第一篇 系统安装与环境设置
项目 1 规划和安装 Windows Server 2008
一、填空题
1．Windows Server 2008标准版、Windows Server 2008企业版、Windows Server 2008 数据中心版、 Windows Web Server 2008 、Windows Server 2008安腾版、Windows Server 2008标准版（无 Hyper-V ）、Windows Server 2008企业版（无 Hyper-V ）、 Windows Server 2008数据中心版（无 Hyper-V ）和 Windows HPC Server 2008 。
2．FAT、FAT32、 NTFS NTFS
3．升级安装、远程安装、Server Core安装 4．512MB 10GB
5．数字（ 0 ～ 9 ）、特殊字符 6．角色和功能
7．30天 8．pagefile.sys 9． 1.5 倍
10．作者模式、用户模式 二、选择题
1． A 2 ． D 3 ． B 4 ． D 5 ． A 三、简答题（略）
项目 2 安装与配置 Hyper-V 服务器
习题答案
一、填空题
1．支持硬件虚拟化、 x64 位技术、硬件DEP技术 2．操作系统 硬件
3．服务器（物理计算机）配置、虚拟机配置 4． ISO 镜像文件
5．外部、内部、专用 二、选择题
1． D 2 ． B 3 ． A 4 ． A
第二篇 活动目录与系统管理
项目 3 管理域和活动目录
一、填空题
1．双向、可传递
2．DCPROMO、域控制器 3．活动目录
4．平等、双向可传递的、活动目录 5．域控制器、独立服务器、成员服务器
6．域、组织单位（Organizational Unit， OU ）、域树和域林 7．站点、域控制器和全局编录服务器
8．一
9． %SystemRoot%\Ntds 10． NETLOGON 二、选择题
1．C 2． C 三、判断题
1．√ 2 ．√ 3 ．√ 4 ． × 5 ．√ 6 ．√ 7 ． × 8 ．√ 9.×
四、简答题
1．为什么要安装额外的域控制器？什么时候需要安装多个域树？
（ 1 ）在一个域中可以有多台域控制器。安装多台域控制器有如下优点。
提高用户登录的效率。因为多台域控制器可以同时分担审核用户的工作，可以加快用 户的登录速度。当网络内的用户数量较多，或者多种网络服务都需要进行身份认证时，应当
安装多台域控制器。
提供容错功能。即使其中一台域控制器出错，仍然可以由其他域控制器提供服务，让 用户可以正常登录，并提供用户身份认证。
无需备份活动目录。域内多台域控制器（ Domain Controler ， DC ）之间可以相互复 制和备份。因此，当重新安装其中一台域控制器时，备份活动目录并不是必须的，只需将其 从域中删除，再重新安装，并使之回到域中，那么其他 DC 会自动将数据复制到这台 DC 上。
也就是说，如果一个域内只有或者只剩下最后一台 DC 时，才有必要而且必须对 AD 进行备 份。
（ 2 ）当网络中有多个域名，而这些域名的名字不连续的时候，如一个是ab.com，另 一个是cd.com，要为每个域建立一个域树。
2．简述什么是活动目录、域、活动目录树和活动目录林。
什么是活动目录呢？活动目录就是 Windows 网络中的目录服务。所谓目录服务，有 两方面内容：目录和与目录相关的服务。活动目录是一个分布式的目录服务，信息可以分散 在多台不同的计算机上保证用户能够快速访问，因为多台计算机上有相同的信息，所以在信 息容错方面具有很强的控制能力。既提高了管理效率，又使网络应用更加方便。
域是在Windows NT/2000/2003网络环境中组建客户机 / 服务器网络的实现方式。所谓 域，是由网络管理员定义的一组计算机集合，实际上就是一个网络。在这个网络中，至少有 一台称为域控制器的计算机充当服务器角色。在域控制器中保存着整个网络的用户账号及目 录数据库，即活动目录。构建域后，管理员可以对整个网络实施集中控制和管理。
当需要配置一个包含多个域的网络时，应该将网络配置成域目录树结构。域目录树是 一种树型结构。在整个域目录树中，所有域共享同一个活动目录，即整个域目录树中只有一 个活动目录。在配置一个较大规模的企业网络时，可以配置为域目录树结构，比如将企业总 部的网络配置为根域，各分支机构的网络配置为子域，整体上形成一个域目录树，以实现集 中管理。
如果网络的规模比域目录树还要大，甚至包含了多个域目录树，这时可以将网络配置 为域目录林（也称森林）结构。域目录林由一个或多个域目录树组成。域目录林中的每个域 目录树都有唯一的命名空间，它们之间并不是连续的。在整个域目录林中也存在着一个根域，
这个根域是域目录林中最先安装的域。
3．简述什么是信任关系。
信任关系是网络中不同域之间的一种内在联系。只有在两个域之间创建了信任关系，
这两个域才可以相互访问。在通过Windows Server 2003系统创建域目录树和域目录林时，域 目录树的根域和子域之间、域目录林的不同树根之间都会自动创建双向的、传递的信任关系，
有了信任关系，根域与子域之间、域目录林中的不同树之间可以互相访问，并可以从其他域 登录到本域。
4．为什么在域中常常需要DNS服务器？
Windows Server 2003使用DNS服务器来登记域控制器的IP地址、各种资源的定位等。
5．活动目录中存放了什么信息？
活动目录存放了域林中的各种信息，包括用户、组的信息、域的架构等都分别存放在 域林中的各个域控制器上的活动目录中。
项目 4 管理用户账户和组
一、填空题
1．本地组 域组
2．本地用户账户、域用户账户、内置账户 3．用户配置文件夹 All User （公用）文件夹
4．非域控制器的“本地安全账户数据库（ SAM ）”、域控制器的活动目录数据库 5．本地域组、全局组、通用组
二、选择题
1． C 2 ． C 3 ． C 4 ． A 三、简答题
1．简述工作组和域的区别
（也作为一种补充资料）
（ 1 ）工作组 Work Group
