MCSE2003+Security试验手册

1、mcse2003+security试验手册1、活动目录（域环境）2、windowsserver所能提供的相关功能：如dhcp、dns、wins、iis等等3、组策略一、 virtual mathine的操作1. 实验目的 本实验的目的为了让学员更好的应用vmware workstation.在本实验的具体需求中除了涉及到了vmware workstation的常见应用外，还涉及到一些中高级的应用。2. 实验的具体需求3. 实验的具体需求1） 能够使用vmware workstation安装出一个windows server 2003 enterprise edition. 在vmware中的标

2、识名和计算机名称都为openlab1.2） 为openlab1这台计算机安装好vmware tools.3） 为openlab1按照个人习惯做好基本的配置（比如分区，调整分辨率，改桌面背景等等）把openlab1做成母盘，然后由母盘生成两个虚拟机：openlab2和openlab3.4） 为openlab2和openlab3做好快照。5） 在openlab2中实现屏幕录像功能。4. 实验的注意点1） 在做第2个需求的时候，把openlab1配置成母盘前，一定要把系统的sid去掉，否则生成出来的openlab2,openlab2的sid一样。2） 在做第2，3个需求的时候，要理解vmware t

3、ools实现母盘和差异盘的作用。5个人总结：_.二、 dns基本试验1 实验目的1） 能更好的去运用和理解vmware,关键是能够利用vmware搭建实验环境。2） 理解并能在windows中使用常见的技术或者服务：dns,nat,iis,端口映射等等2 实验的网络拓扑图3 实验的具体需求1） 使用vmware搭建好如上图的实验环境。2） 让client能够使用访问到公网的web server3） 让公网上的beijing能够使用远程桌面访问到公司内部的dns服务器4） 让公网的beijing也能通过 访问到web server4 实验的注意点1） 在部署环境的时候，内网和公网选择不一样的vm

4、net。2） 对于基本的firewall，只要启用nat就可以了。在本实验中firewall用一个双网卡的windows server 2003，在路由和远程访问中，启用nat。3） 端口映射的应用。5 个人总结_._三、 nat实验1. 实验目的：1） 更深入的理解nat，以及在企业中涉及到nat技术的网络分析。2） 在windows server 2003中如何应用路由和nat的技术。并且理解路由和nat的区别。3） 利用windows server 2003搭建ftp server。4） 充分理解上个实验中涉及到的技术，在本实验可以得到一个检测。2. 实验网络拓扑图：3. 实验具体需求：

5、在本实验中，企业内网通过firewall连到internet,在企业内部连了两个网段20网段和30网段，在20网段中有台服务器nanjing,在30网段中有台客户机beijing. 在公网上有台ftp server,这台服务器同时也是dns server.1) 搭建好如图的实验环境，在本实验环境中，有4个网段，按照个人的习惯选用不同的vmnet.2) 部署好公网的ftp server.让nanjing和beijing能使用02能访问到ftp server3) 把nanjing和ftp server部署成dns server , 在公网的dns server上创

6、建一个域名. 在nanjing上不需要创建任何的记录，实现nanjing和beijing可以通过ftp:/访问到 ftp server(不改变图中计算机dns的指向)。4. 实验注意点：1) 在本实验中，让beijing和nanjing访问到ftp，要添加静态路由2) 要会应用dns转发5. 个人总结：_四、 文件服务器综合实验1. 实验目的：1) 能在windows server 2003中创建动态磁盘。2) 通过此实验能够有效地管理公司的文件服务器，比如安全管理，数据的备份和恢复，配额等等。3) 可以利用windows server 2003 r2中新增的功能（比如邮件），更好的管理文件服

7、务器。4) 可以利用iis部署一个简单的邮件服务器。2. 实验网络拓扑图：3. 实验具体需求：本试验环境非常简单，在一个网段中有三台计算机（file server, mail server,alice）1) 搭建好如图的实验环境.2) 在文件服务器上有一个卷raid5的卷h3) 文件服务器h卷上共享文件夹sharefolder,里面有三个文件夹:市场部,财务部,人事部.alice是属于市场部的,所以在市场部的文件夹里面有一个文件夹alice,此文件夹方便alice存储数据,要求公司内部所有的人只能访问自己的文件夹,而且也只能访问自己的文件夹。4) 对sharefolder进行备份,能够让用户在

