OPERATION MASTER- AD CHIẾM QUYỀN PD

Operation Master

Mặc dù W2k/W2k3 hỗ trợ Multi Master (các DC hoạt động song song nhau, không phân biệt chính/phụ ). Tuy nhiên vẫn còn một số chức năng hoạt động ở chế độ Single Master, cụ thể là:
- Schema Master: Quản lý schema, mỗi forest có 1 cái
- Domain Naming: Quản lý danh sách các domain, mỗi forest có 1 cái
- PDC: Giả lập server NT để chứng thực cho các WS đồi cũ (win9x), mỗi domain có 1 cái
- RID: cấp số ID cho user, mỗi domain có 1 cái
- Infrastructer: Quản lý danh sách user ở domain khác tham dự vào các nhóm của domain hiện tại , mỗi domain có 1 cái

Mặc định các chức năng do DC1 nắm giữ. Khi DC1 chết thì những thao tác liên quan đến 5 chức năng này sẽ không thực hiện được.

Khi DC1 "chết bất đắc kỳ tử", ta cần "cưỡng chế" DC2 giữ 5 chức năng này. Bài viết sẽ hướng dẫn chi tiết các bước thực hiện việc "cưỡng chế"

Yêu cầu : đã làm các bước ở phần I (2 DC chạy song song)

----------------------------------------------------------------
Bài viết này gồm 3 bước:

1. Giả sử master DC bị chết (DC1 bị ngủm bất đắc kỳ tử)
2. Từ Addition DC (DC2) ra CMD gõ các lệnh để cưỡng chế 5 chức năng single master của DC1 sang DC2
3. Sau khi thành công, DC2 tạo user và client join domain bằng user mới tạo thành công.


----------------------------------------------------------------
Khi mình làm bài lab này mình làm trên máy 3,4,5 của nhà trường nên có ký hiệu như sau:

- Tên domain: dom3.com
- DC1 (master domain) : máy pc03
- DC2 (Addition Domain) : máy pc04
- Client : máy pc05


----------------------------------------------------------------
Thực Hiện

1\Giả sử máy DC1 bị chết (shutdown máy pc03)

2\ Ta đứng từ máy DC2 (pc04) ra cmd tiến hành các bước 




- Từ CMD đánh lệnh ---> --ntdsutil--




-tiếp theo ta đánh --roles-- 




ta đánh lênh --connections-- tiếp theo:




Từ dòng nhắc server connection ta đánh --connect to server pc04.dom3.com-- (tên đầy đủ của addition DC)




Sau khi đã connect vào Server ta đánh lệnh--quit-- 




- Đánh tiếp --seize schema master--




- Bấm yes đồng ý và đợi khoảng 30 giây để nó load chức năng master về cho addition DC




- Đánh tiếp--seize domain naming master--




- Bấm yes đồng ý và đợi khoảng 30 giây để nó load chức năng master về cho addition DC




- Tiếp tục đánh --seize RID master-- (lưu ý chử RID viết hoa)




- Bấm yes đồng ý và đợi khoảng 30 giây để nó load chức năng master về cho addition DC




- TA đánh tiếp theo lệnh --seize PDC--(lưu ý chử PDC viết hoa) 




- Bấm yes đồng ý và đợi khoảng 30 giây để nó load chức năng master về cho addition DC




- Tại dòng fsmo mentenance : ta đánh lệnh --seize infrastructure master--



- Bấm yes đồng ý và đợi khoảng 30 giây để nó load chức năng master về cho addition DC




sau đó ta đánh lệnh quit --->quit----> exit là coi như xong



3\ Bây giờ ta thử bằng cách từ máy DC 2(vừa được lên master) ta tạo user và từ máy client có thể join vào domain bằng user mới được tạo. là coi như bạn đã thành công

HƯỚNG DẪN CẤU HÌNH NAT PORT KHÔNG GIỚI HẠN CHO CAMERA

Dòng Router Vigor của DrayTek cung cấp cho khách hàng khả năng NAT port vô cùng linh hoạt và gần như không hạn chế số lượng port và số lượng thiết bị cần NAT. Sau đây sẽ là một ví dụ cho thấy sự linh động đó.

