中小型企業(yè)的研討會
如果你是網管，是不是經常為網絡中出現的問題而頭疼甚至搞的焦頭爛額呢？對于廣大的網絡愛好者、網管或信息中心的朋友來說，學到的知識可能很多，但怎樣將知識學以致用到實戰(zhàn)工作中去，將自己的特長與才能全部發(fā)揮出來，可能就有些困難了。
本期特邀網絡工程領域的權威專家將針對企業(yè)網絡應用與規(guī)劃中遇到的實際問題，給予解答。歡迎午飯積極提問，與專家一起討論!
本期專家：王春海
擅長領域：網絡
專家簡介：河北經貿大學信息技術學院實驗中心，實驗師，MCSE、MCDBA。對組建大、中型廣域網與局域網有相當豐富的經驗，主持組建過若干廣域網、局域網工程。 在網絡維護、網絡故障解決、網絡安全、數據恢復和虛擬機等方面有獨到的見解，在人民郵電、清華大學、電子工業(yè)、科學等出版社出版過20多本圖書，主要有： 《最新無盤工作站與終端配置及應用實例詳解》及其之二、之三，《網絡視頻技術及應用標準教程》，《虛擬機配置與應用完全手冊》，《網絡常見問題與故障 1000例》、《Windows Server 2003組網教程（管理篇）》，《企業(yè)網絡配置與管理》，《非常網管-網絡應用》、《非常網管-網絡管理》、《非常網管-典型網絡實驗》、《非常網管-常 用DOS命令》、《虛擬機技術與應用-配置管理與實驗》、《網管天下》系列從書。個人獲得兩項專利技術。
查看本期門診精彩實錄：http://doctor.51cto.com/develop.php?cid=185
參與最新技術門診：http://doctor.51cto.com/
精選本期網友提問與專家解答，以供網友學習參考。
Q：學習網絡已經二年了，感覺學到的東西不是忘記了，就是用不著，一名合格的網絡工程師到底要具備哪些技術啊？整天對著小凡配來配去有用嗎？
A：一名合格的網絡工程師，要學的東西是比較多的。硬件來說，至少要熟悉交換機、路由器的相關知識與配置；軟件來說，至少要熟悉TCP/IP協(xié)議、熟悉當前流行的網絡操作系統(tǒng)、相關服務器的安裝與配置。更重要的問題是，你要有獨立的分析問題、解決問題的能力。對著小凡來做一些交換機與路由器的實驗，是非常有用的。實驗是最好的老師。每個初學網絡的朋友，都會經過這些。不僅初學者，現在每個做網絡、用網絡、管網絡的人，也是經常搭建一些實驗環(huán)境，驗證自己的想法的。
Q：DC（安裝IAS）+第三方防火墻 使用域用戶控制上網請問老師可以做用戶并發(fā)限制嗎？也就是說A是有上網權限的，B是沒有的；但是A喜歡幫助別人把自己的用戶給了B使用。 A：大多數的防火墻是做不到用戶并發(fā)限制的。例如A能上網，A告訴B自己的用戶名與密碼，則B也會用A的用戶名與密碼上網。這個，你可以配置個PPPOE的服務器，限制用戶只能通過PPPOE的方式上網，并且限制PPPOE帳戶只能登錄一次，這樣可以限制用戶并發(fā)上網。當然，如果A做二次代理的話，B也是可以通過A共享上網的。這時候，可以限制每個用戶上網的并發(fā)TCP連接數、流量等做出進一步的限制。現在也有的防火墻，禁止用戶做代理服務器的，你可以找一下這方面的產品。
Q：你好，王老師。我現在是一名小企業(yè)的網管，公司的機子也就有20臺左右。我現在所做的工作就是維護這些機子的正常運行，當然最主要的工作還是打雜。我現在 抱著這樣的心態(tài)，我是來學習的。盡管公司里面沒有這樣的條件，但是我還是自己創(chuàng)造條件來學習，沒有問題自己創(chuàng)造問題也要學習。我現在就是想問問，王老師，我這樣的學習行嗎？？我現在所遇見的問題是不是在以后的工作，也會遇到呢？？？謝謝，王老師…… A：這樣學習是可行的。我當時也是在外面公司兼職，一邊干活一邊學習的。我們現在做實驗，模擬真實的或虛擬的環(huán)境，期間碰到的每個問題，以后可能會碰到。當我 們做的實驗多了、遇到并解決的問題多了，以后再碰到類似問題時，解決的就會快些。就是沒有碰到相同的問題，以前的經驗也是值得借鑒的。