8、client进行恢复.此备份在周一到周五的17:00自动完成。5) 对于alice最多向sharefolder存放10mb数据,如超过10mb,禁止存储,并且发邮件通知管理员.达到8.5mb时,同样发邮件通知管理员6) alice向sharefolder存储数据时,不能存放电影,否则邮件通知管理员4. 实验注意点：1) 在创建raid5卷前，把所有磁盘转化成动态磁盘。2) 在配额和限制文件类型触发邮件时，必须保证操作系统是windows server 2003 r2的版本。5. 个人总结：_。五、 dhcp,dns,wins的综合实验1. 实验目的：1） 理解和实现dhcp,dns,wins的

9、基本功能和应用。2） 实现dhcp的中继代理。2. 实验网络拓扑图：3. 实验具体需求：在这个环境中，公司内部有两个网段：10网段和20网段。这两个网段通过路由器r1连接到公网，在10网段中有三台计算机：nanjing, dhcp server ,dns server; 在20网段中，有两台计算机：beijing和wins server. 在公网上有个web server. 1) 搭建好如图实验环境。2) 两个网段所有的客户端（nanjing和 beijing）都在dhcp server上获得ip地址3) 两个网段的所有的计算机都能使用计算机名称进行相互访问。4) 两个网段的所有的计算机都能通

10、过访问到公网的web server4. 实验注意点：1）beijing必须通过dhcp中继代理才能获得ip地址5. 个人总结：_.六、 client-to-site vpn实验1. 实验目的：1) 理解vpn技术在使用场景以及vpn在windows server 2003中如何应用。2) 理解radius server的作用3) 懂得vpn的环境中，常见网络的分析。2. 实验网络拓扑图：3. 实验具体需求：在这个环境中，公司的内网通过firewall连接到internet,在公司内部有一个路由器r1,有台服务器担任了web server和dhcp server ，有台服务器担任了dns ser

11、ver和radius server,这两台服务器都在10网段，在20网段中有个client端nanjing. 在internet上有个计算机 beijing.1) 搭建好如图的实验环境，在此环境中，有三个网段。2) 在dhcp server上有个共享文件夹test, 让beijing能拨通vpn访问到此共享文件夹。3) beijing拨通vpn时会获得一个ip地址，如何让beijing拨vpn时在内部的dhcp server上获得ip地址。4) beijing拨入vpn时候，默认情况下使用的是pptp协议，实现l2tp协议的拨入，两端都使用pssw0rd的共享密钥。5) 在vpn上设置，最多只

12、能有20个人拨入vpn,其中使用pptp的10 人6) vpn在拨入时候启用策略验证，具体策略如下：a. 拒绝财务部的人拨入b. 允许市场部门在8：0020：00拨入c. 允许技术部在任何时间拨入d. 拒绝所有人拨入7) 公司内部的web server是没有发布到internet上，如何实现，只要用户拨通vpn就能实现通过访问此web站点。8) 在beijing上拨vpn的时候，默认帐号是在vpn server的本地验证的，如何实现帐号在radius server上验证。9) beijing拨通vpn时，beijing能ping通（nanjing的ip）吗？如不能，如何解决这个

13、问题？4. 实验注意点：1）细心的部署网络环境，细心的安装每一个服务，细心的配置每一个选项5. 个人总结：_七、 site-to-site vpn实验1. 实验目的：1） 理解client-to-site的vpn和site-to-site vpn的区别，以及这两种vpn适用于什么样的场景。2） 熟悉site-to-site vpn在windows server 2003中的配置。2. 实验网络拓扑图：3. 实验具体需求：在如上的环境中，某公司有两个分部：北京和上海。在北京分布中，有一个firewall, bjpc1, bjpc2,和路由器r1.在上海分布中，有一个firewall和shpc.所

