做个好网管网络管理实用手册

一网络服务器架构概述
针对校园服务器而言，经过一个学期长时间的运行，服务器中的各种系统已经紊乱，这时恐怕就得重新安装操作系统或应用软件了。

以下我们将讲解软件维护过程中所需注意的一些问题。

安装前的准备
在进行操作系统维护之前需要将必要的数据备份出来。

备份的方法可以使用额外的硬盘，也可以将数据用刻录机备份出来。

另外，在重新安装系统之前，需要检查硬件是否工作正常，从网上下载最新的硬件驱动程序安装盘(光盘或软盘)，否则系统很可能将无法安装成功。

尤其是某些RAID卡的驱动程序，一定是要有软盘介质的支持，因为在安装操作系统时会要求你插入驱动盘。

操作系统的安装
在确认万事俱备之后，就可以重新安装操作系统了。

首先需要将硬盘格式化，用操作系统的启动盘启动系统之后，运行格式化命令就可以了。

如果有必要，可以重新把硬盘分区，但是千万不要进行低级格式化硬盘，除非确认硬盘有坏道。

在格式化硬盘之后，就把操作系统安装上，安装操作系统的具体操作过程这里就不再讲了。

安装完操作系统之后，再把显卡、网卡、SCSI卡、主板等设备的驱动程序安装上，使操作系统正常运行就可以了。

另外，需要提醒一下，在安装完操作系统之后，记住一定要下载并安装最新的操作系统的补丁，这样就能够保证服务器的安全漏洞是最少的。

网络服务的设置和启动
仅仅安装完操作系统是不行的，此时的服务器还没有提供各种网络服务，因此需要对服务器进行一系列的设置。

下面介绍几种特别重要的网络服务。

1、D N S服务
DNS(域名解析系统)是基于TCP/IP的网络中最重要的网络服务之一，最主要的作用是提供主机名到IP地址的解析服务。

在Windows 2000 Server组成的网络中，DNS服务居于核心地位，如果没有DNS，Windows 2000网络将无法工作。

所以在Windows 2000网络中，至少要有一台D N S服务器
2、域控制器
在Windows NT/2000中有“域”的概念。

带有“域”的网络能够实现“单一账号单录，普遍资源访问”，也就是说只要在域控制器上有一个合法账号，就可以访问域中其他的服务器的资源。

如果没有域控制器，只能构成一个对等网。

对等网在权限控制、资源管理上是很麻烦的。

因此首先要在网络中安装域控制器；如果网络中已经有了域控制器，可以不必再安装域控制器，但可以将这台服务器设置成备份域控制器，当一台域控制器出故障的时候，另外一台域控制器可以接替它的工作。

3、D H C P服务
DHCP(动态主机配置协议)是服务器向其他客户机提供IP地址以及其他网络服务的IP 地址(如DNS、默认网关的IP地址等)的网络服务。

数量在几十台以上的计算机网络中，使用DHCP会带来很大的方便，客户机的IP地址、DNS的IP地址、默认网关的IP地址等
都可以实现自动分配，这会大大降低网络的管理难度。

除非只有几台计算机，否则都应该采用D H C P。

4、W e b服务
Web服务是服务器提供的基本功能，尤其是在校园网中，怎么可能没有校园主页呢？在将校园网主页的数据复制到服务器中之后，需要重新设置一下Web服务，使校园网主页能够正常运转。

应用系统的安装
基本网络服务安装、设置完成之后，需要安装各种服务器应用系统。

下面介绍几种必需的应用系统。

1、E-m a i l服务
E-mail是网络中使用频率最高的网络服务之一，因此E-mail服务器不可缺。

邮件服务器软件有许多，在Windows NT/2000中，用的最多的当然是Exchange Server了；在Linux 中，最常用的邮件服务器软件是Sendmail。

