Yjb&Lucy

一. 安装要求：

1. 主机（管理工作站）需要有DNS后缀名（如果在域中的话，会自动添加）

2. 安装Java运行环境J2RE.

3. 安装SNMP协议（主机上在“添加删除程序——Windows组件——管理和监视工具——简单网络管理”，路由器上和交换机上使用命令添加，全局模式下snmp—server community public ro 配置只读共同体字符串　

snmp—server community private rw 配置读写共同体字符串）

#如果安装高版本的OV如7.0，需要2000上安装SP3补丁

#注意安装前确定主机的IP地址，安装后不允许更改，如想要更改只能与HP公司联系取得新的注册码，否则HP-OV将不能正常运行。

颜色表示的含义：

浅黄色 ：非被管理状态

土黄色： 测试状态

粉色： 受限制状态

咖啡色： 紧用状态

兰色： 未知设备

绿色： 正常状态

湖蓝色： 警告状态

黄色： 非严重警告状态

橙色： 严重警报

红色： 宕机

二. 具体使用：

1. 安装完成后，应该在安装目录下使用命令 ovstatus –c 来检测所有的守护进程是否都在运行。

2. 验证 SNMP 代理是否正在运行： snmpwalk <nodename> system （ip）

3. 验证 MIB-II 子代理是否正在运行： snmpwalk <nodename> ipAddrTable

4. 验证拓扑数据库是否认为它已经发现节点 ovtopodump –l

5. rnetstat -I <nodename> 验证节点是否支持 SNMP

6. 在分布式管理界面中将不同子网环境配置不同的背景图（map——submap——properties——view，选择背景图片）

7. 如果网络中主机没有运行SNMP协议，将无法得到主机的具体信息，（如图）

8. 如果主机节点无法拓扑出来，可以通过两种方法进行拓扑

1> 图形化工具中增加节点

2> 字符界面下增加节点 echo <IPADDR> <NODENAME> | loadhosts -V -v -m <SUBNETMASK>

9. ovstatus ovdbcheck确保数据库正在执行

10. 隐藏设备（右击该设备——Hide）和显示设备（View——Hidden Object——show hiden object）

11. 显示拓扑中主机的标签信息和IP地址（View——show connection lables），没有安装SNMP协议的计算机可以显示IP地址

12. 如何进行缩放视图（放大镜工具------选择部分计算机）

13. 通过performance来查看网络连接状态包括了主机的接口的流量，错误率，包丢失百分比等（先选中要查看的主机——Performance——network activity——Interface Traffic——Packet Rate）

14. 通过Performance 查看接口的连接，相当于在主机上使用netstat –a查看各个端口的连接（Performance——network activity ——Tcp connections）

15. 查看Snmp的PDU协议数据单元的状态（Performance——SNMP——Snmp Operations）

16. 查看网络轮询的状态（Performace——snmp polling statistics）

17. 通过NNM直接打开Windows 的性能管理器（Performance——Windows NT Performace Monitor ）

18. 通过配置选项来进行操作系统中的注册表、用户、共享文件夹等的配置

1> 查看被管设备的路由表信息configuration——network configuration——IP routing Table相当于在主机上使用route print

