网络督察安装培训.ppt

诸晔 2006-3-8 上海,网络督察安装培训,目录,安装准备,安装方式,网络配置,接入方案,后台设置,安装准备,安装场地,电源要求,上架要求,场地要求,网络督察设备可以安装在工作台上，也可以安装在19”标准机架上。安装地方要预留适当的空间，以便通风散热和日常维护。,电源要求,在安装网络督察前请检查输入电源，确保其符合要求并是稳定不间断的输入源，有必要的话要加装UPS等稳压设备。设备要正确接地以避免雷击和电流波动等灾难。网络督察的输入交流电压是220V，需要一个220V国标交流电插座。,上架要求,设备上架前需要安装机架固定吊耳，吊耳在随机附件内。19”机架必须有足够的安装空间，设备安装后空气流通循环通畅。设备上架时注意不要堵住设备的通风口，安装在滑动槽轨上时，注意能固定的地方都要固定稳妥。设备安装在一个封闭的并顶上装有风扇的机架的话，注意机架底部的设备之间要保留足够的通风空间，以保证循环通风。合理地布放机架隔板会使空气有效地循环，加强设备散热效果。,上架要求,设备上架前需要安装机架固定吊耳，吊耳在随机附件内。19”机架必须有足够的安装空间，设备安装后空气流通循环通畅。设备上架时注意不要堵住设备的通风口，安装在滑动槽轨上时，注意能固定的地方都要固定稳妥。设备安装在一个封闭的并顶上装有风扇的机架的话，注意机架底部的设备之间要保留足够的通风空间，以保证循环通风。合理地布放机架隔板会使空气有效地循环，加强设备散热效果。,目录,安装准备,安装方式,网络配置,接入方案,后台设置,安装方式,旁路方式,网桥模式,网关模式,旁路方式,采用旁路方式的主要优点 安装时不影响原有网络拓朴结构设备配置简单 不影响数据传输性能设备故障不影响业务采用旁路方式的主要缺点 部分控制功能不能实现 需要共享网络设备或交换机镜像,网桥方式,采用网桥方式的主要优点 安装基本不影响原有网络拓朴结构设备配置简单 完全监控网络进出数据采用网桥方式的主要缺点 部分防火墙功能不能实现 设备故障影响业务,网关方式,采用网关方式的主要优点 能实现防火墙所有功能易于远程维护完全监控网络进出数据采用网关方式的主要缺点 安装可能影响原有网络结构设备配置复杂 设备故障影响业务,目录,安装准备,安装方式,网络配置,接入方案,后台设置,接入方案,网络结构,邮件构架,实现功能,管理方式,接入方案举例,网络结构,用户出口的流量和需管理的电脑数量网络督察接入的接口类型用户是多网段的还是单网段的用户IP地址是固定的还是动态分配 局域网核心交换机到Internet出口部分的网络结构邮件服务器系统的安装位置，邮件系统使用的协议用户上网的路由，是否有多条路径是否通过代理服务器上网，使用什么代理协议,邮件系统工作原理,邮件构架,用户使用什么客户端收发邮件，采用什么协议邮件服务器在局域网内还是外网有没有通过代理收发邮件邮件服务器的安装位置，邮件服务器采用什么协议外发邮件用户需要监控邮件还是拦截邮件，还是二者兼有注意Lotus Notes或Exchange邮件服务器可能采用专用的协议和客户端通信,实现功能,管理方式,需求一,Internet和内部局域网通过防火墙隔离，内部局域网划分成多个VLAN段，用户计算机的IP地址都是动态分配的，邮件服务器在局域网内 需实现功能 访问日志和内容记录用户上网权限控制 带宽管理邮件拦截,方案一,网络督察的二个口做成网桥模式网络督察串接在防火墙和局域网核心交换机之间将连接DHCP端口数据镜像到网络督察一个空闲的端口采用基于MAC地址管理方式，也可采用本地验证方式，不需要镜像DHCP端口,需求二,有ADSL和DDN两个网络出口。邮件服务器上有二块网卡，一块配公网IP连Internet，一块配内网IP连局域网，总共一个局域网段 需实现功能 访问日志和内容记录用户上网权限控制 带宽管理邮件拦截,方案二,增加一个交换机，将ADSL和DDN路由器内网接口都连接到交换机上网络督察的三个口都做成网桥模式网络督察串接在交换机和局域网核心交换机之间邮件服务器内网接口连接到网络督察采用基于IP或MAC地址管理方式，可以做IP和MAC地址绑定,需求三,Internet和内部局域网通过防火墙隔离，内部局域网访问Internet都需要通过代理服务器。用户的IP地址都是固定的，被划分在不同的VLAN段内，其网关设置路由器的地址，路由器跟其他城市的集团网相连。用户访问Internet通过在浏览器等工具里设置代理服务器实现。