网络基础教案

第一章网络入门知识

1.1 网络是什么

一、网络的定义

1．定义：计算机网络是一组自治计算机互连的集合。

自治（或自主）：每个计算机有自主权，不受别人控制

互连：用通信介质进行连接，并达到相互通信的目的

用通俗的描述：

计算机网络是把处在不同地理位置的独立计算机，用通信介质和设备互连，以网络软件进行控制，达到资源共享、协同操作的目的。

网络的目的: 共享资源

1.2 网络类型

即然是计算机互连，连成什么样的网？这就要对网络进行一下分类：

一、网络的简介

简单的网络：

没有网卡没有HUB（集线器），两台计算机用“串口或并口”直接电缆连接 SW（交换机）

有网卡没有HUB，两台计算机用“点到点的线”直连

复杂的网络：

有网卡有HUB，多台计算机用“标准线序的线”互连

LAN与LAN之间的互连，Internet

二、常见网络拓扑结构

1. 总线型拓扑（BUS）

优点：消耗的电缆长度最短，最经济、不便于维护

缺点：重载下性能差，总线上一点故障将导致全网的故障，扩展不容易

说明：1. 适用于同轴电缆

2．属于被动型网络

3．发送信号（在低层基于广播的共享信道）

①在某个时间，只有一台计算机可有效发送信号

②只有地址信号匹配的计算机才能有效接收信号

4．2个终结器（Terminator）：用于吸收信号，起到终端或端子的作用

5．只能一端接地.

2 .星型拓扑（star）

说明：适用于双绞线，属于被动型网络，外观上看是星形，逻辑上是总线

优点：组网容易、一台计算机故障不影响其它计算机通信、改变扩展很容易

缺点：需要的网线比BUS多

HUB /SW故障网络不能工作

我们先分析一下HUB：

HUB是一个多端口中继器，多端口共享一个带宽

主动式HUB：（有源）多端口中继器，可放大信号

被动式HUB：（无源）连接器

混合式HUB：可连接多种类型的缆线

SWITCH是一个改进的多端口网桥，每个端口有一个带宽

优点：可按需要改变或扩展网络，只需简单地接入计算机或另一个HUB

不同的端口可以接不同的缆线

有些HUB可以集中监视网络的活动和流量

3. 环状拓扑（Token ring）

优点：可预知网的性能

缺点：比较贵、任何一台计算机出故障都会影响整个网络

说明：

1.主动式拓扑结构，*外观是星形结构，逻辑上是环型

2.用Token Ring（令牌环）来控制传输

3．信号在环上沿一个方向传递

4．当一台计算机失效，将导致全网失效，但IBM的专用HUB，利用旁路解决这个问题

5．国内用的少，国外用的多

3．标准拓扑类型的变体

*混合型：MESH（多对多）、STAR-BUS、STAR-RING

第二章网络如何工作(理论网络)

2．1 网络模型

一、ISO的OSI模型

1978年国际化标准组织（ISO，International Standards Organization）发表了一系列标准，提出了一个连接不同设备的网络体系结构。这就是OSI（Open Systems Interconnection）模型，又称为参改模型(reference)，或概念模型(conceptual)，或Department of Defense (DOD)。

1．分层结构：共七层，每一层都覆盖不同的网络形为、设备和协议

OSI模型

.

2．各层间的关系：

◇逻辑上是对应层之间的通信

◇物理上通信只发生在一台机器的相邻之间

每一层的目的就是为邻近的上层提供服务，屏蔽掉完成服务的具体细节。这样，每层好像是与另一台计算机相关层之间进行通信（虚电路）。实际上，通信发生在同一台计算机的相邻层之间。每层都有相应的软件，根据一系列

的协议完成某些特定的的网络功能。

在数据传送给另一层时，都要分成报文。报文是一个信息单位，作为一个整体从网络中的一个设备传送给另一个设备。网络按层把报文从一个软件传到另一个软件层。每层软件都给报文增加一些格式或地址信息，以便成功的在网络上传输。

在接收端，报文按相反顺序传递。每层软件读取报文上的相关信息，去掉本层的附加信息并继续往上传。当报文最终到达应用层时，地址信息已被去掉，只剩下了原来的数据，接收方就可以阅读了。

