23年网络搭建赛题 蓝字后续出答案

模块二：网络建设与调试

任务描述：

某集团公司原在城市A成立了总公司，后在城市B成立了分公司，又在城市C建立了办事处。集团设有产品、营销、法务、财务、人力5个部门，统一进行IP及业务资源的规划和分配，全网采用OSPF、RIP、ISIS、BGP路由协议进行互联互通。

随着企业数字化转型工作进一步推进，为持续优化运营创新，充分激活数据要素潜能，为社会创造更多价值，集团决定在总公司建立两个数据中心，在某省建立异地灾备数据中心，以达到快速、可靠交换数据，增强业务部署弹性的目的，完成向两地三中心整体战略架构演进，更好的服务于公司客户

网络拓扑图及IP地址表：

1.网络拓扑图

设备名称	设备接口	IP地址
SW1	loopback1 ospfv2 ospfv3 bgp	10.1.1.1/32 2001:10:1:1::1/128
	loopback2	10.1.1.2/32 2001:10:1:1::2/128
	vlan10	10.1.11.1/24 2001:10:1:11::1/64
	vlan20	10.1.12.1/24 2001:10:1:12::1/64
	vlan30	10.1.13.1/24 2001:10:1:13::1/64
	vlan40	10.1.14.1/24 2001:10:1:14::1/64
	vlan50	10.1.15.1/24 2001:10:1:15::1/64
	vlan1019	10.1.255.14/30
	vlan1020	10.1.255.5/30
	vlan1022	10.1.255.1/30
	vlan1023 vpn	10.1.255.1/30
SW2	loopback1 ospfv2 ospfv3 bgp	10.1.2.1/32 2001:10:1:2::1/128
	loopback2	10.1.2.2/32 2001:10:1:2::2/128
	vlan10	10.1.21.1/24 2001:10:1:21::1/64
	vlan20	10.1.22.1/24 2001:10:1:22::1/64
	vlan30	10.1.23.1/24 2001:10:1:23::1/64
	vlan40	10.1.24.1/24 2001:10:1:24::1/64
	vlan50	10.1.25.1/24 2001:10:1:25::1/64
	vlan1019	10.1.255.22/30
	vlan1020	10.1.255.9/30
	vlan1022	10.1.255.2/30
	vlan1023 vpn	10.1.255.2/30
SW3	loopback1 ospfv2 ospfv3 bgp	10.1.3.1/32 2001:10:1:3::1/128
	vlan10	10.1.31.1/24 2001:10:1:31::1/64
	vlan20	10.1.32.1/24 2001:10:1:32::1/64
	vlan30	10.1.33.1/24 2001:10:1:33::1/64
	vlan50	10.1.35.1/24 2001:10:1:35::1/64
	vlan1019	10.1.255.6/30
	vlan1020	10.1.255.10/30
SW3模拟 办事处	loopback2	10.1.3.2/32 2001:10:1:3::2/128
	vlan110	10.1.110.1/24 2001:10:1:110::1/64
	vlan120	10.1.120.1/24 2001:10:1:120::1/64
	vlan1015	10.1.255.46/30
SW3模拟 Internet	loopback3	200.200.3.3/32 2001:200:200:3::3/128
	vlan1017	200.200.200.1/30
	vlan1018	200.200.200.5/30
AC1	loopback1 ospfv2 ospfv3	10.1.4.1/32 2001:10:1:4::1/128
	loopback2 rip ripng	10.1.4.2/32 2001:10:1:4::2/128
	loopback3	10.1.4.3/32 2001:10:1:4::3/128
	vlan1001	10.1.255.42/30
	vlan130 无线管理	10.1.130.1/24 2001:10:1:130::1/64
	vlan140 无线2.4G 产品	10.1.140.1/24 2001:10:1:140::1/64
	vlan150 无线5G 营销	10.1.150.1/24 2001:10:1:150::1/64
RT1	loopback1 ospfv2 ospfv3 bgp mpls	10.1.5.1/32 2001:10:1:5::1/128
	loopback2 rip ripng	10.1.5.2/32 2001:10:1:5::2/128
	loopback3 isis	10.1.5.3/32 2001:10:1:5::3/128
	loopback4 集团与办事处互联	10.1.5.4/32 2001:10:1:5::4/128
	loopback5 vpn财务	10.1.5.5/32 2001:10:1:5::5/128
	g0/0	10.1.255.29/30
	g0/1	10.1.255.21/30
	g0/2	10.1.255.18/30
	g0/3	10.1.255.25/30
	s1/0	10.1.255.33/30
	s1/1	10.1.255.37/30
RT2	loopback1 ospfv2 ospfv3 bgp mpls	10.1.6.1/32 2001:10:1:6::1/128
	loopback2 rip ripng	10.1.6.2/32 2001:10:1:6::2/128
	loopback3 isis	10.1.6.3/32 2001:10:1:6::3/128
	loopback4 ipsecvpn	10.1.6.4/32 2001:10:1:6::4/128
	tunnel4 ipsecvpn	10.1.255.50/30
	loopback5 vpn财务	10.1.6.5/32 2001:10:1:6::5/128
	g0/0	10.1.255.30/30
	g0/1	10.1.255.41/30
	g0/3	200.200.200.6/30
	s1/0	10.1.255.38/30
	s1/1	10.1.255.34/30
FW1	loopback1 ospfv2 ospfv3 trust	10.1.7.1/32 2001:10:1:7::1/128
	loopback2 rip ripng trust	10.1.7.2/32 2001:10:1:7::2/128
	loopback4 ipsecvpn trust	10.1.7.4/32 2001:10:1:7::4/128
	tunnel4 ipsecvpn VPNHUB	10.1.255.49/30
	e0/1 trust	10.1.255.13/30
	e0/2 trust	10.1.255.17/30
	e0/3 untrust	200.200.200.2/30
FW2	loopback1 ospfv2 ospfv3 trust	10.1.8.1/32 2001:10:1:8::1/128
	e0/1 trust	10.1.255.45/30
	e0/2 dmz	10.1.255.26/30