由于篇幅所限，具体的安装和设置就不讲了。

2、数据库服务
数据库服务也是服务器中经常提供的服务，许多应用系统都在数据库服务器的基础上进行。

在Windows NT/2000网络中，最常用的数据库服务系统是MS SQL Server；在Linux中，最常用的数据库服务系统是M y S Q L。

也可以使用O ra c le等大型数据库系统。

3、代理服务
目前，许多学校使用代理服务器联入互联网，这样可以节省大量的互联网接入费用。

常见的代理服务器软件有SyGate、WinGate、MS Proxy等。

有的软件不仅需要在服务器端安装，也需要在客户端安装，因此在安装的时候，要保证客户端与服务器端的一致。

4、其他应用系统
安装了以上这些服务是远远不够的，因为校园服务器上还要运行其他应用系统，比如教育教学资源库、校园管理系统、电子图书馆、电子备课系统等。

这些软件的安装各有不同，按照说明书一步一步进行就可以了。

OK，经过以上一系列的步骤，现在焕然一新的服务器又重新出现在您的面前了。

相信整装待发的服务器将在下一学期的工作中会有更好的表现。

专家提示
1、安装前的准备
在重新安装操作系统之前，首先要确定是否需要重新安装。

如果需要，那么要确定操作系统的版本，数据库、Web服务、邮件服务等应用程序的版本，要确定是否用当前的版本，还是升级。

之后，准备操作系统、补丁程序、应用程序，准备驱动程序，最好使用厂家提供的驱动。

备份数据的方法有许多种，在校园网中很实用的办法是网络备份，或者用磁带机备份。

备份时，要区分文件系统、数据库，文件系统备份很简单，Copy即可，数据库备份不能简
单地Copy，要用数据库下的备份工具来备份，或者用专用的备份软件来备份，例如Veritas、I B M、C A、N E T A P P等公司的备份管理软件。

2、操作系统的安装
如果硬盘以前是安装UNIX，硬盘的分区不是FAT分区，而是VFS、E2FS、E3FS等分区；或者硬盘做过RAID，硬盘的前16K字节会保存RAID的设置信息，这时候为了保证系统安装不会受到干扰，要求清除这些信息。

可以用一个小工具来彻底清除系统分区信息，它就是Clear程序，这个小程序能够彻底清除硬盘的分区信息。

如果找不到Clear程序，也可用F d i s k/m b r来清除主引导记录。

在系统安装驱动程序时，最好使用厂家提供的驱动，不要用系统自检的驱动，很多情况下，系统自检的驱动会有各种问题。

例如，有时候用NT自检的SCSI卡的驱动会导致系统找不到硬盘；NT自检的网卡会导致系统蓝屏；Linux自检的RAID卡驱动会在安装时死机；S C O O p e n s e r v e r自检的网卡会在大数据传输量的情况下导致网卡断掉等。

3、网络服务的设置和启动
为了优化系统的性能，使系统的CPU、内存资源得到合理的应用，要确定系统运行时需要哪些服务，将系统需要的服务启动，不需要的服务关闭。

例如，如果你的服务器只是一个Web服务器，那就没有必要让DNS、DHCP、ICF、IPSEC服务启动，如果你不想远程管理服务器，也可以关闭T e l N e t服务，这样，系统的性能就会得到优化。

二网络管理服务器篇之IIS
在使用Windows NT 时，IIS就已经成为流行的Web服务器平台。

是作为OptionPack4的一部分发行的，需要进行额外的安装才能运行。

然而，在Windows2000中，应经完全成为操作系统的一个有机组成部分，如果在安装Windo ws2000时没有选择安装IIS，也可以单独添加。

与相比，提供了方便的安装和管理，增强的应用环境，基于标准的发布协议，在性能和扩展性方面有了很大的改进，为客户提供更佳的稳定性和可靠性。

一、安装IIS
步骤1：单击"开始"，指向"设置"，单击"控制面板"，然后启动"添加/删除程序"应用程序。

步骤2：选择"配置Windows"，单击"组件"按钮，在【Windows组件向导】对话框中，选择【Internet信息服务】组件，单击【详细信息】进行进一步设置，例如FTP服务、SMTP服务、WWW服务通常可以选装。

单击【下一步】，从Windows2000安装光盘中拷贝所需文件，安装完毕后如下图2、3、4、5、6所示
二、创建Web站点
在IIS中创建Web站点是非常容易的，IIS已经为我们准备了详细的Web站点创建向导，遵循向导的步骤，可以在短时间内完成站点创建。

