Руководство пользователя

Содержание

Что такое HopeDFS

HopeDFS — файловый сервер на Linux, к которому сотрудники подключаются как к обычному серверу Windows: \\HOPEFS\Документы в Проводнике, те же права NTFS, «Предыдущие версии» файла. Тот же каталог одновременно доступен клиентам Linux — по SMB или по NFS 4, с теми же правами и блокировками.

В связке с контроллером домена HopeDC сервер получает доменные учётные записи и группы: пользователи входят в общие папки по Kerberos без повторного ввода пароля, а администратор назначает права группам домена.

Руководство написано для администратора, который разворачивает HopeDFS в организации, и для опытных пользователей. Оно идёт по порядку: от установки до подключения к HopeDC, работы с общими папками, совместной работы из Windows и Linux и защиты от шифровальщиков. Снимки экрана сделаны на сборке v153 в светлой теме; панель доступна на русском и английском языках.

Все снимки экрана — с тестового стенда: домен hope.local на HopeDC, сервер HopeDFS с именем HOPEFS, пользователи Пётр Иванов (ivanov) и Анна Петрова (petrova) из группы «Бухгалтерия», Олег Сидоров (sidorov) и Мария Кузнецова (kuznetsova) из группы «Отдел продаж». Подставляйте свои имена.

Порядок действий

Сервер настраивается за восемь шагов; первые семь панель отслеживает сама в путеводителе «Начало работы». Порядок важен: сначала время и домен, потом папки и права — иначе права придётся назначать дважды.

1. Подготовьте сервер. Linux x86-64 (Astra Linux, РЕД ОС, Debian, Ubuntu, RHEL и совместимые), отдельный том под данные — лучше XFS или Btrfs: на них снимки не занимают лишнего места. В настройках сети укажите DNS-сервером контроллер HopeDC.
2. Установите HopeDFS. Одна команда sudo bash install.sh из архива; для изолированной сети есть комплект для переноса на флешке (документ «01. Установка»).
3. Войдите в панель https://<сервер>:7443 как Administrator с начальным паролем из /var/lib/hopedfs/initial_admin_password.txt, примите лицензионное соглашение и смените пароль.
4. Проверьте время. Расхождение часов с контроллером больше 5 минут ломает вход по Kerberos. Настройте chrony или systemd-timesyncd на HopeDC.

5. Подключите сервер к HopeDC — раздел «Домен», ниже.

6. Создайте общие папки и назначьте права группам домена.

7. Включите снимки и проверьте защиту от шифровальщиков (она включена сразу).

8. Настройте уведомления по почте и подключите пользователей Windows и Linux.

При первом входе панель открывает чек-лист «Начало работы»: каждый пункт с кнопкой «Перейти», семь обязательных и шесть дополнительных. Выполненные пункты отмечаются сами, счётчик в шапке («Начало работы 3/7») показывает, сколько осталось. На каждой странице кнопка «?» запускает короткую экскурсию по ней.

Подключение к HopeDC

HopeDFS не становится контроллером домена и не хранит пароли пользователей. Он подключается к HopeDC как рядовой член домена: создаёт себе учётную запись компьютера, получает её ключи и дальше сам проверяет билеты Kerberos пользователей. С контроллером HopeDFS разговаривает только по LDAPS (TCP 636) с проверкой сертификата; открытый LDAP 389 и NETLOGON не используются.