一、工程统筹

1.职业素养

（1）整理赛位，工具、设备归位，保持赛后整洁有序。

（2）无因选手原因导致设备损坏。

（3）恢复调试现场，保证网络和系统安全运行。

2.网络布线

左侧布线面板立面示意图        右侧布线面板立面示意图

（1）机柜左侧布线面板编号101；机柜右侧布线面板编号102。

（2）面对信息底盒方向左侧为1端口、右侧为2端口。所有配线架、模块按照568B标准端接。

（3）主配线区配线点与工作区配线点连线对应关系如下：

序号	信息点编号	配线架编号	底盒编号	信息点编号	配线架端口编号
1	W1-02-101-1	W1	101	1	02
2	W1-06-102-1	W1	102	2	06

（4）铺设线缆并端接。截取2根适当长度的双绞线，两端制作标签，穿过PVC线槽或线管。双绞线在机柜内部进行合理布线，并且通过扎带合理固定。将2根双绞线的一端，端接在配线架相应端口，另一端端接上RJ45模块，并且安装上信息点面板，并标注标签。

（5）跳线制作与测试。截取2根当长度的双绞线，端接水晶头，所有网络跳线要求按568B标准制作，两端制作标签，连接网络信息点和相应计算机。根据网络拓扑要求，截取适当长度和数量的双绞线，端接水晶头，插入相应设备的相关端口上，实现PC、信息点面板、配线架、设备之间的连通（提示：可利用机柜上自带的设备进行通断测试）。

3.IP规划

为了不断壮大集团业务经营范围，集团计划在上海成立办事处。通过调研，计划在上海办事处设立与Internet连接的4个业务部门，每个业务部门的最大所需主机数如下表所示，要求从10.1.10.100/19主机地址所在网络第一个网段开始进行IP地址规划，IP地址按照下表依次往后顺延规划，网关地址取每个网段最后一个可用地址，请完成下表IP地址规划。

部门名称	最大主机数	网络地址 （表示形式X.X.X.X/N）	网关地址 （表示形式X.X.X.X）
营销	110
产品	600
法务	126
财务	14

二、交换配置

1.配置vlan，SW1、SW2、SW3、AC1的二层链路只允许相应vlan通过。

设备	vlan编号	端口	说明
SW1	vlan10	E1/0/1	产品1段
	vlan20	E1/0/2	营销1段
	vlan30	E1/0/3	法务1段
	vlan40	E1/0/4	财务1段
	vlan50	E1/0/5	人力1段
SW2	vlan10	E1/0/1	产品2段
	vlan20	E1/0/2	营销2段
	vlan30	E1/0/3	法务2段
	vlan40	E1/0/4	财务2段
	vlan50	E1/0/5	人力2段
SW3	vlan10	E1/0/1	产品3段
	vlan20	E1/0/2	营销3段
	vlan30	E1/0/3	法务3段
	vlan50	E1/0/5	人力3段

2.SW1和SW2之间利用三条裸光缆实现互通，其中一条裸光缆承载三层IP业务、一条裸光缆承载VPN业务、一条裸光缆承载二层业务。用相关技术分别实现财务1段、财务2段业务路由表与其它业务路由表隔离，财务业务VPN实例名称为Finance。承载二层业务的只有一条裸光缆通道，配置相关技术，方便后续链路扩容与冗余备份，编号为1，用LACP协议，SW1为active，SW2为passive；采用源、目的IP进行实现流量负载分担。

3.SW3针对每个业务VLAN的第一个接口配置Loopback命令，模拟接口UP，方便后续业务验证与测试。

4.将SW3模拟为Internet交换机，实现与集团其它业务路由表隔离，Internet路由表VPN实例名称为Internet。将SW3模拟办事处交换机，实现与集团其它业务路由表隔离，办事处路由表VPN实例名称为Office。