除了最低层外，没有哪一层可以与另一台计算机上的对等层之间直接传递信息。发送计算机上的信息，必须逐次穿越各层。

相邻层之间的交涉都通过接口。接口定义了低层提供了哪些服务以及如何访问这些服务。

（应用程序调用NT或第三方提供的API，而不是直接调用物理层；隐藏了复杂的硬件调用。每一层都在上层的数据前加上本层的头标。物理层按比特流发送，在发送前加上一个发送起始位，也像是头标一样。）

3．各层的功能：

应用层（Application Layer）：

◇充当应用程序访问网络服务的窗口，处理一般的网络访问、流量控制和错误恢复。

表示层(Present Layer)：

◇代表应用进程协商数据表示方式，被称为网络转换器

◇完成协议转换、翻译数据、加密数据、数据压缩、改变或转换字符集以及扩展图形命令

◇Redirector工作在这一层

会话层(Session Layer)：

提供两个进程之建立、维护和结束会话连接的功能

提供交叉会话的功能，有三种数据流方向的控制模式：即一路交叉、两路交叉和两路同时会话模式。

传输层(Transport Layer)：

提供建立、维护和拆除传送连接的功能

选择网络层提供的最合适的服务

在系统之间提供可靠的透明的数据传送，提供端到端的差错恢复和流控制

网络层(Network Layer)：

控制分组传送系统的操作，即路由选择、拥塞控制、网络互连等功能，它的特性对高层是透明的；

根据传输层的要求来选择服务质量

向传输层报告未恢复的差错

数据链路层(Data Link Layer)：

在网络层实体间提供传送数据的功能和过程

提供数据链路的帧流控

检测和校正物理链路产生的差错

物理层(Physical Layer)：

提供为建立、维护和拆除物理链路所需的机械的、电气的、功能的和规程的特性；

提供在物理链路上传输非结构的位流以及故障检测指示；

优点：层次性

下层向上层提供服务

上层通过SAP(service access point服务访问点)访问下层的服务

OSI模型最初是用来作为开发网络通信协议族的一个工业参考标准。通过严格遵守OSI模型，不同的网络技术之间可以轻易地实现互操作。但是，网络市场不完全是这种情况。今天市场上没有一个流行的网络协议完全OSI模型，如：TCP/IP用四层。

OSI模型包含许多被分割成层的组件。在网络数据通信的过程中，每一层完成一个特定的任务。当传输数据的时候，每一层接收到上面层格式化后的数据，对数据进行操作，然且把它传给下面的层。当接收数据的时候，每一层接收到下面层传过来的数据，对数据进行解包，然后把它传给上一层。

OSI模型的一个关键概念是虚电路。兼容OSI模型的网络栈的每一部分都不知道其上面层和下面层的行为和细节；它只是通过标准的规则，向上和向下传输数据。就模型的层次而言，每一层都有仿佛直接与目的主机上的对应层通信。就每一层而言，它的数据在目的层被解包的方式和被打包的方式是完全一样的。层不知道传输数据的实际细节；它们只知道数据是从周围层中传过来的。（目标层感觉是直接从源相应层传输过来的，就好像有一条电路直接连通一样）

虚电路结构增强了OSI模型每一层的模块性；实现每一层的软件可以被栈的开发人员和工作站的管理人员移走、替代和更新而是影响它上面和下面的层。这允许灵活地改变网络类型和更新层来处理错误和增加新特性。每一层都利用其上层和下层的服务来维持它和远地主机上对应层的虚电路。

二、802工程模型(LAN技术)

IEEE(Institute of Electrical and Electronics Engineers，电子电气工程师协会)包括ISO、ITU（International Telecommunications Union，国际电信同盟）、IAB（Internet Architecture Board，Internet架构委员会），80年2月制定的方案。详细定义了与物理配线及数据传输有关的网络问题，对应于OSI的第一、二层。

1．802的类别：

802是IEEE众多标准中一个标准的代号：

802．1 网络互联

*802．2 LLC的标准

*802．3 Xerox \ DEC \ Intel 以太网

802．4 令牌总线（LAN）

802．5 令牌环（LAN）

802．6 城域网（MAN）

802．7 宽带技术顾问组

802．8 光纤技术顾问组

802．9 集成音频/数据网络

802．10 网络安全性

*802．11 无线网络

802．12 优先级请求访问局域网（Demand Priority Access LAN, 100 Base VG-AnyLAN）

2．对OSI的增强

802模型对数据链路层划分成LLC逻辑链路控制子层和MAC介质访问子层

LLC逻辑链路控制层：对错误和流量的控制，负责与对应层中的相同协议进行通信

MAC层：对访问的控制

2．2 网络互联技术

网络互联：不只是物理上的连接，而是指网络互通

一、中继器(Repeater or HUB)