在一个网络内可能有成百上千台电脑，如果这些电脑不进行分组，都列在 “网上邻居”
内，可想而知会有多么乱。为了解决这一问题， Windows 9x/NT/2000/2003 就引用了“工作 组”这个概念，将不同的电脑按功能分别列入不同的组中，如财务部的电脑都列入“财务部”工 作组中，人事部的电脑都列入“人事部”工作组中。你要访问某个部门的资源，就在“网上邻 居”里找到那个部门的工作组名，双击就可以看到那个部门的电脑了。
那么怎么加入工作组呢？其实很简单，你只需要右击Windows桌面上的“网上邻居”图 标，在弹出的菜单中选择“属性”命令，单击“标识”，在“计算机名”一栏中添入你想好的名字，
在“工作组”一栏中添入你想加入的工作组名称。
如果你输入的工作组名称以前没有，那么相当于新建一个工作组，当然只有你的电脑 在里面。计算机名和工作组的长度不能超过15个英文字符，可以输入汉字，但是不能超过 7 个。“计算机说明”是附加信息，不填也可以，但是最好填上一些这台电脑主人的信息，如“技 术部主管”等。单击“确定”按钮后， Windows 98 提示需要重新启动，按要求重新启动之后再 进入“网上邻居”，就可以看到你所在工作组的成员了。
一般来说，同一个工作组内部成员相互交换信息的频率最高，所以一进入 “网上邻居”，
首先看到的是你所在工作组的成员。如果要访问其他工作组的成员，需要双击 “整个网络”，
就会看到网络上所有的工作组，双击工作组名称，就会看到里面的成员。
你也可以退出某个工作组，只要将工作组名称改动即可。不过这样在网上别人照样可 以访问你的共享资源，只不过换了一个工作组而已。你可以随便加入同一网络上的任何工作 组，也可以离开一个工作组。“工作组”就像一个自由加入和退出的俱乐部一样，它本身的作 用仅仅是提供一个“房间”，以方便网上计算机共享资源的浏览。
（ 2 ）域 Domain
与工作组的“松散会员制”有所不同，“域”是一个相对严格的组织。“域”指的是服务器控
制网络上的计算机能否加入的计算机组合。
实行严格的管理对网络安全是非常必要的。在对等网模式下，任何一台电脑只要接入 网络就可以访问共享资源，如共享 ISDN 上网等。尽管对等网络上的共享文件可以加访问密 码，但是非常容易被破解。在由 Windows 9x 构成的对等网中，数据是非常不安全的。
在“域”模式下，至少有一台服务器负责每一台联入网络的电脑和用户的验证工作，相 当于一个单位的门卫一样，称为“域控制器（ Domain Controller ， DC ）”。“域控制器”中包 含了由这个域的账户、密码、属于这个域的计算机等信息构成的数据库。当电脑联入网络时，
域控制器首先要鉴别这台电脑是否是属于这个域的，用户使用的登录账号是否存在、密码是 否正确。如果以上信息不正确，域控制器就拒绝这个用户从这台电脑登录。如不能登录，用 户就不能访问服务器上有权限保护的资源，只能以对等网用户的方式访问Windows共享出来 的资源，这样就在一定程度上保护了网络上的资源。
想把一台电脑加入域，仅仅使它和服务器在“网上邻居”能够相互看到是远远不够的，
必须要由网络管理员进行把这台电脑加入域的相关操作。操作过程由服务器端设置和客户端 设置构成。
① 服务器端设置
以系统管理员身份在已经设置好Active Directory （活动目录）的Windows Server 2003 上登录，单击“开始 / 程序 / 管理工具 /Active Directory 用户和计算机”，在程序界面中右击
“ computers” （计算机），在弹出的菜单中选择“新建 / 计算机”命令，填入想要加入域的 计算机名即可。要加入域的计算机名最好为英文，否则系统会提示中文计算机名可能会引起 一些问题。
② 客户端设置
首先要确认计算机名称是否正确，然后在桌面“网上邻居”上右击，单击“属性”命令，
出现网络属性设置窗口，确认“主网络登录”为“Microsoft网络用户”。
选中窗口上方的“ Microsoft网络用户”（如果没有此项，说明没有安装，单击“添加”按 钮安装“ Microsoft网络用户”项）。单击“属性”按钮，出现“ Microsoft网络用户 属性”对话框，
选中“登录到 Windows NT 域”复选框，在“ Windows NT 域”栏中输入要登录的域名。
Windows 98 会提示需要重新启动计算机，重新启动后，会出现一个登录对话框。在 输入正确的域用户账号、密码以及登录域之后，就可以使用Windows Server 2003域中的资源 了。请注意，这里的域用户账号和密码必须是网络管理员为用户创建的那个账号和密码，而 不是由本机用户自己创建的账号和密码。如果没有将计算机加入域，或者登录的域名、用户 名、密码有一项不正确，就会出现错误信息。
2．简述通用组、全局组和本地域组的区别
① 通用组
通用组可以设置所有域内的访问权限，以便访问所有域资源。其特征如下：
通用组成员可以包括整个域林（多个域）中任何一个域内的用户，但无法包含任何一 个域内的本地域组。
通用组可以访问任何一个域内的资源，也就是说，可以在任何一个域内设置通用组的 权限，无论该通用组是否在同一个域内。
这意味着一旦将适当的成员添加到通用组，并赋予通用组执行任务的权利和赋予成员
适当的访问资源权限，成员就可以管理整个企业。管理企业最有效的方式就是使用通用组，
而不必使用其他类型的组。
② 全局组
全局组主要用于组织用户，即可以将多个被赋予相同权限的用户账户加入到同一个全 局组内。其特征如下：
全局组内的成员只能包含所属域内的用户与全局组，即只能将同一个域内的用户或其 他全局组加入到全局组内。
全局组可以访问任何一个域内的资源，即可以在任何一个域内设置全局组的使用权限，
无论该全局组是否在同一个域内。
③本地域组
本地域组的概念是在 Windows 2000 中引入的。本地域组主要用于指定其所属域内的 访问权限，以便访问该域内的资源。对于只拥有一个域的企业而言，建议选择“本地域组”选 项。它的特征如下：
本地域组内的成员可以是任何一个域内的用户、通用组与全局组，也可以是同一个域 内的本地域组，但不能是其他域内的域本地组。