Hướng dẫn sau đây sẽ giúp bạn mở port để xem 10 đầu ghi camera từ xa chỉ với một thiết bị DrayTek và một đường truyền duy nhất. Và bạn không cần phải đổi port của đầu ghi. Nghĩa là Vigor sẽ NAT từ port x bất kì sang port mặc định của đầu ghi

Bước 1, xác định các port cần NAT, địa chỉ IP của đầu ghi (Xem hướng dẫn sử dụng của đầu ghi để biết các thông tin trên)

Giả sử port cần NAT của camera 1 là TCP 80 và UDP 1000, ip đầu ghi là 192.168.1.201

Giả sử port cần NAT của camera 2 là TCP 80 và UDP 1000, ip đầu ghi là 192.168.1.202

….

Giả sử port cần NAT của camera 10 là 80 và 1000, ip đầu ghi là 192.168.1.210

Dựa vào thông tin trên ta có thể thấy các đầu ghi chỉ khác nhau về địa chỉ IP, thông số port hoàn toàn giống nhau. Vì vậy chỉ cần tạo 2 mục NAT cho cả 10 camera với 2 port trên. Sau khi NAT xong. Từ ngoài internet ta truy cập đến:

- đầu ghi thứ nhất qua địa chỉ tenmien.no-ip.org:81

- đầu ghi thứ 2 qua địa chỉ tenmien.no-ip.org:82

- đầu ghi thứ 10 qua địa chỉ tenmien.no-ip.org:90

Bước 2,Cụ thể cấu hình NAT trên vigor như sau:

Vào mục NAT => port redirection chọn index 1

- Chọn Enable

- Mode : để NAT nhiều port về 1 port ta chọn Range

- Protocol: chọn TCP

- WAN IP chọn ALL

- Public Port chọn 81 – 90 : đây là dải port ta sẽ dùng để truy cập vào các camera

- Private IP: 192.168.1.201: ip đầu tiên của camera, Vigor sẽ tự điền IP cuối dựa theo số lượng port ở bên trên.

- Private port : 80

Vào mục NAT => port redirection chọn index 2

Làm tương tự nhưng có 1 chút thay đổi ở phần

- Protocol : chọn UDP

- Public port: 1001-1010

- Private port: 1000

Khi bạn dùng phần mềm xem camera qua mạng Internet thì bạn chỉ việc điền

Camera1:

- Tenmien.no-ip.org cho phần Camera IP

- 81 cho port thứ nhất

- 1001 cho port thứ 2

Làm tương tự để xem tất cả các camera còn lại.

Chúc bạn thành công.

Hướng dẫn cấu hình NAT

NAT - Network Address Translation là chức năng chuyển tiếp gói tin giữa 2 lớp mạng khác nhau (như chuyển tiếp gói tin từ Internet vào máy con trong mạng LAN). Router DrayTek có 3 tính năng của NAT.

Tính năng 1: Port Redirection

Chức năng Port Redirection trên router được dùng để cho phép người dùng ở bên ngoài truy cập vào các máy server (VD: Mail Server, Web Server, FTP Server...) hoặc máy con (thông qua Remote Desktop) ở bên trong mạng LAN của bạn. Sau khi mở port, người dùng bên ngoài Internet có thể sử dụng IP WAN (hoặc tên miền động Dynnamic DNS - tham khảo bài viết vềDDNS) của router để đăng nhập vào server hoặc máy con bên trong mạng LAN.

Sử dụng Port Redirection bạn cần chú ý đến việc thay đổi một số port mặc định mà router đã dùng. VD: thông thường các router sử dụng port 80 cho việc đăng nhập vào trang cấu hình, nếu bạn có 1 Web Server trong mạng và cũng sử dụng port 80, bạn cần chuyển port remote router sang port khác chẳng hạn như port 8080. Bạn cũng có thể sẽ phải tắt một vài tính năng trên router để việc mở port được thành công (VD khi bạn có 1 VPN Server ở bên trong mạng LAN thì bạn phải tắt tính năng VPN Server trên router, khi đó kênh VPN mới được chuyển tiếp vào VPN Server bên trong).

