【正文】 第二部分 企業(yè)網(wǎng)絡(luò)管理與安全實(shí)訓(xùn)在企業(yè)組建網(wǎng)絡(luò)基礎(chǔ)設(shè)施后，還需要提供給用戶各種的網(wǎng)絡(luò)和信息服務(wù)，同時(shí)隨著互聯(lián)網(wǎng)各種應(yīng)用的不斷發(fā)展，大量的網(wǎng)絡(luò)應(yīng)用成為黑客/病毒制造者的攻擊目標(biāo)，需要企業(yè)采取必要的技術(shù)、設(shè)備和措施來(lái)保證企業(yè)網(wǎng)絡(luò)的正常穩(wěn)定運(yùn)行，還需要運(yùn)用各種網(wǎng)絡(luò)管理工具、軟件、設(shè)備對(duì)企業(yè)網(wǎng)絡(luò)的交換設(shè)備、路由設(shè)備、服務(wù)器、防火墻等各種網(wǎng)絡(luò)設(shè)備進(jìn)行進(jìn)行配置管理、性能管理、故障管理、安全管理和計(jì)費(fèi)管理，保障網(wǎng)絡(luò)的正常運(yùn)行和性能優(yōu)化。項(xiàng)目 5 校園網(wǎng)數(shù)據(jù)中心系統(tǒng)實(shí)施 項(xiàng)目?jī)?nèi)容 某學(xué)院校園網(wǎng)基礎(chǔ)設(shè)施已根據(jù)項(xiàng)目2組建完成，并通過兩條線路分別接入了電信互聯(lián)網(wǎng)和CERTNET教育網(wǎng)，現(xiàn)在需要提供校內(nèi)外用戶提供各種網(wǎng)絡(luò)服務(wù)和信息服務(wù)，分別提供校園網(wǎng)IP地址分配、內(nèi)外網(wǎng)域名解析、學(xué)院網(wǎng)站、FTP資源下載等服務(wù)，請(qǐng)給出解決方法并進(jìn)行實(shí)施。 項(xiàng)目流程 圖51 項(xiàng)目流程圖 項(xiàng)目調(diào)查與需求分析 項(xiàng)目目標(biāo) 本項(xiàng)目針對(duì)學(xué)院需要提供各種基礎(chǔ)網(wǎng)絡(luò)服務(wù)，分別實(shí)現(xiàn)IP地址分配、內(nèi)外網(wǎng)域名解析、學(xué)院網(wǎng)站、FTP資源下載等服務(wù)。 需求與分析1）具體需求經(jīng)調(diào)查和與用戶溝通，具體的需求如下:216。 需求1：為校園網(wǎng)各區(qū)域用戶提供IP地址等參數(shù)分配，需要兩臺(tái)服務(wù)器提供服務(wù)，一臺(tái)備用。216。 需求2：為校園網(wǎng)各區(qū)域用戶提供校園網(wǎng)各服務(wù)器的域名解析和互聯(lián)網(wǎng)的域名解析，需要兩臺(tái)服務(wù)器提供服務(wù)，一臺(tái)備用，學(xué)院的域名解析可根據(jù)校園網(wǎng)的兩條線路分別對(duì)不同來(lái)源IP地址解析出對(duì)應(yīng)線路的服務(wù)器IP以提高用戶訪問效率。216。 需求3:架設(shè)校園網(wǎng)的WWW服務(wù)器提供信息訪問、FTP服務(wù)器提供資源下載，WWW服務(wù)器需要為多個(gè)部門提供不同網(wǎng)站，并考慮服務(wù)器的安全和穩(wěn)定性。3）需求分析216。 分析1：按照要求 需要一臺(tái)DHCP服務(wù)器為校園網(wǎng)用戶分配IP地址、一臺(tái)作為備用DHCP服務(wù)器。兩臺(tái)服務(wù)器分別位于不同的主機(jī)。 216。 分析2：需要為校園網(wǎng)用戶的各個(gè)服務(wù)器提供域名解析系統(tǒng)（DNS），同樣需要兩臺(tái)DNS服務(wù)器，一臺(tái)主DNS服務(wù)器，一臺(tái)輔助DNS服務(wù)器。216。 分析3： 　校園網(wǎng)WWW服務(wù)器，F(xiàn)TP服務(wù)器，WWW服務(wù)器可以通過FTP服務(wù)器上傳或下載資料，管理員可以通過FTP服務(wù)器為WWW服務(wù)器更新信息。