Keri sisuni

Kodutöö: Väikese firma intranet

Enne alustamist

  • Kodutöö teed üksi tunni 3 laboris (DC01 ja WS01): kooli arvutis või kodus.
  • Aega kulub umbes 60–90 minutit. Kui pead labori kodus uuesti ehitama, lisandub umbes 1–1,5 tundi (vaata Labor kodus).
  • Kasuta tunni 3 ja tunni 2 spikrit. Ava abikastid ainult siis, kui jääd hätta.
  • Esita kodutöö enne järgmist tundi Teamsis klassi meeskonna ülesannete all.

Firma tahab sisevõrku kahte veebilehte:

  • intranet.labor: firma uudised, mida näevad kõik töötajad
  • hr.labor: personaliosakonna leht palkadega, mida näeb ainult rühm HR

Kasutad selleks kõike, mida tundides 2 ja 3 õppisid: kasutajad ja rühmad, NTFS-õigused, võrk, tulemüür, IIS ja hosts-fail.

Labor kodus

Kodutööks on vaja DC01 ja WS01, mis näevad teineteist, ning DC01-s veebiserverit IIS.

Kasuta tunni 3 laborit.

Enne alustamist: kontrolli hetktõmmist 3

Kodutöö muudab DC01-t. Tunnis 4 saab DC01-st domeenikontroller ja tund algab hetktõmmisest 3. Kontrolli, et see on olemas. Pärast kodutöö esitamist taasta mõlemas masinas hetktõmmis 3.

Kodus pole sul tõenäoliselt kooli virtuaalmasinaid. Kaks võimalust:

  • Kiirem: ekspordi oma DC01 ja WS01 kooli arvutist USB-kettale ja impordi need kodus (vaata valmis virtuaalmasina importimine). Kodus loo enne lüliti LabNet.
  • Ehita uuesti: lühendatud labor tunni 3 juhendite järgi. Esituslehte pordil 6767 ja tunni harjutusi pole vaja korrata.
# Mida teha Juhend
1 Lülita sisse Hyper-V ja laadi alla Windows 11 ning Windows Serveri ISO-failid Hyper-V, allalaadimine
2 Loo lüliti LabNet, virtuaalmasinad WS01 ja DC01 ning paigalda need Osa 1, Praktiline 1
3 Nimed ja staatilised aadressid (192.168.50.10 ja 192.168.50.20) Osa 1, Praktiline 2
4 Reegel Lab - ping mõlemas masinas Osa 2, Praktiline 2
5 IIS DC01-s ja reegel Lab - web (TCP 80) Osa 3, Praktiline 2

Valmis, kui: WS01-s töötab ping 192.168.50.10 ja http://192.168.50.10 avab IIS-i lehe.

Käsud on koos spikris. Kodus pole hetktõmmisega 3 vaja midagi teha: tund 4 kasutab kooli masinaid.

Vajad abi? Kodus pole Hyper-V-d või arvuti on liiga aeglane

Hyper-V vajab Windowsi väljaannet Pro (mitte Home) ja kaks virtuaalmasinat vajavad umbes 8 GB vaba muutmälu. Kui sinu kodune arvuti seda ei võimalda, tee kodutöö koolis või kirjuta õpetajale Teamsis.

Ülesanne 1: Kasutajad ja rühmad

DC01-s loo tunni 2 käskudega (või hiirega):

Kasutaja Rühm Parool
anna HR Passw0rd
mark IT Passw0rd
Vihje: käsud

Vaata tunni 2 spikrit: New-LocalGroup, New-LocalUser, Add-LocalGroupMember.

Kontrolli tulemust

Get-LocalGroupMember -Group "HR" näitab kasutajat anna, rühma IT liige on mark.

Ülesanne 2: Kaks veebisaiti nime järgi

Samm 1: Lehed

DC01-s loo kaustad ja lehed:

New-Item -ItemType Directory -Path C:\inetpub\intranet, C:\inetpub\hr
Set-Content -Path C:\inetpub\intranet\index.html -Value "<h1>Intranet</h1><p>Tere tulemast firma sisevõrku!</p>" -Encoding UTF8
Set-Content -Path C:\inetpub\hr\index.html -Value "<h1>HR</h1><p>Palgad: salajane</p>" -Encoding UTF8

Samm 2: Saidid samal pordil 80

Tunnis eristasid saite pordi järgi (80 ja 6767). Nüüd on mõlemad pordil 80 ja IIS eristab neid nime järgi: brauser saadab päringus nime, mida kasutaja aadressiribale kirjutas.