域本地组只能访问同一个域内的资源，无法访问其他不同域内的资源。也就是说，当 在某台计算机上设置权限时，可以设置同一域内的本地域组的权限，但无法设置其他域内的 本地域组的权限。
项目 5 管理存储设备
一、填空题
1．基本磁盘 动态磁盘 2． 4 4 3
3．简单卷（ Simple Volume ）、跨区卷（ Spanned Volume ）、带区卷（ Striped Volume ）、镜像卷（ Mirrored Volume ）、带奇偶校验的带区卷
4．convert e: /fs:ntfs
5．条带卷 RAID 0 镜像卷（ Mirrored Volume ） 带奇偶校验的带区卷 6．50%、 (n-1)/n
二、选择题
1． D 2 ． D 3 ． A 4 ． B 三、简答题
1．简述基本磁盘与动态磁盘的区别
（ 1 ）基本磁盘管理
基本磁盘是平常使用的默认磁盘类型，通过分区来管理和应用磁盘空间。一个基本磁 盘可以划分为主磁盘分区（Primary Partition）和扩展磁盘分区（ Extended Partition ），但是 最多只能建立 1 个扩展磁盘分区。一个基本磁盘最多可以分为 4 个区，即 4 个主磁盘分区或
3个主磁盘分区和 1 个扩展磁盘分区。主磁盘分区通常用来启动操作系统，一般可以将分完 主磁盘分区后的剩余空间全部分给扩展磁盘分区，扩展磁盘分区再分成若干逻辑分区。基本 磁盘中的分区空间是连续的。从Windows Server 2003开始，用户可以扩展基本磁盘分区的尺 寸，这样做的前提是磁盘上存在连续的未分配空间。
在安装Windows Server 2003时，硬盘将自动初始化为基本磁盘。基本磁盘上的管理任 务包括磁盘分区的建立、删除、查看以及分区的挂载和磁盘碎片整理等。
（ 2 ）动态磁盘管理
动态磁盘使用卷（ Volume ）来组织空间，使用方法与基本磁盘分区相似。动态磁盘 卷可建立在不连续的磁盘空间上，且空间大小可以动态地变更。动态卷的创建数量也不受限 制。在动态磁盘中可以建立多种类型的卷，以提供高性能的磁盘存储能力。
动态磁盘提供了更好的磁盘访问性能及容错等功能。可以将基本磁盘转换为动态磁盘，
而不损坏原有的数据。动态磁盘若要转换为基本磁盘，则必须删除原有的卷才可以转换。
Windows Server 2008中支持的动态卷类型包括：简单卷（ Simple Volume ）、跨区卷
（Spanned Volume）、带区卷（ Striped Volume ）、镜像卷（ Mirrored Volume ）、带奇偶 校验的带区卷。
2．磁盘碎片整理的作用是什么？
计算机磁盘上的文件并非保存在一个连续的磁盘空间上，而是把一个文件分散存放在 磁盘的许多地方，这样的分布会浪费磁盘空间。我们习惯称之为“磁盘碎片”，在经常进行添 加和删除文件等操作的磁盘上，这种情况尤其严重。“磁盘碎片”会增加计算机访问磁盘的时 间，降低整个计算机的运行性能。因而，计算机使用一段时间后，就要对磁盘进行碎片的整 理。
磁盘碎片整理程序可以重新安排计算机硬盘上的文件、程序以及未使用的空间，以便 程序运行得更快、文件打开得更快。磁盘碎片整理并不影响数据的完整性。
3．Windows Server 2008中支持的动态卷类型有哪些？各有何特点？
Windows Server 2008中支持的动态卷类型包括：
①简单卷（Simple Volume）：与基本磁盘的分区类似，只是其空间可以扩展到非连续 的空间上。
②跨区卷（Spanned Volume）：可以将多个磁盘（至少 2 个，最多32个）上的未分配 空间，合成一个逻辑卷。使用时先写满一部分空间，再写入下一部分空间。
③带区卷（ Striped Volume ）：又称条带卷 RAID 0 ，将 2 ～32个磁盘空间上容量相 同的空间组合成一个卷，写入时将数据分成 64KB 大小相同的数据块同时写入卷的每个磁盘 成员的空间上。带区卷提供最好的磁盘访问性能，但是带区卷不能被扩展或镜像，并且不提 供容错功能。
④镜像卷（ Mirrored Volume ）：又称 RAID 1 技术，是将两个磁盘上相同尺寸的空 间建立为镜像，有容错功能，但空间利用率只有50%，实现成本相对较高。
⑤带奇偶校验的带区卷：采用 RAID 5 技术，每个独立磁盘进行条带化分割、条带区 奇偶校验，校验数据平均分布在每块硬盘上。容错性能好，应用广泛，需要三个以上磁盘。
其平均实现成本低于镜像卷。
4．基本磁盘转换为动态磁盘应注意什么问题？如何转换？
动态磁盘提供了更好的磁盘访问性能及容错等功能。可以将基本磁盘转换为动态磁盘，
而不损坏原有的数据。动态磁盘若要转换为基本磁盘，则必须先删除原有的卷。
在转换磁盘之前，需要关闭这些磁盘上运行的程序。如果转换启动盘，或者要转化的 磁盘中的卷或分区正在使用，则必须重新启动计算机才能够成功转换。
5．如何限制某个用户使用服务器上的磁盘空间？
设置磁盘配额。
项目 6 配置与管理打印服务器
一、填空题
1．打印服务器 + 打印机 打印服务器 + 网络打印机 2．本地打印机 网络接口打印机
3．多 1 99 4．打印机池
5．Administrators组、域控制器上的 Print Operator Server Operator 6．针式打印设备、喷墨打印设备
7．共享该打印机
8．重新安排这些文档的顺序 9．删除打印文档
二、选择题
1． B 2 ． A 3 ． D 4 ． C 三、简答题
1．简述打印机、打印设备和打印服务器的区别。
（ 1 ）打印机：即逻辑打印机，打印服务器上的软件接口。当发出打印作业时，作业 在发送到实际的打印设备之前，先在逻辑打印机上进行后台打印。
（ 2 ）打印设备：实际执行打印的物理设备可以分为本地打印设备和带有网络接口的 打印设备。根据使用的打印技术，可以分为针式打印设备、喷墨打印设备和激光打印设备。
（ 3 ）打印服务器：连接本地打印机，并将打印机共享出来的计算机系统。网络中的 打印客户机会将作业发送到打印服务器处理，因此打印服务器需要有较高的内存以处理作业，
