τψειχθ מסכם - קורס W2K בסיסיכללי:
מוטלת עליך המשימה של תכנון והקמת רשת מחשבים מבוססת
Windows 2000 בהתאם לכללים הבאים:
1. עבודה בקבוצות של 4 תלמידים.
2. יש לתכנן את הרשת לפי כל כללי העבודה שנלמדו בקורס,
אבל הבנייה בפועל תתבצע בהתאם למגבלות החומרה בכיתה.
3. ציון יינתן בהתאם לתוצאות. עליכם להשיג את כל
המטרות שיסומנו עבורכם ע"י המרצה, תוך כדי פתרון כל תקלה אפשרית או בעיה שתמנע
פעילות תקינה של הרשת.
לתרגיל 2 חלקים: חלק תיאורטי בו תידרש לתכנן, לשרטט
ולהסביר רשת; וחלק מעשי בו תידרש לבנות לפחות חלק אחד מהרשת אותה הצעת. תרגיל זה
יכול לשמש גם כמבחן כניסה לעבודה מעשית וגם כ- Brain Teaser
עבור תלמידים שמעוניינים לקבל קצת יותר מאשר הקורס הרגיל מציע.
זמן מוקצה:
לחלק התיאורטי - מקסימום 8 שעות
לחלק המעשי - מקסימום 8 שעות
הנחיות ומפרט טכני:
לרשותך עומדים 4 מחשבים (מפאת מגבלות מעשיות תשתמש
במחשבי הכיתה הרגילים ללא ביצוע שינויי חומרה). הגדר 3 מהם כשרתים, ועליהם תתקין
Windows 2000 Server / Advanced Server לפי בחירתך. כדי
לדמות תחנות עבודה השתמש במחשב הרביעי עליו תותקן מערכת הפעלה מסוג
Windows 2000 Professional או
Windows XP Professional לפי בחירתך.
מטרות:
עליך לתכנן רשת מבוססת Windows 2000 עבור חברה קטנה.
להלן דרישות החברה:
Active Directory:
הגדרה מלאה של Active Directory וחברות בדומיין
כל השרתים נמצאים באותו מתחם פיזי
יכולת שרידות של ה- AD במקרה נפילת שרת
הפרדה (אם צריך) של ה- FSMO Roles
הפרדה (אם צריך) ל- Sites
הגדרת Subnet אחד עבור ה- AD והכנה ל- Printer Location
הגדרת משתמשים:
מחלקת מכירות - 50 משתמשים (מחלקת
Sales)
מחלקת הנהלה - 10 משתמשים (מחלקת Mgmt)
מחלקת כספים - 10 משתמשים (מחלקת Finance)
מחלקת תמיכה - 3 משתמשים (מחלקת IT)
אדמיניסטרטור-על אחד המסוגל לנהל את כל האספקטים של הדומיין ללא יוצא מן הכלל
עוזר אדמיניסטרטור אחד המסוגל לנהל רק את תחנות העבודה והשרתים שאינם DC ולבצע את
כל הפעולות הניהוליות היומיומיות
בכל מחלקה יש עוזר מנהל אחד האחראי על החלפת הסיסמאות של המשתמשים במידה והם
שוכחים אותם, וגם נעילה ופתיחת משתמשים היוצאים למילואים או לחופשה
בכל מחלקה מנהל מחלקה המסוגל לבנות משתמשים חדשים אך ורק במחלקה שלו, וגם לבצע
שינויים (כולל מחיקה) של משתמשים קיימים, אך רק במחלקה שלו
מחלקת התמיכה מסוגלת לבצע יצירה, מחיקה ושינוי של כל משתמש בדומיין
מחלקת התמיכה מסוגלת לנהל ולשלוט בקבוצות ובחברויות בהן בכל הדומיין
מחלקת התמיכה מסוגלת להגדיר ולנהל מדפסות בשרתים, כולל התקנת דרייברים למדפסות
ושיתופן
מחלקת התמיכה מסוגלת לנהל את המדפסות ב- AD
מחלקת התמיכה מסוגלת לבצע גיבויים ושיחזורים על השרתים
מחלקת התמיכה מסוגלת לבצע התקנת דרייברים ולעדכן את כל השרתים ותחנות העבודה
באמצעות Windows Update
מחלקת התמיכה מסוגלת להגדיר שיתופים לתיקיות על השרתים, וגם לרשום אותן ב- AD
מחלקת התמיכה מסוגלת ליצור, להגדיר ולשנות GPO לכל OU בדומיין אבל לא לדומיין
עצמו
לשים לב, חברי מחלקת התמיכה אינם אדמיניסטרטורים במלוא מובן המילה
מערך DNS:
Fault Tolerance לשרתי ה- DNS
אבטחת רישומי מחשבים
מניעה של העברת נתונים לשרתי DNS אחרים (שרתים לא-מורשים)
מערך DHCP:
לצורך התרגול תבצע הקצאה של כתובת
IP אחת לתחנת העבודה הבודדת (וגם כדי למנוע הקצאה, בטעות, למחשבים אחרים בכיתה)
הגדרת כל דרישות הפרוטוקול באופן אוטומטי
ביצוע Authorization לשרת ב- AD
מערך WINS:
שקול לפי הצורך
שכנים ברשת:
ביטול NetBIOS Over TCP/IP בכל המחשבים ברשת
ביטול אייקון שכנים ברשת לכל המחשבים
יצירת מערך גישה אלטרנטיבי לשיתופי השרתים עבור כל המחשבים ברשת (ביצוע אוטומציה
של המערך המוצע)
מדפסות:
3 מדפסות פיזיות על שרת אחד - אחת לייזר, השנייה
צבעונית והשלישית רגילה שחור/לבן
מחלקת מכירות - הדפסה רק ביום במדפסת הצבע, הדפסה בכל היום לשאר המדפסות
מחלקת הנהלה - הדפסה כל היום לכל המדפסות ובעדיפות גבוהה יותר מהאחרים
מחלקת כספים - הדפסה רק בלילה במדפסת הלייזר, איסור הדפסה במדפסת הצבע, רק ביום
במדפסת הרגילה
מחלקת תמיכה - הדפסה כל היום בכל המדפסות אבל בעדיפות נמוכה יותר
מנהלי המחלקות רשאים לשנות הגדרות במדפסות שלהם, אבל לא למחוק אותן ולא ליצור
חדשות
אנשי מחלקת התמיכה מסוגלים לנהל את כל המדפסותבצורה מלאה
יצירת מדפסת אלטרנטיבית אליה ניתן להעביר בחירום אל עבודות ההדפסה של המדפסת
הרגילה במידה והיא תתקלקל, ואליה כולם יכולים להדפיס
מערך RRAS:
שרת אחד המשמש לצורך חיבור VPN
מהאינטרנט
בעל מספיק פורטים פנויים כדי לאפשר חיבור לכל אנשי החברה במידה ויהיה צורך
מוגדר בצורת החיבור המאובטחת ביותר (לא כולל הצפנת מידע)
מגדיר כתובות IP ללקחות לפי טווח המתקבל מה- DHCP, כולל כל ההגדרות הנחוצות
משתמש באותנתיקציה לשרת Radius (שרת IAS) - אחד משלושת השרתים, לפי בחירתכם
חוסם כל סוג של PING ממנו ואליו (דרך ה- VPN, לא ברשת עצמה)
מאפשר חיבור לחברי המחלקות לפי מפרט מוגדר מראש
מחלקת מכירות - התחברות רק ביום + הגבלת זמן חיבור ל- 60 דקות + ניתוק בשעות הערב
מחלקת הנהלה - התחברות בכל שעות היום + אותנתיקציה באמצעות Smart Card
מחלקת כספים - התחברות רק בשעות היום + הצפנה חזקה + הגבלת זמן חיבור ל- 60 דקות
+ ניתוק בשעות הערב
מחלקת תמיכה - התחברות בכל שעות היום
אדמיניסטרטור ועוזר אדמיניסטרטור - התחברות בכל שעות היום
מערך PKI:
אין צורך בבניית Subordinate בשלב
זה
כל מחשב בדומיין יקבל תעודה דיגיטאלית באופן מיידי ואוטומטי
עוזר אדמיניסטרטור משמש כ- Recovery Agent למחלקת המכירות בלבד (בנוסף לזה המוגדר
כברירת מחדל)
לכל משתמש תהיה תעודה דיגיטאלית המשמשת לצורכי זיהוי
לאחד השרתים יש אתר אינטרנט המשתמש ב- SSL (אין צורך לבנות אתר שלם, מספיק להתקין
דף פשוט אחד ולאבטח אותו)
יצירת קשר מאובטח בין שרת מס' 1 לשרת מס' 2 לצורך תקשורת אפליקציה ייעודית
המשתמשת בפרוטוקול ה- TCP ובפורטים 7200 ו- 7201
Logon Scripts:
לכל מחלקה יש תיקייה אחת משותפת
על שרת מס' 1 המשמשת את כל חברי המחלקה לאיחסון מידע מזדמן - יש למפות כונן רשת
לתיקייה זו
לכל משתמש תיקייה משלו המשמשת אך ורק אותו הנמצאת על כונן על שרת מס' 1 - יש
למפות כונן רשת לתיקייה זו
