在D盘新建个文本文件保存为desktop把TXT后缀改国INI
在里面写上
[ExtShellFolderViews]
{BE098140-A513-11D0-A3A4-00C04FD706EC}={BE098140-A513-11D0-A3A4-00C04FD706EC}
[{BE098140-A513-11D0-A3A4-00C04FD706EC}]
Attributes=1
IconArea_Image=d:wlyx.jpg你的图片地址
[.ShellClassInfo]
ConfirmFileOp=0
最后保存刷新就有了~
http://bbs.51758.com/attachments/ext_jpg/{C70FC49E-84D7-4A85-9FFD-DEE069B9DE25}0_xRNMV4g6viZe.jpg
XP 服务详解
--------------------------------------------------------------------------------
Alerter
微软： 通知选取的使用者及计算机系统管理警示。如果停止这个服务，使用系统管理警示的程序将不会收到通知。如果停用这个服务，所有依存于它的服务将无法启动。
补充： 一般家用计算机根本不需要传送或接收计算机系统管理来的警示(Administrative Alerts)，除非你的计算机用在局域网络上
依存： Workstation
建议： 已停用
Application Layer Gateway Service
微软： 提供因特网联机共享和因特网联机防火墙的第三方通讯协议插件的支持
补充： 如果你不使用因特网联机共享 (ICS) 提供多台计算机的因特网存取和因特网联机防火墙 (ICF) 软件你可以关掉
依存： Internt Connection Firewall (ICF) / Internet Connection Sharing (ICS)
建议： 已停用
Application Management (应用程序管理)
微软： 提供指派、发行、以及移除的软件安装服务。
补充： 如上说的软件安装变更的服务
建议： 手动
Automatic Updates
微软： 启用重要 Windows 更新的下载及安装。如果停用此服务，可以手动的从 Windows Update 网站上更新操作系统。
补充： 允许 Windows 于背景自动联机之下，到 Microsoft Servers 自动检查和下载更新修补程序
建议： 已停用
Background Intelligent Transfer Service
微软： 使用闲置的网络频宽来传输数据。
补充： 经由 Via HTTP1.1 在背景传输资料的?#124;西，例如 Windows Update 就是以此为工作之一
依存： Remote Procedure Call (RPC) 和 Workstation
建议： 已停用
ClipBook (剪贴簿)
微软： 启用剪贴簿检视器以储存信息并与远程计算机共享。如果这个服务被停止，剪贴簿检视器将无法与远程计算机共享信息。如果这个服务被停用，任何明确依存于它的服务将无法启动。
补充： 把剪贴簿内的信息和其它台计算机分享，一般家用计算机根本用不到
依存： Network DDE
建议： 已停用
COM+ Event System (COM+ 事件系统)
微软： 支持「系统事件通知服务 (SENS)」，它可让事件自动分散到订阅的 COM 组件。如果服务被停止，SENS 会关闭，并无法提供登入及注销通知。如果此服务被停用，任何明显依存它的服务都无法启动。
补充： 有些程序可能用到 COM+ 组件，像 BootVis 的 optimize system 应用，如事件检视器内显示的 DCOM 没有启用
依存： Remote Procedure Call (RPC) 和 System Event Notification
建议： 手动
COM+ System Application
微软： 管理 COM+ 组件的设定及追踪。如果停止此服务，大部分的 COM+ 组件将无法适当?#092;作。如果此服务被停用，任何明确依存它的服务将无法启动。
补充： 如果 COM+ Event System 是一台车，那么 COM+ System Application 就是司机，如事件检视器内显示的 DCOM 没有启用
依存： Remote Procedure Call (RPC)
建议： 手动
Computer Browser (计算机浏览器)
微软： 维护网络上更新的计算机清单，并将这个清单提供给做为浏览器的计算机。如果停止这个服务，这个清单将不会被更新或维护。如果停用这个服务，所有依存于它的服务将无法启动。
补充： 一般家庭用计算机不需要，除非你的计算机应用在区网之上，不过在大型的区网上有必要开这个拖慢速度吗？
依存： Server 和 Workstation
建议： 已停用
Cryptographic Services
微软： 提供三个管理服务: 确认 Windows 档案签章的 [类别目录数据库服务]; 从这个计算机新增及移除受信任根凭证授权凭证的 [受保护的根目录服务]; 以及协助注册这个计算机以取得凭证的 [金钥服务]。如果这个服务被停止，这些管理服务将无法正确工作。如果这个服务被停用，任何明确依存于它的服务将无法启动。
补充： 简单的说就是 Windows Hardware Quality Lab (WHQL)微软的一种认证，如果你有使用 Automatic Updates ，那你可能需要这个
依存： Remote Procedure Call (RPC)
建议： 手动
DHCP Client (DHCP 客户端)
微软： 透过登录及更新 IP 地址和 DNS 名称来管理网络设定。
补充： 使用 DSL/Cable 、ICS 和 IPSEC 的人都需要这个来指定动态 IP
依存： AFD 网络支持环境、NetBT、SYMTDI、TCP/IP Protocol Driver 和 NetBios over TCP/IP
建议： 手动
Distributed Link Tracking Client (分布式连结追踪客户端)
微软： 维护计算机中或网络网域不同计算机中 NTFS 档案间的连结。
补充： 维护区网内不同计算机之间的档案连结
依存： Remote Procedure Call (RPC)
建议： 已停用
Distributed Transaction Coordinator (分布式交易协调器)
微软： 协调跨越多个资源管理员的交易，比如数据库、讯息队列及档案系统。如果此服务被停止，这些交易将不会发生。如果服务被停用，任何明显依存它的服务将无法启动。
补充： 如上所说的，一般家庭用计算机用不太到，除非你启用的 Message Queuing
依存： Remote Procedure Call (RPC) 和 Security Accounts Manager
建议： 已停用
DNS Client (DNS 客户端)
微软： 解析并快取这台计算机的网域名称系统 (DNS) 名称。如果停止这个服务，这台计算机将无法解析 DNS 名称并寻找 Active Directory 网域控制站的位置。如果停用这个服务，所有依存于它的服务将无法启动。
补充： 如上所说的，另外 IPSEC 需要用到
依存： TCP/IP Protocol Driver
建议： 手动
Error Reporting Service
微软： 允许对执行于非标准环境中的服务和应用程序的错误报告。
补充： 微软的应用程序错误报告
依存： Remote Procedure Call (RPC)
建议： 已停用
Event Log (事件记录文件)
微软： 启用 Windows 为主的程序和组件所发出的事件讯息可以在事件检视器中检视。这个服务不能被停止。
补充： 允许事件讯息显示在事件检视器之上
依存： Windows Management Instrumentation
建议： 自动
Fast User Switching Compatibility
微软： 在多使用者环境下提供应用程序管理。
补充： 另外像是注销画面中的切换使用者功能
依存： Terminal Services
建议： 手动
Help and Support
微软： 让说明及支持中心能够在这台计算机上执行。如果这个服务停止，将无法使用说明及支持中心。如果这个服务被停用，它的所有依存服务将无法启动。
补充： 如果不使用就关了吧
依存： Remote Procedure Call (RPC)
建议： 已停用
Human Interface Device Access
微软： 启用对人性化接口装置 (HID) 的通用输入存取，HID 装置启动并维护对这个键盘、远程控制、以及其它多媒体装置上事先定义的快捷纽的使用。如果这个服务被停止，这个服务控制的快捷纽将不再起作用。如果这个服务被停用，任何明确依存于它的服务将无法启动。
补充： 如上所提到的
依存： Remote Procedure Call (RPC)
建议： 已停用
IMAPI CD-Burning COM Service
微软： 使用 Image Mastering Applications Programming Interface (IMAPI) 来管理光盘录制。如果这个服务被停止，这个计算机将无法录制光盘。如果这个服务被停用，任何明确地依赖它的服务将无法启动。
补充： XP 整合的 CD-R 和 CD-RW 光驱上拖放的烧录功能，可惜比不上烧录软件，关掉还可以加快 Nero 的开启速度
建议： 已停用
Indexing Service (索引服务)
微软： 本机和远程计算机的索引内容和档案属性; 透过弹性的查询语言提供快速档案存取。
补充： 简单的说可以让你加快搜查速度，不过我想应该很少人和远程计算机作搜寻吧
依存： Remote Procedure Call (RPC)
建议： 已停用
Internet Connection Firewall (ICF) / Internet Connection Sharing (ICS)
微软： 为您的家用网络或小型办公室网络提供网络地址转译、寻址及名称解析服务和/或防止干扰的服务。
补充： 如果你不使用因特网联机共享(ICS)或是 XP 内含的因特网联机防火墙(ICF)你可以关掉
依存： Application Layer Gateway Service、Network Connections、Network Location Awareness(NLA)、Remote Access Connection Manager
建议： 已停用
IPSEC Services (IP 安全性服务)
微软： 管理 IP 安全性原则并启动 ISAKMP/Oakley (IKE) 及 IP 安全性驱动程序。
补充： 协助保护经由网络传送的数据。IPSec 为一重要环节，为虚拟私人网络 (VPN) 中提供安全性，而 VPN 允许组织经由因特网安全地传输数据。在某些网域上也许需要，但是一般使用者大部分是不太需要的
依存： IPSEC driver、Remote Procedure Call (RPC)、TCP/IP Protocol Driver
建议： 手动
Logical Disk Manager (逻辑磁盘管理员)
微软： 侦测及监视新硬盘磁盘，以及传送磁盘区信息到逻辑磁盘管理系统管理服务以供设定。如果这个服务被停止，动态磁盘状态和设定信息可能会过时。如果这个服务被停用，任何明确依存于它的服务将无法启动。
补充： 磁盘管理员用来动态管理磁盘，如显示磁盘可用空间等和使用 Microsoft Management Console(MMC)主控台的功能
依存： Plug and Play、Remote Procedure Call (RPC)、Logical Disk Manager Administrative Service
建议： 自动
Logical Disk Manager Administrative Service (逻辑磁盘管理员系统管理服务)
微软： 设定硬盘磁盘及磁盘区，服务只执行设定程序然后就停止。
补充： 使用 Microsoft Management Console(MMC)主控台的功能时才用到
依存： Plug and Play、Remote Procedure Call (RPC)、Logical Disk Manager
建议： 手动
Messenger (信差)
微软： 在客户端及服务器之间传输网络传送及 [Alerter] 服务讯息。这个服务与 Windows Messenger 无关。如果停止这个服务，Alerter 讯息将不会被传输。如果停用这个服务，所有依存于它的服务将无法启动。
补充： 允许网络之间互相传送提示讯息的功能，如 net send 功能，如不想被骚扰话可关了
依存： NetBIOS Interface、Plug and Play、Remote Procedure Call (RPC)、Workstation
建议： 已停用
MS Software Shadow Copy Provider
微软： 管理磁盘区阴影复制服务所取得的以软件为主的磁盘区阴影复制。如果停止这个服务，就无法管理以软件为主的磁盘区阴影复制。如果停用这个服务，任何明确依存于它的服务将无法启动。
补充： 如上所说的，用来备份的?#124;西，如 MS Backup 程序就需要这个服务
依存： Remote Procedure Call (RPC)
建议： 已停用
Net Logon
微软： 支持网域上计算机的账户登入事件的 pass-through 验证。
补充： 一般家用计算机不太可能去用到登入网域审查这个服务
依存： Workstation
建议： 已停用
NetMeeting Remote Desktop Sharing (NetMeeting 远程桌面共享)
微软： 让经过授权的使用者可以使用 NetMeeting 透过公司近端内部网络，由远程访问这部计算机。如果这项服务停止的话，远程桌面共享功能将无法使用。如果服务停用的话，任何依赖它的服务将无法启动。
补充： 如上说的，让使用者可以将计算机的控制权分享予网络上或因特网上的其它使用者，如果你重视安全性不想多开后门，就关了吧
建议： 已停用
Network Connections (网络联机)
微软： 管理在网络和拨号联机数据夹中的对象，您可以在此数据夹中检视局域网络和远程联机。
补充： 控制你的网络联机
依存： Remote Procedure Call (RPC)、Internet Connection Firewall (ICF) / Internet Connection Sharing (ICS)
建议： 手动
Network DDE (网络 DDE)
微软： 为动态数据交换 (DDE) 对在相同或不同计算机上执行的程序提供网络传输和安全性。如果这个服务被停止，DDE 传输和安全性将无法使用。如果这个服务被停用，任何明确依存于它的服务将无法启动。
补充： 一般人好像用不到
依存： Network DDE DSDM、ClipBook
建议： 已停用
Network DDE DSDM (网络 DDE DSDM)
微软： 讯息动态数据交换 (DDE) 网络共享。如果这个服务被停止，DDE 网络共享将无法使用。如果这个服务被停用，任何明确依存于它的服务将无法启动。
补充： 一般人好像用不到
依存： Network DDE
建议： 已停用
Network Location Awareness (NLA)
微软： 收集并存放网络设定和位置信息，并且在这个信息变更时通知应用程序。
补充： 如果不使用 ICF 和 ICS 可以关了它
依存： AFD网络支持环境、TCP/IP Procotol Driver、Internet Connection Firewall (ICF) / Internet Connection Sharing (ICS)
建议： 已停用
NT LM Security Support Provider (NTLM 安全性支持提供者)
微软： 为没有使用命名管道传输的远程过程调用 (RPC) 程序提供安全性。
补充： 如果不使用 Message Queuing 或是 Telnet Server 那就关了它
依存： Telnet
建议： 已停用
Performance Logs and Alerts (效能记录文件及警示)
微软： 基于事先设定的排程参数，从本机或远程计算机收集效能数据，然后将数据写入记录或?#124;发警讯。如果这个服务被停止，将不会收集效能信息。如果这个服务被停用，任何明确依存于它的服务将无法启动。
补充： 没什么价值的服务
建议： 已停用
Plug and Play (随寮从?