Что подготовить на стороне HopeDC

• DNS. Сервер HopeDFS использует HopeDC как DNS-сервер, а имя hopefs.hope.local должно указывать на его адрес. HopeDFS зарегистрирует это имя сам (см. «Публикация в сети» ниже), но если в зоне уже есть статическая запись с другим адресом — исправьте её.
• Время. Часы HopeDFS и HopeDC расходятся не больше чем на 5 минут.
• Учётная запись администратора домена (или делегированная учётка с правом создавать компьютеры) — нужна один раз, при подключении. Пароль не сохраняется.
• Служебная учётная запись для поиска в каталоге, например HOPE\svc_hopedfs: обычный пользователь домена со сложным паролем без срока действия. HopeDC не принимает вход по LDAP от имени учётки компьютера, поэтому без служебной учётки HopeDFS не сможет искать пользователей и группы в окне выбора и публиковать общие папки в каталоге.
• Группа администраторов файлового сервера, например «Файловые администраторы»: её участники будут входить в панель HopeDFS своими доменными учётками.
• Ключ TSIG (по желанию) — в панели HopeDC: «DNS» → «Динамические обновления». Без ключа HopeDC принимает только адресные записи, если имя не занято статической записью.

Шаг 1. Подключите сервер к домену

Откройте раздел «Домен». Укажите DNS-имя домена и адрес контроллера, нажмите «Получить сертификат контроллера». Если сертификат HopeDC самоподписанный, панель покажет его отпечаток SHA-256: сверьте его с отпечатком в панели HopeDC и отметьте «Доверять этому сертификату». Другой вариант — вставить корневой сертификат центра сертификации домена (PEM).

Ниже введите учётную запись администратора домена и нажмите «Подключить к домену». HopeDFS создаст учётку компьютера HOPEFS$ с именами служб cifs/ и HOST/ и сохранит её ключи.

Шаг 2. Задайте служебную учётку и группу администраторов

После подключения в карточке «Параметры подключения» укажите служебную учётную запись и её пароль, затем кнопкой «Добавить» выберите доменную группу администраторов сервера. Окно выбора ищет по части имени, по ДОМЕН\имя и по SID — так же, как окно «Выбор: пользователи или группы» в Windows. Нажмите «Сохранить».

Шаг 3. Проверьте связь

Кнопка «Проверить связь» в карточке «Подключение к домену» проходит по всей цепочке: сертификат LDAPS и срок его действия, вход и поиск по LDAPS, служебная учётка и срок её пароля, пароль учётки компьютера, ключи Kerberos служб. Все пункты должны быть зелёными; у красного пункта написано, что исправить.

Шаг 4. Опубликуйте сервер в сети

Раздел «Публикация в сети» делает сервер видимым для пользователей:

• «Имена и DNS» — регистрирует имя сервера (и псевдонимы, если они нужны) в DNS HopeDC динамическим обновлением. В строке DNS должна быть зелёная отметка «зарегистрировано».
• «Общие папки в Active Directory» — общие папки с включённым параметром «Опубликовать в Active Directory» появляются в каталоге: пользователи находят их через «Сеть» → «Поиск в Active Directory» → «Общие папки» по имени, описанию и ключевым словам. Первую публикацию выполните кнопкой «Учёткой администратора…».
• «“Сеть” Windows» — сервер виден в папке «Сеть» Проводника (WS-Discovery).

Группы в HopeDC. HopeDFS узнаёт группы пользователя из билета Kerberos и из каталога. Добавили сотрудника в группу — изменения вступят в силу после его нового входа в систему (новый билет).

Работа с папками

Общая папка («шара») — это обычный каталог Linux, который HopeDFS публикует для Windows и Linux. Итоговый доступ по сети = разрешения общего ресурса и права NTFS на файлы. Рекомендация та же, что для Windows Server: на шаре «Все — полный доступ», а ограничения — через права NTFS.

Создайте общую папку

«Общие папки» → «Создать шару». На вкладке «Общие»:

• Имя общего ресурса — так папку увидят пользователи: \\HOPEFS\Бухгалтерия. Имя с $ на конце делает шару скрытой.
• Папка Linux — путь на сервере; отметьте «Создать папку, если её нет».
• Описание и ключевые слова — для поиска в каталоге, если папка публикуется в Active Directory.
• NTFS-разрешения корня шары — начальный шаблон: «Стандартный» (администраторы — полный доступ, пользователи — чтение и создание своих файлов), «Все прошедшие проверку — изменение», «Только администраторы», «Домашние папки: каждый видит только свою». Тонкая настройка — дальше.

