服务器的安装与安全设置& 域环境的搭建和管理& Windows基本配置& 网络服务&常用网络命令的应用& 安全管理Windows Server 2019

实训的目的和意义

本实训在专业培养目标中的定位：《Windows管理实战》课程涵盖了计算机网络技术专业学生需要掌握的Windows相关核心技能，实践性强，且锻炼学生面向实际应用的职业能力，和其他基本课程有着重要的关联作用，是整个专业培养目标中一个重要的能力单元。

实训目标：其主要任务是使学生掌握网络服务（Windows Server 2019）的基础知识和基本技能，培养学生使用微软Windows Server 2019平台，配置、构建和管理网络服务的能力，培养学生的职业素质，提高学生的动手操作能力，为适应网络管理的职业岗位奠定基础。

实训意义：我们本次实训以Windows Server 2019为基础，掌握局域网结构为目的，在此基础上练习Windows Server 2019下常用服务器的配置及排错处理，使学生掌握网络管理的技能，能够搭建中小型企业网络、管理网络及维护网络。通过实训提高学生的动手操作能力和团队合作能力。

实训的具体目标及主要内容

一、实训要求

1、实训中的参数必须体现班级、序号。

2、使用visio绘制拓扑图。

3、合理安排时间和实训的顺序。

二、实训的具体目标和主要内容

1、掌握Windows Server 2019的版本及安装。

2、掌握VMware管理3种虚拟网络的创建方法。

3、掌握AD的安装；掌握域环境的搭建；掌握各种DC的部署；掌握网络中3种服务器角色的区别。

4、掌握用户和组的创建与管理。

5、掌握共享资源的创建、访问；掌握隐藏共享的创建；掌握共享权限的设置。

6、掌握NTFS文件系统的优点；掌握6种NTFS权限及使用原则，并能够设置、访问；掌握压缩和加密的设置，及特点；掌握磁盘配额的特点。

7、掌握5种动态磁盘的类型、特点、创建与管理。

8、掌握DHCP的工作过程及服务器客户端的部署；掌握DHCP的3种DHCP选项的特点及作用范围的区别。

9、掌握利用IIS搭建多个Web网站的解决方案；掌握真实目录与虚拟目录的区别；能够在客户端访问所创建的Web站点，以及虚拟目录和真实目录中的页面。掌握Web网站传输数据的安全性。

10、掌握常见的DNS资源记录，DNS服务器的搭建，客户端的部署，能够使用两种工具检测DNS资源；掌握转发器、辅助DNS的设置。

11、掌握ipconfig /all、ipconfig/release、ipcongfig/renew、ping IP地址、ping 域名、nslookup 等命令的使用。

实训完成后需要提交的内容

一、实训报告

实训报告电子版需在实训结束后3天内上交。具体要求如下：

1、有封皮。封面名为“Windows管理实战实训报告”，并写清班级、序号、姓名。

2、有目录。目录自动生成，显示二级目录。目录中包括实训日志和实训总结。

3、正文可以分项目写，可以将这几个项目的内容融合在一起形成一个大方案。主要包括项目描述、拓扑结构（拓扑图替换成自己的结构图）、具体IP地址分配表（可以列表格）、具体方案（各种参数）、测试结果的截图等。方案中尽可能的考虑网络的可用性和安全性。整个方案由每个同学独立完成，所有的截图都要有自己的个人信息。

4、实训内容中每个任务的具体操作步骤要有截图。

5、有实训日志。每个日志不少于100字。以时间为顺序，记录实训的进度、内容以及完成情况。

6、有实训总结。不少于500字。对项目实施做整体评价，要指出你完成了哪些任务，没有完成哪些任务，以及实训过程中的问题和感想。

说明：实训成绩主要根据实训报告评定，请注意原创性以及自己版权的保护。

项目一 服务器的安装与安全设置

1.1 实训目的

1. 1. 了解并掌握NTFS文件系统与FAT文件系统的区别
   2. 了解并掌握NTFS文件系统的特点
   3. 了解并学会使用Windows的磁盘管理工具
   4. 了解并掌握TCP/IP协议的配置