יש לבדוק ב- Desktop של כל המשתמשים בדומיין ובמידה ויש שם קבצי ZIP או MP3 יש
למחוק אותם מיד בזמן ה- Logon של המשתמש
אבטחת סביבת העבודה של המשתמשים:
לכל המשתמשים לא תהיה גישה לכלי עריכת הרג'יסטרי, ל-
CMD ול- RUN
לכל המשתמשים לא תהיה יכולת להגדיר ICS
לכל המשתמשים לא תהיה גישה ל- Windows Update
לכל המשתמשים יופיע האתר www.petri.co.il כאתר הבית
לכל המשתמשים יופיע Google כאתר החיפוש המועדף
לכל המשתמשים לא תהיה יכולת לשנות את מיקום ה- My Documents
כל האמור לעיל לא ישפיע על אנשי מחלקת התמיכה ולא על האדמיניסטרטור ועוזרו
למשתמשי מחלקת התמיכה תהיה גישה ל- Adminpak מכל תחנה בה הם יבצעו לוג-און
למשתמשי מחלקת ההנהלה יופיע Acrobat Reader ב- Start Menu במחשבים שלהם
למשתמשי מחלקת הכספים תהיה יכולת להתקין תוכנה ייעודית שדורשת הגדרות ברג'יסטרי
הגנה על קבוצת ה- Domain Admins כך שאף אחד לא יוכל לבצע בה שינויים
ביטול ה- Telnet Service על כל השרתים כך שאף אחד לא יוכל להפעיל אותו
ביצוע Rename לאדמיניטרטור המקורי על כל המחשבים בדומיין
ביצוע Auditing לניסיונות שינוי סיסמא עבור האדמיניסטרטור המקורי
ביצוע Auditing לניסיונות שינוי בהגדרות המדפסות
ביצוע Auditing ללביצוע ניסיונות לוג-און לא מוצלחים בדומיין
מערך גיבויים:
גיבויים מסודרים ל- AD ולשרת הקבצים תוך אוטומציה
מלאה של הגיבוי הלילי
לצורך התירגול יש לבצע את הגיבוי לקובץ שישמר על הדיסק הקשיח המקומי ולא לטייפ
גיבוי כמקובל
הערות:
שרטט דיאגרמות מפורטות של התכנית שלך, תוך תיאור מפרט
פיזי, מיקום פריטי וציוד מחשב, הגדרת כתובות IP, מיקום פריטי רשת שונים, הגדרות
אבטחה, הרשאות וכל מה שעשוי לעלות על דעתך. תוכל להשתמש בתוכנה חיצונית כמו Visio
או Smart Draw.
כל מה שלא יופיע בשרטוט ובתשובה ייחשב כלא מוגדר או
כלא מושלם.
חלק 2 - עבודה מעשית:
חלקו את העבודה בין חברי הקבוצה. נסו להקצות את החלק
המתאים לאדם בעל הכישורים המתאימים, אם יש כאלה...
עליך להקים בפועל את הרשת אותה הצעת. עליך לבנות בפועל
את כל המשתמשים המוגדרים במערכת ואת כל דרישות החברה בלי יוצא מן הכלל. כמובן שבגלל
מגבלות חומרה בכיתה תיאלץ להסתפק במחשבים הקיימים.
למטרת סימולציות העבודה ברשת,
חיבורי ה- VPN והאינטרנט תוכל, אם
יתאפשר, לחבר את הרשת שלך לרשת של קבוצה אחרת בכיתה, או למחשב המרצה. אם יתאפשר, כל
קבוצה תעבוד על רכזת אחת, כשמחשב אחד יוגדר כנתב לחיבור לאינטרנט (או לרשת של קבוצה
אחרת). מחשב המרצה ידמה את שירותי ה- DNS העולמיים וישמש כ- ROOT עבור כל הקבוצות.
כל חלק נוסף מהמערך המוצע אותו תספיקו לבצע יזכה אתכם
בנקודות נוספות.
הערה למרצים:
אני מאפשר שימוש במאמר זה למטרת חיזוק החומר הנלמד בכיתה וחזרה עליו בזמן העבודה
בבית. אין המאמר מתיימר ללמד את כל החומר, ואנא, הפנו את התלמידים לחלקים החסרים. הפצת המאמר מותרת כל עוד לא נמחק או שונה או שובש שם
הכותב דניאל פטרי, וכל עוד לא נעשו שינויים בגוף המאמר עצמו.
כל הזכויות שמורות לדניאל פטרי.
טענות, הצעות לשיפורים, תיקון טעויות, בעיות, קושיות
ושאלות אפשר לשלוח לדואר אלקטרוני:
mct@petri.co.il
בהצלחה,
דניאל פטרי.
|