Chúng ta xem VD sau: Router DrayTek đã thiết lập 1 tên miền động là anphat.dyndns.org. Bên trong mạng LAN chúng ta có:

• 1 Web Server: cho phép người dùng bên ngoài truy xuất đến.
• 1 IP Camera: quan sát camera từ bất kỳ nơi nào thông qua Internet.
• 1 VPN Server: dùng để liên kết các văn phòng công ty hoặc người dùng từ xa đăng nhập vào hệ thống mạng nội bộ. (Tham khảo bài viết về VPN).
• 1 máy PC cần Remote Desktop: điều khiển máy nội bộ từ xa.

Chúng ta tiến hành cấu hình như sau:

Bước 1: Mặc định router DrayTek sử dụng port 80 cho việc đăng nhập cấu hình của router. Chúng ta vào System Maintenance >> Management và sửa lại port vào cấu hình của router là 8080 (chỉ cần khác với port 80).

Bước 2: Mặc định trên router DrayTek chức năng VPN Server sẽ được bật lên (nếu dòng router có hỗ trợ VPN). Vì vậy bạn muốn NAT đến VPN Server bên trong thì bạn cần tắt chức năng VPN trên router. Bạn vào mục VPN and Remote Access >> Remote Control Setup và bỏ chọn tất cả các mục.

Bước 3: Vào mục NAT >> Port Redirection và tiến hành cấu hình theo các yêu cầu của ví dụ

• Service name: tên dịch vụ, bạn có thể đặt tên bất kỳ.
• Protocol: chọn đúng giao thức của ứng dụng
• WAN IP: chọn 1.All, tức là cho phép bất kỳ WAN IP nào từ bên ngoài vào.
• Public Port: port để bên ngoài truy cập vào.
• Private IP: địa chỉ IP của máy tính có cài ứng dụng (VD: máy tính làm Web Server, máy tính kết nối với IP Camera, máy tính VPN Server, máy tính cần remote desktop).
• Active: check vào để có hiệu lực.

Lưu ý: đối với camera thì private port chính là port của IP camera (mỗi IP camera có 1 port riêng biệt tùy theo hãng sản xuất quy định).

Qua 3 bước trên bạn đã thực hiện xong việc thiết lập. Bây giờ khi muốn:

• Truy cập web: bạn gõ vào địa chỉ http://anphat.dyndns.org
• Xem camera từ xa: bạn nhập vào http://anphat.dyndns.org:8888
• Thực hiện kết nối vào VPN Server bên trong: sử dụng tên miền anphat.dyndns.org và thông qua giao thức PPTP.
• Remote Desktop: mở chương trình Remote Desktop và nhập vào địa chỉ anphat.dyndns.org.

Tính năng 2: DMZ - Demilitarized Zone

Chức năng DMZ cho phép định nghĩa 1 máy tính (tách biệt với mạng LAN) được công khai "giới thiệu" với mạng Internet dành cho ứng dụng có mục đích đặc biệt như Netmeeting, Internet Games...nhằm mục đích bảo vệ mạng LAN thoát khỏi những cuộc tấn công từ mạng Internet. Khi đó người dùng bên ngoài truy xuất đến chỉ có thể xâm nhập đến 1 máy làm DMZ này và không thể xâm nhập vào bất kỳ máy nào khác bên trong mạng LAN của bạn. Nói cách khác máy này được xem như chạy độc lập 1 mình dành riêng cho người dùng từ xa truy xuất đến.

Để cấu hình chức năng DMZ, bạn vào trang cấu hình của router, mục NAT Setup >> DMZ Host

Check mục Enable để kích hoạt chức năng này. Bạn chỉ định máy tính cụ thể bằng cách nhấn nút Choose PC và chọn máy tính thích hợp.

Tính năng 3: Open Ports

Chức năng Open Ports được sử dụng để NAT nhiều port đến 1 máy server trong mạng LAN của bạn.