Q：您好，請問esx server是不是一個系統(tǒng)，像win sever2003一樣安裝完之后，在系統(tǒng)里面安虛擬機呢？ A：差不多可以這樣理解。VMware ESX Server直接安裝在“裸機”上，安裝好后，在管理工作站上，通過VMware ESX Server的客戶端，控制并管理VMware ESX Server，在VMware ESX Server中創(chuàng)建虛擬機、在虛擬機中安裝操作系統(tǒng)。
Q：我認為一名好的網工首先是要有判斷問題的思路，一上來不要盲目的處理問題。第二是要有解決問題的方法和相應的技術。不知道專家我說的對不對 A：對，就是這樣的。判斷問題、分析問題、解決問題，其中分析與判斷是比較關鍵的。網絡中，碰到的問題可能會比較多，有時候碰到的問題可能與網絡無關，這就非常考察每個人的判斷能力與分析能力，以及其他一些知識。
Q：請問： 1、網絡管理需要具備哪些知識點或知識儲備？ 2、在內網管控上，有哪些比較好的或者成熟的技術應用。 A：網絡管理需要的知識比較多，除了需要了解，要管理的網絡中的硬件設備（路由器、交換機、網絡安全設備、服務器）軟件（網絡操作系統(tǒng)、客戶端操作系統(tǒng)、網絡 中所運行的專用軟件等），還要了解其他的一些知識（這些就比較雜了，例如，某個員工安裝的軟件等），網絡管理，除了需要專業(yè)知識，還要了解其他 的相關知識（比較雜） 內網管控上，現在有許多的 網絡行為管理產品，產品比較多，你可以通過搜索引擎，搜索一下
Q：您好，王老師 怎么較好維護整個公司網絡的帶寬問題，假設要組建一個學校的網絡，需要什么設備及怎么連接。 A：需要網絡行為管理產品，或者安裝網絡流量 控制的軟件或設備要組建一個學校的網絡，看學校的需求、資金投入及后期的維護，綜合考慮選擇軟件、硬件，之后根據學校需要及硬件選擇，進行連接。
Q：我現在是一家IT外包公司的維護人員，主要負責幾家客戶的桌面維護、網絡的維護、關于dc的添加用戶等等，我想進一步在IT方面發(fā)展，有幾種道路，各需要什么技能。請專家指導下。
A：這需要看你現在的水平，以及你的愛好，以及其他的條件（時間、資金、是否有時間與精力、能力進一步學習等情況）。IT方面，目前分類比較細，有開發(fā)類、有 網絡維護類，開發(fā)類有游戲、應用軟件、系統(tǒng)軟件等方面開發(fā)，網絡維護類，有硬件（路由器、交換機、網絡安全產品、其他網絡產品等），也有類似軟件類（例如 財務軟件、數據庫軟件、網絡操作系統(tǒng)等），比較多，主要看你自己的選擇。#p#
Q：王老師您好！下面是我的思科ASA5510防火墻配置，我想能讓外網訪問我的WEB服務器，您幫幫我嗎？不知道是那里出了錯，外網不用訪問我的WEB，可內網可以訪WEB。hostname
- gametuzi5510
- domain-name default.domain.invalid
- enable password 8Ry2YjIyt7RRXU24 encrypted
- passwd 2KFQnbNIdI.2KYOU encrypted
- names
- dns-guard
- !
- interface Ethernet0/0
- nameif outside
- security-level 0
- ip address 192.168.0.254 255.255.255.0
- !
- interface Ethernet0/1
- nameif inside
- security-level 100
- ip address 10.1.1.1 255.255.255.0
- !
- interface Ethernet0/2
- nameif DMZ
- security-level 30
- ip address 200.1.1.1 255.255.255.0
- !
- interface Management0/0
- nameif management
- security-level 100
- ip address 192.168.1.1 255.255.255.0
- management-only
- !
