2011年7月24日星期日

如何允許特定port不受防火牆限制

這邊以NetBIOS為例
在連接同一區域網路中電腦所架設的網站時，若是輸入電腦名稱。
便需要NetBIOS來做名稱解析。
可是這在防火牆中預設是封鎖的，因此我們要修改防火牆的設定，
好讓防火牆不會阻檔NetBIOS接收廣播封包來做解析。

首先從控制台進入"Windows防火牆"，並點選"進階設定"，會看到像下面這樣的視窗

點選輸入規則，找到"檔案與印表機共用"群組中的：

檔案及印表機共用 (NB-Name-In)
檔案及印表機共用 (NB-Datagram-In)
檔案及印表機共用 (NB-Session-In)

確定想在什麼網路環境（私人.網域或公用）下允許通過後，選擇讓它啟用

若是想要允許ping的封包，也可以在此開啟"檔案及印表機共用 (回應要求 - ICMPv4-In)"
或在"輸入規則"按右鍵選取"新增規則"自行建立想要的設定。

2011年7月23日星期六

NAT Server架設

Windows 2008的課程最後，老師講解的是NAT Server的架設
選取原本設定在同一個網段(192.168.8.0/24)中的VM來做模擬

2008MS作為NAT Server
2003DC作為內部網路中的IIS Server
XP作為一般用戶端電腦

事前的準備工作包括：

2008MS：
1.新增第二張網卡作為內部網卡

2.在伺服器管理員中新增角色－安裝NAT管理工具

2.設定內部網卡IP及Subnet Mask

兩張網卡所預設的網路名稱為區域連線及區域連線2
為了識別方便將外部網卡連線改名為"WAN"
內部網卡連線改名為"LAN"，其中LAN使用的是192.168.100.0/24的網段。

2003DC：
1.使用新增或移除元件新增IIS管理工具及FTP功能

點選Application Server，讓它打灰色勾勾（僅安裝部份功能）
點選詳細資料進入下一層選單

點選IIS，並進入詳細資料選單

將最下方的FTP也勾選，確定之後安裝

安裝好之後進入IIS的管理工具，可以看到已經架好了預設的WEB網頁及FTP站台

到WEB網頁及FTP站台的根目錄中新增幾筆資料以便等會識別用

XP：
只要確認可以正常連上網路就好。

另外，上面這些設定都做好之後，最好是每台互相ping一下看看是否可以正常連接
但是2008MS的內部網卡這時並無法被2003DC及XP ping到。
最好也一併檢查一下2008MS及XP的DNS是否指向到2003DC，拿掉。

(注意這時還是用.8網段的IP連線到2003DC)
也試一試2003DC架好的WEB及FTP能否在2008DC及XP中正常連線

若是遇到Virtual Box的Bug而沒辦法連線到FTP，可以將FTP所使用的TCP port改用別的port
這邊用的是2121。

將2003DC移入內部網路：

接下來就要正式把2003DC移進2008MS所架構的內部網域了
一點也不難
只要把網卡由原本的Host-Only改成內部網路。
再把TCP/IP(IPv4)的參數重新設定一下就好！
（這兩個部分可以直接開機的時候做修改，但若是怕出問題或改了之後怪怪的就改好重開機吧）

都弄好之後，可以再次試著ping 2008MS，會發現只能ping到.100的網段
當然也沒有辦法連接到外部網路。

2008MS的NAT設定：
開啟NAT管理工具，對2008MS(本機)按右鍵選"設定和啟用路由及遠端存取"

進入了安裝精靈

選擇要做為外部網路使用的連線

因為有些功能我們之前就有安裝過了，這邊選稍後自行設定。

此時2003DC應該就可以連線到網際網路上了！

連出OK了，那連入呢？
2003DC使用的是Private IP，所以要從外部連線到它所架設的站台，
得先設定讓2008MS收到連線要求時自動轉送到2003DC去。

開啟NAT管理工具，點選2008MS —> IPv4 –> NAT，對其中的WAN按右鍵編輯內容

我們在2003DC架了WEB及FTP，所以在這個地方要把這兩項的轉址功能打開並加以設定
（因為FTP預設的port只能是21，但我們將它改為2121，所以必需手動新增新的規則）

HTTP的部分輸入2003DC所使用的IP就好

FTP的部分就另外設定一下連入連出的port
連入是指用戶要經由2008MS轉址到2003DC的FTP站台時，所需要指定的port，
這兩個都可以隨自己喜好設1025~65535之間的數值，
只要連出port和你在2003DC的IIS中設定的一樣就好。

都設定好之後就用XP來試試看連不連得上囉!
注意這邊不能使用電腦名稱來連接2003DC，
因為在.8這個網段中已經找不到這台電腦，
而且它所位在的.100網段是私人的內部網路，
我們必須透過2008MS轉址才能連線到2003DC
所以要輸入的是2008MS的IP位址（電腦名稱也可以，DNS會幫我們連過去的~）

大功告成囉！！

2011年7月22日星期五

網路連接形式

上課所提到的連接形式不管是實體機器或虛擬機器其實只有三種：

NAT(Network Address Translation)
ICS(簡易的NAT功能)
虛擬機器的NAT功能
Bridge橋接

以教室的拓樸為例，可以表示成下圖：

NAT：網址轉譯，伺服器至少需要兩張網卡，一張連接外部網路，另一張(或更多)連接內部網路。外部網卡使用Public IP，內部網卡使用Private IP(包含ABC級網段各一組)。但在上圖中可以看出在整個拓樸我們不只一次使用NAT，也就是說NAT(及ICS)可以一層包一層使用。圖中2008MS即用NAT功能建構一個私人區域網路供192.168.100/24網段使用。
ICS：簡單的NAT功能，一般用戶端電腦也可以使用。但一張外部網卡同時只能對應一張內部網卡，並且僅能使用C級網段的Private IP。圖中所有Host網卡均利用ICS功能對Host-Only網卡做網址轉譯。
虛擬機器的NAT功能：VM軟體如Virtual Box或VMWare Workstation皆內建NAT以供VM更方便的使用網路，但其原理同NAT一樣，所以圖上並未列出。
Bridge：直接透過Host網卡做連線，需要分配與Host同網段的IP位址。圖中VC103-1即連接一部電腦透過Bridge的方式作網路連結。