Web站点的创建可以使用默认的站点（即在添加IIS组件时选中WorldWideWeb服务器），系统就已经架设好一个网站，只要我们在默认的目录（Inetpub\wwwroot）中放置政府网页即可。

如下图7、图8、图9和图10所示：
也可以新建Web站点即使用Web站点创建向导，打开IIS窗口，展开【Internet信息服务】根节点，右击需要创建站点的计算机图标，缺省情况下，IIS仅对本地站点提供管理，在弹出菜单中指向【新建】，单击【Web站点】打开Web站点创建向导，将网页放置在选好的目录下。

如下图12、图12、图13、图14、图15、图16和图17所示：
至此，在IIS的Web站点的创建也就基本完成，可以在服务器端运行ASP程序，至于设定Web站点、Web站点标识和连接、启动日志记录、操作员、性能、自定义错误信息、ISAPI筛选器等设置内容，由于篇幅有限就不多说了。

三、Windows NT/2000的IIS服务器的安全管理与维护
1、Web站点安全性设置
本文讨论的安全设置仅依赖于Windows NT/2000和IIS内部的安全性功能，鉴于Windwos2000强大的安全性能（符合C2安全级别），尤其是强大的用户认证能力和独有的NTFS安全分区，IIS网站的安全性完全可以得到非常有力的保证。

笼统的说，站点安全性工作将围绕如下两个任务进行：合法用户身份的认证和站点文件的安全保障。

前者需要借助于Windows2000的账号系统和认证机制；后者则要由IIS和NTFS分区共同维护。

2、NTFS权限设置
安装操作系统最新的补丁程序，不论是NT还是2000，硬盘分区均为NTFS分区，NTFS 权限是NTFS分区文件格式特有的安全权限。

【Windows域服务器的简要验证】和【集成Windows验证】都是属于加密验证的发式。

其中简要验证方法是中新引入的验证方法，它通过网络发送经过混编的密码值而不是密码本身。

该方法通过代理服务器和其他防火墙工作。

这里的混编密码值通常是利用哈西算法得到的，此方法较基本验证安全得多，但低于集成Windows验证方式（可以通过复杂运算加以破解）。

【集成Windows验证】通过与用户的Internet Explorer Web浏览器进行密码交换以确认用户的身份。

3、IP地址和域名访问控制
IP地址和域名访问控制方式源于对于特定IP地址或域名的不信任，鉴于网站管理员通常会认为来自某些IP地址的用户带有明显的攻击倾向（通过对日志文件的分析可以得到这一结论），或者网站管理员希望仅有来自特定IP地址或域名的用户才能够访问网站。

这些限制能力都倚赖于IP地址和域名访问控制功能。

4、使用权限向导
权限向导是新引入的权限管理工具。

鉴于对站点安全性的配置复杂而无序，较难理出一条简明而准确的主线，引入了权限向导工具，它提供了一个连续、简单、准确的权限配置流程，可以使管理员迅速对站点进行一般性的权限设定。

尤其是对于涉及大量权限继承关系的站点（虚拟）目录配置工作，运用权限向导往往能达到意想不到的效果。

权限向导主要对安全设置和目录权限进行快速指定，并能够以摘要的形式提供安全分析。

5、目录和文件权限
为了控制好服务器上用户的权限，同时也为了预防以后可能的入侵和溢出，我们还必须非常小心地设置目录和文件的访问权限，NT的访问权限分为：读取、写入、读取及执行、修改、列目录、完全控制。

在默认的情况下，大多数的文件夹对所有用户（Everyon e这个组）是完全敞开的（FullControl），你需要根据应用的需要进行权限重设。

6、设置WWW目录访问权
在Internet Service Manager中创建Web发布目录（文件夹）时，可以为定义的主目录或虚拟目录及其中所有的文件夹设置访问权限。