5.SW1配置SNMP，引擎id分别为1000；创建组GroupSkills，采用最高安全级别，配置组的读、写视图分别为：Skills_R、Skills_W；创建认证用户为UserSkills，采用aes算法进行加密，密钥为Key-1122，哈希算法为sha，密钥为Key-1122；当设备有异常时，需要用本地的环回地址loopback1发送v3 Trap消息至集团网管服务器10.1.15.120、2001:10:1:15::120，采用最高安全级别；当法务部门对应的用户接口发生UP DOWN事件时禁止发送trap消息至上述集团网管服务器。

6.对SW1与FW1互连流量镜像到SW1 E1/0/1，会话列表为1。

7.SW1和SW2 E1/0/21-28启用单向链路故障检测，当发生该故障时，端口标记为errdisable状态，自动关闭端口，经过1分钟后，端口自动重启；发送Hello报文时间间隔为15s。

8.SW1和SW2所有端口启用链路层发现协议，更新报文发送时间间隔为20s，老化时间乘法器值为5，Trap报文发送间隔为10s，配置三条裸光缆端口使能Trap功能。

三、路由调试

1.启用所有设备的ss 服务，防火墙用户名admin，明文密码Key-1122，其余设备用户名和明文密码均为admin。

2.配置所有设备的时区为GMT+08:00，调整SW1时间为实际时间，SW1配置为ntp server，其他设备用SW1 loopback1 ipv4地址作为ntp server地址，ntp client 请求报文时间间隔1分钟。

3.配置接口ipv4地址和ipv6地址，互联接口ipv6地址用本地链路地址。

4.SW2配置DHCPv4和DHCPv6，分别为总公司产品1段、总公司产品2段、分公司Vlan130、分公司Vlan140和分公司Vlan150分配地址。IPv4地址池名称分别为Poolv4-Vlan11、Poolv4-Vlan21、Poolv4-Vlan130、Poolv4-Vlan140、Poolv4-Vlan150，排除网关，DNS为10.1.210.101和10.1.220.101。IPv6地址池名称分别为Poolv6-Vlan11、Poolv6-Vlan21、Poolv6-Vlan130、Poolv6-Vlan140、Poolv6-Vlan150，IPv6地址池用网络前缀表示,排除网关，DNS为2400:3200::1。PC1保留地址10.1.11.9和2001:10:1:11::9，PC2保留地址10.1.21.9和2001:10:1:21::9，AP1保留地址10.1.130.9和2001:10:1:130::9。SW1、AC1中继地址为SW2 Loopback1地址，SW1启用DHCPv4和DHCPv6 snooping，如果E1/0/1连接dhcpv4服务器，则关闭该端口，恢复时间为10分钟。

5.SW1、SW2、SW3、RT1以太链路、RT2以太链路、FW1、FW2、AC1之间运行OSPFv2和OSPFv3协议（路由模式发布网络用接口地址，BGP协议除外）。

（1）SW1、SW2、SW3、RT1、RT2、FW1之间OSPFv2和OSPFv3协议，进程1，区域0，分别发布loopback1地址路由和产品路由，FW1通告type1默认路由。

（2）RT2与AC1之间运行OSPFv2协议，进程1，nssa no-summary区域1；AC1发布loopback1地址路由、产品和营销路由，用prefix-list重发布loopback3。

（3）RT2与AC1之间运行OSPFv3协议，进程1，stub no-summary区域1；AC1发布loopback1地址路由、产品和营销。

（4）SW3模拟办事处产品和营销接口配置为loopback，模拟接口up。SW3模拟办事处与FW2之间运行OSPFv2协议，进程2，区域2，SW3模拟办事处发布loopback2、产品和营销。SW3模拟办事处配置ipv6默认路由；FW2分别配置到SW3模拟办事处loopback2、产品和营销的ipv6明细静态路由，FW2重发布静态路由到OSPFv3协议。

（5）RT1、FW2之间OSPFv2和OSPFv3协议，进程2，区域2；RT1发布loopback4路由，向该区域通告type1默认路由；FW2发布loopback1路由，FW2禁止学习到集团和分公司的所有路由。RT1用prefix-list匹配FW2 loopback1路由、SW3模拟办事处loopback2和产品路由、RT1与FW2直连ipv4路由，将这些路由重发布到区域0。

（6）修改ospf cost为100，实现SW1分别与RT2、FW2之间ipv4和ipv6互访流量优先通过SW1_SW2_RT1链路转发，SW2访问Internet ipv4和ipv6流量优先通过SW2_SW1_FW1链路转发。

6.RT1串行链路、RT2串行链路、FW1、AC1之间分别运行RIP和RIPng协议，FW1、RT1、RT2的RIP和RIPng发布loopback2地址路由，AC1 RIP发布loopback2地址路由，AC1 RIPng采用route-map匹配prefix-list重发布loopback2地址路由。RT1配置offset值为3的路由策略，实现RT1-S1/0_RT2-S1/1为主链路，RT1-S1/1_RT2-S1/0为备份链路，ipv4的ACL名称为AclRIP，ipv6的ACL名称为AclRIPng。RT1的S1/0与RT2的S1/1之间采用chap双向认证，用户名为对端设备名称，密码为Key-1122。