1.2 实训内容

任务1：安装操作系统（安装完成后需要截图，截取能够显示实验结果的图片）

1、创建虚拟机WinXX（XX为序号），并安装Windows Server 2019操作系统

   参考配置：安装系统的分区大小为20GB，其余分区暂不划分，文件系统格式为NTFS，计算机名为WinXX（XX为序号），管理员密码P@ssw0rd，服务器的IP地址为10.10.XX.1（XX为序号），子网掩码为255.255.255.0，DNS设置为10.10.XX.1，网关设置为10.10.XX.1，属于工作组COMP。

3、利用Windows的磁盘管理工具分一个FAT分区与一个NTFS分区

4、设置计算机虚拟内存为自定义方式，其初始值为1560MB，最大值为2130MB；

5、启用Windows自动更新和网络发现；

6、启用远程桌面和防火墙；

任务2：操作系统的安全设置

1、添加5个磁盘分区（磁盘空间大小自己设定），分别创建RAID1和RAID5两种磁盘阵列，磁盘阵列容量自定。

2、通过【工具】-【管理工具】-【本地安全策略】，对本地管理员账户进行如下安全配置：

（1）密码必须符合复杂性要求，密码长度至少8个字符。

（2）6次无效登录即锁定账户，锁定时间为30分钟。

1.3 思考题

1. 虚拟内存有什么用途？如何设置虚拟内存？ 

2. 如果服务器上只有一个网卡，而又需要多个IP地址，该如何操作？

项目二 域环境的搭建和管理

2.1 实训目的

1. 掌握域中各种身份的服务器的配置方法

2. 掌握域中对象（用户、组、计算机、打印机、组织单元等）的创建和管理

2.2 实训拓扑图（参考）

注意：拓扑图中的域名、计算机名根据实际修改，如win2019-1.long.com可改为win序号-1.姓名缩写.com （比如：win09-1.zs.com）。

请按照实际绘制自己的拓扑图，替换上述拓扑图。

2.3 实训内容

任务1：搭建域环境（XX为序号）

先将3台服务器分别设置成独立服务器winXX-1、winXX-2、winXX-3、winXX-4；然后把winXX-1提升为域树“姓名缩写.com”的第一台域控制器，把winXX-2设置为姓名缩写.com的子域china.姓名缩写.com的域控制器，把winXX-3加入到china.姓名缩写.com中，成为成员服务器，WinXX-4作为独立服务器加入到工作组“xinxi”中。各服务器的IP地址10.10.XX.1、10.10.XX.2、10.10.XX.3，DNS和网关地址参考项目一。

任务2：域用户的建立1

在winXX-1上建立组织单元outest，建立本地域组Group_test，域账户User1和User2，把User1和User2加入到Group_test；控制用户User1下次登录时要修改密码，用户User2可以登录的时间设置为周六、周日8:00～12:00，其他日期为全天。

任务3：组织单元（OU）及委派控制

在域控制器上创建组织单元，并将管理组织单元中对象的某些权限委派给用户。域中组织单元的结构为：

（1）上海总部 （用户shadmin具有该组织单元的管理用户的权限）

• 行政部

• 人力资源部
• 运作服务部
• 公共关系部

• 信息服务部
• 企划部
• 开发总部

（2）北京分公司（用户bjadmin具有该组织单元的管理用户的权限）

• 行政部

• 财务部
• 人力资源部
• 运作服务部

• 销售市场部
• 客户服务部

（3）广州分公司（用户gzadmin具有该组织单元的管理用户的权限）

• 行政部

• 财务部
• 人力资源部
• 运作服务部

• 信息服务部
• 技术支持部

任务4：域用户的建立2

• 在域控制器“姓名缩写.com”上建立本地域组Student_ test，域账户Userl、User2、User3、User4、User5，并将这5个账户加入到Student_test组中。

