MCSE2003+Security试验手册.doc

此文档收集于网络，如有侵权，请联系网站删除MCSE2003+Security试验手册1、活动目录（域环境）2、windowsserver所能提供的相关功能：如dhcp、dns、wins、iis等等3、组策略一、 Virtual Mathine的操作1. 实验目的 本实验的目的为了让学员更好的应用VMware Workstation.在本实验的具体需求中除了涉及到了VMware Workstation的常见应用外，还涉及到一些中高级的应用。2. 实验的具体需求3. 实验的具体需求1） 能够使用VMware Workstation安装出一个Windows Server 2003 Enterprise Edition. 在VMware中的标识名和计算机名称都为Openlab1.2） 为Openlab1这台计算机安装好VMWare Tools.3） 为Openlab1按照个人习惯做好基本的配置（比如分区，调整分辨率，改桌面背景等等）把Openlab1做成母盘，然后由母盘生成两个虚拟机：Openlab2和Openlab3.4） 为Openlab2和Openlab3做好快照。5） 在Openlab2中实现屏幕录像功能。4. 实验的注意点1） 在做第2个需求的时候，把Openlab1配置成母盘前，一定要把系统的SID去掉，否则生成出来的Openlab2,Openlab2的SID一样。2） 在做第2，3个需求的时候，要理解Vmware Tools实现母盘和差异盘的作用。5个人总结：_.二、 DNS基本试验1 实验目的1） 能更好的去运用和理解VMware,关键是能够利用VMWare搭建实验环境。2） 理解并能在Windows中使用常见的技术或者服务：DNS,NAT,IIS,端口映射等等2 实验的网络拓扑图3 实验的具体需求1） 使用VMware搭建好如上图的实验环境。2） 让Client能够使用访问到公网的Web Server3） 让公网上的Beijing能够使用远程桌面访问到公司内部的DNS服务器4） 让公网的Beijing也能通过 访问到Web Server4 实验的注意点1） 在部署环境的时候，内网和公网选择不一样的VMnet。2） 对于基本的Firewall，只要启用NAT就可以了。在本实验中Firewall用一个双网卡的Windows Server 2003，在路由和远程访问中，启用NAT。3） 端口映射的应用。5 个人总结_._三、 NAT实验1. 实验目的：1） 更深入的理解NAT，以及在企业中涉及到NAT技术的网络分析。2） 在Windows Server 2003中如何应用路由和NAT的技术。并且理解路由和NAT的区别。3） 利用Windows Server 2003搭建FTP Server。4） 充分理解上个实验中涉及到的技术，在本实验可以得到一个检测。2. 实验网络拓扑图：3. 实验具体需求：在本实验中，企业内网通过Firewall连到Internet,在企业内部连了两个网段20网段和30网段，在20网段中有台服务器nanjing,在30网段中有台客户机Beijing. 在公网上有台FTP Server,这台服务器同时也是DNS Server.1) 搭建好如图的实验环境，在本实验环境中，有4个网段，按照个人的习惯选用不同的VMnet.2) 部署好公网的FTP Server.让nanjing和beijing能使用02能访问到FTP Server3) 把nanjing和FTP Server部署成DNS Server , 在公网的DNS Server上创建一个域名. 在nanjing上不需要创建任何的记录，实现nanjing和beijing可以通过访问到 FTP Server(不改变图中计算机DNS的指向)。4. 实验注意点：1) 在本实验中，让Beijing和nanjing访问到FTP，要添加静态路由2) 要会应用DNS转发5. 个人总结：_四、 文件服务器综合实验1. 实验目的：1) 能在Windows Server 2003中创建动态磁盘。2) 通过此实验能够有效地管理公司的文件服务器，比如安全管理，数据的备份和恢复，配额等等。3) 可以利用Windows Server 2003 R2中新增的功能（比如邮件），更好的管理文件服务器。4) 可以利用IIS部署一个简单的邮件服务器。2. 实验网络拓扑图：3. 