◇位于OSI的物理层，识别再生信号，并转发到其它网络分支

◇不转换或过滤任何信息

◇可连接不同的物理介质，但必须是相同物理性质的网

如：粗缆与细缆的连接、细缆与RJ45的连接

二、网桥（LAN技术，WAN点到点）

网桥（Bridge）是一种帧存储转发设备，用来连接相似类型的局域网。

1. 网桥是如何工作的

◇工作在OSI数据链路层，特别是工作在MAC子层的称为MAC子层网桥。用于将较小的LAN网络连接成较大的网络，可连接不同物理性质的网络。

如：以太网与令牌环的连接

◇MAC子层网桥

建立一个针对MAC地址的路由表：把目的计算机的MAC地址加入路由表中

按以下方法传输帧：

目的MAC地址不在路由表中，网桥将帧广播转发到桥的所用分支上（除了自身）。

目的MAC地址在路由表中，网桥将帧送到目的地址所在端口。

路由表的形式为：

端口号对应路由的MAC地址

可实现端口号与MAC地址的一对多，但不可多对一

◇网络数据流分割作用

三、路由器

路由器是实现网络层服务的设备，它提供了各种各样、各种速率的链路或子网接口。路由器是一个主动的、智能的网络节点，它参与网络管理，提供对资源的动态控制，支持工程和维护活动。

路由器的功能包括：

◇连接WAN：它所支持的WAN接口有：光纤链路、X.25、帧中继、同步链路、ISDN、SMDS、无线链路、拨号或租用电话线以及ATM等

◇数据处理：包括过滤、转发、优先、复用、加密和压缩等

◇管理设施：包括配置管理、容错管理和性能管理等

1．特点：

◇工作在OSI网络层，用于在网络层连接分支

◇只关心网络ID，对应的子网掩码，不关心具体主机ID，有路由能力

◇可过滤信息和分隔子网，特别是阻止广播风暴

2．路由：

◇路由表：目的网络ID 目的网络的子网掩码下一站路由器地址HOPS

◇可路由协议：TCP/IP、IPX/SPX、AppleTalk、DecNet

◇不可路由协议：LAT(Dec)、NetBEUI、DLC

路由算法：

OSPF（Open Shortest Path First）、RIP、NLSP、IGRP(内部网关路由协议)、E-IGRP

3．路由器类型：

根据支持网络协议能力的角度考虑：分为单协议路由器和多协议路由器

根据成本的角度考虑：分为访问(Access)路由器和边界(Boundary)路由器

根据连接的范围和能力：分为区域路由器、企业路由器以及园区路由器

* 根据对路由表的管理：分为静态路由器和动态路由器

（INTERNET用于同质网络互连）

从目前的网络互连产品来看，网桥和路由器的功能相互渗透，以致出现了桥路由器(Bridge/Router)、桥接路由器(Router/Bridge)、桥路器(Brouter)，这使两者的区别已不太明显，只是在功能上有所侧重而已。

桥接路由器(Router/Bridge)：先当路由器，不通之后（如不可路由协议），就当桥（广播查询）；也有的是手工开关，选择做桥或router。

HUB与交换机（改进的网桥）

*五、网关

用于连接不同的网络，进行协议转换

连接异质网络（协议栈不兼容）

不同的网络体系（Network Architecture）

2．3 广域网传输

概述中国的网络

二、模拟连接

1.PSTN

2.专用模拟线路

三、数字连接

数字数据服务(Digital Data Service，DDS)：提供比模拟线路更高速、更安全的传输环境。点对点数字电路是可以由好几种远程通讯载体提供的专用的线路。通过从每个端点建立一个永久链路，载体可以保证全双工的带宽。租用线路的服务等级用T（美国和加拿大）或E（欧洲、南美和墨西哥）后跟一个说明带宽的数字表示。