2> 将某服务器上的文件夹进行共享（configuration——Windows Server Manager――计算机――共享目录――停止共享）

3> 将某服务器上的Telnet服务器上的telnet 服务开启（configuration——Windows Server Manager――计算机――服务）

19. 使用Alarms 工具查看被管设备上的警告信息（Faults――alarms）

20. 通过故障查看来寻找被管设备上的故障信息，往往使用的工具有ping, trace route, poll node

21. 通过IE浏览器来查看当前被管设备的连接图（Fault――connectivity――path view）

22. 查看网络中的未用IP（tools――unused ipaddress ）

23. 使用IE浏览器查看拓扑图（tools――HP openview launcher）

24. 查看snmp的当前配置,并且可以修改snmp公共体字符串（Options――snmp configufation）

本博客所有内容均为原创,作者为袁佶彪,请勿转载,谢谢http://yuanjibiao.spaces.live.com

一. 实验环境：

如前日在What’s up 试验环境中配置

二. 安装Solarwinds-EE Toolset V9

1. 在Windows 2003上安装，配置.Net FrameWork{自动配置}之后就弹出了安装向导

2. 依照向导一路“Next”输入用户名和公司名直到安装完成

三. 主窗口：

四. 工具配置使用

1. Recent Used Tools:当前使用工具

11）Cisco Viewer 是查看当前Cisco 设备配置的工具

12）IP NetWork Browser 查看IP的网络设备：可以通过单一IP查询；可以通过IP地址段查询；可以通过IP地址范围查询

图中红色是表示单一IP扫描，绿色是子网扫描，兰色是地址范围扫描；实验以地址范围进行扫描

图中扫描到了4个设备，分别是Cisco Router 主机名Rb；IP地址192.168.1.1；Cisco Switch SWb;Windows 计算机两个

通过对设备的查看，可以发现设备的接口状态、IOS版本、路由表以及IP地址等详细信息，甚至可以发现系统的启动时间，图中是对当前交换机进行查看得到的信息，其中红色圆圈表示未连接端口，绿色表示正常连接端口

13）Net Flow Realtime:利用Cisco 路由器的流量计费功能统计经过路由器的数据包流量

首先需要将Cisco 路由器的流量计费功能开启，步骤如下：

• 在端口上启动NetFlow

Rb(config)#interface s0

Rb(config-int)#ip route-cache flow

设置数据输出的目的地址ip flow-export destination <dest IP> <dest port>,目的地址是数据收集服务器的IP地址，也就是目前安装Solarwinds的服务器，目的端口是数据通信的端口，默认是2055端口

Rb(config)#ip flow-export destination 192.168.1.14 2055

设置数据输出的源地址{由于实验环境Cisco 2501路由器只具备一个Eth接口，所以源地址输入Eth0就可以了} ip flow-export source <interface>

Rb(config)# ip flow-export source eth0

设置成功后可以在设备上查看流量show ip cache flow

Rb(config)# show ip cache flow

在Solarwinds上配置NetFlow查看数据流量的状态

对于每一个数据流，Cisco路由器将统计如下参数

路由器每个端口的输入输出

源和目标的地址

源和目标的端口号（与上层应用相关）

流量的大小

每个数据流持续的时间

每个数据流的优先级

每个数据包的优先级

数据加密

14）Switch Port Mapper:交换机的端口对照表

2. NetWork Discovery网络发现工具

21）MAC Address Disvovery：MAC地址发现

22）Subnet List:子网列表，查看当前设备所在的子网

23）Port Scanner:端口扫描，查询设备的端口开启状态，以不同的颜色显示端口开启状态

24）NetWork Sonar网络声纳，发现当前网络设备的工具，也可以发现当前设备所连接的网段，根据向导提示输入设备IP地址，可以发现网络，下图是输入“seed router”{种子路由器}后发现的网络