② 设置用户Userl、User2下次登录时要修改密码。

③ 设置用户User3、User4、User5不能更改密码并且密码永不过期。

④ 设置用户Userl、User2的登录时间是星期一至星期五的9:00～17:00。

⑤ 设置用户User3、User4、User5的登录时间周一至周五的晚17点至第二天早9点以及周六、周日全天。

⑥ 设置用户User3只能从计算机winXX-2上登录；设置用户User4只能从计算机winXX-2上登录；设置用户User5只能从计算机winXX-3上登录。

⑦ 设置用户User5的账户过期日为“2024-08-01”。

⑧ 将Windows内置的账户Guest加入到本地域组Student_test。

1. 1. 思考题
2. 组与组织单元有何不同？

项目三 Windows基本配置

3.1 实训场景

假如你是某学校网管中心工程师，现在学校架设了一台文件服务器，保存有学生处、教学处、培训处等部门的重要资料，在使用中为了使各部门独立管理自己的文件，需要为每个部门创建属于自己的文件夹访问权限，并禁止教学处用户更改网络配置。

3.2 实训内容

一、磁盘安全配置

1. 在winXX-4独立服务器上，创建4个文件夹：教学处-XX（XX为序号）、培训处-XX、学生处-XX、公共文件夹-XX；并在每个文件夹中放置1-2个相关文件。

2. 在winXX-4独立服务器上创建相应的3个组，并在每个组中创建2个用户；命名规范，如：组名：teachersXX、trainXX、studentsXX；用户名：teachers-adminXX，teachers-userXX，……（XX为序号）

要求：用户帐号只能通过网络访问服务器，不能在服务器本地登录。用户登录进行验证。

（提示：修改本地安全策略—用户权限指派）

3. 要求：只有本部门的用户能访问其部门的文件夹（完全控制的权限），每个部门里只有admin用户可以删除文件夹里的所有文件，user用户不允许删除文件；对于公共文件夹，所有用户都能在该文件夹中查看和存放文件（共享权限和NTFS权限可以结合使用）。先写出具体解决方案，再截取主要操作图片，要有验证结果截图。（注意：所有组和用户账号列表格；具体权限的分配列表格）

4. 每个部门的admin用户可以在服务器上最多存放1G的文件；user用户可以在服务器上最多存放500M的文件。

5. 在服务器上开启卷影副本。

二、域用户安全配置（域用户策略）

1.新建域用户策略

在域服务器上，【工具】-【组策略管理】，展开【林】、【域】、【组策略对象】节点；右键单击【组策略对象】节点，【新建】组策略对象（GPO）；组策略名称：PC安全策略XX。

2.编辑域用户策略

右键单击新建的域用户策略，选择【编辑】，选中【组策略管理编辑器】左侧的【用户配置】-【管理模板】-【网络】-【网络连接】选项，在右侧窗格中双击【禁止访问LAN连接的属性】，在弹出的界面中选中【已启用】。

3.应用域用户策略

新建teachers组，在组中新建用户“teacher序号”，右键单击【链接现有GPO】，选择“PC安全策略XX”，单击【确定】。

【开始】-【运行】，执行命令“gpupdate/force”，立即更新组策略。

用“teacher序号”用户登录，查看“网络连接”属性是否可以访问。

3.3 思考题

1、某企业办公室有几名员工共用一台计算机，每位员工都在桌面上“我的文档”下建立了各自的文件夹来保存自己的文件。有一天当其中一名员在保存文件时计算机提示磁盘已满，不能保存。在保证不损坏现有用户文件和不改变用户使用习惯的情况下，请你用最短的时间解决这一问题，你可以怎样做？

2、某企业希望将内部技术资料放到局域网上，以供技术人员随时查阅，但又不希望企业内部其他人员看到这些资料。你可以怎样处理？

项目四 网络服务

4.1 实训场景

假定你是某公司的系统管理员，公司内有500台计算机，现在公司的网络要进行规划和实施。

4.2 实训内容

一、DHCP服务

1. 在WinXX-1搭建一台DHCP服务器，使域中的成员服务器（winXX-2和winXX-3）可以自动获得IP地址访问Internet。（IP地址采用项目一中的10.10.XX网段）

