模块B：服务部署
一、Windows初始化环境
（一）默认账号及默认密码
Username: Administrator
Password: ChinaSkills23
Username: demo
Password: ChinaSkills23
注：若非特别指定，所有账号的密码均为 ChinaSkills23
二、Windows项目任务描述
你作为一名网络技术工程师，被指派去构建ChinaSkills.cn的网络服务。你必须在规定的时间内完成要求的任务，并进行充分的测试，确保设备和应用正常运行。
（一）基本配置
1、服务器和客户端信息，各虚拟机已预装系统。
2、网络信息
（二）拓扑图
构建ChinaSkills.cn的网络服务环境如下图所示。
三、Windows项目任务清单
（一） DCserver配置任务
注意：若题目中未明确规定，请使用默认配置。
虚拟服务器上，虚拟机名称为“DCserver”的为“DCserver”服务器系统，服务器已安装好基本的Windows
Server 操作系统环境，默认用户名为“administrator”，默认密码：ChinaSkills23。
注：本题目中没特别说明的密码皆为：ChinaSkills23。
1．DCserver系统基础环境配置
请根据附件说明或提供的基础信息，配置服务器的主机名\IP
地址，创建要求的用户名及密码；
配置Windows 防火墙，仅允许配置的服务通过防火墙；禁止ICMP回显请求。
2．ACTIVE DIRECTORY SERVICE主域控活动目录配置工作任务
（1）在DCserver上配置以下服务与设置
为ChinaSkills.cn安装和配置活动目录域服务；
只有域管理员和IT部门员工可以登陆服务器。
（2）创建以下全局AD组与用户
Sales(Sales001-100)、IT（IT01-05）、Finance（F01-10）、Management（Manage01-05）；
创建ChinaSkills23为GPO管理员；加入到企业管理、域控管理员组；
为所有域用户设置漫游文件（除Management外），漫游文件放于\\ChinaSkills.cn\ChinaSkills23\Roaming
Profile\目录中；
开启本地及域控用户登录操作日志审计记录；
开启远程桌面服务及对应端口，让服务器可以被纳管到云堡垒机；仅允许本地管理员和域管理员登录；
配置域控组策略及域控配置信息备份；每天自动备份到本地的D盘根目录；并同步复制到DFS目录下:\DFSsharedir\IT\backup目录。
3．DNS SERVICE配置工作任务
安装及配置DNS服务；
创建必要的ChinaSkills.cn正向区域，添加必要的域名解析记录；
配置TXT记录，配置主时间控制服务记录；配置域名反向PTR；
为当前域网络创建反向查找区域；
4．DHCP SERVICE配置工作任务
安装及配置DHCP服务；
创建一个名为“ChinaSkills.cn”的DHCP作用域；
保留地址172.16.100.129-139，起始地址172.16.100.140-254；绑定SDCserver的IP地址为172.16.100.222/25；
网关地址：172.16.100.254；
DNS服务器：172.16.100.221；8.8.8.8；
5．为ChinaSkills.cn域配置安全策略
限制Management（Manage01-05）只能从Client登录；
限制Finance（F01-10），不能关闭计算机和重启计算机；
所有的域计算机和域用户都能自动注册证书，证书颁发机构已经颁发过一次，就不再重复颁发，除非证书文件丢失或者失效；
为普通用户配置密码策略，该策略要求密码为长度最小12位数的复杂性密码；
对于Finance（F01-10），有一个例外，无需密码即可登录客户端；
对IT（IT01-05）用户启用桌面环境副本，移除回收站图表，统一添加IE浏览器快捷方式在桌面；
禁止Sales(Sales001-010)使用注册表编辑工具、PowerShell以及Cmd。
配置CA服务器
配置证书服务器，提供CA自动申请证书；实现证书颁发机构及机构WEB注册服务；
配置为企业CA域成员；CA类型：根CA中心；加密类型SHA256位，密钥长度2248位；CA共用名称:Chinaskills.cn；可分辨后缀：DC=Chinaskills，DC=local；有效期为1年；