FTP服務(wù)器不允許匿名登錄。兩臺(tái)服務(wù)器可以在同一臺(tái)主機(jī)上完成。 項(xiàng)目實(shí)訓(xùn)要求216。 要求1（必做）：模擬本項(xiàng)目的網(wǎng)絡(luò)服務(wù)組建并完成項(xiàng)目的需求分析、規(guī)劃、實(shí)施文檔。216。 要求2（必做）：安裝配置DHCP服務(wù)器、DNS服務(wù)器、WEB服務(wù)器、FTP服務(wù)器，分別在Windows Server和Linux環(huán)境下進(jìn)行安裝配置提供相同功能。216。 要求3（選做）在Linux下實(shí)現(xiàn)DNS服務(wù)器對(duì)于同一域名根據(jù)來(lái)源不同的IP解析出不同的地址。 項(xiàng)目實(shí)施 實(shí)施原則1．可靠性提供網(wǎng)絡(luò)服務(wù)的服務(wù)器必須穩(wěn)定可靠，為校園網(wǎng)用戶和校外用戶提供可靠的網(wǎng)絡(luò)服務(wù)。2．安全性各項(xiàng)服務(wù)應(yīng)考慮和保證其安全性，避免出現(xiàn)網(wǎng)絡(luò)安全事故而影響校園網(wǎng)服務(wù)。3．可擴(kuò)充性 校園網(wǎng)需要提供的服務(wù)將隨著信息服務(wù)的需求和發(fā)展進(jìn)行增加和擴(kuò)充，規(guī)劃和實(shí)施的各項(xiàng)網(wǎng)絡(luò)服務(wù)應(yīng)具有可擴(kuò)充性。4．實(shí)用性 校園網(wǎng)具有用戶數(shù)量多、應(yīng)用環(huán)境復(fù)雜的特點(diǎn)，應(yīng)能使用戶方便實(shí)用地訪問各種校園網(wǎng)服務(wù)。 項(xiàng)目知識(shí)點(diǎn)216。 DHCP服務(wù)器 DHCP（ Dynamic Host Configuration Protocol，動(dòng)態(tài)主機(jī)配置協(xié)議） 可以減少管理的復(fù)雜性和負(fù)擔(dān)，DHCP 使用了租約的概念，或稱為計(jì)算機(jī) IP 地址的有效期。租用時(shí)間是不定的，主要取決于用戶在某地聯(lián)接 Internet 需要多久，這對(duì)于用戶頻繁改變的環(huán)境是很實(shí)用的。通過較短的租期， DHCP 能夠在一個(gè)計(jì)算機(jī)比可用 IP 地址多的環(huán)境中動(dòng)態(tài)地重新配置網(wǎng)絡(luò)。1）DHCP系統(tǒng)組成DHCP客戶：DHCP客戶通過DHCP來(lái)獲得網(wǎng)絡(luò)配置參數(shù) Internet主機(jī)，通常就是普通用戶的工作站DHCP服務(wù)器：DHCP服務(wù)器提供網(wǎng)絡(luò)設(shè)置參數(shù)給DHCP客戶Internet主機(jī)DHCP中繼代理：在DHCP客戶和服務(wù)器之間轉(zhuǎn)發(fā) DHCP 消息的主機(jī)或路由器2）DHCP 服務(wù)器DHCP服務(wù)器控制一段IP地址范圍，客戶機(jī)登錄服務(wù)器時(shí)就可以自動(dòng)獲得服務(wù)器分配的IP地址和子網(wǎng)掩碼。DHCP作用域是一個(gè)網(wǎng)絡(luò)中的所有可分配的 IP 地址的連續(xù)范圍。作用域主要用來(lái)定義網(wǎng)絡(luò)中單一的物理子網(wǎng)的 IP 地址范圍。作用域是服務(wù)器用來(lái)管理分配給網(wǎng)絡(luò)客戶的 IP 地址的主要手段。 DHCP服務(wù)器可以使用Windows Server、Linux等網(wǎng)絡(luò)操作系統(tǒng)擔(dān)當(dāng)，也可以使用具有DHCP功能的交換機(jī)、路由器等設(shè)備。