对于较频繁的或大尺寸文件的打印环境，还需要打印服务器上有足够的磁盘空间以保存打印 假脱机文件。
2．简述共享打印机的优点，并举例。
最主要的是节省资源、充分利用资源。举例略。
3．为什么用多个打印机连接同一打印设备？
要利用打印优先级系统，需为同一打印设备创建多个逻辑打印机。为每个逻辑打印机 指派不同的优先等级，然后创建与每个逻辑打印机相关的用户组。
第三篇 常用网络服务
项目 7 配置与管理 DNS 服务器
一、填空题
1．区域（ Zone ） 2． gov
3． MX
4． ping nslookup 5．正向查询、反向查询 6．递归查询
7．主机地址 8．反向搜索 9．hostname
10． 1.168.192.in-addr.arpa 二、选择题
1． A 2 ． A 3 ． A 4 ． A 5 ． C 三、简答题
1．DNS的查询模式有哪几种？
按照DNS搜索区域的类型，DNS的区域可分为正向搜索区域和反向搜索区域。正向搜 索是DNS服务器要实现的主要功能，它根据计算机的DNS名称解析出相应的IP地址；而反向 搜索则是根据计算机的IP地址解析出它的DNS名称。
（ 1 ）正向查询
其查询方式有两种：递归查询和转寄查询。
递归查询：当收到DNS工作站的查询请求后，DNS服务器在自己的缓存或区域数据库 中查找，如找到，则返回结果；如找不到，则返回错误结果。即DNS服务器只会向DNS工作 站返回两种信息：在该DNS服务器上查到的结果和查询失败。该DNS服务器不会主动告诉 DNS工作站另外的DNS服务器的地址，而需要DNS工作站自行向该DNS服务器询问。“递归”
的意思就是有来有往，并且来往的次数是一致的。一般由DNS工作站提出的查询请求便属于 递归查询。
转寄查询（又称迭代查询）：当收到DNS工作站的查询请求后，如果在DNS服务器中 没有查到所需数据，该DNS服务器便会告诉DNS工作站另外一台DNS服务器的IP地址，然后 再由DNS工作站自行向此DNS服务器查询，依此类推，一直到查到所需数据为止。如果到最 后一台DNS服务器都没有查到所需数据，则通知DNS工作站查询失败。“转寄”的意思就是，
若在某地查不到，该地就会告诉你其他地方的地址，让你转到其他地方去查。一般在DNS服
务器之间的查询请求便属于转寄查询（DNS服务器也可以充当DNS工作站的角色）。
（ 2 ）反向查询
反向查询的方式与递归查询和转寄查询两种方式都不同，递归查询和转寄查询都是正 向查询，而反向查询则恰好相反，它是从客户机收到一个IP地址，然后返回对应的域名。
2．DNS常见的资源记录有哪些？
SOA：初始授权记录。
NS：名称服务器记录，指定授权的名称服务器。
A：主机记录，实现正向查询，建立域名到IP地址的映射。
CNAME：别名记录，为其他资源记录指定名称的替补。
PTR ：指针记录，实现反向查询，建立IP地址到域名的映像。
MX：邮件交换记录，指定用来交换或者转发邮件信息的服务器。
3．DNS的管理与配置流程是什么？
（ 1 ）安装和管理DNS服务器。
（ 2 ）创建和管理DNS区域。
（ 3 ）设置DNS服务器。
（ 4 ）设置DNS客户端。
4．DNS服务器属性中的“转发器”的作用是什么？
转发器主要用来帮助解析该DNS服务器不能回答的DNS查询时，可转到另一个DNS服 务器的IP地址。如果服务器是根服务器，则没有转发器属性对话框。
5．什么是DNS服务器的动态更新？
Windows 2000/2003系统在DNS客户端和服务器端支持DNS动态更新，允许在每个区 域上启用或禁用动态更新。默认情况下，DNS客户端服务在配置用于TCP/IP时，将动态更新 DNS中的主机资源记录。Windows 2000/XP/2003计算机支持动态DNS，通过动态更新协议，
允许DNS客户机变动时自动更新DNS服务器上的资源记录，而不需要管理员的干涉。除了在 DNS客户端和服务器之间实现DNS动态更新外，还可以通过 DHCP 服务器来代理 DHCP 客户 机向支持动态更新的DNS服务器进行DNS记录更新。
四、案例分析
分析：企业内部员工在访问 Intranet 资源时，使用企业内部的DNS服务器提供解析；
访问 Internet 时，需要使用 ISP 提供的DNS服务器来完成域名解析。
解决办法：使用DNS服务器的“转发器”功能，可以很方便地实现用户的需求。在 DNS 服务器的“属性”对话框中选择“转发器”选项卡。在“所选域的转发器的 IP地址列表”中添加
ISP提供的DNS服务器的IP地址即可。
项目 8 配置与管理 DHCP 服务器
一、填空题
1． DHCPDISCOVER 、DHCPOFFER、 DHCPREQUEST 、DHCPACK 2．169.254.0.1 到169.254.255.254
3．服务器选项、作用域选项、类别选项、保留选项 4．ipconfig ipconfig /release ipconfig /renew 5．客户端 / 服务器（ Client/Server ） 6．BOOTROM
7．自动分配、动态分配、手工分配 8．50%
二、选择题
1． C 2 ． B 3 ． D 4 ． C 5 ． D 6 ． D 7 ． C 三、简答题
1．动态IP地址方案有什么优点和缺点？简述 DHCP 服务器的工作过程。
优点：减少网络管理员管理IP地址的工作量；提高IP地址的使用率，节约IP地址。
缺点：主机获得的IP地址不固定，对于提供网络服务的主机不适用；需要 DHCP 服务 器。
DHCP服务器的工作过程：
（ 1 ） DHCP 客户机发送IP租用请求。
（ 2 ） DHCP 服务器提供IP地址。
（ 3 ） DHCP 客户机进行IP租用选择。
（ 4 ） DHCP 服务器IP租用认可。
2．如何备份与还原 DHCP 数据库？
（ 1 ）备份 DHCP
先停止 DHCP 服务，然后将 %systemroot%\System32\dhcp\backup\new 文件夹内的所有 内容进行备份，可以备份到其他磁盘、磁带机上，以备系统出现故障时还原。或者直接 将 %systemroot%\System32\dhcp 文件中的dhcp.mdb数据库文件备份出来。
