第1章 局域网基础

学习目的

了解架设局域网的方法

了解计算机连网的益处

了解局域网的拓扑结构

本章要点

局域网的基本特征

局域网的技术特点

局域网的种类

课堂讲解

本书首先介绍一些局域网的简单知识和概念,然后详细的介绍目前广泛应用的几种局域 网的架设方法和配置方法,为学习局域网架设技术和网络管理技术的人员提供快速入门的培 训,并希望为实际中的网络架设和管理工作提供技术参考资料。

1.1 为什么要建立计算机网络

随着科学技术的发展,计算机应用的普及,网络信息时代已经来临。想一想我们生活中

2 全能培训——局域网组建与维护教程

的许多事情,比如使用电话预定飞机票、使用银行的通兑通取存折等等。网络技术的飞速发展,给我们的生活带来了很大的方便。网络对于今天的公司或企业已经是必不可少,使用电 子邮件收发信件、公司内部资源的共享、信息的交流、公司业务的管理等等,计算机网络为 公司或企业创造着价值。那么,为什么要建立计算机网络呢,

1.1.1 未联网计算机的弊处

对一个公司或企业来说,如果每个人或每个部门之间的计算机彼此独立工作,很明显会 有以下一些不方便之处。

1、无法进行数据共享

没有网络,每个人计算机上的数据,只能供本人使用,你的领导或同事,需要查询你的 数据时,只能到你的计算机上来查,或者,你只好将他们需要的数据用磁盘拷贝给他们,使 得同样的数据存在于多个人的计算机上,造成资源的浪费。同样,别人的数据,你也不能共 享。在计算机未联网时,存在于各台计算机上的数据,只能用磁盘进行拷贝,达到共享的目 的。用磁盘拷贝进行数据共享,仅在文件大小小于软盘容量时工作才方便,当需要传递的数 据量很大时,这种方式既费时又不可靠。而最可怕的事情则是文件或数据的各个版本分散在 不同的计算机上,当你对自己计算机上的文件或数据进行更新后,别人无法了解到它的变化, 数据共享其实就成了一句空话。

2、无法进行软件应用程序共享

当计算机未联网时,工作中需调用的所有应用程序必须安装在每台计算机上,例如,如 果你在自己的计算机上没有安装字处理应用程序,那么用户就不能在自己的计算机进行任何 字处理的工作。

3、无法进行打印机资源共享

计算机在未联网的情况下,如果要打印文件,必须在自己的计算机上连接一台打印机, 造成了打印机资源的浪费。有的企业,通过使用手动转换开关盒选择计算机的打印机端口将 计算机连至打印机,但这样做,一方面经常转换开关很不方便,而且转换开关还有可能损坏 打印机,另一方面,计算机与打印机之间的距离受打印电缆长度的限制,不可能相距太远。

4、无法进行 Internet 资源共享

未联网的计算机不能共享 Internet 连接。随着 Internet 的应用日益广泛,电子商务为我 们的工作和生活带来了很大的方便,同时降低 Internet 账户成本也是企业需要考虑的一个重 要问题。为解决这一问题,很多企业提出了建立小型网络的需求,这样它们可以将所有的用 户通过一个连接进入 Internet。

局域网基础 3

5、无法进行集中式的数据管理

当计算机未联网时,由于管理成本高和耗时,且配置不能标准化,所以没有办法集中管 理它们并确保它们共享共同的配置和访问数据。

6、工作效率低下

未联网的计算机由于每个用户各自维护数据,造成人员重复劳动,工作效率低,资源浪 费。如果你拥有通信、共享应用和避免将软盘从这台机器拿到另一台机器进行操作的需求, 那么将计算机进行联网将是满足你以上所有需求的最佳解决方案。

1.1.2 计算机连网的益处

不管计算机网络的种类是什么,不管建立网络的原因是什么,归纳来说,计算机网络能 为我们带来以下显而易见的益处,

1、提高工作效率

使用电子邮件,不需打印便函,即可快速发出邮件,使用信息管理系统,不需要从一张 办公桌转移到另一张办公桌,就能与每个人交谈并检查他们的工作,不需要从这台计算机跑 至另一台计算机,仅在网络驱动器中就可以拷贝、打开或修改你所需的文件。提高管理网络 效率的更好的解决方案是集中管理功能。

一旦计算机连网,就有许多软件实用程序,Microsoft 的 Systems Management Server、 McAfee 的 Saber LAN Manager、Tivoli 的 TME10 和 Symantec 的 Norton Administrator for

Networks 等等,可以使管理员远程诊断和改正网络用户出现的问题,并实现远程安装和配置 软件。

2、节省资源

通过计算机连网,我们可以共享打印机、硬盘空间、数据等资源,一个部门可以只有一 台打印机,也可以将很多部门都需要的数据只存储在某一台计算机上等等。

3、确保信息一致性

同样的数据在连网的计算机系统中只存储一份,任何人任何时间对这些数据的更新,都

导致相关数据的更新,并且系统中的所有用户都同时可以引用更新后的数据。

4、公共论坛

通过计算机连网,我们可以实现多人、异地、实时的信息交流,如电视会议、Internet

网上聊天,整个部门或公司可以使用一张电子日程表安排工作日程等等。

4 全能培训——局域网组建与维护教程

计算机网络能够大大提高我们的工作效率、节省资源、降低成本,所以现在公司或企业

内部计算机连网的需求激增。

1.2 局域网的基本特征

局部区域网络,Local Area Network,通常简称为“局域网”,缩写为 LAN。局域网是结 构复杂程度最低的计算机网络。局域网仅是在同一地点上经网络连在一起的一组计算机。局 域网通常挨得很近,它是目前应用最广泛的一类网络。

通常将具有如下特征的网络称为局域网,

网络所覆盖的地理范围比较小,通常不超过几十公里,甚至只在一幢建筑或一个房

间内

1Mbps 10Mbps100Mbps 信息的传输速率比较高,其范围自 到 ,近来已达到

局域网的出现,使计算机网络的威力获得更充分地发挥,在很短的时间内计算机网络就 深入到各个领域。因此,局域网技术是目前非常活跃的技术领域,各种局域网层出不穷,并 得到广泛应用,极大地推进了信息化社会的发展。

尽管局域网是最简单的网络,但这并不意味着它们必定是小型的或简单的。局域网可以 变得相当大、复杂,在行业杂志上看到配有成百上千用户的局域网是很常见的事。

1.3 局域网的技术特点

局域网在设计中,主要考虑的因素是能够在较小的地理范围内更好地运行,提高资源利

用率和信息安全性,易于操作和维护等。此要求也决定了局域网的技术特点。

局域网的特性主要由三个要素决定,即拓扑结构、传输介质和介质询问方式。下面一一 进行描述。

1.3.1 局域网的拓扑结构

计算机网络的组成元素可以分为两大类,即网络结点,又可分为端结点和转发结点,和 通信链路,网络中结点的互连模式叫网络的拓扑结构。网络拓扑定义了网中资源的连接方式, 在局域网中常用的拓扑结构有,总线型结构、环形结构、星形结构。

1、总线型拓扑结构

总线型拓扑结构采用单根传输线作为传输介质,所有的站点都通过相应的硬件接口直接

局域网基础 5

连接到传输介质或总线上。任何一个站点发送的信号都可以沿着介质传播,而且能被其他所

有站点接收。

总线拓扑结构的优点是,

电缆长度短,易于布线和维护

结构简单,传输介质又是无源元件

总线拓扑结构的缺点是,

故障检测需要在网上的各个站点上进行

在扩展总线的干线长度时,需重新配置中继器、剪裁电缆、调整终端器等

总线上的站点需要介质访问控制功能,这就增加了站点的硬件和软件费用

以太网等常采用总线型结构,如图 1-1 所示的是一总线型拓扑结构例子。

图 1-1 典型的总线型拓扑结构

在总线型拓扑结构中,局域网的各个节点都连接到一个单一连续的物理线路上。由于各 个节点之间通过电缆直接相连,因此,总线拓扑结构中所需要的电缆长度是最小的。但是, 由于所有节点都在同一线路上进行通信,任何一处故障都会导致所有的节点无法完成数据的 发送和接收。

总线型拓扑结构的一个重要特征就是可以在网中广播信息。网络中的每个站几乎可以同 时“收到”每一条信息。这与下面要讲到的环型网络形成了鲜明的对比。

总线型拓扑结构最大的优点是价格低廉,用户站点入网灵活。另外一个优点是某个站点 失效不会影响到其他站点。但它的缺点也是明显的,由于共用一条传输信道,任一个时刻只 能有一个站点发送数据,而且介质访问控制也比较复杂。总线型结构网是一种针对小型办公 环境的成熟而又经济的解决方案。

6 全能培训——局域网组建与维护教程

2、环形拓扑结构

环形拓扑结构是由连接成封闭回路的网络结点组成的,每一个结点与它左右相邻的结点 连接。环形网络常使用令牌环来决定哪个结点可以访问通信系统。在环形网络中信息流只能 是单方向的,每个收到信息包的站点都向它的下游站点转发该信息包。信息包在环网中“旅

,最后由发送站进行回收。当信息包经过目标站时,目标站根据信息包中的目标地 行”一圈

址判断出自己是接收站,并把该信息拷贝到自己的接收缓冲区中。为了决定环上的哪个站可 以发送信息,平时在环上流通着一个叫令牌的特殊信息包,只有得到令牌的站才可以发送信 息,当一个站发送完信息后就把令牌向下传送,以便下游的站点可以得到发送信息的机会。 环形拓扑结构的优点是它能高速运行,而且避免冲突的结构相当简单。

环形拓扑结构中,连接网络中各节点的电缆构成一个封闭的环,信息在环中必须沿每个 节点单向传输,因此,环中任何一段的故障都会使各站之间的通信受阻。所以在某些环形拓 扑结构中如 FDDI,在各站点之间连接了一个备用环,当主环发生故障时,由备用环继续工 作。如图 1-2 所示的是一个环形拓扑结构的例子。

图 1-2 对等的环形拓扑结构

环形拓扑结构并不常见于小型办公环境中,这与总线型拓扑结构不同。因为总线型结构 中所使用的网卡较便宜而且管理简单,而环形结构中的网卡等通信部件比较昂贵且管理复杂 得多。环形结构在以下两种场合比较常见,一是工厂环境中,因为环网的抗干扰能力比较强, 二是有许多大型机的场合,采用环型结构易于将局域网用于大型机网络中。

3、星形拓扑结构

星形拓扑结构是由通过点到点链路接到中央结点的各站点组成的。星形网络中有一个唯

一的转发结点,中央结点,,每一台计算机都通过单独的通信线路连接到中央结点。

星形拓扑结构的优点是,

局域网基础 7

利用中央结点可方便地提供服务和重新配置网络

单个连接点故障影响一个设备,不会影响全网,容易检测隔离故障,便于维护

任何一个连接只涉及到中央结点和一个站点,控制介质访问的方法很简单,从而访

问协议也十分简单

星形拓扑结构的缺点是,

每个站点直接与中央结点相连,需要大量电缆,因此费用较高

如果中央结点产生故障,则全网不能工作,所以对中央结点的可靠性和冗余度要求

很高

图 1-3 星形拓扑结构

在星形拓扑结构中,网络中的各节点都连接到一个中心设备上,由该中心设备向目的节 点传送信息。星形拓扑结构方便了对大型网络的维护和调试,对电缆的安装检验也相对容易。 由于所有工作站都与中心节点相连,所以,在星形拓扑结构中移动某个工作站十分简单。

目前流行的星形结构网主要有两类,

一类是利用单位内部的专用小交换机,PABX,组成局域网,在本单位内为综合语

音和数据的工作站交换信息提供信道,还可以提供语音信箱和电话会议等业务,是

局域网的一个重要分支

另一类是利用集线器,HUB,连接工作站的网,被认为是今后办公局域网的发展方

向

4、其他拓扑结构

除了上面介绍之外,还有其他一些我们应该了解的拓扑结构。下面,我们就简要地了解 一下这些拓扑结构的优缺点。

分布式结构

8 全能培训——局域网组建与维护教程

分布式结构的网络是将分布在不同地点的计算机通过线路互连起来的一种网络形式,分布式结构的网络具有如下特点,由于采用分散控制,即使整个网络中的某个局部出现故障, 也不会影响全网的操作,因而具有很高的可靠性,网中的路径选择最短路径算法,故网上延 迟时间少,传输速率高,但控制复杂,各个节点间均可以直接建立数据链路,信息流程最短, 便于全网范围内的资源共享。缺点为连接线路时使用电缆长,造价高,网络管理软件复杂, 报文分组交换、路径选择、流向控制复杂,在一般局域网中不采用这种结构。

树型结构

树型结构是分级的集中控制式网络,与星型相比,它的通信线路总长度短,成本较低, 节点易于扩充,寻找路径比较方便,但除了叶节点及其相连的线路外,任一节点或其相连的 线路故障都会使系统受到影响。

网状拓扑结构 在网状拓扑结构中,网络的每台设备之间均有点到点的链路连接,

这种连接不经济,只

有每个站点都要频繁发送信息时才使用这种方法。它的安装也复杂,但系统可靠性高,容错

能力强。也有人将其称为分布式结构。

蜂窝拓扑结构

蜂窝拓扑结构是无线局域网中常用的结构。它以无线传输介质,微波、卫星、红外等,

点到点和多点传输为特征,是一种无线网,适用于城市网、校园网、企业网。

在计算机网络中还有其他类型的拓扑结构,如总线型与星型混合、总线型与环型混合连 接的网络结构等。在局域网中,使用最多的是总线型和星型结构,它们的特点是我们应该熟 悉和掌握的。