防火墙只有5个连接许可需实现功能 访问日志和内容记录用户上网权限控制 带宽管理,方案三,由于防火墙上的许可有限，在网络督察上启动NAT功能做地址转换，网络督察做成网关模式网络督察替换掉原来的代理服务器，外网口连防火墙，内网口连局域网交换机，外网口和内网口的地址均为原来代理服务器的地址用户计算机上去掉原来的代理设置，访问Internet都通过路由模式实现在连通其他城市的路由器上修改配置，将访问Internet的数据包转发到网络督察的内网口上 采用基于IP地址管理方式,需求四,有四个ADSL出口，ADSL都连接在一普通交换机上，可上网的计算机都集中在公共上网区域 需实现功能 访问日志和内容记录用户上网权限控制 利用员工IC卡来验证用户,方案四,将普通交换机换成集线器网络督察做成旁路模式每个公共上网计算机都连接一个IC卡读卡器采用基于第三方验证同步IC卡验证方式，需在公共上网计算机上安装IC卡同步验证程序,需求五,有二个网络出口，核心交换机、路由器都是二个，邮件服务器为Lotus Notes，邮件通过Mail Relay转发 需实现功能邮件拦截,方案五,网络督察的做成网桥模式网络督察串接在核心交换机和Mail Relay服务器之间,需求六,有DDN和ADSL二个网络出口，客户计算机的缺省网关指向三层核心交换机，客户计算机上网通过ISA代理服务器，三层交换机的缺省路由指向连接DDN的路由器，用户IP地址固定 需实现功能 访问日志和内容记录用户上网权限控制 带宽管理,方案六,网络督察的做成网桥模式网络督察串接在ISA服务器和局域网核心交换机之间采用基于IP地址管理方式,需求七,每个机房有台教师机，上有二块网卡，学生机通过教师机NAT上网。三层交换机接防火墙，防火墙有二个出口，分别连Internet和教育网。需实现功能 所有电脑的访问日志和内容记录用户上网权限控制 带宽管理,方案七,网络督察的做成网桥模式网络督察串接在防火墙和三层核心交换机之间机房的交换机直接和三层交换机相连在三层交换机上划分网段、设置路由,需求八,每个学校分别连接到对应的市或区教委，市或区教委都有单独的Internet出口需实现功能 所有电脑的访问日志和内容记录用户上网权限控制,方案八,采用分布式管理系统每个市或区教委在Internet出口处使用旁路方式接个网络督察在市教委安装一台网络督察管理中心在管理中心上统一监控全市学校的上网情况,目录,安装准备,安装方式,网络配置,接入方案,后台设置,网络配置,Linux网络配置,iptables介绍,旁路配置,网桥配置,网关配置,邮件拦截配置,登录Linux系统,Host Name栏填设备的IP地址Port栏填22Protocol选SSH,配置查看IP地址,ifconfig interface ifconfig interface aftype options|address.举例：ifconfig|more查看所有网络接口的配置参数和运行状态ifconfig eth0 查看eth0网络接口的配置参数和运行状态ifconfig eth0 down 关闭eth0网络接口ifconfig eth0 up启动eth0网络接口ifconfig eth0 promisc 将eth0网卡置为混杂模式配置eth0的IP地址为,配置查看路由,route-n route add-net|-host 目标主机或网段 netmask gw|dev route del-net|-host 目标主机或网段 netmask gw|dev举例：route-n查看路由route add default gateway 192.168.0.1添加缺省网关 添加网段的路由route del-net 172.16.0.0/16 gateway 192.168.0.254删除网段的路由,配置查看网桥,brctl addbr 网桥名brctl addif 网桥名 网络接口brctl delbr 网桥名brctl delif 网桥名 网络接口举例：brctl addbr pronc添加网桥proncbrctl addif pronc eth0将网卡eth0绑定到pronc网桥brctl addif pronc eth1将网卡eth1绑定到pronc网桥brctl show显示所设定的网桥,配置DNS,/etc/resolv.conf举例：more/etc/resolv.conf,配置ADSL,/usr/sbin/adsl-setup 配置ADSL拨号参数/usr/sbin/adsl-start 启动PPPOE客户端软件进行连接。如果成功，将出现 Connected，如果不成功，请检查网线、ADSL MODEM 等物理设备，并查看/var/log/messages中的信息/usr/sbin/adsl-stop 关闭ADSL和ISP的连接。/usr/sbin/adsl-status 查看当前连接的状态。,网络配置,Linux网络配置,iptables介绍,旁路配置,网桥配置,网关配置,邮件拦截配置,防火墙基本上都是设定防火墙规则(RULES)来规范封包的处理。iptables 将不同的规则集合起来放进不同的链(CHAINS)。iptables 的三个内建链(Built-in Chains)分别是INPUTOUTPUT与 FORWARD。iptables工具主要具备三个tables，table中包含chains，chains 里面包含的就是 rules 和 policies。,Iptables结构,The IP datagram is received.