实验具体需求：本试验环境非常简单，在一个网段中有三台计算机（File Server, Mail Server,Alice）1) 搭建好如图的实验环境.2) 在文件服务器上有一个卷RAID5的卷H3) 文件服务器H卷上共享文件夹ShareFolder,里面有三个文件夹:市场部,财务部,人事部.Alice是属于市场部的,所以在市场部的文件夹里面有一个文件夹Alice,此文件夹方便Alice存储数据,要求公司内部所有的人只能访问自己的文件夹,而且也只能访问自己的文件夹。4) 对ShareFolder进行备份,能够让用户在client进行恢复.此备份在周一到周五的17:00自动完成。5) 对于Alice最多向ShareFolder存放10MB数据,如超过10MB,禁止存储,并且发邮件通知管理员.达到8.5MB时,同样发邮件通知管理员6) Alice向ShareFolder存储数据时,不能存放电影,否则邮件通知管理员4. 实验注意点：1) 在创建RAID5卷前，把所有磁盘转化成动态磁盘。2) 在配额和限制文件类型触发邮件时，必须保证操作系统是Windows Server 2003 R2的版本。5. 个人总结：_。五、 DHCP,DNS,WINS的综合实验1. 实验目的：1） 理解和实现DHCP,DNS,WINS的基本功能和应用。2） 实现DHCP的中继代理。2. 实验网络拓扑图：3. 实验具体需求：在这个环境中，公司内部有两个网段：10网段和20网段。这两个网段通过路由器R1连接到公网，在10网段中有三台计算机：Nanjing, DHCP Server ,DNS Server; 在20网段中，有两台计算机：Beijing和WINS Server. 在公网上有个Web Server. 1) 搭建好如图实验环境。2) 两个网段所有的客户端（Nanjing和 Beijing）都在DHCP Server上获得IP地址3) 两个网段的所有的计算机都能使用计算机名称进行相互访问。4) 两个网段的所有的计算机都能通过访问到公网的Web Server4. 实验注意点：1）Beijing必须通过DHCP中继代理才能获得IP地址5. 个人总结：_.六、 Client-to-Site VPN实验1. 实验目的：1) 理解VPN技术在使用场景以及VPN在Windows Server 2003中如何应用。2) 理解RADIUS Server的作用3) 懂得VPN的环境中，常见网络的分析。2. 实验网络拓扑图：3. 实验具体需求：在这个环境中，公司的内网通过Firewall连接到internet,在公司内部有一个路由器R1,有台服务器担任了Web Server和DHCP Server ，有台服务器担任了DNS Server和RADIUS Server,这两台服务器都在10网段，在20网段中有个Client端nanjing. 在Internet上有个计算机 Beijing.1) 搭建好如图的实验环境，在此环境中，有三个网段。2) 在DHCP Server上有个共享文件夹test, 让Beijing能拨通VPN访问到此共享文件夹。3) Beijing拨通VPN时会获得一个IP地址，如何让Beijing拨VPN时在内部的DHCP Server上获得IP地址。4) Beijing拨入VPN时候，默认情况下使用的是PPTP协议，实现L2TP协议的拨入，两端都使用Pssw0rd的共享密钥。5) 在VPN上设置，最多只能有20个人拨入VPN,其中使用PPTP的10 人6) VPN在拨入时候启用策略验证，具体策略如下：A. 拒绝财务部的人拨入B. 允许市场部门在8：0020：00拨入C. 允许技术部在任何时间拨入D. 拒绝所有人拨入7) 公司内部的Web Server是没有发布到Internet上，如何实现，只要用户拨通VPN就能实现通过访问此Web站点。8) 在Beijing上拨VPN的时候，默认帐号是在VPN Server的本地验证的，如何实现帐号在RADIUS Server上验证。9) Beijing拨通VPN时，Beijing能ping通（Nanjing的IP）吗？如不能，如何解决这个问题？4. 实验注意点：1）细心的部署网络环境，细心的安装每一个服务，细心的配置每一个选项5. 个人总结：_七、 Site-to-Site VPN实验1. 实验目的：1） 理解Client-to-Site的VPN和Site-to-Site VPN的区别，以及这两种VPN适用于什么样的场景。2） 熟悉Site-to-Site VPN在Windows Server 2003中的配置。2. 实验网络拓扑图：3. 实验具体需求：在如上的环境中，某公司有两个分部：北京和上海。