Để cấu hình, bạn vào mục NAT >> Open Ports >> Index 1. Enable chức năng và chọn máy server bằng cách nhấn vào nútChoose PC, sau đó chọn Protocol và port tương ứng.

Chức năng này hữu ích cho bạn khi có một máy tính mạnh, đảm đương nhiều dịch vụ cùng lúc, như vừa làm Mail Server, vừa làm Web Server, FTP Server...Chức năng cũng tương tự như Port Direction.

Như vậy bạn đã có thể cấu hình thành công các chức năng NAT trên Router DrayTek.

Camera qua Internet

Giới thiệu dịch vụ Camera qua Internet

1. Giới thiệu:

Camera qua Internet là 1 ứng dụng mở rộng rất hữu ích. Người dùng có thể thông qua Internet quan sát camera được đặt tại công ty, nhà ở, v.v… bất kể người đó đang ở đâu trên thế giới. Bạn là người quản lý, bạn muốn quan sát tình hình làm việc tại công ty trong khi mình đi công tác, bạn muốn xem nhà mình hiện giờ ra sao khi đi công tác xa, đơn giản bạn chỉ cần ghé vào nơi nào có thể truy cập Internet, mở trình duyệt web, gõ vào địa chỉ (do bạn tạo, sẽ nói rõ phần sau) là có thể thực hiện việc này 1 cách dễ dàng.

2. Lợi ích của dịch vụ:

Các cá nhân, tổ chức, doanh nghiệp sử dụng dịch vụ này có thể quan sát camera từ bất kỳ nơi nào, bất kỳ lúc nào.

 

Hiện nay ADSL đã trở nên phổ biến, chi phí thấp, nên việc thực hiện tiện ích công thêm này trở nên rất đơn giản, hiệu quả vì tận dụng được đường truyền Internet tốc độ cao.

3. Đặc điểm kỹ thuật:

Để thực hiện việc này bạn cần

• Một Camera Server cho phép truy cập quan sát qua mạng Internet hay mạng LAN (được đặt tại công ty hay nhà của bạn), hiện nay các card camera đều hỗ trợ việc truy cập này.
• Một đường truyền Internet tốc độ cao (ADSL), một router ADSL hỗ trợ NAT port.
• Một tên miền để truy nhập, nếu bạn không có IP tĩnh thì có thể sử dụng dịch vụ Dynamic DNS (tham khảo giới thiệu Dynamic DNS) để làm việc này.

Nếu như card camera của bạn hỗ trợ:

• Truy cập qua Internet thì việc quan sát đơn giản hơn
• Chỉ cho phép truy cập quan LAN, bạn vẫn thực hiện được việc này bằng cách kết hợp dịch vụ mạng riêng ảo (VPN - tham khảo giới thiệu VPN).

4. Cài đặt dịch vụ:

a. Cài đặt dịch vụ Camera sử dụng card camera:

Bạn thiết lập 1 máy làm Camera Server, đơn giản chỉ việc mua card camera, mua camera (số lượng camera tuỳ chọn), máy cài đặt hệ điều hành WinXP, cài driver, phần mềm đi kèm card camera là hoàn tất. Ví dụ máy được cài đặt có:

IP: 192.168.1.77 Subnet Mask: 255.255.255.0

Bạn cần xem trong card camera của mình hỗ trợ truy cập từ xa qua mạng không, hỗ trợ như thế nào, xem qua web hay xem qua chương trình, port truy cập để thực hiện xem là gì (ví dụ: xem qua Internet là port 34567, port này tùy theo hãng sản xuất).

Bạn cấu hình trên router :

- Cài đặt dịch vụ Dynamic DNS nếu router có hỗ trợ, nếu không bạn cần chạy DynDNS client trên máy server đó (vidụ: anphat.dyndns.org).

- NAT port của máy camera (private port: 34567 - port này được nhà sản xuất card camera quy định) sang port cho bên ngoài truy cập (public port : ví dụ 8080 - port này do bạn tự quyết định).

