老克的煩惱 拯救老克的整體方案

入題：

一、資金，既然總監(jiān)說了給你支持，也分 2 種情況。

1、 錢多，我的預(yù)算在 6.5W 左右

2、 錢少，我的預(yù)算在 2.5W 左右

技術(shù)，我的技術(shù)本身不高，但也能把現(xiàn)在供職的公司內(nèi)網(wǎng)管理撐起來，相信大家都做 IT 的，多 google，多資料，全部不在話下。

1、 AD 域，Server 2008

2、 H3C、Cisco ——了解 rule 命令即可；實在不行，打廠商售后技術(shù)支持；

H3C：400-810-0504

Cisco：根據(jù)地域選擇吧

3、 WDS 部署 根據(jù)實際情況，看視頻最后，老克公司有臺式機，筆記本。既然是公司且含有客服部，這樣的公司 PC 和 Notebook 應(yīng)該是統(tǒng)一型號或者相差不多。

4、 編寫需強制性執(zhí)行守則文檔。

二、設(shè)備、 必須：

1、一至兩臺中低檔的服務(wù)器，拿來做 AD 域服務(wù)器。我們公司用的 DELL 710，我 名下的幾臺域服務(wù)器，也就 2.3W 一臺。（只有一臺服務(wù)器的，就拿來做主域，再 找臺配置高點的 PC 或者其他服務(wù)器做備份域服務(wù)器；兩臺服務(wù)器的就一臺主一臺 備份）

2、企業(yè)版殺毒軟件。獲得這些殺毒軟件的流程請自行 google，正版或者盜版看領(lǐng) 導(dǎo)意思。我個人推薦邁克菲，部署方便是主要，殺毒也是不錯的。殺毒軟件的服 務(wù)器，不必那么高，目前我們公司企業(yè)殺毒軟件我也只是放在一臺 PC 上面。

3、支持 Vlan，Dhcp 的網(wǎng)絡(luò)設(shè)備。這些老克公司應(yīng)該都有的。Dhcp 服務(wù)器可以直接搭建在域服務(wù)器上。

這樣算下來，一臺服務(wù)器的話也就在 2.5W 左右，如果有空閑的服務(wù)器最好了，連這 筆錢都省了，殺毒軟件和操作系統(tǒng)請自行獲得。

PS：看視頻中的一些人員還有環(huán)境猜測，有實力購買全套正版工具的公司也不會出現(xiàn)這 樣的問題了，呵呵。僅僅題外話。

可選：

1、 上網(wǎng)行為管理設(shè)備。網(wǎng)康或者深信服 北方用網(wǎng)康多些，南方用深信服多些。地域文化的一些差別，呵呵。 如果老克的老總或者一些部門領(lǐng)導(dǎo)希望自己有更多的特權(quán)就選擇深信服，深信服 更為圓滑一點。

實施步驟：（也不能算的上是實施步驟，我多寫點可以解決哪方面的問題吧）

一、 搭建域環(huán)境，微軟公司明確建議過，局域網(wǎng)中超過 10 臺 PC 就最好搭建域環(huán)境

1、 操作系統(tǒng) Server 2008 （也許我可以給你提供一枚 KEY）

2、 搭建域的方法和方式自行 google，51cto 里也有很多文獻資料

PS：細節(jié)

1、 直接從 AD 域下發(fā)禁用 360，360 殺毒，電腦管家，市面上比較流行的計算機優(yōu)化管理軟 件的策略。（具有域工作模式的公司里的 IT 相信都很反感某些計算機優(yōu)化管理軟件吧）

（禁用這些軟件可以使通過域管理的計算機更穩(wěn)定，那些軟件很有可能阻礙你的下發(fā)策略）

2、 直接在路由中 deny 掉上述軟件的官網(wǎng)和任何下載地址

（禁止通過公司網(wǎng)絡(luò)下載這些軟件）

3、 某些部門可以根據(jù)實際情況在域服務(wù)器上下發(fā)禁用 USB 接口

（加強信息安全）

4、 域服務(wù)器統(tǒng)一下發(fā)本地管理員賬號和密碼（即加了域的計算機，本地管理員賬號和密碼 將修改，以防止某些用戶登錄本機管理員）

（防止員工猜測或者直接破解管理員密碼）

二、 員工系統(tǒng)（XP 為主，視頻看到）---只要電腦型號不太老，都是支持網(wǎng)卡 PXE 模式的，也就是網(wǎng)絡(luò)啟動。

1、 從網(wǎng)絡(luò)上 Download Windows XP SP3（安裝使用前先 MD5 校驗碼是否與官方公布相同） 這套系統(tǒng)直接關(guān)系到公司內(nèi)所有電腦的系統(tǒng)一定要保證是干凈純凈。