调整选项到Analysis查看详细信息

上图是选择了三个工具而显示出来的三张图表

25）IP Address Management：IP地址的管理

下图是IP地址管理中子网计算器功能：可以很灵活的计算出当前设备所在的子网，以及进行VLSM{变长子网掩码}、CIDR{无类域间路由}计算

27）Bandwidth Mornitoring :带宽监视工具

3. Network Mornitoring:网络监视工具，可以监控路由器以及设备的运行状况

31）CPU Gauge

32）BandWidth Gauge:当有数据通过路由器时可以在仪表盘中看到效果

33）Real Time Interface Monitoring:实时接口监视：

4. Ping &Diagnostic:

41）Spam Blacklist:间谍黑名单：将具有威胁的网站可以添加到黑名单中

42）Trace Route:路由跟踪

43）DNS Anlyzer:是DNS的解析工具，可以输入URL得到详细的解析过程

44）Wake-On-Lan:局域网唤醒：在局域网中唤醒休眠和已关机的设备

5. IP Address Management:IP地址管理

51）Advanced Subnet Calculater:高级子网换算器

52）DHCP Scope Monitor:DHCP地址池监视工具

6. Cisco Tools:

61）Compare Running vs Startup config:比较运行配置文件和启动配置文件

62）config download :下载配置文件以备设备IOS损坏时使用

63）config upload:上传配置文件以保证设备IOS损坏时修复

64）Cisco Router password Decription:Cisco 路由器密码破解

首先通过登陆路由器，进行加密，再查看配置，发现已经加密的密码，然后拷贝

打开破解工具进行破解：得到telnet 密码是123456，但是这个工具对MD5加密级密码无效

7. SNMP Tools:管理SNMP的工具

71）MIB Viewer:MIB库的浏览：

可以看到上图使用的是SNMP v2版本的MIB信息

72）MIB Walk:MIB库的详细信息：可以发现每个设备的以及每个服务的MIB位置

73）Update System MIB:当系统的MIB版本太旧时，可以通过此工具进行升级

8. Security:安全工具：

81）Edit Dictionaries:编辑字典：当进行暴力破解时可以通过编辑字典进行破解

82）SNMP Brute Force Attact：SNMP的暴力攻击，往往是网络环境自测，测试当前SNMP是否足够安全

首先在路由器中配置较简单的SNMP的共同体字符串abc

通过工具进行破解尝试

83）SNMP Dictionary Attact：使用现存的字典进行SNMP攻击

本博客所有内容均为原创,作者为袁佶彪,请勿转载,谢谢http://yuanjibiao.spaces.live.com

What’s Up 使用

一.按照下图进行What’s UP的配置使用

如图将配置路由器主机名分别为R1和R2，配置交换机的主机名SWA和SWB，依图配置各个IP地址：配置以左端路由器交换机以及主机的配置为例，右端设备类似

（一）配置路由器

1. 将左端路由器配置主机名RA

Router(config)#hostname RA

2. 配置RA的各接口IP地址

RA(config)#intface e0

RA(config-int)#ip address 172.16.1.1 255.255.255.0

RA(config-int)#no shutdown

RA(config-int)#exit

RA(config)#intface s0

RA(config-int)#ip address 10.0.0.1 255.255.255.0

RA(config-int)#no shutdown

3. 配置RA的远程登陆Telnet功能

RA(config)#line vty 0 4

RA(config-line)#login

RA(config-line)#password 123456

4. 配置RA的登陆密码

RA(config)#enable password 123456

5. 配置RA的静态路由或动态路由

RA(config)#ip route 192.168.1.0 255.255.255.0 10.0.0.2

6. 配置RA的SNMP管理协议中的共同体字符串(只读和读写)

RA(config)#snmp-server community public ro

RA(config)#snmp-server community private rw

（二）配置交换机SWA

1. 配置交换机主机名

Switch(config)#hostname SWA

2. 配置交换机的IP地址

SWA(config)#ip address 172.16.1.2 255.255.255.0

3. 配置SWA的远程登陆Telnet功能

SWA(config)#enable password level 15 123456

4 配置RA的SNMP管理协议中的共同体字符串(只读和读写)

SWA(config)#snmp-server community public ro

SWA(config)#snmp-server community private rw

（三）配置Windows 2003的SNMP协议以及共同体字符串

1. 安装SNMP协议：

“添加删除程序”-->“Windows 组件”-->“网络管理和监视”-->“简单网络管理协议(SNMP)”

2. 配置当前的SNMP共同体字符串

“管理工具”-->“服务”-->“SNMP Service”-->“安全”

（四）配置Linux的相关内容

1. 配置Linux主机名

2. 配置Linux的 IP地址并测试连通性

3. 配置Linux的SNMP服务以及共同体字符串

打开SNMP的主配置文件/etc/snmp/snmpd.conf

取消40行的”#”

将60行的“systemview”改成“mib2”

将87行的“#”取消

保存配置文件，并且利用service snmpd start启动snmp服务

二.在Windows 主机上安装What’s Up软件进行现有网络的管理

1.安装What’s Up软件

11）What’s UP是国际著名软件厂商Ipswitch公司的强有力管理工具

12）安装过程只需要一路“Next”指定安装路径就可以完成

2.配置网络发现

11）创建网络的拓扑图{“File”-->”New Map wizard”}

12）选择“discover and map network devices”发现网络拓扑和网络设备

13）选择发现网络和网络设备的形式{推荐选择SNMP}

1> 通过SNMP扫描发现

2> 通过ICMP发现{会带来较多的网络带宽占用}

3> 通过主机的网上邻居列表发现

4> 从注册表导入

5> 通过主机%systemroot%\system32\config\hosts文件导入

14）选择“root device”{根设备，一般是当前主机}

15）选择What’s UP监视的网络服务{推荐尽量少选，速度快}

16）扫描完毕会发现实际网络环境

4. 安装后会出现两个图表

41）被管设备右上角出现“星星”表示该设备通过SNMP发现

42）图形和颜色表示的含义：{“config”-->”program options”}

43）如果对颜色不敏感可以选择“View Settings”调整颜色设置

5. What’s UP的软件有两种模式（监控模式和编辑模式）；监控模式只能监视，而编辑模式可以修改当前网络的环境以及图表

51）在编辑模式下修改当前网络拓扑的背景{选择“Edit”-->”Annotation Objects”-->Image-->右键Properties-->选择图片背景}