在北京分布中，有一个Firewall, BJPC1, BJPC2,和路由器R1.在上海分布中，有一个Firewall和SHPC.所有的IP地址都如图所示。1) 搭建好上图的实验环境，整个环境有四个网段，请选择不同的VMnet2) 使用PPTP的协议，部署好Site-to-Site的VPN，保证两个分部所有的PC都可以相互访问。3) 使用L2TP共享密钥的方式，部署好Site-to-Site的VPN.保证两个分部所有的PC可以相互访问。4) 问题：如果北京和上海分布的内网的IP地址都是10网段的，可不可以实现Site-to-Site的VPN ?为什么？4. 实验注意点：1）在部署Site-to-Site VPN的时候，需要创建拨入凭证和拨出凭证，这两个凭证两段一定要一一对应。否则这个实验很难成功。5. 个人总结：_八、 IIS综合试验1. 实验目的： IIS是Windows Server 2003非常重要的组件，通过此实验，让学员能熟练的使用IIS 部署公司的FTP Server , Mail Server ,Web Server2. 实验网络拓扑图：3. 实验具体需求：在此实验环境中，公司内部有三台服务器：FTP Server , Mail Server 和Web Server ,这三台服务器通过FireWall连接到Internet.在Internet上，有两台计算机：一台是DNS Server ,还有一台是Internet的普通客户机Client.1) 按照上图搭建好实验环境2) 部署好公司的FTP Server. 让Internet用户通过能访问到公司内部的FTP Server3) 设置FTP Server的属性，最多允许30个人同时访问，如果用Alice和Bob,Administrator访问FTP Server的话，那等上传；除此帐号外，其他的帐号只能下载。4) 如果是用Alice,Bob,Administrator访问FTP Server，就启用用户隔离。5) 把内网的Mail Server（域名为O）配置成一个邮件服务器，让Internet的用户能通过Outlook收发内网的邮件6) 如果Internet上有一个邮件服务器（比如把DNS Server配置成邮件服务器，域名为）,如何保证和能相互转发邮件。7) 配置好公司内部的Web Server .让公网的用户能通过 访问此Web Server8) 如果Web Server上有三个站点Web1.Web2.Web3. 如何配置能够实现internet的用户通过 访问到Web1,通过 访问到web2.通过 访问到web3.4. 实验注意点：1) 在做FTP用户隔离的时候，一定要保证文件夹名称和用户名称完全一致，否则无法实现此功能。2) 最后一个需求通过主机头可以实现，或者使用ISA Server.在这里推荐使用主机头来实现此功能。5. 个人总结：_.九、 证书的综合实验1. 实验目的:1) 理解CA和证书的管理 2) 通过此实验充分了解证书在企业生产环境中的作用3) 理解证书信任的作用2. 实验网络拓扑图：3. 实验具体需求：在此环境中，公司内网有一个证书服务器和一个Web Server ,这两个服务器通过Firewall连接到internet, 在Internet上一个DNS Server 和一个Client.1) 搭建好如图的实验环境。2) 实现VPN的L2TP的证书加密。3) 把公司内部的Web Server 部署成安全的Web Server,并且只接受HTTPS的访问。这样Internet上所有的用户可以通过 访问到此Web Site. 4) 如果用户在访问的时候输入 ,则自动跳到 访问。5) 开启Web Server的远程桌面的功能，让Internet用户可以使用安全的RDP的方式连接到Web Server.4. 实验注意点：1） 在本实验中，比如VPN实验，VPN Server和VPN Client都要去申请证书，申请证书的时候必须使用http的访问，而http的80端口被公司内部的Web Server 所占用，所以必须要换端口才能保证VPN Client访问到证书服务器2） 在证书实验的时候，务必保证所有的计算机都信任证书办法机构，这样通过证书做出来的加密才没有问题。5. 个人总结：_.十、 部署SQL Server的灾难保护群集1. 实验目的：1) 能了解群集常见的两种应用：NLB群集和灾难保护的群集。2) 充分理解灾难保护群集的使用场景3) 能搭建出SQL Server的灾难保护群集2. 实验网络拓扑图：3. 