Windows Server 2012 R2 伺服器網路建置與規劃

Size: px

Start display at page:

Download "Windows Server 2012 R2 伺服器網路建置與規劃"

役时
6 years ago
Views:

1 1/45 曹祖聖台灣微軟資深講師 MCP, MCP+I, MCSA, MCSE, MCDBA, MCAD, MCSD, MCTS, MCITP, MCPD, MCT, MVP

2 2/45

3 3/45 資源記錄根 (.).com 資源記錄 DNS 用戶端內部 DNS 伺服器 Internet DNS 伺服器.edu

4 4/45

5 5/45 DNS 根伺服器 DNS 伺服器根提示 DNS 伺服器.com DNS 用戶端 microsoft

6 轉寄站往返式查詢到.com 去查 DNS 根伺服器.com 6/45 本地 DNS 伺服器 DNS 用戶端 contoso.com

7 DNS 伺服器查詢快取主機名稱 IP 位址 TTL ServerA.contoso.com 秒查詢 ServerA ServerA = DNS 用戶端 #1 ServerA = 查詢 ServerA 7/45 DNS 用戶端 #2 ServerA

8/45 www.contoso.com 60 IN A 172.16.0.11 www.contoso.com 60 IN A 172.16.0.120 www.contoso.com 60 IN A 172.16.0.133 172.

8 8/ IN A IN A IN A 向 DNS 註冊 A 記錄 contoso.com DNS 伺服器

9 DNS 伺服器子網路 #2 DNS 區域 DNS 用戶端子網路 #1 DNS 用戶端 DNS 伺服器子網路 #3 DNS 區域 9/45 DNS 用戶端

10 10/45 區域類型主要次要虛設常式 (stub) AD 整合說明可讀寫, 文字檔或 AD 整合唯讀, 文字檔僅包含 DNS 伺服器的 NS 記錄, 文字檔或 AD 整合 DNS 記錄儲存在 AD 資料庫中

11 11/45 contoso.com DNS 伺服器 DNS 區域 sales DNS 子網域 DNS 區域 marketing DNS 伺服器

12/45 內部 DNS 伺服器記錄了內部電腦主機的相關記錄, 再加上 DMZ 中的公開伺服器 ( 郵件伺服器 Web 伺服器 ) 記錄外部 DNS 伺服器僅僅記錄了公開伺服器 ( 郵件伺服器 Web 伺服器 ) 記錄 Web 伺服器郵件伺服器外部 DNS 伺服器內部防火牆外部防火牆網域控制站 + DNS

12 12/45 內部 DNS 伺服器記錄了內部電腦主機的相關記錄, 再加上 DMZ 中的公開伺服器 ( 郵件伺服器 Web 伺服器 ) 記錄外部 DNS 伺服器僅僅記錄了公開伺服器 ( 郵件伺服器 Web 伺服器 ) 記錄 Web 伺服器郵件伺服器外部 DNS 伺服器內部防火牆外部防火牆網域控制站 + DNS 伺服器 DMZ 內部網路內部網路中的電腦使用從內部網路電腦如果查詢的是外, 一律將 DNS DNS 查詢送到內部的伺服器查詢到的 DNS 名稱空間 DNS IP 存取內部, 伺服器則轉寄網路或到 DMZ DMZ 的 DNS 中的伺服器伺服器去查詢, 如果 DMZ 的 DNS 伺服器也查不㺫, 則再向外查詢

13 13/45 DHCP 租約運作機制 DHCP 伺服器 #2 DHCP 伺服器 #1 DHCP 用戶端 1. DHCP 用戶端廣播 DHCPDISCOVER 封包 2. DHCP 伺服器廣播 DHCPOFFER 封包 3. DHCP 用戶端廣播 DHCPREQUEST 封包 ( 向 DHCP 伺服器 #1 要求 IP) 4. DHCP 伺服器 #1 廣播 DHCPACK 封包

14/45 DHCP 租約更新機制 DHCP 伺服器 #2 DHCP 用戶端 DHCP 伺服器 #1

如果 DHCP 用戶端錯過 50% 這個時間, 那麼在到達租約 87.5% 的時候會再嘗試送出續租要求 4.