- ftp mode passive
- access-list icmp_in extended permit icmp any any
- access-list 100 extended permit tcp any host 192.168.0.254 eq www
- access-list 110 extended permit ip 10.1.1.0 255.255.255.0 any
- access-list 120 extended permit ip any host 192.168.0.254
- pager lines 24
- logging asdm informational
- mtu outside 1500
- mtu inside 1500
- mtu management 1500
- mtu DMZ 1500
- asdm image disk0:/asdm-508.bin
- no asdm history enable
- arp timeout 14400
- global (outside) 1 interface
- global (outside) 1 192.168.0.0 netmask 255.255.255.0
- global (DMZ) 1 200.1.1.10-200.1.1.254 netmask 255.255.255.0
- nat (inside) 1 0.0.0.0 0.0.0.0
- nat (DMZ) 1 0.0.0.0 0.0.0.0
- static (DMZ,outside) tcp interface www 200.1.1.1 www netmask 255.255.255.255 dn
- s
- access-group 100 in interface outside
- access-group 110 out interface outside
- access-group 110 in interface inside
- route outside 0.0.0.0 0.0.0.0 192.168.0.254 1
- route outside 0.0.0.0 0.0.0.0 200.1.1.1 1
- route inside 10.1.0.0 255.255.0.0 10.1.1.253 1
- timeout xlate 3:00:00
- timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 icmp 0:00:02
- timeout sunrpc 0:10:00 h323 0:05:00 h225 1:00:00 mgcp 0:05:00
- timeout mgcp-pat 0:05:00 sip 0:30:00 sip_media 0:02:00
- timeout uauth 0:05:00 absolute
- http server enable
- http 192.168.1.0 255.255.255.0 management
- no snmp-server location
- no snmp-server contact
- snmp-server enable traps snmp authentication linkup linkdown coldstart
- crypto ipsec security-association lifetime seconds 28800
- crypto ipsec security-association lifetime kilobytes 4608000
- telnet timeout 5
- ssh timeout 5
- console timeout 0
- dhcpd address 192.168.1.2-192.168.1.254 management
- dhcpd dns 172.10.90.2
- dhcpd lease 3600
- dhcpd ping_timeout 50
- dhcpd enable management
- !
- class-map inspection_default
- match default-inspection-traffic
- !
- !
- policy-map global_policy
- class inspection_default
- inspect dns maximum-length 512
- inspect ftp
- inspect h323 h225
- inspect h323 ras
- inspect rsh
- inspect rtsp
- inspect esmtp
- inspect sqlnet
- inspect skinny
- inspect sunrpc
- inspect xdmcp
- inspect sip
- inspect netbios
- inspect tftp
- !
- service-policy global_policy global
- Cryptochecksum:56b2336f6c03d2c2a78ffd389b1c2419
