管理员培训资料(XXXX版)ver2.docx

广汽本田特约店销售服务店
系统管理员培训手册

第**部分

特约店管理员培训手册

广汽本田汽车有限公司
2010年2月

目 录
特约店管理员培训手册 1
第一章 网络基础知识 3
1.基础概念 3
2.OSI模型与TCP/IP模型 4
3.VPN介绍 6
第二章 网络拓扑架构 7
1.广域网网络连接 7
2.局域网网络连接 8
3.特约店IP地址规划 8
第三章 防火墙基本配置 9
1.实验操作 9
第四章 防火墙策略配置 11
1.策略规划 11
2.实验操作 12
第五章 无线局域网建设 13
1.通信协议分析比较 13
2.无线网络安全认证过程 13

第一章 网络基础知识
1.基础概念
MAC地址
MAC地址——是在媒体接入层上使用的地址，俗称物理地址，是识别LAN（局域网）节点的标识。MAC地址的长度为48位，如：00-15-54-2E-82-BC，由网络设备制造商生产时写在硬件内部。
IP地址
IP地址——指使用TCP/IP协议指定给主机的32位地址，俗称逻辑地址。IP地址由网络地址和主机地址两部分组成，网络地址用于路由选择，主机地址用于在网络或子网内部寻找一个单独的主机。
如：IP地址 = <网络号><主机号> 例：172.16.123.1
IP地址分类

特殊的IP地址
网络地址：主机号全为“0”的IP地址表示某网络号的网络本身，例：192.168.1.0
广播地址：主机号各位全为1的IP地址。例：172.16.123.255/24，代表该网络的所有主机
未知地址：0.0.0.0，在路由器配置中，表示为默认路由。
私有地址
A类 10.0.0.0～10.255.255.255
B类 172.16.0.0～172.31.255.255
C类 192.168.0.0～192.168.255.255
NAT
NAT——Network Address Translation，网络地址转换，是一种把内部私有网络地址（IP地址）翻译成合法网络IP地址的技术。

子网与子网掩码
子网—— 是指从有类别网络中划分出来的较小的网络。
子网掩码—— 是一个32位地址，其作用是屏蔽IP地址的一部分以区分网络标识和主机标识 。
如：A类网络的子网掩码为 255.0.0.0；B类网络为 255.255.0.0；C类网络地址为：255.255.255.0
VLSM
VLSM——变长子网掩码，用于在同一网络中实现多层子网化IP地址。功能同一网络可以有多个子网掩码，可以将子网进一步划分成多个子网。（例：172.16.1.0/24是172.16.0.0/16的子网，用子网掩码“/29”可进一步将172.16.1.0/24划分成32（2^5）个子网，如172.16.1.248/29）
ARP/RARP
ARP——地址解析协议，负责把更高层的协议地址（IP地址）转换为物理网络地址，即：IP地址→MAC地址。
RARP——逆向地址解析协议，负责把物理网络地址转化为IP地址，即：MAC地址→IP地址。
2.OSI模型与TCP/IP模型
OSI七层模型

TCP/IP模型

数据包的封装

3.VPN介绍
VPN的定义
VPN (Virtual Private Network)虚拟专用网
通过一个公用网络(通常是因特网)建立一个临时的、安全的连接，是一条穿过混乱的公用网络的安全、稳定的隧道。

VPN的分类与加密算法
根据OSI分层模型，VPN可以在第二层建立，也可以在第三层建立，甚至在更高层的VPN。
第二层隧道协议：这包括点到点隧道协议（PPTP）、第二层转发协议（L2F），第二层隧道协议（L2TP）、多协议标记交换（MPLS）等。
第三层隧道协议：这包括通用路由封装协议（GRE）、IP安全（IPSec），这是目前最流行的两种三层协议。
第二层和第三层隧道协议的区别主要在于用户数据在网络协议栈的第几层被封装。

IPSec定义
IPSec——IP Security是由IETF (Internet工程任务组)定义的安全标准框架，用以提供公用和专用网络的端对端加密和验证服务。

IPSec的优点
IPSec 面向协议堆栈的的网络层，对于应用程序来说是透明的。 因而企业可以利用IPSec服务，而无需修改应用程序以及PC或路由器等终端站。IPSec还可与现有应用程序层安全解决方法配合使用。

AH和ESP
IPSec提供了两个主要元素用以保护网络通信。
AH——(验证头)实现了数据发送方的验证处理。用以确保数据既对于未经验证的站点不可用，也不能在路由过程中更改。
ESP——(封闭安全负载)实现了发送方的验证处理和数据加密处理，用以确保数据不会被拦截、查看或复制。

第二章 网络拓扑架构
1.广域网网络连接

客户端访问服务器过程
1、由特约店端防火墙与广本端防火墙建立恒定的VPN通道
2、使用动态密码卡通过RSA认证
3、登陆G-TECH、DCS传送服务器
2.局域网网络连接

