中取得用户的 S I D，并将其置于一个用户的“访问令牌”中。以后凡是在牵涉到 Windows NT安全的地方，系统都可根据令牌中包含的这个S I D，正确判断出用户的身份。2.6.2 访问令

30、牌用户登录进入一个Windows NT系统后，系统会对用户的帐号名和密码进行验证，两者统称为“登录凭据”。若用户登录成功（即验证通过），系统便会创建一个相应的访问令牌，并将该用户的S I D分配给它。对面向这名用户执行的任何进程来说，都会拥有该访问令牌的一个拷贝。若一个进程试图访问一个受到保护（即保密）的对象，访问令牌中的这个S I D便会与D A C L中分配给S I D的访问权限进行对比。2.7 网络安全到目前为止，我们已简要解释了如何在本地机器上实施安全机制。接下来，打算来看看通过网络访问一个受安全保护的对象时，如何确保安全。如早先所述，M S N P重定向器负责着不同计算机之间的资源访

31、问。此外，M S N P重定向器还要通过创建用户会话凭据的形式，在客户机与服务器之间建立一条安全通信链路。会话凭据共有两种类型的用户凭据：主登录凭据和会话凭据。若用户坐在一台工作站面前，登录进入机器，那么他她的用户名和密码便成为主要的凭据集，并保存在一个访问令牌中。对任何用户来说，在任何时刻，只能存在一套主登录凭据。若用户尝试建立与一个远程资源的连接（无论通过映射驱动器的方式，还是用 U N C名字加以连接），便会对用户的主凭据进行验第2章计重 定 向 器计计51下载证，判断他她拥有对远程资源的何种访问权限。注意对 Windows NT和Windows 2000来说，用户可选择提供一套不同的凭

32、据，以便在针对远程资源进行验证的时候使用。若用户提供的访问凭据是有效的，M S N P重定向器便会在用户的计算机同远程资源之间建立一个会话。重定向器会将会话与会话凭据关联到一起，后者包含了用户计算机用于对远程资源连接进行验证的那些凭据副本。在用户计算机与远程服务器之间，一次只能建立一套会话凭据。若机器 B提供两个共享位置（共享点）：H a c k和 S l a s h，而且假如机器 A的用户将 H a c k映射成G，并将 S l a s h映射成H，那么两个会话都会共享同样的会话凭据，因为它们引用的都是同一个远程服务器。M S N P重定向器服务器服务负责着远程服务器上的安全访问控制。若 M

33、 S N P重定向器服务器试图访问一个受到保护的对象（保密对象），便会用会话凭据来创建一个远程访问令牌。从此时开始，对安全机制的管理便和在本地机器上别无二致。在图 2-3中，我们展示了M S N P重定向器如何通过Windows NT域安全机制，来建立安全凭据。图2-3 安全凭据的演示2.8 一个实例使用M S N P重定向器，通过一个网络，Wi n 3 2应用程序可分别使用C r e a t e F i l e、R e a d F i l e和Wr i t e F i l e这三个A P I函数，来创建、访问以及修改文件。Windows NT和Windows 2000是目前支持Wi n 3

34、2安全机制的唯一平台。在程序清单 2-1中，我们演示了如何编写一个简单的应用程序，通过U N C连接来创建一个文件。这些代码可在配套光盘上找到，位于 E x a m p l e s C h a p t e r 0 2目录下。程序清单2-1 简单的文件创建示例52计计第一部分附传统网络API下载1.使用Windows NT域安全登录凭据，用户登录到工作站A工作站 A工作站 B域控制器2.用户登录凭据由一个Windows NT域控制器加以验证3.用户请求通过U N C连接打开工作站 B上的一个文件4.M S N P重定向器使用步骤 1的登录凭据建立一个会话（或使用在Windows NT和Wi n

35、d o w s2 0 0 0中提供的凭据）5.使用域控制器，远程系统重定向器服务器服务对会话凭据进行验证6.远程系统为U N C请求提供服务（满足它的请求）2.9 小结本章向大家简介了 Wi n d o w s重定向器。利用它，应用程序可通过网络来访问远程的Wi n d o w s文件系统资源。我们首先解释了重定向器在网络上的基本通信方法。随后，讨论了在应用程序使用重定向器时，由Windows NT和Windows 2000提供的一系列安全特性。下面两章将分别讨论邮槽和命令管道这两种非常有用的技术。在其涉及到的所有网络通信中，邮槽和命名管道都要依赖于“重定向器”。第2章计重 定 向 器计计53下载