微软： 启用计算机以使用者没有或很少的输入来识别及适应硬件变更，停止或停用这个服务将导致系统不稳定。
补充： 顾名思义就是 PNP 环境
依存： Logical Disk Manager、Logical Disk Manager Administrative Service、Messenger、Smart Card、Telephony、Windows Audio
建议： 自动
Portable Media Serial Number
微软： Retrieves the serial number of any portable music player connected to your computer
补充： 透过联机计算机重新取得任何音乐拨放序号？没什么价值的服务
建议： 已停用
Print Spooler (打印多任务缓冲处理器)
微软： 将档案加载内存中以待稍后打印。
补充： 如果没有打印机，可以关了
依存： Remote Procedure Call (RPC)
建议： 已停用
Protected Storage (受保护的存放装置)
微软： 提供受保护的存放区，来储存私密金钥这类敏感数据，防止未授权的服务、处理、或使用者进行存取。
补充： 用来储存你计算机上密码的服务，像 Outlook、拨号程序、其它应用程序、主从架构等等
依存： Remote Procedure Call (RPC)
建议： 自动
QoS RSVP (QoS 许可控制，RSVP)
微软： 提供网络讯号及区域流量控制安装功能给可识别 QoS 的程序和控制小程序项。
补充： 用来保留 20% 频宽的服务，如果你的网络卡不支持 802.1p 或在你计算机的网域上没有 ACS server ，那么不用多说，关了它
依存： AFD网络支持环境、TCP/IP Procotol Driver、Remote Procedure Call (RPC)
建议： 已停用
Remote Access Auto Connection Manager (远程访问自动联机管理员)
微软： 当程序参照到远程 DNS 或 NetBIOS 名称或地址时，建立远程网络的联机。
补充： 有些 DSL/Cable 提供者，可能需要用此来处理登入程序
依存： Remote Access Connection Manager、Telephony
建议： 手动
Remote Access Connection Manager (远程访问联机管理员)
微软： 建立网络联机。
补充： 网络联机用
依存： Telephony、Internet Connection Firewall (ICF) / Internet Connection Sharing (ICS)、Remote Access Auto Connection Manager
建议： 手动
Remote Desktop Help Session Manager
微软： 管理并控制远程协助。如果此服务停止的话，远程协助将无法使用。停止此服务之前，请先参阅内容对话框中的 [依存性]标签。
补充： 如上说的管理和控制远程协助，如果不使用可以关了
依存： Remote Procedure Call (RPC)
建议： Disable
Remote Procedure Call (RPC) (远程过程调用，RPC)
微软： 提供结束点对应程序以及其它 RPC 服务。
补充： 一些装置都依存它，别去动它
依存： 太多了，自己去看看
建议： 自动
Remote Procedure Call (RPC) Locator (远程过程调用定位程序)
微软： 管理 RPC 名称服务数据库。
补充： 如上说的，一般计算机上很少用到，可以尝试关了
依存： Workstation
建议： Disable
Remote Registry (远程登录服务)
微软： 启用远程使用者修改这个计算机上的登录设定。如果这个服务被停止，登录只能由这个计算机上的使用者修改。如果这个服务被停用，任何明确依存于它的服务将无法启动。
补充： 基于安全性的理由，如果没有特别的需求，建议最好关了它，除非你需要远程协助修改你的登录设定
依存： Remote Procedure Call (RPC)
建议： 已停用
Removable Storage (卸除式存放装置)
微软： None
补充： 除非你有 Zip 磁盘驱动器或是 USB 之类可携式的硬件或是 Tape 备份装置，不然可以尝试关了
依存： Remote Procedure Call (RPC)
建议： Disable
Routing and Remote Access (路由和远程访问)
微软： 提供连到局域网络及广域网络的公司的路由服务。
补充： 如上说的，提供拨号联机到区网或是 VPN 服务，一般用户用不到
依存： Remote Procedure Call (RPC)、NetBIOSGroup
建议： 已停用
Secondary Logon
微软： 启用在其它认证下的起始程序。如果这个服务被停止，这类的登入存取将无法使用。如果这个服务被停用，任何明确依存于它的服务将无法启动。
补充： 允许多个使用者处理程序，执行分身等
建议： 自动
Security Accounts Manager (安全性账户管理员)
微软： 储存本机账户的安全性信息。
补充： 管理账号和群组原则(gpedit.msc)应用
依存： Remote Procedure Call (RPC)、Distributed Transaction Coordinator
建议： 自动
Server (服务器)
微软： 透过网络为这台计算机提供档案、打印、及命名管道的共享。如果停止这个服务，将无法使用这些功能。如果停用这个服务，所有依存于它的服务将无法启动。
补充： 简单的说就是档案和打印的分享，除非你有和其它计算机分享，不然就关了
依存： Computer Browser
建议： 已停用
Shell Hardware Detection
微软： 为自动播放硬件事件提供通知。
补充： 一般使用在记忆卡或是CD装置、DVD装置上
依存： Remote Procedure Call (RPC)
建议： 自动
Smart Card (智慧卡)
微软： 管理这个计算机所读取智能卡的存取。如果这个服务被停止，这个计算机将无法读取智能卡。如果这个服务被停用，任何明确依存于它的服务将无法启动。
补充： 如果你不使用 Smart Card ，那就可以关了
依存： Plug and Play
建议： 已停用
Smart Card Helper (智能卡协助程序)
微软： 启用对这个计算机使用的旧版非随插即用智能卡读取头的支持。如果这个服务被停止，这个计算机将不支持旧版读取头。如果这个服务被停用，任何明确依存于它的服务将无法启动。
补充： 如果你不使用 Smart Card ，那就可以关了
建议： 已停用
SSDP Discovery Service
微软： 在您的家用网络上启用通用随插即用装置的搜索。
补充： 如上说的，通用随插即用服务 (Universal Plug and Play, UPnP) 让计算机可以找到并使用网络上的装置，经由网络联机透过 TCP/IP 来搜索装置，像网络上的扫瞄器、数字相机或是打印机，亦即使用 UPnP 的功能，基于安全性没用到的大可关了
依存： Universal Plug and Play Device Host
建议： 已停用
System Event Notification (系统事件通知)
微软： 追踪诸如 Windows 登入、网络、和电源事件的系统事件。通知这些事件的 COM+ 事件系统订阅者。
补充： 如上所说的
依存： COM+ Event System
建议： 自动
System Restore Service
微软： 执行系统还原功能。若要停止服务，从我的计算机->内容，[系统还原] 中关闭系统还原
补充： 将计算机回复至先前的状态，不使用就关了
依存： Remote Procedure Call (RPC)
建议： 已停用
Task Scheduler (工作排程器)
微软： 让使用者能够在这个计算机上设定和排定自动的工作。如果停止这个服务，这些工作在它们排定的时间时将不会执行。如果停用这个服务，任何明确依存于它的服务将无法启动。
补充： 设定排定自动的工作，像一些定时磁盘扫瞄、病毒定时扫瞄、更新等等
依存： Remote Procedure Call (RPC)
建议： 自动
TCP/IP NetBIOS Helper (TCP/IP NetBIOS 协助程序)
微软： 启用 [NetBIOS over TCP/IP (NetBT)] 服务及 NetBIOS 名称解析的支持。
补充： 如果你的网络不使用 NetBios 或是 WINS ，你大可关闭
依存： AFD 网络支持环境、NetBt
建议： 已停用
Telephony (电话语音)
微软： 为本机计算机上及经由局域网络连接到正在执行此服务的服务器上，控制电话语音装置和 IP 为主语音联机的程序，提供电话语音 API (TAPI) 支持。
补充： 一般的拨号调制解调器或是一些 DSL/Cable 可能用到
依存： Plug and Play、Remote Procedure Call (RPC)、Remote Access Connection Manager、Remote Access Auto Connection Manager
建议： 手动
Telnet
微软： 启用一个远程使用者来登入到这台计算机和执行应用程序，以及支持各种 TCP/IP Telnet 客户端，包含以 UNIX 为基本和以 Windows 为基本的计算机。如果服务停止了，远程使用者可能无法存取应用程序。如果服务停用了，任何明确地依存于这项服务的其它服务将会启动失败。
补充： 允许远程使用者用 Telnet 登入本计算机，一般人会误解关了就无法使用BBS，这其实和BBS无关，基于安全性的理由，如果没有特别的需求，建议最好关了
依存： NT LM Security Support Provider、Remote Procedure Call (RPC)、TCP/IP Protocol Driver
建议： 已停用
Terminal Services (终端机服务)
微软： 允许多位使用者互动连接到同一部计算机、桌面的显示器及到远程计算机的应用程序。远程桌面的加强 (包含系统管理员的 RD)、快速切换使用者、远程协助和终端机服务器。
补充： 远程桌面或是远程协助的功能，不需要就关了
依存： Remote Procedure Call (RPC)、Fast User Switching Compatibility、InteractiveLogon
建议： 已停用
Themes
微软： 提供使用者经验主题管理。
补充： 很多人使用布景主题，不过如果没有使用的人，那就可以关闭
建议： 自动
Uninterruptible Power Supply (不断电供电系统)
微软： 管理连接到这台计算机的不断电电源供应 (UPS)。
补充： 不断电电源供应 (UPS)一般人有用到吗？除非你的电源供应器有具备此功能，不然就关了
建议： 已停用
Universal Plug and Play Device Host
微软： 提供主机通用随插即用装置的支持。
补充： 用来侦测安装通用随插即用服务 (Universal Plug and Play, UPnP)装置，像是数字相机或打印机
依存： SSDP Discovery Service
建议： 已停用
Volume Shadow Copy
微软： 管理及执行用于备份和其它目的的磁盘区卷影复制。如果这个服务被停止，卷影复制将无法用于备份，备份可能会失败。如果这个服务被停用，任何明确依存于它的服务将无法启动。
补充： 如上所说的，用来备份的?#124;西，如 MS Backup 程序就需要这个服务
依存： Remote Procedure Call (RPC)
建议： 已停用
WebClient
微软： 启用 Windows 为主的程序来建立、存取，以及修改因特网为主的档案。如果停止这个服务，这些功能将无法使用。如果停用这个服务，任何明确依存于它的服务将无法启动。
补充： 使用 WebDAV 将档案或数据夹上载到所有的 Web 服务，基于安全性的理由，你可以尝试关闭
依存： WebDav Client Redirector
建议： 淹Ｓ?
Windows Audio
微软： 管理用于 Windows 为主程序的音讯装置。如果这个服务被停止，音讯装置和效果将无法正常?#092;作。如果这个服务被停用，任何明确依存于它的服务将无法启动。
补充： 如果你没有声卡可以关了他
依存： Plug and Play、Remote Procedure Call (RPC)
建议： 自动
Windows Image Acquisition (WIA) (Windows影像取得程序)
微软： 为扫描仪和数字相机提供影像撷取服务。
补充： 如果扫描仪和数字相机内部具有支持WIA功能的话，那就可以直接看到图档，不需要其它的驱动程序，所以没有扫描仪和数字相机的使用者大可关了
依存： Remote Procedure Call (RPC)
建议： 已停用
Windows Installer (Windows 安装程序)
微软： 根据包含在 .MSI 档案内的指示来安装，修复以及移除软件。
补充： 是一个系统服务，协助使用者正确地安装、设定、追踪、升级和移除软件程序，可管理应用程序建立和安装的标准格式，并且追踪例如档案群组、登录项目及快捷方式等组件
依存： Remote Procedure Call (RPC)
建议： 手动
Windows Management Instrumentation (WMI)
微软： 提供公用接口及对象模型，以存取有关操作系统、装置、应用程序及服务的管理信息。如果这个服务已停止，大多数的 Windows 软件将无法正常?#092;作。如果这个服务已停用，所有依存于它的服务都将无法启动。
补充： 如上说的，是一种提供一个标准的基础结构来监视和管理系统资源的服务，由不得你动他
依存： Event Log、Remote Procedure Call (RPC)
建议： 自动
Windows Management Instrumentation Driver Extensions (Windows Management Instrumentation 驱动程序延伸)
微软： 提供系统管理信息给予/取自驱动程序。
补充： Windows Management Instrumentation 的延伸，提供信息用的
建议： 手动
Windows Time (Windows 时间设定)
微软： 维护在网络上所有客户端及服务器的数据及时间同步处理。如果这个服务停止，将无法进行日期及时间同步处理。如果这个服务被停用，所有依存的服务都会停止。
补充： 网络对时校准用的，没必要就关了
建议： 已停用
Wireless Zero Configuration
微软： 为 802.11 适配卡提供自动设定
补充： 自动配置无线网络装置，言下之意就是说，除非你有在使用无线网络适配卡装置，那么你才有必要使用这个网络零管理服务
依存： NDIS Usermode I/O Protocol、Remote Procedure Call (RPC)
建议： 已停用
WMI Performance Adapter
微软： 提供来自 WMIHiPerf 提供者的效能链接库信息。
补充： 如上所提
依存： Remote Procedure Call (RPC)
建议： 已停用l
Workstation (工作站)
微软： 建立并维护到远程服务器的客户端网络联机。如果停止这个服务，这些联机将无法使用。如果停用这个服务，所有依存于它的服务将无法启动。
补充： 因特网联机中所必要的一些功能
依存： Alerter、Background Intelligent Transfer Service、Computer Browser、Messenger、Net Logon、Remote Procedure Call (RPC) Locator
建议： 自动
“Clipbook Server”(文件夹服务器)：这个服务允许你们网络上的其他用户看到你的文件夹。在这里我要强烈建议你把它改为手动启动，然后再使用其他程序在你的网络上发布信息。
“Messenger”(消息)：在网络上发送和接收信息。如果你关闭了Alerter，你可以安全地把它改为手动启动。
“Printer Spooler”(打印后台处理程序)：如果你没有配置打印机，建议改为手动启动或干脆关闭它。
“Error Reporting Service”(错误报告)：服务和应用程序在非标准环境下运行时提供错误报告。建议改为手动启动。
“Fast User Switching Compatibility”(快速用户切换兼容性)：建议改为手动启动。
“Automatic Updates”(自动更新)：这个功能前面已经讲过了，在这里可以改为手动启动。
“Net Logon”（网络注册）：处理象注册信息那样的网络安全功能。你可以把它设改为手动启动。
“Network DDE和Network DDE DSDM”(动态数据交换)：除非你准备在网上共享你的Office，否则你应该把它改为手动启动。注：这和在通常的商务设定中使用Office不同(如果你需要DDE，你就会知道)。
“NT LM Security Support”(NT LM安全支持提供商)：在网络应用中提供安全保护。建议你把它改为手动启动。
“Remote Desktop Help Session Manager”(远程桌面帮助会话管理器)：建议改为手动启动。
“Remote Registry”(远程注册表)：使远程用户能修改此计算机上的注册表设置。建议改为手动启动。
“Task Scheduler”(任务调度程序)：使用户能在此计算机上配置和制定自动任务的日程，它计划每星期的碎片整理等。 除非你实在太懒了，连在电脑上开一下都不想，建议改为手动启动。
“Uninterruptible Power Supply”(不间断电源)：它管理你的UPS。如果你没有的话，把它改为手动启动或干脆关闭它。
“Windows Image Acquisition (WIA)”(Windows 图像获取 (WIA))：为扫描仪和照相机提供图像捕获，如果你没有这些设备，建议改为手动启动或干脆关闭它。
作者:msc (2005-12-22 12:18) | 阅读数:260 | 最新回复 (0) | 引用 (0) | IT专栏 客户端菜单
--------------------------------------------------------------------------------
休闲娱乐：单机小游戏
网络游戏：
宝贝Q
传奇3G
传奇3G更新程序
传奇世界
大话西游II
刀剑Online
封神榜
航海世纪
劲乐团
劲乐团更新补丁
劲舞团
洛奇
冒险岛Online
梦幻国度
梦幻国度设置
梦幻西游
梦幻之星
魔力宝贝
魔兽世界
墨香
泡泡堂
奇迹
骑士
热血传奇
热血江湖
天骄II
天堂
天堂II
希望Online
仙境传说
仙境传说设置
新绝代双娇Online
星钻物语
倚天II
英雄王座
网络互动：
影视天地
中国游戏中心在线游戏
边锋网络游戏世界
联众世界
上游棋牌
浩方对战平台
QQ游戏
戏谷娱乐馆
Acdsee3.1
Reader5.0
Photoshop7.0
E话通
IE
Media Player Class
Word
Excel
PowerPoint
MSN
POPO
Winamp
Windows Media Player
Yahoo!
