赛题说明
一、竞赛内容分布
模块A:网络构建(60%) 模块B:服务部署(40%)
二、竞赛时间
模块A比赛时长3小时,模块B比赛时长3小时,竞赛时间共计6小时。
你作为一个 Linux 的技术工程师,被指派去构建一个公司的内部网络,要为员工提供便捷、安全稳定内外网络服务。你必须在规定的时间内完成要求的任务, 并进行充分的测试,确保设备和应用正常运行。任务所有规划都基于 Linux 操作系统,请根据网络拓扑、基本配置信息和服务需求完成网络服务安装与测试,网络拓扑图和基本配置信息如下:
(一)拓扑图ISPSrv(UOS)
-
- 完全限定域名:ispsrv.chinaskills.cn
- 网络地址/掩码:81.6.63.100/24
AppSrv(Centos)
-
- 完全限定域名:appsrv.chinaskills.cn
- 网络地址/掩码:192.168.100.100/24
StorageSrv(Centos)
-
- 完全限定域名:storagesrv.chinaskills.cn
- 网络地址/掩码:192.168.100.200/24
RouterSrv(Centos)
-
- 完全限定域名:routersrv.chinaskills.cn
- 网络地址/掩码: 192.168.100.254/24、192.168.0.254/24、81.6.63.254/24
InsideCli(Centos)
-
- 完全限定域名:insidecli.chinaskills.cn
-
- 网络地址/掩码:DHCP From AppSrv
OutsideCli(UOS)OUTSIDECLI(UOS)
-
- 完全限定域名:outsidecli.chinaskills.cn
- 网络地址/掩码:DHCP From ISPSrv
1.DHCP
-
- 为 OutsideCli 客户端网络分配地址,地址池范围:
81.6.63.110-81.6.63.190/24;
-
- 域名解析服务器:按照实际需求配置 DNS 服务器地址选项;
- 网关:按照实际需求配置网关地址选项。
2.DNS
-
- 安装 BIND9;
- 配置为 DNS 根域服务器;
- 其他未知域名解析,统一解析为该本机 IP;
- 创建正向区域“chinaskills.cn”;
- 类型为 Slave;
- 主服务器为“AppSrv”。
3.WEB 服务
-
- 安装 lighttpd(使用其他 web 平台,以下功能均不得分);
- 启用 fastcgi-php 模块;
- index.php 网页内容显示当前服务器的日期和时间(刷新页面时间自动
更新)。
1.DHCP RELAY
-
- 安装 DHCP 中继;
- 允许客户端通过中继服务获取网络地址。
2.ROUTING
-
- 开启路由转发,为当前实验环境提供路由功能;
- 根据题目要求,配置单臂路由实现内部客户端和服务器之间的通信。
3.SSH
-
- 工作端口为 2021;
- 只允许用户 user01,密码 ChinaSkill21 登录到 router。其他用户(包括
root)不能登录,创建一个新用户,新用户可以从本地登录,但不能从
ssh 远程登录;
-
- 通过 ssh 登录尝试登录到 RouterSrv,一分钟内最多尝试登录的次数为 3
次,超过后禁止该客户端网络地址访问 ssh 服务;
-
- 记录用户登录的日志到/var/log/ssh.log,日志内容要包含:源地址,目标地址,协议,源端口,目标端口;
- 将 SSH 跟 SFTP 进行分离,要求 SFTP 监听端口为 54321,并且通过服务的方式进行启动和停止。
4.IPTABLES
-
- 添加必要的网络地址转换规则,使外部客户端能够访问到内部服务器上的 dns、mail、web 和 ftp 服务;
- INPUT、OUTPUT 和 FOREARD 链默认拒绝(DROP)所有流量通行;
- 配置源地址转换允许内部客户端能够访问互联网区域。
5.Web Proxy
-
- 安装 Nginx 组件;
- 配置文件名为 proxy.conf,放置在/etc/nginx/conf.d/目录下;
- 为 www.chinaskills.cn 配置代理前端,通过 HTTPS 的访问后端 Web 服务器;
- 后端服务器日志内容需要记录真实客户端的 IP 地址;
- 缓存后端 Web 服务器上的静态页面。
1.SSH
-
- 安装 SSH,工作端口监听在 2101;