(1)If the datagram is for this machine,it is processed locally.(2)Forward(3)Datagrams from local processes are sent to the routing software for forwarding to the appropriate interface.(4)The IP datagram is transmitted.(5)Input rule is applied at flow 2.Output rule is applied at flow 4.,IP数据包流向,OUTPUT 是 local process 产生的封包才会经过。PREROUTING 就是在 ROUTING 之前通常是封包从一个界面进入之后尚未交给路由判断之前的处理在这里进行 DNAT 的 socket 替换 POSTROUTING 则是在路由判断之后通常是当封包离开界面之前的处理，在这里进行 SNAT 的 socket 替换。,Chain结构,增强网络地址转换(NAT)SNAT(Source Network Address Translation)change source address of packet.DNAT(Destination Network Address Translation)change destination address of packet.增强的封包检视 IPTables可以检查所有6个TCP旗标。IPTables可以详细的指定一连串的来源或目的端口，而非只有单一端口。MAC地址过滤 可以使用MAC Address做为过滤的条件。一定比例的限制条件 抵挡拒绝服务的攻击(像是大量syn)和端口的扫描，而且也限制重复的程序上登入的次数。服务的优先级类型(TOS)传输可以依优先级到不同的排列里。效率尽可能在可靠度最大、花费最少及标准的服务。,Iptables主要功能,#iptables-t table command match target/jump,the-t option specifies which table to use,Per default,the filter table is used.,#iptables-t table command match target/jump,建立一个新的(自定)链(-N)。删除一个空的(自定)链(-X)。改变一个内建链的原则(-P)。列出一个链中的规则(-L)。清除一个(内建)链中的所有规则(-F)。在一个链的最后面新增(append)一条规则(-A)。在链内某个位置插入(insert)一条新规则(-I)。在链内某个位置替换(replace)一条规则(-R)。在链内某个位置删除(delete)一条规则(-D)。,command(manage whole chains),#iptables-t table command match target/jump,Generic matches iptables-A INPUT-p tcp iptables-A INPUT-s 192.168.1.1 iptables-A INPUT-d 192.168.1.1 iptables-A INPUT-i eth0 iptables-A FORWARD-o eth0 iptables-A INPUT-fragment TCP matches iptables-A INPUT-p tcp-sport 22 iptables-A INPUT-p tcp-dport 22 iptables-p tcp-tcp-flags SYN,ACK,FIN SYN UDP matches iptables-A INPUT-p udp-sport 53 iptables-A INPUT-p udp-dport 53 ICMP matches iptables-A INPUT-p icmp-icmp-type 8 MAC match iptables-A INPUT-mac-source 00:00:00:00:00:01,#iptables-t table command match target/jump,ACCEPT target 接受这个封包也就是可以通过规则检验而放行顺利通过这个链。DROP target 丢弃这个封包也就不能通过规则检验而被挡掉。