На вкладке «Дополнительно»:

• Перечисление на основе доступа (ABE) — пользователь видит только те файлы и папки, к которым у него есть доступ. Включайте для папок отделов.
• Шифровать доступ к данным (SMB 3) — для папок с персональными данными.
• Квота шары — клиенты видят её как размер диска.
• Блокировка файлов по маске — например *.exe;*.bat;*.cmd;*.vbs: такие файлы на шару не попадут. Это ещё и защита: многие вредоносные программы распространяются именно так.

На вкладке «Предыдущие версии» включите снимки по расписанию — например, в 7:00, 12:00 и 18:00 с хранением 60 снимков (около трёх недель). Пользователи увидят снимки в Проводнике на вкладке «Предыдущие версии» свойств файла или папки и смогут сами вернуть случайно удалённый или испорченный файл.

После «Создать» папка появляется в списке с метками включённых функций.

Назначьте права группам домена

«Файлы и разрешения» — та же вкладка «Безопасность», что в Проводнике Windows, только в браузере. Выберите шару и папку, нажмите «Добавить», выберите группу домена и отметьте уровень доступа: «Изменение» — чтение, запись и удаление; «Чтение и выполнение» — только просмотр.

Для папки отдела уберите строку BUILTIN\Users (иначе её увидят все сотрудники) и оставьте группу отдела. Изменения применяются кнопкой «Применить»; флажок «Заменить все записи разрешений дочернего объекта» нужен, когда в подпапках остались старые явные права.

Вкладка «Действующие права» отвечает на вопрос «почему у сотрудника нет доступа»: выберите пользователя — панель покажет итог с учётом прав NTFS, разрешений шары и его групп. Олег Сидоров не входит в «Бухгалтерию», поэтому прав на её папку у него нет:

Права те же и при работе с Windows: администратор может менять их на вкладке «Безопасность» свойств папки в Проводнике, а HopeDFS хранит их в расширенных атрибутах файлов Linux.

Подключите папки на компьютерах

Windows

Компьютер в домене, пользователь вошёл доменной учёткой — пароль при подключении не спрашивается.

• В Проводнике наберите \\hopefs.hope.local — откроется список общих папок сервера, или сразу \\hopefs.hope.local\Бухгалтерия.
• Постоянный диск: «Этот компьютер» → «Подключить сетевой диск». Кнопка «Обзор» показывает сервер HopeDFS в «Сети» вместе с его папками. То же из командной строки: net use Z: \\hopefs.hope.local\Бухгалтерия /persistent:yes.
• Папки, опубликованные в Active Directory, находятся через «Сеть» → «Поиск в Active Directory» → «Общие папки» по имени, описанию и ключевым словам.

Подключайтесь по имени сервера: вход по Kerberos работает по имени. Подключение по IP-адресу для доменных пользователей требует отдельной настройки (документ «02. Администрирование»).

Снимки Windows ниже сделаны на компьютере в домене hope.local, где на HopeDFS опубликованы папки Files и test.

Свойства сетевого диска — обычные вкладки Windows: «Безопасность» показывает те же права NTFS, что и панель HopeDFS (администратор может менять их прямо здесь), «Предыдущие версии» — снимки шары. Если диск подключён через пространство DFS, вкладка «DFS» показывает, на какой сервер и папку указывает ссылка.

Linux: файловый менеджер

Компьютер в домене (вход через SSSD, ALD Pro или FreeIPA-клиент) или у пользователя есть билет Kerberos (kinit, проверка — klist). В «Файлах» (Nautilus; в других оболочках — аналогично):

1. Откройте «Другие расположения» и в поле внизу введите smb://hopefs.hope.local/ → «Подключиться».

2. Откроется список общих папок сервера — так же, как \\hopefs.hope.local в Проводнике Windows.