3.特约店IP地址规划

第三章 防火墙基本配置
1.实验操作
一、接线方式
确认网卡自动获取IP地址
接入防火墙F0/2
ipconfig检查网关地址(192.168.1.1)

二、登录方式
WEB：http://192.168.1.1
Telnet：telnet 192.168.1.1
Console：超级终端

三、用户名与密码
用户名：netscreen 密码：netscreen

四、修改用户密码
Configuration > Admin > Administrators > Edit
Old Password(输入旧密码)、New Password(输入新密码)、Confirm New Password(确认新密码)

五、建立“只读”用户
Configuration > Admin > Administrators > Configuration
Administrator Name(输入用户名)、New Password(输入新密码)、Confirm New Password(确认新密码)
Privileges选择“Read-Only”

六、同步时间
Configuration > Date/Time
选择“Sync Clock With client”

七、备份与恢复配置文件
Configuration > Update > Config File
(备份) Save To File(选定配置文件路径)
(恢复) 选择“Replace Current Configuration”、New Configuration File(选定配置文件路径)

八、查看日志
Reports > System Log > Event
Reports > Policies

九、查看ARP列表
Telnet登录后 get arp

十、映射逻辑端口与物理端口
Network > Interfaces > Edit > Bind Port
Bind to Current Bgroup选择相应的物理端口

十一、关闭/启用WEB管理窗口
Network > Interfaces > Edit
(关闭) Management Services反选“Web UI”
(开启) Telnet登录后 set interface bgroup1 manage web

十二、设置WEB管理端口
Configuration > Admin > Management
HTTP Port 输入端口号“80”

十三、设置DHCP(IP地址自动分派)
Network > DHCP > DHCP Server Address Edit
Dynamic IP Address Start(输入起始IP)、IP Address End(输入终止IP)

十四、绑定IP地址
Network > DHCP > DHCP Server Address Edit
Reserved IP Address(绑定的IP地址)、Ethernet Address(绑定的MAC地址)

十五、设置外网端口(电话线接入)
Network > PPPoE > Edit
PPPoE Instance(PPPoE名称)、Bound to Interface(选择ethernet0/0)、Username(ADSl帐户名)、Password(ADSL帐户密码)
Network > Interfaces > Edit(ethernet0/0)， 选择“Obtain IP using PPPoE ”、选择“PPPoE名称”
Network > DHCP > Edit，DNS#1(填写当地电信的DNS)

十六、设置外网端口(光线接入)
Network > Interfaces > Edit(ethernet0/0)， 选择“Static IP”、输入IP Address/Netmask(IP地址/掩码)
Network > Routing > Routing Entries > Configuration，Next Hop(选择“Gateway”)
IP Address/Netmask(IP地址/掩码)、Interface(选择ethernet0/0)、Gateway IP Address(电信/联通提供的网关地址)
Network > DHCP > Edit，DNS#1(填写当地电信的DNS)

第四章 防火墙策略配置
1.策略规划

2.实验操作
一、建立用户
Objects > Addresses > Configuration
Address Name(用户名称)、IP Address/Netmask(IP地址/掩码)、Zone(分区)

二、用户分组
Objects > Addresses > Groups > Configuration，(Zone：选择分区)
Group Name(组名)、Group Menbers(组成员)、Available Members(可选用户)

三、定制服务
Objects > Services > Custom > Edit
Service Name(服务名称)、Transport protocol(协议类型)、Source Port(起始端口)、Destination Port(终止端口)

四、服务分组
Objects > Services > Groups > Configuration
Group Name(组名)、Group Menbers(组成员)、Available Members(可选服务)

五、制定安全策略
Policies (From *** To ***)，From(源分区)、To(目标分区)，点击“go”
Name(策略名称)、Source Address(源地址)、Destination Address(目标地址)、Service(服务)、Action(动作)
Policies > Move，Move location(策略排序)

六、限定上网时间
(制定时间表) Objects > Schedule > Edit
Schedule Name(时间表)、选择Recurring、 Start Time(起始时间)、End Time(结束时间)
(应用时间表) Policies (From *** To ***)，选中策略点击“Edit”
点击“Advanced”进入Advanced Policy Settings，Schedule选择“时间表”

七、限定上网带宽
(策略限定) Policies (From *** To ***)，选中策略点击“Edit”
点击“Advanced”进入Advanced Policy Settings，
选择Traffic Shaping，Maximum Bandwidth(最大带宽)
(端口限定) Network > Interfaces > Edit
选择Traffic Bandwidth，Egress(出口上限带宽)、Ingress(入口上限带宽)

八、重置防火墙配置
Telnet登录后 unset all(重置防火墙)，Erase all system config, are you sure y/[n] ? Y
reset(重启防火墙)，Configuration modified, save? [y]/n n；System reset, are you sure? y/[n] y

第五章 无线局域网建设
1.通信协议分析比较

2.无线网络安全认证过程