北美的数字线路

欧洲的数字线路

第三章 WINDOWS NT4.0的环境

一、NTW与WIN 95的区别与联系

1．相同点：

◇相同的用户界面：只是外表相同，内核完全不一样

◇相同的应用程序：IE、Microsoft Messaging

◇相同的方法管理工作环境

◎User Profile

◎Hardware Profile

◎系统策略

2．不同点：

◇硬件要求

◇电源与即插即用：NTW没有，95支持高级便携机管理和即插即用◇多任务：WIN 95不支持多CPU不能实现真正的多任务

◇稳定性和安全性

二、NTS与NTW的区别与联系

1．相同点：

◇支持多平台、多CPU

◇相同的APP：DOS、WIN16、WIN32、POSIX

◇高安全性：NT是C2级，UNIX是C1级，DOS是D1级

◇内置网络OS

◇支持FAT16、NTFS、CDFS

◇支持4G RAM 、16EB DISK

◇高稳定性：抢先式多任务

2．不同点：

◇NTW桌面OS；NTS网络OS

◇NTW最大允许建立10个并发会话；NT SERVER由访问许可限制

◇NTS提供了更多网络管理工具

◇NTS支持256个RAS客户端；NTW支持1个RAS客户端

◇NTS支持4个对称处理器；NTW支持2个对称处理器

◇NTS支持RAID 5容错；NTW不支持RAID 5

二、NT的结构

1．用户模式：用户运行的应用程序

◇运行在被分配的内存空间

◇不可以直接访问硬件

◇可以使用硬盘空间做虚拟内存

◇优先级低于内核模式下的进程（优先级高的，CPU先处理）2．内核模式：

◇可以直接访问硬件

◇不使用虚拟内存，运行于独立的内存空间内，因此受到保护，这样即使用应用程序失败，也不会影响其它内核模式应用程序

三、NT 对内存的管理

1．虚拟内存管理器：

分割了用户模式的应用程序对硬件内存的直接访问，分配给应用程序一个0到4GB的逻辑内存（并不在硬盘上，只是逻辑内存页码），使用分页的方式给应用程序分配物理内存，每页4KB；当物理内存不充足时，把物理内存中的程序转存到PAGEFILE.SYS文件