（安全純凈才是王道）

2、 在一臺硬件設(shè)備都完好的 PC 上，安裝 XP XP3，打好官方所放出的所有安全補丁以及系 統(tǒng)補丁，以及常用的辦公軟件 Office，RAR，PDF

（保證系統(tǒng)的及時可用性。如果公司的電腦設(shè)備硬件不同，請收集硬件驅(qū)動存在在 C 盤某新 建文件夾中）

3、 封裝此系統(tǒng)，切忌只能封裝，不要妄想 Ghost，Ghost 出來的系統(tǒng)安全標示符是一模一樣 的。在域工作模式下的 PC 中的操作系統(tǒng)，系統(tǒng)安全標示符不能相同。

4、 既然已經(jīng)中了病毒，就重新安裝系統(tǒng)，通過遠程網(wǎng)卡安裝，100MB 交換機 15 分鐘一臺。 系統(tǒng)重裝，是全體公司員工重裝。遙想我當時公司的 400 臺電腦��！哈哈！

（這里你可以部署一臺 FTP 或者直接在一臺 PC 上開啟全員共享，把他們的個人資料， 工作資料上傳到此處，然后把員工電腦全盤格式化。放置員工文件的那臺 PC，安裝一個 殺毒軟件，提示：中毒文件不要刪除，隔離掉，以防刪除了員工資料）

PS：細節(jié)

1、 保證系統(tǒng)純凈不要做任何所謂的優(yōu)化，一些官方允許的優(yōu)化你都可以在最后通過域服務(wù) 器下發(fā)策略來完成。

2、 不要想通過 Ghost 來完成部署。原因不明請 google。

3、 封裝的系統(tǒng)最好是能完成最基本的辦公操作，什么技術(shù)部，財務(wù)部的軟件不要安裝并封 裝。

WDS 部署：（通過網(wǎng)絡(luò)上的教程來操作，一般不會出現(xiàn)什么大問題） 我們之前在實施時，由于網(wǎng)卡驅(qū)動在 WDS 中添加的引導(dǎo)文件中不包含，這個問題糾結(jié)了 24 小時，后來直接把網(wǎng)卡放在了引導(dǎo)文件中即解決。

WDS 部署前，要確定你的域環(huán)境是搭建好的，穩(wěn)定的。因為你部署完一臺電腦就把這臺電 腦加入公司域去。讓員工使用他們唯一的賬號來登錄系統(tǒng)。

三、 網(wǎng)絡(luò)環(huán)境

1、 盡可能的劃分出部門的 Vlan，至少我們公司是把客服部單獨劃分出來了，直接禁用了客 服部的網(wǎng)絡(luò)，只放開幾個單一的網(wǎng)站。

2、 在全網(wǎng)中，通過 rule deny 掉一些網(wǎng)站，垃圾網(wǎng)站和一些娛樂網(wǎng)站，一些游戲網(wǎng)站。因為 這些網(wǎng)站是人們大多數(shù)喜歡訪問的，受到黑客的掛馬也是正常的。你直接 deny 掉。

3、 添加 acl 開放一些網(wǎng)站給自己或者其他領(lǐng)導(dǎo)層用

四、部署企業(yè)殺毒軟件

1、 企業(yè)殺毒軟件都是與 AD 域想通的，加入域的計算機可以直接在后臺安裝殺毒軟件，通 過殺毒軟件服務(wù)器設(shè)置可以禁止客戶機不能關(guān)閉殺毒軟件。

服務(wù)器租用/服務(wù)器托管中國五強！虛擬主機域名注冊頂級提供商！15年品質(zhì)保障！--億恩科技[ENKJ.COM]