- 仅允许InsideCli 客户端进行ssh 访问,其余所有主机的请求都应该拒绝;
- 在 cskadmin 用户环境下可以免秘钥登录,并且拥有 root 控制权限。
2.DHCP
-
- 为 InsideCli 客户端网络分配地址,地址池范围:
192.168.0.110-192.168.0.190/24;
-
- 域名解析服务器:按照实际需求配置 DNS 服务器地址选项;
- 网关:按照实际需求配置网关地址选项;
- 为 InsideCli 分配固定地址为 192.168.0.190/24。
3.DNS
-
- 为 chinaskills.cn 域提供域名解析;
- 为 www.chinaskills.cn、download.chinaskills.cn 和 mail.chinaskills.cn 提供解析;
- 启用内外网解析功能,当内网客户端请求解析的时候,解析到对应的内部服务器地址,当外部客户端请求解析的时候,请把解析结果解析到提供服务的公有地址;
- 请将 IspSrv 作为上游 DNS 服务器,所有未知查询都由该服务器处理。
4.WEB 服务
-
- 安装 WEb 服务;
-
- 服务以用户 webuser 系统用户运行;
- 限制 web 服务只能使用系统 500M 物理内存;
- 全站点启用 TLS 访问,使用本机上的“CSK Global Root CA”颁发机构颁
发,网站证书信息如下:
-
- C = CN
- ST = China
- L = BeiJing
- O = skills
- OU = Operations Departments
- CN = *.chinaskills.com
- 客户端访问 https 时应无浏览器(含终端)安全警告信息;
- 当用户使用 http 访问时自动跳转到 https 安全连接;
- 搭建 www.chinaskills.cn 站点;
- 网页文件放在 StorgeSrv 服务器上;
- 在 StorageSrv 上安装 MriaDB,在本机上安装 PHP,发布 WordPress 网
站;
-
- MariaDB 数据库管理员信息:User: root/ Password: ChinaSkill23!。
- 创建网站 download.chinaskills.cn 站点;
- 仅允许 ldsgp 用户组访问;
- 网页文件存放在 StorageSrv 服务器上;
- 在该站点的根目录下创建以下文件“test.mp3, test.mp4, test.pdf”,其中
test.mp4 文件的大小为100M,页面访问成功后能够列出目录所有文件。
-
- 作安全加固,在任何页面不会出现系统和 WEB 服务器版本信息。
5.Mariadb Backup Script
-
- 脚本文件:/shells/mysqlbk.sh;
- 备份数据到/root/mysqlbackup 目录;
- 备份脚本每隔 30 分钟实现自动备份;
- 导出的文件名为 all-databases-20210213102333,其中 20210213102333
为运行备份脚本的当前时间,精确到秒。
6.MAIL
-
- 安装配置 postfix 和 dovecot,启用 imaps 和 smtps,并创建测试用户
mailuser1 和 mailuser2;
-
- 使用 mailuser1@chinaskills.cn 的邮箱向 mailuser2@chinaskills.cn 的邮箱发送一封测试邮件,邮件标题为“just test mail from mailuser1”, 邮件内容为“hello , mailuser2”;
- 使用 mailuser2@chinaskills.cn 的邮箱向 mailuser1@chinaskills.cn 的邮箱发送一封测试邮件,邮件标题为“just test mail from mailuser2”, 邮件内容为“hello , mailuser1”;
-
- 添加广播邮箱地址 all@chinaskills.cn,当该邮箱收到邮件时,所有用户都能在自己的邮箱中查看。
7.CA(证书颁发机构)
-
- CA 根证书路径/csk-rootca/csk-ca.pem;
- 签发数字证书,颁发者信息:(仅包含如下信息) C = CN
ST = China L = BeiJing O = skills
OU = Operations Departments CN = CSK Global Root CA