3. Откройте нужную папку. Пароль не спрашивается: вход идёт по билету Kerberos. Подключённая папка появляется в боковой панели (имя там показывается строчными буквами — это особенность GNOME).

Права те же, что в Windows: Олег Сидоров не входит в «Бухгалтерию», и «Файлы» сообщают «Отказано в доступе». Скрытые файлы-ловушки защиты от шифровальщиков в Linux тоже не показываются.

Linux: монтирование и командная строка

Для серверов, скриптов и постоянного подключения папку монтируют в каталог:

# SMB: папка монтируется для пользователя ivanov
sudo mount -t cifs //hopefs.hope.local/Бухгалтерия /mnt/buh -o sec=krb5,cruid=ivanov,uid=ivanov,vers=3.1.1

# NFS 4 с шифрованием трафика (нужна служба rpc-gssd)
sudo mount -t nfs4 -o sec=krb5p hopefs.hope.local:/Бухгалтерия /mnt/buh

# разовый доступ без монтирования
smbclient //hopefs.hope.local/Бухгалтерия --use-kerberos=required -c 'ls'

Проверка на стенде: Иванов из «Бухгалтерии» записывает отчёт, Сидоров из «Отдела продаж» получает отказ.

$ smbclient //hopefs.hope.local/Бухгалтерия --use-kerberos=required -c 'put Отчёт_Q3.txt Отчёты/Отчёт_Q3_ivanov.txt; ls Отчёты/*'
  Отчёт_Q3_ivanov.txt            A       34  Thu Nov 12 05:35:52 2026      ← ivanov

$ smbclient //hopefs.hope.local/Бухгалтерия --use-kerberos=required -c 'put Отчёт_Q3.txt Отчёты/Отчёт_Q3_sidorov.txt'
NT_STATUS_ACCESS_DENIED opening remote file \Отчёты\Отчёт_Q3_sidorov.txt      ← sidorov

Предыдущие версии и сеансы

Раздел «Предыдущие версии» показывает снимки всех шар и создаёт снимок вручную кнопкой «Создать снимок» — перед крупными изменениями, обновлением программ или переносом данных.

Раздел «Сеансы и файлы» — аналог оснастки «Общие папки» Windows: кто подключён, с какого компьютера, по какому протоколу и способу входа, какие файлы открыты. Отсюда же можно закрыть зависший сеанс или файл.

Совместная работа из Windows и Linux

Одна и та же папка доступна сразу по SMB (Windows и Linux) и по NFS 4 (Linux). Это не две копии и не синхронизация: файл один, и правила для него одни.

• Права одни. NFS проверяет те же дескрипторы NTFS, что и SMB. Пользователь Linux, вошедший по Kerberos, получает ровно те права, что у него в Windows: Иванову из «Бухгалтерии» можно, Сидорову — нет, с любого компьютера.
• Блокировки общие. Если документ открыт на изменение в Word на Windows, LibreOffice на Linux откроет его только для чтения — и наоборот. Файл не перезапишут двое одновременно.
• Снимки и защита одни. «Предыдущие версии», аудит и защита от шифровальщиков работают для обоих протоколов.

Как включить NFS для папки

1. Раздел «NFS» → включите «Включить NFS-сервер (NFSv4)», сохраните и перезапустите службу (systemctl restart hopedfs). NFS работает на одном порту TCP 2049, без portmap и mountd.
2. В свойствах шары, вкладка «NFS»: «Экспортировать по NFS», разрешённые клиенты (подсеть) и проверка подлинности: krb5 — по билету Kerberos, krb5i — плюс контроль целостности, krb5p — плюс шифрование трафика. Для доменных пользователей выбирайте Kerberos.

Без Kerberos (sys) номер пользователя сообщает сам компьютер Linux, поэтому для такого доступа сопоставьте Unix-uid с пользователями домена в разделе «NFS» и ограничьте круг клиентов по адресам.