证书数据存储路径：H：\DFSsharedir\CA。
（二）SDCserver配置任务
注意：若题目中未明确规定，请使用默认配置。
虚拟服务器上，虚拟机名称为“SDCserver”的为“SDCserver”服务器系统，服务器上请安装基本的Windows
Server操作系统环境，默认用户名为“administrator”，默认密码：ChinaSkills23。
注：本题目中没特别说明的密码皆为：ChinaSkills23。
1．SDCserver系统基础环境配置
请根据附件说明或提供的基础信息，配置服务器的主机名，IP地址，创建要求的用户名及密码；
配置Windows防火墙，仅允许配置的服务通过防火墙；禁止ICMP回显请求；
安装Zabbix-Agent到Zabbix，用Zabbix检测域控服务器运行状态；执行文件在操作主机的D：/tools文件夹内；
2．ACTIVE DIRECTORY SERVICE 辅助域控活动目录配置工作任务
为安装和配置活动目录域服务：将SDCserver加入到Chinaskills.cn的域中，只有域管理员和IT部门员工，可以登陆服务器；将服务器配置为辅助域控。DCserver主域控服务器；当DCserver离线时，SDCserver成为主服务器；
开启本地及域控用户登录操作日志审计记录；
开启远程桌面服务及对应端口，让服务器可以被纳管到云堡垒机；仅允许本地管理员和域管理员登录；
配置域控组策略及域控配置信息备份；自动备份到本地的D盘根目录；并同步复制到DFS目录下:\DFSsharedir\IT\backup目录。
3.GPO:组策略与系统配置
所有的服务器不需要按ctrl+alt+del；
关闭所有的机器的睡眠功能；
对于IT组来说，所有站点都启用SSO；
所有的计算机都不允许登录Microsoft账户；
允许IT组进行系统时间更改；
设定所有职务为managers的用户为本地管理员，除了域控制器；
允许所有的Managers组在域控制器登录。
4．服务器磁盘配置工作任务
（1）安装及配置RAID
配置系统软RAID；添加两块10G磁盘；
在服务器上为创建一个RAID-1阵列；
格式化该磁盘挂载为I盘，名称为：RAID1；
（三）Server01配置任务
注意：若题目中未明确规定，请使用默认配置。
虚拟服务器上，虚拟机名称为“Server01”的为“Server01”服务器系统，服务器已安装好基本的Windows
Server操作系统环境，默认用户名为“administrator”，默认密码：ChinaSkills23。
注：本题目中没特别说明的密码皆为：ChinaSkills23。
1．Server01系统基础环境配置
请根据附件说明或提供的基础信息，配置服务器的主机名，IP地址，创建要求的用户名及密码；
配置Windows防火墙，仅允许配置的服务通过防火墙；禁止ICMP回显请求；
将Server01加入到Chinaskills.cn的域中，只有域管理员和IT部门员工及本地管理员可以登陆服务器。
2. WSUS更新服务
安装WSUS更新服务，更新补丁目录设置为“c:\wsusbackup”。
创建更新组名称为“CHINASKILLS-WSUS”。
每天凌晨03:00下发自动更新。
更新服务器地址为“http://wsus.chinaskills.cn:8530”。
3. FTP服务配置
安装FTP服务，新建一个FTP站点，并建立用户soft1、soft2，密码均为ftp123；
FTP站点主目录为D:\ftproot，通过启用隔离用户功能，使用用户名目录的方式实现用户soft1与soft2和匿名方式登录FTP站点时，匿名方式只能浏览到“Public”子目录中的内容，若用个人账号登录FTP站点，则只能访问与用户名同名的自己的子文件夹；
ftp站点使用预共享密钥加密通信通道，否则将不能访问
设置FTP最大客户端连接数为100。
（四）Server02配置任务
注意：若题目中未明确规定，请使用默认配置。
虚拟服务器上，虚拟机名称为“Server02”的为“Server02”服务器系统，服务器需要安装，并完成配置基本的Windows
Server操作系统环境，默认用户名为“administrator”，默认密码：ChinaSkills23。
注：本题目中没特别说明的密码皆为：ChinaSkills23。
1．Server02系统基础环境配置
请根据附件说明或提供的基础信息，配置服务器的主机名，IP地址，创建要求的用户名及密码；