iptables-A INPUT-i eth1-p icmp-j DROPSNAT target 修改为特定的源地址DNAT target iptables-t nat-A PREROUTING-p tcp-d 140.116.164.179-dport 80-j DNAT-to-destination 1.2.3.1-1.2.3.9 修改为特定的目的地址和端口MASQUERADE target 动态的根据路由判断后的接口而修改源地址 iptables-t nat-A POSTROUTING-o ppp0-j MASQUERADE REDIRECT target iptables-t nat-A PREROUTING-i eth0-p tcp-dport 80-j REDIRECT-to-port 3128 重定向80端口到3128端口,网络配置,Linux网络配置,iptables介绍,旁路配置,网桥配置,网关配置,邮件拦截配置,旁路接入（集线器）,旁路接入（集线器）界面配置,旁路接入（集线器）命令配置,rootProEIM bin#more/home/ncmysql/nc/bin/startnet#This File Generate By ProEIM Version 5.05#Powered By Pronetway#Config Network Interface Ip Address#Accessway is Bypass#Config Route#Config Iptables,旁路接入（交换机镜像）,旁路接入（交换机镜像）界面配置,旁路接入（交换机镜像）命令配置,rootProEIM bin#more/home/ncmysql/nc/bin/startnet#This File Generate By ProEIM Version 5.05#Powered By Pronetway#Config Network Interface Ip Address#Accessway is Bypass#Config Route#Config Iptables,网络配置,Linux网络配置,iptables介绍,旁路配置,网桥配置,网关配置,邮件拦截配置,网桥接入,网桥接入界面配置,网桥接入命令配置,rootProEIM bin#more/home/ncmysql/nc/bin/startnet#Config Network Interface Ip Address#Accessway is Bridge#Begin Config Bridge/home/ncmysql/nc/bin/brctl addbr pronc/sbin/ifdown eth0/home/ncmysql/nc/bin/brctl addif pronc eth0/sbin/ifdown eth1/home/ncmysql/nc/bin/brctl addif pronc eth1#End Config Bridge#Config Route,网络配置,Linux网络配置,iptables介绍,旁路配置,网桥配置,网关配置,邮件拦截配置,网关接入（动态IP）,网关接入（动态IP）界面配置,网关接入（动态IP）命令配置,rootProEIM bin#more/home/ncmysql/nc/bin/startnet#This File Generate By ProEIM Version 5.05#Powered By Pronetway#Config Network Interface Ip Address#Accessway is Gateway#Config Route#Config Iptables/sbin/iptables-t nat-A POSTROUTING-o ppp0-j MASQUERADE,网关接入（固定IP）,网关接入（固定IP）界面配置,网关接入（固定IP）命令配置,rootProEIM bin#more/home/ncmysql/nc/bin/startnet#This File Generate By ProEIM Version 5.05#Powered By Pronetway#Config Network Interface Ip Address#Accessway is Gateway#Config Route#Config Iptables,网络配置,Linux网络配置,iptables介绍,旁路配置,网桥配置,网关配置,邮件拦截配置,邮件拦截,邮件拦截界面配置,邮件拦截命令配置,rootProEIM bin#more/home/ncmysql/nc/bin/startnet#Config Network Interface Ip Address#Accessway is Bridge#Begin Config Bridge/home/ncmysql/nc/bin/brctl addbr pronc/sbin/ifdown eth0/home/ncmysql/nc/bin/brctl addif pronc eth0/sbin/ifdown eth1/home/ncmysql/nc/bin/brctl addif pronc eth1/sbin/ifdown eth2/home/ncmysql/nc/bin/brctl addif pronc eth2#End Config Bridge#Config Route#Config Iptables/sbin/iptables-t nat-A PREROUTING-i pronc-p tcp-dport 25-j