这些权限是有WWW服务提供的那些，是NTFS文件系统提供的权限之外的部分。

这些权限是：
读：读权限允许Web客户读或下载存储在主目录或虚拟目录中的文件。

如果客户为目录中没有读权限的文件发送一个读请求，则Web服务器返回一个错误。

通常，应该给予包含要发布信息（例如HTML文件）的目录读权限。

应该为包含公用网关接口(CGI)应用程序和InternetServer应用程序编程接口(ISAPI)DLL的目录取消读权限，以防止客户下载应用程序文件。

执行：执行权限允许Web客户运行存储在主目录或虚拟目录中的程序和脚本。

如果客户发送请求，运行不具有执行权限的文件夹中的程序或脚本，则服务器返回一个错误。

为了安全，不要给予内容文件夹执行权限。

7、解除NetBios与TCP/IP协议的绑定
NetBois在局域网内是不可缺少的功能，在网站服务器上却成了黑客扫描工具的首选目标。

方法：WINNT：控制面版→网络→绑定→NetBios接口→禁用；WIN2000：控制面版→网络和拨号连接→本地网络→属性→TCP/IP→属性→高级→WINS→禁用TCP/IP上的NETBIOS。

8、删除所有的网络共享资源
NT与2000在默认情况下有不少网络共享资源，在局域网内对网络管理和网络通讯有用，在网站服务器上同样是一个特大的安全隐患。

9、加强日志审核
安全日志：本地安全策略->审核策略中打开相应的审核。

日志任何包括事件查看器中的应用、系统、安全日志，IIS中的WWW、SMTP、FTP
日志、SQLSERVER日志等，从中可以看出某些攻击迹象，因此每天查看日志是保证系统安全的必不可少的环节。

安全日志缺省是不记录，帐号审核可以从域用户管理器→规则→审核中选择指标；NTFS中对文件的审核从资源管理器中选取。

10、只保留TCP/IP协议，删除NETBEUI、IPX/SPX协议
网站需要的通讯协议只有TCP/IP，而NETBEUI是一个只能用于局域网的协议，IPX/SPX 是面临淘汰的协议，放在网站上没有任何用处，反而会被某些黑客工具利用。

11、加强数据备份
这一点非常重要，站点的核心是数据，数据一旦遭到破坏后果不堪设想，数据备份需要仔细计划，制定出一个策略并作了测试以后才实施，而且随着网站的更新，备份计划也需要不断地调整。

三经典强大的服务器软件Apache
一、软件简介
1、Apache是最流行的Web服务器端软件之一。

快速、可靠、可通过简单的API扩展，Perl/Python解释器可被编译到服务器中，完全免费，完全源代码开放。

如果你需要创建一个每天有数百万人访问的Web服务器，Apache可能是最佳选择。

2、Apache Web Server Win32从版本开始使用MSI（扩展名）的形式发布，MSI文件可以在Windows下直接运行，使用起来就和我们平常所用的那些EXE（扩展名）文件一样的方便。

3、不过MSI文件这种新兴的东东也给使用微软较早发行的Win98和WinNT的用户带来了麻烦，当它们安装时系统会提示"无法通过Windows 安装程序服务安装此安装程序包。

您必须安装带有更新版本Windows 安装程序服务的Windows Service Pack"，根本无法让你继续下去！——而在WinME和Win2K下面则不会有这种麻烦出现。

4、要解决在Win98和WinNT下安装MSI文件不能完成的麻烦，你需要先有相应版本的名为"Microsoft Installer"的软件包，把它安装之后方可以开始MSI的安装工作。

5、此软件为免费软件；本文测试环境为Windows 2000。

6、确保此软件安装前已卸载（或停止服务）了其他的HTTP服务器端软件。

二、软件安装
三、基本设置
四FTP服务器端软件Serv-U教程第一节 Serv-U的安装和基本设置
一、安装
展开压缩文件“”，执行其中的“”，即可开始安装；全部选默认选项即可。

安装完成后不需重新启动，直接在“开始→程序→Serv-U FTP Server”中就能看到相关文件。

如下图：
二、建立第一个可用的FTP服务器
三、使用此FTP服务器
第二节 Serv-U 管理器
一、“Local Server”（本地服务器）属性
1、Local Server（本地服务器）：此处可设置是否自动开启FTP服务以及手动开启或停止FTP服务等。