7.RT1以太链路、RT2以太链路之间运行ISIS协议，进程1，分别实现loopback3 之间ipv4互通和ipv6互通。RT1、RT2的NET分别为10.0000.0000.0001.00、10.0000.0000.0002.00，路由器类型是Level-2，接口网络类型为点到点。配置域md5认证和接口md5认证，密码均为Key-1122。

8.RT2配置ipv4 nat，实现AC1 ipv4产品用RT2外网接口ipv4地址访问Internet。RT2配置nat64，实现AC1 ipv6产品用RT2外网接口ipv4地址访问Internet，ipv4地址转ipv6地址前缀为64:ff9b::/96。

9.SW1、SW2、SW3、RT1、RT2之间运行BGP协议，SW1、SW2、RT1 AS号65001、RT2 AS号65002、SW3 AS号65003。

（1）SW1、SW2、SW3、RT1、RT2之间通过loopback1建立ipv4和ipv6 BGP邻居。SW1和SW2之间财务通过loopback2建立ipv4 BGP邻居，SW1和SW2的loopback2互通采用静态路由。

（2）SW1、SW2、SW3、RT2分别只发布营销、法务、财务、人力等ipv4和ipv6路由；RT1发布办事处营销ipv4和ipv6路由到BGP。

（3）SW3营销分别与SW1和SW2营销ipv4和ipv6互访优先在SW3_SW1链路转发；SW3法务及人力分别与SW1和SW2法务及人力ipv4和ipv6互访优先在SW3_SW2链路转发，主备链路相互备份；用prefix-list、route-map和BGP路径属性进行选路，新增AS 65000。

10.利用BGP MPLS VPN技术，RT1与RT2以太链路间运行多协议标签交换、标签分发协议。RT1与RT2间创建财务VPN实例，名称为Finance，RT1的RD值为1:1，export rt值为1:2，import rt值为2:1；RT2的RD值为2:2。通过两端loopback1建立VPN邻居，分别实现两端loopback5 ipv4互通和ipv6互通。

四、无线部署

1.AC1 loopback1 ipv4和ipv6地址分别作为AC1的ipv4和ipv6管理地址。AP二层自动注册，AP采用MAC地址认证。配置2个ssid，分别为skills-2.4G和skills-5G。skills-2.4G对应vlan140，用network 140和radio1（模式为n-only-g）,用户接入无线网络时需要采用基于WPA-personal加密方式，密码为Key-1122。skills-5G对应vlan150，用network 150和radio2（模式为n-only-a），不需要认证，隐藏ssid，skills-5G用倒数第一个可用VAP发送5G信号。

2.当AP上线，如果AC中储存的Image版本和AP的Image版本号不同时，会触发AP自动升级。AP失败状态超时时间及探测到的客户端状态超时时间都为2小时。

3.MAC认证模式为黑名单，MAC地址为80-45-DD-77-CC-48的无线终端采用全局配置MAC认证。

4.配置vlan110无线接入用户上下行最大带宽为800Mbps，arp上下行最大速率为6packets/s。

5.配置vlan110无线接入用户上班时间（工作日09:00-17:00）访问Internet https上下行CIR为1Mbps，CBS为20Mbps，PBS为30Mbps，exceed-action和violate-action均为drop。时间范围名称、控制列表名称、分类名称、策略名称均为Skills。

6.开启Radio的自动信道调整，每天上午10:00触发信道调整功能。

7.开启AP组播广播突发限制功能；AP收到错误帧时，将不再发送ACK帧；AP发送向无线终端表明AP存在的帧时间间隔为1秒。

8.AP发射功率为90%。

五、安全维护

说明：ip地址按照题目给定的顺序用“ip/mask”表示，ipv4 any地址用0.0.0.0/0，ipv6 any地址用::/0，禁止用地址条目，否则按零分处理。

1.FW1配置ipv4 nat，实现集团产品1段ipv4访问Internet ipv4，转换ip/mask为200.200.200.16/28，保证每一个源ip产生的所有会话将被映射到同一个固定的IP地址；当有流量匹配本地址转换规则时产生日志信息，将匹配的日志发送至10.1.11.120的 UDP 514端口，记录主机名，用明文轮询方式分发日志；开启相关特性，实现扩展nat转换后的网络地址端口资源。

2.FW1配置nat64，实现集团产品1段ipv6访问Internet ipv4，转换为出接口IP，ipv4转ipv6地址前缀为64:ff9b::/96。

3.FW1和FW2策略默认动作为拒绝，FW1允许集团产品1段ipv4和ipv6访问Internet任意服务。

4.FW2允许办事处产品ipv4访问集团产品1段https服务，允许集团产品1段访问办事处产品ipv4、FW2 loopback1 ipv4、SW3模拟办事处loopback2 ipv4。