金山词霸
金山游侠
(搜Q)
QQ原版
QQ显IP
腾讯TM
UC
局域网游戏：
星际争霸
魔兽争霸
帝国时代II
CS1.5
CS1.6
CS-CDKEY
NBA2004
FIFA2004
极品飞车IV
极品飞车IV-CDKEY
侠盗列车手
毁灭之王
实况足球
荣誉勋章
三角洲部队
使命的召唤
抢滩登陆
突袭III
雷电
大富翁4
连连看
作者:msc (2005-12-22 12:17) | 阅读数:241 | 最新回复 (0) | 引用 (0) | IT专栏 备注
--------------------------------------------------------------------------------
常用的组合键
winkey+d
将桌面上的所有窗口瞬间最小化
winkey+f
搜索文件或文件夹
winkey+r
运行
alt+tab+shift
可以反向显示当前打开的窗口
winkey+e
资源管理器
＃＃＃
网吧加油站-屏幕设置工具
“传奇”“奇迹”私服文件夹快捷方式－桌面菜单
下载文件夹快捷方式－桌面菜单
外挂总管2005
Game Tools 网吧菜单=Pubwin EP菜单＋音量调节＋刷新率调节
IE 菜单栏－背景画面（可做广告）
影视休闲＝聊天+游戏大厅＋对战平台＋电影
网络游戏、单机游戏、小游戏、私服外挂、影视休闲
传奇、奇迹 文件夹放在自动还原区
常用可放在首页：IE QQ MP3 电影 下载区 游戏菜单
上网必备的顶级装备
1、卡巴斯基
卡巴斯基是公认的世界第一杀毒软件，虽然其v4.5服务器版要比中文单机版还要强悍，但v5.227中文单机版对个人电脑的支持还是无人能出其右，强烈推荐！！！
2、ZoneAlarm Security Suite 5.5.062.011（世界第一防火墙）
ZoneAlarm Security Suite 防火墙简称ZA防火墙，是公认的防火墙界的真正王者！其强大的功能和卡巴斯基杀毒软件的完美配合都堪称典范！！
3、瑞士军刀
TuneUp Utilities（瑞士军刀简体汉化版）（世界上最强的系统优化软件）
一款德国的系统调校优化软件，屡获国际大奖，备受用户肯定。此软件斌承德国人认真、高效、精确的传统，使我们的兔子和优化大师相形见绌。顶级就是顶级！！
4、东方快车2003 SP1
虽然金山快译2005已经面世，但是在翻译转码方面东方快车2003才是真正的高手，不信你可以自己作比较。东方快车2003在几年前已经做到了比金山快译现在更强的功能，更准确地翻译，一句话---姜是老的辣！！
5.ACE Mega Codec Pack Professional 6.03X
史上最强的编码解码集合包！这个编码解码集合包居然有49MB之巨，实在是让人惊讶！但是毋庸置疑，大体积当然提供了史上最全的编码解码器。集齐目前
网上最齐全的多媒体文件播放插件CoDecS、ActiveX FilterS 和其他应用程序（基于微软媒体播放器），有了它，您再也不用为视频文件不能正常收看、收听
发愁了！在这个免费的工具包中你能找到差不多所有网上出现的CoDecS， ActiveXFilterS 和UtilitieS ，甚至还包括了一些播放和录制工具。
6.JetAudio
音质最好的播放器！
作者:msc (2005-12-22 12:16) | 阅读数:182 | 最新回复 (0) | 引用 (0) | IT专栏 母盘
--------------------------------------------------------------------------------
1.用nlite定制完整安装系统
C:WINDOWS
D:Program Files
E:Documents and Settings
2.以“Administrator”身份空密码自动登入系统
3.删除多余用户及组
4.将"guest"更名为"Admin"并加入“administrators”组
5.安装优化大师最新版，用它的加密工具加密以下文件：
C:WINDOWSsystem32
compmgmt.msc 计算机管理
lusrmgr.msc 本机用户和组
6."F8"进入安全模式，将"Admin"完全控制所有分区
将“Administrator”完全控制E:（备份，临时文件）
只读，只写，只更改D:（软件，游戏）
删除对C:（系统）的所有权限
7.在"Admin"下可装技术员专用的深层次的管理工具到C:Program Files
8.其他软件可以都安装在默认的D:Program Files
补充
更改C:Program Files目录的默认路径
运行regedit，依次打开HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows/CurrentVersion，在右侧窗口找到ProgramFilesDir，就是它记录了Program Files的路径，双击把它的数值“C:Program Files”修改成“D:Soft”，确定退出就可以了。
更改“我的文档”的路径
鼠标右键盘点击“我的文档”，在“属性”中“移动”到目标目录
作者:msc (2005-12-22 12:15) | 阅读数:228 | 最新回复 (0) | 引用 (0) | IT专栏 只读更新
--------------------------------------------------------------------------------
实现目的:游戏盘不保护,客人无法操作游戏盘,病毒无法感染游戏盘.但是可以正常游戏和使用外挂,游戏可以正常更新.如果此方案有缺陷,欢迎大家指教,
1.
首先确定你的administrators组有2个个用户,假设有A,B 2个admin权限帐号, 把B 帐号设置成客人上机的默认帐户,假设网络游戏安装在E盘,设置成E盘不保护,
2.
权限设置: 一定要使用A帐号登陆系统,针对E盘,先删除E 盘所有用户的权限,然后添加users组,权限设置(在"高级"选项里设置)为 :遍历文件夹.读取,运行,读取属性,读取扩展属性,
接着,先不要点确定,再添加A帐户的权限,权限设置为:完全控制,
ok, 然后把"用此显示的可以应用到的子对象的项目替代所有子对象的权限项目"打上勾,点"确定"
接下来是一个等待的过程,系统会把E盘所有文件访问权限重新设置
3,进入组策略-- 安全设置--用户权利指派.
把"取得文件或其他对象的所有权"里的administrators删除,然后添加"A"帐户,目的是除了A帐户之外,其他任何人无法取得文件所有权,此步很重要
4,上面三步做完以后,B帐户对E盘只具有只读权限,并且无法查看权限,无法取得所有权利,所以有些游戏和外挂无法正常运行,请接下来看5
5,以B帐户登陆系统,让游戏以A帐户的权限运行,实现这个目的需要加工快捷方式
此快捷方式以runas命令为基础,确定系统已经打开Secondary Logon服务,然后要先以B帐户登陆系统
新建快捷方式，路径为
runas /user:A /savecred /env E:netgame大话西游2xy.exe
/user:A 意思是让此程序以帐户A的身份运行.A帐户名称改成你的系统的最高管理员帐户(就是没有做过限制的)
保存此快捷方式，替换原“大话西游2”的快捷方式，其他游戏类似
在这个快捷方式第一次运行时，会提示输入A帐户的密码,输入一次以后，以后永远不会再提示
此方案也可以用溯雪作者开发的一个软件来实现，该软件名称是wsn 可以在admin权限下以任何用户权限运行程序并且无须输入密码，黑别人的时候用的上，大家找找看吧
6，取消系统文件保护功能（此步改注册表，大家应该都会的)
关闭安全标签，就是让客人看不见右键菜单里的"安全"选项
修改shell32.dll，防止格式化（不用防删)
修改%win32% cmd.exe命令权限，只留下一个A帐户完全控制，其他用户无访问权限
还有那篇修改shell32.dll以达到防删目的帖子我也找不到了，希望有朋友能提供一下，谢谢了
关于有些朋友的系统取消了sec logon服务,无法使用进程替换,或者有些朋友使用runas提示错误的问题,时间有限,我无法一一解答了,我这里有一款软件可以帮到你们,它实现任意权限替换运行程序，具体教程看里面的说明吧,软件已经上传
点击浏览该文件
7月25日修改：
注意事项：所有权限设置过程必须在A账户环境下，否则B账户就会有更改只读更新盘权限的权限。
如果设置正确，在B账户环境下，只读盘的“安全”内的选项全部为灰色，不可更改，所以“修改安全标签” 可以不用
这种方法经过本人一个晚上的测试，发现了不少要说明一下的问题，本贴是 讨论 所以朋友们最好不要用 UP 顶之类的语句。谢谢你的配合：
1，游戏的更新并不是一种方式，比如。QQ游戏，他更新的时候是原程启动下载，然后关闭原来的程序，然后WINDOWS启动更新，这样更新文件没有写操作权限了。
2， 梦幻西游。这个游戏更新的原理我没掉明白，在这种更新方式下还是存在不少问题。
3。如果自己用WINRAR制作一个。EXE文件，可以轻意写入文件，如果有人故意破坏。后果严重。
总的来说原作者的想法和思路很清晰，可以说是为网吧游戏更新开启了新的方向，只是一个新的事物成长都要经历 成长，发展，完善。 请各位高手不断努力。我们才是 强者
1，游戏的更新并不是一种方式，比如。QQ游戏，他更新的时候是原程启动下载，然后关闭原来的程序，然后WINDOWS启动更新，这样更新文件没有写操作权限了。
------------答这个你可以通过强者的客户端程序来实现
2， 梦幻西游。这个游戏更新的原理我没掉明白，在这种更新方式下还是存在不少问题。
------------这个游戏不需要做更新的.他的更新你做了已经游戏就坏掉了,只有大的资料包和需要替换客户端程序的时候才做更新
3。如果自己用WINRAR制作一个。EXE文件，可以轻意写入文件，如果有人故意破坏。后果严重。
------------这个就需要进行多用户切换来实现.这样就没有故意破坏的情况发生
我来说几点问题：
1.runas /user:A /savecred /env 这种方式不安全。
任何B账号登录者都可以利用它来启动任何程序，包括病毒。最好自己做个脚本程序把A帐号用户名和密码嵌入，配合ini
只读文件（针对B账号）即可以不用每次都来输入，又保证只有A|账号才可以用它来配置游戏菜单中的游戏。
这样做有一个好处，就是可以利用一些游戏更新软件来同步更新，同步时它会继承A的权限。我暂时用的网吧游戏管理更
新系统3.1破解版。在我这里梦幻西游是正常的 。
如果在B账号下不通过脚本程序启动RAR制作的EXE文件，应该也没有权限修改游戏盘。
2.QQ等之类的程序应该放在还原保护的分区内（比如三个分区中的E盘）。
首先QQ登录后，会产生大量与账号相关的文件不断占用磁盘空间，例如下载的表情，聊天记录，腾讯广告等。
再者，如果利用QQ硬盘下载，或TT下载都会继承启动账号A的权限，导致可以下载覆盖游戏盘文件。
3.最典型的问题是最后一个了，游戏中调用IE会继承启动游戏的A账号权限。
如果在这样启动的IE地址中输入D:(游戏盘符)就可以直接访问D盘，而且是以A账号访问的，删除文件，格式化，无一不
可！！！
现在唯一的解决办法是在iexplorer.exe程序安全选项里设置A账号的拒绝权限。但问题也随之而来，游戏界面里有关注册
账号，访问官方网站的功能全部失效！而只能通过B账号启动IE并地址栏内输入。
曾试过替换iexplorer.exe程序，以实现游戏调用IE也只能以B账号启动。但有些游戏不能通过，例如：魔兽世界，劲乐团
等。像梦幻，大话，传奇世界都能实现目的。
期待大家能有个好办法解决调用IE的问题，这样只读更新也算是比较完美的！
我在原文中漏掉了很重要的一步...就是在A帐户环境下设置E盘权限时,点"高级"选项.
把"目前该项目所有者"的"administrators"改成"A"帐户. 改完此步,就不再需要再修改安全标签
被这个问题困扰的朋友可以试验
3.最典型的问题是最后一个了，游戏中调用IE会继承启动游戏的A账号权限。
如果在这样启动的IE地址中输入D:(游戏盘符)就可以直接访问D盘，而且是以A账号访问的，删除文件，格式化，无一不
可！！！
现在唯一的解决办法是在iexplorer.exe程序安全选项里设置A账号的拒绝权限。但问题也随之而来，游戏界面里有关注册
账号，访问官方网站的功能全部失效！而只能通过B账号启动IE并地址栏内输入。
曾试过替换iexplorer.exe程序，以实现游戏调用IE也只能以B账号启动。但有些游戏不能通过，例如：魔兽世界，劲乐团
等。像梦幻，大话，传奇世界都能实现目的。
关于这个问题，可以通过添加注册表文件来完成。先声明一下，我也是借鉴别人的经验，有什么不对的地方，还望大家不吝指点。
HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionPoliciesExplorer]
如果要隐藏驱动器，在右边新建dword值NoDrives
如果要禁止打开驱动器，在右边新建dword值NoViewOnDrive
他们的值就是你要隐藏或禁止打开的驱动器。8位16进制数。
000000为不隐藏或禁止所以驱动器，FFFFFFFF刚好相反。
00000001,00000002,00000004,00000008,00000010,00000020,00000040,00000080,00000100,00000200,
00000400,00000800,00001000,00002000,00004000,00008000,.....
分别代表驱动器A,B,C,D,E,F,G,H,I,J,K,L,M,N,O,P,.......
看出规律了吗？^^后面一个是前面一个的2倍。
例子：
隐藏D盘，禁止D盘：
NoDrives=00000008
NoViewOnDrive=00000008
如果你要隐藏几个盘，只要把相应盘符的值相加就是，记住是逢16进1哈。
例子：
隐藏D盘、E盘，禁止E盘、F盘
NoDrives=00000018
NoViewOnDrive=00000030
修改之后，不必重启，只要关闭进程explorer.exe(资源管理器),然后再打开他。OK！
以上内容在XP下试验通过，绝对无误。没有98和2k的机子，没法试验。
其实2K的代码根XP的是一样的，只不过在新建的时候不是一个dword值而是一个二进制字符串，其他操作都是一样的。这样设置以后，在IE地址中输入D:(游戏盘符)，会跳出一个限制的框框出来“本次操作由于这台计算机的权限而被限制，请与你的系统管理员联系”。
令注意一点的是运用这个操作的时候不能在管理员里面设，一定要在玩家登陆的界面设置，
作者:msc (2005-12-22 12:14) | 阅读数:289 | 最新回复 (0) | 引用 (0) | IT专栏 Windows 2003 作工作站的必要设置
--------------------------------------------------------------------------------
1.启用禁用的管理员帐户
F8进入安全模式调整：
开始 -->管理工具 --> 本地安全策略 --> 本地策略 --> 安全选项 -->
帐户: 管理员帐户状态-->启用之。
2.启用显卡硬件加速：
桌面点右键-->属性-->设置-->高级-->疑难解答,把滚动条拉到最右
然后打开windowssystem32dxdiag.exe--Display 可以看到
DirectDraw Acceleration ,Direct3D Acceleration,AGP Texture Acceleration
依次启动它们!
3.启用声卡硬件加速：
运行Services.msc，会出现Services 窗口，找到Windows Audio服务，双击打开，把启动类型设置为Automatic，点击Apply，然后点击Start启动该服务。
最后我们还要使用DirectX诊断工具，在运行中输入dxdiag并回车，打开Sound选项卡，把Hardware Sound Acceleration Level的滑块拖动到Full。
4.启用桌面主题：
a.开始-->管理工具-->服务 “Themes service ”设置为自动 (Automatic)
b.打开 Log on 服务 (enabled)
c.在 General 中, 选择 Start 之后就可以在显示属性中设置了
5.启用 ASP 支持：（先安装 IIS 6）：
控制面板 --> 管理工具 --> Web服务扩展 --> Active Server Pages --> 允许
6.禁止关机时出现的关机理由选择项：
开始 --> 运行 -->gpedit.msc--> 计算机配置 --> 管理模板 --> 系统 -->
显示关机事件跟踪 --> 禁用。
7.启用摄像机，摄像头或者扫描仪等设备：
开始 --> 运行 -->Services.msc回车，找到并双击Windows Image Acquisition (WIA) 服务，
设置启动类型为-->自动点击-->应用-->启动-->确定。
8.在控制面板里显示全部组件：
把 Windowsinf 目录中的 sysoc.inf 文件里的 "hide" 替换掉。
9.禁用开机 CTRL+ALT+DEL模式：
开始 -->管理工具 --> 本地安全策略 --> 本地策略 --> 安全选项 -->
交互式登录: 不需要按 CTRL+ALT+DEL-->启用。
10.查有无被激活：开始 -->运行-->oobe/msoobe /a-->回车
11.改变开始菜单式样：在"开始"上点右键,打开属性,选择"经典开始菜单"
点"确定",熟悉的开始菜单又回来了!