2、License（许可证）：共享版此项无内容。

3、Settings（设置）：
⑴General/Max. speed：可设置最大传输速率（kb/s）。

⑵General/Max. no. of users：可设置连接到本服务器的最多用户数。

⑶General的其他项目均与保持服务器的安全性有关。

4、Activity（活动状态）：
⑴User s（用户）：显示当前登录的用户IP地址等资料及当前工作状态；建议选中“Auto reload”（自动刷新）。

如果选中某个用户，单击右键，再选“Kill User”，即可将它从服务器中踢出去。

⑵Blocked IPs（被挡住的IP）：此处用来暂时禁止某些IP访问本系统。

单击工具栏的“＋”即可增加即可增加被暂时禁止的IP地址及禁止登录的总时间（从增加之后开始计算）。

列表中可以看见被禁止的IP地址及其对应的计算机的完整的域名和离解禁尚有多少时间（以秒为单位）等等。

在列表中单击右键即可以选择删除已禁止的IP地址。

⑶Session Log（系统日志）：记录所有登录（或试图登录）到本机的操作痕迹及错误信息等。

二、“Domains”（域名）属性
⑶设置“Dir Access”（目录存取权限）：在此处选“Add”（增加）增加目标目录（可多个），然后再为它们逐个设置存取权限。

本项具体设置请参见本教程后文相关内容。

⑷和“IP Access”（IP控制）：此项的具体设置请参见本文前列相关内容。

⑸组的复制：可以像复制文件一样复制所建立的组。

选中组名，单击右键，再选“Copy Group”即可复制此组，选几次就复制几个。

真是好功能！^-^
⑹使用“Group”（组）：在“Users”下选中要使用组的用户名，再点击右边面板中“Group(s)”后的图标，选择所需要的组名（可用Ctrl键或Shift键来同时选中多个组）；多个组名中会自动以逗号进行分隔。

⑺进入“Dir Access”，再按工具栏的刷新图标（书图标左边的那个），即可看到最后的效果。

如下图：
第三节 Serv-U用户属性之“Account”（帐号）
一、Account（帐号）选项。

如下图：
二、各项说明和应用实例
1、Disable account（禁用帐号）：如果选中它，则此帐号将无法使用。

2、User name（用户名）：此处显示并可改变该用户的登录名；修改后，左边面板的用户名也会自动作相应的变更。

3、Group(s)（组）：如果有建立组，则此处可通过选择组来更多的目录。

这些组中目录的属性由建立组时确定，用户在“Dir Access”中不能修改！如果组用户的主目录不在根目录（见下面第5项说明）所包含的目录树之内，则此组用户无法进入。

4、Password（密码）：此项为“<>”（加密）说明有密码，为保密，因此内容不予显示。

如果为空白，则不需密码；如有输入任何密码均显示“<>”。

5、Home directory（主目录）：此处原则上为用户登录后的主目录；实际用户登录的根目录将由“General”属性中的“Lock user in home directory”来决定。

⑴比如此处路径为“d:\myweb”，“General”中相应项为选中，则主目录和根目录均为“d:\myweb”。

⑵再比如此处路径为“d:\myweb”，“General”中相应项为不选中，则主目录为“d:\myweb”，而根目录则为“d:\”。

⑶注意：此处可据情修改，但不能超出“Dir Access”中“Path”所在盘的范围，否则登录后你将什么也看不见！
6、Notes（备注）：此项用来标注一些说明性的文字。

第四节 Serv-U用户属性之“General”（常用）
一、“General”（常用）选项。

如下图：
二、各项说明和应用实例
1、Lock user in home directory（将用户锁定在主目录）：如果选中则只允许用户访问“主目录”以下的文件和目录（主目录即为根目录）；如果不选中，则用户可一直访问到主目录所在盘的实际根目录（比如“d:\”）下——当然，可能并没有读其下其他文件目录或写等权限，但是仍建议一般选中此项。

2、Hide 'hidden' files（隐藏“隐含”文件）：在列表时不显示属性为“隐含”的文件。

3、Always allow login（总是接受登录）：本帐户永远有效。

4、Allow only N login(s) from same IP address（只接受同一个IP地址的N 个用户登录）：对于限制外部局域网接入的机器数量非常有用！
5、Allow user to change password（接受用户改变密码）：有些FTP客户端有允许用户改变自己FTP密码的功能，此处就是为它们准备的。