14、有的ip地址都如图所示。1) 搭建好上图的实验环境，整个环境有四个网段，请选择不同的vmnet2) 使用pptp的协议，部署好site-to-site的vpn，保证两个分部所有的pc都可以相互访问。3) 使用l2tp共享密钥的方式，部署好site-to-site的vpn.保证两个分部所有的pc可以相互访问。4) 问题：如果北京和上海分布的内网的ip地址都是10网段的，可不可以实现site-to-site的vpn ?为什么？4. 实验注意点：1）在部署site-to-site vpn的时候，需要创建拨入凭证和拨出凭证，这两个凭证两段一定要一一对应。否则这个实验很难成功。5. 个人总结：_八、 i

15、is综合试验1. 实验目的： iis是windows server 2003非常重要的组件，通过此实验，让学员能熟练的使用iis 部署公司的ftp server , mail server ,web server2. 实验网络拓扑图：3. 实验具体需求：在此实验环境中，公司内部有三台服务器：ftp server , mail server 和web server ,这三台服务器通过firewall连接到internet.在internet上，有两台计算机：一台是dns server ,还有一台是internet的普通客户机client.1) 按照上图搭建好实验环境2) 部署好公司的ftp se

16、rver. 让internet用户通过能访问到公司内部的ftp server3) 设置ftp server的属性，最多允许30个人同时访问，如果用alice和bob,administrator访问ftp server的话，那等上传；除此帐号外，其他的帐号只能下载。4) 如果是用alice,bob,administrator访问ftp server，就启用用户隔离。5) 把内网的mail server（域名为o）配置成一个邮件服务器，让internet的用户能通过outlook收发内网的邮件6) 如果internet上有一个邮件服务器（比如把dns server配置成邮件服务器，域名为）,如何保

17、证和能相互转发邮件。7) 配置好公司内部的web server .让公网的用户能通过 访问此web server8) 如果web server上有三个站点web1.web2.web3. 如何配置能够实现internet的用户通过 访问到web1,通过 访问到web2.通过 访问到web3.4. 实验注意点：1) 在做ftp用户隔离的时候，一定要保证文件夹名称和用户名称完全一致，否则无法实现此功能。2) 最后一个需求通过主机头可以实现，或者使用isa server.在这里推荐使用主机头来实现此功能。5. 个人总结：_.九、 证书的综合实验1. 实验目的:1) 理解ca和证书的管理 2) 通过此实

18、验充分了解证书在企业生产环境中的作用3) 理解证书信任的作用2. 实验网络拓扑图：3. 实验具体需求：在此环境中，公司内网有一个证书服务器和一个web server ,这两个服务器通过firewall连接到internet, 在internet上一个dns server 和一个client.1) 搭建好如图的实验环境。2) 实现vpn的l2tp的证书加密。3) 把公司内部的web server 部署成安全的web server,并且只接受https的访问。这样internet上所有的用户可以通过 访问到此web site. 4) 如果用户在访问的时候输入 ,则自动跳到 访问。5) 开启web

19、server的远程桌面的功能，让internet用户可以使用安全的rdp的方式连接到web server.4. 实验注意点：1） 在本实验中，比如vpn实验，vpn server和vpn client都要去申请证书，申请证书的时候必须使用http的访问，而http的80端口被公司内部的web server 所占用，所以必须要换端口才能保证vpn client访问到证书服务器2） 在证书实验的时候，务必保证所有的计算机都信任证书办法机构，这样通过证书做出来的加密才没有问题。5. 个人总结：_.十、 部署sql server的灾难保护群集1. 实验目的：1) 能了解群集常见的两种应用：nlb群集和

20、灾难保护的群集。2) 充分理解灾难保护群集的使用场景3) 能搭建出sql server的灾难保护群集2. 实验网络拓扑图：3. 实验具体需求：在此实验环境中，给出了一个完整的企业网络拓扑图，但是在本实验的操作过程中，就使用到三台服务器：dc,shanghai,beijng.在此环境中dc是一个域控制器，shanghai 和beijing是加入到域的成员服务器，这两个服务器就是群集的两个节点。1 搭建好入图的实验环境，并且测试群集的功能搭建的时候建议在microsoft virtual server 2005的虚拟机的环境中部署，这样显得比在vmware中真实，具体过程参考具体的实验文档。4.