1.3.2 局域网的传输介质

网络中各站点之间的数据传输必须依靠某种传输介质来实现。传输介质种类很多,适用 于局域网的介质主要有三类,双绞线、同轴电缆和光纤。

1、双绞线

双绞线,Twisted Pair Cable,由绞合在一起的一对导线组成,这样做减少了各导线之间 的相互电磁干扰,并具有抗外界电磁干扰的能力。双绞线电缆可以分为两类,屏蔽型双绞线

,STP,和非屏蔽型双绞线,UTP,。屏蔽型双绞线外面环绕着一圈保护层,有效减小了影响

信号传输的电磁干扰,但相应增加了成本。而非屏蔽型双绞线没有保护层,易受电磁干扰,

但成本较低,如图 1-4 所示。

局域网基础 9

图 1-4 双绞线

非屏蔽双绞线广泛用于星形拓扑的以太网。采用新的电缆规范,如 10BaseT 和 100BaseT, 可使非屏蔽型双绞线达到 10Mbps 以至 100Mbps 的传输数率。

双绞线的优势在于它使用了电信工业中已经比较成熟的技术,因此,对系统的建立和维 护都要容易得多。在不需要较强抗干扰能力的环境中,选择双绞线特别是非屏蔽型双绞线, 既利于安装,又节省了成本,所以非屏蔽型双绞线往往是办公环境下网络介质的首选。

双绞线的最大缺点是抗干扰能力不强,特别是非屏蔽型双绞线。

2、同轴电缆

同轴电缆由内、外两个导体组成,且这两个导体是同轴线的,所以称为同轴电缆。在同 轴电缆中,内导体是一根导线,外导体是一个圆柱面,两者之间有填充物。外导体能够屏蔽 外界电磁场对内导体信号的干扰,如图 1-5 所示。

图 1-5 同轴电缆

同轴电缆既可以用于基带传输,又可以用于宽带传输。基带传输时只传送一路信号,而

宽带传输时则可以同时传送多路信号。用于局域网的同轴电缆都是基带同轴电缆。

3、光导纤维

光导纤维简称为光纤。对于计算机网络而言,光纤具有无可比拟的优势。光纤由纤芯、 包层及护套组成。纤芯由玻璃或塑料组成,包层则是玻璃的,使光信号可以反射回去,沿着 光纤传输,护套则由塑料组成,用于防止外界的伤害和干扰,如图 1-6 所示。

10 全能培训——局域网组建与维护教程

图 1-6 光纤

光波由发光二极管或激光二极管产生,接收端使用光电二极管将光信号转为数据信号。 光导纤维传输损耗小、频带宽、信号畸变小,传输距离几乎不受限制,且具有极强的抗电磁 干扰能力,因此,被认为是今后网络传输介质的发展方向。

1.3.3 局域网的标准

局域网出现之后,发展迅速,类型繁多。1980 年 2 月,美国电气和电子工程师学会,IEEE, 成立 802 课题组,研究并制定了局域网标准 IEEE802。后来,国际标准化组织,ISO,经过 讨论,建议将 802 标准定为局域网国际标准。

IEEE802 为局域网制定了一系列标准,主要有如下 12 种。

IEEE 802.1 概述,局域网体系结构以及网络互连。

IEEE 802.2 定义了逻辑链路控制,LLC,子层的功能与服务。

IEEE 802.3 描述 CSMA/CD 总线式介质访问控制协议及相应物理层规范。

IEEE 802.4 描述令牌总线,Token Bus,式介质访问控制协议及相应物理层规范。

IEEE 802.5 描述令牌环,Token Ring,式介质访问控制协议及相应物理层规范。

IEEE 802.6 描述市域网,MAN,的介质访问控制协议及相应物理层规范。

IEEE 802.7 描述宽待技术进展。

IEEE 802.8 描述光纤技术进展。

IEEE 802.9 描述语音和数据综合局域网技术。

IEEE 802.10 描述局域网安全与解密问题。

IEEE 802.11 描述无线局域网技术。

IEEE 802.12 描述用于高速局域网的介质访问方法及相应的物理层规范。

1.4 局域网的种类

架设局域网的方法很多,常见的有以下三种,

对等网

局域网基础 11

客户机/服务器网络

无盘工作站网络

除了介绍这三种常见的局域网组网方式之外,我们还将向您简要介绍一下最新的无线局

域网。

1.4.1 对等网组建局域网

对等网络是非结构化地访问网络资源。对等网中的每一台设备可以同时是客户机和服务 器。网络中的所有设备可直接访问数据、软件和其他网络资源。换言之,每一台网络计算机 与其他连网的计算机是对等的,它们没有层次的划分。

对等网主要针对一些小型企业,因为它不需要服务器,所以对等网成本较低,但它只是 局域网中最基本的一种,许多管理功能不能实现。它可以使职员之间的资料免去了用软盘拷 贝的麻烦,对于规模较小公司,这些有限的功能足够满足他们的要求。

1.4.2 客户机/服务器方式组建局域网

客户机/服务器,Computer/Server,网络又叫服务器网络,在客户机/服务器网络中,计 算机划分为服务器和客户机。基于服务器的网络引进了层次结构,它是为了适应网络规模, 增大所需的各种支持功能而专门设计的。通常将基于服务器的网络都称为客户机/服务器网 络。

客户机/服务器网络应用于大中型企业,可以实现数据共享,对财务、人事等工作进行 网络化管理,并可以开网络化会议。还提供了强大的 Internet/Intranet Web 信息服务,其中包 括 FTP、GOPHER、WWW 等功能,几乎是一种近乎完美的局域网构架方案。但它需要一台 或多台高档服务器,所以成本较高,但对于企业而言,它的功能对企业的工作效率及业务工 作带来了极大的方便,这远远超过了对它的投资。

1.4.3 无盘工作站方式组建局域网

无盘工作站顾名思义就是没有硬盘、软驱,是基于服务器网络的一种结构,无盘工作站 利用网卡上的启动芯片与服务器连接,使用服务器的硬盘空间进行资源共享。

“无盘工作站网络”可以实现“客户机/服务器网络”的所有功能,在它的工作站上, 没有磁盘驱动器,但因为每台工作站都需要从“远程服务器”启动,所以对服务器、工作站 以及网络组建的要求较高,因而成本并不比“客户机/服务器网络”成本低,但它的稳定性, 安全性一直为大众所看好,特别是被一些安全系数要求较高的企业所喜爱。

12 全能培训——局域网组建与维护教程

1.4.4 无线局域网

无线局域网络,Wireless Local Area Networks: WLAN,是相当便利的数据传输系统,它 是利用射频,Radio Frequency: RF,的技术,取代旧式碍手碍脚的双绞铜线所构成的局域网 络,使得无线局域网络能利用简单的存取架构,让用户通过它达到“信息随身化、便利走天 下”的理想境界。

无线局域网络绝不是用来取代有线局域网络,而是用来弥补有线局域网络之不足,以达 到网络延伸的目的,下列情形可能须用无线局域网,

无固定工作场所的使用者

有线局域网络架设受环境所限制

作为有线局域网络的备用系统

对于铺设电缆或是检查电缆是否断线这种耗时的工作,以及其他局域网管理方面的工 作,很容易令人烦躁,也不容易在短时间内找出故障所在。再者,由于配合企业及应用环境 不断的更新与发展,原有的企业网络必须配合重新布局,需要重新安装网络线路,虽然电缆 本身并不贵,可是请技术人员来配线的成本很高,尤其是陈旧的大楼,配线工程费用就更高 了。因此,架设无线局域网络成为最佳解决方案。

本章小结

本章介绍了有关局域网的基本知识,对计算机网络的起因和发展提出了一个比较清晰的 概念,并且详细地介绍了各种网络结构的划分以及各自的特点,由浅至深地阐述了各种网络 的组成,另外还介绍了网络通信协议,了解各种网络通信协议是掌握网络技术的关键。

只有充分理解本章的内容,才能在后面各章学习中有一个整体的认识,从某种意义上来 说,本章是以后各章的理论基础,无论是组建宿舍网、企业网或者其他形式的局域网都应该 把握这些理论知识,来解决更多的实际问题。

课后习题

局域网基础 13

1、填空题

1, 计算机联网的益处有 、 、 、 。

2, 网络按地域分类,分以下三大类型, 、 、 。

3, 世界最早投入运行的计算机网络是 。

4, 一个计算机网络由 组成。

5, 局域网的传输介质有 、 、 。

6, 星形拓扑结构是由通过 接到 组成的。

7, 局域网的特性主要由三个要素决定,即 、 和 。

8, 局域网在设计中,主要考虑的因素是能够 和 ,易于操作和维护等。2、选择题

1, 下面这些网络拓扑结构中,哪些属于局域网的拓扑结构 , ,

A.总线型拓扑结构 B.环形拓扑结构 C.星型拓扑结构 D.分布式拓

网状拓扑结构 H.蜂窝拓扑扑结构 E.树型结构 F.

结构

2, 局域网的种类包含下列中的哪些 , ,

A.对等网 B.C/S,客户机/服务器端,网络 C.无盘工作站

网络 D. 卫星网络

3, 计算机网络的组成元素可以分为哪两大类, , ,

A.传输介质和介质询问方式 B.有线网络和无线网络

C.网络节点和通信链路 D.中央节点和分布节点

14 全能培训——局域网组建与维护教程

《局域网组建与维护教程》第11章 局域网安全维护

局域网组建与维护教程

第 11章 局域网安全维护

学习目的

掌握局域网安全基础知识

学会更新操作系统和安装系统补丁

掌握局域网的数据安全

本章要点

网络安全知识

黑客

防火墙概述

系统更新与补丁

课堂讲解

通过前面章节的叙述与讲解, 终于可以自如的架设各种各样的局域网, 并能轻松地接入 Internet ,享受无尽的网络资源了。但病毒和黑客,使得我们的局域网出现安全危机,稍一疏 忽,就会让我们辛苦架设的局域网毁于一旦。

下面,我们就来从局域网维护角度入手,讲解常见的网络病毒及防治措施、防火墙的相 关知识和运用,最好介绍有关 IE 高级设置的问题。

214 全能培训——局域网组建与维护教程

局域网安全维护

215

11.1 网络安全知识

大多数人都知道在 Internet 上冲浪的时候要注意安全,一方面防止网上病毒的蔓延,另 一方面又要防止黑客的攻击,然而对局域网内部的安全隐患却很少看见。事实上, Internet 只不过是局域网的一个延伸,在 Internet 上可能遇到的安全问题在局域网上同样可能遇到。 对局域网的安全掉以轻心使非法侵入局域网的病毒得以肆意蔓延, 这个问题在对等网中尤为 严重,而一些不怀好意的来自局域网内部的攻击更是防不胜防。

11.1.1 病毒的由来

1988年 11月 2日下午 5时 1分 59秒,美国康奈尔大学的计算机科学系研究生, 23岁 的莫里斯(Morris )将其编写的蠕虫程序输入计算机网络。几小时后因特网连接严重堵塞。 这个网络连接着大学、研究机关的 155000台计算机,整个网络全部瘫痪。这件事就像是计 算机界的一次大地震,引起了巨大反响,震惊全世界,引起了人们对计算机病毒的恐慌,也 使更多的计算机专家重视和致力于计算机病毒研究。

从此, “病毒” 成为计算机界一个令人恐怖的词语, 而病毒 “队 伍 ” 也不 断 “ 发展壮 大” 。 以后的 CIH 病毒和 梅莉莎 病毒和前 段 时 间 新出现的冲击 波 、 振荡波 病毒等部对整个 社 会 带 来了重大的 损失 。

11.1.2 病毒的分类

计算机病毒也是一种 应 用程序。 但 它 与其 他 计算机 应 用程序不同的是, 它本身具 有 破坏 性 ,更重要的是,计算机病毒可以通过自 身进行复制 ,而 且 这些计算机病毒一 般 都有很好的 隐 蔽性 ,来 躲避 计算机使用 者 的注意。而在特 定 的 触发条 件下, 比 如时 间或者具体 的操作事 件等都会 导 致计算机病毒的 发 作。

病毒的 破坏性主 要是 软 件方面的, 按照 计算机病毒的 属性 ,病毒可以 按照 如下分 类 。

1、根据病毒的传播介质分类

根 据病毒的 传播媒体 ,病毒可以 划 分为网络病毒、 文 件病毒和引 导型 病毒。网络病毒通 过计算机网络 传播感染 网络中的可 执行文 件。 文 件病毒 感染 计算机中的 文 件(如 :COM , BAT , EXE , DOC 等 文 件) ,并通过这些 文 件的使用不 断 地 复制 自 身 ,以 摧 毁整个系统。引 导型 病毒 感染启动扇区 (Boot )和 硬盘 的系统引 导扇区 (MBR ) 。

事实上, 随 着“病毒 技术 ”的不 断进步 ,现在的病毒大多数是这 三 种 情况 的 综合型 。 例 如, 著名 的 CIH 病毒就是一个 典型 , 这个病毒 初期 通过 Internet 传播 到世界上 每 一个角 落. 而

本身 又 寄 生在 文 件中,在内 存调 用 文 件时 感染 下一个 文 件,然后 损坏 引 导区 , 继续向 下 感染 和 传播 ,最终使全 球 无数的计算机 难逃劫难 。

2、根据病毒的破坏能力分类

基 本 无 害型

除 了 传染 时 减 少 磁盘 的可用 空间外 , 对系统 没 有其 他影 响。 但对于这样的病毒也不可以 掉以轻心, 它 们的 变 种 往往 会大 量吞噬 掉 硬盘空间 。

基 本 无危 险型

这 类 病毒 仅仅 是 减 少内 存 、 显示图 像、 发 出 声音 。这样的病毒事实上是一个 恶 作 剧 的计 算机程序, 编写 者 自 称 这样的程序是 跟 计算机的使用 者开 一个 玩笑或者 以此来 证明 自 己 的计 算机 水平 , 但 它 终究是一个病毒, 没 有人 愿 意在 工 作的时候 听 到 或者 看到一些令人 厌恶 的 声 音或者图 像。