2.DHCP备份迁移：

【服务器管理工具】-【功能】-【添加功能】-【Windows Server Backup功能】

【开始】-【管理工具】-【Windows Server Backup】-备份计划，使用向导创建一个DHCP备份计划。

二、DNS服务

1.在WinXX-1搭建一台DNS服务器，使其能够解析此主机名称winXX-1以及Web服务器的域名（web.姓名缩写.com），在WinXX-2上验证。

2.能够反向解析IP地址，在WinXX-2上验证。

三、Web服务

1.在WinXX-2搭建一台Web服务器,要求：能够用网址（web.姓名缩写.com）访问网站，网站首页为简单介绍学校的网页，在WinXX-3客户机上访问验证。

2.为学生处网站在Web服务器上创建虚拟目录(网址：web.姓名缩写.com\student)。

3.在WinXX-3上通过HTTPS+域名的方式访问该网站，实现网站的安全性。

四、FTP服务

1. 在Web服务器上搭建FTP服务器；使用户可以上传下载文件。

2. 设置FTP站点的用户访问权限，新建用户userXX，设置FTP服务器允许所有匿名用户读取，只允许userXX用户读取和写入。

4.3 思考题

1.某学校因为计算机数量的增加，需要在DHCP服务器上添加一个新的作用域。可用户反映客户端计算机并不能从服务器获得新的作用域中的IP地址。可能是什么原因？如何处理？

2. 企业用户使用nslookup能够正确检测出域名，但检测IP地址的时候却不能正确检测，什么原因？如何解决？

项目五  常用网络命令的应用

5.1 实训目的

● 了解Arp、ICMP、NETBIOS、FTP和Telnet等网络协议的功能。

● 熟悉各种常用网络命令的功能，了解如何利用网络命令检查和排除网络故障。

● 熟练掌握Windows Server 2019下常用网络命令的用法。

5.2 实训要求

● 利用Arp工具检验MAC地址解析。

● 利用Hostname工具查看主机名。

● 利用ipconfig工具检测网络配置。

● 利用Nbtstat工具查看NetBIOS使用情况。 

● 利用Netstat工具查看协议统计信息。

● 利用Ping工具检测网络连通性。

● 利用Telnet工具进行远程管理。

● 利用Tracert进行路由检测。

● 使用其他网络命令。

5.3 实训内容

1．通过ping检测网络故障

正常情况下，当用ping命令来查找问题所在或检验网络运行情况时，需要使用许多ping命令，如果所有都运行正确，就可以相信基本的连通性和配置参数没有问题；如果某些ping命令出现运行故障，它也可以指明到何处去查找问题。下面是典型的检测顺序及可能出现的故障。

（1）ping 127.0.0.1，该命令被送到本地计算机的IP软件。如果没有收到回应，就表示TCP/IP的安装或运行存在某些最基本的问题。截取测试结果图：

（2）ping本地IP，该命令被送到本地计算机所配置的IP地址，本地计算机始终都应该对该ping命令做出应答，如果没有收到应答，则表示本地配置或安装存在问题。出现此问题时，请断开网络电缆，然后重新发送该命令。如果网线断开后本命令正确，则有可能网络中的另一台计算机配置了与本机相同的IP地址。截取测试结果图：

（3）ping局域网内其他IP，该命令经过网卡及网络电缆到达其他计算机，再返回。收到回送应答表明本地网络中的网卡和载体运行正确。但如果没有收到回送应答，则表示子网掩码不正确，或网卡配置错误，或电缆系统有问题。截取测试结果图：

（4）ping 网关IP，该命令如果应答正确，表示局域网中的网关正在运行。截取测试结果图：

（5）ping远程IP（外网IP），如果收到4个正确应答，表示成功使用了默认网关。截取测试结果图：

（6）ping域名地址（某网站的网址，如www.qq.com），对这个域名执行ping命令，计算机必须先将域名转换成IP地址，通常是通过DNS服务器。如果这里出现故障，则表示DNS服务器的IP地址配置不正确，或DNS服务器有故障；也可以利用该命令实现域名对IP地址的转换功能。截取测试结果图：