12.让系统自动添加USB硬盘盘符：
控制面板-->系统-->硬件-->设备管理器-->设备管理器-->磁盘驱动器-->用鼠标
指向USB盘-->双击选属性,改“为快速删除而优化”为“为提高性能而优化”-->确定。
再到：开始-->管理工具--计算机管理--磁盘管理--USB-->右键--设定分配驱动器号。
13.禁用IE的增强行安全设置
运行IE，你可以看见IE提示说Explorer Enhanced Security设置已经被启用，并且还显示了一个对话框，选中对话框中的“In the future, do not show this message”。
现在，依次打开Tools -> Internet Options，打开Security选项卡，在“Security Level for this zone”中把Internet区域的安全性调整到Medium。
14.安装Sun的JAVA虚拟机
15.启用DirectX
接着准备启用DirectX图形加速。在运行中输入dxdiag然后按回车，你会看到一个对话框询问你是否允许dxdiag访问Internet以检查有效的WHQL证书，点击Yes。
16.启用 XP 的主题
运行中输入Services.msc并按回车，找到并双击Themes这个服务，设置启动类型为Automatic，点击Apply后点Start打开这个服务。
现在你已经可以使用Windows XP中的Luna Blue，Silver和Olive Green三种主题。
17.启用摄像头，扫描仪等设备
运行Services.msc，双击Windows Image Acquisition (WIA) 服务，设置启动类型为Automatic点击Apply后点击Start然后点击OK。
作者:msc (2005-12-22 12:14) | 阅读数:181 | 最新回复 (0) | 引用 (0) | IT专栏 大型网吧网络系统设计详细方案
--------------------------------------------------------------------------------
大型网吧是一个多元化应用的系统集成网络，具备较强的预扩展性。越来越多的大型网吧正在或者已经建立多元化的网络。
一、需求分析：
大型网吧网络系统建设的主要目标是建设成为主干跑千兆，百兆交换到桌面；同时在大型网吧的范围内建立一个以网络技术、计算机技术与现代信息技术为支撑的娱乐、管理平台，将现行以游戏网为主的活动发展到多功能娱乐这个平台上来，籍以大幅度提高网吧竞争和盈利能力，建设成一流的高档网吧，为吸引高端消费群打下强有力的基础。
按照这一目标，大型网吧网络系统的主要目标和任务是：
1、 在大型网吧管辖范围内，采用标准网络协议，结合应用需求，建立大型网吧内联网，并通过中国电信宽带网与Internet相连；
2、 在大型网吧内联网上建立支持娱乐活动的服务器群（包括WWW、FTP、DNS、流媒体服务器、十六频道有线电视转播服务器组及SF和各种游戏战网服务器等），具有信息共享、传递迅速、使用方便、高效率等特点的处理系统；
3、 视市场环境允许，向中、小型网吧及网络固定客户提供服务器群资源有偿共享服务，在小范围内尝试为小私营企业主提供一体化网站解决方案（空间、域名、网站、数据库及更新等）；
4、系统应有高可靠性、安全性、可维护性和可扩充性，要具有良好的用户界面。
在本方案的设计过程中，始终以大型网吧建网的实际需求为主要参考，在较充分地了解大型网吧应用需求的基础上，根据网络建设中的相关技术路线和建设方针，最终完成了下面的方案设计。
二、网络设计原则：
大型网吧网络系统建设是一项大型网络工程，各网吧需要根据自身的实际情况来制定网络设计原则。在大型网吧的网络建设过程中，其遵循以下网络设计原则：
1、实用性和经济性
由于网吧一次性资金投入大，设备折旧快，目前外部经营环境差。另一方面，网吧应用环境比较恶劣，顾客应用水平较参差不齐，因此，在网络的建设过程中，系统建设应始终贯彻面向应用，注重实效的方针，坚持实用、经济的原则。
2、先进性和成熟性
当前计算机网络技术发展很快，设备更新淘汰也很快。这就要求网络建设在系统设计时既要采用先进的概念、技术和方法，又要注意结构、设备、工具的相对成熟。只有采用当前符合国际标准的成熟先进的技术和设备，才能确保网络络能够适应将来网络技术发展的需要，保证在未来几年内占主导地位。
3、可靠性和稳定性
在考虑技术先进性和开放性的同时，还应从系统结构、技术措施、设备性能、系统管理、厂商技术支持及维修能力等方面着手，确保系统运行的可靠性和稳定性，达到最大的平均无故障时间。
4、安全性和保密性
在系统设计中，既考虑信息资源的充分共享，更要注意信息的保护和隔离，因此系统应分别针对不同的应用和不同的网络通信环境，采取不同的措施，包括系统安全机制、数据存取的权限控制等。
5、可扩展性和易维护性
为了适应系统变化的要求，必须充分考虑以最简便的方法、最低的投资，实现系统的扩展和维护。把当前先进性、未来可扩展性和经济可行性结合起来，保护以往投资，实现较高的总体性能价格比。
三、 网络设备选形
由于网吧的条件千差万别，对方案的要求也五花八门，这就要求网络设备提供商能够具有强大的网络产品和解决方案定制能力；此外，网吧经费有限，因此也不会有很多财力用于网络建设，这就要求网络产品还必须具有极高的性价比优势。在对各网络设备 性能和价格考察比较之后， 大型网吧的网络决定采用：三层中心交换机（加X个千兆模块）+堆叠交换机（加1个千兆模块）作为接入层的网络结构，满足了大型网吧网络对性能、应用、成本等方面的要求。
五、方案说明
1、网络中心设备
中心机房的网络设备选用模块化三层交换机，根据需要灵活地选择不同的扩展模块,实现各种配置组合，在将来进行网络升级时，可通过扩展模块,便于保护现有的网络结构及投资。现根据现有网络的需要， 主干交换机配1个路由模块具有三层交换功能，配5个的千兆光纤模块,配1个10/100M自适应的RJ-45口模块，为了管理方便再配1个管理模块；服务器可选用3—4台多CPU的SCSI磁盘RAID的专业服务器和几十台普通 电脑DIY服务器组成服务器群；路由器可选用模块化路由器作为与Internet的网关和拨入服务器。配备1台用于网络管理的工作站装上网管软件，即可进行网络的配置与管理。
2、二级交换设备
选用千兆堆叠交换机组，由可堆叠交换主机和可堆叠交换从机组成无阻塞星型拓扑堆叠结构，可提供 上百个10/100M自适应RJ-45口（视具体设备而定，网吧这种大流量网络要求以100口左右为一虚拟子网比较稳定）。堆叠方式可提供高Gbps的背板带宽。
六、方案特点
本方案采用"千兆干线，百兆交换到桌面”的设计思路，各骨干线路均为1000M光纤。所采用的骨干产品都支持802.1Q标准VLAN和IGMP组播协议，全部支持网管到桌面。网络建成后，能很好地满足网吧的各项业务应用需求，达到了预期目的。骨干网通过高速线路接入INTERNET，网吧内实现主干千兆交换、百兆到点，整个 网吧内实现无阻塞通信。其中网络中心可通过划分VLAN，MAC地址绑定来控制不同类别用户的访问权限和浏览站点，网络设备支持IGMP组播与802.1P优先级协议，为VOD、多媒体娱乐等丰富应用的开展打下了坚实的基础 。
七、随笔
本方案设计过程中的重点在其网络结构和服务器群，使其两者有机配合才能真正充分发挥大网吧的优势，在硬件安装调试结束后经营中的是否成功和服务器群的建设有很大的关系，高薪聘请个一流高技术的真正网管是必须的；以500台的网吧为例，建个30—50台服务器的服务器群，就是每月化上万的代价请个一流网管也不为过，重要的是有效保证你的服务器群上各种平台开发、应用以及网络的正常运转（为了保证网管的开发积极性最好还是用干股分红的方式 使其报酬和网吧经营状况挂钩）。其实这也是目前大型网吧的通病，大多只重视客户机的台数而不注重网吧的内容服务，那只能和中、小网吧进行残酷的价格战，服务器群内容的好坏在一定程度上能左右网吧的价格定位 、竞争环境以及增值服务在网吧总收入中占有的比例；原因很简单，网吧就如同超市，一般中、小网吧 就如新村小卖部，其客户群定位是附近居住小区，一般顾客也是以"就近原则”上网吧消费的；大网吧则有个关键的区别就是上坐率！光靠附近居住小区是难以为继的，必须象大型超市一样有鲜明的消费热点，给顾客充分"舍近就远”的理由，电脑高折旧率的今天大网吧 仅仅靠价格战很难在竞争中占有利地位。。。。
下面这个是对应300台左右规模网吧的拓扑结构
300台左右规模网吧的拓扑结构:
XP与XP互连
--------------------------------------------------------------------------------
1. 硬件是否连通
我们在计算机的连机之前首先要确认的就是这两台计算机在网络上是否已经连接好了，也就是说硬件部分是否连通。可以通过开始-运行中用ping命令来检测。将两台计算机都最好是各自手动设置IP（比如172.192.0.1 子网掩码 255.255.255.0 而另一个是 172.192.0.2 子网掩码相同）使用命令ping 172.192.0.2（在IP是172.192.0.1 的计算机上使用） 使用ping 172.192.0.1 （IP是172.192.0.2上使用） 看两台电脑是否已经连通。若连通了就可以了，若没那就要检查硬件的问题了，比如网卡是不是好的 有没有插好 网线是不是好的 一般也就这3个情况了。
关于IP的具体设置步骤：
我的电脑-控制面板-网络连接-本地连接右键属性-常规-找到TCP/IP协议-点下面的属性-常规-选择使用下面的IP地址，然后填IP和子网掩码就可以了。
2.在网络邻居看不到对方
请确认自己的工作组是否正确 双方应在相同的工作组里面 具体的操作如下：
点击“我的电脑右键-属性-计算机名”可以看到你的工作组。要修改的话就点“更改”就可以了。
3. 出现字句“您可能没有权限使用网络资源，请与这台服务器的管理员联系以查明您是否有访问权限”
在说明时没有特别指出的话我们都以默认的guest帐户连机
⑴当你在自己的电脑上点机网络邻居的时候出现的，可能的原因有：
① XP本身所自带的网络防火墙没有关闭，请关闭。设置如下：
我的电脑-控制面板-网络连接-本地连接右键属性-高级 就可以看到了，把那个勾去掉，不用管它的提示。
⑵当你在网络邻居的查看工作组计算机里面看到了对方，但点击的时候出现上面字句的原因：
①恭喜你原因是出在对方的计算机上的
②对方没有关掉防火墙（自身的，后来装的都有可能）
③对方没有开启guest帐户
④位于我的电脑-控制面板-管理工具-安全设置-本地安全策略-用户权利指派 中的“拒绝从网络登陆”看看有没，有guest 就删除
⑸对方在注册表里做过一些修改如下：
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlLsa]
"restrictanonymous"=dword:00000001 ;禁止空连接 若改2则匿民用户无法连接你的IPC共享把这个删除就可以了。
4.连机是不是一定要开启guest帐户
答案是否定的，连机不一定非要开启guest帐户。只要你愿意，你甚至可以有管理员帐户登陆，只要更改相关的设置就可以了。设置如下：
我的电脑-控制面板-管理工具-安全设置-本地安全策略-安全选项 中“网络访问：本地帐户的共享和安全模式”（默认是来宾）改为“经典”即可。然后连机点击对方的时候，用户那一栏是可以自己填的，可以用对方电脑上的任何已经开启了的用户进行登陆。不过需要注意的一点是在这个安全选项中还有一项那就是“帐户：使用空白密码的本地帐户只允许进行控制台登陆”也就是说对方电脑上的别的帐户，比如说管理员帐户密码是空的反而不能登陆。这时可以关掉这个项或者让对方给需要登陆的帐户设置个密码。
5.关于guest帐户的一些问题
㈠要使用guest帐户登陆，需要开启guest帐户。
可以用两种方法去开启。方法一.我的电脑-控制面板-管理工具-计算机管理-本地用户和组-用户 找到guest点击右键属性，将帐户已停用前面的勾去掉。方法二.我的电脑-控制面板-用户帐户 中直接开启guest 不过需要指出的是这两种方法在连机上效果是一样的。但对于本机还是有一些区别的，稍后就会讲到。
㈡关于guest的一些认识
首先我们要涉及到3个东西，先在前面说下后面就直接用简写。a.位于计算机管理-本地用户和组-用户中的guest的开启。b.位于控制面板中的用户帐户中的来宾帐户开启机制。 c.位于我的电脑-控制面板-管理工具-安全设置-本地安全策略-用户权利指派 中的“拒绝从网络本地登陆”。请看下图：
a
*******************
*计算机管理-本地用户和组*
*的用户中的guest的开启 *
*******************
b * * c
***************** ********************
*控制面板中的用户帐户 * *本地安全策略用户权利指派*
*中的来宾帐户开启机制 * *中的拒绝从网络本地登陆 *
****************** ********************
说明：关于guest帐户的开启有两个等级 。第一个等级（最高等级）就是a它的管制权利是最高的 ；第二级就是b和c 。现在来说下它们，a就是管理这台计算机到底要不要开启guest 帐户，不管是你自己本地用guest帐户登陆还是网络用guest帐户登陆，要是a说我禁止了，那就都不行。假设a已经打开了，那么你说我要在自己的电脑上用guest登陆，那就需要把b打开了，这样你就可以在本机上用guest帐户登陆了。接着你又要求别人能通过网络用guest帐户来登陆你的电脑，那你就在c里面看看，有guest那就登陆不了了，删除就可以了。
㈢ 关于guest的另外一个问题
d.位于我的电脑-控制面板-管理工具-安全设置-本地安全策略-用户权利指派 中的“拒绝本地登陆”。我发现在d与b是互通的。比如说你在“拒绝本地登陆”中添加了guest那么b中的来宾帐户就会自动关闭。如果你又把来宾帐户打开，那“拒绝本地登陆”中的guest就会自动消失。但是如果你在计算机管理中禁止了guest，那在“拒绝本地登陆”中设置就没用。细心的人应该发现其实还有“本地登陆”这一项，不过经过我实验发现根本没什么用，起不到任何的效果。另外在默认的时候计算机管理中的guest是禁止的，“拒绝本地登陆”和“拒绝从网络登陆”“本地登陆”中都有guest 。
补充：
在实际的网络运用中，安装Windows XP系统的电脑有时会出现不能与Windows 98、Windows 2000的电脑互相访问的问题，即使是开启Guest账号、安装NetBEUI协议、设置共享文件夹，问题也得不到解决。今天，e博士就来说说这个常见的网络故障。
右键点击Windows桌面上的“我的电脑”，选择“属性”，进入“计算机名”选项卡，查看该选项卡中出现的局域网工作组名称，如“MSHOME”，然后点击“网络ID”按钮，进入“网络标识向导”，单击“下一步”，选择“本机是商业网络的一部分，用它连接到其他工作着的计算机”，再单击“下一步”选择“公司使用没有域的网络”，随后输入局域网的工作组名，如“MSHOME”，再次单击“下一步”按钮。最后点击“完成”按钮完成设置。重新启动计算机后，局域网内的计算机就可以互访了。
经过这样的设置后，即使局域网内的计算机设置了不同的工作组，但在“网上邻居”中单击“查看工作组计算机”，在“其它位置”再单击“Microsoft Windows Network”，右面的窗口中就会出现所有工作组的名称，从而实现了对不同工作组的互访。
入侵某公司内网
我是不常聊天的人，但也有时在线。这也就是本次活动的开始了，我认识了阳光女孩，而q软件的功能，让我一下能看看她的IP地址：请朋友们看：
既然知道了地址，我就试试连接了，如下：
回车后：
这说明什么，这是iternet中机器，没设防火墙，且开了139端口，下面我做什么!!让流光上来工作吧：
点击后：
还等什么，输入IP地址吧!!!我们看得到了什么：
这儿打住一下，至于怎么得到dministraor,为了安全起见，我想网管们是应该知道的，就不用我说了，当然如没这方面的漏洞，这也没问题，因为它开了139,就是说，我们能得到用户名，好了，我设想得到了，事实也是有了，我们如何去控制这台机器呢!
最好的当然是远程服务了(3389)，不过它不开我该怎办呢？这个吗，我们就远程开启它好了!你一定要问：如何开!没问题，到了内网时我会讲的!别着急。我现已开启了它的远程服务端口，我用WIN2K客户端连接它 。
点连接后，出现下面的画面：
大家看到了这里要什么？老套!当然是密码了，用刚才得到的输吧：
啊!久违，WIN2000!这才是第一步，当初我不知道下面有这么多的事，我本想通知网管改密码了，但当我打开网络一下你也许会吓一下的：
大家看到了什么，如此大的一个网络!而我们也惊吧，这样大的网络，会是这样的不经一扫吗!!!顺说一句，阳光女孩，你大概不知道你已用了二级代理proxy 吧!也许有朋友要问：快装个sensor 吧，好向内网扫啊!!不要急，我们还圼呢，接下我们继续：
在做什么!我在远程机器上安装流光，源文件如何来啊？？真真菜，在远程机器上上网，到本站FTP来下载啊!!对不对!为了加快速度，我还要一一个superscan,先找出机器分布，不过这一次并不辛运，流光不能启动，这是怎么回事!!可是最新的流光了!找找原因吧，啊，是诺顿把流光杀了，(管理员注意，norton这方面的功能还是不错的!!!只好让它受点委屈了，关了它，先从任务管理器中杀掉进程，再到服务中(如图)：
方法是右健属性，停止这个服务，完成后不要以为就大功告成了，还得重启一下机器，我当时做这一步时，阳光告诉我说：刚才他们的网出了点问题!!而这时网管们不知道在做什么!!他们在网上泡妞吧!!!
这样我的流光就正常工作了!我们首先要知道网内地址,
下面做什么，还是用流光扫吧!
看看我们扫到了什么，这么多的漏洞!!真是不可思议!!!我们试着用WIN2K、或远程登录看看如何!!!