21、实验注意点：1. 所有的共享磁盘的分区格式必须要是ntfs.2. 仲裁盘（q盘）的大小最小为50mb,为了最佳的利用ntfs的性能，建议用500mb空间。3. 在虚拟机的测试环境中，所有的共享磁盘必须为基本磁盘，不能为动态磁盘，否则在创建卷的时候有问题。4. 所有节点的服务器必须要有两块网卡，一块是接收用户访问的，还有一块是用来传输心跳信息的，所以心跳信息的数据ttl=1.这就要求心跳线间不要经过三层设备。5. 个人总结：_十一、 活动目录创建和对象的管理1. 实验目的：1) 熟悉各种域环境的创建。2) 理解域中dns功能的重要性，以及如何为dns做备份。3) 熟悉域中基本的操作。比如对象的创

22、建，安全的管理等等。4) 熟悉域中常见策略的修改。2. 实验拓扑图：1) 实验的网络拓扑图在如上图,在企业内部网络中,有两个网段(/8和/8),两个网段是通过路由器连接起来。 在40网段中,有两台计算机(denver, nanjing) ;在70网段中有三台计算机(shanghai，newyork和beijing), 2)实验的域的结构图在上图中，整个环境有三个域（,和）,其中和是父子域.而是林中的域树。在父域中,有三台计算机(denver, shanghai , beijing),denver是整个林的第一个dc, shanghai是父域的附加dc,而beij

23、ing则是中的成员 在子域中,有两台计算机(nanjing, seattle), nanjing是该域的dc ,seattle是该域的成员.在的域中，有一台计算机newyork，此计算机就是本域的dc.3. 实验具体需求：1) 搭建如图的环境，denver是的第一个dc，shanghai是denver备份dc，nanjing是的dc,而newyork是的dc, beijing是的成员.2) 在这个环境中，所有的dc都是dns server3) denver是dhcp server,两个网段中所有的client都在dhcp上获得ip4) 在的域中，只有管理员才能把pc加入到域，密码策略中不要复杂

24、性的密码，大于位就可以了。5) 在的域中有三个部门：人事部，市场部，财务部。在shanghai上有一个文件夹test.这个文件夹市场部门的用户可以完全控制(市场部门有个用户叫alice)，而其他部门的用户只能读。其他域用户无法访问。6) 在newyork所在的域中有一个ou叫lab, 允许中的alice在lab中创建用户和组7) 在shanghai上有个共享文件夹叫sharefolder ,只允许alice在里面存10mb数据,否则发邮件通知管理员, 而且不能存放exe的文件.否则发邮件通知管理员(把denver配置成邮件服务器)4. 实验注意点：1) 真正的读懂上面的两个图：网络拓扑图和域的

25、逻辑结构图，并且能搭建出如图的实验拓扑。在搭建环境的时候注意先搭建物理的网络拓扑图，然后在物理的网络拓扑图的基础上在部署域的逻辑结构图。2) 在为nanjing做dns备份的时候一定要把父域的dns复制类型改为全林复制。5. 个人总结：_十二、 活动目录的迁移的综合实验1. 实验目的1） 熟练操作活动目录的迁移。2. 实验拓扑图3. 实验具体需求在做此实验的时候，先部署好windows 2000 server的域环境，然后把windows xp加入到域中，然后再做迁移。下面是活动目录迁移的大致的过程：1) 为新服务器安装好windows server 2003的操作系统，然后加入到window

26、s 2000 server的域中。2) 在windows 2000 server 上更新林架构（把windows server 2003的光盘插入windows server 2000的计算机中，然后运行：e:i386adprep.exe /forestprep. 注意：e盘是光盘）(如果更新到windows server 2003 r2, 需要把r2的第2张光盘插入光驱，然后运行命令 drive: cmpnentsr2adprepadprep.exe /forestprep)4) 在windows 2000 server 上更新域架构（把windows server 2003的光盘插入win