Käsk New-IISSite vajab IIS-i PowerShelli tööriistu. Paigalda need kõigepealt (kui on juba olemas, ei juhtu midagi):

Install-WindowsFeature -Name Web-Scripting-Tools

Siis loo saidid:

New-IISSite -Name "Intranet" -PhysicalPath "C:\inetpub\intranet" -BindingInformation "*:80:intranet.labor"
New-IISSite -Name "HR" -PhysicalPath "C:\inetpub\hr" -BindingInformation "*:80:hr.labor"

Hiirega: IIS Manageris Add Website, väljale Host name kirjuta saidi nimi.

Vajad abi? „The term 'New-IISSite' is not recognized”

Kontrolli, et oled DC01-s, mitte WS01-s. Kui oled, siis on puudu IIS-i PowerShelli tööriistad. Paigalda need ja ava PowerShell uuesti:

Install-WindowsFeature -Name Web-Scripting-Tools

Kasuta Windows PowerShelli (sinine aken, PS C:\>), mitte PowerShell 7.

Samm 3: Nimed WS01-s

Lisa WS01 hosts-faili mõlemad nimed (Praktiline 3). Ava WS01 brauseris http://intranet.labor ja http://hr.labor.

Vajad abi? Mõlemad nimed näitavad sama lehte

Kontrolli DC01-s käsuga Get-IISSite, et saitide sidumises (Bindings) on õige nimi. Kui nimi on vale, avaneb vaikimisi sait Default Web Site.

Kontrolli tulemust

http://intranet.labor näitab intraneti lehte ja http://hr.labor HR-i lehte. Praegu näevad HR-i lehte kõik ja keegi ei küsi parooli.

Ülesanne 3: HR-i leht ainult sisselogimisega

Samm 1: Paigalda Windowsi autentimine

DC01-s:

Install-WindowsFeature -Name Web-Windows-Auth

Samm 2: Lülita saidil HR sisse sisselogimine

IIS Manageris vali vasakult sait HR, ava Authentication ja muuda:

Meetod Olek
Anonymous Authentication Disabled
Windows Authentication Enabled
Vihje: sama käsuga 
Set-WebConfigurationProperty -PSPath "IIS:\" -Location "HR" -Filter "system.webServer/security/authentication/anonymousAuthentication" -Name "enabled" -Value $false
Set-WebConfigurationProperty -PSPath "IIS:\" -Location "HR" -Filter "system.webServer/security/authentication/windowsAuthentication" -Name "enabled" -Value $true

Samm 3: Testi

WS01-s ava InPrivate-aken (Ctrl+Shift+N) ja mine aadressile http://hr.labor. Brauser küsib kasutajanime ja parooli. Logi sisse kujul DC01\anna, parool Passw0rd.

Sulge InPrivate-aken, ava uus ja proovi sama kasutajaga DC01\mark.

Vajad abi? Brauser ei küsi uuesti parooli

Brauser mäletab sisselogimist, kuni aken on lahti. Sulge kõik InPrivate-aknad ja ava uus.

Kontrolli tulemust

Brauser küsib parooli. Nii anna kui ka mark näevad praegu HR-i lehte, sest kausta C:\inetpub\hr saavad lugeda kõik kasutajad.

Ülesanne 4: NTFS-õigused ka veebis

Samm 1: Ennusta

Sa muudad kausta C:\inetpub\hr õigusi nii, et seda saab lugeda ainult rühm HR. Kirjuta enne testimist kasti: kas anna ja mark näevad siis HR-i lehte? Aga intraneti lehte? Miks?

Samm 2: Muuda õigusi

DC01-s muuda kausta C:\inetpub\hr õigusi tunni 2 oskustega:

  1. Lülita pärimine välja, teisendades päritud kirjed.
  2. Eemalda kirjed Users ja Authenticated Users (kui on olemas).
  3. Anna rühmale HR õigus Lugemine ja käivitamine (RX).
  4. Jäta alles Administrators, SYSTEM ja IIS_IUSRS. Kui IIS_IUSRS puudub, anna talle samuti RX.
Vihje: miks IIS_IUSRS?

IIS ise peab saama kausta lugeda, et leida saidi seadeid. Faili ennast loeb IIS sisseloginud kasutaja õigustega, seega mark ei pääse ligi ka siis, kui IIS_IUSRS on alles.