配置Windows防火墙，仅允许配置的服务通过防火墙；禁止ICMP回显请求；
将Server02加入到Chinaskills.cn的域中，只有域管理员和IT部门员工及本地管理员可以登陆服务器。
2．DISK配置服务器软RAID工作任务
安装及配置RAID；
配置系统软RAID；添加两块10G磁盘；
在服务器上为创建一个RAID-1阵列；
格式化该磁盘挂载为I盘，名称为：RAID1；
3. rd服务配置
在Server02上搭建RDS服务；
在InsideCli客户端登录的用户可以直接在开始菜单中找到RemoteApp程序。
（五）Server03配置任务
注意：若题目中未明确规定，请使用默认配置。
虚拟服务器上，虚拟机名称为“Server03”的为“Server03”服务器系统，服务器需要安装，并完成配置基本的Windows
Server操作系统环境，默认用户名为“administrator”，默认密码：ChinaSkills23。
注：本题目中没特别说明的密码皆为：ChinaSkills23。
1．Server03系统基础环境配置
请根据附件说明或提供的基础信息，配置服务器的主机名，IP地址，创建要求的用户名及密码；
配置Windows防火墙，仅允许配置的服务通过防火墙；禁止ICMP回显请求；
安装Zabbix-Agent到Zabbix，用Zabbix检测域控服务器运行状态；执行文件在操作主机的D：/tools文件夹内；
将Server03加入到Chinaskills.cn的域中，只有域管理员和IT部门员工及本地管理员可以登陆服务器。
2. DFS服务配置
在Server03上安装及配置DFS服务。
目录设置在F：\DFSsharedir。
在F：\DFSsharedir文件夹内新建所有部门的文件夹。
所有部门的用户之可以访问部门内的文件，不可以跨部门访问别的部门文件夹内容。
Management用户组用户可以访问全局的文件夹。
（六）GWserver配置任务
注意：若题目中未明确规定，请使用默认配置。
虚拟服务器上，虚拟机名称为“GWserver”的为“GWserver”服务器系统，服务器已安装好基本的Windows
Server操作系统环境，默认用户名为“administrator”，默认密码：ChinaSkills23。
注：本题目中没特别说明的密码皆为：ChinaSkills23。
1．GWserver系统基础环境配置
请根据附件说明或提供的基础信息，配置服务器的主机名，IP地址，创建要求的用户名及密码；
配置Windows防火墙，仅允许配置的服务通过防火墙；禁止ICMP回显请求。
2．安装和配置路由服务
请不要把该服务器加入到任何AD域；
安装Remote Access服务并启用路由功能。
3．安装及配置VPN服务
仅允许Layer 2 Tunneling Protocol连接；
为保障认证的安全性，采用证书作为Layer 2 Tunneling Protocol认证手段；
客户端连接成功后获得的内部地址范围为：192.168.10.241-192.168.10.248；
使用域用户作为VPN登录认证用户。
（七）IOMSrv配置任务
图形界面登陆IOMSrv运维平台，登陆地址http://172.16.100.203；
通过Windows代理模板，添加DCServer、SDCSserver、Server01操作系统监控对象，查看运行状态。
通过中间件IIS模板，添加IIS监控对象，查看运行状态。
通过新增WEB探测对象，监控门户网站http://web.Chinaskills.cn，查看运行状态。
基于Server01上的门户网站业务，完成业务拓扑绘制，并在业务大屏上呈现。
（八）Client配置任务
注意：若题目中未明确规定，请使用默认配置。
虚拟服务器上，虚拟机名称为“client”的为“client”服务器系统，服务器已安装好基本的Windows
Server操作系统环境，默认用户名为“administrator”，默认密码：ChinaSkills23。
1．对等网客户端配置
请把该计算机留在工作组；
设置电源配置，以便客户端在通电的情况下，永不进入睡眠；
创建一个名为SD-VPN的拨号适配器连接，用于建立VPN连接。
该客户端用于测试VPN，以及需要的完成相关功能。
四、Linux初始化环境
（一）默认账号及默认密码
Username: root
Password: ChinaSkill23!