2．优点：

◇运行尺寸超出物理内存更多的应用程序

◇易于移植

◇克服了16位应用程序每段最大64KB的限制

四、NT对网络的管理

1．WORKGROUP：（工作组）

◇都拥有本机的DATABASE，保存可以访问本机的合法用户的集合

◇要想访问其机器时，必须在被访问的机器中有合法帐户

◇是一种分散管理

◇优点：个人管理个人的机器，不用专门的管理员

2．DOMAIN：

域是一种逻辑上的管理方法，域中的计算机可在一地，也可处于不同城市、国家

◇是一种集中式管理

◇唯一的DC中有一个域数据库，保存着访问域的合法用户的集合

◇要想访问其它机器上的资源时，只要有被访问的资源的权限，不需要验证身份

Internet Domain：一组逻辑上的TCP/IP主机

Collision Domain：一个单一Ethernet子网

单域的客户容量：40,000户

SAM数据库不超过40M

用户帐号占1KB

本地组每组占0.5KB，每用户36字节

全局组每组占0.5KB，每用户12字节

计算机帐号占0.5KB

五、登录到NT计算机或域的过程

◇登录到NT计算机或域中，给用户重新分配权限，必须重新登录才能生效

◇登录到NT计算机或域时，只是验证数据库存在的位置不同

六、在域中创建计算机帐号

只有NT计算机才能再NT域中创建计算机帐号

方法一：

◇服务器端的操作：有添加计算机到域的权限的用户使用Server Manager建立一个帐号实际操作中灰色代表计算机移走了或未加入

◇客户端的操作：在网络属性中添加到域中（P39）

方法二：

在客户端一次建立帐号并加入，但必须有往域中加入计算机帐号的权力的用户才能完成这项任务注意：要为ADMINISTRATOR创建一个备份该如何操作？

WIN 95计算机不能拥有域中的计算机帐号，计算机只能加入到工作组中；但可通过网络客户选项允许“域帐户“从本机登录到域（打破了域的真正的概念）

第四章 域和工作组

一．工作组

1． 各自维护本地数据库 2． 分布式管理 3． 彼此平等

4． 帐户只能登录到本机 二．域 1．

维护统一的一个数据库

2． 集中式管理：用户帐号集中管理、资源集中管理

3．域成员有不同的角色

◇PDC ◇BDC ◇Stand-alone 4．登录到域

◇ 交互式登录到域: 如：开机时Ctrl+Alt+Del

◇非交互式登录到域：如：通过网络连接时，输入Guest 帐户 5． 任务管理器（Ctrl+Alt+Del ）

锁定的工作站只能由本人解锁；或管理员注销 关闭系统或更改密码需要有相应的权限才可以完成 三．计算机在域和工作组间的转换

1． WIN 95计算机：不可加入到域，只能是工作组成员 2． NT 计算机：即可加入到域，又可加入到工作组

配置 Microsoft 网络用户 登录身份验证 登录到Windows NT 域

第五章用户帐号和组帐号

用户帐户：是每个网络用户的标识，并且对用户访问资源的权限做了规定。用户帐户包含下列信息：用户名、密码、用户权限和环境设置。

用户组帐户：通常是指由多个用户构成的一个整体名称，用户组中的各个成员具有相同的权限和能力。

一、用户帐户

1．在工作组中

一个公司有40人，20台计算机，公司人员公用所有的计算机，为了让每个人都能使用每台计算机。

问：你至少需要在每台建立多少个用户帐号？

你至少总共需要建立多少个用户帐号？

Answer：（40个）一个人一个帐号时，是这个答案

（800个）一个人多个帐号时，会更多

在工作组管理方式中，对于本计算机维护的这种帐号，被称为本机帐号，在NT workstation中体现的是用User Manager来管理的；如果有一个人改名了，你想修改需要修改20次。

2．在域中

一个公司有40人，20台计算机，公司人员公用所有的计算机，为了让每个人都能使用每台计算机。

问：你至少需要在每台建立多少个用户帐号？

你至少总共需要建立多少个用户帐号？

Answer：（0个，除了PDC上）

（40个）

在域管理方式中，由DC维护域帐号，在NT server中体现的是用User Manager for domains来管理的；

如果有一个人改名了，你只需修改1次，就可完成变化。NT域帐号分为两种：Global Account和Local Account。3

本机帐户：在NTW、MS的用户管理器上建立，只能存在于本机上、登录到本机

Global Account：在DC、MS的域用户管理上建立，只能存在于域中、能登录到域

Local Account：在DC、MS的域用户管理上建立，只能存在于域中；能通过网络访问域中的资源

在MS上，当登录到本机时，名是域用户管理器，实际上是用户管理器

当登录到域时，就是域用户管理器

在域用户管理器上，只能建立Global Account和Local Account

在用户管理器上，只能建立本机帐户

二、组帐户

组提供了一种管理和控制用户访问资源的简便方法。（管理的需求，不是技术的需求）

例1：把TEST目录给5000个用户付与READ权限，需要做多少次操作？（5000次）

例2：把TEST1目录和TEST2目录，给5000个用户付与READ权限，需要做多少次操作？（5000＊2＝10000次）

例3：把TEST1目录和TEST2目录，给5000个用户付与READ权限，建立一个本地组，把这5000个用户，加入到这个本地组，需要做多少次操作？（5000＋2＝5002次）

例4：把TEST1目录和TEST2目录，给5000个用户付与READ权限，建立二个本地组，把这5000个用户，分别加入到这个二个本地组，需要做多少次操作？（5000＊2＋2＝10002次）

例5：把TEST1到TEST20目录，给5000个用户付与READ权限，建立二个本地组，再建一个全局组，把这5000个用户，分别加入到这个全局组，需要做多少次操作？（5000＋20＊2＝5040次）

对于单机方式：每台计算机上只有本地组，无全局组

对于域方式：每个域中除了有本地组外，还有全局组

本地组：在域用户管理器和用户管理器上都能建立

全局组：只能在

三、用户帐户、全局组和本地组的关系

Microsoft 建议用AGLP 关系

1．用户帐户的属性 1．Password

“User Must Change Password at Next Logon”选项，对于WIN 95客户，表现的是“The password has expired ” 2．Groups 3．Profile

User Profile 包括：桌面、快捷方式、网络连接、幕屏设置 User Profile 分两种类型： ◇Local Profile

◇Romaming Profile ：Romaming Mandatory Profile （把两个Ntuser.dat 文件的改名为Ntuser.man ）

Romaming Personal Profile

如果Romaming Profile 失败，用户也会登录成功，但用本地用户配置文件登录

在配置成Romaming Mandatory Profile 时，用户仍可以修改配置，但在注销时不保存到配置文件中 对于使用Romaming Profile 登录时，会提示用本地的缓冲或下载；如果使用了缓冲也许不是最新的配置文件 4．Hours 5．Logon To

3． Account ：帐号类型及期限

Global Account Local Account 4． Dialin ：

8．用户权限：给予用户或组一些特殊权限

Start Programs Administrative Tools(Common) User Manager for Domains Policies User Rights

9．帐号：对帐号的一些规则

Start Programs Administrative Tools(Common) User Manager for Domains Policies Account