（ 2 ）还原过程
① 停止 DHCP 服务。
② 在 %Systemroot%\system32\dhcp （ 数 据 库 文 件 的 路 径 ） 目 录 下 ， 删 除 J50.log， j50xxxxx.log 和dhcp.tmp 文件。
③ 复制备份的dhcp.mdb到 %Systemroot%\system32\dhcp 目录下。
④ 重新启动 DHCP 服务。
四、案例分析
1．分析：原因可能是没有获得正确的IP地址，因为人事部和财务部一般不设置在一 个网段内。用户的计算机搬到财务部后需要重新获得一个IP地址。
解决办法：可以根据财务部的 IP 地址范围为用户手动设置一个 IP 地址。最好 的方法是选择自动获得 IP 地址，一般情况下，企业内部都安装有 DHCP 服务器，可 以使 用 ipconfig /release 命 令， 先释 放掉 计算 机 现 有的 IP 地 址， 然后 使用 ipconfig /renew 命令重新获得一个新的 IP 地址就可以了。也可以直接使用 ipconfig
/renew 命令获得新的 IP 地址。
2．分析：因为新添加的作用域与 DHCP 服务器不在同一个子网中，所以新建的作用 域中的IP地址不能自动分配给客户端计算机。
解决办法：创建超级作用域，将所有的作用域都添加到这个超级作用域中。
项目 9 配置与管理 IIS 服务器
一、填空题
（ 1 ） Internet 、 Intranet 、 Extranet
（ 2 ）虚拟目录
（ 3 ） ftp ftp.long.com ls anonymous 电子邮件账户
（ 4 ） CuteFTP 、 LeapFTP 、FlashFXP
（ 5 ）匿名 FTP 身份验证、基本 FTP 身份验证 二、选择题
1． A 2 ． C 3 ． A 4 ． A 三、判断题
1．√ 2 ．√ 3 ． × 4 ．√ 5.√
四、简答题
1．简述架设多个Web网站的方法
架设多个Web网站可以通过以下三种方式：
（ 1 ）使用不同IP地址架设多个Web网站。
（ 2 ）使用不同端口号架设多个Web网站。
（ 3 ）使用不同主机头架设多个Web网站。
在创建一个Web网站时，要根据企业本身现有的条件，如投资的多少、IP地址的多少、
网站性能的要求等，选择不同的虚拟主机技术。
2． IIS 7.0 提供的服务有哪些？
IIS 提供了基本服务，包括发布信息、传输文件、支持用户通信和更新这些服务所依 赖的数据存储。
（ 1 ）万维网发布服务。
（ 2 ）文件传输协议服务。
（ 3 ）简单邮件传输协议服务。
（ 4 ）网络新闻传输协议服务。
（ 5 ）管理服务。
3．什么是虚拟主机？
将一个物理主机分割成多个逻辑上的主机使用，这些逻辑上的主机就是虚拟主机。虽
然虚拟主机能够节省经费，对于访问量较小的网站来说比较经济实惠，但由于这些虚拟主机 共享这台服务器的硬件资源和带宽，在访问量较大时就容易出现资源不够用的情况。
4．简述创建 AD 用户隔离 FTP 服务器的步骤。
（略）
项目 10 配置与管理 WINS 服务器
一、填空题
1． 16 B 结点（广播）、 P 结点（对等）、M结点（混合）、 H 结点（杂交）
2．注册名称、更新名称、释放名称、解析名称 二、简答题
1．已经有了DNS，为什么还需要 NetBIOS 名？
NetBIOS协议是基于本地局域网的UDP广播，具有解析速度快、无须另外配置的好处，
而带来的缺点就是广播不能跨越网段以及增加了网络流量，因此微软公司推出了 Windows Internet 名称服务（ WINS ）。当客户计算机配置为使用 WINS 服务器时，客观存在直接和 WINS服务器进行单播通信，这样可避开 NetBIOS 协议使用广播时的这两大缺陷。
NetBIOS名称解析方式虽然已经不再作为主要的名称解析方式，但是在非活动目录环 境中仍然在广泛使用。 NetBIOS 名称解析所带来的广播流量是非常大的，而 WINS 服务器最 大的作用就是可以消除 NetBIOS 名称解析方式所带来的大量广播流量，而且部署简单方便。
2．简述 WINS 的工作过程
（ 1 ）注册名称。
（ 2 ）更新名称。
（ 3 ）释放名称。
（ 4 ）解析名称。
3．如何备份 WINS 数据库？
备份 WINS 数据库的步骤如下：
（ 1 ）打开 WINS 控制台，选择合适的 WINS 服务器。
（ 2 ）在“操作”菜单上单击“备份数据库”选项。打开“浏览文件夹”对话框，选择 WINS 数据备份的位置，单击“确定”按钮。
（ 3 ）备份过程完成之后，单击“确定”按钮。
第四篇 网络互联与安全
项目 11 配置路由和远程访问
一、填空题
（ 1 ） Private Network 虚拟专用网 Network Address Translator 网络地址转换
（ 2 ）远程客户端通过VPN连接到局域网、两个局域网通过VPN互联
（ 3 ） PPTP （ Point-to-Point Tunneling Protocol ， 点 对 点 隧 道 协 议 ） 、 L2TP （ Layer Two Tunneling Protocol ，第二层隧道协议）。
（ 4 ） route print 二、选择题
1． A 2 ． B 3 ． B 4 ． C 5 ． D 6 ． B 三、简答题
1．什么是专用地址和公用地址？
（ 1 ）专用地址
要使小型办公室或家庭办公室中的多个计算机能通过 Internet 进行通信，每个计 算机都必须有自己的公用地址。 IP 地址是有限的资源，为网络中数以亿计的主机分配公 用的 IP 地址是不可能的。因此， NIC 为公司专用网络提供了保留网络 IP 专用的 方案。这些专用网络 ID 包括：
子网掩码为255.0.0.0 的 10.0.0.0 （一个 A 类的地址）
子网掩码为255.240.0.0 的172.160.0.0 （一个 B 类的地址）
子网掩码为255.255.0.0 的192.168.0.0 （一个 C 类的地址）