52）添加设备，将实际网络中没有发现的设备添加到图表中{选择“Edit”à”Device Type”à选择实际的网络设备}

53）添加Internet网络连接{“Edit”à”Shapes”}

54）进行编辑网络名称，注明网络位置以及进行连线

55）根据实际情况划分网络区域

56）锁定当前区域图表{选中所有设备以及文字à右键à”Lock Porsition”}

6. 替换网络中被管设备的共同体字符串{“Edit”à”Replace SNMP Communities”}

将网络中被管设备现在使用的“mycomm”替换为“public”字符串

7. 添加被管设备的被监控服务类型{“status”à”右键Porperties”à“Services”}

在当前图表中发现SWA已经脱机{网络连通性出现问题}

上图中对Windows 2003添加了http snmp 以及telnet服务，发现http和telnet服务都属于service down状态，通过开启”管理工具”à”telnet” telnet服务再轮询发现服务service up,以同样方法操作，使IIS中的http服务启动

8. 添加监控的设备支持工具命令{选择设备à右键选择customize menu}

What’s UP不仅可以使用软件所内置的命令添加，也可以将系统中内置的命令添加到菜单中，甚至可以添加小工具{第三方软件所支持的工具}以方便管理人员的灵活使用

9. 添加声音报警{选择设备à右键选择propertiesà”Alert”à”Enable Alerts”}

添加声音报警后，如果设备出现宕机状况，会及时发出之前定制好的声音通知管理员尽早修复

10. 网络管理工具Net Tools使用{“Tools”à”Net Tools”}

本博客所有内容均为原创,作者为袁佶彪,请勿转载,谢谢http://yuanjibiao.spaces.live.com

一.Windows 组件的安装：一改以往的安装形式，2008采用了全新集成工具的MMC，将众多的管理工具集合在一个可操作控制台中，服务器以“Roles”各种角色扮演，需要什么服务需要什么组件都可以直接通过控制台安装

1.打开Server Manager选择Roles点击右侧的“Add Roles”

2.出现“Add Roles Wizard”{添加角色向导},选择"Add Roles"

3.有16个可添加组件供用户选择,选择到需要的组件进行安装,

4.依照提示一步一步操作至组件的安装完成

5.配置IPv6的DHCP地址分配

当DHCP服务安装后,默认情况下,DHCP服务器没有启动,所以需要在"服务管理控制台"中将DHCP Server的服务开启,再打开dhcpmgmt.msc控制台进行服务器配置

6.配置可以分配IPv6地址的作用域之前首先确定服务器已经配置了静态的IP地址,图例中已经将IPv4地址设置为 192.168.1.101,IPv6地址设置为21::1,基于此前提创建作用域

7.创建IPv6地址的作用域

8.设置IPv6的选路头{相当于IPv4的子网前缀(参见之前博客中提到的<IPv6浅析>)}，图例中设置为分配21::21/64的选路头{优先级preference选择了默认0}

9.设置排除{Exclusions}地址，也可以不设置，图例中不设置排除地址

10.设置客户端的租约期限，不同于IPv4的地址租约，IPv6有两种租约，一种是非临时地址（IANA分配）默认租约是8天，另一种是临时地址（IATA分配），默认租约为1天

11.测试结果在客户端上安装IPv6协议，同时刷新网卡的IP地址

netsh interface ipv6 install          安装IPv6

ipconfig/release                            释放IP地址

ipconfig/renew                              刷新IP地址

本博客所有内容均为原创,作者为袁佶彪,请勿转载,谢谢http://yuanjibiao.spaces.live.com

一.Windows 2008 基本磁盘管理

1.Initialize Disk{初始化磁盘}

选择初始化时，可以选择MBR和GPT两种磁盘类型，其中MBR磁盘是主引导记录磁盘，最多支持4个主分区，而GPT磁盘{GUID Partition Table}最多支持128个主分区，微软推荐我们在磁盘大于2TB时或者是Itarium计算机时使用此分区表