10．帐号改名：

一个用户帐号被错误地删除，又重建了同名帐号，需重新符与权限，因为SID(Security IDentifier)变了

第六章资源访问

资源访问权限

一、共享级安全，又称口令保护共享(password-protected shares)

WIN 95中的共享权限只能分配给所有的用户，不能给不同的用户授予不同的访问组别，即人人平等。唯一的限制是用口令，并且对所有的用户，这个口令是一样的。并在访问资源时，提供口令。

访问权限有三个方式：

◇只读

◇完全

◇根据密码访问（密码有两个，分别针对只读和完全）

二、用户级安全，又称访问许可

访问许可权逐个用户地被授予，并在用户登录时进行验证。如果用户通过验证之后，就为该用户产生一个访问令牌，该令牌用来确定该用户访问网络资源的级别。在用户访问资源时不需提供“帐号”。如果用户没有通过验证，弹出一个连接对话框，要求输入正确的帐号。

每种资源都有一个与其关联的访问控制表(Access Control List, ACL) 。该表确认哪些组或用户具有对ACL 所表示的对象的访问权。ACL由许多访问控制表目(Access Control Entry, ACE)组成，这些表目规定特定用户和小组的访问许可。

共享是为了让网络用户看到网络资源（非本地资源）；非共享的资源，网络用户不能正常地访问。资源的限度由共享和NTFS许可限制。

共享的资源在当地表现为一只手托着的标志（在Windows NT Explorer 和My Computer中）。

NT共享权限有四种：

◇Full Control

◇Change

◇Read

◇No Access

NT中的共享权限可以分配给用户和组，并且可以针对不同的对象分配不同的权限。

对于同一个用户处于多个组时，用户的有效许可是多个组许可的组合，No Access权限有优先权。

当用户访问资源时，根据事先定好的权限来使用，不需要提供帐户和口令，特指本机登录的现有客户。

NT共享权限的一个缺点：如：C盘被共享了，C：\DATA目录也被共享了，C盘被分配为只读权，C：\DATA 目录被分配为No Access；当你从网络上访问C共享时，C：\DATA目录是只读权，当你从网络上访问C：\DATA 目录共享时，是

共享权限是一种文件夹级的安全

三、NTFS权限

Windows NT 支持的文件系统有：FAT16、NTFS、CDFS。其中NTFS是Windows NT首选的文件系统。1．NTFS的功能特性：

◇支持长文件名

◇高级容错特性：使用一种称为事务(Transaction)的登录技术来跟踪对磁盘数据的修改，这些事务登录中的信

息可以使磁盘错误得到尽快恢复，确保磁盘处于一种永久性状态。

◇内置安全性机制：NTFS通过维护一个访问控制表（ACL）来控制用户和用户组对文件或目录的访问；同时，NTFS还具有防病毒功能。

◇超级文件容量：文件大小只受磁盘容量限制

◇高执行效率

2

3

由单独的NTFS许可组合成的标准文件许可：

4．说明：

◇用户的有效许可是用户许可和组许可的组合

◇NO Access许可覆盖所有其他许可

◇文件许可覆盖文件夹的许可

例：文件许可覆盖文件夹的许可有一个例外，为兼容UNIX；在UNIX文件系统上，对于一个文件夹的写许可允许删除在那个文件夹中的文件，NTFS Full Control许可是支持这个特点的。

解决方法：不要轻意分配Full Control许可，可以分给用户所有的单独的特殊目录访问许可。

◇文件拷贝和移动时，权限的关系是“新生儿随父姓”