实验具体需求：在此实验环境中，给出了一个完整的企业网络拓扑图，但是在本实验的操作过程中，就使用到三台服务器：DC,Shanghai,Beijng.在此环境中DC是一个域控制器，Shanghai 和Beijing是加入到域的成员服务器，这两个服务器就是群集的两个节点。1 搭建好入图的实验环境，并且测试群集的功能搭建的时候建议在Microsoft Virtual Server 2005的虚拟机的环境中部署，这样显得比在Vmware中真实，具体过程参考具体的实验文档。4. 实验注意点：1. 所有的共享磁盘的分区格式必须要是NTFS.2. 仲裁盘（Q盘）的大小最小为50MB,为了最佳的利用NTFS的性能，建议用500MB空间。3. 在虚拟机的测试环境中，所有的共享磁盘必须为基本磁盘，不能为动态磁盘，否则在创建卷的时候有问题。4. 所有节点的服务器必须要有两块网卡，一块是接收用户访问的，还有一块是用来传输心跳信息的，所以心跳信息的数据TTL=1.这就要求心跳线间不要经过三层设备。5. 个人总结：_十一、 活动目录创建和对象的管理1. 实验目的：1) 熟悉各种域环境的创建。2) 理解域中DNS功能的重要性，以及如何为DNS做备份。3) 熟悉域中基本的操作。比如对象的创建，安全的管理等等。4) 熟悉域中常见策略的修改。2. 实验拓扑图：1) 实验的网络拓扑图在如上图,在企业内部网络中,有两个网段(/8和/8),两个网段是通过路由器连接起来。 在40网段中,有两台计算机(Denver, Nanjing) ;在70网段中有三台计算机(Shanghai，newyork和Beijing), 2)实验的域的结构图在上图中，整个环境有三个域（,和）,其中和是父子域.而是林中的域树。在父域中,有三台计算机(Denver, Shanghai , Beijing),Denver是整个林的第一个DC, shanghai是父域的附加DC,而Beijing则是中的成员 在子域中,有两台计算机(Nanjing, Seattle), Nanjing是该域的DC ,Seattle是该域的成员.在的域中，有一台计算机newyork，此计算机就是本域的DC.3. 实验具体需求：1) 搭建如图的环境，Denver是的第一个DC，Shanghai是Denver备份DC，nanjing是的DC,而newyork是的DC, Beijing是的成员.2) 在这个环境中，所有的DC都是DNS Server3) Denver是DHCP Server,两个网段中所有的Client都在DHCP上获得IP4) 在的域中，只有管理员才能把PC加入到域，密码策略中不要复杂性的密码，大于位就可以了。5) 在的域中有三个部门：人事部，市场部，财务部。在Shanghai上有一个文件夹test.这个文件夹市场部门的用户可以完全控制(市场部门有个用户叫Alice)，而其他部门的用户只能读。其他域用户无法访问。6) 在newyork所在的域中有一个OU叫Lab, 允许中的Alice在Lab中创建用户和组7) 在Shanghai上有个共享文件夹叫ShareFolder ,只允许Alice在里面存10MB数据,否则发邮件通知管理员, 而且不能存放exe的文件.否则发邮件通知管理员(把denver配置成邮件服务器)4. 实验注意点：1) 真正的读懂上面的两个图：网络拓扑图和域的逻辑结构图，并且能搭建出如图的实验拓扑。在搭建环境的时候注意先搭建物理的网络拓扑图，然后在物理的网络拓扑图的基础上在部署域的逻辑结构图。2) 在为nanjing做DNS备份的时候一定要把父域的DNS复制类型改为全林复制。5. 个人总结：_十二、 活动目录的迁移的综合实验1. 实验目的1） 熟练操作活动目录的迁移。2. 实验拓扑图3. 实验具体需求在做此实验的时候，先部署好Windows 2000 Server的域环境，然后把Windows XP加入到域中，然后再做迁移。下面是活动目录迁移的大致的过程：1) 为新服务器安装好Windows Server 2003的操作系统，然后加入到Windows 2000 Server的域中。2) 在Windows 2000 Server 上更新林架构（把Windows Server 2003的光盘插入Windows Server 2000的计算机中，然后运行：E:I386ADPREP.EXE /forestprep. 