危 险型

这 类 病毒在计算机系统操作中 造 成严重的 错误 。无数次的“ 蓝屏 ”和“非法操作”最终 使计算机系统 崩溃 。

极端 危 险型

这 类 病毒 属 于 恶性 病毒, 它 们不 仅删除 程序, 破坏 数据, 清除 系统内 存区 和操作系统中 重要的 信息 , 甚至损坏 计算机 硬 件设 备 ,重写 BIOS , 修改硬盘 引 导区信息 ,让 你 的 电脑 不 停 地重新 启动 等等都是 它 们的 拿 手好 戏 , 典型 的就是 CIH 病毒和 振荡波 病毒。

3、根据病毒特有的算法分类

伴随型 病毒

这一 类 病毒并不 改变文 件 本身 , 它 们 根 据算法 产 生 exe 文 件的 伴随体 , 具 有同样的 名字 和不同的 扩展名 (COM ) , 例 如, XCOPY . EXE 的 伴随体 是 XCOPY . COM 。病毒 把 自 身 写入 COM 文 件并不 改变 EXE 文 件, 当 Dos 加载文 件时, 优先执行伴随体 , 再由伴随体加 载执行原 来的 EXE 文 件。

“蠕虫” 型 病毒

通过计算机网络 传播 , 不 改变文 件和资 料信息 , 利 用网络从一台机 器 的内 存传播 到其 他 机 器 的内 存 ,计算网络地 址 ,将自 身 的病毒通过网络 发送 。有时 它 们在系统 存 在,一 般除 了 内 存 不 占 用其 他 资源。 这种病毒的攻击对 象主 要是网络, 其 破坏结果往往 是使整个网络瘫痪。

216 全能培训——局域网组建与维护教程

局域网安全维护

217

寄 生 型 病毒

除 了 伴随型 和“蠕虫” 型 ,其 他 病毒 均 可 称 为 寄 生 型 病毒, 它 们 依附 在系统的引 导扇区 或文 件中,通过系统的 功 能 进行传播 。这种病毒 往往 并不是 立即发 作, 还 有一 段潜伏期 ,在 潜伏期 内通过各种 途径迅速 地 传染 和蔓延,最后通过 触发条 件 发 作。

综 上 所 述,病毒的分 类 是一个很 模糊 的概 念 。 越 是高级的病毒,其算法就 越复杂 , 传播 途径 就 越 多, 破坏 力就 越强 。

11.1.3 病毒的攻击对象

如 果 计算机 已经感染 病毒,会出现 什么症状呢 ? 不同的 症状 是病毒攻击了计算机不同的 部分 造 成的,病毒攻击对 象 以及 表 现特 征 有以下几种 :

1、攻击系统数据区

攻击部 位包括:硬盘主 引 导扇区 、 Boot 扇区 、 FAT 表 、 文 件 目录 。一 般 来 说 ,攻击系统 数据 区 的病毒是 恶性 病毒,受 损 的数据不 易恢复 。

2、攻击文件

病毒对 文 件的攻击方 式 很多, 如 删除 , 改名 , 替换 内 容 , 丢失 部分程序 代码 , 内 容颠倒 , 写入时 间空白 , 变碎片 , 假冒文 件, 丢失文 件 簇 和 丢失 数据 文 件。

3、攻击内存

内 存 是计算机的重要资源, 也是病毒的 主 要攻击 目标 。 病毒 额外 地 占 用和 消耗 系统的内 存 资源,可以 导 致一些大程序受 阻 。如 占 用大 量 内 存 , 禁 止分 配 内 存 及 蚕食 内 存 。

4、干扰系统运行

病毒会 干扰 系统的 正 常运 行 ,以此作为自 己 的 破坏行 为。此 类行 为也是 花 样 繁 多,如不 执行命 令, 干扰 内部 指 令的 执行 , 虚假报警.打 不 开文 件, 占 用特 殊 数据 区 , 换 现 行盘 ,时 钟倒转 ,重 启动 , 死 机, 强制游戏 和 扰 乱串 并 行 口 。

5、占用资源

病毒 激活 时,其内部的时 间 延 迟 程序 启动 。在时 钟 中 纳 入了时 间 的 循环 计数, 迫 使计算 机 空转 ,计算机 速 度 明显 下 降 。

6、扰乱屏幕显示

病毒 扰 乱 屏 幕 显示 的方 式 很多,如 字 符跌 落 、 环绕 、 倒 置、 显示 前一 屏 、 光 标 下 跃 、 滚

屏 、 抖 动 、 乱 写、 颜色 显示 异 常和无 图标 等等。

7、键盘

病毒 干扰 键 盘 操作, 如响 铃 、 封锁键 盘 、 换字 、 抹 掉 缓 存区字 符 、 重 复 和输入 紊乱 等等。 8、攻击 CMOS

在机 器 的 CMOS 区 中, 保 存 着系统的重要数据。 例 如系统时 钟 、 磁盘类型 及内 存容量 等,有的病毒 激活 时,能 够 对 CMOS 区进行 写人 动 作, 破坏 系统 CMOS 中的数据。 9、吞噬网络资源

最 明显 的就是“蠕虫”病毒,其 明显 持 征 是网络 速 度 变 慢 ,系统反 应 迟钝 。

11.1.4 几种常见的病毒

1、“爱虫”病毒(love bug)

“ 爱 虫”病毒是一种“蠕虫”病毒,前面 说 过“蠕虫”病毒 主 要就是通过 占 用内 存 和网 络资源 达 到使网络瘫痪的 目 的。 “ 爱 虫”就是个 典型 的 例 子 , 它 通过 M icrosoft Outlook电 子 邮 件系统 传播 , 邮 件的 主 题为“ I Love You” , 包 含 一个 附 件(“ Love-Letter-for-you.txt.vbs ” ) 。 一旦在 Microsoft Outlook中 打开 这个 附 件, 系统就会自 动复制 并 向 通 信 簿 中的 所 有 电 子邮 件 地 址发送 这个病毒。

用 户 感染 了 该 病毒后, 邮 件系统会 变 慢 ,并可能 导 致整个网络系统 崩溃 ,这个病毒对于 电 子邮 件系统 具 有 极 大的危 险性 。 这种病毒同时会 感染 并 坏文 件 名 为 :*.VBS、 *.VBE、 *.JS、 *.JSEE、 *.CSS、 *.WSH、 *.SCT、 *.HTA、 *.JPG、 *.JPEC、 *.PM3和 *.MP2等 12种数据 文 件。

2、 Funlove 病毒

Win32.Funlove.4099文 件 型 病毒 主 要 针 对局域网,如 果 局域网中的一台计算机 感染 该 病 毒, 那 么 Win32.Funlove.4099将 感染 Windows 9X和 Windows NT 4.0的 Win32PE 文 件。 如 .exe 、 .scr 和 .ocx 文 件。 当 该 病毒 首 次运 行 时, 会在系统 System 目录 下生成一个 名 为 Flcss.Exe 的 文 件,然后 感染所 有的 .exe 、 .scr 和 .ocx 文 件,而 且 Explorer.exe 也会在 NT 系统重新 启动 后 被 感染 。 这个病毒 还 会 修改 Ntoskrnl.exe 和 Ntldr 等 NT 系统 文 件, 并通过这种方 式 实现在 系统重 启动 后 拥 有 NT 系统的 所 有通道。

218 全能培训——局域网组建与维护教程

局域网安全维护

219

3、 CIH 病毒

图 11-1 CIH病毒文件

臭 名 昭 著 的 CIH 病毒相 信 很多人都知道,其 破坏 力 之 强 令 任何 一个计算机使用 者 都为 之咋舌 。

首 先 , CIH 病毒将 感染 Windows 9X及在 Windows 9X下运 行 的后 缀 名 为 *.exe, *.com、 *.vxd, *.vxe的 应 用程序,自解 压 文 件、 压缩 文 件和 压缩 包 中的这 4种后 缀 名 的程序也会受 到 感染 , 拷贝 到 硬盘 上 压缩 名 为 CAB 中的 压缩 文 件中的 Windows 98以及 备 份 包 中的 Windows 98文 件 均 会受到 感染 ,也就是 说 , CIH 病毒会毁 坏 掉 磁盘 上的 所 有系统 文 件 ; 其 次, CIH 病毒会 感染硬盘 上的 所 有 逻辑驱 动器. 以 硬盘 中 2048个 扇区 为 单 位 ,从 硬盘主 引 导区开 始 依 次 向硬盘 中写入 垃圾 数据, 直 到 硬盘 中数据 被 全部 破坏 为 之 , 最 坏 的 情况 是 硬盘 所 有数据(含 全部 逻辑 盘 数据) 均 被 破 杯; 然而 . 这都 没 有 什么 ,更为可 怕 的是 CIH 病毒 还 会 破坏主 板 上的 BIOS ,使 CMOS 的 参 数 回 到出 厂 时的设置, 假 如用 户 的 CMOS 是 Flash Rom 型 的, 那 么主 板 将会 报 废 。

对于 硬盘 数据的 恢复 用一些 查 毒 工具 基 本 就可以 做 到,而 破坏 的 BIOS 则 比 较 难恢复 , 一 般 来 说 都要 先 下 载主 板 BIOS , 然后重 刷 BIOS 。 具体 的 刷 BIOS 步 骤 这里就不 详细 叙述了, 请参考《 全能 培训—— 电脑 组 装与维护 教 程 》 一 书 相关章节。

4、 YAI 病毒

YAI (You And I)是 第 一个国内编写的大 规 模 流 行 的“黑客”病毒, 它 是 由 重 庆 的一 位 叫杜江 的大学生编写的, YAI (backdoor ) 属 于 文 件 型 病毒,通过各种 存 储 介 质 和因特网 传 播 , 主 要以 右键 附 件的 形 式传 递 。在 YAI (backdoor )病毒 感染 Windows 系统的可 执行文 件 并 执行 了 染 毒 文 件后,系统 没 有 任何 特 殊 现 象 , 即 在 毫 无 征 兆 的 情况 下能 够 将病毒 激活 ,使 之 侵入系统。 当染 毒 文 件 *.exe被 运 行 后,会在 当 前 目录 下生成 *.TMP和 *.TMP.YAI两 个 文 件,同时此病毒自 动 搜索 系统内的可 执行文 件,并将这些可 执行文 件 感染 。

5、“圣诞节”病毒

“ 圣诞 节”病毒也是一种 极 度 恶性 病毒, 它 不但能 删除 计算机上的 文 件,而 且 通过 破坏 计算机的 FLASH BIOS,使其 完 全瘫痪。在 破坏 FLASH BIOS时, 该 病毒的作 者 使用了与 CIH 病毒一样的手法 —— 这种病毒能 感染 Windows 95, Windows 98及 Windows NT, 这种病 毒在 12月 25日 发 作。 目 前的 杀 毒 软 件基 本 上都可以 查杀 这种病毒。

11.1.5 防毒措施

在前面 已经 介绍了计算机中病毒的各种特 征表 现, 如 果 计算机出现了这些 表 现就不得不 怀 疑 系统 已经 中毒,这时候 需 要用专 业 的 查 毒 工具 检查 系统,通过 检查 ,如 果 计算机 已经感 染 了病毒, 则 要尽 快 进行 杀 毒。 因此, 在 平 时就要 准 备 一个专 业 的 杀 毒 软 件, 例 如 Symantec Antivirus 等。

检查 文 件时, 不要以为只有 *.exe、 *.com等可 执行文 件会 感染 病毒, 就忽 略 了其 他文 件, 事实上一些 宏 病毒就 潜伏 在 *.doc文 件中,而 且 通过一些特 别 技术 , *.txt文 件也可以 感染 病 毒 . 因此 必须 对 硬盘 上的 所 有 文 件 进行 检查 。

检查完 硬盘 上的 所 有 文 件 还 必须 对 硬盘 的引 导扇区进行 检查 , 一些隐 藏 在 硬盘 引 导扇区 的病毒是最 容易 被 人 遗忘 的。要使计算机时 刻保持 正 常 状 态 ,对病毒的 预 防是 首 要的。 不要用盗版光盘, 在这些光盘中经常带有大量的病毒, 已经成为传播计算机病毒的 —个重要途径。

在因持网上下载软件时, 应该到一些知名的网站去下载, 一些来历不明的软件很可 能就携带了病毒。下载后也不要忘了用查毒软件查毒。

对重要的数据和硬盘引导区等进行备份,以防不测。

图 11-2 杀毒软件 Symantec AntiVirus

220 全能培训——局域网组建与维护教程

局域网安全维护

221

11.2 黑 客

本 节介绍的网络入侵不 仅 在 Internet 上 应当 注意,在局域网中的计算机同样可能受到来 自网络内部的攻击。

11.2.1 黑客与骇客

黑客一词的 英 文 为 Hacker , 即 凭借 自 己 掌握的计算机 技术 知识, 采 用非法手 段逃 过计算 机网络系统的 存 取控 制 而 获 得 进 入计算机网络, 进行 未 经 授权 的 或 非法 访 问的人。

黑客队 伍 日 渐 壮 大,一些后来在 IT 技术 史 中 占 有重要地 位 的人 物 开 始崭露头 角,其中 包括 苹 果 机 创始 人 之 一的 沃兹尼亚克 。 越 来 越 多的黑客们在 共 享着 技术所带 来的 喜悦 的时 候, 发 现 惟 一美中不 足 的是 欠缺互 相 交流 心得的地方。因此,在 1978年,来自 芝 加 哥 的 兰 边·索萨 及 沃招·克 里斯 琴森便 制 作了 第 一个 供 黑客 交流 的网上 公告版 ,此 BBS 至 今仍 在 运 行 之 中。

11.2.2 黑客攻击的常用几种手段

黑客常用的攻击手 段 有 :