Vihje: käsud 
icacls C:\inetpub\hr /inheritance:d
icacls C:\inetpub\hr /remove "Users" /remove "Authenticated Users"
icacls C:\inetpub\hr /grant "HR:(OI)(CI)RX" /grant "IIS_IUSRS:(OI)(CI)RX"
icacls C:\inetpub\hr

Samm 3: Testi

Testi uuesti InPrivate-aknas mõlema kasutajaga. Täida oma märkmetesse tabel:

Kasutaja http://intranet.labor http://hr.labor
anna
mark
Vajad abi? Ka anna ei pääse ligi

Kontrolli, et anna on rühmas HR ja et rühmal HR on kaustal õigus (icacls C:\inetpub\hr). Kui lisasid anna rühma alles nüüd, taaskäivita DC01-s IIS käsuga iisreset.

Kontrolli tulemust

anna näeb mõlemat lehte. mark näeb intraneti lehte, kuid HR-i lehel saab veateate (401, juurdepääs keelatud).

Ülesanne 5: Intranet ainult laborivõrgust

Firma ei taha, et veebiserver oleks kättesaadav väljastpoolt sisevõrku. Muuda DC01 tulemüüri reeglit Lab - web nii, et port 80 on lubatud ainult aadressidelt 192.168.50.0/24.

Vihje: käsk

Vaata osa 2 Teooria 3: parameeter -RemoteAddress.

Kontrolli tulemust

WS01 avab endiselt mõlemad lehed. Get-NetFirewallRule -DisplayName "Lab - web" | Get-NetFirewallAddressFilter näitab RemoteAddress : 192.168.50.0/255.255.255.0.

Ülesanne 6: Salvesta tõendid

DC01 administraatori PowerShellis:

$f = "$HOME\Desktop\kodutoo3.txt"
whoami > $f
hostname >> $f
Get-Date >> $f
Get-LocalGroupMember -Group "HR" >> $f
Get-IISSite >> $f
icacls C:\inetpub\hr >> $f
Get-NetFirewallRule -DisplayName "Lab*" | Format-Table DisplayName, Enabled, Action, Profile >> $f
Get-NetFirewallRule -DisplayName "Lab - web" | Get-NetFirewallAddressFilter >> $f

Tee ka kaks ekraanipilti WS01 aknast, kus aadressiriba on näha:

  1. anna näeb lehte http://hr.labor
  2. mark saab lehel http://hr.labor veateate

Ülesanne 7: Vasta oma sõnadega

Vasta igale küsimusele 2–4 lausega. Kirjuta oma sõnadega, mitte tehisintellektilt.

  1. Miks ei näinud mark HR-i lehte, kuigi veebiserver ja tulemüür lubasid ühenduse?
  2. Kuidas teab IIS, kumba saiti näidata, kui mõlemad on samal aadressil ja pordil 80?
  3. Igas firma arvutis peaks muutma hosts-faili. Mis selle asemel tunnis 4 tuleb ja miks see on parem?

Mida esitada

Esita Teamsis klassi meeskonna ülesannete all:

  1. Fail kodutoo3.txt (Ülesanne 6)
  2. Kaks ekraanipilti (Ülesanne 6)
  3. Täidetud tabel (Ülesanne 4)
  4. Vastused küsimustele (Ülesanne 7)
Kriteerium Hea tulemus
Seadistus Kaks saiti nime järgi, HR-i leht ainult sisselogimisega, õigused ainult rühmal HR, tulemüüri reegel piiratud laborivõrguga
Testimine Ennustus on enne testi, tabel ja ekraanipildid on päris kasutajatega
Arusaamine Vastused on selged ja omas sõnastuses

Pärast esitamist: taasta hetktõmmis 3 (kooli arvutis)

Kui tegid kodutöö kooli arvutis, taasta mõlemas masinas hetktõmmis 3. Tund 4 algab sellest olekust. Kodus ehitatud laboriga pole vaja midagi teha.

Lisaülesanded

Lisaülesanne 1: IT-osakonna leht ⭐

Eesmärk: korda kogu ahelat iseseisvalt.

Lisa kolmas sait it.labor, mida näeb ainult rühm IT.

Valmis, kui: mark näeb lehte http://it.labor, anna mitte.

Lisaülesanne 2: Ühiskaust üle võrgu ⭐⭐

Eesmärk: sama loogika failide ühiskasutusega.

Jaga DC01-s kaust C:\Firma\HR võrku nimega HR (tunni 2 lisaülesanne 3.1). Ühenda see WS01-s aadressilt \\dc01\HR kasutajana DC01\anna ja proovi sama kasutajana DC01\mark. Mõtle, millise tulemüüri reegli Windows ühiskasutuse jaoks vajab.

Valmis, kui: anna saab kausta avada, mark mitte, ja oskad öelda, milline port ja reegel seda võimaldab.