程计算机不可用!!!不会吧，难道在做梦，事实是如此，怎么办，我们先远程开启它的远程服务吧，(如何办!!!，跟我来吧)先开个TFTP，传个ss.txt进去，然后进入远程命令行，输入。。。。算了，有兴趣的朋友到网上找吧，我不能再说了，否 则我也有错了!!
进入远程命令行：
至于输入详细，我只开个头，有兴趣的朋友看WIDOWS帮助，这要注意的是：参数要让主机后台自动安装，装完后不重启动。当然装完后主机要离线一会，当它回来时，我们就可用3389了，说 到这儿，我们却忘记了们还没管理员密码!!!下面我们要得到一个shell,et 用它来建立一个管理员帐号!!
我们成功得到一个shell,下面来建立管理员帐号
我们建立一个管理员帐号：xyz 密码：231，下面我们用win2k登录吧 ！
输入用户、密码，点ok我们进去吧!
这里面还有内网，我们再去看看它的IP地址，我们再扫它一下：
看看我们又能得到什么!!
没经历过你也许不相信这是真的吧，在内 网中也许他们认为很安全，这时我也钦佩他们网管啊，暴露在枪口下，他全然不知。我们继续向内走：
进到这里，我们算是已进入了内网的最内层了，我也就完成了一次完整入侵。下面我们的工作是清理现场，删除所有的程序，所有的新建用户，并补上我已发现的漏洞，最后通知 网管更改密码!!我们可以全身而退!!这里谢谢阳光女孩!!!你是我的工作上助手!
从另方面来讲，如果黑客入侵后，他们会安装上后门，会破坏系统文件，所以我想网络管理员们，一定要把安全放首位，常到微软站点看看，及时打上补丁。
最后我想告诉网络爱好者朋友们，黑客不是一项职业，但安全是长远的任务，我们希望资源永远共享，奢望网络常常安全!!朋友们，黑客不是一项职业，但安全是长远的任务，我们希望资源永远共享，奢望网络常常安全!!
ADSL常见网络故障及排除
--------------------------------------------------------------------------------
ADSL经常掉线
我的ADSL自安装后基本上就没有正常过，不仅上网时经常掉线，而且速度还非常慢，让人不胜其烦。请问，可能是什么原因?应当如何解决?
可能的故障原因有五个:
第一，ADSL Modem或分离器故障。ADSL Modem或分离器的质量有问题，将造成频繁的掉线故障。建议借用一套能正常使用的设备，更换后再进行测试。
第二，ADSL线路故障。住宅距离局方机房较远(通常应当小于3000米)，或线路附近有严重的干扰源，也会导致经常掉线。另外，在接线盒到ADSL Modem之间建议采用双绞线，即使采用平行线，也不应当超过5米。
第三，室内电磁干扰。室内的电磁干扰比较严重(如无绳电话、空调、洗衣机、冰箱)，也可能导致通信故障，建议使ADSL Modem远离上述设备，并不与上述设备共用一条电源线。
第四，网卡缺陷。网卡的质量有缺陷，或者驱动程序与操作系统的版本不匹配，也能导致频繁掉线。
第五，PPPoE问题。这是系统中PPPoE软件安装不合理或软件兼容性不好引起的问题。一般来说，Windows XP建议使用系统本身提供的PPPoE协议和拨号程序。Windows 98/2000则可以安装Modem附送的PPPoE拨号程序。建议先安装系统安全补丁。
除此之外，还应当确认ADSL Modem散热良好。
ADSL间断性地无法获得IP地址
操作系统为Windows XP，以ADSL方式接入Internet。刚安装的时候一切正常，然而，现在经常是每隔1天或几天，拨号的时候就提示:“无法获得IP地址，检查网线是否插好!”重启几次后又一切正常(有时要过很长时间)，怎么解决?
ADSL有两种接入方式，即专线方式和虚拟拨号方式，而绝大多数用户采用的都是后者。虚拟拨号方式不仅便于局方按时计费，而且也便于节约有限的IP地址资源，即只有用户拨入时才会获得一个IP地址，断开连接时又自动释放。然而，IP地址池中的IP数量毕竟有限，当突发的用户数量较多时，IP地址将被分配殆尽，后面的用户再拨入时将无法获取IP地址，直至其他用户下线并释放出IP地址为止，所以，在Internet访问高峰时间，无法获取IP地址的问题将会更加突出。如确属该原因，不必重新启动计算机，只须稍过片刻重新拨号，即可获得IP地址。也就是说，如果过一会儿即可获取地址，故障原因自然就出自局方。
另外，跳线水晶头松动也会导致连接时断时续的情况。因此，如果排除了局方原因，就应当检查以下各项内容:
* 网线是否有问题，尤其是RJ-45头，与网卡的接触是否良好。
* ADSL是否设置为“桥接(bridged)”方式。
* 网卡及驱动程序是否有问题。
* Windows XP操作系统是否有问题。
上网正常但无法打开任何网页
我有一台笔记本电脑，在单位通过局域网可以正常上网，回家后使用ADSL连接Internet就会出现问题。尽管电脑显示宽带连接正常，但却无法打开任何网页，无法实现Internet访问。ADSL Modem的所有LED指示灯显示正常。请问是什么原因?
在单位通过局域网上网时，网卡设置的IP地址信息(IP地址、子网掩码、默认网关、DNS服务器IP地址)是单位局域网指定的。而在家中上网使用ADSL时，需要重新设置该网卡的IP地址信息。通常情况下，与ADSL Modem连接的网卡的IP地址信息应当设置为自动获取IP地址。也就是说，回到家后，应当将网卡的IP地址设置为“自动获得IP地址”，DNS设置为“自动获得DNS服务器地址”。然后，将该网卡连接至ADSL Modem，即可正常连接Internet了。
IE总要检测代理服务器
我的系统是Windows 2000，ADSL上网。前几天把Internet Explorer(简称IE)升到了6.0(原先是5.0)后，出现了一点问题，网还能上，但就是在打开IE的时候总要检测代理服务器设置，还非常慢，在以前没有出现过这种问题，不知什么原因?
安装IE浏览器时，默认状态下，“局域网设置”中的“自动检测设置”复选框是被选中的。当打开IE浏览器时，IE将自动搜索局域网中的代理服务器设置，从而影响了IE访问Internet的速度。
建议在IE浏览器的“工具”菜单中选择“Internet选项”，选择“连接”选项卡，单击“局域网设置”按钮，在“局域网(LAN)设置”对话框中取消对“自动检测设置”复选框的选中。单击“确定”按钮，保存所作的修改。
作者:msc (2005-12-22 12:10) | 阅读数:173 | 最新回复 (0) | 引用 (0) | IT专栏 Windows权限设置详解
--------------------------------------------------------------------------------
随着动网论坛的广泛应用和动网上传漏洞的被发现以及SQL注入式攻击越来越多的被使用，WEBSHELL让防火墙形同虚设，一台即使打了所有微软补丁、只让80端口对外开放的WEB服务器也逃不过被黑的命运。难道我们真的无能为力了吗？其实，只要你弄明白了NTFS系统下的权限设置问题，我们可以对crackers们说：NO!
要打造一台安全的WEB服务器，那么这台服务器就一定要使用NTFS和Windows
NT/2000/2003。众所周知，Windows是一个支持多用户、多任务的操作系统，这是权限设置的基础，一切权限设置都是基于用户和进程而言的，不同的用户在访问这台计算机时，将会有不同的权限。
DOS跟WinNT的权限的分别
DOS是个单任务、单用户的操作系统。但是我们能说DOS没有权限吗？不能！当我们打开一台装有DOS操作系统的计算机的时候，我们就拥有了这个操作系统的管理员权限，而且，这个权限无处不在。所以，我们只能说DOS不支持权限的设置，不能说它没有权限。随着人们安全意识的提高，权限设置随着NTFS的发布诞生了。
Windows
NT里，用户被分成许多组，组和组之间都有不同的权限，当然，一个组的用户和用户之间也可以有不同的权限。下面我们来谈谈NT中常见的用户组。
Administrators,管理员组，默认情况下，Administrators中的用户对计算机/域有不受限制的完全访问权。分配给该组的默认权限允许对整个系统进行完全控制。所以，只有受信任的人员才可成为该组的成员。
Power
Users，高级用户组，Power Users 可以执行除了为 Administrators 组保留的任务外的其他任何操作系统任务。分配给 Power
Users 组的默认权限允许 Power Users 组的成员修改整个计算机的设置。但Power Users 不具有将自己添加到 Administrators
组的权限。在权限设置中，这个组的权限是仅次于Administrators的。
Users:普通用户组，这个组的用户无法进行有意或无意的改动。因此，用户可以运行经过验证的应用程序，但不可以运行大多数旧版应用程序。Users
组是最安全的组，因为分配给该组的默认权限不允许成员修改操作系统的设置或用户资料。Users 组提供了一个最安全的程序运行环境。在经过 NTFS
格式化的卷上，默认安全设置旨在禁止该组的成员危及操作系统和已安装程序的完整性。用户不能修改系统注册表设置、操作系统文件或程序文件。Users
可以关闭工作站，但不能关闭服务器。Users
可以创建本地组，但只能修改自己创建的本地组。
Guests:来宾组，按默认值，来宾跟普通Users的成员有同等访问权，但来宾帐户的限制更多。
Everyone:顾名思义，所有的用户，这个计算机上的所有用户都属于这个组。
其实还有一个组也很常见，它拥有和Administrators一样、甚至比其还高的权限，但是这个组不允许任何用户的加入，在察看用户组的时候，它也不会被显示出来，它就是SYSTEM组。系统和系统级的服务正常运行所需要的权限都是靠它赋予的。由于该组只有这一个用户SYSTEM，也许把该组归为用户的行列更为贴切。
权限的权力大小分析
权限是有高低之分的，有高权限的用户可以对低权限的用户进行操作，但除了Administrators之外，其他组的用户不能访问
NTFS
卷上的其他用户资料，除非他们获得了这些用户的授权。而低权限的用户无法对高权限的用户进行任何操作。
我们平常使用计算机的过程当中不会感觉到有权限在阻挠你去做某件事情，这是因为我们在使用计算机的时候都用的是Administrators中的用户登陆的。这样有利也有弊，利当然是你能去做你想做的任何一件事情而不会遇到权限的限制。弊就是以
Administrators 组成员的身份运行计算机将使系统容易受到特洛伊木马、病毒及其他安全风险的威胁。访问 Internet
站点或打开电子邮件附件的简单行动都可能破坏系统。
不熟悉的 Internet
站点或电子邮件附件可能有特洛伊木马代码，这些代码可以下载到系统并被执行。如果以本地计算机的管理员身份登录，特洛伊木马可能使用管理访问权重新格式化您的硬盘，造成不可估量的损失，所以在没有必要的情况下，最好不用Administrators中的用户登陆。Administrators中有一个在系统安装时就创建的默认用户----Administrator，Administrator
帐户具有对服务器的完全控制权限，并可以根据需要向用户指派用户权利和访问控制权限。
因此强烈建议将此帐户设置为使用强密码。永远也不可以从Administrators
组删除 Administrator 帐户，但可以重命名或禁用该帐户。由于大家都知道“管理员”存在于许多版本的 Windows
上，所以重命名或禁用此帐户将使恶意用户尝试并访问该帐户变得更为困难。对于一个好的服务器管理员来说，他们通常都会重命名或禁用此帐户。Guests用户组下，也有一个默认用户----Guest,但是在默认情况下，它是被禁用的。如果没有特别必要，无须启用此账户。
小帮助：何谓强密码？就是字母与数字、大小互相组合的大于8位的复杂密码，但这也不完全防得住众多的黑客，只是一定程度上较为难破解。
我们可以通过“控制面板”--“管理工具”--“计算机管理”--“用户和用户组”来查看用户组及该组下的用户。
我们用鼠标右键单击一个NTFS卷或NTFS卷下的一个目录，选择“属性”--“安全”就可以对一个卷，或者一个卷下面的目录进行权限设置，此时我们会看到以下七种权限：完全控制、修改、读取和运行、列出文件夹目录、读取、写入、和特别的权限。“完全控制”就是对此卷或目录拥有不受限制的完全访问。地位就像Administrators在所有组中的地位一样。选中了“完全控制”，下面的五项属性将被自动被选中。
“修改”则像Power
users，选中了“修改”，下面的四项属性将被自动被选中。下面的任何一项没有被选中时，“修改”条件将不再成立。“读取和运行”就是允许读取和运行在这个卷或目录下的任何文件，“列出文件夹目录”和“读取”是“读取和运行”的必要条件。
“列出文件夹目录”是指只能浏览该卷或目录下的子目录，不能读取，也不能运行。“读取”是能够读取该卷或目录下的数据。“写入”就是能往该卷或目录下写入数据。而“特别”则是对以上的六种权限进行了细分。读者可以自行对“特别”进行更深的研究，鄙人在此就不过多赘述了。
一台简单服务器的设置实例操作：
下面我们对一台刚刚安装好操作系统和服务软件的WEB服务器系统和其权限进行全面的刨析。服务器采用Windows
2000 Server版，安装好了SP4及各种补丁。WEB服务软件则是用了Windows 2000自带的IIS
5.0，删除了一切不必要的映射。整个硬盘分为四个NTFS卷，C盘为系统卷，只安装了系统和驱动程序；D盘为软件卷，该服务器上所有安装的软件都在D盘中；E盘是WEB程序卷，网站程序都在该卷下的WWW目录中；F盘是网站数据卷，网站系统调用的所有数据都存放在该卷的WWWDATABASE目录下。
这样的分类还算是比较符合一台安全服务器的标准了。希望各个新手管理员能合理给你的服务器数据进行分类，这样不光是查找起来方便，更重要的是这样大大的增强了服务器的安全性，因为我们可以根据需要给每个卷或者每个目录都设置不同的权限，一旦发生了网络安全事故，也可以把损失降到最低。
当然，也可以把网站的数据分布在不同的服务器上，使之成为一个服务器群，每个服务器都拥有不同的用户名和密码并提供不同的服务，这样做的安全性更高。不过愿意这样做的人都有一个特点----有钱:)。
好了，言归正传，该服务器的数据库为MS-SQL，MS-SQL的服务软件SQL2000安装在d:ms-sqlserver2K目录下，给SA账户设置好了足够强度的密码，安装好了SP3补丁。为了方便网页制作员对网页进行管理，该网站还开通了FTP服务，FTP服务软件使用的是SERV-U
5.1.0.0，安装在d:ftpserviceserv-u目录下。杀毒软件和防火墙用的分别是Norton
Antivirus和BlackICE,路径分别为d:nortonAV和d:firewallblackice,病毒库已经升级到最新，防火墙规则库定义只有80端口和21端口对外开放。网站的内容是采用动网7.0的论坛,网站程序在e:wwwbbs下。
细心的读者可能已经注意到了，安装这些服务软件的路径我都没有采用默认的路径或者是仅仅更改盘符的默认路径，这也是安全上的需要，因为一个黑客如果通过某些途径进入了你的服务器，但并没有获得管理员权限，他首先做的事情将是查看你开放了哪些服务以及安装了哪些软件，因为他需要通过这些来提升他的权限。
一个难以猜解的路径加上好的权限设置将把他阻挡在外。相信经过这样配置的WEB服务器已经足够抵挡大部分学艺不精的黑客了。读者可能又会问了：“这根本没用到权限设置嘛！我把其他都安全工作都做好了，权限设置还有必要吗？”当然有！智者千虑还必有一失呢，就算你现在已经把系统安全做的完美无缺，你也要知道新的安全漏洞总是在被不断的发现。
实例攻击
权限将是你的最后一道防线！那我们现在就来对这台没有经过任何权限设置，全部采用Windows默认权限的服务器进行一次模拟攻击，看看其是否真的固若金汤。
假设服务器外网域名为
http://www.webserver.com，用扫描软件对其进行扫描后发现开放WWW和FTP服务，并发现其服务软件使用的是IIS
5.0和Serv-u
5.1，用一些针对他们的溢出工具后发现无效，遂放弃直接远程溢出的想法。
打开网站页面，发现使用的是动网的论坛系统，于是在其域名后面加个/upfile.asp，发现有文件上传漏洞，便抓包，把修改过的ASP木马用NC提交，提示上传成功，成功得到WEBSHELL，打开刚刚上传的ASP木马，发现有MS-SQL、Norton
Antivirus和BlackICE在运行，判断是防火墙上做了限制，把SQL服务端口屏蔽了。
通过ASP木马查看到了Norton
Antivirus和BlackICE的PID，又通过ASP木马上传了一个能杀掉进程的文件，运行后杀掉了Norton
Antivirus和BlackICE。再扫描，发现1433端口开放了，到此，便有很多种途径获得管理员权限了，可以查看网站目录下的conn.asp得到SQL的用户名密码，再登陆进SQL执行添加用户，提管理员权限。也可以抓SERV-U下的ServUDaemon.ini修改后上传，得到系统管理员权限。
还可以传本地溢出SERV-U的工具直接添加用户到Administrators等等。大家可以看到，一旦黑客找到了切入点，在没有权限限制的情况下，黑客将一帆风顺的取得管理员权限。
那我们现在就来看看Windows
2000的默认权限设置到底是怎样的。对于各个卷的根目录，默认给了Everyone组完全控制权。这意味着任何进入电脑的用户将不受限制的在这些根目录中为所欲为。
系统卷下有三个目录比较特殊，系统默认给了他们有限制的权限，这三个目录是Documents
and settings、Program files和Winnt。对于Documents and
settings，默认的权限是这样分配的：Administrators拥有完全控制权；Everyone拥有读&运，列和读权限；Power
users拥有读&运，列和读权限；SYSTEM同Administrators;Users拥有读&运，列和读权限。对于Program
files，Administrators拥有完全控制权；Creator owner拥有特殊权限;Power
users有完全控制权;SYSTEM同Administrators;Terminal server
users拥有完全控制权，Users有读&运，列和读权限。
对于Winnt，Administrators拥有完全控制权；Creator
owner拥有特殊权限;Power
users有完全控制权;SYSTEM同Administrators;Users有读&运，列和读权限。而非系统卷下的所有目录都将继承其父目录的权限，也就是Everyone组完全控制权！