1、密码入侵

所 谓密 码 入侵就是 指 用一些 软 件解 开加 密 文 档 , 但是, 许 多 忠 于此 术 的黑客并不 采 用这 种方法而是用一种可以 绕 开或屏蔽 密 码 保 护的程序。 对于 那 些可以解 开或屏蔽 密 码 保 护的程 序通常 校 称 为 Crack 。

2、特洛伊木马

说 到特 洛伊木马 只要知道这个 故 事的人就不 难 理 解, 它 最为 广泛 的方法就是 把 某 一特 定 程序 依附 在 某 一 合 法用 户 程序中,这时, 合 法用 户 的程序 代码已 被 改变 ,而一旦用 户 触发 该 程序, 那 么依附 在内的黑客 指 令 代码 同时 被激活 , 这些 代码往往 能 完 成黑客 早 已指定 的 任务 。 由 于这种入侵法 需 要黑客有很好的编程 经 验 , 且 要更 改代码 , 要一 定 的 权限 , 所 以 较 难 掌握。 但是 正 因为 它 的 复杂性 ,一 般 的 管理员 很 难发 现,对于黑客来 说 就要有一 点耐 心了。

3、监听法

目 前的局域网基 本 上都 采 用以 广 播 为 技术 基础的以 太 网, 任何两 个节 点之 间 的通 信 数据 包 , 不 仅 为这 两 个节 点 的网 卡 所 接 收 , 也同时为 处 在同一以 太 网上的 任何 一个节 点 的网 卡 所 截取 ,因此,黑客只要接入以 太 网上的 任 一节 点 进行 侦 听 ,就可以 捕获 发 生在这个以 太 网 卡

的 所 有数据 包 ,对其 进行 解 包 分 析 ,从而 窃取 关 键 信息 , 达 就是以 太 网 所 固 有的安全隐患。 有一种 软 件 Sniffer 网络 嗅探 器 就是通过这种 途径 来 监 听 网络中的数据 流 向 , 它 可以 截 获密 码 ,可以 截获秘密 的 信息 ,可以用来攻击相 邻 的网络。

11.3 防火墙概述

图 11-3 Sygate个人防火墙

开 放 的计算机和 服务 器 /工 作 站 体 系 结 构较 以前的各种网络 结 构确 实 具 有 许 多好 处 , 但 安全问题却 变 得 十 分严重,特 别 是在连接到 互联 网的时候。在这种 条 件下,防火墙 产 品 应 运 而生。防火墙是网络安全 工具 中最 早 成 熟 ,最 早 产 品化 的,网络防火墙一 般定 义 为在 两 个网 络 间执行 访 问 控 制 策略 的一个 或 一 组 系统。

防火墙可以分为 两 大 类 , 即 边 界 式 防火墙和分 布 式 防火墙,下面我们 详细 的介绍一下 : 11.3.1 边界式防火墙

根 据 边 界 式 防火墙的特 点 和 原 理 可将其分成不同的几 类 。

1、按边界式防火墙的特点分类

边 界 式 防火墙 按 其特 点 可分为 :屏蔽 路 由器 、 应 用网关、 屏蔽主 机网关、 被 屏蔽 子 网等 几种。

屏蔽 路 由器

最 简单 和最 流 行 的防火墙 形 式 是“ 屏蔽 路 由器 ” 。一 般说 来, 屏蔽 路 由器类型 的防火墙 具 有以下 优 点 :

通常其性能要优于其他类型的防火墙

规则设置简单

222 全能培训——局域网组建与维护教程

局域网安全维护

223

不需对客户端计算机进行专门的配置

通过 NAT (网络地址转换) ,可以对外部用户屏蔽内部 IP 地址

但 它本身 也 具 有一 定 的 缺点 :

无法识别到应用层协议,也无法对协议子集进行约束

通常不能提供其他附加功能,如 HTTP 的目标缓存, URL 过滤以及认证等

只能控制信息进出,但细心的人可以看到,入侵者可能访问到防火墙主机的服务,

换句话说,入侵者可以攻击到防火墙主机,从而带来安全隐患

没有或缺乏审计追踪,从而也就缺乏报警机制

由于对众多网络服务的“广泛”支持所造成的复杂性,很难对规则有效性进行测试 应 用网关

它 通常 被 配 置为“ 双宿 主 网关” , 具 有 两 个网络接 口卡 ,同时接入内部和 外 部网。 由 于 网关可以与 两 个网络通 信 , 它 是安装 传 递 数据 软 件的 理想 位 置。这种 软 件就 称 为“ 代 理 ” , 通常是为其 所 提供 的 服务 定制 的。

代 理 级防火墙和 屏蔽 路 由器 一样 具 有一些 共 同的特 点 , 例 如 :

可以识别并实施高层的协议,如 HTTP 和 FTP 等

包含通过防火墙服务器的通信信息, 可以提供源于部分传输层、 全部应用层和部分

会话层的信息

可以用于禁止访问特定的网络服务,而允许其他服务的使用,能够处理数据包 可以屏蔽掉内部网的 IP 地址,这是因为代理服务不允许外部和内部主机间直接通

信,因此内部主机名对外部是不可知的

屏蔽主 机网关

屏蔽主 机网关 易 于实现也最为安全。 一个 堡垒 主 机安装在内部网络上, 通常在 路 由器 上 设 立 过 滤规则 , 并使这个 堡垒 主 机成为从 外 部网络 惟 一可 直 接到 达 的 主 机, 这 确保 了内部网 络不受 未被授权 的 外 部用 户 的攻击。 如 果 受 保 护网是一个 虚 拟 扩展 的 本 地网, 即没 有 子 网和 路 由器. 那 么 内部网的 变 化 不 影 响 堡垒 主 机和 屏蔽 路 由器 的 配 置。 危 险带 限 制 在 堡垒 主 机和 屏蔽 路 由器 , 网关的基 本 校 制 策略 由 安装在上面的 软 件 决 定 。 如 果 攻击 者 设法 登 录 到 它 上面, 内网中的其 余 主 机就会受到很大 威胁 。这与 应 用网关受攻击时的 情 形差 不多。

被 屏蔽 子 网

被 屏蔽 子 网就是在内部网络和 外 部网络 之 间 建 立 一个 被隔离 的 子 网, 并 且 通过 两 台分 组 过 滤路 由器 将这一 子 网分 别 与内部网络和 外 部网络分 开 。 在很多 案 例 的实现中, 两 台分 组 过 滤路 由器均 放 在 子 网的 两 端 。

2、边界式防火墙的原理分类

防火墙 根 据其 工 作 原 理 分为 3种 :包 过 滤 防火墙、 代 理服务 器 和 状 态监 视 器 。 包 过 滤 防火墙(IP Filting Firewall)

包 过 滤 (Packet Filter) 是在网络 层 中对数据 包 实施有 选择 地 放 行 , 依 据系统事 先 设 定 好 的过 滤逻辑 , 检查 数据据 流 中的 每 个数据 包 , 根 据数据 包 的源地 址 、 目标 地 址 以及 包所 使用 端 口确 定 是 否允 许该 类 数据 包 通过。

配 置 繁 琐 是 包 过 滤 防火墙的一个 缺点 。 它阻 挡 别 人 进 入内部网络, 但也不 告 诉 何 人 进 入 系统, 或者 何 人从内部 进 入网 际 网 路 。 包 过 滤 另一个关 键 的 弱 点 就是不能在用 户 级 别 上 进行 过 滤 , 即 不能 鉴 别 不同的用 户 和防止 IP 地 址 被 盗 用。

包 过 滤 型 防火墙是 某 种意 义 上的 绝 对安全的系统。

代 理服务 器 〔 Proxy Server〕

代 理服务 器 通常也 称 为 应 用级防火墙。 包 过 滤 防火墙可以 按照 IP 地 址 来 禁 止 未授权 者 的 访 问。但是 它 不 适 合 单 位 用来 控 制 内部人 员访 问 外 界的网络、对于这样的 企 业 来 说 , 应 用 级防火墙是更好的 选择 。 所 谓 代 理服务 . 即 防火墙内 外 的计算机系统 应 用 层 的连接是在 两 个 终止于 代 理服务 的连接来实现的,这样 便 成 功 地实现了防火墙内 外 计算机系统的 隔离 。 代 理服务 器 像 真 的墙一样 挡 在内部用 户 和 外 界 之 间 , 特 别 是从 外 面来的 访 问 者 只能看到 代 理服务 器 而看不到 任何 内部资源, 诸 如用 户 的 IP 地 址 等。而内部客 户 根本感 觉 不到 它 的 存 在,可以自 由 访 问 外 部 站点 。但 代 理服务 器 同时也 存 在一些不 足 ,特 别 是 它 会使网络的 访 问 速 度 变 慢 ,因为 它 不 允 许 用 户直 接 访 问网络,而 代 理 又要 处理 入和出的通 信量 ,因此 每 增 加 一种新的 媒体应 用 . 则必须 对 代 理 进行 设置。

状 态监 视 器 (Stateful Inspection)

状 态监 视 器 作为防火墙 技术 其安全特 性 最 佳 , 它 采 用了一个在网关上 执行 网络安全 策略 的 软 件引 擎 , 称 之 为 检 测 模 块 。 检 测 模 块 在不 影 响网络 正 常 工 作的前 提 下, 采 用 抽 取 相关数 据的方法对网络通 信 的各 层 实施 监 测 , 抽 取 部分数据, 即状 态 信息 ,并 动 态 地 保 存 起来作为 以后 制定 安全 决策 的 参考 。

3、边界防火墙的缺点

结 构 性 受 限 制

边 界防火墙的 工 作机 理 依 赖 于网络的 物理 拓扑 结 构 。 例 如家 庭移 动 办 公 和 服务 器 托 管 越 来 越 普遍 , 所 谓 内 联 网 已经变 成一个 逻辑 上的概 念 ,实 际 的内部 物理 网络 已经 很 模糊 ; 另一

224 全能培训——局域网组建与维护教程

局域网安全维护

225

方面, 电 子 商 务 的 应 用要 求商 务 伙 伴 之 间 在一 定 权限 下可以 进 入到 彼 此的内部网络, 所 以 说 , 内 联 网的 边 界 已经 是一个 逻辑 的 边 界 . 物理 的 边 界日 趋 模糊 , 边 界防火墙的 应 用受到了 愈 来 愈 多的 结 构 件 限 制 。

内部不 够 安全

边 界防火墙设置安全 策略 的一个基 本假 设是 :网络的一 边 即外 部的 所 有人是不可 信 任 的,另一 边 即 内部的 所 有人是可 信 任 的。但在实 际 环 境 中, 80%的攻击和 越 权访 问来自于内 部,也就是 说. 边 界防火墙在对 付 网络安全的 主 要 威胁 时 束 手 允 策 。

基于上述 缺 陷 诞 生了一种新 兴 的防火墙 技术 “分 布 式 防火墙” (Distributed Firewalls) , 它 能 够 有 效 地防止来自内部网络的攻击。

11.3.2 分布式防火墙

从 狭 义 来讲,分 布 式 防火墙 产 品 是 指 那 些 驻留 在网络中 主 机(如 服务 器或 桌 面机)并对 主 机系统自 身 提供 安全防护的 软 件 产 品; 从 广义 来讲, “分 市 式 防火墙”是一种新的防火墙 体 系 结 构 。

1、分布式防火墙结构组成

分 布 式 防火墙 由 网络防火墙、 主 机防火墙和中心 管理 三 个部分 组 成。 边 界防火墙只是网 络中的 单 一设 备 , 管理 是局部的。对分 布 式 防火墙来 说 , 每 个防火墙作为安全 监 测 机 制 ,可 以 根 据安全 性 的不同要 求 布 置在网络中的 任何需 要的 位 置上, 但 总 体 安全 策略 又是统一 策 划 和 管理 的, 安全 策略 的分 发 及日 志 的 汇总 都是中心 管理 应具备 的 功 能。 中心 管理 是分 布 式 防 火墙系统的 核 心和重要特 征 之 一。

2、分布式防火墙的优点

分 布 式 防火墙,在局域网尤其是大 型 局域网中的 典型应 用 优 点 如下 :

系统 购 安全 性

增加了针对主机的入侵监测和防护功能

加强了对来自内部攻击的防范

可以实施全方位的安全策略

提供了多层次立体的防范体系

系统 性 能的 保 证

消除了结构性瓶颈问题,提高/系统性能

系统的扩展性

随系统扩充提供了安全防护无限扩充的能 力

代 表 性的主机防火墙

11.4 系统更新与补丁

我们 所 使用的 微 软 操作系统, 同样也是一种 软 件 ——针 对 硬 件 应 用的 软 件。 既 然是 软 件, 那 么它 就有 BUG , 即平 常我们 所说 的系统 漏洞 。接下来,我们就从网络安全的角度讲解 微 软 Windows 操作系统的 漏洞 。

11.4.1 Windows 9X安全漏洞

Microsoft 9X登 录 漏洞

Windows 9X/Me系统在用 户登 录 计算机时可以通过不输入 密 码 , 单 按 “ 取 消 ” 按 钮 就能 登 录 到系统。在网络 登 录 时输入 正 确 的用 户 名 并 按 确 定 ,这时将会出现 Windows 登 录 窗 口 , 按 “ 取 消 ” 按 钮 将会以 该 用 户 的 身 份 成 功 登 录进 入系统。

Microsoft Windows 9X客 户 端 驱 动器类 漏洞

TCP/IP协议 中 Net BIOS密 码 验 证 方 案 中 存 在安全 漏洞 ,攻击 者 可以 修改它 的 文 件 共 亨 服务 ,并 执行 DOS 命 令,攻击 访 问 共 享 服务 的 Windows 9X客 户 端 。