这些范围内的所有地址都称为专用地址。局域网（ LAN ）可根据自身计算机的多少 和网络的拓扑结构进行选择。
（ 2 ）公用地址
Internet 使用TCP/IP协议，所有联入 Internet 的计算机必须有一个唯一合法的IP地址，
它由 Internet 网络信息中心（简称 NIC ）分配。 NIC 分配的IP地址称为公用地址或合法的IP 地址。一般的单位或家庭由 Internet 服务提供商（ ISP ）处申请获得公用合法的IP地址，
ISP向Inter NIC申请得到某一序列号IP地址，然后再租借给用户。
2．网络地址转换 NAT 的功能是什么？
网络地址转换器 NAT （ Network Address Translator ）位于使用专用地址的 Intranet 和使用公用地址的 Internet 之间。从 Intranet 传出的数据包由 NAT 将它们的专用地址转换 为公用地址。从 Internet 传入的数据包由 NAT 将它们的公用地址转换为专用地址。这样在 内网中计算机使用未注册的专用IP地址，而在与外部网络通信时使用注册的公用IP地址，大 大降低了连接成本。同时 NAT 也起到将内部网络隐藏起来、保护内部网络的作用，因为对 外部用户来说，只有使用公用IP地址的 NAT 是可见的。
3．简述地址转换的原理，即 NAT 的工作过程 NAT 地址转换协议的工作过程主要有以下四步：
（ 1 ）客户机将数据包发给运行 NAT 的计算机。
（ 2 ） NAT 将数据包中的端口号和专用的IP地址换成它自己的端口号和公用的IP地 址，然后将数据包发给外部网络的目的主机，同时在映像表中记录一个跟踪信息，以便向客 户机发送回答信息。
（ 3 ）外部网络发送回答信息给 NAT 。
（ 4 ） NAT 将所收到的数据包的端口号和公用IP地址转换为客户机的端口号和内部 网络使用的专用IP地址，并转发给客户机。
4．下列不同技术有何异同？
① NAT 与路由
NAT 可将大量未注册的网络内部的专用地址转换为个别公用地址，降低了网络成本。
NAT 提供了路由所不支持的网络安全性。
因为要进行地址转换，所以 NAT 要比路由占用更多的网络资源，并且不是支持所有 的协议。
② NAT 与代理服务器
二者都提供地址转换功能，且提供网络的安全性。
代理服务器需配置端口，且提供对客户访问数据的缓存功能。
③ NAT 与 Internet 共享
NAT 与 Internet 共享功能相同，只是 Internet 共享的配置简单。
Internet 共享只适用于小型的网络。需要固定的内部IP地址，只能使用一个公用IP地 址，只允许单个内部网络接口。
项目 12 监测网络系统与优化性能
一、填空题
1．性能日志和警报、服务器性能审查程序、系统监视器、资源视图、性能监视器、
可靠性监视器
2．perfmon /res”
3．数据收集器集 4．性能计数器警报 二、简答题（略）
项目 13 安全管理 Windows Server 2008
一、填空题
1．读取（ Read ）、写入（ Write ）、列出文件夹内容（ List Folder Contents ）、
读取和运行（ Read & Execute ）、修改（Modify）、完全控制（Full Control）
2．访问权限
3．权限、加密、压缩、磁盘配额
4．Administrators、Server Operators、 Power Users 5．硬件资源、软件资源
6． $
7．完全控制、更改、读取
8． NTFS 文件系统 二、选择题
1． D 2 ． C 3 ． A 三、判断题
1．√ 2 ．√ 3 ．√ 4 ．√ 5 ． × 6 ．√ 7 ．√
四、简答题
1．简述FAT、FAT32和 NTFS 文件系统的区别
（作为一种补充资料）
在推出 FAT32 文件系统之前，通常 PC 机使用的文件系统是 FAT16 。像基于 MS- DOS、 Windows 95 等系统都采用了FAT16文件系统。在 Windows 9X 下，FAT16支持的分 区最大为2GB。我们知道计算机将信息保存在硬盘上称为“簇”的区域内。使用的簇越小，保 存信息的效率就越高。在FAT16的情况下，分区越大，簇就相应地越大，存储效率就越低，
势必造成存储空间的浪费。并且随着计算机硬件和应用的不断提高，FAT16文件系统已不能 很好地适应需求。在这种情况下推出了增强的文件系统 FAT32。同FAT16相比，FAT32主要 具有以下特点：
（ 1 ） 同 FAT16 相 比 ， FAT32 最 大 的 优 点 是 可 以 支 持 的 磁 盘 大 小 达 到 2TB（ 2047GB ），但是不能支持小于 512MB 的分区。基于FAT32的 Windows 2000 可以 支持最大分区为 32GB ；而基于 FAT16的 Windows 2000 支持的最大分区为4GB。
（ 2 ）由于采用了更小的簇，FAT32文件系统可以更有效率地保存信息。如两个分区 大小都为2GB，一个分区采用了FAT16文件系统，另一个分区采用了FAT32文件系统。采用 FAT16的分区的簇大小为 32KB ，而FAT32分区的簇只有4KB。这样FAT32就比FAT16的存 储效率要高很多，通常情况下可以提高15%。
（ 3 ）FAT32文件系统可以重新定位根目录和使用FAT的备份副本。另外FAT32分区 的启动记录被包含在一个含有关键数据的结构中，减少了计算机系统崩溃的可能性。
当 然 了 NTFS 和 FAT32 都 是 目 前 比 较 流 行 的 磁 盘 分 区 格 式 ， 由 FAT→FAT16→FAT32→NTFS， NTFS 功能强一些，其功能如下：
（ 1 ） NTFS 支持文件加密和分别管理功能（也就是著名的 EFS 加密格式），可为用 户提供更高层次的安全保证。
（ 2 ） NTFS 具有更好的磁盘压缩性能，可进一步满足小硬盘用户的需要（读取会慢 一些）。
（ 3 ） NTFS 最大支持高达 2TB （1TB＝ 1024GB ）的大硬盘，而且它的性能不 会随着磁盘容量的增大而降低。