Username: skills
Password: ChinaSkill23!
注：若非特别指定，所有账号的密码均为ChinaSkill23!
（二）操作系统配置
所处区域：CST + 8
系统环境语言：English US (UTF-8)
键盘：English US
注意：当任务是配置TLS，请把根证书或者自签名证书添加到受信任区。
控制台登陆后不管是网络登录还是本地登录，都按下方欢迎信息内容显示
*********************************
ChinaSkills 2023–CSK
Module C Linux
>>hostname<<
>>Linux Version<<
>> TIME <<
*********************************
五、项目任务描述
某公司要为员工提供便捷、安全稳定内外网络服务，你作为一个公司网络系统管理员，负责公司网络系统管理，请根据网络拓扑、基本配置信息和服务需求完成网络服务安装与测试，网络拓扑图和基本配置信息如下：
（一）拓扑图
（二）基本配置
服务器和客户端基本配置如下表，各虚拟机已预装系统。
网络
六、Linux项目任务清单
任务设备：Client,Rserver,servr01,server02,server03,server04。
注意：若题目中未明确规定，请使用默认配置。
（一）CLIENT TASK
1.Client相关任务，具体要求如下：
作为DNS服务器域名解析测试的客户端，安装nslookup、dig命令行工具；
作为网站访问测试的客户端，安装firefox浏览器，curl命令行测试工具；
作为SSH远程登录测试客户端，安装ssh命令行测试工具；
作为SAMBA测试的客户端，使用图形界面文件浏览器测试，并安装smbclient工具；
作为FTP测试的客户端，安装lftp命令行工具；
作为防火墙规则效果测试客户端，安装ping命令行工具。
截图的时候请使用上述提到的工具进行功能测试。
（二）RSERVER TASK
1.NETWORK
请根据基本配置信息配置服务器的主机名，网卡IP地址配置、域名等。
2.squid
安装squid服务，开启路由转发，为当前实验环境提供路由功能；
3. DNS
为chinaskills.cn域提供域名解析。
为www.chinaskills.cn、download.chinaskills.cn和mail.chinaskills.cn提供解析。
启用内外网解析功能，当内网客户端请求解析的时候，解析到对应的内部服务器地址，当外部客户端请求解析的时候，请把解析结果解析到提供服务的公有地址。
4.DHCP
为客户端分配IP范围是10.10.100.1-10.10.100.50；
DNS：按照实际需求配置DNS服务器地址选项；
GATEWAY：按照实际需求配置网关地址选项。
5.SSH
安装SSH
仅允许client客户端进行ssh访问，其余所有主机的请求都应该拒绝；
配置client只能在Chinaskill23用户环境下可以免秘钥登录，端口号为2022，并且拥有root控制权限。
6.CA
CA根证书路径/CA/cacert.pem；
签发数字证书，颁发者信息：
国家 = CN
单位 = Inc
组织机构 = www.skills.com
公用名 = Skill Global Root CA
创建用户组ldsgp，将zsuser、lsusr、wuusr添加到组内。
7. ShellScript
编写添加用户的脚本，存储在/shells/userAdd.sh目录；
当有新员工入职时，管理员运行脚本为其创建公司账号；
自动分配客户端账号、公司邮箱、samba目录及权限、网站账号等；
以userAdd lifei的方式运行脚本，lifei为举例的员工姓名。
（三）SERVER01 TASK
1.NETWORK
请根据基本配置信息配置服务器的主机名，网卡IP地址配置、域名服务器、网关等。
2.SAMBA
创建samba共享，本地目录为/data/share1，要求：
共享名为share1。
仅允许zsuser用户能上传文件。
创建samba共享，本地目录为/data/public，要求：
共享名为public。
允许匿名访问。
所有用户都能上传文件。
3.NFS
共享/data/share目录；
用于存储server01主机的web数据；
仅允许service01主机访问该共享。
4.DNS
安装DNS服务相关软件包；