注意：E盘是光盘）(如果更新到Windows Server 2003 R2, 需要把R2的第2张光盘插入光驱，然后运行命令 Drive: CMPNENTSR2ADPREPadprep.exe /forestprep)4) 在Windows 2000 Server 上更新域架构（把Windows Server 2003的光盘插入Windows Server 2000的计算机中，然后运行：E: I386ADPREP.EXE /Domainprep. 注意：E盘是光盘）4) 把Windows Server 2003提升为Windows 2000 Server的附加域控制器。（在Windows Server 2003上运行dcpromo）。5) 让Windows Server 2003成为PDCA: 把5中操作主机（架构主机，域命名主机，PDC仿真器，RID主机，基础结构主机）传递到Windows Server 2003上。（安装超级工具包ntdsutilRolesConnectionsConnect to Server B quitTransfer 五种操作主机的名称）B: 让Windows Server 2003成为GC(全局编录服务器)在“Active Driectory站点和服务”工具中操作。C: 在Windows Server 2003上为DNS服务做备份。6) 把Windows 2000 Server从DC变成Member Server(命令dcpromo)。7) 把Windows 2000 Server 退出域并关机，然后把Windows Server 2003的IP地址改成原先windows Server 2000的IP地址。4.实验注意点1) 在做迁移前，一定要更新林架构和域架构，而且如果Windows Server 2003是R2的版本，必须要更新两次Schema。5.个人总结_十三、 活动目录中使用组策略管理域1. 实验目的：1) 熟悉GPMC的应用。2) 熟练通过域策略统一管理Client，统一化的管理减轻管理员的管理工作量。2. 实验拓扑图：3. 实验具体需求：在此环境中，有个域的环境，有个域控制器，域中有两个客户端，在实验中就用到一个客户端 Beijing.在域中有三个部门：市场部，财务部，技术部。1) 部署好实验环境，并且在DC 上安装好GPMC。2) 如何通过策略实现在Beijing上自动安装Office 20033) 比较在计算机配置中安装软件和用户配置中安装软件有什么区别；以及比较用户配置中“已发布”和“已指派”的区别4) 实现在企业中禁止用户使用QQ.5) 保证技术部门的所有用户的用户配置文件都存储到DC的test文件夹里面，而财务部和市场部的用户配置文件存储在每个客户机器的D:UserPorfile里面。（文件夹重定向）6) 通过组策略统一化所有桌面的背景。让所有的用户使用的是能够反映公司形象的背景。7) 通过组策略让所有的用户没办法修改屏幕分辨率。8) 通过组策略统一为客户机代理地址和端口，地址为：40，端口为：8080。而且不允许在客户端进行修改。9) 通过组策略实现所有的用户隐藏和拒绝访问所使用机器的C盘。这样保证客户端系统的高度可用。10) 通过组策略实现所有的用户不能使用命令提示符。4. 实验注意点：1） 注意计算机配置和用户配置的区别。计算机配置是对策略所绑定容器内所有的计算机生效，而用户配置是对策略所绑定容器内的所有用户生效。2） 组策略在继承的时候遵循后执行优先级高的原则。5. 个人总结：_十四、 MCSE2003+Security课程综合试验1. 实验目的：1） 总体的熟悉微软的常见技术和服务。通过这个实验再次巩固对MCSE所有内容的的理解和配置。2. 实验拓扑图：在整个实验中,需要8台计算机,具体如下图: 在如上图,在企业内部网络中,有两个网段(/8和/8),两个网段通过防火墙(ISA Server)连接到internet. 在40网段中,有三台计算机(Denver, Nanjing和Seattle) ;在70网段中有两台计算机(Shanghai和Beijing), 在公网上有两台计算机(一台是公网的client,一台是公网的DNS和Web Server等等)整个试验环境是个域的架构。域的逻辑结构图如下图所示：在上图中，整个环境有两个域（和）,这两个域是父子域.在父域中,有三台计算机(Denver, Shanghai , Beijing),Denver是整个林的第一个DC, shanghai是父域的附加DC,而Beijing则是中的成员 在子域中,有两台计算机(Nanjing, Seattle), Nanjing是该域的DC ,Seattle是该域的成员.3. 实验具体需求：1. 