Правила, чтобы не было сюрпризов

Ситуация	Что делать
Имена файлов	Не используйте символы \ / : * ? " < > и вертикальную черту — Windows их не покажет. Кириллица, пробелы и длинные имена работают на обеих сторонах
Регистр букв	Сервер ищет имена без учёта регистра, как Windows, и сохраняет регистр. Не заводите в одной папке Отчёт.docx и отчёт.docx — для Windows это один файл
Один документ правят двое	Второй получит «только для чтения». Договоритесь, кто правит, или используйте отдельные копии с инициалами
Временные файлы офиса	~$Отчёт.docx (Word) и .~lock.Отчёт.docx# (LibreOffice) — признак, что файл открыт. Не удаляйте их, пока документ открыт
Права в Linux	Биты rwx в ls -l на смонтированной папке условные: доступ проверяет сервер по правам NTFS
Ярлыки и ссылки	Символические ссылки Linux внутри шары по умолчанию не открываются клиентам (параметр в «Дополнительно»)
Кодировка текстовых файлов	Сохраняйте .txt и .csv в UTF-8 — так их одинаково прочитают Windows и Linux

Защита от шифровальщиков

Шифровальщик на заражённом компьютере портит файлы на сетевых папках от имени пользователя, который на нём работает, — поэтому обычные права его не останавливают. HopeDFS распознаёт атаку по самой работе с файлами и останавливает её на сервере, для клиентов и SMB, и NFS. Защита включена сразу после установки, в режиме «Блокировать».

Как HopeDFS распознаёт атаку

• Файлы-ловушки. В корне каждой шары лежат три скрытых файла (!!_Archive_2019.docx, ~~_backup_finance.xlsx, ЯЯ_Резерв_договоры.pdf). Люди их не открывают, а шифратор, перебирая папку, трогает одними из первых. Изменение, переименование или удаление ловушки — мгновенное обнаружение.
• Сигнатуры. Около сотни известных расширений зашифрованных файлов (*.locked, *.wncry, *.cerber…) и имён записок о выкупе.
• Поведение. Документы, которые после записи превратились в «шум», и массовые переименования в чужие расширения. Порог задаёт чувствительность: высокая — от 4 файлов за 2 минуты, средняя — от 8, низкая — от 16.

Что происходит при атаке

1. Источник атаки — учётная запись (или компьютер) — сразу получает запрет записи на всех шарах и всех узлах. Чтение остаётся: пользователь видит файлы, но испортить их больше не может.
2. Перед каждой записью подозрительного источника HopeDFS сохраняет страховочную копию файла, а при обнаружении делает снимок затронутых шар. Шифратор не может до них добраться.
3. Появляется инцидент: кто, с какого компьютера, по какому протоколу, какие файлы затронуты. Если настроена почта — администратор получает письмо.

На стенде «заражённый» компьютер Сидорова переписал шесть документов в папке «Общая» и попытался переименовать их в *.locked. Первое же переименование выдало атаку; остальные операции получили отказ.

Как вернуть файлы

1. Отключите заражённый компьютер от сети и проверьте его антивирусом (или переустановите систему). Смените пароль учётной записи.
2. Откройте инцидент → вкладка «Восстановление». Панель покажет план: какие файлы вернутся и откуда — из страховочной копии или из снимка. Нажмите «Восстановить»: исходные версии вернутся на место, испорченные и созданные шифратором файлы уйдут в карантин шары (.hopedfs/ransom/quarantine) — ничего не удаляется.
3. «Разблокировать» источник и «Закрыть инцидент».

Если срабатывание ложное (например, программа архивации массово переименовывает файлы), нажмите «Ложное срабатывание»: блокировка снимется, а учётка попадёт в исключения.