现在大家知道为什么我们刚刚在测试的时候能一帆风顺的取得管理员权限了吧？权限设置的太低了！一个人在访问网站的时候，将被自动赋予IUSR用户，它是隶属于Guest组的。本来权限不高，但是系统默认给的Everyone组完全控制权却让它“身价倍增”，到最后能得到Administrators了。
那么，怎样设置权限给这台WEB服务器才算是安全的呢？大家要牢记一句话：“最少的服务+最小的权限=最大的安全”对于服务，不必要的话一定不要装，要知道服务的运行是SYSTEM级的哦，对于权限，本着够用就好的原则分配就是了。
对于WEB服务器，就拿刚刚那台服务器来说，我是这样设置权限的，大家可以参考一下：各个卷的根目录、Documents
and settings以及Program files，只给Administrator完全控制权，或者干脆直接把Program
files给删除掉；给系统卷的根目录多加一个Everyone的读、写权；给e:www目录，也就是网站目录读、写权。
最后，还要把cmd.exe这个文件给挖出来，只给Administrator完全控制权。经过这样的设置后，再想通过我刚刚的方法入侵这台服务器就是不可能完成的任务了。可能这时候又有读者会问：“为什么要给系统卷的根目录一个Everyone的读、写权？网站中的ASP文件运行不需要运行权限吗？”问的好，有深度。是这样的，系统卷如果不给Everyone的读、写权的话，启动计算机的时候，计算机会报错，而且会提示虚拟内存不足。
当然这也有个前提----虚拟内存是分配在系统盘的，如果把虚拟内存分配在其他卷上，那你就要给那个卷Everyone的读、写权。ASP文件的运行方式是在服务器上执行，只把执行的结果传回最终用户的浏览器，这没错，但ASP文件不是系统意义上的可执行文件，它是由WEB服务的提供者----IIS来解释执行的，所以它的执行并不需要运行的权限。
深入了解权限背后的意义
经过上面的讲解以后，你一定对权限有了一个初步了了解了吧？想更深入的了解权限，那么权限的一些特性你就不能不知道了，权限是具有继承性、累加性
、优先性、交叉性的。
继承性是说下级的目录在没有经过重新设置之前，是拥有上一级目录权限设置的。这里还有一种情况要说明一下，在分区内复制目录或文件的时候，复制过去的目录和文件将拥有它现在所处位置的上一级目录权限设置。但在分区内移动目录或文件的时候，移动过去的目录和文件将拥有它原先的权限设置。
累加是说如一个组GROUP1中有两个用户USER1、USER2，他们同时对某文件或目录的访问权限分别为“读取”和“写入”，那么组GROUP1对该文件或目录的访问权限就为USER1和USER2的访问权限之和，实际上是取其最大的那个，即“读取”+“写入”=“写入”。
又如一个用户USER1同属于组GROUP1和GROUP2，而GROUP1对某一文件或目录的访问权限为“只读”型的，而GROUP2对这一文件或文件夹的访问权限为“完全控制”型的，则用户USER1对该文件或文件夹的访问权限为两个组权限累加所得，即：“只读”+“完全控制”=“完全控制”。
优先性，权限的这一特性又包含两种子特性，其一是文件的访问权限优先目录的权限，也就是说文件权限可以越过目录的权限，不顾上一级文件夹的设置。另一特性就是“拒绝”权限优先其它权限，也就是说“拒绝”权限可以越过其它所有其它权限，一旦选择了“拒绝”权限，则其它权限也就不能取任何作用，相当于没有设置。
交叉性是指当同一文件夹在为某一用户设置了共享权限的同时又为用户设置了该文件夹的访问权限，且所设权限不一致时，它的取舍原则是取两个权限的交集，也即最严格、最小的那种权限。如目录A为用户USER1设置的共享权限为“只读”，同时目录A为用户USER1设置的访问权限为“完全控制”，那用户USER1的最终访问权限为“只读”。
权限设置的问题我就说到这了，在最后我还想给各位读者提醒一下，权限的设置必须在NTFS分区中才能实现的，FAT32是不支持权限设置的。同时还想给各位管理员们一些建议：
1.养成良好的习惯，给服务器硬盘分区的时候分类明确些，在不使用服务器的时候将服务器锁定，经常更新各种补丁和升级杀毒软件。
2.设置足够强度的密码，这是老生常谈了，但总有管理员设置弱密码甚至空密码。
3.尽量不要把各种软件安装在默认的路径下
4.在英文水平不是问题的情况下，尽量安装英文版操作系统。
5.切忌在服务器上乱装软件或不必要的服务。
6.牢记：没有永远安全的系统，经常更新你的知识。
作者:msc (2005-12-22 12:09) | 阅读数:144 | 最新回复 (0) | 引用 (0) | IT专栏 路由
--------------------------------------------------------------------------------
集线器(HUB)
集线器(HUB)是局域网LAN中重要的部件之一，它是网络连线的连接点。其基本的工作原理是使用广播技术，也就是HUB从任一个端口收到一个信息包后，它都将此信息包广播发送到其它的所有端口，而HUB并不记忆该信息包是由哪一个MAC地址挂在哪一个端口。接在HUB端口上的网卡NIC根据该信息包所要求执行的功能执行相应动作，这是由网络层之上控制的。上面所说的广播技术是指HUB将该信息包发以广播发送的形式发送到其它所有端口，并不是将该包改变为广播数据包。 <BR>集线器的工作原理很类似于现实中投递员的工作，投递员只是根据信封上的地址传递信件，并不理会信的内容以及收信人是否回信，也不管是否收信人由于某种原因而没有回信，而导致发信人着急。唯一不同的就是投递员在找不到该地址时会将信退回，而 HUB不管退信，仅仅负责转发而已。
路由器
路由器是在OSI七层网络模型中的第三层--网络层操作的。它的工作原理是，在网络中收到任何一个数据包(包括广播包在内)，都将该数据包第二层(数据链路层)的信息去掉(称为"拆包")，并查看第三层信息（IP地址）。然后，再根据路由表来确定数据包的路由，然后检查安全访问表；如果能够通过，则进行第二层信息的封装(又称为"打包")，最后才将该数据包转发。此时，如果在路由表中不能查到对应MAC地址的网络地址，则路由器将向源地址的站点返回一个信息，然后将这个数据包丢弃。 如果从路由器的工作原理来看，路由器的作用与交换机、网桥非常相似。但是与工作在网络物理层，从物理上划分网段的交换机不同，路由器则是使用专门的软件协议从逻辑上对整个网络进行划分。例如，一台支持IP协议的路由器可以把网络划分成多个子网段，只有指向特殊IP地址的网络流量才被允许通过路由器。路由器对每一个接收到的数据包，都会重新计算其校验值，最后写入新的物理地址。因此，在网络中使用路由器来转发和过滤数据的速度往往要比只查看数据包物理地址的交换机慢一些。但是，对于那些网络结构较复杂的网络，采用路由器来连接网络却可以提高网络的整体效率。路由器的另外一个明显的优势就是可以自动过滤网络广播，但是从总体上说，在网络中添加路由器的安装过程要比即插即用的交换机复杂许多。
交换机
交换机能够检查每一个收到的数据包，并且对该数据包进行相应的动作处理。在交换机内保存着每一个网段上所有节点的物理地址，它只允许必要的网络流量通过交换机。例如，当交换机接收到一个数据包之后，它需要根据自身以保存的网络地址表来检验数据包内所包含的发送方地址和接收方地址。如果接收方地址位于发送方地址网段，那么该数据包将会被交换机丢弃，不会通过交换机传送到其它的网段；如果接收方地址与发送方地址是属于两个不同的网段内，那么该数据包就会被交换机转发到目标网段。这样，我们就可以通过交换机的过滤和转发功能，来避免网络广播风暴，减少误包和错包的出现。
在实际网络构件的过程中，是选择使用交换机还是选择其它的网络部件，主要还是要根据不同部件在网络中的不同作用来决定。在网络中交换机主要具有两方面的重要作用。第一，交换机可以将原有的网络划分成多个子网络，能够做到扩展网络有效传输距离，并支持更多的网络节点。第二，使用交换机来划分网络还可以有效隔离网络流量，减少网络中的冲突，缓解网络拥挤情况。但是，在使用交换机进行处理数据包的时候，不可避免的会带来处理延迟时间，所以如果在不必要的情况下盲目使用交换机就可能会在实际上降低整个网络的性能。
第三层交换技术
第三层交换技术（也被称做多层交换技术，或是IP交换技术）是相对于传统交换概念而提出的。众所周知，传统的交换技术是在OSI网络标准模型中的第二层--数据链路层进行操作的，而多层交换技术是在网络模型中的第三层实现了数据包的高速转发。简单地说，多层交换技术就是：第二层交换技术＋第三层转发技术，或者说是将传统路由器的数据包处理功能和交换机的速度优势结合在一起。 要了解第三层交换技术的原理并不困难，我们可以假设某主机A与B以前曾通过交换机进行通信，如果该交换机可以支持第三层交换的话，那么它便会将A和B的IP地址及它们的MAC地址记录下来，当其它主机C想要与A主机或B主机进行通信时，在交换机接收到C所发出的寻址封包后，会不假思索的送回给C一个回覆信息包，并告诉它主机A或主机B的MAC地址，那么以后主机C就会使用主机A或B的MAC地址"直接"通信。
因为通信双方并没有通过路由器进行"拆包"和"打包"的过程，所以那怕主机A、B或C分属于不同的子网，它们之间也可直接知道对方的MAC地址来进行通信，最重要的是，第三层交换机并没有像其它交换机一样把广播封包扩散，第三层交换机之所以叫三层交换机就是因为它可以看懂三层信息，比如IP地址、ARP等。所以，三层交换机便能洞悉某一广播封包目的何在，在没有把它扩散出去的情形下，同时满足了发出该广播封包的人的需求，(不论它们在任何子网里)。因为第三层交换机没做任何"拆打"数据包的工作，所有经过它的数据包都不会被修改并以交换的速度传到目的地。所以，应用第三层交换技术即可实现网络路由的功能，又可以根据不同的网络状况做到最优的网络性能。我们可以相信，随着网络技术的不断发展，第三层交换机有望在大规模网络中取代现有路由器的位置。
路由器(Router)
是一种用于连接多个网络或网段的网络设备。这些网络可以是几个使用不同协议和体系结构的网络(比如互联网与局域网)，可以是几个不同网段的网络(比如大型互联网中不同部门的网络)，当数据信息从一个部门网络传输到另外一个部门网络时，可以用路由器完成。现在，家庭局域网也越来越多地采用路由器宽带共享的方式上网。 <BR> 路由器在连接不同网络或网段时，可以对这些网络之间的数据信息进行“翻译”，然后“翻译”成双方都能“读”懂的数据，这样就可以实现不同网络或网段间的互联互通(见图)。同时，它还具有判断网络地址和选择路径的功能以及过滤和分隔网络信息流的功能。目前，路由器已成为各种骨干网络内部之间、骨干网之间以及骨干网和互联网之间连接的枢纽。
NAT:全称Network Address Translation(网络地址转换)，路由器通过NAT功能可以将局域网内部的IP地址转换为合法的IP地址并进行Internet的访问。比如，局域网内部有个IP地址为192.168.0.1的计算机，当然通过该IP地址可以和内网其他的计算机通信;但是如果该计算机要访问外部Internet网络，那么就需要通过NAT功能将192.168.0.1转换为合法的广域网IP地址，比如210.113.25.100。
DHCP:全称Dynamic Host Configuration Protocol(动态主机配置协议)，通过DHCP功能，路由器可以为网络内的主机动态指定IP地址，而不需要每个用户去设置静态IP地址，并将TCP/IP配置参数分发给局域网内合法的网络客户端。
DDNS:全称Dynamic Domain Name Server(动态域名解析系统)，通常称为“动态DNS”，因为对于普通的宽带上网使用的都是ISP(网络服务商)提供的动态IP地址。如果在局域网内建立了某个服务器需要Internet用户进行访问，那么，可以通过路由器的DDNS功能将动态IP地址解析为一个固定的域名，比如
www.cpcw.com，这样Internet用户就可以通过该固定域名对内网服务器进行访问。
PPPoE:全称PPP over Ethernet(以太网上的点对点协议)，通过PPPoE技术，可以让宽带调制解调器(比如ADSL Modem)用户获得宽带网的个人身份验证访问，能为每个用户创建虚拟拨号连接，这样就可以高速连接到Internet。路由器具备该功能，可以实现PPPoE的自动拨号连接，这样与路由器连接的用户可以自动连接到Internet。</P>
ICMP:全称Internet Control Message Protocol(Internet控制消息协议)，该协议是TCP/IP协议集中的一个子协议，主要用于在主机与路由器之间传递控制信息，包括报告错误、交换受限控制和状态信息等。
是什么把网络相互连接起来？是路由器。路由器是互联网络的枢纽、"交通警察"。目前路由器已经广泛应用于各行各业，各种不同档次的产品已经成为实现各种骨干网内部连接、骨干网间互联和骨干网与互联网互联互通业务的主力军。
所谓路由就是指通过相互连接的网络把信息从源地点移动到目标地点的活动。一般来说，在路由过程中，信息至少会经过一个或多个中间节点。通常，人们会把路由和交换进行对比，这主要是因为在普通用户看来两者所实现的功能是完全一样的。其实，路由和交换之间的主要区别就是交换发生在OSI参考模型的第二层（数据链路层），而路由发生在第三层，即网络层。这一区别决定了路由和交换在移动信息的过程中需要使用不同的控制信息，所以两者实现各自功能的方式是不同的。
早在40多年之间就已经出现了对路由技术的讨论，但是直到80年代路由技术才逐渐进入商业化的应用。路由技术之所以在问世之初没有被广泛使用主要是因为80年代之前的网络结构都非常简单，路由技术没有用武之地。直到最近十几年，大规模的互联网络才逐渐流行起来，为路由技术的发展提供了良好的基础和平台。
路由器是互联网的主要节点设备。路由器通过路由决定数据的转发。转发策略称为路由选择（routing），这也是路由器名称的由来（router，转发者）。作为不同网络之间互相连接的枢纽，路由器系统构成了基于 TCP/IP 的国际互连网络 Internet 的主体脉络，也可以说，路由器构成了 Internet 的骨架。它的处理速度是网络通信的主要瓶颈之一，它的可*性则直接影响着网络互连的质量。因此，在园区网、地区网、乃至整个 Internet 研究领域中，路由器技术始终处于核心地位，其发展历程和方向，成为整个 Internet 研究的一个缩影。在当前我国网络基础建设和信息建设方兴未艾之际，探讨路由器在互连网络中的作用、地位及其发展方向，对于国内的网络技术研究、网络建设，以及明确网络市场上对于路由器和网络互连的各种似是而非的概念，都具有重要的意义。
路由器的作用
--------------------------------------------------------------------------------
路由器的一个作用是连通不同的网络，另一个作用是选择信息传送的线路。选择通畅快捷的近路，能大大提高通信速度，减轻网络系统通信负荷，节约网络系统资源，提高网络系统畅通率，从而让网络系统发挥出更大的效益来。
从过滤网络流量的角度来看，路由器的作用与交换机和网桥非常相似。但是与工作在网络物理层，从物理上划分网段的交换机不同，路由器使用专门的软件协议从逻辑上对整个网络进行划分。例如，一台支持IP协议的路由器可以把网络划分成多个子网段，只有指向特殊IP地址的网络流量才可以通过路由器。对于每一个接收到的数据包，路由器都会重新计算其校验值，并写入新的物理地址。因此，使用路由器转发和过滤数据的速度往往要比只查看数据包物理地址的交换机慢。但是，对于那些结构复杂的网络，使用路由器可以提高网络的整体效率。路由器的另外一个明显优势就是可以自动过滤网络广播。从总体上说，在网络中添加路由器的整个安装过程要比即插即用的交换机复杂很多。
一般说来，异种网络互联与多个子网互联都应采用路由器来完成。
路由器的主要工作就是为经过路由器的每个数据帧寻找一条最佳传输路径，并将该数据有效地传送到目的站点。由此可见，选择最佳路径的策略即路由算法是路由器的关键所在。为了完成；这项工作，在路由器中保存着各种传输路径的相关数据——路径表（Routing Table），供路由选择；时使用。路径表中保存着子网的标志信息、网上路由器的个数和下一个路由器的名字等内容。路径表可以是由系统管理员固定设置好的，也可以由系统动态修改，可以由路由器自动调整，也可以由主机控制。
1．静态路径表
由系统管理员事先设置好固定的路径表称之为静态（static）路径表，一般是在系统安装时就根据网络的配置情况预先设定的，它不会随未来网络结构的改变而改变。
2．动态路径表
动态（Dynamic）路径表是路由器根据网络系统的运行情况而自动调整的路径表。路由器根据路由选择协议（Routing Protocol）提供的功能，自动学习和记忆网络运行情况，在需要时自动计算数据传输的最佳路径。
路由器的类型
--------------------------------------------------------------------------------
互联网各种级别的网络中随处都可见到路由器。接入网络使得家庭和小型企业可以连接到某个互联网服务提供商；企业网中的路由器连接一个校园或企业内成千上万的计算机；骨干网上的路由器终端系统通常是不能直接访问的，它们连接长距离骨干网上的ISP和企业网络。互联网的快速发展无论是对骨干网、企业网还是接入网都带来了不同的挑战。骨干网要求路由器能对少数链路进行高速路由转发。企业级路由器不但要求端口数目多、价格低廉，而且要求配置起来简单方便，并提供QoS。
1．接入路由器
接入路由器连接家庭或ISP内的小型企业客户。接入路由器已经开始不只是提供SLIP或PPP连接，还支持诸如PPTP和IPSec等虚拟私有网络协议。这些协议要能在每个端口上运行。诸如ADSL等技术将很快提高各家庭的可用带宽，这将进一步增加接入路由器的负担。由于这些趋势，接入路由器将来会支持许多异构和高速端口，并在各个端口能够运行多种协议，同时还要避开电话交换网。
2．企业级路由器
企业或校园级路由器连接许多终端系统，其主要目标是以尽量便宜的方法实现尽可能多的端点互连，并且进一步要求支持不同的服务质量。许多现有的企业网络都是由Hub或网桥连接起来的以太网段。尽管这些设备价格便宜、易于安装、无需配置，但是它们不支持服务等级。相反，有路由器参与的网络能够将机器分成多个碰撞域，并因此能够控制一个网络的大小。此外，路由器还支持一定的服务等级，至少允许分成多个优先级别。但是路由器的每端口造价要贵些，并且在能够使用之前要进行大量的配置工作。因此，企业路由器的成败就在于是否提供大量端口且每端口的造价很低，是否容易配置，是否支持QoS。另外还要求企业级路由器有效地支持广播和组播。企业网络还要处理历史遗留的各种LAN技术，支持多种协议，包括IP、IPX和Vine。它们还要支持防火墙、包过滤以及大量的管理和安全策略以及VLAN。