建立sdskills.com域，为所有除Internet区域的主机或服务器建立正\反的域名解析；
当出现无法解析的域名时，向域skills.com申请更高层次的解析。
5.Webserver
安装web服务相关软件包；
由Server01提供www.sdskills.com
skills公司的门户网站；
使用apache服务；
网页文件放在/data/share/htdocs/skills；
服务以用户webuser运行；
首页内容为“This is the front page of sdskills’s website.”；
/htdocs/skills/staff.html内容为“Staff Information”；
该页面需要员工的账号认证才能访问；
员工账号存储在ldap中，账号为zsuser、lsus
网站使用https协议；
SSL使用RServer颁发的证书，颁发给:
C = CN
ST = China
L = ShangDong
O = skills
OU = Operations Departments
CN = *.skills.com
Sever01的CA证书路径：/CA/cacert.pem
签发数字证书，颁发者：
C = CN；
O = Inc
OU = www.skills.com
CN = skill Global Root CA
客户端访问https时应无浏览器（含终端）安全警告信息；
当用户使用http访问时自动跳转到https安全连接；
当用户使用sdskills.com或any.sdskills.com（any代表任意网址前缀）访问时，自动跳转到www.sdskills.com。
6.SSH
安装SSH
仅允许client客户端进行ssh访问，其余所有主机的请求都应该拒绝；
配置client只能在Chinaskill23用户环境下可以免秘钥登录，端口号为3033，并且拥有root控制权限；
7.DBMS
在Server01上完成MariaDB数据库的安装，添加数据库root用户密码为ChinaSkill23!
安装MariaDB数据库服务器组件；
MariaDB数据库管理员信息：User: root/ Password: Chinaskill20!；
安装MariaDB WEB管理面板“phpMyAdmin”，通过apache进行发布
安装phpMyAdmin，MariaDB的web管理面板组件；
安装apache，配置php环境，用于发布phpMyAdmin；
（四）SERVER02 TASK
1.NETWORK
请根据基本配置信息配置服务器的主机名，网卡IP地址配置、域名服务器、网关等。
2.Ftp
禁止使用不安全的FTP，请使用“CSK Global Root
CA”证书颁发机构，颁发的证书，启用FTPS服务；
用户webadmin，登录ftp服务器，根目录为/webdata/；
登录后限制在自己的根目录；
允许WEB管理员上传和下载文件，但是禁止上传后缀名为.doc .docx .xlsx的文件。
限制用户的下载最大速度为100kb/s；最大同一IP在线人数为2人；
用于通过工具或者浏览器下载的最大速度不超过100kb/s
一个IP地址同时登陆的用户进程/人数不超过2人。
3.MAIL
Postfix
sdskill.com的邮件发送服务器
支持smtps(465)协议连接，使用Rserver颁发的证书，证书路径/CA/cacert.pem
创建邮箱账户“user1~user99”（共99个用户），密码为Chinaskill23!；
Dovecot
sdskill.com的邮件接收服务器；
支持imaps（993）协议连接，使用Rserver颁发的证书，证书路径/CA/cacert.pem；
请保留至少两个用户已成功登录并能正常收发邮件，以方便测试.
4.SSH
安装SSH
仅允许client客户端进行ssh访问，其余所有主机的请求都应该拒绝；
配置client只能在Chinaskill23用户环境下可以免秘钥登录，端口号为4044，并且拥有root控制权限；
5. 部署WordPress论坛
搭建www.chinaskills.cn站点；
网页文件放在StorgeSrv服务器上；
在StorageSrv上安装MriaDB，在本机上安装PHP，发布WordPress网站；
MariaDB数据库管理员信息：User: root/ Password: Chinaskill21!