14 14/45 DHCP 租約更新機制 DHCP 伺服器 #2 DHCP 用戶端 DHCP 伺服器 #1 到達租約時間的 100% 租約時間 87.5% 50% 1. DHCP 用戶端傳送 DHCPREQUEST 封包給原來配發 IP 的 DHCP 伺服器 2. DHCP 伺服器 #1 回傳 DHCPACK 封包, 用戶端續約成功 3. 如果 DHCP 用戶端錯過 50% 這個時間, 那麼在到達租約 87.5% 的時候會再嘗試送出續租要求 4. 如果 DHCP 用戶端錯過 87.5% 這個時間, 那麼 DHCP 用戶端的 IP 可以使用到租約至期為止, 然後就重新廣播 DHCPDISCOVER 封包, 尋找可以配發 IP 的 DHCP 伺服器

15 原本選項 81 的行為變更過的選項 81 行為 DNS 伺服器 4. 動態更新 DNS PTR 記錄 DHCP 伺服器 DNS 伺服器 3. 動態更新 DNS A 記錄 DHCP 伺服器 2. IP 租約確認 4. 動態更新 DNS PTR 記錄 3. 動態更新 DNS A 記錄 1. 要求 IP 租約 2. IP 租約確認 1. 要求 IP 租約 15/45 DHCP 用戶端主機名稱 DHCP 用戶端主機名稱

16 16/45

17 17/45

18 18/45

$台北使用者台北伺服器 2 1 \\Contoso.$

19 台北使用者台北伺服器 2 1 \\Contoso.com\Marketing 1 Folder Targets \\TPE-SRV-01\ProjectDocs \\KHH-SRV-01\ProjectDocs DFS 複寫 2 名稱空間高雄使用者高雄伺服器 19/45 1. 使用者連線 UNC 路徑 : \\contoso.com\marketing 2. 用戶端電腦連線到名稱空間伺服器, 取得實際伺服器 UNC 路徑 3. 用戶端將路徑快取至記憶體, 依照站台設計連線到最近的檔案伺服器

20 20/45 設計安全的網路 DMZ 內部網路 Internet 外部防火牆內部防火牆

21 21/45 Network Address Translation (NAT) 公司電腦 Internet 網站 NAT 伺服器

22 22/45 VPN 使用場景大型遠端分公司企業總部遠端辦公室 VPN 伺服器 VPN 伺服器 VPN 伺服器中型遠端分公司 VPN 家庭辦公室 VPN 用戶端 VPN 伺服器遠端 VPN 用戶端

23 23/45 通道通訊協定防火牆存取說明 PPTP TCP 1723 提供資料加密, 但是不提供資料完整性檢查與資料驗證 L2TP/IPsec UDP 500, UDP 1701, UDP 4500, IP 通訊協定 ID 50 可以使用憑證或密碼 (preshared key) 進行驗證 SSTP TCP 443 使用 SSL 技術, 提供資料加密資料完整性檢查與資料驗證 IKEv2 UDP 500 支援最新的 IPSec 加密演算法, 提供資料加密資料完整性檢查與資料驗證

24 24/45 協定說明安全等級 PAP 使用明碼傳輸密碼無法避免重覆撥放攻擊用戶端偽裝攻擊伺服器端偽裝攻擊 CHAP 挑戰回應式驗證 ( 不傳送密碼 ), 無法確認伺服器端身使用標準 MD5 雜湊演算法份 MS-CHAPv2 EAP MS-CHAP 的升級版, 提供雙向驗證 (mutual authentication). 用戶端確認伺服器端可以存取使用密碼資料允許延伸其它類型的驗證機制, 例如指紋比 CHAP 安全最安全的驗證方式

25 25/45

26 26/45 開始檢查原則否是有任何網路原則可以檢查嗎? 是否是否符合網路原則中指定條件? 檢查下一個網路原則是使用者帳戶的遠端存取權限是否設定為禁止存取? 否禁止連線要求是否使用者帳戶的遠端存取權限是否設定為允許存取? 否是網路原則中是否設定為禁止存取? 禁止連線要求是接受連線否連線要求是否符合使用者帳戶和連線設定檔的設定?