处理 方法 :禁 用基于 TCP/IP的 Net BIOS,如 图 11-4所示 。

图 11-4网络协议中的 Net BIOS

从上面这些 漏洞 中可以看出, NetBIOS服务 给 Windows 9X带 来了巨大的危 险 , 本 章

226 全能培训——局域网组建与维护教程

局域网安全维护

227

在前面的内 容 中也 已经 提 到其危 害性 ,并 详细 叙述了解 除 NetBIOS 服务 绑 定 的方法,用 户 可以 参考 。

11.4.2 Windows 2000非法登录漏洞

输入法 漏洞

漏洞描 述 :通过 该 漏洞 用 户 可 浏览 计算机上的 所 有 文 件, 且 可 执行 net.exe 命 令 添 加 Administrator 级 别 的 管理员 用 户 ,从而 完 全 控 制 计算机。

解 释 :在 Windows 2000的 登 陆窗 口 中, 按 【 Ctrl+Shift】 键 , 切 换至 全 拼 输入法。在输 入法 状 态 条 上 按 鼠 标 右键 , 选择 “ 帮助 ” 的 “输入 指 南 ” , 然后 选择 “ 选项 ” , 按 右键 选择 “ 跳 转 到 URL ” 命 令, 随 后 即 可输入各 类命 令。如使用系统的“ net ” 命 令, 即 可 添 加 系统 管理 员 用 户 , 随 后 即 可通过 该 帐 户登 录 。

图 11-5 卸载输入法

对 策 :(1) 卸 载 不用的输入法,并 删除 输入法的 帮助 文 件 ; (2)安装 Windows 2000的 Service Pack 1以上的 版 本 。

Unicode 漏洞

漏洞描 述 :攻击 者 可通过 IE 浏览 器 远 程运 行 被 攻击计算机的 cmd.exe 文 件,从而使 该 计算机的 文 件 暴 露 , 且 可 随 意 执行 和更 改文 件。

解 释 :Unicode 标 准被 很多 软 件 开发者所 采 用, 无 论 何 种 平 台、 程序 或开发 语 言 , Unicode 均 为 每 个 字 符提供 独 一无 二 的序 号 ,如 向 IIS 服务 器发 出 包括 非法 Unicode UTF-8序 列 的

URL ,攻击 者 可使 服务 器 逐 字 “ 进 入 或 退 出” 目录 并 执行 任 意程序, 该 攻击 即称 为 目录转换 攻击。

Unicode 用“ %2f”和“ %5c”分 别 代表 “ /”和“ \” 字 符 ,但也可用“ 超长 ”序 列 来 代 替 这些 字 符 。 “ 超长 ”序 列 是非法的 Unicode 表示 符 ,如用“ %c0%af” 代表 “ /” 字 符 。 由 于 IIS 不对 超长 序 列 进行 检查 ,因此在 URL 中 添 加 超长 的 Unicode 序 列 后,可 绕 过 微 软 的安全 检查 , 如在一个 标 记 为可 执行 的 文 件 夹 发 出 该请 求 , 攻击 者即 可在 服务 器 上运 行 可 执行文 件。

图 11-6 微软更新主页

对 策 :

(1)为 避 免 该 类 攻击, 建 议 下 载 最新补丁,网 址 如下 所 述 :

http://www.microsoft.com/technet/security/bulletin/MS00-078.asp

(2)安装 IIS Lockdown和 URL Scan来 加 固 系统,从而 避 免 该 类 攻击。

IIS Lockdown的下 载 地 址 如下 所 述 :

http://www.microsoft.com/technet/security/tools/locktool.asp

URLScan 的下 载 地 址 如下 所 述 :

http://www.microsoft.com/technet/security/URLScan.asp

(3)安装 Windows 2000的 Service Pack 2或 Service Pack 2以上的 版 本 。如下 图所示

图 11-7 Windows 2000 SP2的系统

MS SQL Server的 SA 空 密 码 漏洞

漏洞描 述 :攻击 者 可在安装 MS SQL Server的 Windows 2000服务 器 上新 建 Administrators

228 全能培训——局域网组建与维护教程

局域网安全维护

229

组 用 户 。

解 释 :在 Windows 2000中, 企 业 级用 户 一 般均 使用 微 软 的数据 库 管理 软 件 MS SQL Server ,在安装 M S SQL Server后,会将 产 生 默认 的 SA 用 户 , 且初 始密 码 在 管理员未 设置 的 情况 下为 空 , 但 SA 为 SQL Server中非常重要的安全 模 块 成 员 , 因此入侵 者即 可通过 SQL Server 客 户 端进行 数据 库远 程连接,然后通过 SQL 的 远 程数据 库 管理 命 令 进行命 令操作, 从而在 MS SQL Server服务 器 上新 建管理员 级 别 的 Administrators 组 用 户 。

对 策 :(1) 安装 SQL Server后 应立即修改 SA 的 空 密 码 ; (2) 安装 Windows 2000的 Service Pack 3以上 版 本 补丁。

图 11-8安装了 Windows 2000 SP4的系统

系统 管理权限 漏洞

漏洞描 述 :操作系统 权限 有可能 被登 录至 Windows 2000的 普 通用 户 所 窃取 。

解 释 :该 漏洞 发 现于网络连接 管理 器 (Network Connection Manager, 即 NCM )中,网 络连接 管理 器 是 管理 并设置系统网络连接的 组 件。 在 建 立 网络连接时, 连接 管理 器 将 调 用 某 个 处理 程序, 由 于连接 管理 器 中的安全 漏洞 ,因此 经 过 某 些 复杂 的操作 步 骤 , 被 调 用的 处理 程序将在局部系统 权限 下运 行 , 且 有可能 调 用其 他 处理 程序。

如作为 处理 程序而 指定 任 意程序后, 该 程序将在局部系统 权限 下运 行 ,而 该权限 即 Windows 系统自 身 的 执行 权限 , 且 基 本 未 受 任何限 制 ,因此在 该权限 下 任何 程序 均 可运 行 , 普 通用 户 即 可 控 制 整个系统。

对 策 :安装 Windows 2000的 Service Pack 3以上 版 本 补丁。

微 软 操作系统的 漏洞 并非 仅仅 只有以上介绍的这些, 但是 由 于用 户 的反 馈 以及 微 软 系统 测试 员 的不 断 努 力,其操作系统的 漏洞 不 断 的在 减 少。自从 微 软 的 Windows 系 列 操作系统 开发 以来, 微 软 就 推 出了操作系统的更新,这也是解 决 系统 漏洞 的一个很好 途径 。 11.5 如何更新与升级操作系统

本 节将以 Windows 2000为 例 ,将介绍一下如 何 将 Windows 2000 SP1升 级到 Windows 2000 SP4版 本 的 详细 过程。 首 先 我们了解一下 Windows 2000 SP4与 原 版 本 有些 什么改进 。

SP4是 Windows 2000 更新的 集 合 。 SP4 包 含 对 Windows 2000 功 能中下 列 方面的更 新 :安全、 操作系统可 靠 性 、 应 用程序 兼 容性 、 Windows 2000 安装程序。 SP4 还包括:Windows 2000的 Service Pack 1、 Service Pack 2 和 Service Pack 3中 包 含 的更新 ; M icrosoft Internet Explorer 6.0 Service Pack 1 ; 带 有 Service Pack 2 的 Microsoft Outlook Express 5.5 。 SP4 包 含 具备 通用 串 行 总线 2.0增 强主 控 制器 接 口 (EHCI ) 外 围 组 件 互 连(PCI ) 控 制器 的计算机 的 驱 动 程序,同时 SP4还 支 持 IEEE 802.1x 身 份验 证 协议 。

更新与 升 级操作系统 主 要有 两 种方法, 一种是 先 下 载 安装 包文 件, 再 在 本 地 硬盘 上安装 ; 另 外 一种是 直 接 登 陆微 软 的 官 方网 址 ,网络下 载 和安装。

11.5.1 本地安装

先 看看系统现在的 版 本 吧 。在 桌 面上 右 击“我的 电脑 ” 属性 ,就可以 查 看 你 的 电脑 操作 系统的 版 本 。

图 11-9 Windows 2000 SP2

我们可以看到, 现在的系统 版 本 是 Windows 2000 SP2, 我们要将 它 升 级到 Windows 2000 SP4。操作 步 骤 如下 :

步骤 1我们 先 要到 微 软 的 官 方网 站 或 是其 它 网 站 下 载 , 下 载 一个 Windows 2000 SP4安 装 包 ,内 含 Windows 2000 SP4的可 执行文 件(图 11-10)。

图 11-10 Windows 2000 SP4安装文件

步骤 2双 击 执行它 ,出现 正 在 提取 文 件的对 话框 , 状 态 是 正 在 验 证文 件(图 11-11)。 步骤 3验 证 完之 后, 开 始提取 文 件,其实就是解 压缩 到一个 文 件 夹 (图 11-12)。

230 全能培训——局域网组建与维护教程

局域网安全维护

231

图 11-11正在提取文件的对话框 图 11-12提取文件 步骤 4 提取 文 件 完 毕 后,就会 弹 出 Windows 2000 SP4的安装 向导 了(图 11-13)。 步骤 5 在这里,安装 向导 给 了我们一些 建 议 , 比 如关 闭 其 它打开 的程序等等,因为 它 们有可能会 导 致 升 级的 失 败 ,然后 单 击下一 步 ,就会 弹 出 许 可 协议 (图 11-14)。

图 11-13 Windows 2000 SP4的安装向导 图 11-14 许可协议 步骤 6 选择 “我同意”,然后, 单 击“下一 步 ” 按 钮 。接着出现了 选择选项 的对 话框 (图 11-15)。

步骤 7 其中有 两 个 选项 ,一个是 文 件 存 档 ,一个是 文 件不 存 档 ,这里, 建 议选择 “ 文 件 存 档 ”,这样,如 果 装 完 SP4后出现了问题,可以 卸 载 Windows 2000 SP4。 单 击“下一 步 ” 按 钮 ,就 开 始 更新了 Windows (图 11-16)。

图 11-15选择选项 图 11-16更新版本 步骤 8 这里大 约 将 进行 5分 钟 左 右 ,就更新 完 毕 了,然后重新 启动 。让我们 再 看看, 系统 属性 里的 版 本 吧 (图 11-17)。

图 11-17 更新后的属性

上面 已经显示 为“ Service Pack 4”了, 表明 我们 已经把 Windows 2000 SP2成 功 升 级为 Windows 2000 SP4了。

11.5.2 网络安装

对于 互联 网用 户 , 还 可以使用 Windows 自 动 更新方法 登 陆微 软 网 站 , 直 接 升 级操作系 统,这种方法也可以用于安装系统补丁(关于安装系统补丁,我们将在下节 做 介绍) 。以下 是通过网络更新的方法来 升 级操作系统 :

步骤 1首 先 , 打开 Internet Explorer,在 IE 的 菜 单 栏 的 【 工具 】 子 菜 单 选择 “ Windows Update ” 选项 ,如 图 11-18所示 。

步骤 2单 击 “ Windows Updater” 后, IE 连接到 微 软 的网 站 , 并出现一个安全设置 警 告 , 如 图 11-19所示 。

图 11-18打开 IE 图 11-19 安全设置警告

步骤 3我们 选择 “是”, IE 就 继续 连接到 微 软 的 Windows 升 级网 页 ,如 图 11-20。 步骤 4在 图 11-20中,我们可以看到一个 选项 “ 查 看以 寻找 更新”, 单 击 它 ,系统会 自 动 帮 你 查 看 你 的系统 需 要更新的地方,如 图 11-21所示 。

232 全能培训——局域网组建与维护教程

局域网安全维护

233

图 11-20微软的 Windows 升级网页 图 11-21寻找的更新地方 步骤 5 单 击“ 复 查 并安装更新”后,出现了如 图 11-22所示 的界面。

图 11-22 显示安装的升级程序及补丁

步骤 6 在上 图 下 半 部分, 显示 的是 所 要安装的 升 级程序及补丁, 可以 选择 不 需 要更新, 笔 者 建 议 全部更新。 单 击“ 立即 安装”。

图 11-23安装过程

步骤 7 接下来,系统自 动 下 载 更新程序并 且 自 动 安装更新,重新 启动 后 即 可。

11.6 IE高级设置

现在的 浏览 器 市场 上 说 不上 百 家 争鸣 ,但也有数 十 种了,可以 说 是各有特 色 。 微 软 的新 一 代 浏览 器 IE 6.0因为 采 用 开 放 的 标 准 并 加强 了对 Cookie 的 管理 而受到 普遍欢迎 。 它 是在 IE 5.5基础上 发展 而来的, 能 够完 全 兼 容 Windows 98/Me/2000操作系统, 而 且 微 软 采 用了隐 私 P3P 标 准 。 从 理 论 上看, 能更安全地 访 问网 页 。 如 果你 访 问的网 页 不 符 合指定 的最 低 安全 要 求 , IE 6.0将在 任务 栏 上 发 出 警 告 。

当 然上网的安全 性 保 障 措施有很多种,这里 主 要介绍一些 必 要的 IE 安全使用设置和 技 巧 。下面我们就来看一下 IE 6.0的安全使用及 优 化 设置 技 巧 。

1、清除上网记录

单 击 IE6.0地 址 栏 右 侧 的下 拉 标 志 , 已 访 问过的 站点 无一 遗 漏 、尽在其中。如 果 不 想 让 别 人知道 刚才 访 问了 哪 些 站点 , 怎 么 办?