由此可见， NTFS 格式具有许多独特的优点。不过它也有一个缺点，那就是该磁盘文 件格式不能被除它自己以外的其他操作系统所识别（NT 4.0也不例外），这就对数据交流造 成了一定的影响，也就不支持DOS操作系统了。
所以，只使用 Windows 2000/2003的用户应首选使用 NTFS 格式，要是同时使用
Windows 2000/2003 和其他操作系统，则应谨慎。最好将磁盘划分为多个不同的磁盘分区，
将 Windows 2000/2003 安装到其中的一个磁盘分区并选择使用 NTFS 格式；将其他操作 系统安装到另外的磁盘分区中并使用 FAT 或 FAT32 格式。
NTFS文件系统是一个基于安全性的文件系统，是 Windows NT 所采用的独特的文件 系统结构，它是建立在保护文件和目录数据基础上，同时可以节省存储资源、减少磁盘占用 量的一种先进的文件系统。使用非常广泛的Windows NT 4.0采用的就是NTFS 4.0文件系统，
相信它所带来的强大的系统安全性一定给广大用户留下了深刻的印象。 Windows 2000 采用 了更新版本的 NTFS 文件系统NTFS 5.0，它的推出使得用户不但可以像 Windows 9X 那样方 便快捷地操作和管理计算机，同时也可以享受到 NTFS 所带来的系统安全性。
NTFS 5.0的特点主要体现在以下几个方面：
（ 1 ） NTFS 可以支持的分区（如果采用动态磁盘则称为卷）大小可以达到2TB。而 Windows 2000 中的FAT32支持分区的大小最大为 32GB 。
（ 2 ） NTFS 是一个可恢复的文件系统。在 NTFS 分区上，用户很少需要运行磁盘修 复程序。 NTFS 通过使用标准的事物处理日志和恢复技术来保证分区的一致性。发生系统失 败事件时， NTFS 使用日志文件和检查点信息自动恢复文件系统的一致性。
（ 3 ） NTFS 支持对分区、文件夹和文件的压缩。任何基于Windows的应用程序对 NTFS分区上的压缩文件进行读写时，不需要事先由其他程序进行解压缩，当对文件进行读 取时，文件将自动进行解压缩；文件关闭或保存时，会自动对文件进行压缩。
（ 4 ） NTFS 采用了更小的簇，可以更有效率地管理磁盘空间。在 Windows 2000 的 FAT32文件系统的情况下，分区大小在2GB～8GB时簇的大小为4KB；分区大小在8GB～
16GB时簇的大小为8KB；分区大小在 16GB ～ 32GB 时簇的大小则达到了 16KB 。而对于 Windows 2000 的 NTFS 文件系统，当分区的大小在 2GB以下时，簇的大小都比相应的 FAT32簇小；当分区的大小在2GB以上时（2GB～ 2TB ），簇的大小都为4KB。相比之下，
NTFS可以比FAT32更有效地管理磁盘空间，最大限度地避免了磁盘空间的浪费。
（ 5 ）在 NTFS 分区上，可以为共享资源、文件夹以及文件设置访问许可权限。许可 的设置包括两方面的内容：一是允许哪些组或用户对文件夹、文件和共享资源进行访问；二 是获得访问许可的组或用户可以进行什么级别的访问。访问许可权限的设置不但适用于本地 计算机的用户，同样也适用于通过网络的共享文件夹对文件进行访问的网络用户。与FAT32 文件系统下对文件夹或文件进行访问相比，其安全性要高得多。另外，在采用 NTFS 格式的 Windows 2000 中，应用审核策略可以对文件夹、文件以及活动目录对象进行审核，审核结 果记录在安全日志中，通过安全日志就可以查看哪些组或用户对文件夹、文件或活动目录对 象进行了什么级别的操作，从而发现系统可能面临的非法访问，通过采取相应的措施，将这 种安全隐患降到最低。这些在FAT32文件系统下是不能实现的。
（ 6 ）在 Windows 2000 的 NTFS 文件系统下可以进行磁盘配额管理。磁盘配额就是 管理员可以为用户所能使用的磁盘空间进行配额限制，每一用户只能使用最大配额范围内的 磁盘空间。设置磁盘配额后，可以对每一个用户的磁盘使用情况进行跟踪和控制，通过监测 可以标识出超过配额报警阈值和配额限制的用户，从而采取相应的措施。磁盘配额管理功能 的提供使得管理员可以方便合理地为用户分配存储资源，避免由于磁盘空间使用的失控造成 的系统崩溃，提高了系统的安全性。
（ 7 ） NTFS 使用一个“变更”日志来跟踪记录文件所发生的变更。
选取FAT32和 NTFS 的建议：在系统的安全性方面， NTFS 文件系统具有很多FAT32 文件系统所不具备的特点，而且基于 NTFS 的 Windows 2000/2003 运行要快于基于FAT32的 Windows 2000/2003；而在与 Windows 9X 的兼容性方面，FAT32优于 NTFS 。所以在决定 Windows 2000/2003中采用什么样的文件系统时应从以下几点出发：
（ 1 ）计算机是单一的 Windows 2000 系统还是采用多启动的 Windows 2000 系统；
（ 2 ）本地安装的磁盘的个数和容量；
（ 3 ）是否有安全性方面的考虑等。
基于以上的考虑，如果要在 Windows 2000/2003 中使用大于 32GB 的分区，那么只能 选择 NTFS 格式。如果计算机作为单机使用，不需要考虑安全性方面的问题，更多地注重与 Windows 9X 的兼容性，那么FAT32是最好的选择。如果计算机作为网络工作站或更多地追 求系统的安全性，而且可以在单一的 Windows 2000/2003 模式下运行，强烈建议所有的分区 都采用 NTFS 格式；如果要兼容以前的应用，需要安装 Windows 9X 或其他操作系统，建议 做成多启动系统，这就需要两个以上的分区，一个分区采用 NTFS 格式，另一个分区采用 FAT32格式。同时，为了获得最快的运行速度，建议将 Windows 2000/2003 的系统文件放置 在 NTFS 分区上，其他个人文件则放置在FAT32分区中。
2．重装Windows Server 2003后，原来加密的文件为什么无法打开？