基本实验环境的准备1) 按照网络拓扑图.部署好8台机器的环境(比如可以把40网段的所有机器网络设置在VMnet4中, 把70网段的所有机器网卡设置在VMnet7中,把internet所有的网卡类型设置成NAT)2) 防火墙上有三块网卡,并且安装好ISA Server3) 在ISA Server设置，让40和70网段都能访问internet,并能相互访问4) 把Denver提升为DC, 域名为 , 把Shanghai提升为的附加DC, 把nanjing提升成为子域的DC,5) 为beijing和Seattle设置一个合适的地址, 把beijing加入到 ,把Seattle加入到的域中.6) 把shanghai和nanjing都配置成DNS Server2. 文件服务器7) 在中新建一个用户Alice, Alice使用的是Beijing这台计算机8) 把shanghai配置成一个文件服务器(在shanghai的D盘下创建一个共享文件夹Share , 在此文件夹中创建子文件夹,文件夹都是以用户的名字来命名,对外的共享就一个share文件夹)9) 所有的人只能访问到自己名字命名的文件夹,对于自己名字命名的文件夹,有读,写,修改的权限,但是没有删除文件和文件夹的权限.10) 对share文件做定期自动备份,要求周一做完全备份,周二到周五自动做差异备份11) (注意:部署完邮件服务器后再做此需求)对Share下所有的文件夹,所有的用户只能存10MB空间,超过10MB就不能存储,而且发邮件通知管理员. 空间到8.5MB时,发警告通知管理员 ; 用户在向自己的文件夹存储数据的时候,不能存电影(),否则发邮件通知管理员.3. DHCP 12).把Denver配置成一个DHCP Server,让40和70的所有client能自动从Denver上来获得IP, DG ,DNS,WINS地址13).把Seattle的IP地址改成自动获得IP. 但是每次获得的时候都获得00.4. DNS 14).把公网的Web Server配置成一个DNS Server,创建出的域名,让公网的Client能通过访问到公网的Web Server15).让公司内部所有的计算机都能通过 访问到公网的Web Server16).在DNS上设置,不让公司内部的所有计算机访问 5. WINS 17)让公司内部的所有计算机都能通过计算机名称进行相互访问.6. VPN18).把FireWall配置成一个VPN Server ,client拨通VPN后,只能访问40网段的计算机,不能访问70网段的计算机19).把nanjing配置成一个RADIUS Server,要求拨入的VPN身份验证在RADIUS Server上来进行.20).在VPN Server上设置,最多允许15个人拨入21) 在VPN 拨入的时候，需要相应一些策略，具体策略如下：1) 市场部门的人在8：00-18：00可以拨入2) 技术部门的人任何时间都可以拨入3) 财务部门的人在任何时间都不能拨入7. IIS22) 把nanjing配置成一个FTP Server , 让公网的用户能够使用去访问，最多允许20个人同时访问。默认情况下匿名用户可以访问FTP Server ，对于的Alice 和Bob的话，可以上传文件23) 把Shanghai部署成Exchange服务器,能够让内部和公网用户使用SMTP,POP3和OWA(http:/mail . )的方式能够访问到Exchange Server，24)把公网的Web Server配置成一个Mail Server (通过IIS),域名是abc. com. 能让公司内部的邮件服务器I和公网的相互转发邮件.25). 重新配置公网的Web Server, 使其上有三个站点（sina,sohu,163），实现让所有的计算机(无论公网还是内部)都能使用访问到第一个站点，使用访问到第二个站点，使用访问到第三个站点。所有的名称解析都在02上完成。8. CA 26).把Denver配置成证书服务器,启用VPN L2TP的证书验证27). 配置内部的Exchange Server, 当用户使用OWA访问的时候，只接受HTTPS的访问，而且启用表单身份验证，用户在使用OWA的方式访问的时候，省略掉后面的Exchange。如用户http的方式访问，自动跳转到https方式访问。9. AD28)在的域中只有域管理员才能将计算机加入到域，而且密码不启用复杂性，只要大于等于4位就可以了。29) 在nanjing的域中有三个部门，分别是：市场部，人事部，技术部。在nanjing上有个共享