（五）SERVER03 TASK
1.NETWORK
请根据基本配置信息配置服务器的主机名，网卡IP地址配置、域名服务器、网关等。
2.chrony
配置为全网提供时间同步服务器
为除本机外的所有主机提供时间同步服务
使用ntpdate命令每隔5分钟同步一次时间。
3.SSH
安装SSH
仅允许client客户端进行ssh访问，其余所有主机的请求都应该拒绝；
配置client只能在Chinaskill20用户环境下可以免秘钥登录，端口号为2233，并且拥有root控制权限；
4.OpenVPN
要求服务器日志记录客户端登录时间、用户名，格式如“2023-04-10:08:10:30Successful
authentication: username=“vpnuser1””；
日志文件存放至/var/log/openvpn.log中；
创建用户vpnuser1，密码为123456，使用用户名密码认证，要求只能与InsideCli客户端网段通信，允许访问StorageSrv主机上的SAMBA服务；
VPN地址范围为172.16.0.0/24，OPENVPN使用tcp 1194端口号进行工作。
（六）SERVER04 TASK
1.NETWORK
请根据基本配置信息配置服务器的主机名，网卡IP地址配置、域名服务器、网关等。
2.DNS
安装DNS相关服务软件包；
为域skills.com提供必要的域名解析
当非skills.com域的解析时，统一解析到Rserver连接Internet网段的IP地址或Rserver.skills.com
3.Webserver
提供www.skills.com
skills公司的门户网站；
使用apache服务；
网页文件放在/htdocs/skills；
服务以用户webuser运行；
首页内容为“This is the front page of skills’s website.”；
/htdocs/sdskills/staff.html内容为“Staff Information”；
该页面需要员工的账号认证才能访问；
员工账号存储在ldap中，账号为zsuser、lsus
网站使用https协议；
SSL使用RServer颁发的证书， 颁发给:
C = CN
ST = China
L = ShangDong
O = skills
OU = Operations Departments
CN = *.skills.cn
Rserver的CA证书路径：/CA/cacert.pem
签发数字证书，颁发者：
C = CN
O = Inc
OU = www.skills.com
CN = skill Global Root CA
客户端访问https时应无浏览器（含终端）安全警告信息；
当用户使用http访问时自动跳转到https安全连接；
当用户使用skills.cn或any.skills.cn（any代表任意网址前缀）访问时，自动跳转到www.skills.com。
4.SSH
安装SSH
仅允许client客户端进行ssh访问，其余所有主机的请求都应该拒绝；
配置client只能在Chinaskill23用户环境下可以免秘钥登录，端口号为3344，并且拥有root控制权限；
5.LDAP
安装openldap,为apache服务提供账户认证；
创建chinaskills.cn目录服务，并创建用户组ldsgp,将zsuser、lsusr、wuusr。
（七）IOMSrv TASK
图形界面登陆IOMSrv运维平台，登陆地址http://172.16.100.203；
通过Linux代理模板，添加SERVER01、SERVER02操作系统监控对象，查看运行状态；
通过中间件Apache模板，添加Apache监控对象，查看运行状态；
通过中间件MySQL数据库Agent模板，添加Mariadb监控对象，查看运行状态；
通过新增WEB探测对象，监控门户网站www.chinaskills.cn，查看运行状态；
C = CN
O = Inc
OU = www.skills.com
CN = skill Global Root CA
客户端访问https时应无浏览器（含终端）安全警告信息；
当用户使用http访问时自动跳转到https安全连接；
当用户使用skills.cn或any.skills.cn（any代表任意网址前缀）访问时，自动跳转到www.skills.com。
4.SSH
安装SSH
仅允许client客户端进行ssh访问，其余所有主机的请求都应该拒绝；
配置client只能在Chinaskill23用户环境下可以免秘钥登录，端口号为3344，并且拥有root控制权限；
5.LDAP
安装openldap,为apache服务提供账户认证；
创建chinaskills.cn目录服务，并创建用户组ldsgp,将zsuser、lsusr、wuusr。