EFS内置于 Windows 2003 中的 NTFS文件系统中。利用 EFS 可以启用基于公共 密钥的文件级或者文件夹级的保护功能。
新安装系统的管理员账号与原系统尽管名称相同，但它们的公钥与私钥是不一样的，
因此无法打开原来加密的文件。
3．特殊权限与标准权限的区别是什么？
标准 NTFS 权限通常提供了必要的保证资源被安全访问的权限，如果要分配给用户特 定的访问权限，就需要设置 NTFS 特殊权限。标准权限可以说是特殊 NTFS 权限的特定组合。
特殊 NTFS 权限包含了各种情况下对资源的访问权限，它规定了用户访问资源的所有行为。
为了简化管理，将一些常用的特殊 NTFS 权限组合起来，并内置到操作系统中形成标准 NTFS权限。
4．如果一位用户拥有某文件夹的 Write 权限，而且还是该文件夹 Read 权限的成员，
该用户对该文件夹的最终权限是什么？
Write权限和 Read 权限。
5．如果某员工离开公司，应当做什么来将他或她的文件所有权转给其他员工？
删除和禁用此员工的账号，同时新开账号，并使得该账号获得其文件所有权。
6．如果一位用户拥有某文件夹的 Write 权限和 Read 权限，但被拒绝对该文件夹内 某文件的 Write 权限，该用户对该文件的最终权限是什么？
拒绝对该文件夹内某文件的 Write 权限。
7．什么是本地安全策略？
在Windows Server 2003中，为了确保计算机的安全，允许管理员对本地安全进行设置，
从而达到提高系统安全性的目的。Windows Server 2003对登录到本地计算机的用户都定义了 一些安全设置。所谓本地计算机，是指用户登录执行Windows Server 2003的计算机，在没有
活动目录集中管理的情况下，本地管理员必须为计算机进行设置，以确保其安全。例如，限 制用户设置密码、通过账户策略设置账户安全性、通过锁定账户策略避免他人登录计算机、
指派用户权限等。将这些安全设置分组管理，就组成了Windows Server 2003的本地安全策略。
8．如何设置本地安全策略？
Windows Server 2008在“管理工具”菜单提供了“本地安全设置”控制台，可以集中管理 本地计算机的安全设置原则，使用管理员账户登录到本地计算机，即可打开“本地安全设置”
控制台。
在控制台中，可以对“本地安全策略”中的“密码安全设置”、“账户锁定策略密码安全”、
“用户权限分配”进行设置。
9．简述组策略的概念
（ 1 ）组策略通常是系统管理员为加强整个域或网络共同的策略而设置并进行管理的。
组策略会影响到用户账户、组、计算机和组织单位，它是存储在Active Directory 中的配置，
一个对象可能有多个组策略来创建动态环境。通过使用组策略，就可以利用其广泛特性，包 括从安全锁定桌面到应用程序分发，从脚本处理到文件和文件夹复制。这个特性能够用于帮 助对其桌面需要最小控制的用户，还可以帮助登录到网络进行系统管理的系统管理员。
（ 2 ）组策略是配置的集合，可以把它应用到Active Directory 中的一个或多个对象上，
这些设置包含在组策略对象GPO（ Group Policy Object ）中。
（ 3 ）Windows Server 2008组策略（ GP ）应用程序层次通常首先是站点，其次是域，
再次是 OU 。
10．试着创建一组策略对象，并将此组策略对象应用到Active Directory 域中
（自己做一下）
11．Windows Server 2008的审核策略包含哪几种？
Windows Servet 2008允许设置的审核策略包括如下几项：
（ 1 ）审核策略更改：跟踪用户权限或审核策略的改变。
（ 2 ）审核登录事件：跟踪用户登录、注销任务或本地系统账户的远程登录服务。
（ 3 ）审核对象访问：跟踪对象何时被访问以及访问的类型。例如，跟踪对文件夹、
文件、打印机等的使用。用对象的属性（如文件夹或文件的“安全”选项卡）可配置对指定事 件的审核。
（ 4 ）审核过程跟踪：跟踪诸如程序启动、复制、进程退出等事件。
（ 5 ）审核目录服务访问：跟踪对Active Directory 对象的访问。
（ 6 ）审核特权使用：跟踪用户何时使用了不应有的权限（超越了与登录或退出有关 的权限）。
（ 7 ）审核系统事件：跟踪重新启动、启动或关机等系统事件，或者影响系统安全或 安全日志的事件。
（ 8 ）审核账户登录事件：跟踪用户账户登录和退出。
（ 9 ）审核账户管理：跟踪某个用户账户或组是何时建立、修改和删除的，它是何时 改名、启用或禁止的，其密码是何时设置或修改的。
12．试着更改几项审核策略，并在安全日志中查看相应的记录
（自己做一下）
13．通过对默认安全模板（setup security.inf）的安全设置进行适当修改，创建为一个 新的安全模板（ newsecurity.inf ），并将其策略导入到域的组策略对象中。
（自己做一下）
14．提高Windows Server 2008的安全可以从哪些方面着手？
（ 1 ）启用密码复杂性要求。提高密码的破解难度主要是通过采用提高密码复杂性、
增加密码长度、提高更换频率等措施来实现，密码长度不宜太短。最好是字母、数字及特殊 字符的组合，并且注意及时更换新密码。
（ 2 ）启用账户锁定策略。为了方便用户，Windows Server 2008系统在默认情况下并 未启用密码锁定策略。此时，很容易遭受黑客通过自动登录工具和密码猜解字典进行的攻击，
甚至可以进行暴力模式的攻击。账户锁定策略就是指定该账户无效登录的最大次数。例如，
设置锁定登录最大次数为 5 次，这样只允许 5 次登录尝试。如果 5 次登录全部失败，就会锁 定该账户。
（ 3 ）删除共享。通过共享来入侵一个系统是最方便的一种方法。如果防范不严，最 简单的方法就是利用系统隐含的管理共享。也就是说，只要黑客能够扫描到IP和用户密码，
就可连接到共享上。因此，为了安全，最好关掉所有的共享，包括默认的管理共享。
Windows & Linux讨论群： 189934741 作者 QQ 号：68433059