- Vậy là bạn đã cấu hình xong, rất đơn giản và nhanh chóng. Hiện giờ khi từ bất kỳ nơi nào, bạn chỉ cần gõ địa chỉhttp://anphat.dyndns.org là có thể xem camera.

b. Cài đặt dịch vụ Camera sử dụng IP camera:

Thông thường, các IP Camera sử dụng port 80 để cấu hình và xem camera (tùy theo hãng sản xuất). Nên chúng ta cần phải NAT Port này vào IP của IP Camera. VD: IP của Camera là 192.168.1.10

Quan sát camera từ xa, đang là một nhu cầu có thật, trước kia là chuyện mà bản phải bỏ ra vài ngàn đến vài chục ngàn đôla cho việc thực hiện, nhưng hiện nay với những công nghệ tiên tiến, thiết bị hỗ trợ, đường truyền tốc độ cao giá rẻ thì việc này đã hạ đến mức chỉ là dịch vụ được tích hợp thêm (Bạn đang sử dụng thiết bị nhưng không tận dụng hết khả năng vốn có của nó), không đáng kể chi phí.

Thiết lập nhiều SSID trên Vigor2820n

Ngày nay, các văn phòng công ty sử dụng wireless khá phổ biến vì những tính năng mà nó mang lại như giúp nhân viên có thể làm việc ở mọi nơi thay vì phải ngồi trên máy để bàn cố định, tốc độ tương đối cao… 

Một vấn đề đặt ra là mạng nội bộ của bạn sử dụng mạng wireless và đương nhiên sẽ thiết lập từ khoá (key) để bảo mật, nhưng bạn lại muốn những khách hàng của bạn khi đến công ty vẫn sử dụng được wireless mà không cần phải nhập từ khoá (key) đồng thời không truy cập được vào mạng nội bộ của công ty. 

Để thực hiện được điều này, trên Router của bạn phải hỗ trợ ít nhất là 2 SSID được thiết lập như sau:

• 1 SSID sử dụng cho công ty và có thiết lập bảo mật từ khoá (key).
• 1 SSID sử dụng cho khách hàng của bạn và không thiết lập từ khoá (key).

Trong bài viết này chúng tôi sẽ hướng dẫn bạn cấu hình 2 SSID trên thiết bị Vigor2820n 

Bạn đăng nhập vào web cấu hình của thiết bị V2820n theo địa chỉ IP mặc định http://192.168.1.1 >> Wireless LAN >> General Setup

• Bạn Enable SSID thứ 2 lên
• Bạn tự đặt tên cho SSID thứ 2

Lưu ý:

• Isolate Member: Chọn tính năng này các máy trạm wireless đăng nhập cùng chung 1 SSID sẽ không thể truy cập lẫn nhau. 
• Isolate LAN: Chọn tính năng này các máy trạm wireless sẽ không thể truy cập vào được các máy trạm có dây trong mạng.

Trong mục Wireless LAN >> Sercurity >> Bạn chọn Tab SSID 1

• Chọn Mode bảo mật là WPA2/PSK 
• Nhập Key (Do bạn tự đặt, ít nhất 8 ký tự) vào ô Pre-Shared Key (PSK)

Trong mục Wireless LAN >> Sercurity >> Bạn chọn Tab SSID 2 >> Chọn Mode bảo mật là Disable 

Như vậy bạn đã cấu hình xong 2 SSID riêng biệt, bây giờ khi bạn sử dụng laptop để dò sóng wireless bạn sẽ thấy 2 SSID này: 

• Nếu như bạn chọn SSID “AnPhat” thì bạn phải nhập từ khoá (key) mới có thể truy xuất mạng nội bộ của công ty, đồng thời có thể truy cập internet.
• Nếu như bạn chọn SSID “Guest” thì bạn không cần phải nhập từ khoá (key) nhưng bạn không thể truy cập vào mạng nội bộ của công ty, và bạn chỉ có thể truy cập internet mà thôi. 