216。 DNS 服務(wù)器DNS（Domain Name System，域名系統(tǒng)）是因特網(wǎng)的一項(xiàng)核心服務(wù),它作為可以將域名和IP地址相互映射的一個(gè)分布式數(shù)據(jù)庫(kù)，能夠使人更方便的訪問互聯(lián)網(wǎng)，而不用去記住能夠被機(jī)器直接讀取的IP數(shù)串。DNS是一種包含 DNS 主機(jī)名到 IP 地址映射的分布式、分層式數(shù)據(jù)庫(kù)，DNS 是 Internet 名稱方案的基礎(chǔ)和企業(yè)名稱方案的基礎(chǔ)。InterNIC 負(fù)責(zé)全球域名空間的委派管理和域名注冊(cè)。1） DNS組件DNS 服務(wù)器：運(yùn)行 DNS 服務(wù)的計(jì)算機(jī)，承載一個(gè)名稱空間或部分名稱空間（域）， 對(duì)名稱空間或域具有權(quán)威性，負(fù)責(zé)解析 DNS 客戶端（DNS 客戶端即解析器）提交的名稱解析請(qǐng)求。DNS 客戶端：運(yùn)行 DNS 客戶端服務(wù)的計(jì)算機(jī)DNS 資源記錄：DNS 數(shù)據(jù)庫(kù)中將主機(jī)名映射到資源的項(xiàng)目因特網(wǎng)上的 DNS 服務(wù)器DNS 服務(wù)器DNS 客戶端根 “.”..edu資源記錄資源記錄 圖51 DNS組件2） DNS域名空間DNS 命名格式中，域名空間的授權(quán)以及域名與地址的轉(zhuǎn)換采用的都是分層和分布式結(jié)構(gòu)，一些授權(quán)的機(jī)構(gòu)可以各自轉(zhuǎn)換其權(quán)限以內(nèi)的名字和 IP 地址。DNS 的命名是為全球性的網(wǎng)絡(luò)設(shè)備分配名字，由分布式名字服務(wù)器組實(shí)施。區(qū)域是 DNS 名稱空間的一個(gè)管理單元，它可以由單一的 DNS 域或者結(jié)合了部分或全部子域的域組成 ；DNS 服務(wù)器的管轄范圍不是以“域”為單位，而是以“區(qū)域”為單位。圖52 DNS域名空間結(jié)構(gòu)3） DNS服務(wù)器的類型根域名服務(wù)器：根域名服務(wù)器是最重要的域名服務(wù)器。所有的根域名服務(wù)器都知道所有的頂級(jí)域名服務(wù)器的域名和 IP 地址。不管是哪一個(gè)本地域名服務(wù)器，若要對(duì)因特網(wǎng)上任何一個(gè)域名進(jìn)行解析，只要自己無(wú)法解析，就首先求助于根域名服務(wù)器。在因特網(wǎng)上共有13 個(gè)不同 IP 地址的根域名服務(wù)器，它們的名字是用一個(gè)英文字母命名，從a 一直到 m（前13 個(gè)字母）。頂級(jí)域名服務(wù)器：負(fù)責(zé)管理在該頂級(jí)域名服務(wù)器注冊(cè)的所有二級(jí)域名。當(dāng)收到 DNS 查詢請(qǐng)求時(shí)，就給出相應(yīng)的回答（可能是最后的結(jié)果，也可能是下一步應(yīng)當(dāng)找的域名服務(wù)器的 IP 地址）。權(quán)限域名服務(wù)器：負(fù)責(zé)一個(gè)區(qū)的域名服務(wù)器。當(dāng)一個(gè)權(quán)限域名服務(wù)器還不能給出最后的查詢回答時(shí)，就會(huì)告訴發(fā)出查詢請(qǐng)求的 DNS 客戶，下一步應(yīng)當(dāng)找哪一個(gè)權(quán)限域名服務(wù)器。本地域名服務(wù)器：本地域名服務(wù)器對(duì)域名系統(tǒng)非常重要。當(dāng)一個(gè)主機(jī)發(fā)出 DNS 查詢請(qǐng)求時(shí)，這個(gè)查詢請(qǐng)求報(bào)文就發(fā)送給本地域名服務(wù)器。每一個(gè)因特網(wǎng)服務(wù)提供者都可以擁有一個(gè)本地域名服務(wù)器，這種域名服務(wù)器有時(shí)也稱為默認(rèn)域名服務(wù)器。