1.SSH
-
- 安装 openssh 组件;
- 创建的 user01、user02 用户允许访问 ssh 服务;
- 服务器本地 root 用户不允许访问;
- 修改 SSH 服务默认端口,启用新端口 3358;
- 添加用户 user01 user02 到 sudo 组;用于远程接入,提权操作。
2.DISK
-
- 添加大小均为 10G 的虚拟磁盘,配置 raid-5 磁盘。
- 创建 LVM 命名为/dev/vg01/lv01,大小为 100G,格式化为 ext4,挂在到本地目录/webdata,在分区内建立测试空文件 disk.txt。
3.NFS
-
- 共享/webdata/目录;
- 用于存储 AppSrv 主机的 WEB 数据;
- 仅允许 AppSrv 主机访问该共享。
4.VSFTPD
-
- 禁止使用不安全的 FTP,请使用“CSK Global Root CA”证书颁发机构,
颁发的证书,启用 FTPS 服务;
-
- 用户 webadmin,登录 ftp 服务器,根目录为/webdata/;
- 登录后限制在自己的根目录;
- 允许 WEB 管理员上传和下载文件,但是禁止上传后缀名为.doc .docx .xlsx 的文件;
- 限制用户的下载最大速度为 100kb/s;最大同一 IP 在线人数为 2 人;
- 用于通过工具或者浏览器下载的最大速度不超过 100kb/s;
- 一个 IP 地址同时登陆的用户进程/人数不超过 2 人。
5.SAMBA
-
- 创建 samba 共享,本地目录为/data/share1,要求:
-
- 共享名为 share1;
- 仅允许 zsuser 用户能上传文件。
- 创建 samba 共享,本地目录为/data/public,要求:
- 共享名为 public;
- 允许匿名访问;
- 所有用户都能上传文件。
6.LDAP
-
- 安装 slapd,为 samba 服务提供账户认证;
- 创建chinaskills.cn 目录服务,并创建用户组ldsgp ,将zsuser、lsusr、wuusr。
7.ShellScript
-
- 编写添加用户的脚本,存储在/shells/userAdd.sh 目录;
- 当有新员工入职时,管理员运行脚本为其创建公司账号;
- 自动分配客户端账号、公司邮箱、samba 目录及权限、网站账号等;
- 以 userAdd lifei 的方式运行脚本,lifei 为举例的员工姓名。
-
- 通过 Linux 代理模板,添加 StorageSrv、AppSrv 操作系统监控对象,查看运行状态;
- 通过中间件 Nginx 模板,添加 Nginx 监控对象,查看运行状态;
- 通过中间件 MySQL 数据库 Agent 模板,添加 Mariadb 监控对象,查看运行状态;
- 通过新增 WEB 探测对象,监控门户网站 www.chinaskills.cn,查看运行状态;
- 基于 AppSrv 上的门户网站业务,完成业务拓扑绘制,并在业务大屏上
呈现。
(六)客户端 OutsideCli 和 InsideCli 工作任务
1.OutsideCli
-
- 作为 DNS 服务器域名解析测试的客户端,安装 nslookup、dig 命令行工具;
- 作为网站访问测试的客户端,安装 firefox 浏览器, curl 命令行测试工具;
- 作为 SSH 远程登录测试客户端,安装 ssh 命令行测试工具;
- 作为 SAMBA 测试的客户端,使用图形界面文件浏览器测试, 并安装
smbclient 工具;
-
- 作为 FTP 测试的客户端,安装 lftp 命令行工具;
- 作为防火墙规则效果测试客户端,安装 Fping 命令行工具;
- 截图的时候请使用上述提到的工具进行功能测试。
2.InsideCli
-
- 作为 DNS 服务器域名解析测试的客户端,安装 nslookup、dig 命令行工具;
- 作为网站访问测试的客户端,安装 firefox 浏览器, curl 命令行测试工具;
- 作为 SSH 远程登录测试客户端,安装 ssh 命令行测试工具;
- 作为 SAMBA 测试的客户端,使用图形界面文件浏览器测试, 并安装
smbclient 工具;
-
- 作为 FTP 测试的客户端,安装 lftp 命令行工具;
- 作为防火墙规则效果测试客户端,安装 ping 命令行工具;
- 截图的时候请使用上述提到的工具进行功能测试。