REDIRECT-to-port 8025,目录,安装准备,安装方式,网络配置,接入方案,后台设置,日常维护,启动脚本,rootProEIM bin#more/etc/rc.local/sbin/modprobe ip_conntrack_ftp#加载FTP模块/sbin/modprobe ipt_REDIRECT/sbin/modprobe ip_nat_ftpsleep 5cd/home/ncmysql/nc/bin#配置网络./ncstartnet/home/ncmysql/nc/bin/startnetsleep 3cd/usr/local/mysql/bin#启动数据库./safe_mysqld&sleep 3cd/home/ncmysql/nc/httpd/logs#启动Web服务rm-f httpd.pidrm-f ssl_gcache_datacd/home/ncmysql/nc/httpd/bin./apachectl startsslsleep 3cd/home/ncmysql/nc/bin#启动网络督察服务./proeim,Startnc脚本,rootProEIM bin#more/home/ncmysql/nc/bin/startnc/cd/home/ncmysql/nc/bin./nc#启动网络督察主进程sleep 3./ncsmtp#启动邮件拦截进程sleep 3echo“262144”/proc/sys/net/ipv4/ip_conntrack_max#设置最大IP连接数,Stopnc脚本,rootProEIM bin#more/home/ncmysql/nc/bin/stopnckillall-9 nc#停止网络督察主进程killall-9 nckillall-9 ncsmtp#停止邮件拦截进程killall-9 ncsmtpsleep 3/sbin/tc qdisc del dev eth1 root#清除带宽管理规则/sbin/tc qdisc del dev eth0 rootsleep 3/sbin/iptables-F FORWARD#清除所有iptables规则/sbin/iptables-t nat-F/home/ncmysql/nc/bin/nciptables.sh#调用其它有用的iptables规则/home/ncmysql/nc/conf/nciptexe.undo/home/ncmysql/nc/conf/nciptexe.dosleep 2/home/ncmysql/nc/bin/ncfirewall,网络督察服务,启动网络督察服务 proeim先调用stopnc脚本再调用startnc脚本停止网络督察服务 proeim stop调用stopnc脚本检查网络督察服务是否运行 ps-x看是否有几个nc进程在运行,数据库服务,启动数据库 cd/usr/local/mysql/bin./safe_mysqld&停止数据库 cd/usr/local/mysql/bin./mysqladmin-u root-plymlq123 shutdown检查数据库服务是否运行 mysql-u nc-pnc-D nc看是否能连接数据库数据库存放位置/usr/local/mysql/data/nc,Web服务,启动Apache服务 cd/home/ncmysql/nc/httpd/bin./apachectl startssl停止Apache服务 cd/home/ncmysql/nc/httpd/bin./apachectl stop检查Apache服务是否运行 用IE连接网络督察地址并刷新看是否有登录窗口Apache配置文件/home/ncmysql/nc/httpd/conf/httpd.conf,内核参数,rootProEIM bin#more/etc/sysctl.conf#Controls IP packet forwardingnet.ipv4.ip_forward=1#数据包转发打开#Controls source route verificationnet.ipv4.conf.default.rp_filter=1net.ipv4.icmp_echo_ignore_broadcasts=1net.ipv4.icmp_ignore_bogus_error_responses=1net.ipv4.tcp_syncookies=1net.ipv4.tcp_max_syn_backlog=8192#Do not accept source routingnet.ipv4.conf.default.accept_source_route=0#Controls the System Request debugging functionality of the kernelkernel.sysrq=0#Controls whether core dumps will append the PID to the core filename.