4） DNS查詢 查詢是向 DNS 服務(wù)器發(fā)出的名稱解析請(qǐng)求。查詢有兩種類型：遞歸查詢和迭代查詢。遞歸查詢：遞歸查找是將查詢提交給 DNS 服務(wù)器，DNS 客戶端需要 DNS 服務(wù)器提供一個(gè)完整的查詢應(yīng)答。迭代查詢：迭代查詢是 DNS 客戶端向 DNS 服務(wù)器發(fā)出的查詢請(qǐng)求，DNS 服務(wù)器無(wú)需通過其他 DNS 服務(wù)器而給出查詢結(jié)果的查詢。迭代查詢通常發(fā)生在上級(jí)域指引到下級(jí)域。圖53 DNS查詢過程DNS服務(wù)器可以使用Windows Server2003安裝和配置DNS服務(wù)作為DNS服務(wù)器，Linux服務(wù)器使用著名的BIND（Berkeley Internet Name Domain）軟件實(shí)現(xiàn)，DNS客戶端可通過DHCP服務(wù)器分配DNS參數(shù)或手動(dòng)指定。216。 WEB服務(wù)器WEB服務(wù)器也稱為WWW(World Wide Web)服務(wù)器，主要功能是提供網(wǎng)上信息瀏覽服務(wù)，是互聯(lián)網(wǎng)發(fā)展最快和目前用的最廣泛的服務(wù)。其應(yīng)用層使用HTTP協(xié)議，使用HTML文檔格式傳輸信息資源，客戶機(jī)瀏覽器使用統(tǒng)一資源定位器(URL)來(lái)訪問WEB服務(wù)器資源。目前使用最多的 web server 服務(wù)器軟件有：微軟的信息服務(wù)器（IIS）和Apache：1）IISIIS是英文Internet Information Server（Internet信息服務(wù)）的縮寫，它是微軟公司主推的WEB服務(wù)器， IIS與Window Server完全集成在一起，因而用戶能夠利用Windows Server和NTFS內(nèi)置的安全特性，建立強(qiáng)大，靈活而安全的Internet站點(diǎn)。IIS支持HTTP（Hypertext Transfer Protocol，超文本傳輸協(xié)議），F(xiàn)TP（Fele Transfer Protocol，文件傳輸協(xié)議）以及SMTP協(xié)議，通過使用CGI和ISAPI，IIS可以得到高度的擴(kuò)展。IIS支持與語(yǔ)言無(wú)關(guān)的腳本編寫和組件，通過IIS，開發(fā)人員就可以開發(fā)新一代動(dòng)態(tài)的，富有魅力的Web站點(diǎn)。IIS不需要開發(fā)人員學(xué)習(xí)新的腳本語(yǔ)言或者編譯應(yīng)用程序，IIS完全支持VBscript，Jscript開發(fā)軟件以及Java，它也支持CGI和WinCGI，以及ISAPI擴(kuò)展和過濾器。2）Apache HTTP ServerApache HTTP Server源于NCSAd服務(wù)器，經(jīng)過多次修改，成為世界上最流行的Web服務(wù)器軟件之一。Apache的特點(diǎn)是簡(jiǎn)單、速度快、性能穩(wěn)定，并可做代理服務(wù)器來(lái)使用。因?yàn)樗亲杂绍浖?，所以不斷有人?lái)為它開發(fā)新的功能、新的特性、修改原來(lái)的缺陷。Apache支持許多特性，大部分通過編譯的模塊實(shí)現(xiàn)。這些特性從服務(wù)器端的編程語(yǔ)言支持到身份認(rèn)證方案。一些通用的語(yǔ)言接口支持Perl，Python， Tcl和 PHP。流行的認(rèn)證模塊包括 mod_access， mod_auth 和 mod_digest。其他的例子有 SSL 和 TLS 支持（mod_ssl）， 代理服務(wù)器 (proxy) 模塊，很有用的URL重寫（由 mod_rewrite 實(shí)現(xiàn)），定制日志文件（mod_log_config），以及過濾支持（mod_include 和 mod_ext_filter）。