27 Windows Server 2012 R2 開始支援 AD FS AD DS Web Application Proxy 企應用程式 Client devices 27/45 Internet 防火牆防火牆微軟應用程式 Corporate network

28 Internet 網站內部用戶端網域控制站 DNS 伺服器 NRPT/ Consec DirectAccess 伺服器 IPv6/IPsec 外部用戶端內部網路資源 NLS Name Resolution Policy Table (NRPT) 28/45 PKI deployment

29 29/45

30 30/45

31 31/45 ISATAP 在 IPv4 網路上使用 IPv6 通道連接內部網路 6to4 DirectAccess 用戶端有公開 IP 位址 Teredo DirectAccess 用戶端位於 NAT 後方使用私有 IP 位址 IP HTTPS 無法使用以上協定的用戶端

32 32/45 Internet 網站內部用戶端連線安全規則網域控制站 DNS 伺服器 DirectAccess 伺服器 NRPT CRL 發送點 NLS 內部網路資源

33 33/45 Internet 網站 DNS 伺服器 DirectAccess 伺服器網域控制站 DNS 伺服器連線安全規則內部網路資源 NRPT 外部用戶端

34 網域控制站 Messaging 辦公室 #2 Database 總公司 NWT-CA DHCP1 DMZ Web1 VPN1 憑證授權中心 (CA) 網域控制站辦公室 #1 34/45 網域控制站

35 35/45

36 36/45 公司筆記型電腦訪客電腦與設備桌上型電腦未加入網域的私人電腦

37 37/45 方法說明 IPSec 最嚴格的 NAP, 可以指定特定的 IP 位址與通訊協定通訊埠 802.1X 連線支援 802.1X 的無線 Wifi 基地台或有線交換器 VPN 透過 VPN 連線進來的遠端用戶端 DirectAccess 透過 DirectAccess 連線進來的遠端用戶端 DHCP 讓透過 DHCP 取得 IP 的用戶端, 取得不同的 DHCP 選項, 例如預設閘道位址 DNS 伺服器最不嚴格的一種 NAP ( 使用者自行設定 IP 組態 )

38 38/45 VPN 伺服器 Active Directory 802.1X 設備 Internet 健康註冊授權中心 (HRA) DMZ DHCP 伺服器內部網路 NAP 健康原則伺服器隔離的網路修複伺服器被限制連線的 NAP 用戶端

39 修複伺服器 HRA RADIUS 訊息安全要求伺服器系統健康更新系統安全要求佇列 DHCP 伺服器 NAP 用戶端 NAP 健康原則伺服器 VPN 伺服器 39/45 IEEE 802.1X 網路存取設備

NAP 用戶端不支援 NAP 的用戶端 NAP 連線伺服器修複伺服器 NPS 伺服器憑證服務郵件伺服器 NAP

40 40/45 規劃 IPSec NAP SHAs NAP Agent NAP ECs HRA VPN 802.1X DHCP NPS 代理 NAP 管理伺服器網路原則 NAP 健康原則連線要求原則 SHVs 不符合規則的 NAP 用戶端不支援 NAP 的用戶端 NAP 連線伺服器修複伺服器 NPS 伺服器憑證服務郵件伺服器 NAP 原則伺服器安全的伺服器 SHAs NAP Agent NAP ECs 符合規則的 NAP 用戶端受限制網路邊界網路安全的內部網路

41 41/45

42 生產環境虛擬網路測試用虛擬網路生產環境虛擬機器測試用虛擬機器虛擬化實體網路實體伺服器交換器 42/45 透過伺服器虛擬化, 讓多個虛擬伺服器在同一個實體伺服器上同時運作伺服器透過網路虛擬化, 讓多個虛擬網路在同一個實體網路上同時運作

43 小型分公司 Internet AD FS AD DS Windows Server Gateway 實體網路 Hyper-V 基礎架構 43/45 生產環境虛擬網路測試用虛擬網路

44 44/45

45 45/

KillTest 质量更高服务更好学习资料半年免费更新服务

KillTest 质量更高服务更好学习资料半年免费更新服务 KillTest 质量更高服务更好学习资料 http://www.killtest.cn 半年免费更新服务 Exam : 070-647 Title : Windows Server 2008,Enterprise Administrator Version : Demo 1 / 13 1. Active directory Windows Server 2008 (WAN) WAN WAN A.