27、dows server 2000的计算机中，然后运行：e: i386adprep.exe /domainprep. 注意：e盘是光盘）4) 把windows server 2003提升为windows 2000 server的附加域控制器。（在windows server 2003上运行dcpromo）。5) 让windows server 2003成为pdca: 把5中操作主机（架构主机，域命名主机，pdc仿真器，rid主机，基础结构主机）传递到windows server 2003上。（安装超级工具包ntdsutilrolesconnectionsconnect to server b q

28、uittransfer 五种操作主机的名称）b: 让windows server 2003成为gc(全局编录服务器)在“active driectory站点和服务”工具中操作。c: 在windows server 2003上为dns服务做备份。6) 把windows 2000 server从dc变成member server(命令dcpromo)。7) 把windows 2000 server 退出域并关机，然后把windows server 2003的ip地址改成原先windows server 2000的ip地址。4.实验注意点1) 在做迁移前，一定要更新林架构和域架构，而且如果windo

29、ws server 2003是r2的版本，必须要更新两次schema。5.个人总结_十三、 活动目录中使用组策略管理域1. 实验目的：1) 熟悉gpmc的应用。2) 熟练通过域策略统一管理client，统一化的管理减轻管理员的管理工作量。2. 实验拓扑图：3. 实验具体需求：在此环境中，有个域的环境，有个域控制器，域中有两个客户端，在实验中就用到一个客户端 beijing.在域中有三个部门：市场部，财务部，技术部。1) 部署好实验环境，并且在dc 上安装好gpmc。2) 如何通过策略实现在beijing上自动安装office 20033) 比较在计算机配置中安装软件和用户配置中安装软件有什么区

30、别；以及比较用户配置中“已发布”和“已指派”的区别4) 实现在企业中禁止用户使用qq.5) 保证技术部门的所有用户的用户配置文件都存储到dc的test文件夹里面，而财务部和市场部的用户配置文件存储在每个客户机器的d:userporfile里面。（文件夹重定向）6) 通过组策略统一化所有桌面的背景。让所有的用户使用的是能够反映公司形象的背景。7) 通过组策略让所有的用户没办法修改屏幕分辨率。8) 通过组策略统一为客户机代理地址和端口，地址为：40，端口为：8080。而且不允许在客户端进行修改。9) 通过组策略实现所有的用户隐藏和拒绝访问所使用机器的c盘。这样保证客户端系统

31、的高度可用。10) 通过组策略实现所有的用户不能使用命令提示符。4. 实验注意点：1） 注意计算机配置和用户配置的区别。计算机配置是对策略所绑定容器内所有的计算机生效，而用户配置是对策略所绑定容器内的所有用户生效。2） 组策略在继承的时候遵循后执行优先级高的原则。5. 个人总结：_十四、 mcse2003+security课程综合试验1. 实验目的：1） 总体的熟悉微软的常见技术和服务。通过这个实验再次巩固对mcse所有内容的的理解和配置。2. 实验拓扑图：在整个实验中,需要8台计算机,具体如下图: 在如上图,在企业内部网络中,有两个网段(/8和/8),两个网段

32、通过防火墙(isa server)连接到internet. 在40网段中,有三台计算机(denver, nanjing和seattle) ;在70网段中有两台计算机(shanghai和beijing), 在公网上有两台计算机(一台是公网的client,一台是公网的dns和web server等等)整个试验环境是个域的架构。域的逻辑结构图如下图所示：在上图中，整个环境有两个域（和）,这两个域是父子域.在父域中,有三台计算机(denver, shanghai , beijing),denver是整个林的第一个dc, shanghai是父域的附加dc,而beijing则是中的成员 在子域中,有两台计