新建一个简单卷（new  simple volume）{以前只有在动态磁盘上才可以建立的}

已经建立好了简单卷"my part",容量是15.97G,驱动器号为F:

2.缩小现有磁盘容量

在Win 2008以前的操作系统中，如果给磁盘分区往往都需要使用分区软件，利用系统自身的分区diskpart，功能有限，只能在未使用的磁盘上进行分区的划分，如果希望在已经安装好的系统上给磁盘进行扩展或缩小空间只能使用诸如PQ这样的软件，而今Windows2008自身就支持了缩小现有分区容量的功能

现在将刚创建的"my part"分区容量缩小{系统所安装的分区C:\也可以进行缩小}

选择“Shrink Volume”

输入如何划分新的卷容量{图例为划分4G和12G大小的两个分区}

缩小磁盘分区后如图{还可以继续进行分区缩小}

3.扩展现有卷的容量

选择“Extend Volume”,将扩展的容量设置为1000MB

我们不得不为Windows 2008强大的磁盘管理功能而惊叹“WOW”

二.Windows 2008 动态磁盘管理

1.将基本磁盘转化为动态磁盘

2.Windows 2008同样支持5种动态卷

简单卷、跨区卷、带区卷、镜像卷和RAID-5卷

本博客所有内容均为原创,作者为袁佶彪,请勿转载, 谢谢http://yuanjibiao.spaces.live.com

一.登陆2008 Enterprise Server界面

二.登陆界面选项--Ease of Access（Windows 轻松访问）{上图窗口左下脚的图标}

三.从2008的启动--BCD{Boot Configuration Data}谈起

Windows 2008和Windows Vista 一样都一改以往利用C:\下的boot.ini文件进行配置和修改启动菜单的装载方式，采用了新的启动菜单装载方式---利用BCDEdit工具进行修改,通过命令行的方式改变启动的选项

1.如果显示有关 /createstore 命令的详细信息，则键入:

    bcdedit.exe /? /createstore

2.建议在修改之前先做导出操作，以免误操作损坏文件:{将现有配置导入到c:\bootfile中}

    bcdedit /export c:\bootfile

    bcdedit /import c:\bootfile       {将已经备份好的文件再导入}

3.设置启动的超时等待时间为60秒

    bcdedit /timeout 60

通过帮助以及参数其他选项都可以设置

四.MMC{Mircrosoft Management Console}微软管理控制台的变化

1.打开空的MMC，并添加管理单元{以添加计算机管理控制台为例}

“开始”--“运行”“mmc.exe”   ，发现MMC已经变成了三栏式，类似于ISA Server 的界面

2.查看当前MMC的版本

发现了MMC目前的版本仍然是MMC3.0{与Windows 2003 Server的MMC版本一致}

本博客所有内容均为原创,作者为袁佶彪,请勿转载,谢谢http://yuanjibiao.spaces.live.com

一. 分布式文件系统的使用

a) 什么是分布式文件系统：DFS，将网络中多个文件服务器上的文件通过共享链接到DFS服务器上，使访问更加方便

b) DFS的优点：

1） 解决服务器的网络负载：文件存在于多个服务器上，使用不同的文件将会将访问的流量分担

2） 增加文件的可访性：当某个服务器出现故障，可以通过事先的DFS“目标”进行访问，用户仍然可以访问到文件

3） 易于文件访问：用户不必再记忆具体文件存在的服务器位置，只需要访问DFS的服务器就可以找到需要的文件

c) DFS的必要条件

1） 服务器必须要有共享文件夹，DFS是基于共享的服务

2） 服务器创建DFS的根

3） 网络中其他的文件服务器需要和根建立DFS链接

d) 实验环境：

1） DC作为DFS根，创建f::\root目录，并且共享，同时也作为DFS目标位置，创建一个e:\backup目录也共享出来目的为存放副本备份文件

2） 域成员计算机作为DFS链接服务器，创建F:\file，并在目录中创建caiwu.txt

e) 实验步骤：

1） 以管理员进行登陆DC和域成员计算机，将文件夹分别共享，注意DC上由于E:\backup需要做自动复制的文件夹，所以必须有写入权限

2） 在DC上打开DFS管理工具，创建DFS根

3） 通过DFS根建立链接

4） 通过UNC路径进行访问，查看效果，在客户端使用UNC路径\\192.168.1.250访问DC上的DFS文件

5） 创建DFS的目标副本备份，以实现文件的可访性，同时查看时时备份

查看效果，现文件是在源和目标之间实时更新的

本博内容完全原创，谢绝转载或引用，谢谢，http://yuanjibiao.spaces.live.com

一. 基本的AD使用配置

a) 打开ADUC工具以地理位置、部门职能添加组织单元

b) 在组织单元中创建域帐户

c) 将客户计算机添加到域中成为域成员计算机

1） 客户机DNS指向DC（因为目前DC就是DNS服务器）

2） 使用新创建的帐户zhang3@yjb.com添加到域

输入有权限的域帐户名称，如果是administrator的话，可以无限制的将计算机添加到域中，如果是普通域用户只能将10台计算机添加到域中

d) 使用新创建的zhang3@yjb.com登陆到域成员计算机上，在成员计算机上看到可以选择登陆到域或本地计算机，使用域帐户登陆到域，也可以使用本地系统帐户登陆到本地计算机

二. 在DC上实现对域成员计算机的使用限制

a) 强制用户注销或关机

选择“启动和故障恢复”

b) 限制用户登陆时间

c) 限制用户的登陆计算机，保证每个人只使用自己的个人电脑

本博内容完全原创，谢绝转载或引用，谢谢，http://yuanjibiao.spaces.live.com

成为企业AD管理专家实验手册：

一. 实验环境：物理计算机一台、虚拟计算机一台

a) 物理计算机配置：

1） IP::192.168.1.250/24

2） Hostname: best-c1-01

3） DNS:192.168.1.250

b) 虚拟计算机配置

1） IP:192.168.1.254/24

2） Hostname:best-vm001

3） DNS:192.168.1.254

c) 虚拟计算机和物理计算机使用网桥连接

d) 操作系统都使用Windows 2003

二. 实验内容：创建AD

a) 在物理计算机上和虚拟计算机上分别创建AD的DC

b) 物理计算机上“运行”—“dcpromo”打开AD的创建向导

c) 创建新域域控制器

d) 新林中的域

e) 将公司在Internet上申请的域名输入到窗口中”yjb.com”

f) NetBios名默认就可以，NetBIOS名是为早期Windows系统识别新域的

g) AD数据库和日志的文件夹要求存放在NTFS文件系统上

h) DNS检测失败后选择第二项，使本地计算机作为DNS服务器，并自动配置

i) 选择域的功能级别（任意选择，因为将来可修改）

2003域的功能级别类型：

1） 混合模式：域中的DC可以是Windows 2003或低于2003的版本，如Win2000,功能和安全性都比较差

2） 纯模式：域中的DC可以是Windows 2003或Win2000，(NT4.0不行)，功能和安全性较好

3） .NET模式（2003模式）：域中DC的操作系统必须是2003，安全性最高，功能也最强，强烈推荐

j) 输入还原模式密码（是开机按F8进入目录还原模式登陆时的密码）

k) 确认信息无误开始完成

l) 完成后重新启动计算机

m) 以同样的步骤完成虚拟计算机的DC安装，域名为hx.com

三. 实现企业中两个森林的林信任创建

a) 分别将yjb.com和dl-yjb.com域的首选DNS指向对方的DNS服务器IP地址，备用DNS服务器的IP指向自身IP

b) 两个域的administrator用户名与密码必须相同

c) 升级当前两个域的功能级别为2003模式

“管理工具”—“AD域和信任关系”，只能从低级别提升到高级别，不能从高降低到低级别的模式

安装DC后管理工具中多了五个管理工具

d) 升级当前两个不同森林的林功能级别为2003模式

e) 创建林信任关系

选择新建信任

输入需要建立的信任域域名hx.com

f) 根据向导继续完成操作建立

g) 在hx.com的DC也需要完成信任关系的创建

选择信任的类型：林信任或外部信任，具体看企业需求

选择信任关系的方向性，为双向还是单向

选择是否可以传递信任关系

用户的身份验证是否是整个森林性质的

信任密码必须要一致

目前已经完全创建了林信任关系

最终的登陆结果是可以通过域中的成员登陆时看到选择域的下拉菜单

i) 输入用户名和密码发现不能登陆，因为目前实验环境是DC，而DC“不允许交互式登陆”