6、Max. upload speed（最大上载速率）：可以限制客户端上传文件的最大速率（以kb/s为单位）。

7、Max. download speed（最大下载速率）：下传文件的最大速率（以kb/s为单位）。

8、Idle time-ou（空闲溢出时间）：超过某分钟不工作（读写等操作）就丢弃已产生的连接。

9、Max. no. of users（最大用户数）：允许同时连接到本服务器的最多的用户数目。

10、Logging message file（登录信息文件）：在这里可以输入（或选择）一个事先建立好的文本文件（一般）的完整路径和文件名，登录成功之后就会出现相关提示信息。

提示信息如下图：
11、Password type（密码类型）：一般选默认的“Regular Password”（常规密码）。

第五节 Serv-U用户属性之“Dir Access”（目录存取属性）
一、“Dir Access”（目录存取属性）选项。

如下图：
二、各项说明和应用实例
1、Path（路径）：目录所在的实际路径；Access（属性）：存取属性；Group （组）：所属组。

2、Files/Read（读）：对文件进行“读”操作（复制、下载；不含查看）的权力。

3、Files/Write（写）：对文件进行“写”操作（上传）的权力。

4、Files/Append（附加）：对文件进行“写”操作和“附加”操作的权力。

5、Files/Delete（删除）：对文件进行删除（上传、更名、删除、移动）操作的权力。

6、Files/Execute（执行）：直接运行可执行文件的权力。

7、Directories/List（列表）：对文件和目录的查看权力。

8、Directories/Create（建立）：建立目录的权力。

9、Directories/Remove（移动）：对目录进行移动、删除和更名的权力。

10、Inherit（继承）：如选中则以上所选属性对所选“Path”中指定目录以下整个目录树起作用；否则就只对当前目录起作用。

11、对于有多个“Path”的情况，有时顺序是至关重要的。

比如主目录为“d:\myweb”，其下有一个路径为“d:\myweb\win98”的目录，现在想让当前用户对“d:\myweb\win98”只能有查看权力，而对主目录下其他目录则有完全控制的权力。

需要：
⑴“Add”一个“Path”，选择“d:\myweb”，权限为所有都选中（特别要包括“Inherit”）；再“Add”另一个“Path”，选择“d:\myweb\win98”，权限为只选“List”（列表）。

⑵如果主目录在前，另一个目录在后，则你登录进去后就会发现，你对“win98”目录一样有完全控制权！
⑶但是如果你把主目录放在后，另一个目录在前，则结果正是你所需要的。

因此，可以总结出，此处设置的基本规律是，有特殊属性的放在前面，共用属性的放在后面！
第六节 Serv-U用户属性之完结
一、“IP Access”（IP访问）选项。

1、Deny Access（拒绝访问）：选中此项则下面列出的IP地址被拒绝访问此FTP 服务器。

2、Allow Access（允许访问）：选中此项则只有下面列出的IP地址被允许访问此FTP服务器。

3、Rule（规则）：在此处输入IP地址，再按向下的手图标则被加进列表；向上的手是删除选中的IP地址。

二、“UL／DL Ratios”（上传／下载比例）选项。

三、“Quota”（配额）选项。

1、Enable disk quota（允许磁盘配额）：如选中此项则可设定上传空间的大小。

2、Current（当前）：这里显示的是已用空间；可通过按“Calculate current”按钮来得到此值。

3、Maximum（最大）：这里可设定最大的上传空间。

如下图：
4、以上单位均为“kb”（千字节）。

四、其他操作
1、增加新的FTP服务器：选左边面板中的“Domains→右键→New Domain”，再提示操作即可。

需要注意的是，如果它与现有的FTP服务器使用同一个IP地址，则必须选不同的端口号！
2、删除FTP服务器：选中左边面板中的相应服务器名，再选“右键→Delete”即可。

3、建立新用户：选中左边面板中的相应服务器名，再选“右键→New User”即可。

4、删除用户：选中左边面板中的相应用户名，再选“右键→Delete User”即可。

5、复制用户：选中左边面板中的相应用户名（也可在其右边面板的任意处），再选“右键→Copy User”即可。

此项也非常有用！如下图所示：。