33、算机(nanjing, seattle), nanjing是该域的dc ,seattle是该域的成员.3. 实验具体需求：1. 基本实验环境的准备1) 按照网络拓扑图.部署好8台机器的环境(比如可以把40网段的所有机器网络设置在vmnet4中, 把70网段的所有机器网卡设置在vmnet7中,把internet所有的网卡类型设置成nat)2) 防火墙上有三块网卡,并且安装好isa server3) 在isa server设置，让40和70网段都能访问internet,并能相互访问4) 把denver提升为dc, 域名为 , 把shanghai提升为的附加dc, 把nanjing提升成为子域的dc

34、,5) 为beijing和seattle设置一个合适的地址, 把beijing加入到 ,把seattle加入到的域中.6) 把shanghai和nanjing都配置成dns server2. 文件服务器7) 在中新建一个用户alice, alice使用的是beijing这台计算机8) 把shanghai配置成一个文件服务器(在shanghai的d盘下创建一个共享文件夹share , 在此文件夹中创建子文件夹,文件夹都是以用户的名字来命名,对外的共享就一个share文件夹)9) 所有的人只能访问到自己名字命名的文件夹,对于自己名字命名的文件夹,有读,写,修改的权限,但是没有删除文件和文件夹的权限

35、.10) 对share文件做定期自动备份,要求周一做完全备份,周二到周五自动做差异备份11) (注意:部署完邮件服务器后再做此需求)对share下所有的文件夹,所有的用户只能存10mb空间,超过10mb就不能存储,而且发邮件通知管理员. 空间到8.5mb时,发警告通知管理员 ; 用户在向自己的文件夹存储数据的时候,不能存电影(),否则发邮件通知管理员.3. dhcp 12).把denver配置成一个dhcp server,让40和70的所有client能自动从denver上来获得ip, dg ,dns,wins地址13).把seattle的ip地址改成自动获得ip. 但是每次获得的时候都获得4

36、00.4. dns 14).把公网的web server配置成一个dns server,创建出的域名,让公网的client能通过访问到公网的web server15).让公司内部所有的计算机都能通过 访问到公网的web server16).在dns上设置,不让公司内部的所有计算机访问 5. wins 17)让公司内部的所有计算机都能通过计算机名称进行相互访问.6. vpn18).把firewall配置成一个vpn server ,client拨通vpn后,只能访问40网段的计算机,不能访问70网段的计算机19).把nanjing配置成一个radius server,要求拨入的vp

37、n身份验证在radius server上来进行.20).在vpn server上设置,最多允许15个人拨入21) 在vpn 拨入的时候，需要相应一些策略，具体策略如下：1) 市场部门的人在8：00-18：00可以拨入2) 技术部门的人任何时间都可以拨入3) 财务部门的人在任何时间都不能拨入7. iis22) 把nanjing配置成一个ftp server , 让公网的用户能够使用去访问，最多允许20个人同时访问。默认情况下匿名用户可以访问ftp server ，对于的alice 和bob的话，可以上传文件23) 把shanghai部署成exchange服务器,能够让内部和公网用户使用smtp,

38、pop3和owa(http:/mail . )的方式能够访问到exchange server，24)把公网的web server配置成一个mail server (通过iis),域名是abc. com. 能让公司内部的邮件服务器i和公网的相互转发邮件.25). 重新配置公网的web server, 使其上有三个站点（sina,sohu,163），实现让所有的计算机(无论公网还是内部)都能使用访问到第一个站点，使用访问到第二个站点，使用访问到第三个站点。所有的名称解析都在02上完成。8. ca 26).把denver配置成证书服务器,启用vpn l2tp的证书验证27). 配置内部的exchange server, 当用户使用owa访问的时候，只接受https的访问，而且启用表单身份验证，用户在使用owa的方式访问的时候，省略掉后面的exchange。如用户http的方式访问，自动跳转到https方式访问。9. ad28)在的域中只有域管理员才能将计算机加入到域，而且密码不启用复杂性，只要大于等于4位就可以了。29) 在nanjing的域中有三个部门，分别是：市场部，人事部，技术部。在nanjing上有个共享文件夹userprofile ,要求市场部里面的所有用户的用户配