5.FW1与RT2之间用Internet互联地址建立GRE Over IPSec VPN，实现loopback4之间的加密访问。

6.FW1配置邮件内容过滤，规则名称和类别名称均为“DenyKey”，过滤含有“business”字样的邮件。

7.FW1通过ping监控外网网关地址，监控对象名称为Track1，每隔5S发送探测报文，连续10次收不到监测报文，就认为线路故障，关闭外网接口。

8.FW1利用iQoS，实现集团产品1段访问Internet https服务时，上下行管道带宽为800Mbps，限制每IP上下行最小带宽2Mbps、最大带宽4Mbps、优先级为3，管道名称为Skills，模式为管制。

模块三：服务搭建与运维              

任务描述：

随着信息技术的快速发展，集团计划2023年把部分业务由原有的X86架构服务器上迁移到ARM架构服务器上，同时根据目前的部分业务需求进行了部分调整和优化。

一、X86架构计算机操作系统安装与管理

1.PC1系统为ubuntu-desktop-amd64系统（已安装，语言为英文），登录用户为xiao，密码为Key-1122。启用root用户，密码为Key-1122。

2.安装remmina，用该软件连接Server1上的虚拟机，并配置虚拟机上的相应服务。

3.安装qemu和virtinst。

4.创建Windows Server 2022虚拟机，虚拟机信息如下：

虚拟机名称	vcpu	内存	硬盘	IPv4地址	完全合格域名
windows8	2	4096MB	40GB	10.1.11.101/24	windows8.skills.lan
windows9	2	4096MB	40GB	10.1.11.102/24	windows9.skills.lan

5.安装windows8，系统为Windows Server 2022 Datacenter Desktop，网络模式为桥接模式，网卡、硬盘、显示驱动均为virtio，安装网卡、硬盘、显示驱动并加入到Windows AD中。

6.安装windows9，系统为Windows Server 2022 Datacenter Desktop，网络模式为桥接模式，网卡、硬盘、显示驱动均为virtio，安装网卡、硬盘、显示驱动并加入到Windows AD中。在windows9中添加3块5GB的硬盘（硬盘驱动为virtio），初始化为GPT，配置为raid5。驱动器盘符为D。

二、ARM架构计算机操作系统安装与管理

1.从U盘启动PC2，安装kylin-desktop-arm64（安装语言为英文），安装时创建用户为xiao，密码为Key-1122。启用root用户，密码为Key-1122。

2.配置minicom，用该软件连接网络设备，并对网络设备进行配置。

三、Windows云服务配置

1.创建实例

（1）网络信息表

网络名称	vlan	子网名称	网关	IPv4地址池
network210	210	subnet210	10.1.210.1/24	10.1.210.100-10.1.210.109
network211	211	subnet211	10.1.211.1/24	10.1.211.100-10.1.211.109
network212	212	subnet212	10.1.212.1/24	10.1.212.100-10.1.212.109

（2）实例类型信息表

名称	id	vcpu	内存	硬盘	实例名称	镜像
skills	1	4	4GB	40GB	windows1-windows7	windows2022

（3）实例信息表

实例名称	IPv4地址	完全合格域名
windows1	10.1.210.101	windows1.skills.lan
windows2	10.1.210.102	windows2.skills.lan
windows3	10.1.210.103	windows3.skills.lan
windows4	10.1.210.104	windows4.skills.lan
windows5	10.1.210.105 10.1.211.105	windows5.skills.lan
windows6	10.1.210.106 10.1.211.106 10.1.212.106	windows6.skills.lan
windows7	10.1.210.107 10.1.211.107 10.1.212.107	windows7.skills.lan

2.域服务

任务描述：请采用域环境，管理企业网络资源。

（1）配置windows2为skills.lan域控制器；安装dns服务，dns正反向区域在active directory中存储，负责该域的正反向域名解析。

（2）把skills.lan域服务迁移到windows1；安装dns服务，dns正反向区域在active directory中存储，负责该域的正反向域名解析。

（3）把其他windows主机加入到skills.lan域。所有windows主机（含域控制器）用skills\Administrator身份登陆。

（4）在windows1上安装证书服务，为windows主机颁发证书，证书颁发机构有效期为10年，证书颁发机构的公用名为windows1.skills.lan。复制“计算机”证书模板，名称为“计算机副本”，申请并颁发一张供windows服务器使用的证书，证书友好名称为pc，（将证书导入到需要证书的windows服务器），证书信息：证书有效期=5年，公用名=skills.lan，国家=CN，省=Beijing，城市=Beijing，组织=skills，组织单位=system，使用者可选名称=*.skills.lan和skills.lan。浏览器访问https网站时，不出现证书警告信息。