#Useful for debugging multi-threaded applications.kernel.core_uses_pid=1kernel.shmmax=134217728#可分配共享内存大小,控制登录管理界面,rootProEIM bin#more/home/ncmysql/nc/bin/f#Who can Access Proeim Created By Pronetway 2005#1:Allowed-Can Access NotAllowed-Deny access#2:Network address#3:Netmask,网络督察日志,启动和运行日志/home/ncmysql/nc/log/ncstart.log邮件拦截运行日志/home/ncmysql/nc/log/smtp.log数据库检测日志/home/ncmysql/nc/log/ncdbcheck.log,目录,安装准备,安装方式,网络配置,接入方案,后台设置,维护诊断,恢复用户基础数据,1.用SSH类软件将ncbase.dmp上传到网络督察/home目录下。2.用SSH类软件登录网络督察，用户名是root，缺省密码是pronetway。3.出现#提示符以后执行以下命令恢复基础数据。cd/home/ncmysql/nc/bin mysql-u nc-pnc-D nc/home/ncbase.dmp,恢复出厂密码,1.用SSH类软件登录网络督察，用户名是root，缺省密码是pronetway。2.出现#提示符以后执行以下命令 cd/home/ncmysql/nc/bin mysql-u nc-pnc-D nc dssrv.dmp3.执行完以后admin管理员的密码恢复成manager了,修复硬盘数据,1.在网络督察上接上显示器、插上键盘并启动。2.启动设备显示CTRL-D.Reboot提示时输入pronetway并按回车显示1#提示3.执行e2fsck-y/dev/hda1，若碰到选项都输入Y，执行完以后继续执行e2fsck-y/dev/hda1，hda2等等，直到hda7，这些命令是检查硬盘的分区，其中可能有几个分区是没有的，若硬盘是SCSI或SATA的用sda替代hda。4.fsck检查完所有分区以后，执行reboot命令重起机器，若最后回车出现login提示信息则表示正常。,修复数据库,1.用SSH类软件登录网络督察，用户名是root，缺省密码是pronetway。2.执行proeim stop停止网络督察服务。3.修复数据库执行以下命令 cd/usr/local/mysql/data/nc myisamchk-r*MYI4.执行proeim启动网络督察服务。,不能登录管理界面,登录不到网络督察管理页面可能是以下几种情况造成的。1.网络连线不好，接口松动，检查连线和接口。2.网络督察HTTP服务没有启动，重启网络督察服务。3.内部或外部计算机和网络督察IP冲突。4.硬盘空间不够。5.局域网病毒或木马爆发造成网络督察负荷超载，检查局域网病毒和木马。,网络中断,访问外部网中断可能是以下几种情况造成的。1.设置了禁止的访问控制规则。2.带宽分配的速率过低。3.网络督察数据包转发开关没有打开。4.超过网络督察限定的IP连接数。5.网络设备与网络督察的网口不匹配。6.网络接口或连线等损坏。7.网络异常造成负载过高丢包。8.设备软件BUG。9.设备硬件故障。,开启邮件拦截不能发送邮件,启动邮件拦截功能后不能发送邮件可能是以下几种情况造成的。1.邮件拦截功能选项没有勾上，或勾上后没有重启服务。2.防火墙等网络设备禁止网络督察访问外网。3.网络督察的路由设置不正确。4.邮件发送的协议不是标准的SMTP协议。5.邮件服务器反垃圾检测过于严格。6.邮件并发数量过大，超出设备预定义处理能力。,不能监控用户上网,不能监控用户上网可能是以下几种情况造成的。1.管理网段设置不正确。2.用户免监控。3.镜像设置不正确。4.网络督察监控端口不正确。5.用户存在其它上网途径。6.监控对象不正确。7.设备软件BUG。,查看系统状态,查看系统负载 uptimetop查看IP连接数 more/proc/net/ip_conntrack|wcmore/proc/sys/net/ipv4/netfilter/ip_conntrack_count查看数据包转发开关more/proc/sys/net/ipv4/ip_forward查看iptables规则 iptables-L-niptables-t nat-L-n,抓取数据包,ncipget 抓取数据包并简单分析 ncipget-i eth1-s 192.168.0.116-d 0.0.0.0:80-t 2-c 1-o ipget.pkg&ncgetpkg 抓取数据包，此数据包配合用户基础数据可以模拟回放 ncgetpkg-i eth1-s 192.168.0.116-d 0.0.0.0:80-t 2-c 1-o getpkg.pkg&,Q&A谢谢,