如果上面列出的所有ping命令都能正常运行，那么计算机进行本地和远程通信的功能基本上就可以放心了。事实上，在实际网络中，这些命令的成功并不表示所有的网络配置都没有问题，例如，某些子网掩码错误就可能无法用这些方法检测到。同样地，由于ping的目的主机可以自行设置是否对收到的ping包产生回应，因此当收不到返回数据包时，也不一定说明网络有问题。

2．通过ipconfig命令查看网络配置

依次单击“开始”→“运行”命令，打开“运行”’对话框，输入命令“CMD”，打开命令行界面，在提示符下，输入“ipconfig /all”，仔细观察输出信息, 截取测试结果图：

3．通过arp命令查看ARP高速缓存中的信息

在命令行界面的提示符下，输入“arp –a”，其输出信息列出了arp缓存中的内容，截取测试结果图：

4．通过tracert命令检测故障

tracert一般用来检测故障的位置，用户可以用tracert IP来查找从本地计算机到远方主机路径中哪个环节出了问题。虽然还是没有确定是什么问题，但它已经告诉了我们问题所在的地方。

● Tracert域名地址（某网站的网址，如www.qq.com），利用Tracert工具来检查到达目标地址所经过的路由器的IP地址，截取测试结果图：

● Pathping 域名地址（某网站的网址，如www.qq.com），Pathping命令是进行路由跟踪的工具。Pathping命令首先检测路由结果，然后会列出所有路由器之间转发数据包的信息。截取测试结果图：

请同学们比较两个命令的不同。

5．通过route命令查看路由表信息

输入route print命令显示主机路由表中的当前项目。截取测试结果图：

6．通过nbtstat查看本地计算机的名称缓存和名称列表

输入“nbtstat –n”命令显示本地计算机的名称列表。截取测试结果图：

输入“nbtstat –c”命令用于显示NetBIOS名字高速缓存的内容。NetBIOS名字高速缓存存放与本计算机最近进行通信的其他计算机的NetBIOS名字和IP地址对。截取测试结果图：

5.4 实训思考题

● 当用户ping目标主机时，收不到该主机的应答，能否说明该主机工作不正常或到该主机的连接不通，为什么?

● ping命令的返回结果有几种可能。分别代表何种含义。

项目六 安全管理Windows Server 2019

6.1 实训目的

1. 掌握本地安全策略。
2. 掌握域的安全设置。
3. 掌握编制审核策略和配置审核功能设置值的方法，能够查看安全性日志条目。

6.2 实训要求

1. 实现安全性要求不高的基本账户策略。
2. 实现“密码必须符合复杂性要求”的安全策略。
3. 设置针对黑客的安全策略。
4. 设置用户权力与安全选项的安全策略。
5. 审核文件和打印机。
6. 以用户user1加密码文件，并导出证书，以user2重新登录，打不开user1的加密文件，但导入user1的证书后，能顺利打开文件，请做一做。

6.3 实训指导

1．实现安全性要求不高的基本账户策略

在Windows Server 2019计算机中设立的账户策略为 “复位账户锁定计数器”10分钟，“账户锁定时间”10分钟，“账户锁定阈值”3次，并测试此账户的锁定策略是否符合设定的含义。

2．实现“密码必须符合复杂性要求”的安全策略

（1）在工作组网络中，选择任何一台Windows Server 2019计算机，执行“开始”→“管理工具”→“本地安全策略”命令。

（2）选择“安全设置”→“账户策略”→“密码策略”选项，在打开的对话框中进行设置。

（3）在“计算机管理”对话框中，选择“本地用户和组”选项，添加一个本地用户，输入一个“123”的密码进行验证，应提示不符合密码复杂性的安全要求。为其更换一个强密码。