SUBNET MASKS

Khi ta chia một Network ra thành nhiều Network nhỏ hơn, các Network nhỏ nầy được gọI là Subnet.  Theo quy ước, các địa chỉ IP được chia ra làm ba Class (lớp) như sau:

Address Class	Subnet mask trong dạng nhị phân	Subnet mask
Class A	11111111 00000000 00000000 00000000	255.0.0.0
Class B	11111111 11111111 00000000 00000000	255.255.0.0
Class C	11111111 11111111 11111111 00000000	255.255.255.0

Subnet Mask của Class A bằng 255.0.0.0 có nghĩa rằng ta dùng 8 bits, tính từ trái qua phải (các bits được set thành 1), của địa chỉ IP để phân biệt các NetworkID của Class A. Trong khi đó, các bits còn sót lại (trong trường hợp Class A là 24 bits đuợc reset thành 0) được dùng để biểu diễn computers, gọi là HostID.  Nếu bạn chưa quen cách dùng số nhị phân hãy đọc qua bài Hệ thống số nhị phân.

Subnetting

Hãy xét đến một địa chỉ IP class B, 139.12.0.0, với subnet mask là 255.255.0.0 (có thể viết là:139.12.0.0/16, ở đây số 16 có nghĩa là 16 bits được dùng cho NetworkID).  Một Network với địa chỉ thế nầy có thể chứa 65,534 nodes hay computers (65,534 = (2^16) –2 ) .  Đây là một con số quá lớn, trên mạng sẽ có đầy broadcast traffic.

Giả tỉ chúng ta chia cái Network nầy ra làm bốn Subnet.  Công việc sẽ bao gồm ba bước:

     1)     Xác định cái Subnet mask

     2)     Liệt kê ID của các Subnet mới

     3)     Cho biết IP address range của các HostID trong mỗi Subnet

Bước 1: Xác định cái Subnet mask

Để đếm cho đến 4 trong hệ thống nhị phân (cho 4 Subnet) ta cần 2 bits. Công thức tổng quát là:

         Y = 2^X

mà     Y = con số Subnets (= 4)
X = số bits cần thêm (= 2)

Do đó cái Subnet mask sẽ cần 16 (bits trước đây) +2 (bits mới) = 18 bits

Địa chỉ IP mới sẽ là 139.12.0.0/18 (để ý con số 18 thay vì 16 như trước đây). Con số hosts tối đa có trong mỗi Subnet sẽ là: ((2^14) –2) = 16,382. Và tổng số các hosts trong 4 Subnets  là: 16382 * 4 = 65,528 hosts.

Bước 2: Liệt kê ID của các Subnet mới

Trong địa chỉ IP mới (139.12.0.0/18) con số 18 nói đến việc ta dùng 18 bits, đếm từ bên trái, của 32 bit IP address để biểu diễn địa chỉ IP của một Subnet.

Subnet mask trong dạng nhị phân	Subnet mask
11111111 11111111 11000000 00000000	255.255.192.0

Như thế NetworkID của bốn Subnets mới có là:

Subnet	Subnet ID trong dạng nhị phân	Subnet ID
1	10001011.00001100.00000000.00000000	139.12.0.0/18
2	10001011.00001100.01000000.00000000	139.12.64.0/18
3	10001011.00001100.10000000.00000000	139.12.128.0/18
4	10001011.00001100.11000000.00000000	139.12.192.0/18

Bước 3: Cho biết IP address range của các HostID trong mỗi Subnet

Vì Subnet ID đã dùng hết 18 bits nên số bits còn lại (32-18= 14) được dùng cho HostID. 
Nhớ cái luật dùng cho Host ID là tất cả mọi bits không thể đều là 0 hay 1.

Subnet	HostID IP address trong dạng nhị phân	HostID IP address Range
1	10001011.00001100.00000000.0000000110001011.00001100.00111111.11111110	139.12.0.1/18 -139.12.63.254/18
2	10001011.00001100.01000000.0000000110001011.00001100.01111111.11111110	139.12.64.1/18 -139.12.127.254/18
3	10001011.00001100.10000000.0000000110001011.00001100.10111111.11111110	139.12.128.1/18 -139.12.191.254/18
4	10001011.00001100.11000000.0000000110001011.00001100.11111111.11111110	139.12.192.0/18 –139.12.255.254

Nguồn http://www.echip.com.vn/echiproot/weblh/suutam/2002/vovisoft/submark.htm