Apache日志可以通過網(wǎng)頁(yè)瀏覽器使用免費(fèi)的腳本AWStats或Visitors來(lái)進(jìn)行分析。216。 FTP服務(wù)器文件傳輸協(xié)議 (FTP) 是一種常用的應(yīng)用層協(xié)議。FTP 用于客戶端和服務(wù)器之間的文件傳輸。FTP 客戶端是一種在計(jì)算機(jī)上運(yùn)行的應(yīng)用程序。通過運(yùn)行 FTP 守護(hù)程序 (FTPd)，F(xiàn)TP 客戶端可以從服務(wù)器中收發(fā)文件。為了保障文件的成功傳輸，F(xiàn)TP 要求在客戶端和服務(wù)器之間建立兩條連接：一條是命令和回復(fù)連接，另一條是實(shí)際文件傳輸連接?？蛻舳嗽?TCP 的 21 號(hào)端口建立第一條連接。該連接由客戶端命令和服務(wù)器回復(fù)組成，用于管理傳輸流量；第二條連接建立在 TCP 的 20 號(hào)端口。每當(dāng)有文件需要傳輸時(shí)建立該連接，用于實(shí)際文件傳輸。在兩個(gè)方向上，都可以進(jìn)行文件傳輸。即客戶端可以從服務(wù)器中下載（?。┪募部梢韵蚍?wù)器中上傳（放）文件。常用的組建FTP服務(wù)器方法有：Windows下使用IIS架設(shè)FTP站點(diǎn)、Linux下的wuftpd、vsftpd、使用FTP服務(wù)器軟件（ServU、Gene6等）。 項(xiàng)目實(shí)施規(guī)劃216。 實(shí)訓(xùn)設(shè)備與軟件設(shè)備類型設(shè)備型號(hào)數(shù)量（每組）備注交換機(jī)H3C3100 1臺(tái)服務(wù)器宏基P42臺(tái)計(jì)算機(jī)宏基P44臺(tái)服務(wù)器操作系統(tǒng)Windows Server20032可使用虛擬機(jī)環(huán)境服務(wù)器操作系統(tǒng)CentOS 2可使用虛擬機(jī)環(huán)境216。 服務(wù)器命名規(guī)則服務(wù)器命名沒有絕對(duì)的標(biāo)準(zhǔn)，一般都是按工程慣例和管理規(guī)范來(lái)進(jìn)行命名，應(yīng)本著明確、簡(jiǎn)潔、無(wú)二義性的原則。實(shí)訓(xùn)項(xiàng)目中服務(wù)器命名規(guī)則建議如下：SrvDHCP01序號(hào)服務(wù)器功能 服務(wù)器功能中，Srv表示服務(wù)器、DHCP表示服務(wù)器功能。服務(wù)器序號(hào)中，01代表第一臺(tái)，02代表第二臺(tái)，依此類推。216。 服務(wù)器參數(shù)及分配的網(wǎng)絡(luò)參數(shù)規(guī)劃表服務(wù)器名稱 IP地址 SrvDHCP 01 SrvDHCP 02 /18主DNS /18輔助DNS WWW FTP DHCP地址分配范圍為 – /18 大約可同時(shí)為兩萬(wàn)名用戶提供上網(wǎng)需求。地址租期為1天 注：由于模擬環(huán)境不好操作，所以全部采用同一個(gè)網(wǎng)段的IP作為分配地址。分配區(qū)域IP地址分配范圍默認(rèn)網(wǎng)關(guān)服務(wù)器 － 宿舍區(qū) －教師辦公區(qū) －教學(xué)區(qū) －教師公寓 －其它區(qū)域 －216。 實(shí)施步驟規(guī)劃1）規(guī)劃分配服務(wù)器參數(shù)2）安裝服務(wù)器操作系統(tǒng)3）安裝配置DHCP、DNS、WEB、FTP等網(wǎng)絡(luò)服務(wù)4）配置計(jì)算機(jī)參數(shù)并根據(jù)需求驗(yàn)證實(shí)現(xiàn)的功能5）完成項(xiàng)目文檔資料 實(shí)施步驟（請(qǐng)將主要實(shí)施步驟整理列出）一．DHCP服務(wù)器的配置（