本博内容完全原创，谢绝转载或引用，谢谢，http://yuanjibiao.spaces.live.com

ISA:Internet Security and Acceleration(Internet 的安全和加速服务器)
一.ISA版本：
    1.ISA 2000    需要AD的支持
    2.ISA 2004    不需要AD支持可以在WorkGroup环境中
    3.ISA 2006    ISA2006 = ISA2004+SP3
二.如何在企业环境中部署ISA
    1.Windows 2003 Enterprise R2 + ISA 2006
三.ISA的防火墙的功能：
    1.ISA 的3DMZ模板环境：三个网络（一般是Internet 与 Intranet以及服务器所在的区域DMZ区域）
        实验环境：需要使用三个计算机，其中一个计算机有三块网卡分别连接内部网络（Intranet）和外部网络(Internet)，第三块网卡连接DMZ区域的服务器
        1）第一个服务器网卡配置：
            第一块网卡：网卡名“internet” IP地址 192.168.1.199/24
            第二块网卡：网卡名“intranet” IP地址 20.0.0.2/24
            第三块网卡：网卡名“DMZ”      IP地址 10.0.0.1/24
        2）第一个服务器系统配置：
            计算机名：ISA-S,安装ISA 2006
        3）第二个计算机配置：计算机名：Client 网卡IP 20.0.0.3/24 Gateway 20.0.0.2充当内部工作网络中的客户端计算机
        4）第三个计算机配置：计算机名：DMZ-S 网卡IP 10.0.0.2/24 Gateway 10.0.0.1同时安装IIS并配置WEB服务功能
    2.访问规则的实验步骤：
        1）创建网络模板3DMZ(ISA服务器管理-->阵列-->服务器-->配置-->网络)，选择右侧“模板”--“3 向外围网络”
        2）依照实际环境选择向导完成网络的创建后应用
    #*#注意：默认安装ISA，ISA服务器就是“本地主机”；企业内部的服务器所在的区域就是“外围网络”；企业内部办公区域是“内部网络”；而接入Internet的网络被称为“外部网络”，同时所有网络之间以及本地主机与所有网络的通信都被默认“Deny”,是处于安全考虑。
        3）创建基本的策略满足企业需求
            31）允许“本地主机”向外部网络的所有访问（阵列-->服务器-->防火墙策略-->新建策略）*不安全
            删除31的策略，重新创建以下策略
            32）允许“本地主机”向外部网络的WEB访问（阵列-->服务器-->防火墙策略-->新建策略）
            33）允许“内部网络”向Intenet的WEB访问（将访问源设置为“内部网络”）
            34）允许“内部网络”主机可以ping通“本地主机”以进行网络连通性测试
            35）拒绝“20.0.0.3”计算机访问www.qoq.com,(ISA服务器管理-->右侧工具箱-->网络对象-->新建计算机；新建URL集，“http://www.qoq.com/*”;再创建访问规则，源为计算机对象，应用上创建的URL集)，经过测试后发现访问http://news.qoq.com是可以访问的,再编辑URL集"http://*.qoq.com.cn/*"可以拒绝对该域名以及域名下所有的虚拟目录进行访问，但是仍然无法拒绝直接通过IP地址的访问，需要建立计算机集，限制目标主机的IP地址访问
            36）通过时间的限制拒绝用户对Internet的访问（新建“计划”时间应用到访问规则上）
            37）通过内容类型限制用户进行某类型文件的下载和使用（拒绝在网页上显示视频和图片以及声音，只允许html的类型文件）
            38）添加特殊应用程序的端口访问（可以限制QQ服务器的端口8000，但是通过代理服务器的QQ登陆无法进行限制，可以通过定义http头，如tencent等限制）
    #*#注意：阵列规则是Top-->Down（从上到下）应用生效，为了安全起见拒绝的策略要放置在允许的策略上边
    3.服务器发布的实验步骤：（也称为端口映射，其实也是一种DNAT）
        1）发布DMZ区域中的WEB服务器到ISA的本地主机上
            11）建立关于所发布的服务器端口的WEB侦听器（工具箱-->网络对象-->WEB侦听器）
            12）关闭当前“本地主机”的IIS自身的WEB功能，否则只能更改端口侦听
            13）在发布时，要注意可能会通过域名访问但是不能通过IP访问，需要对访问的公用名称进行添加IP访问
        2）发布DMZ区域中的WEB服务器到ISA本地主机将http://10.0.0.2:8080发布为http://192.168.1.199/china/dl
        3）发布Exchange Server
        4）发布FTP服务器
            11）建立关于FTP21端口的侦听器
            12）关闭当前“本地主机”的IIS自身FTP功能
            13）发布服务器规则
            14）设置只读FTP服务器（不论DMZ区域中的FTP是否允许上传，ISA已经将FTP设置为了只读）
        5）发布一个Telnet服务器
    4.企业策略和访问策略：
        1）企业策略：影响整个企业中所有阵列服务器的策略
            11）在防火墙策略之前应用的企业策略
            12）在防火墙策略之后应用的企业策略
    #*#仍然是由上到下的应用顺序，先生效11）再生效防火墙策略规则，最后在生效12）
        2）创建新的企业策略和访问规则
            21）创建“新企业策略”（企业-->企业策略-->新建企业策略），其中只包含默认拒绝的访问规则，所有的访问规则还需要重新创建
            22）将当前企业的策略更改为“新企业策略”（阵列-->服务器-->属性-->策略设置-->应用新企业策略）
            23）依照网络的需求创建适合网络使用的访问规则就可以
        3）创建在防火墙策略之前应用的企业策略规则优先生效
            31）创建新企业策略的访问规则（新企业策略-->新建访问规则）
            32）调整策略的上下位置，使之成为“防火墙访问规则之前生效的企业策略”或“防火墙访问规则之后生效的企业策略”
        4）策略的导入导出：进行备份       
推荐的学习网站：风间子老师的http://www.isacn.org