（5）在windows2上安装从属证书服务，证书颁发机构的公用名为windows2.skills.lan。

（6）启用所有windows服务器的防火墙。

（7）在windows1上新建名称为manager、dev、sale的3个组织单元；每个组织单元内新建与组织单元同名的全局安全组；每个组内新建20个用户：行政部manager00-manager19、开发部dev00-dev19、营销部sale00-sale19，不能修改其口令，密码永不过期。manager00拥有域管理员权限。

3.组策略

任务描述：请采用组策略，实现软件、计算机和用户的策略设置。

（1）添加防火墙入站规则，名称为icmpv4，启用任意IP地址的icmpv4回显请求。

（2）域中主机自动申请“ipsec”模板证书。自动注册“工作站身份验证”模板证书，该模板可用作“服务器身份验证”，有效期5年。

（3）windows3和windows4之间通信采用ipsec安全连接，采用windows1颁发的计算机证书验证。

（4）允许manager组本地登录域控制器，允许manager00用户远程登录到域控制器；拒绝dev组从网络访问域控制器。

（5）登录时不显示上次登录，不显示用户名，无须按ctrl+alt+del。

（6）登录计算机时，在桌面新建名称为chinaskills的快捷方式，目标为https://www.chinaskills-jsw.org，快捷键为ctrl+shift+f6。

（7）为正在登录此计算机的所有用户设置漫游配置文件路径为windows1的C:\profiles，每个用户提供单独的配置文件文件夹。

4.文件共享

任务描述：请采用文件共享，实现共享资源的安全访问。

（1）在windows1的C分区划分2GB的空间，创建NTFS分区，驱动器号为d；创建用户主目录共享文件夹：本地目录为D:\share\home，共享名为home，允许所有域用户完全控制。在本目录下为所有用户添加一个以用户名命名的文件夹，该文件夹将设置为所有域用户的home目录，用户登录计算机成功后，自动映射挂载到h卷。禁止用户在该共享文件中创建“*.exe”文件，文件组名和模板名为my。

（2）创建目录D:\share\work，共享名为work，仅manager组和Administrator组有完全控制的安全权限和共享权限，其他认证用户有读取执行的安全权限和共享权限。在AD DS中发布该共享。

5.DFS服务

任务描述：请采用DFS，实现集中管理共享文件。

（1）在windows3-windows5的C分区分别划分2GB的空间，创建NTFS主分区，驱动器号为D。

（2）配置windows3为DFS服务器，命名空间为dfsroot，文件夹为pictures，存储在D:\dfs；实现windows4的D:\pics和windows5的D:\images同步。

（3）配置windows4的dfs IPv4使用34567端口；限制所有服务的IPv4动态rpc端口从8000开始，共1000个端口号。

6.ASP服务

任务描述：请采用IIS搭建web服务，创建安全动态网站，。

（1）把windows3配置为ASP网站，网站仅支持dotnet clr v4.0，站点名称为asp。

（2）http和https绑定本机与外部通信的IP地址，仅允许使用域名访问（使用“计算机副本”证书模板）。客户端访问时，必需有ssl证书（浏览器证书模板为“管理员”）。

（3）网站目录为C:\iis\contents，默认文档index.aspx内容为"Helloaspx"。

（4）使用windows5测试。

7.NLB服务

任务描述：请采用NLB，实现负载平衡。

（1）配置windows5和windows6为NLB服务器。

（2）windows5群集优先级为5，windows6群集优先级为6，群集IPv4地址为10.1.210.60/24，群集名称为www1.skills.lan，采用多播方式。

（3）配置windows5为web服务器，站点名称为www1.skills.lan，网站的最大连接数为10000，网站连接超时为60s，网站的带宽为100Mbps。

（4）共享网页文件、共享网站配置文件和网站日志文件分别存储到windows1的D:\FilesWeb\Contents、D:\FilesWeb\Configs和D:\FilesWeb\Logs。网站主页index.html内容为"HelloNLB"。

（5）使用W3C记录日志，每天创建一个新的日志文件，日志只允许记录日期、时间、客户端IP地址、用户名、服务器IP地址、服务器端口号。

（6）网站仅绑定https，IP地址为群集地址，仅允许使用域名加密访问，证书通用名称为www1.skills.lan，证书路径为windows1的D:\FilesWeb\Configs\www.cer。

（7）配置windows6为web服务器，要求采用共享windows5配置的方式；导入windows5证书，证书路径为windows1的D:\FilesWeb\Configs\www.pfx。

8.powershell脚本

任务描述：请采用powershell脚本,实现快速批量的操作。

（1）在windows7上编写C:\createfile.ps1的powershell脚本,创建20个文件C:\file\file00.txt至C:\file\file19.txt，如果文件存在，则删除后，再创建；每个文件的内容同主文件名，如file00.txt文件的内容为“file00”。

四、Linux云服务配置

1.系统安装

（1）通过PC1 web连接Server2，给Server2安装rocky-arm64 CLI系统（语言为英文）。

（2）配置Server2的IPv4地址为10.1.220.100/24。

（3）安装qemu和virt-install。

（4）创建rocky-arm64虚拟机，虚拟机硬盘文件保存在默认目录，名称为linuxN.qcow2(N表示虚拟机编号1-9，如虚拟机linux1的硬盘文件为linux1.qcow2,虚拟机linux2的硬盘文件为linux2.qcow2),虚拟机信息如下：