: end A：我對硬件設備不是很熟悉。內網能訪問，說明你的網站服務器是好的，外網不能訪問，你是不是沒有將防火墻對外的地址映射到內網網站服務器？如果映射好了，內網網站服務器的網關地址配置正確的話，應該是可以訪問的。
Q：王老師您好， 我有這樣一個問題，我們公司服務器是centos操作系統(tǒng)，現在托管于電信機房100M共享。現在我們公司需要將一個運行在centos環(huán)境下的ERP系 統(tǒng)和一個asp的公司網站和一個公司內部的聊天工具類似QQ一樣。需要安裝客戶端和服務端才可以進行通訊，請問這樣如何實現這三個系統(tǒng)都可以正常運作， （ERP系統(tǒng)、asp網站、內部聊天工具） A：如果你的ASP網站與內部聊天工具，服務器端是運行在centos操作系統(tǒng)上，則在遠程centos服務器中安裝配置ASP網站與內部聊天服務器端，并開放相應的服務端口，并進行相應的配置即可；而工作站端，則安裝聊天客戶端軟件、ERP的客戶端軟件。對于服務器端，只要服務的端口不同，應該可以同時運行。工作站端，可能就無所謂了，只要能運行在同一平臺就行了。如果不能同時運行，只能借助于虛擬機了。
Q：你好，王老師 請問一下，網絡安全方面的只是需要從哪些方面入手呢？ 硬件？軟件？ A：至少要熟悉TCP/IP協(xié)議、熟悉IP地址的劃分。然后看你想學習那方面：網站方面、數據庫方面、網絡安全，如果是網站方面，可能還要熟悉宿主機操作系統(tǒng) （Linux或Windows）、IIS或Apache等，數據庫有MYSQL、SQL Server等，網絡安全方面，可能就比較多了，既要熟悉硬件、還要熟悉軟件。你可以先從一方面學起，或者你找相關的圖書，多看一些書，多學、多想、多 練。
Q：王老師您好， 我有這樣一個問題，我們公司服務器是centos操作系統(tǒng)，現在托管于電信機房100M共享。現在我們公司需要將一個運行在centos環(huán)境下的ERP系 統(tǒng)和一個asp的公司網站和一個公司內部的聊天工具類似QQ一樣。需要安裝客戶端和服務端才可以進行通訊，請問這樣如何實現這三個系統(tǒng)都可以正常運作， （ERP系統(tǒng)、asp網站、內部聊天工具） A：在你設置公網地址的機器上，啟用或配置端口轉發(fā)。詳細的你可以查一下相關的資料。或者，你詳細的描述一下，你的拓撲圖，例如：公網地址綁定在A服務器上，A服務器是物理機。在A物理機上配置 了虛擬機，A的虛擬地址是192.168.1.3,虛擬機的網卡地址是192.168.1.4,網關地址是192.168.1.3.則在A上，用虛擬機自 帶的NAT轉換功能，或者用A機的防火墻功能，映射相關的端口到192.168.1.3.用虛擬機解決完了，剩下的就是端口轉發(fā)了，端口轉發(fā)的方法，可以查相關的資料的。
Q：王老師你好！我們單位有三個網絡，都要求專網專用，物理隔離，還要求保密。現在病毒泛濫，請問如何較好地管理這樣的網絡？ 補充一下王教師！目前我們的三個網絡只是接到機房，各辦公室只有一條網線，如果三個網絡同進運行可能要重新布線，比較麻煩，而且一個辦公室只有兩臺電腦，但工作需要可能要使用三個網絡。有沒有好的辦法在機房搞定，比如說添加新設備等！預算價格在10萬元以內 A：你可以在每個網絡中，配置一個“網絡版”殺毒軟件的服務器端，在公網上獲得病毒庫后，通過U盤復制到這三個網絡的服務器端，為當前網絡的工作站升級。
Q：王老師：您好，我現在有一個問題，EXCHANGE 服務器中，從用戶A發(fā)送郵件到用戶B，不能顯示內容，但點回復后卻又能顯示，請問這是什么問題，謝謝。正文看不到，只有在回得郵件的時候才能看到內容。A：你是用OWA還是outlook收信，還是用其他第三方的軟件收信？是郵件正文看不到還是附件看不到？我用exchange沒有碰到相關的問題。你發(fā)一個文本的正文試試，我想，可能是你客戶端的設置，或者你發(fā)的是html正文的原因。
Q：王老師，你好！現在遇到一個選擇上的難題。一直以來都非常喜歡網絡，在公司也是做接入網這一塊，這半年本想先從PON入手，先將華為GPON與中興 EPON完全掌握（前期中興EPON已經搞半年多了，在中興技術支持也有相關案例發(fā)表）。再從事數通方面工作，而通過與主管溝通，得知后半年，公司主要接 了幾個城域網優(yōu)化的項目。都為數通方面內容！自己現在又想按以前的想法學好PON技術，又想按主管的意愿去做數通項目。主要的困頓地方是，個人感覺PON技術會在未來兩，三年內大面積運用，GPON會在三網融合上有很大作為。而隨著帶寬不斷加大，城域網優(yōu)化勢在必行。而數通知識自己又相對薄弱！所以兩者相持不下，不知該如何選擇？ A：非常抱歉，我對這方面不了解。我個人理解，如果愛好某方面，時間又允許的話，可以多學學，提前做一些技術的儲備，總會有用上的一天的。即使用不上，從事類似的工作，也會有所借鑒。#p#