清除 部分上网 记 录

若 只 想 清除 部分上网 记 录 , 单 击 浏览 器工具 栏 上的“ 历 史 ” 按 钮 ,在 右 栏 的地 址 历 史 记 录 中,用 鼠 标 右键 选 中 某 一 希望 清除 的地 址或 其下一网 页 , 选 取 “ 删除 ” 。

也可用编 辑 注 册 表 的方法 达 到 目 的,在注 册 表 编 辑 器 中, 找 到

“ HKEYCURRENT_USER /Software/Microsoft/Internet Explorer/Typed URLS” , 在 右 栏 中 删 去 不 想 再 让其出现的 主 键 即 可, 记住 要让 urlx (x 代表 序 号 )以自然 顺 序 排列 。

清 楚 全部上网 记 录

为 了 加 快 浏 览 速 度 , IE 会 自 动 把 你 浏 览 过 的 网 页 保 存 在 缓 存 文 件 夹 C:\Windows\Temporary Internet Files下。 当你 确 信已 浏览 过的网 页 不 再 需 要时,在 该 文 件 夹 下 选 中 所 有网 页 , 删除即 可。

若 想 清 楚 全部的上网 记 录 , 还 可以 打开 【 工具 】→【 Internet 属性 】 命 令, 单 击“常 规 ” 标 签 “ 历 史 记 录 ” 选项 中的“ 清除 历 史 记 录 ” 按 钮 。这时系统会 弹 出 警 告 “是 否 确 实要让 Windows 删除已 访 问过网 站 的 历 史 记 录 ? ” , 选择 “是”就 行 了,如 图 11-24所示 。

图 11-24 Internet选项提示

234 全能培训——局域网组建与维护教程

局域网安全维护

235

这种方法 清 楚 全部上网的 记 录 不 太 彻底 ,会 留 下少 许 Cookies 在 文 件 夹 内。在“常 规 ” 标 签 “ Internet 临 时 文 件” 选项 中,有一个“ 删除 Cookies ” 按 钮 ,通过 它 可以很方 便 地 删除 遗 留 的 Cookies ,如 图 11-25所示 。

其实, 比 较快 捷 的设置 做 法是,将 IE6.0的上网 历 史 记 录 的 天 数设置为“ 0” 天 ,这样 电脑 只会 保 存当 天 的上网 记 录 , 昨天 的 记 录 则 没 有,如 图 11-25所示 。

如 果 想 浏览 网 页 却又不 想 网 址 出现在 IE6.0的下 拉框 中,这里可以介绍一种更 加 简单 的 方法 :当每 次上网时不要在 IE6.0的地 址 栏 中输入网 址 ,从 【 文 件 】→【 打开 】 命 令中输入 网 址 ,在 单 击“ 确 定 ” 按 钮 ,如 图 11-26所示 ,通过这种方 式 浏览 的网 址 就不会出现在 IE6.0地 址 栏 中了, 读 者 可以 试 一 试 。

图 11-25 历史纪录设置 图 11-26目录打开网页方式 2、更改临时文件夹

每当 上网 去浏览 网 页 时,都会将网上的部分 文 件(包括图片 和 HTML 文 件等) 储 存 于 系统内的 “ Temporary Internet files(临 时 文 件 夹 ) ” 之 中, 以方 便 同一个网 站 的 浏览 。 但 IE6.0中设置的 临 时 文 件 夹 所占空间比 较 大,对 硬盘比 较 小的 读 者 来 说 可能不 希望 这样。

打开 【 工具 】→【 Internet 选项】 命 令,在“常 规 ” 标 签 “ Internet 临 时 文 件” 选项 “设 置” 按 钮 中, 预 设 临 时 文 件 夹 的使用 情况 , 单 击“设置” 按 钮 ,在 弹 出的“设置”对 话框 中 将“使用的 磁盘空间 ” 缩 小为“ 20” MB 比 较 适 合 ,也可以将“ Internet 临 时 文 件 夹 ”的 保 存 位 置设到 D 盘 ,如 图 11-27所示 。

3、禁用或限制使用 Java 、 Java Applet、 ActiveX 控件

由 于 互联 网上(如在 浏览 web 页 和在 聊天室 里) 经 常使用 Java 、 Java Applet、 ActiveX编写的 脚 本 , 它 们可能会 获取 你 的用 户 标 识、 IP 地 址 , 乃 至 口 令, 甚至 会在 你 的机 器 上安装 某 些程序 或进行 其 他 操作。因此对 Java 、 Java Applet 、 ActiveX 控 件的使用 进行 限 制 是非常 必 要的。

在 IE 【 工具 】菜 单 的 【 Internet 选项】窗 口 的“安全” 标 签 中 打开 “自 定 义 级 别 ” ,就可 以对 Java 、 ActiveX 控 件的使用 情况进行 设置,如 图 11-28所示 。

图 11-27“设置”对话框 图 11-28 IE安全设置选项

在这里可以设置 “ ActiveX 控 件和 插 件” 、 “ Java ” 、 “ 脚 本 ” 、 “下 载 ” 、 “用 户验 证 ” 以及 其 他 安全 选项 。对于一些不安全 或 不 太 安全的 控 件 或 插 件以及下 载 操作, 应 该 予 以 禁 止、 限 制 或至 少要 进行 提 示 。

4、取消自动完成设置

缺 省 条 件下,用 户 在 第 一次使用 Web 地 址 、 表 单 、 表 单 的用 户 名 和 密 码 后(如 果 同意 保 存 密 码 ) ,在下一次 再 想 进 入同样的 Web 页 及输入 密 码 时,只 需 输入 开 头 部分,后面的就 会自 动 完 成, 给 用 户 带 来了 便 利 ,但同时也 带 来了安全问题。

可以通过 调 整“自 动 完 成”设置,来解 决该 问题, 具体 设置方法如下 :

步骤 1在 IE6.0中 打开 【 工具 】→【 Internet 选项】弹 出“ Internet 选项 ”对 话框 。 步骤 2单 击“内 容 ” 标 签 下的“自 动 完 成” 按 钮 , 弹 出“自 动 完 成设置”对 话框 ,如 图 11-29所示 。

步骤 3将“ Web 地 址 ”、“ 表 单 ”、“ 表 单 上的用 户 名 和 密 码 ” 复 选框 全部 取 消 ,这 样可以防止 泄 露 自 己 的一些 信息 。同时最好能 够 定期清除 上网 留 下的有关 表 单 等的 历 史 记 录 ,这时只 需单 击“ 清除表 单 ”和“ 清除 密 码 ” 按 钮 即 可。

5、设置信息限制

网络上的 信息 无 奇 不有, 这从另一个 侧 面也 促 使我们使用 IE 6.0来 屏蔽 掉有些与年 龄 和 性 别 都不大 符 合 的 站点 。这些 站点 , 除 了自 身具 有的 精神 垃圾 特 色 外 ,很多 采 用了 先进 的 Html 代码 和 Java 脚 本 ,让 你 上过一次就 脱 不了手, 恶 意 修改 IE 6.0和注 册 表 就是最 简单 的 证明 。

因此,更 需 要在 IE6.0上 做 些 限 制 ,方法同样是 进 入“ Internet 选项 ” ,然后 选择 “内 容 ” 标 签 ,将“分级 审 查 ”设为 启 用, 随 后在“ 暴 力” , “ 裸 体 ” , “ 性 ” , “语 言 ”等 四 个 选项 中 根 据实 际 情况 拖 动 鼠 标 滑竿 进行 相关设置,如 图 11-30所示 。

236 全能培训——局域网组建与维护教程

局域网安全维护

237

图 11-29“自动完成设置”对话框 图 11-30 分级审查选项 11.7 局域网信息的保密

局域网在 保密 防护方面有 三 点 脆弱 性 。 一是数据的可 访 问 性 。 数据 信息 可以很 容易 被 终 端 用 户拷贝 下来而不 留 任何 痕迹 。 二 是 信息 的 聚 生 性 。 当信息 以 零散 形 式存 在时,其 价值 往 往 不大, 一旦网络将大 量 关 联 信息 聚集 在一起时, 其 价值 就相 当 可 观 了。 三 是设防的 困 难性 。 尽 管 可以 层层 设防 . 但对一个 熟 悉 网络 技术 的人来 说 ,下些 功 夫 就可能 突 破 这些关 卡 , 给 保 密 工 作 带 来 极 大的 困 难 。

一 般 来 说 ,计算机局域网的 保密 防 范 应 从以下 4个方面入手。

1、充分利用网络操作系统

充 分 利 用网络操作系统 提供 的 保密 措施, 某 些用 户 对网络的 认 识不 足 , 基 本 不用 或 很少 使用网络操作系统 提供 的 保密 措施,从而 留 下隐患。其实,一 般 的网络操作系统都有相 应 的 保密 措施

2、采用现代密码技术

采 用现 代 密 码技术 , 加 大 保密 强 度, 借 助 现 代 密 码技术 对数据 进行加 密 ,将重要 秘密 信 息由明文变 为 密 文 。

3、采用防火墙技术

采 用防火墙 技术 , 防止局域网与 外 部网 联 通后 秘密 信息 的 外 泄 , 防火墙是 建 立 在局域网 与 外 部网络 之 间 的 电 子 系统,用于实现 访 问 控 制 , 即阻 止 外 部入侵 者进 入局域网内部,而 允 许 局域网内部用 户访 问 外 部网络。

本章小结

本 章 主 要介绍了网络安全的基 本 知识, 内 容包括 对各种黑客攻击手 段 的防 范 , 局域网安 全基 本途径 ,数据 加 密 以及 简单 介绍了一些系统的 漏洞 。只有了解了“攻”的 原 理 才 能 够 很 好地“防” , 读 者 通过这一章的内 容应 该 对局域网的安全知识有了一个 初步 认 识。

也 许 有人会 说 ,黑客是很 遥远 的事 情或者说 只要局域网不 联 入因特网就可以高 枕 无 忧 了,这样的 想 法 完 全 错 了,事实上,在因特网上可以 进行 的攻击更 容易 在局域网上 进行 ,因 为局域网有更高的 带 宽 和更 加 简单 的 结 构 , 如 果 大意的 话 , 来自内部网的攻击 比外 部网的攻 击更 加 可 怕 ,会 造 成更 加 严重的后 果 。

课后习题

1) 什么 叫做 “计算机病毒” ?

2) 计算机病毒的分 类 有 哪 些 ?

3) 列举 常见的几种病毒。

4) 我们 应 该采取 的防毒措施有 哪 些 ?

5) 什么 叫做 黑客 ?

6) 黑客攻击的常用手 段 有 哪 些 ?

7) 防火墙有 哪 些 主 要 功 能 ?

8) 简 要了解 微 软 各 版 本 操作系统的 漏洞 。

9) 计算机局域网的 保密 防 范 应 注意 哪 几个个方面 ?

10)数据 加 密 算法一 般 有 哪 几 类 ?

11)局域网实 体 的 泄 密 渠 道有 哪 些 ?

238 全能培训——局域网组建与维护教程

局域网组建与维护

\

《局域网组建与维护》复习题 《局域网组建与维护》复习题 《局域网组建与维护》复习题 《局域网组建与维护》复习题

期末试卷结构如下:

选择题 20 道, 20 分;填空题 20 空 20 分;简答题 4 道 20 分;分析题 1 道 20 分。 认真复习每章课后习题,特别是选择题、填空题。

1 、分别写出直连线缆两端的线序?

答:568A 标准:

绿白 — 1,绿 — 2,橙白 — 3,蓝 — 4,蓝白 — 5,橙 — 6,棕白 — 7,棕 — 8

568B 标准:

橙白 — 1,橙 — 2,绿白 — 3,蓝 — 4,蓝白 — 5,绿 — 6,棕白 — 7,棕 — 8

2 、 传输介质分为几大类?

答:。常用的传输介质分为有线传输介质和无线传输介质两大类。

3 、 常见的有线传输介质有哪些?

答:有线传输介质主要有双绞线、同轴电缆和光纤。在其中传输的是光波或电磁波信号。 4 、 在局域网中使用光纤有什么优势?什么情况下需要使用?

答:最主要的是传输距离长,可以达到几千米没有什么衰减。如果用普通超五类网线只能 最多 100米。 通常局域网中的光纤都是应用在桥接上,也就是把几个距离远的小网连成一 体。如果距离不远还要用光纤成本会很高,不划算了。

5 、 什么是交换机的 MAC 地址?如何查看一个网卡的 MAC 地址?

答:MAC (Media Access Control, 介质访问控制) 地址是识别 LAN (局域网) 节点的标识。 网卡的物理地址通常是由网卡生产厂家烧入网卡的 EPROM (一种闪存芯片,通常可以通 过程序擦写) ,它存储的是传输数据时真正赖以标识发出数据的电脑和接收数据的主机的地 址。

点击 开始 --运行,输入 cmd ,确定,然 后打开一个命令行对话框,在里面输入 ipconfig /all

6 、 光纤有哪些种类?什么叫多模光纤,什么叫单模光纤?它们之间有何区别?

答:按照光纤传输点模数分为单模光纤和多模光纤。 单模光纤的纤芯直径很小,在给定的 工作波长上只能以单一模式传输,传输频带宽、容量大,一般用于长距离传输。 多模光纤 在给定的工作波长上, 能以多个模式同时传输。 光纤波长有 850nm 的短波长 (指定为 SX ) 、 1550nm 的长波长(指定为 LX )之分。 850nm 波长区为多模光纤通信, 1550nm 波长区为 单模光纤通信, 1300nm 波长区有单模和多模两种光纤通信方式 区别:多模光纤 和单模光纤的区别,主要在于光的传输方式不同,当然带宽容量也不一样。多模光纤直径 较大,不同波长和相位的光束沿光纤壁不停地反射着向前传输,造成色散,限制了两个中 继器之间的传输距离和带宽, 多模光纤的带宽约为 2.5Gbps 。单模光纤的直径较细, 光在其 中直线传播,很少反射,所以色散减小、带宽增加,传输距离也得到加长。但是与之配套 的光端设备价格较高,单模光纤的带宽超过 10Gbps 。

7 、 利用交换机、双绞线组网时应遵循哪些规则?

答:使用非屏蔽双绞线 (UTP-Unshielded Twisted pair) 作为布线的传输介质来组网。 UTP 网线由一定长度的双绞线和 RJ45水晶头组成。 双绞线由 8根不同颜色的线分成 4对绞合 在一起,成对扭绞的作用是尽可能减少电磁辐射与外部电磁干扰的影响。 做好的网线要将 RJ45水晶头接入网卡或 HUB 等网络设备的 RJ45插座内。 相应地 RJ45插头座也区分为三 类或五类电气特性。 RJ45水晶头由金属片和塑料构成, 制作网线所需要的 RJ 一 45水晶接 头前端有 8个凹僧,简称“ SE ” 特别需要注意的是 RJ45水晶头。

8 、无线局域网与有线局域网相比,有哪些优点?