Настройка

Вкладка «Настройки» раздела «Защита от шифровальщиков»:

• Режим — «Блокировать» (по умолчанию) или «Только оповещать» для первых дней, если вы опасаетесь ложных срабатываний.
• Кого блокировать — учётную запись (со всех компьютеров), компьютер (всех пользователей с его адреса) или обоих. Клиенты NFS без Kerberos блокируются по компьютеру всегда.
• Чувствительность, файлы-ловушки, страховочные копии, снимок при обнаружении.
• Снимать блокировку автоматически через N минут — 0 означает «только вручную»; так и рекомендуется.
• Исключения — учётки и адреса программ, которые законно шифруют или массово переименовывают файлы.
• Webhook — оповещение в чат или систему мониторинга.

Как подготовиться заранее

• Включите снимки по расписанию на всех шарах. Страховочная копия делается, когда источник уже под подозрением; файлы, изменённые до этого, возвращаются из снимка. Без снимка часть файлов может оказаться «без копии».
• Настройте почту («Почта и уведомления», событие «Атака шифровальщика»), чтобы узнать об атаке сразу.
• Дайте права по минимуму и включите ABE: шифратор портит только то, что доступно пользователю.
• Блокируйте исполняемые файлы на шарах с документами (*.exe;*.bat;*.cmd;*.vbs;*.js).
• Не работайте каждый день под администратором: его учётка открывает все папки.
• Храните резервную копию вне сервера — снимки защищают от шифратора, но не от потери диска.
• Проверьте защиту. Подключите шару тестовой учёткой, включите показ скрытых файлов и переименуйте файл-ловушку: запись этой учётке будет запрещена и появится инцидент. Затем снимите блокировку и закройте инцидент.

Частые вопросы и памятка пользователю

Windows спрашивает пароль при входе на \\HOPEFS. Компьютер не получил билет Kerberos. Проверьте, что подключаетесь по имени (hopefs.hope.local, а не по IP), что часы компьютера, сервера и HopeDC совпадают, и что имя сервера находится в DNS (nslookup hopefs.hope.local).

Сотрудника добавили в группу, а доступа нет. Группы попадают в билет при входе. Пусть сотрудник выйдет из системы и войдёт снова (или выполнит klist purge). Затем проверьте его на вкладке «Действующие права».

«Отказано в доступе» к папке. Откройте «Файлы и разрешения» → «Действующие права» и выберите пользователя: панель покажет, что именно запрещает — права NTFS, разрешения шары или отсутствие группы.

Удалил или испортил файл. Свойства папки (или файла) в Проводнике → «Предыдущие версии» → выберите снимок → «Восстановить» или скопируйте нужный файл. Пользователям Linux файл из снимка вернёт администратор: снимки хранятся на сервере в скрытой папке .hopedfs/snapshots внутри папки шары.

Файлы вдруг открываются только для чтения на всех папках. Скорее всего, сработала защита от шифровальщиков. Не пытайтесь «обойти» запрет — сообщите администратору: он проверит компьютер и снимет блокировку.

Документ открыт у коллеги. Офисная программа предложит открыть копию только для чтения или уведомить, когда файл освободится. Это защита от потери правок, а не ошибка.

Памятка пользователю

• Общие документы храните на общих папках, а не на рабочем столе: на сервере есть снимки и защита.
• Подключайтесь к серверу по имени: \\hopefs.hope.local\Папка.
• Удалили лишнее — сначала «Предыдущие версии», потом звонок администратору.
• Не открывайте неожиданные вложения и не запускайте программы из писем; заметили файлы с незнакомым расширением или записку «как расшифровать» — сразу отключите компьютер от сети и сообщите администратору.
• Не называйте файлы именами, отличающимися только регистром букв, и не используйте символы \ / : * ? " < > |.

---

Подробнее: установка — Установка на Linux; все настройки — Руководство администратора; кластер и репликация площадок — Отказоустойчивый кластер; полный перечень функций по разделам панели — Функциональные возможности; лицензионное соглашение — Лицензионное соглашение.