◇从NTFS到FAT时，本地权限丢失（长文件名在拷贝和移动中是保留的）

◇访问共享资源的方法：网络邻居、映射本地驱动器和RUN UNC路径

◇共享名加“$”表示该共享资源是隐藏的，只有知道和有权限的用户才能访问

◇只有是Administrators \ Server Operators \ Power Users组的成员才能控制共享资源

◇RUN convert d:/FS: NTFS单向、一次性、安全转换

四、共享权限与NTFS权限的关系

1．当共享许可与NTFS许可共存时，用户的有效许可是共享许可和NTFS许可的限制最严厉的许可2．Microsoft建议共享权限宽松些，NTFS权限严利些。

3．Microsoft建议先设本地权限，后设共享权限

第七章资源和事件的审核

审核是一种安全机制，但要影响计算机的性能

一、审核的目的

◇跟踪域中成功或失败的事件

◇识别非授权的资源使用

◇在Event Viewer中查看安全日志

◇将安全日志存档以跟踪事件的发展

二、审核的实现

◇用User Manager for Domain为整个域创建审核策略

◇用Windows NT Explorer对文件和目录进行审核（NTFS分区，属性“安全性”中设置）

◇用Printers组中的菜单选项对打印机进行审核（属性“安全”中设置）

◇各种审核发生的条件，即审核对象的触发条件

三、审核的查看

有三种日志：系统、安全、应用

只能看自己计算机上的日志

用Event Viewer查看并存档安全日志

第八章配置NT工作环境

MS－D0S把配置信息放在config.sys中

Windows 3.X把配置信息放在system.ini和win.ini中

Windows 9X把配置信息放在注册表中

注册表的引入是为了解决INI文件的性能问题和维护问题

性能问题：一维平面型INI文件中检索信息极不方便

维护问题：平面结构的INI文件组织极容易遭至破坏

NT中的system.ini和win.ini中仅存的16位应用程序所使用的信息

用WINVER.EXE显示本机上安装的NT的版本

一、注册表（P57）：是存储所有配置数据的统一数据库

1．注册表的大小：

注册表的大小有尺寸的限制，一般为paged pool的25%，用户可改变这个百分比

paged pool一般等于物理内存

1．结构：

◇HIVE(蜂巢)：多数有对应的文件，也有的没有对应文件

如：HKEY_LOCAL_MACHINE\HARDWARE就没有文件与之对应

◇Sub-hive(子峰巢)：有人也称为sub-key

◇KEY(键)：

◇VALUE（值）：

用户是SID唯一标识的，改名并没有真正改变，删除再建同名时，这时SID已经变了，虽然名子一样，但实际是不同的帐户；改用户名时其SID并没有改变

2．子树：共五个子树

◇HKEY_LOCAL_MACHINE

◇HKEY_USERS

◇HKEY_CURRENT_USER

◇HKEY_CLASSES_ROOT

◇HKEY_CURRENT_CONFIG

HKEY是Hive Key（蜂巢键）的缩写

HKEY_CURRENT_USER 是HKEY_USERS在注册表中的重复，Microsoft称为是alias（别名），是为了管理目的的技术实现方法

SID是Security Identifier的简写

3．LOCAL_MACHINE

◇Hardware

◇Sam

◇Security

◇Software

◇System

4．修改注册表有三种方式：

◇注册表编辑器：相当于文本方式修改，可即时起作用，但有些项目需重新登录时起作用；容易误操作◇控制面板：相当于图形界面修改，可即时起作用，但有些项目需重新登录时起作用

◇系统策略：相当于批处理修改，在重新登录时起作用

二、使用注册表编辑器

最强大的编辑器，覆盖所有注册表参数的工具

regedt32.exe可查键名，可以被设为只读方式

WIN 95的注册表编辑器regedit.exe可查寻键值，没有只读方式

三、使用控制面板

是注册表修改的图形化界面

1．System properties:

◇startup/shutdown：SYSTEM属性的STARTUP／SHUTDOWN，启动菜单的时间设置

◇hardware profiles(硬件配制文件)：在启动时会产生一个硬件配制文件选项菜单

◇performance:

◎页面交换文件：位置可在不同的磁盘上、分区上，可均布在每块硬盘上

缺省用最小值到最大值之间的值，当交换频繁时可能产生碎片，会导致启动程序变慢◎性能：

◇环境变量:

2.DISPLAY：安装SP4来支持AGP口

3.SCSI: IDE设备的设置也在这个标签中

4.UPS：用特殊的电缆通过标准的RS232口（COM）和系统通讯

为了解决NT启动时对UPS的发送的检测信号错误地导致UPS关机的问题，修改BOOT.INI文件,在加入选项／No Serialmice

5．安装和卸载应用程序：Control Panel 安装与卸载

6．Control Panel Network Service Properties

10个用户以下

64个用户以下

3．用户环境文件

◎控制对象：HKEY_CURRENT_USER

◎存在位置：

本地用户环境文件存在于本地的c:\winnt\profiles\%username%中，文件名为NTUSER.DAT

漫游用户环境文件存在于指定位置的\%username%目录中, 但要在用户属性中的User Profile Path栏中指明文件存在的位置，格式为：

\\computer_name\share_name\%username%

强制性用户环境文件在漫游用户的基础上改名为NTUSER.MAN（只有管理员才可修改）◎修改内容：桌面、快捷方式、网络连接

第九章管理文件系统

一、FAT

1．命名约定：

◇长文件名，最长255个字符

◇空格 . (最后一个 . 后是扩展名)

