软件技术与工程中心网络基础架构项目实施文档.doc

软件技术与工程中心网络基础架构 项目设计文档 广东科学技术职业学院 指导老师： 完成人员： 目录 1 实施环境拓扑与说明 4 2 活动目录和网络基本架构的任务描述 6 2.1 DNS部署任务描述 6 2.2 用户与计算机对象命名规范任务描述 7 2.3 “我的文档”的管理任务描述 8 2.4 用户配置文件管理任务描述 8 2.5 客户机软件的管理任务描述 8 2.6 打印服务的任务描述 9 2.7 文件服务器任务描述 9 2.8 网络安全任务描述 9 2.8.1 CA的部署任务描述 9 2.8.2 域密码安全策略任务描述 9 2.8.3 企业敏感数据保护任务描述 10 2.8.4 系统补丁更新任务描述 10 2.8.5 网络边界安全架构部署防火墙任务描述 11 2.9 维护设计任务描述 12 2.9.1 AD的日常数据备份任务描述 12 2.9.2 文件服务器日常备份任务描述 12 3 活动目录和网络基本架构的实施 13 3.1 活动目录森林和域的实施 13 3.2 组织单元（OU）规划部署 19 3.3 DNS转发器安装部署 22 3.4 用户与计算机对象的创建和命名规范 28 3.5 “我的文档”的管理 28 3.6 用户配置文件管理 33 3.7 客户机软件的管理 35 3.8 打印服务的设计 39 3.9 文件服务器部署 47 3.10 网络安全设计 59 3.10.1 CA的部署 59 3.10.2 CA安装 59 3.11 企业敏感数据保护方案 64 3.12 域密码安全策略 75 3.13 WSUS服务器系统补丁更新实现 76 3.14 网络边界安全架构部署防火墙 91 3.14.1 DMZ区搭建安装配置 91 3.14.2 TMG安装 92 3.14.3 部署TMG 防火墙 96 3.14.4 针对域用户创建Web访问规则 105 4 维护设计 112 4.1 AD的日常数据备份 112 4.1.1 安装 Windows Server Backup 112 4.1.2 备份 113 4.2 文件服务器日常备份 123 实施环境拓扑与说明 网络总体架构图 活动目录逻辑结构 根据软工中心的实际情况，为了实现方便和灵活统一的管理策略，我们将中心的活动目录设计为单域架构，其活动目录逻辑架构如下图所示： 活动目录站点拓扑 由于软工中心的网络集中在同一办公楼内，各子网均由高速链路连接，所以我们将该中心的活动目录物理架构只设一个站点。现在的服务器只有三台，分别作为域控制器、文件服务器和邮件服务器，为避免活动目录服务的单点故障，建议利用现有的一台普通计算机作为辅助域控制器。 活动目录物理架构如图如示 网段划分与IP的分配 实现IP地址自动化管理。服务器手动设置IP地址，客户端实现DHCP自动分配IP地址。服务器地址有，，，客户端的地址范围为：01-124，31-170，具体规划如下： 默认网关：54/24 计算机名称 角色 IP地址/FQDN DNS rgdc1 DC/DNS/DHCP/GC/CA文件/打印服务器 /24 Rgdc2 /24 R Clients /24 C ISA-ras 防火墙/VPN 内网：54/24 DMZ：54/24 外网：ISP提供 DMZ（默认网关：54） 计算机名称 角色 IP地址 DNS DMZ-WEB 外网Web服务器 /24 DMZ-DNS DNS转发器 /24 活动目录和网络基本架构的任务描述 DNS部署任务描述 为了保证用户对内网资源的正常访问，客户机上仍配置为使用企业内网的DNS服务器地址，另外需要在DNS服务器上设置转发器，将除了内部域名之外的所有查询都转发到DMZ区域的DNS服务器上，让DMZ区域的DNS服务器帮内网客户机完成域名解析。同时在内网DNS服务器删除根提示，以使其将除内部域之外的所有域名解析转发到DMZ区域的DNS根服务器。 在ISA Server 2004只需要制定两条关于DNS查询转发的策略即可，一条是允许内网DNS服务器与DMZ区域的DNS服务器的DNS协议进行通讯，另一条是允许DMZ区域的DNS服务器与外部网络进行DNS协议通讯即可。 DMZ安装DNS转发器 DNS转发器新建两条转发策略，一条转发内网，一条转发外网； 在主域DNS服务器删除跟提示； 在主域DNS上新建转发器，把内部域名之外的所有查询都转发到DMZ区域的DNS服务器上； 用户与计算机对象命名规范任务描述 为方便管理，客户机命名按部门标识加编号的方式进行命名，如销售部的客户机：sales01；对于服务器的命名则按照该服务器所承担的角色进行命名，如果相同角色的服务器有多台还可加相应的编号，而对于不同地区相同角色的服务器，还可以加上相应位置前缀