3．骨干级路由器
骨干级路由器实现企业级网络的互联。对它的要求是速度和可*性，而代价则处于次要地位。硬件可*性可以采用电话交换网中使用的技术，如热备份、双电源、双数据通路等来获得。这些技术对所有骨干路由器而言差不多是标准的。骨干IP路由器的主要性能瓶颈是在转发表中查找某个路由所耗的时间。当收到一个包时，输入端口在转发表中查找该包的目的地址以确定其目的端口，当包越短或者当包要发往许多目的端口时，势必增加路由查找的代价。因此，将一些常访问的目的端口放到缓存中能够提高路由查找的效率。不管是输入缓冲还是输出缓冲路由器，都存在路由查找的瓶颈问题。除了性能瓶颈问题，路由器的稳定性也是一个常被忽视的问题。
4．太比特路由器
在未来核心互联网使用的三种主要技术中，光纤和DWDM都已经是很成熟的并且是现成的。如果没有与现有的光纤技术和DWDM技术提供的原始带宽对应的路由器，新的网络基础设施将无法从根本上得到性能的改善，因此开发高性能的骨干交换/路由器（太比特路由器）已经成为一项迫切的要求。太比特路由器技术现在还主要处于开发实验阶段。
路由器的结构
--------------------------------------------------------------------------------
路由器的体系结构
从体系结构上看，路由器可以分为第一代单总线单CPU结构路由器、第二代单总线主从CPU结构路由器、第三代单总线对称式多CPU结构路由器；第四代多总线多CPU结构路由器、第五代共享内存式结构路由器、第六代交*开关体系结构路由器和基于机群系统的路由器等多类。
路由器的构成
路由器具有四个要素：输入端口、输出端口、交换开关和路由处理器。
输入端口是物理链路和输入包的进口处。端口通常由线卡提供，一块线卡一般支持4、8或16个端口，一个输入端口具有许多功能。第一个功能是进行数据链路层的封装和解封装。第二个功能是在转发表中查找输入包目的地址从而决定目的端口（称为路由查找），路由查找可以使用一般的硬件来实现，或者通过在每块线卡上嵌入一个微处理器来完成。第三，为了提供QoS（服务质量），端口要对收到的包分成几个预定义的服务级别。第四，端口可能需要运行诸如SLIP（串行线网际协议）和PPP（点对点协议）这样的数据链路级协议或者诸如PPTP（点对点隧道协议）这样的网络级协议。一旦路由查找完成，必须用交换开关将包送到其输出端口。如果路由器是输入端加队列的，则有几个输入端共享同一个交换开关。这样输入端口的最后一项功能是参加对公共资源（如交换开关）的仲裁协议。
交换开关可以使用多种不同的技术来实现。迄今为止使用最多的交换开关技术是总线、交*开关和共享存贮器。最简单的开关使用一条总线来连接所有输入和输出端口，总线开关的缺点是其交换容量受限于总线的容量以及为共享总线仲裁所带来的额外开销。交*开关通过开关提供多条数据通路，具有N×N个交*点的交*开关可以被认为具有2N条总线。如果一个交*是闭合，输入总线上的数据在输出总线上可用，否则不可用。交*点的闭合与打开由调度器来控制，因此，调度器限制了交换开关的速度。在共享存贮器路由器中，进来的包被存贮在共享存贮器中，所交换的仅是包的指针，这提高了交换容量，但是，开关的速度受限于存贮器的存取速度。尽管存贮器容量每18个月能够翻一番，但存贮器的存取时间每年仅降低5%，这是共享存贮器交换开关的一个固有限制。
输出端口在包被发送到输出链路之前对包存贮，可以实现复杂的调度算法以支持优先级等要求。与输入端口一样，输出端口同样要能支持数据链路层的封装和解封装，以及许多较高级协议。
路由处理器计算转发表实现路由协议，并运行对路由器进行配置和管理的软件。同时，它还处理那些目的地址不在线卡转发表中的包。
路由器的基本协议与技术
--------------------------------------------------------------------------------
VPN
VPN（Virtual Private Network-虚拟专用网）解决方案是路由器具有的重要功能之一。其解决方案大致如下：
1．访问控制
一般分为PAP（口令认证协议）和CHAP（高级口令认证协议）两种协议。PAP要求登录者向目标路由器提供用户名和口令，与其访问列表（Access List）中的信息相符才允许其登录。它虽然提供了一定的安全保障，但用户登录信息在网上无加密传递，易被人窃取。CHAP便应运而生，它把一随机初始值与用户原始登录信息（用户名和口令）经Hash算法翻译后形成新的登录信息。这样在网上传递的用户登录信息对黑客来说是不透明的，且由于随机初始值每次不同，用户每次的最终登录信息也会不同，即使某一次用户登录信息被窃取，黑客也不能重复使用。需要注意的是，由于各厂商采取各自不同的Hash算法，所以CHAP无互操作性可言。要建立VPN需要VPN两端放置相同品牌路由器。
2．数据加密
在加密过程中加密位数是一个很重要的参数，它直接关系到解密的难易程度，其中Intel 9000系列路由器表现最为优异，为一百多位加密。
3．NAT（Network Address Translation-网络地址转换协议）
如同用户登录信息一样，IP和MAC地址在网上无加密传递也很不安全。NAT可把合法IP地址和MAC地址翻译成非法IP地址和MAC地址在网上传递，到达目标路由器后反翻译成合法IP与MAC地址，这一过程有点像CHAP，翻译算法厂商各自有不同标准，不能实现互操作。
QoS
QoS（Quality of Service-服务质量）本来是ATM（Asynchronous Transmit Mode）中的专用术语，在IP上原来是不谈QoS的，但利用IP传VOD等多媒体信息的应用越来越多，IP作为一个打包的协议显得有点力不从心：延迟长且不为定值，丢包造成信号不连续且失真大。为解决这些问题，厂商提供了若干解决方案：第一种方案是基于不同对象的优先级，某些设备（多为多媒体应用）发送的数据包可以后到先传。第二种方案基于协议的优先级，用户可定义哪种协议优先级高，可后到先传，Intel和Cisco都支持。第三种方案是做链路整合MLPPP（Multi Link Point to Point Protocol），Cisco支持可通过将连接两点的多条线路做带宽汇聚，从而提高带宽。第四种方案是做资源预留RSVP（Resource Reservation Protocol），它将一部分带宽固定的分给多媒体信号，其它协议无论如何拥挤，也不得占用这部分带宽。这几种解决方案都能有效的提高传输质量。
RIP、OSPF和BGP协议
互联网上现在大量运行的路由协议有RIP（Routing Information Protocol-路由信息协议）、OSPF（Open Shortest Path First--开放式最短路优先）和BGP（Border Gateway Protocol—边界网关协议）。RIP、OSPF是内部网关协议，适用于单个ISP的统一路由协议的运行，由一个ISP运营的网络称为一个自治系统。BGP是自治系统间的路由协议，是一种外部网关协议。
RIP是推出时间最长的路由协议，也是最简单的路由协议。它主要传递路由信息（路由表）来广播路由。每隔30秒，广播一次路由表，维护相邻路由器的关系，同时根据收到的路由表计算自己的路由表。RIP运行简单，适用于小型网络，互联网上还在部分使用着RIP。
OSPF协议是“开放式最短路优先”的缩写。“开放”是针对当时某些厂家的“私有”路由协议而言，而正是因为协议开放性，才使得OSPF具有强大的生命力和广泛的用途。它通过传递链路状态（连接信息）来得到网络信息，维护一张网络有向拓扑图，利用最小生成树算法得到路由表。OSPF是一种相对复杂的路由协议。
总的来说，OSPF、RIP都是自治系统内部的路由协议，适合于单一的ISP（自治系统）使用。一般说来，整个互联网并不适合跑单一的路由协议，因为各ISP有自己的利益，不愿意提供自身网络详细的路由信息。为了保证各ISP利益，标准化组织制定了ISP间的路由协议BGP。
BGP处理各ISP之间的路由传递。其特点是有丰富的路由策略，这是RIP、OSPF等协议无法做到的，因为它们需要全局的信息计算路由表。BGP通过ISP边界的路由器加上一定的策略，选择过滤路由，把RIP、OSPF、BGP等的路由发送到对方。全局范围的、广泛的互联网是BGP处理多个ISP间的路由的实例。BGP的出现，引起了互联网的重大变革，它把多个ISP有机的连接起来，真正成为全球范围内的网络。带来的副作用是互联网的路由爆炸，现在互联网的路由大概是60000条，这还是经过“聚合”后的数字。 配置BGP需要对用户需求、网络现状和BGP协议非常了解，还需要非常小心，BGP运行在相对核心的地位，一旦出错，其造成的损失可能会很大！ IPv6技术
迅速发展中的互联网将不再是仅仅连接计算机的网络，它将发展成能同电话网、有线电视网类似的信息通信基础设施。因此，正在使用的IP（互联网协议）已经难以胜任，人们迫切希望下一代 IP即IPv6的出现。
IPv6是IP的一种版本，在互联网通信协议TCP/IP中，是OSI模型第3层(网络层)的传输协议。它同目前广泛使用的、1974年便提出的IPv4相比，地址由32位扩充到128位。从理论上说，地址的数量由原先的4.3×109个增加到4.3×1038个。之所以必须从现行的IPv4改用IPv6，主要有二个原因。
1．由于互联网迅速发展，地址数量已经不够用，这使得网络管理花费的精力和费用令人难以承受。地址的枯竭是促使向拥有128位地址空间过渡的首要原因。
2．随着主机数目的增加，决定数据传输路由的路由表在不断加大。路由器的处理性能跟不上这种迅速增长。长此以往，互联网连接将难以提供稳定的服务。经由IPv6，路由数可以减少一个数量级。
为了使互联网连接许多东西变得简单，而且使用容易，必须采用IPv6。IPv6所以能做到这一点，是因为它使用了四种技术:地址空间的扩充、可使路由表减小的地址构造、自动设定地址以及提高安全保密性。
IPv6在路由技术上继承了IPv4的有利方面，代表未来路由技术的发展方向，许多路由器厂商目前已经投入很大力量以生产支持IPv6的路由器。当然IPv6也有一些值得注意和效率不高的地方，IPv4/NAT和IPv6将会共存相当长的一段时间。
路由器的配置与调试
--------------------------------------------------------------------------------
路由器在计算机网络中有着举足轻重的地位，是计算机网络的桥梁。通过它不仅可以连通不同的网络，还能选择数据传送的路径，并能阻隔非法的访问。
路由器的配置对初学者来说，并不是件十分容易的事。现将路由器的一般配置和简单调试介绍给大家，供朋友们在配置路由器时参考，本文以Cisco2501为例。
Cisco2501有一个以太网口（AUI）、一个Console口（RJ45）、一个AUX口（RJ45）和两个同步串口，支持DTE和DCE设备，支持 EIA/TIA-232、 EIA/TIA-449、 V.35 、X.25和EIA-530接口。
一．配置
1．配置以太网端口
# conf t（从终端配置路由器）
# int e0（指定E0口）
# ip addr ABCD XXXX（ABCD 为以太网地址，XXXX为子网掩码）
# ip addr ABCD XXXX secondary（E0口同时支持两个地址类型。如果第一个为 A类地址，则第二个为B或C类地址）
# no shutdown（激活E0口）
# exit
完成以上配置后，用ping命令检查E0口是否正常。如果不正常，一般是因为没有激活该端口，初学者往往容易忽视。用no shutdown命令激活E0口即可。
2．X.25的配置
# conf t
# int S0（指定S0口）
# ip addr ABCD XXXX（ABCD 为以太网S0 的IP地址，XXXX为子网掩码）
# encap X25-ABC（封装X.25协议。ABC指定X.25为DTE或DCE操作，缺省为DTE）
# x25 addr ABCD（ABCD为S0的X.25端口地址，由邮电局提供）
# x25 map ip ABCD XXXX br（映射的X.25地址。ABCD为对方路由器（如：S0）的IP 地址，XXXX为对方路由器（如：S0）的X.25端口地址）
# x25 htc X（配置最高双向通道数。X的取值范围1-4095，要根据 邮电局实际提供的数字配置）
# x25 nvc X（配置虚电路数，X不可超过邮电局实际提供的数否则将影响数据的正常传输）
# exit
S0端口配置完成后，用no shutdown命令激活E0口。如果ping S0端口正常，ping 映射的X.25 IP地址即对方路由器端口IP地址不通，则可能是以下几种情况引起的：1）本机X.25地址配置错误，重新与邮局核对（X.25地址长度为13位）；2）本机映射IP地址或X.25地址配置错误，重新配置正确；3）对方IP地址或X.25地址配置错误；4）本机或对方路由配置错误。
能够与对方通讯，但有丢包现象。出现这种情况，一般有以下几种可能：1）线路情况不好，或网卡、RJ45插头接触不良；2）x25 htc最高双向通道数X的取值范围和x25nvc 虚电路数X超出邮电局实际提供的数字。最高双向通道数和虚电路数这两个值越大越好，但绝对不能超出邮电局实际提供的数字，否则就会出现丢包现象。
3．专线的配置
# conf t
# int S2（指定S2口）
# ip addr ABCD XXXX（ABCD 为S2 的IP地址，XXXX为子网掩码）
# exit
专线口配置完成后，用no shutdown命令激活S2口即可。
4．帧中继的配置
# conf t
# int s0
# ip addr ABCD XXXX （ABCD 为S0 的IP地址,XXXX为子网掩码）
# encap frante_relay （封装frante_relay 协议）
# no nrzi_encoding （NRZI=NO）
# frame_relay lmi_type q933a （LMI使用Q933A标准．LMI（Local management Interface） 有3种：ANSI：T1.617、CCITTY：Q933A和Cisco特有的标准）
# fram-relay intf-typ ABC（ABC为帧中继设备类型，它们分别是DTE设备、DCE交换机或NNI（网络接点接口）支持）
# frame_relay interface_dlci 110 br（配置DLCI（数据链路连接标识符））
# frame-relay map ip ABCD XXXX broadcast （建立帧中继映射。ABCD为对方IP地址，XXXX为本地DLCI号，broadcast允许广播向前转发或更新路由）
# no shutdown （激活本端口）
# exit
帧中继S0端口配置完成后，用ping命令检查S0口。如果不正常，通常是因为没有激活该端口，用no shutdown命令激活S0口即可。如果ping S0端口正常，ping 映射的IP地址不正常，则可能是帧中继交换机或对方配置错误，需要综合排查。
5．配置同步/异步口（适用于2522）
# conf t
# int s2
# ph asyn （配置S2为异步口）
# ph sync （配置S2为同步口）
6．动态路由的配置
# conf t
# router eigrp 20 （使用EIGRP路由协议。常用的路由协议有RIP、IGRP、IS-IS等）
# passive-interface serial0 （若S0与X.25相连，则输入本条指令）
# passive-interface serial1 （若S1与X.25相连，则输入本条指令）
# network ABCD （ABCD为本机的以太网地址）
# network XXXX （XXXX为S0的IP地址）
# no auto-summary
# exit
7．静态路由的配置
# ip router ABCD XXXX YYYY 90 （ABCD为对方路由器的以太网地址，XXXX 为子网掩码，YYYY为对方对应的广域网端口地址）
# dialer-list 1 protocol ip permail
二． 综合调试
当路由器全部配置完毕后，可进行一次综合调试。
1．首先将路由器的以太网口和所有要使用的串口都激活。方法是进入该口，执行no shutdown。
2．将和路由器相连的主机加上缺省路由（中心路由器的以太地址）。方法是在Unix系统的超级用户下执行：router add default XXXX 1（XXXX为路由器的E0口地址）。每台主机都要加缺省路由，否则，将不能正常通讯。
3．ping本机的路由器以太网口，若不通，可能以太网口没有激活或不在一个网段上。ping广域网口，若不通，则没有加缺省路由。ping对方广域网口，若不通，路由器配置错误。ping主机以太网口，若不通，对方主机没有加缺省路由。
4．在专线卡X.25主机上加网关（静态路由）。方法是在Unix系统的超级用户下执行：router add X.X.X.X Y.Y.Y.Y 1（X.X.X.X为对方以太网地址，Y.Y.Y.Y为对方广域网地址）。
5．使用Tracert对路由进行跟踪，以确定不通网段。
路由器的选购
--------------------------------------------------------------------------------
选择路由器时应注意安全性、控制软件、网络扩展能力、网管系统、带电插拔能力等方面。
1．由于路由器是网络中比较关键的设备，针对网络存在的各种安全隐患，路由器必须具有如下的安全特性：
（1）可*性与线路安全 可*性要求是针对故障恢复和负载能力而提出来的。对于路由器来说，可*性主要体现在接口故障和网络流量增大两种情况下，为此，备份是路由器不可或缺的手段之一。当主接口出现故障时，备份接口自动投入工作，保证网络的正常运行。当网络流量增大时，备份接口又可承当负载分担的任务。 （2）身份认证 路由器中的身份认证主要包括访问路由器时的身份认证、对端路由器的身份认证和路由信息的身份认证。
（3）访问控制 对于路由器的访问控制，需要进行口令的分级保护。有基于IP地址的访问控制和基于用户的访问控制。