◇\ / ? * [ ] : ; = , ^

◇保留大小写，但不区分

2．分区大小：4GB

3．安全性：共享的安全，无本地安全性

4．其它特点：

◇大量文件的存储产生碎片，

◇在NT无法使用UNDELETE

二、NTFS

1．命名约定

◇长文件名，最长255个字符

◇空格 . (最后一个 . 后是扩展名)

◇\ / ? * [ ] : ; = , ^

◇保留大小写，但不区分

2．分区大小：理论上文件和分区16EB，实际上分区2TB，文件64GB

1K＝210 1M＝220 1G＝230 1T＝240 1N＝250 1E＝260

G(吉)=Gigabit T(太)=Terabit N()=Nexabit E()=E

3．安全性：本地安全

4．其它特点：

◇开销大（1到5M），不可用于软盘

◇为每个用户维护一个独立的回收站（安全）

◇碎片减少：没有整理碎片工具

◇基于事物可恢复性的文件系统（掉电）：事务日志记录所有文件和目录的自动更新

◇可压缩文件：文本文件压缩大约50％，执行文件压缩大约40％

三、管理压缩

只在NTFS文件分区上可实现的，透明的（无遮挡）；与WIN ZIP不一样

1．方法：

◇explorer：可压缩文件或目录，或目录下的子目录，或全个分区

◇Compress.exe命令行方式

2．压缩属性的转移：

FAT16格式可以单向的、一次性的、安全的转换成NTFS格式

格式：Convert d:/FS: NTFS

对system分区进行转换，要注意不能与非NT系统进行双引导

◇COPY：继承目的的属性（压缩、权限）

◇MOVE：同一分区上：继承源的属性

不同分区上：继承目的的属性

从NTFS到FAT16的转换，压缩、权限失效

第十章管理分区

一、主分区

◇只有主分区可被激活，只有被激活的分区才能引导操作系统；第二个能引导的主分区不能位于1024柱面之后，因为MBR在NT引导过程中不能寻址到大于1024柱面后的物理柱面上的内容；而且在引导后，激活的分区必然是C盘（不是时会自动转）

◇在DOS下只有一个主分区，在NT下可有四个主分区在一个物理硬盘上

◇主分区不可再安全划分

二、扩展分区

DOS和NT在一个物理硬盘上，都只能有一个扩展分区，但可被划分为逻辑分区，突破了NT中在一个物理硬盘上，只能有四个分区的限制

三、卷集

把多块磁盘的未分区的空间（free space）结合成一个大的分区

◇不可包含system和boot分区

◇卷集可以包括主分区，最多32个区域，可以是不同介质的区域如：SCCI．IDE

◇不提高I/O性能

◇不支持容错，反而加大了错误率，一块坏，全卷集都失效

◇双引导时，DOS、WIN 95不能访问卷集

◇写数据时，先写满一块后，再写其它的

◇建完后要选Commit Changes Now，重启计算机

四、磁盘条带化（RAID 0）

◇所有成员的容量必须一致

◇分成64K的数据块，依次地写到每个磁盘上去

特点：

◇不可包含system、boot分区

◇提高读写性能（如果磁盘允许同时读取的性能）

◇2—32个物理磁盘

◇不支持容错（N倍的错误率，一块坏，整个磁盘条带化都失效）

◇双引导时，DOS、WIN 95不能访问条带化磁盘

五、使用Disk Administrator

1．创建、删除任何分区，激活主分区

◇不可删除system、boot分区

◇如果分区中包含正在打开的文件，不可被删除（包括pagefile.sys）

改变状态时，要commit changes now来确认，才可对新磁盘继续操作

2．创建、格式化、扩展卷集

◇只能对NTFS格式的卷集进行安全扩展

3．创建磁盘条带化（RAID 0）

◇不可被扩展的

六、分配分区号

1．先从DISK0开始，为所有主分区分配分区号

2．再从DISK0开始，为所有逻辑分区分配分区号

七、分配逻辑盘符（P113）

1．先从DISK0开始，为每块盘的第一个主分区分盘符

2．再从DISK0开始，为每块盘的逻辑分区分盘符

3．再从DISK0开始，为每块盘的剩余主分区分盘符

第十一章管理容错

一、RAID 1（disk mirroring、disk duplexing）

保存一个备份，解决一个硬盘的失败

磁盘双工，解决了一个磁盘控制器的失败