Q：王老師：您好！就目前社會對網路的需求形式來看，不是很樂觀。畢竟網絡在老板眼里總是產生不了直接的價值，軟件則不同，做軟件的人的工資遠遠高于做網絡的，但這并 不是絕對的。我想問一下，對于我們這些做網絡的人來說，有多少種網絡規(guī)劃能走向網路的高層，比如說信息主管、CIO等等？就拿我的情況來說吧，大學計算機專業(yè)，大四在青鳥培訓了一年。剛出道來上海，考慮到自己底子很薄，也就去給電信跑底層ADSL、PC機、少數中小型企業(yè)網 絡，大概跑了四個月左右，感覺自己底層做的不錯了，就去了一家剛成立的公司，做房地產寫字樓租售的，待遇還是相當不錯的，當時考慮到網絡環(huán)境比較大，畢竟 是一棟大樓的網絡維護，到現在多半年了，什么東西都是自己探索、尋找得到的，算是比較累的了！不過還好，網絡這一塊雖是自己摸索，但學到了很多東西，眼看 快到年底了，大樓的招租也快結束了，網絡的擴建也在年底前完成。完成之后，剩下的也就維護了，沒有多大問題了。再加上公司里的經理什么的，對管理這一塊并 不是很熟，老總對IT這一塊大的方面的投資估計需要一段時間。而我的時間有限啊，不能再等等了，打算明年另尋出路。請專家指示一下，下一份工作我應該怎么選擇比較合理！我的最終目標是信息主管或者CIO。 A：這個問題我也不好回答。對于我們每個人來說，學網絡，最初都是從裝機器、裝系統(tǒng)開始的（我學的可能早些，是從MS-DOS 3.30、Netware開始的），然后才開始接觸并學習網絡。網絡發(fā)展比較快，可能剛學習了沒多長時間，就又有新的知識、新的技術了，原來學的可能就 “落伍”了。從這方面說，好像學網絡比較累。但如果一直開始學網絡的話，一直沒有被“拉下”的話，如果只專注某一方面，則改進相對來說也不是非常的大，例 如從Windows 2003到Windows 2003 R2，再到Windows 2008、Windows 2008 R2。我個人看來，現在懂些技術再做銷售，可能是最好的了。如果單獨做技術，則找一些專業(yè)的、“大”一些的公司，到處調試一些設備，收入也應該不錯的。例如現在做網絡安全、網絡流量監(jiān)控、VPN設備等，這方面，相當于說，調試相對簡單，但利潤是比較大的。如果是做系統(tǒng)，如“操作系統(tǒng)”類的技術，可能收入不是太多（我就熟悉這些，好像除了做老師，別的也沒什么收入了，呵呵，可能與我處的城市有關）。
Q：我搞網絡已經10年了，網絡工程師也過了，關鍵我對網絡工程師的前途很擔憂，對未來也很渺茫，請問王老師，在網絡發(fā)展和網絡的未來管理上我們應該做些什么呢？我們需要從哪些方面著手去做好網絡管理管理和維護的工作呢？謝謝！ A：我想，如果是固定在一個單位的話，則至少需要維護好自己的網絡。如果是在一個系統(tǒng)集成公司，則需要不斷的學習新的知識、掌握新的技術，并且將所學用于實踐。另外，在業(yè)余時間，多學新的知識、多做實驗、多積累。我目前做的也只能是這些。
Q：我用Vmware 6.5安裝了一個98系統(tǒng)，但是卻不能在上面運行我本機里的軟件，我想問下98虛擬系統(tǒng)是不是不支持讀取本機共享文件？如果可以的話，應該怎么設置？如果換成2000系統(tǒng)是不是可以解決這個問題？#p#
A：Windows 98好像是不支持這種讀取（好久不用98了）。如果你想用本機的，可以通過“網上鄰居”共享文件夾的方式，訪問主機的文件，或者使用net use x: \\主機ip\主機共享文件夾 /user:主機用戶名 主機密碼的方式，映射主機的共享文件夾到98虛擬機的X盤來訪問。或者，將需要的文件做成 ISO鏡像、或者關閉98的虛擬機、使用MAP功能映射到主機盤符，將需要的拷貝到虛擬機中、斷掉共享、再啟動98虛擬的方法。換成2000是沒有問題的。
Q：您好，請問下在網絡安全方面一般的200臺以內很小型的網絡中，沒有用硬件防火墻，只用一款H3C 的路由做路由帶防火墻，偶爾會遭遇SYN FLOOD UDP FLOOD ICMP FLOOD 等類型攻擊致網絡外部連接終斷，請問下在不增加設備的情況下有沒有更好的辦法就對 A：我個人認為，只要你連接到Internet，就會經常有人掃描你的系統(tǒng)（漏洞），并在掃描到漏洞后試圖入侵。對于企業(yè)來說，不管你用硬件還是軟件防火墻，只要注意以下的幾點，一般安全就不會存在問題：對于防火墻來說，如果沒有對外提供服務，則關閉所有的服務端口（TCP的入口）。只開放必須的端口訪問外網，例如DNS查詢、www瀏覽、FTP、郵件、聊天等端口。對于網絡中的所有計算機，啟用軟件防火墻、設置強密碼、及時更新操作系統(tǒng)與應用軟件補丁、安裝一款殺毒軟件，不瀏覽“可能有問題”的網頁。如果沒有必要，網絡中的工作站，不要使用Administrator組權限登錄，而是使用普通的帳戶登錄，這樣即時瀏覽網頁有“問題”，也很少會感染木馬。另外，我維護的許多企業(yè)網絡，尤其是有固定的公網地址的網絡，安裝了ISA Server或TMG2010的防火墻，經常會在日志中看到，網絡上的其他IP地址掃描并試圖入侵，基本上每20分鐘就會有一次。但這些見的多了，并且網絡也沒有被入侵成功過，就習慣了。
【編輯推薦】
- 技術人員不是只有“一輩子靠技術”這條路
- 51CTO：技術人也看世界杯——每日預測
- 51CTO技術人生存大調查：你壓力大嗎？
- 曹重英：技術人員也要打造人脈競爭力
- 信息技術人才成長的一般規(guī)律和特殊規(guī)律