本博客所有内容均为原创,作者为袁佶彪,如需要转贴,请附上原作者和博客地址http://yuanjibiao.spaces.live.com

使用SC命令远程开启计算机的服务

SC其实是一个命令工具而已,它具备开启计算机服务的功能,早期都把它认为是黑客工具,而在Windows 2003中将这个命令内置在操作系统中,可以使用它远程开启其他计算机的服务,包括了系统上已经禁用的服务

下面介绍该工具的使用,开启远程主机192.168.1.202的telnet服务(需要知道该主机的用户名和密码):

1.首先使用sc \\192.168.1.202 query tlntsvr来查看远程主机的telnet的服务状态,得到结果是stopped(已停止)

2.然后使用sc \\192.168.1.202 qc tlntsvr 查询当前的telnet服务的配置状况,发现是disabled(已禁用)

3.使用sc \\192.168.1.202 config tlntsvr start= auto使telnet服务开机自动启动

5.使用sc \\192.168.1.202 start tlntsvr 来启动telnet服务

6.使用sc \\192.168.1.202 query tlntsvr 查看telnet服务是否已经在运行

7.接下来就可以使用telnet 192.168.1.202进行telnet了

本博客所有内容均为原创,作者为袁佶彪,如需要转贴,请附上原作者和博客地址http://spaces.msn.com/yuanjibiao

-p Period
指定两个连续的 ping 之间的时间间隔（以毫秒为单位）。默认值为 250 毫秒（1/4 秒）。
-q NumQueries
指定发送到路径中每个路由器的回响请求消息数。默认值为 100 个查询。
-w Timeout
指定等待每个应答的时间（以毫秒为单位）。默认值为 3000 毫秒（3 秒）。
-i IPAddress
指定源地址。
-4 IPv4
指定 pathping 只使用 IPv4。
-6 IPv6
指定 pathping 只使用 IPv6。
TargetName
指定目的端，它既可以是 IP 地址，也可以是主机名。
/?
在命令提示符下显示帮助。
注释
Pathping 参数区分大小写。
为避免网络拥塞，应以足够慢的速度发送 ping 信号。
要尽可能地减小爆发丢失所造成的影响，请不要频繁发送 ping 信号

本博客所有内容均为原创,作者为袁佶彪,如需要转贴,请附上原作者和博客地址http://spaces.msn.com/yuanjibiao