3．设置针对黑客的安全策略

设置安全策略中的账户策略、密码策略及其他安全策略，以减少黑客利用系统漏洞攻击的机会，增加其登录的难度。

（1）禁用guest账户，以防黑客利用该账户名登录。

（2）实现Administrator的更名，增加破获管理员账户的难度。

（3）禁止显示上次登录的用户名，以防黑客利用账户名登录。

4．设置用户权力与安全选项的安全策略

对本地安全策略进行设置。

（1）在客户机上“取消”及“恢复”使用Ctrl+Alt+Del组合键的强制登录。

（2）在“Active Directory用户和计算机”窗口中，为管理员建立一个普通的域用户账户，使用其登录域控制器；解决不能在域控制器本地交互登录的问题。

5．审核文件

（1）在图13-13所示的窗口中，设置（开启）审核策略，同时选择“审核对象访问”的“成功”和“失败”复选框。

（2）在 “资源管理器”对话框的NTFS分区中，选中需要审核的文件，如文件ftest.doc。

（3）设置文件的审核，达到记录Domain Users组成员修改该文件“成功”和“失败”操作信息的功能。

6.4 实训思考题

1. 事件查看器有什么作用？安全性日志包含哪些内容？
2. 谁有权设置审核策略？谁有权管理审核策略？可以审核的目录有哪些？
3. 常用的用户权力分配策略有哪些？
4. 什么是“密码符合复杂性要求”？该策略要求的密码是什么？
5. 请举例说明什么是权力？什么是权限？

项目七 配置VPN服务器

一、实训目的

1、掌握VPN的基本概念和原理

2、掌握VPN的使用场合

3、掌握VPN服务器的配置

4、掌握VPN客户端的配置

二、实训内容

（一）实验设备

需要三台服务器：域服务器、独立服务器1、独立服务器2（删除原网卡，添加2块网卡）。

（二）IP地址分配

1、虚拟网络编辑器中还原默认网络设置后，添加“VMnet2（仅主机模式）”网络。

2、“独立服务器2”虚拟机重命名为“序号-VPN服务器”，两块网卡分别重命名为“序号-外网网卡”、“序号-内网网卡”。

外网网卡：VMnet2模式。IP地址：2序号.2序号.2序号.1/24（比如11号同学：211.211.211.1/24）。

内网网卡：VMnet1模式。IP地址：192.168.序号.1/24，（比如11号同学：192.168.11.1/24），

3、“独立服务器1”虚拟机重命名“序号-外网VPN客户端”，网卡：VMnet2模式；IP地址：2序号.2序号.2序号.2/24。

4、“域服务器”虚拟机重命名“序号-内网web服务器”，网卡：VMnet1模式；IP地址：192.168.序号.2/24，网关：192.168.序号.1。

5、VPN客户端与VPN服务器连接成功后，VPN服务器分配给客户端的地址范围：192.168.序号.100 - 192.168.序号.200（比如11号同学：192.168.11.100-192.168.11.200）

• 绘制拓扑图

请按照上述实验环境绘出实验拓扑图，并在图中注明每台服务器的IP地址、子网掩码等信息。并在图中，标出内、外网。

（四）创建web服务器

在“内网web服务器”上安装并配置web服务器，创建一个网页文件“姓名缩写.html”（网页内容：欢迎访问序号姓名的网站），使用主机名“姓名缩写.sdp.edu.com”访问该网页。

（五）通过PPTP协议实现VPN服务

1. 按照上述拓扑组网，并配置每台计算机的IP地址，保证直连的两台计算机能够通信。IP地址截图。Ping测试截图。

2、配置VPN服务器

（1）安装“远程访问—VPN”，安装后抓VPN控制台的图。

（2）配置并启用路由和远程访问，抓主要图片。

（3）创建VPN账户，抓拨入属性的图。

3、配置VPN客户端

（1）配置VPN客户端，抓网络连接的图。

4、连接VPN服务

（1）在客户端连接VPN，连接成功后，使用ipconfig，抓VPN客户端的IP地址及VPN的IP地址图。

（2）在VPN客户端ping内网，抓效果图

（3）在VPN客户端访问Web站点（http://姓名缩写.sdp.edu.com），抓访问成功图。

（4）在VPN服务器上，抓取活动端口的图。

实训日志（每篇不少于100字）

实训总结（不少于500字）