虚拟机名称	vcpu	内存	硬盘	IPv4地址	完全合格域名
linux1	2	4096MB	40GB	10.1.220.101/24	linux1.skills.lan
linux2	2	4096MB	40GB	10.1.220.102/24	linux2.skills.lan
linux3	2	4096MB	40GB	10.1.220.103/24	linux3.skills.lan
linux4	2	4096MB	40GB	10.1.220.104/24	linux4.skills.lan
linux5	2	4096MB	40GB	10.1.220.105/24	linux5.skills.lan
linux6	2	4096MB	40GB	10.1.220.106/24	linux6.skills.lan
linux7	2	4096MB	40GB	10.1.220.107/24	linux7.skills.lan
linux8	2	4096MB	40GB	10.1.220.108/24	linux8.skills.lan
linux9	2	4096MB	40GB	10.1.220.109/24	linux9.skills.lan

（5）安装linux1，系统为rocky-arm64 CLI，网卡、硬盘、显示驱动均为virtio，网络模式为桥接模式。

（6）关闭linux1，给linux1创建快照，快照名称为linux-snapshot。

（7）根据linux1克隆虚拟机linux2-linux9。

2.dns服务

任务描述：创建DNS服务器，实现企业域名访问。

（1）所有linux主机启用防火墙，防火墙区域为public，在防火墙中放行对应服务端口。

（2）利用chrony，配置linux1为其他linux主机提供NTP服务。

（3）所有linux主机之间（包含本主机）root用户实现密钥ssh认证，禁用密码认证。

（4）利用bind，配置linux1为主DNS服务器，linux2为备用DNS服务器。为所有linux主机提供冗余DNS正反向解析服务。

（5）配置linux1为CA服务器,为linux主机颁发证书。证书颁发机构有效期10年，公用名为linux1.skills.lan。申请并颁发一张供linux服务器使用的证书，证书信息：有效期=5年，公用名=skills.lan，国家=CN，省=Beijing，城市=Beijing，组织=skills，组织单位=system，使用者可选名称=*.skills.lan和skills.lan。将证书skills.crt和私钥skills.key复制到需要证书的linux服务器/etc/ssl目录。浏览器访问https网站时，不出现证书警告信息。

3.ansible服务

任务描述：请采用ansible，实现自动化运维。

（1）在linux1上安装ansible，作为ansible的控制节点。linux2-linux9作为ansible的受控节点。

4.apache2服务

任务描述：请采用Apache搭建企业网站。

（1）配置linux1为Apache2服务器，使用skills.lan或any.skills.lan（any代表任意网址前缀，用linux1.skills.lan和web.skills.lan测试）访问时，自动跳转到www.skills.lan。禁止使用IP地址访问，默认首页文档/var/www/html/index.html的内容为"apache"。

（2）把/etc/ssl/skills.crt证书文件和/etc/ssl/skills.key私钥文件转换成含有证书和私钥的/etc/ssl/skills.pfx文件；然后把/etc/ssl/skills.pfx转换为含有证书和私钥的/etc/ssl/skills.pem文件，再从/etc/ssl/skills.pem文件中提取证书和私钥分别到/etc/ssl/apache.crt和/etc/ssl/apache.key。

（3）客户端访问Apache服务时，必需有ssl证书。

5.tomcat服务

任务描述：采用Tomcat搭建动态网站。

（1）配置linux2为nginx服务器，默认文档index.html的内容为“hellonginx”；仅允许使用域名访问，http访问自动跳转到https。

（2）利用nginx反向代理，实现linux3和linux4的tomcat负载均衡，通过https://tomcat.skills.lan加密访问Tomcat，http访问通过301自动跳转到https。

（3）配置linux3和linux4为tomcat服务器，网站默认首页内容分别为“tomcatA”和“tomcatB”，仅使用域名访问80端口http和443端口https；证书路径均为/etc/ssl/skills.jks。

6.samba服务

任务描述：请采用samba服务，实现资源共享。

（1）在linux3上创建user00-user19等20个用户；user00和user01添加到manager组，user02和user03添加到dev组。把用户user00-user03添加到samba用户。

（2）配置linux3为samba服务器,建立共享目录/srv/sharesmb，共享名与目录名相同。manager组用户对sharesmb共享有读写权限，dev组对sharesmb共享有只读权限；用户对自己新建的文件有完全权限，对其他用户的文件只有读权限，且不能删除别人的文件。在本机用smbclient命令测试。