答:1、无线局域网免布线节省空间成本,有线局域网必须先行布线成本较好, 如没有先行布线或者洞口不够还需重新布线。

2、移动性强一直就是无线局域网的优势所在,这是有线网络无法媲美的。 3 、 可扩展性。

9 、光缆具有怎样的物理结构、传输特性和抗干扰性?

答:光缆具有圆柱形的形状 由三个同心部分组成 纤芯、包层和扩套。纤芯是最内层部 分 它由一根或多根非常细的由玻璃或塑料制成的绞合线或纤维组成。每一根纤维都由各 自的包层包着 包层是一玻璃或塑料的涂层。最外层是护套 它包着一根或一束已加层的 纤维 由分层的塑料及其附属材料制成。光纤利用全内反射来传输经信号编码的光束 其 传输频率范围覆盖了可见的光谱和部分红外光谱。光纤有很强的抗干扰性 它不受电磁干 扰和噪声的影响。这种特性允许在长距离内进行高速数据传输 并能提供优良的安全保密 性。

10 、路由器与网桥在性能上有哪些差异?

答:网桥在把数据从源端向目的端转换时 仅仅依靠链路层的帧头中的信息 (MAC地址 ) 作 为转发的依据。而路由器除了分析链路层的信息之外 主要以网络层包头中的信息 (网络地 址 ) 作为转发的依据。所以可以进一步减少其对特定网络技术的依赖性 扩大了路由器的适 应范围。再则路由器具有的广播、抑制和网络隔离的功能 是网桥所不具备的。但网桥转 发数据的速率比路由器要高得多。

11 、如何设置 “ 文件夹共享 ” ?

答:右击 ----你要共享的那个文件夹 ---属性 ---共享 ---网络共享与安全 ----运行网络安装向导— —最后勾选 在网络上共享这个文件夹,允许更改我的文件(不想让人修改就不勾选。)。 应用 ----确定就设置完了。然后去其他电脑上找下这个共享。能找到就设置成功了。 12 、简述星型拓扑结构。

答:在星型拓扑结构中 每个站点由点到点联接到公共中心 任意两个站之间的通信通过 公共中心。中心节点可以是一个中继器 也可以是一个局域网交换器。发送数据的站以帧 的形式进入中心节点 以帧中所包含的目的地址到达目的地点 实现站间链路的单通信。 目前局域网中的系统均采用星型拓扑结构 几乎取代了环型和总线型结构。

13 、简述 DHCP 客户端申请租约的 4 个阶段。

答:

14 、划分 VLAN 的常用方法有哪几种?并说明各种方法的特点。

答:常用的 VLAN 划分方法有 1) 按交换端口号划分。按交换端口号将交换设备端口 进行分组来划分 VLAN 例如一个交换设备上的端口 1、 2、 5、 7所联接的客户工作站可以 构成 VLAN A 而端口 3、 4、 6、 8则构成 VLAN B等。 2 按 MAC 地址划分。即由 网管人员指定属于同一个 VLAN 中的各客户站的 MAC 地址。 3 按第三层协议划 分。 基于第三层协议的 VLAN 实现在决定 VLAN 成员身份时主要考虑协议类型 支持多协 议的情况下 或网络层地址 如 TCP/IP网络的子网地址 。此种类型的 VLAN 划分需要 将子网地址映射到 VLAN 交换设备根据子网地址将各机器的 MAC 地址同一个 VLAN 联 系起来。交换设备将决定不同网络端口上联接的机器属于同一个 VLAN 。 17、千兆位以太 网技术的优势是什么 1 使系统主干的带宽及客户站访问服务器的速度大提高。 2 它是 10BMb/s和 100Mb/s平滑过渡的技术 用户的培训和维护方面投资得到有效的保

护 系统升级的投资到最低限度 即最少的再投资 能获得高性能的回报。 3 不仅 仅使系统增加了带宽 而且还带来了服务质量改善的功能 这一切都是在低开销的条件下 实现的。

15 、什么是协议?

答:为计算机网络中进行数据交换而建立的规则、标准或约定的集合。用来描述 进程之间 信息交 换数据时的规则术 语。 在计算机网 络中, 两个相互 通信的实体处在不 同的地理 位置,其上的两个进程相 互通信,需要通 过交换信息来协 调它们的动作达到 同步,而 信息的 交换必须按照预先 共同约定好的规则 进行。

16 、使用路由器进行网络互联的特点是什么?

答:路由器的特点是路径选择,连接网络, ACL (访问控制列表),流量控制; 缺点是延迟比交换机高

路由器的一个作用是连通不同的网络,另一个作用是选择信息传送的线路。选 择通畅快捷的近路,能大大提高通信速度,减轻网络系统通信负荷,节约网络 系统资源,提高网络系统畅通率,从而让网络系统发挥出更大的效益来。

17 、简述客户 - 服务器模式。

答:在分布式计算机中,一个应用程序被动的等待,而另一个应用程序通过请求启动通信 的模式。客户向服务器发送请求。服务器对客户的请求作出回应。

18 、 全双工以太网组网应用的特点是什么?为什么共享型以太网集成器不需要配置全双 工端口?

答:全双工以太网组网应用的特点是用全双工操作方式联接客户站,可延伸距离至 2km ; 若联接服务器,可以增加带宽;对于交换器之间的联接来说,要求用 100Base-FX 全双工联 接,这样互联的交换器不处在同一座楼宇中,距离较远,在这种情况下,在延伸联接距离 和拓展带宽上均能得益。

19 、 10Mb/s 和 100Mb/s 端口自适应过程是怎样工作的?为什么需要 10Mb/s 和 100Mb/ s 端口自适应?

答:10Mb/s和 100Mb/s自适应的处理过程具有以下两种情况:1. 原有 10Base -T 网卡具备自动协商功能, 即具有 10Mb/s和 100Mb/s自适应功能。则双方通过 FLP 信号进行协商和处理,最后协商的结果在网卡和 100Base -TX 集线器的相应端口上均形成 100Base -TX 的工作模式。

2. 原有 10Base -T 网卡不具备自动协商功能,当网卡与具有 10Mb/s和 100Mb/s自动协商功能的集线器端 口联接后,集线器端口向网卡端口发出 FLP 信号,而网卡端口不能发出 FLP 信号。但由于在以往的 10Ba se -T 系统中, UTP 媒体的链路正常工作时,始终存在正常链路脉冲 (NLP)以检测链路的完整性,所以在 新系统的自动协商过程中,集线器的 10Mb/s和 100Mb/s自适应端口接收到的信号是 NLP 信号,由于 NL P 信号在自动协商协议中也有说明, FLP 向下兼容 NLP , 这样集线器的端口就自动形成了 10Base -T 工作 模式与网卡相匹配。

当一个原有的 10Base -T 系统欲过渡或升级到 100Base -TX 系统时, 并非所有的站都需要升级而置换成 1 00Base -TX 的网卡。在过渡的系统中,一部分站为了得到高带宽而置换成 100Mb/s网卡,而大部分站仍 处在 10Base -T 工作模式上。此时只要更换 10Base -T 集线器,而新的 100Base -TX 集线器的端口必须 具有自动协商功能, 才能达到过渡的目的。 其目的的是与原来 10Base -T 系统共存并使 10Base -T 系统平 滑地过渡到快速以太网的环境中去,在新的快速以太网环境中,不仅继承了原有的以太网技术,并且最大 限度地保护了用户原来的投资,所以需要有 10Mb/s和 100Mb/s自适应功能。

20 、 何谓 Internet 、 Intranet 和 Extranet ? Internet/Intranet 上提供 哪些常用的信息服务?

答:Internet 是一个建立在 TCP/IP协议集上的国际互联网络 它由各个子网以网状结构互 联而成。在每个子网中存在着数量不等的主机 子网及其主机均以 IP 协议统一编址。子网 可以是 LAN 也可以是 W AN 。主机可以是网上的客户机、服务器或者路由器等设备。 Intranet 称为企业内部网 它在企业内部实现 Intranet 结构及其信息服务。 企业与企业 或者企业与其伙伴之间信息联系可以采用 Intranet 实现互联 即众多与企业业务有关的 Intranet 通过 Internet 互联形成的系统称为 Extranet 。 Intranet 的主要服务有以下几类 电子邮件、文件传输、远程录入、电子公告牌、信息浏览、高级超文本浏览、自动标题 搜索、自动搜索以及域名系统等。 Intranet 的主要服务功能包括高级超文本浏览、电子 邮件、数据库访问、安全性以及网络管理等。

21 、某公司现在在 5 个国家有分公司,每个子公司有 1000 台 PC ,现在通过 ISP 申请 到 1 个网段为 130.8.0.0 你认为可以可为为几个子网?子网掩码及 IP 地址范围是多少? 22 、 一个单位有一个 C 类网络 200.1.1.0 。考虑到共有四个部门,准备划分子网。这四 个部门内的主机数目分别是:A-72 台, B-35 台, C-20 台, D-18 台;即共有 145 台 主机。

① 给出一种可能的子网掩码安排来完成划分任务;

答:A 255.255.255.128

B 255.255.255.192

C 255.255.255.224

D 255.255.255.192

② 如果部门 D 的主机数目增长到 34 台,那么该单位又该怎么做?

答:每部门的机器数的二进制表示为。

部门 十进 二进

A :7201001000

B :3500100011

C :2000010100

D :1800010010

D :加 3400100100

23 、 给一个 IP :59.67.148.64/26 。 划分 3 个子网 , 第一个子网 13 台主机 , 第 二个 12 台 ,

第三个 30 台主机。写出子网掩码,各子网网络地址,可用 IP 地址段 。

答 :题 中 所 给 的 IP 地 址 59.67.148.64/26。 IP 地 址 范 围 为 59.67.148.64~59.67.148.127

第一个子网可容纳 13台主机 block size最小为 16 可容纳 14台主机

即子网掩码为 255.255.255.240

子网网络地址为 59.67.148.64

可用 IP 地址段为 59.67.148.65~59.67.148.78(64为网络号, 79为广播地址。 ) 第二个子网可容纳 12台主机 block size最小为 16 可容纳 14台主机

即子网掩码为 255.255.255.240

子网网络地址为 59.67.148.80

可用 IP 地址段为 59.67.148.61~59.67.148.94(80为网络号, 95为广播地址。 ) 第三个子网可容纳 30台主机 block size最小为 32 可容纳 30台主机

即子网掩码为 255.255.255.224

子网网络地址为 59.67.148.96

可用 IP 地址段为 59.67.148.97~59.67.148.126(96为网络号, 127为广播地址。 )

24 、 192.168.1.32/28 在这个网络中最高 2 位 IP 给 Linux 主机, 最低 1 位 给默认网关。

那么还有几个 IP 可用?

25 、给定一个 C 类 IP 地址 : 192.168.5.0 ,要求划分 20 个子网,每个子网 5 台主机 。 请

问应该怎么划分子网?子网掩码是多少?并写出第二个子网的网络地址及第二个子网的广 播地址 。 (所有问题均要写出相关分析过程,如文字表述或图,只写出最后答案不给分)

26 、计算出 IP 地址:201.222.20.60 子网掩码:255.255.255.248 的网络 ID 及广播? 答:网络 ID 201.222.20.56

广播 201.222.20.63

27 、 200.200.200.0 划分 6 个子网,写出前 4 个子网的网络、广播、范围。

28 、当前子网 190.5.32.0 子网掩码 255.255.248.0 ,写出其网络的范围。

答:网络范围是 190.5.32.1到 190.5.39.254

注意:21 ~28 题不能只写出答案,要写出分析步骤。

局域网组建与维护

《局域网组建与维护网技术》实训报告

实 验 报 告

姓 名

学 号 专 业

指导教师 实训时间

局域网组建与维护 5月7日

电子计算机系

实验题目：

局域网组网组建与维护

实验目的：

1、了解安装Ｗindows Server 2003所需的软硬件环境，掌握Windows Server 2003系统的安装与服务器的配置。

2、掌握布线工程中常用工具的使用方法，掌握直通线、交叉线的制作方法。

3、掌握组建对等网络，实现文件和打印共享。

4、掌握Web 、FTP 、DNS 、DHCP 等服务器的配置方法。

5、了解交换机、路由器等网络设备的常用配置。

实验要求：

学会双绞网的制作、协议的安装（TCP/IP协议、IPX/SPX协议和Net/BIOS协议）、学会IIS 组件的安装；学会WEB 、FTP 、DNS 的配置； TCP/IP的设置，最终实现对等网的组建，利用所组建的网络实现文件上传下载和打印机的共享。能够熟练的操作Windows Server 2003操作系统，掌握DHCP 、DNS 、WEB 、FTP 、POP3的安装以相应的配置。并能将理论与实践相结合，把他们之间相互结合起来组成一个完整的局域网服务器。

实验仪器：

带网卡的计算机、双绞线、水晶头、压线钳、剥线钳、测线仪

实验内容及步骤 ：

一、组建对等网络实现文件的共享

（一）网线的制作与测通

T568A 标准连线顺序从左到右依次为:

1-白绿、2-绿、3-白橙、4-蓝、5-白蓝、6-橙、7-白棕、8-棕。 T568B 标准连线顺序从左到右依次为:

1-白橙、2-橙、3-白绿、4-蓝、5-白蓝、6-绿、7-白棕、8-棕。

1、直通线制作方法：

2个同样的EIA/TIA568A或者2个同样的EIA/TIA568B。

2、交叉线制作方法：

一个EIA/TIA568A和一个EIA/TIA568B

3、网线的测通方法：

通过测试器观察，符合指示灯配对。

（二）对等网络的搭建过程

1、网络协议、服务的安装与配置

NetBEUI与IPX/SPX协议安装之后无需设置即可使用。

TCP/IP协议安装之后一般要进行配置，具体

方法如下：右击“网络邻居”——属性——右击本地连接——属性——Tcp/Ip——属性——在“Tcp/Ip”属性对话框中进行各项设置。

2、网络连接与网络连通性检测

（1）网络连接

通过上述步骤设置完成后，返回“桌面”，双击“网上邻居”?“整个网络”?“Microsoft Windows Network ”?“WORKGROUP ”，观察并记录显示结果。

（2）网络连通性检测

Ping IP ipconfig 查看本机网络适配器的IP 地址、子网掩码及默认网关 通过系统提供的Ping 命令来检测网络的配置是否正确

方法：开始——运行——输入下面命令

1）Ping IP（如果不通，表示TCP/IP的安装或运行存在某些最基本的问题。）

2）Ping 本机Ip （如果不通，则表示本地配置或安装存在问题。 ）

3）Ping 局域网内其他IP （如果不通，表示网卡配置错误或电缆系统有问题。） Ipconfig 查看本机网络配置情况

通表示：不通如何排除故障：Ping 本机ip 通表示：不通如何排除故障：Ping 局域网中pip

通表示：

不通如何排除故障：

（三）共享文件夹的创建与访问

1、创建步骤

通过上述步骤设置完成后，返回“桌面”，双击“网上邻居”?“整个网络”?“Microsoft Windows Network ”?“WORKGROUP ”，观察并记录显示结果。选定要共享的文件夹——鼠标右击——属性/共享和安全——共享选项卡—权限（默认的用户是Everyone ，即所有合法用户都可以访问，默认权限是读取，用户可以根据共享级别自己定义访问用户及操作限制） 右键“网上邻居”——“属性”——右击“本地连接”——“属性”——选中 “Microsoft 网络的文件和”选项，

2、访问方法

开始—运行—输入\\资源计算机的IP 地址\文件名，如 \\172.16.14.39\CC（假设主机IP 地址为192.168.0.1的计算机中“CC ”文件夹设为共享）

二、服务器的相关服务配置

（一）Web 服务器的配置

1、IIS 组件的安装步骤：

Windows Server 2003 中Internet 信息服务（IIS ）默认情况下，Windows Server 2003没有安装IIS ，要通过控制面板来安装。具体做法为：

（1）进入“控制面板”。

（2）双击“添加或删除程序”。

（3）单击“添加/删除 Windows 组件”。

（4）在“组件”列表框中，双击“应用程序服务器”。

（5）双击“Internet 信息服务（IIS ）”。

（6）从中选择“万维网服务”及“文件传输协议（FTP ）服务”。

（7）双击“万维网服务”，从中选择“Active Server Pages” 及“万维网服务”等。

2、Web 虚拟站点的配置步骤：

安装好IIS 后，接着设置Web 服务器，具体做法为：

1) 在“开始”菜单中选择“管理工具→Internet信息服务(IIS)管理器”。

2) 在“Internet信息服务(IIS)管理器”中双击“本地计算机”。

3) 右击“网站”，在弹出菜单中选择“新建→网站”，打开“网站创建向导”。

4) 依次填写“网站描述（hal.net 的网站）”、“IP地址（192.168.1.30）”、“端口号（80）”、“路径（d:\hal）”和“网站访问权限(读取、目录浏览、记录访问、索引资源)”等。最后，为了便于访问还应设置默认文档(Index.asp、Index.htm) 。

5) 创建虚拟目录(d:\hal)，别名为hal, 虚拟目录访问权限为（读取、运行脚本）。

6) 在本地计算机上输入http://本机IP ，测试成功后会在浏览器显示想要的网页。

7) 在客户机输入http://本机IP ，测试成功就可以了。

注意：（1）开启Active Server Pages（ASP ）功能。（2）如果Web 服务主目录所在分区是NTFS 格式，而ASP 网页有写入操作时（如用到新闻后台管理功能的），要注意设置数据库的写入及修改权限。

（二）Ftp 服务器的配置步骤

1）Windows Server 2003中利用IIS 服务构建FTP 服务器，步骤如下

进入控制面板——管理工具——Internet 信息服务(IIS)管理器——点开“FTP 站点”——右击“默认FTP 站点”——新建——虚拟目录（进入虚拟目录向导）——下一步——输入别名——输入路径——设置访问权限——完成

（2）利用serv_u创建FTP 服务器

①从网上下载serv_u软件；

②安装serv_u软件；

③配置配置服务器；

④上传下载文件。

（三）DNS 配置步骤

1) 安装DNS 服务开始→设置→控制面板→添加/删除程序→添加/删除Windows 组件→“网络服务”→选择“域名服务系统（DNS ）”→按确定进行安装。

2) 创建DNS 正相解析区域开始→程序→管理工具→选择DNS ，打开DNS 控制台→右击“正相搜索区域”→选择“新建区域”→选择“标准主要区域”-→输入域名“hal .net”→输入要保存的区域的文件名“hal .net.dns”→按完成，完成创建。

3) 创建主机记录等：右击“hal .net”→“新建主机”→在名称处输入“www”，在“IP地址”处输入“192.168.1.30”，→按“添加主机”完成。

4) 创建DNS 反向解析区域开始→程序→管理工具→选择DNS ，打开DNS 控制台→右击“反向搜索区域”→选择“新建区域”→选择“标准主要区域”→输入用来标示区域的“网络ID”→输入要保存的区域的文件名“1.168.192.in-addr.arpa.dns”→按完成，完成创建

5) 创建指针PTR ：右击“192.168.1.x.subnet”→选择“新建指针”→在“主机IP 号”中输入30→在“主机名”中选“浏览”找到www.hal.cn 主机—按 “确定”完成添加。

6) 配置DNS 客户端在客户端计算机上打开tcp/ip属性对话框，在dns 服务器地址栏输入dns 服务器的ip 地址 “192.168.1.30”。

7) 测试，在配置DNS 服务器的对话框中，单击服务器名从快捷菜单执行启动NSLOOKUP

输入ip 地址后要是显示域名就可以啦。通过客户机访问在IE 浏览器中输入域名显示得到的网页即可。

（四）配置DHCP ：

1) 通过“管理您的服务器”选择“DHCP 服务器”来安装DHCP 服务组件。

2) 根据向导提示来新建作用域，名称为“hal .net”ip地址范围为“192.168.1.1”—“192.168.1.50”起始ip 为“192.168.1.2”，路由ip 地址为 “192.168.1.1”，父域为“hal .net”，ip 为本机ip 地址“192.168.1.30”，然后激活该作用域即可。

3) 将客户机的ip 设为动态获取ip 。

4) 在客户机中点击“开始”—“运行”，输入cmd, 再在对话框中输入ipconfig/release释放ip ，再输入 ipconfig/renew重新获取ip 。

（四）中小型企业网络拓扑图：

三、实训课题完成过程中出现的问题和解决方法

（1）、DNS 在客服端不能用域名访问服务器。客服端的DNS 没有设置成DNS 的服务器的IP 地址。

（2）、用浏览器访问FTP 站点不能实现上传更新。一定要记得设置写入权限。还有就是要在权限的那几个账户那里打勾。如果从浏览器打开的FTP 站点的方式不能上传下载文件，就从资源管理器当中访问。

四、实验结论

配置服务器上的各种协议，实验有一定难度，需要自己摸索，在实验过程中，也遇到了不少困难，发现了不少需要注意的问题。

1. 在配置ip 时，将dns 的地址配置成了自己的ip 地址，导致访问服务器的网站时，无法显示网页。

2. 在dhcp 配置时，没有设置默认网关，使得客户机不能得到正确分配的ip 地址。

3. 在配置web 时，如果仅仅将网页的路径更改，会出现端口已经被用的提示，不能实现打开两个网站的要求。

4. 在使用ftp 时，如果在ftp 上下载文件。在windows2003系统里，会拒绝下载。可以通过将安全级别改低，或将该ftp 网址设为信任网站解决。

5. 使用ftp 过程中，还应该注意，使用虚拟目录的别名应该与目录的文件夹名称相同，否则登陆ftp 后，可能找到的不是原先建立的文件夹。

6. 在使用outlook 过程中，由于outlook 默认输入的邮箱用户名没有帮用户加上@cm.com，因此，如果在登陆时，没有加上@cm.com，就会出现无法登陆的情况。自己在实际操作过程中，就在这里浪费了很长时间。

通过不断地实践总结，自己对DNS,DHCP,POP3,SMTP,NNTP,

HTTP,FTP 等服务器的配置，对于局域网的工作原理有了更进一步的认识。同时，意识到我们在今后的学习中，要自己动手，改变传统的只从老师那里得到知识的思维，要善于利用身边的工具，在实践中不断进步。

实验心得：这次实训是基本上是按照平时老师所讲和书本上的知识来按部就班配置的，对一些服务器配置间所涉及到知识点，没有进行深入的了解，以至于在答辩的时候老师提的有些题目，支支吾吾的答不出来，也是这次实训，让我在专业技能知识以及动手能力上有了很大的提高，同时在实训过程中所出现的一些问题，也让我深深明白了自己平时所学不够认真不够努力，才在实训的时候手忙脚乱，不是这出问题，就是那里出问题，而且不知道是为什么会导致这样的问题，以及出现这样的问题应该如何解决，这次实训让自己收获了很多，也让自己警醒自己的不足.

这次实训的几个项目相互之间都会有配合，相互之间配合起来就是一个完整的局域网服务器了，虽然配置服务器的中间出现过很多的问题，但通过一周的实训，通过配置这些服务器，也明白了他们之间相互的作用，更对其中所提到的知识点融会贯通，也让我对这些服务器了解的更加的透彻。

局域网组建与维护

内蒙古电子信息职业技术学院

学期授课计划

2015-2016学年第一学期

系：课程：

计算机科学系专业：计算机系统维护

周学时：

班级：计维141学分：.

上课周数：本学期课时分配表：

教学形式课时

讲课

实验

课堂讨论或习题课

课程设计课程作业

现场教学及参观

考核

机动

合计

3030464

备注：1、本课程以前学期完成学时数：

2、本课程在以后学期尚留学时数：3、本课程本学期列为考试（考查）课程：4、本课程使用教材名称：

0任课教师：教研室主任：系、部主任：教务处：

编写日期：2015年

审核日期：审核日期：审核日期：

8月年年年

25日月月月

日日日

学期授课计划

授课顺序

周别

授课章节的内容摘要

需要时数

课件及教具

课外作业

备注

1

12

项目一：虚拟机软件VMware

任务一安装VMwareWorkstation任务二配置VMwareWorkstation任务三VMwareWorkstation安装XP上机实验练习

项目二IP地址规划与子网技术任务一IP分类与编址

任务二规划IP与划分子网上机实验练习

项目三制作非屏蔽双绞线与设备之间连接

任务一制作T568A与T568B线缆任务二常见网络设备互联任务三双机互连网络实验实操、上机实验练习项目四任务一任务二任务三

构建WindowsXP对等网组建WindowsXP对等网共享文件和打印机共享Internet上网

2

课件VM软件

预习课本为上机做准备

2

机房环境课件软件机房环境网线、网线钳网线、网线钳、机房

填写实验报告

34

22

2

预习课本为上机做准备填写实验报告

5

36

2

预习课本为上机做准备

2

填写实验报告

7

2课件

4

预习课本为上机做准备

8实操、上机实验练习

项目五WindowsServer2003网络服务

任务一组建WindowsXP对等网任务二配置FTP实操、上机实验练习

2

机房环境课件及软件机房环境

填写实验报告

9

5

10

2

预习课本为上机做准备填写实验报

告

2

授课顺序

周别

授课章节的内容摘要

需要时数

课件及教具课件及演示机房环境课件及软件机房环境课件及软件演示机房环境2

课件及软件机房环境2222

课件及软件机房环境课件及软件机房环境

课外作业

备注

11

6

12

项目五WindowsServer2003网络服务

任务三配置DNS任务四配置DHCP实操、上机实验练习

项目六：交换机的初始配置与管理任务一建立交换机的初始配置任务二Telnet方式管理交换机任务三Web方式管理交换机

任务四解决enable密码丢失的方法实操、上机实验练习项目七任务一任务二任务三

交换机的高级配置与管理划分VLAN

不同交换机同VLAN间通信VLAN间路由

2

预习课本为上机做准备填写实验报

告

2

13

2

7

预习课本为上机做准备

142

填写实验报告

15

2

8

预习课本为上机做准备

16171819202122

实操、上机实验练习任务四任务五任务六

静态路由与默认路由链路聚合端口镜像

填写实验报告预习课本为上机做准备填写实验报告预习课本为上机做准备填写实验报告预习课本为上机做准备填写实验报告

9

实操、上机实验练习任务七任务八任务九

绑定端口和MAC地址绑定交换机MAC与IP配置访问控制列表ACL

10

实操、上机实验练习项目八任务一任务二

路由器的初始配置与管理路由器的基本配置Telnet方式管理路由器

11

实操、上机实验练习

授课顺序

周别

任务三任务四

授课章节的内容摘要

需要时数222222

课件及教具课件及软件机房环境机房环境机房环境机房环境机房环境

课外作业

备注

232425

12

还原配置文件和系统升级解决enable密码丢失的方案预习课本为上机做准备填写实验报告预习课本为上机做准备填写实验报告预习课本为上机做准备填写实验报告

实操、上机实验练习项目九任务一任务二

路由器的高级配置与管理配置静态路由及默认路由配置RIP

132627

142829

153031

16

实操、上机实验练习任务三任务四

NAT地址转换单臂路由

实操、上机实验练习任务五任务六

路由器综合实训

交换机-路由器综合实训

实操、上机实验练习

机

动

一

周

转载请注明出处范文大全网 » 局域网组建与维护教程