（3）在linux4修改/etc/fstab,使用用户user00实现自动挂载linux3的sharesmb共享到/sharesmb。

7.nfs服务

任务描述：请采用nfs，实现共享资源的安全访问。

（1）配置linux2为kdc服务器，负责linux3和linux4的验证。

（2）在linux3上，创建用户，用户名为xiao，uid=222，gid=222，家目录为/home/xiaodir。

（3）配置linux3为nfs服务器，目录/srv/sharenfs的共享要求为：linux服务器所在网络用户有读写权限，所有用户映射为xiao，kdc加密方式为krb5p。

（4）配置linux4为nfs客户端，利用autofs按需挂载linux3上的/srv/sharenfs到/sharenfs目录，挂载成功后在该目录创建test目录。

8.kubernetes服务

任务描述：请采用kubernetes和containerd，管理容器。

（1）在linux5-linux7上安装containerd和kubernetes，linux6作为master node，linux6和linux7作为work node；使用containerd.sock作为容器runtime-endpoint。导入nginx镜像，主页内容为“HelloKubernetes”。

（2）master节点配置calico，作为网络组件。

（3）创建一个deployment，名称为web，副本数为2；创建一个服务，类型为nodeport，名称为web，映射本机80端口和443端口分别到容器的80端口和443端口。

9.ftp服务

任务描述：请采用FTP服务器，实现文件安全传输。

（1）配置linux2为FTP服务器，安装vsftpd，新建本地用户test，本地用户登陆ftp后的目录为/var/ftp/pub，可以上传下载。

（2）配置ftp虚拟用户认证模式，虚拟用户ftp1和ftp2映射为ftp，ftp1登录ftp后的目录为/var/ftp/vdir/ftp1，可以上传下载,禁止上传后缀名为.docx的文件；ftp2登录ftp后的目录为/var/ftp/vdir/ftp2，仅有下载权限。

（3）使用ftp命令在本机验证。

10.iscsi服务

任务描述：请采用iscsi，搭建存储服务。

（1）为linux8添加4块硬盘，每块硬盘大小为5G，创建lvm卷，卷组名为vg1，逻辑卷名为lv1，容量为全部空间，格式化为ext4格式。使用/dev/vg1/lv1配置为iSCSI目标服务器，为linux9提供iSCSI服务。iSCSI目标端的wwn为iqn.2023-08.lan.skills:server, iSCSI发起端的wwn为iqn.2023-08.lan.skills:client。

（2）配置linux9为iSCSI客户端，实现discovery chap和session chap双向认证，Target认证用户名为IncomingUser，密码为IncomingPass；Initiator认证用户名为OutgoingUser，密码为OutgoingPass。修改/etc/rc.d/rc.local文件开机自动挂载iscsi硬盘到/iscsi目录。

11.mysql服务

任务描述：请安装mysql服务，建立数据表。

（1）配置linux2为mysql服务器，创建数据库用户xiao，在任意机器上对所有数据库有完全权限。

（2）创建数据库userdb；在库中创建表userinfo，表结构如下：

字段名	数据类型	主键	自增
id	int	是	是
name	varchar(10)	否	否
birthday	datetime	否	否
sex	varchar(5)	否	否
password	varchar(200)	否	否

（3）在表中插入2条记录，分别为(1,user1，1999-07-01，男)，(2,user2，1999-07-02，女)，password与name相同，password字段用password函数加密。

（4）修改表userinfo的结构，在name字段后添加新字段height(数据类型为float)，更新user1和user2的height字段内容为1.61和1.62。

（5）新建/var/mysqlbak/userinfo.txt文件，文件内容如下，然后将文件内容导入到userinfo表中，password字段用password函数加密。

3,user3,1.63,1999-07-03,女,user3

4,user4,1.64,1999-07-04,男,user4

5,user5,1.65,1999-07-05,男,user5

6,user6,1.66,1999-07-06,女,user6

7,user7,1.67,1999-07-07,女,user7

8,user8,1.68,1999-07-08,男,user8

9,user9,1.69,1999-07-09,女,user9

（6）将表userinfo的记录导出，存放到/var/databak/mysql.sql，字段之间用','分隔。

（7）每周五凌晨1:00以root用户身份备份数据库userdb到/var/databak/userdb.sql(含创建数据库命令)。

12.docker服务

任务描述：请采用podman，实现有守护程序的容器应用。

（1）在linux2上安装docker-ce，导入rocky镜像。

（2）创建名称为skills的容器，映射本机的8000端口到容器的80端口，在容器内安装apache2，默认网页内容为“HelloDocker”。

（3）配置docker私有仓库。

13.shell脚本

任务描述：请采用shell脚本,实现快速批量的操作。

（1）在linux4上编写/root/createfile.sh的shell脚本，创建20个文件/root/shell/file00至/root/shell/file19，如果文件存在，则删除再创建；每个文件的内容同文件名，如file00文件的内容为“file00”。用/root/createfile.sh命令测试。

五、网络运维

某单位网络拓扑架构如下，交换机连接两台服务器，其中Server1服务器是数字取证服务器，Server2服务器是应急响应服务器，通过交换设备相连，通过路由设备连接到安全设备防火墙，单位的网络拓扑结构如下图所示。