（4）信息隐藏 与对端通信时，不一定需要用真实身份进行通信。通过地址转换，可以做到隐藏网内地址，只以公共地址的方式访问外部网络。除了由内部网络首先发起的连接，网外用户不能通过地址转换直接访问网内资源。
（5）数据加密
（6）攻击探测和防范
（7）安全管理
2．路由器的控制软件是路由器发挥功能的一个关键环节。从软件的安装、参数自动设置，到软件版本的升级都是必不可少的。软件安装、参数设置及调试越方便，用户使用就越容易掌握，就能更好地应用。
3．随着计算机网络应用的逐渐增加，现有的网络规模有可能不能满足实际需要，会产生扩大网络规模的要求，因此扩展能力是一个网络在设计和建设过程中必须要考虑的。扩展能力的大小主要看路由器支持的扩展槽数目或者扩展端口数目。
4．随着网络的建设，网络规模会越来越大，网络的维护和管理就越难进行，所以网络管理显得尤为重要。 5．在我们安装、调试、检修和维护或者扩展计算机网络的过程中，免不了要给网络中增减设备，也就是说可能会要插拔网络部件。那么路由器能否支持带电插拔，是路由器的一个重要的性能指标。
外型尺寸的选择
如果网络已完成楼宇级的综合布线，工程要求网络设备上机式集中管理，应选择19英寸宽的机架式路由器，如Cisco2509、华为2501（配置同Cisco2501）。如果没有上述需求，桌面型的路由器如Intel的8100和Cisco的1600系列，具有更高的性能价格比。
协议的选择
由于最初局域网并没先出标准后出产品，所以很多厂商如Apple和IBM都提出了自己的标准，产生了如AppleTalk和IBM协议，Novell公司的网络操作系统运行IPX／SPX协议，在连接这些异构网络时需要路由器对这些协议提供支持。Intel9100系列和9200系列的路由器可提供免费支持，3Com的系列路由产品也提供较广泛的协议支持。
路由器作为网络设备中的“黑匣子”，工作在后台。用户选择路由器时，多从技术角度来考虑，如可延展性、路由协议互操作性、广域数据服务支持、内部ATM支持、SAN集成能力等。另外，选择路由器还应遵循如下基本原则：即标准化原则、技术简单性原则、环境适应性原则、可管理性原则和容错冗余性原则。对于高端路由器，更多的还应该考虑是否和如何适应骨干网对网络高可*性、接口高扩展性以及路由查找和数据转发的高性能要求。高可*性、高扩展性和高性能的“三高”特性是高端路由器区别于中、低端路由器的关键所在。
CISCO路由器初始配置简介
很多初学路由器知识的网友对路由器的初始配置可能感到很陌生,本人在初学时也很困惑,因为一下出来很多提问不知如何是好,下面将最近刚调试的一台CISCO3640的初始配置整理出来与各位网友交流,如有疏漏之处,还请大家指正。
1.用CISCO随机带CONSOLE线,一端连在CISCO路由器的CONSOLE口,一端连在计算机的COM口。
2.打开电脑,启动超级终端.为您的连接取个名字,比如CISCO_SETUP,下一步选定连接时用COM1,下一步选定第秒位数9600,数据位8,奇偶校验无,停止位1,数据流控制无.最后选确定。
3.打开路由器电源,这时超级终端将出现以下画面:
System Bootstrap, Version 11.1(20)AA2, EARLY DEPLOYMENT RELEASE SOFTWARE (fc1)
Copyright (c) 1999 by cisco Systems, Inc.C3600 processor with 32768 Kbytes of main memory Main memory is configured to 64 bit mode with parity disabled
program load complete, entry point: 0x80008000, size: 0x4ed478 Self decompressing the image :
###################################################################
###################################################################
###################################################################
###################################################################
###################################################################
###################################################################
###################################################################
[OK]
Restricted Rights Legend
Use, duplication, or disclosure by the Government is
subject to restrictions as set forth in subparagraph
(c) of the Commercial Computer Software - Restricted
Rights clause at FAR sec. 52.227-19 and subparagraph
(c) (1) (ii) of the Rights in Technical Data and Computer
Software clause at DFARS sec. 252.227-7013.
cisco Systems, Inc.
170 West Tasman Drive
San Jose, California 95134-1706
Cisco Internetwork Operating System Software
IOS (tm) 3600 Software (C3640-I-M), Version 12.1(2)T, RELEASE SOFTWARE (fc1)
Copyright (c) 1986-2000 by cisco Systems, Inc.
Compiled Tue 16-May-00 12:26 by ccai
Image text-base: 0x600088F0, data-base: 0x60924000
cisco 3640 (R4700) processor (revision 0x00) with 24576K/8192K bytes of memory.
Processor board ID 25125768
R4700 CPU at 100Mhz, Implementation 33, Rev 1.0
Bridging software.
X.25 software, Version 3.0.0.
2 FastEthernet/IEEE 802.3 interface(s)
1 Serial network interface(s)
DRAM configuration is 64 bits wide with parity disabled.
125K bytes of non-volatile configuration memory.
8192K bytes of processor board System flash (Read/Write)
--- System Configuration Dialog ---
Would you like to enter the initial configuration dialog? [yes/no]: y
您是否进入初始化配置对话,选Y
At any point you may enter a question mark '?' for help.
Use ctrl-c to abort configuration dialog at any prompt.
Default settings are in square brackets '[]'.Basic management setup configures only enough connectivity
for management of the system, extended setup will ask you
to configure each interface on the system
Would you like to enter basic management setup? [yes/no]: n
您是否进入基本配置安装,选N
First, would you like to see the current interface summary? [yes]: y
首先,您是否看一下当前端口状态
Any interface listed with OK? value "NO" does not have a valid configuration
Interface IP-Address OK? Method Status Protocol
FastEthernet0/0unassigned NO unset up down
Serial0/0 unassigned NO unset down down
FastEthernet0/1unassigned NO unset up down
Configuring global parameters:
Enter host name [Router]:RouterA
输入路由器的名字
The enable secret is a password used to protect access to
privileged EXEC and configuration modes. This password, after
entered, becomes encrypted in the configuration.
Enter enable secret: aaa
输入密文
The enable password is used when you do not specify an
enable secret password, with some older software versions, and
some boot images.
Enter enable password: bbb
输入密码(不能和密文相同)
The virtual terminal password is used to protect
access to the router over a network interface.
Enter virtual terminal password: ccc
输入虚拟终端的密码(以备远程登录)
Configure SNMP Network Management? [yes]: n
配置简单网管吗?选N
Configure IP? [yes]: y
配置IP吗?选Y
Configure IGRP routing? [yes]: n
配置IGRP路由选择协议吗?选N
Configure RIP routing? [no]:
配置IGRP路由选择协议吗?选N
Configure bridging? [no]:
配置桥接吗?选N
Async lines accept incoming modems calls. If you will have
users dialing in via modems, configure these lines.
Configure Async lines? [yes]: n
配置异步线路吗?选N
Configuring interface parameters:
Do you want to configure FastEthernet0/0 interface? [yes]: y
您是否想配置fastethernet0/0接口?选Y
Use the 100 Base-TX (RJ-45) connector? [yes]: y
用RJ45的连接器吗?选Y
Operate in full-duplex mode? [no]: y
选用全双工模式?选Y
Configure IP on this interface? [yes]: y
在这个接口上配置IP吗?选Y
IP address for this interface: 192.168.0.1
配置该接口的IP地址(在此地址为192.168.0.1
Subnet mask for this interface [255.255.255.0] :
配置该接口的子网掩码.(默认的是255.255.255.0,可以手工输入修改)
Class C network is 192.168.0.0, 24 subnet bits; mask is /24
Do you want to configure Serial0/0 interface? [yes]: y
您想配置serial0/0接口吗?选Y
Some supported encapsulations are
ppp/hdlc/frame-relay/lapb/x25/atm-dxi/smds
Choose encapsulation type [hdlc]:
选择封装方式(默认的封装方式是HDLC,您可根据与您的路由器相连选用的封装类型来决定用什么样的封装类型
No serial cable seen.
Choose mode from (dce/dte) [dte]:
(因为没有连串口线所以会让您选择设备类型)
Configure IP on this interface? [yes]: y
(在接口上配置IP)
Configure IP unnumbered on this interface? [no]:
IP address for this interface: 172.16.0.5
配置该接口的IP地址(在此地址为172.16.0.5)
Subnet mask for this interface [255.255.0.0] : 255.255.255.252
配置该接口的子网掩码.(默认的是255.255.0.0,可以手工输入修改为255.255.255.252)
Class B network is 172.16.0.0, 30 subnet bits; mask is /30
(以下配置同上)
Do you want to configure FastEthernet0/1 interface? [yes]:
Use the 100 Base-TX (RJ-45) connector? [yes]:
Operate in full-duplex mode? [no]: y
Configure IP on this interface? [yes]: y
IP address for this interface: 172.16.0.9
Subnet mask for this interface [255.255.0.0] : 255.255.255.252 Class B network is 172.16.0.0, 30 subnet bits; mask is /30
The following configuration command script was created:
(把您的配置显示出来)
hostname aaa
enable secret 5 $1$ul/V$ezbZFgvzGHD.YPSieC0Ew/
enable password RouterA
line vty 0 4
password ccc
no snmp-server
!
ip routing
no bridge 1
!
interface FastEthernet0/0
media-type 100BaseX
full-duplex
ip address 192.168.0.1 255.255.255.0
!
interface Serial0/0
encapsulation hdlc
ip address 172.16.0.5 255.255.255.252
!
interface FastEthernet0/1
media-type 100BaseX
full-duplex
ip address 172.16.0.9 255.255.255.252
dialer-list 1 protocol ip permit
dialer-list 1 protocol ipx permit
!
end
以下提示您是否保存这次设置
[0] Go to the IOS command prompt without saving this config.
[1] Return back to the setup without saving this config.
[2] Save this configuration to nvram and exit.
Enter your selection [2]: 2
选择2保存设置并存入NVRAM中
Building configuration...
[OK] Use the enabled mode 'configure' command to modify this configuration.
Press RETURN to get started!
路由器重新启动
00:00:08: %LINK-3-UPDOWN: Interface Serial0/0, changed state to down
00:00:08: %LINK-3-UPDOWN: Interface FastEthernet0/0, changed state to up
00:00:08: %LINK-3-UPDOWN: Interface FastEthernet0/1, changed state to up
00:00:09: %LINEPROTO-5-UPDOWN: Line protocol on Interface Serial0/0, changed state to down
00:00:09: %LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthernet0/0, changed state to down
00:00:09: %LINEPROTO-5-UPDOWN: Line protocol on Interface FastEthernet0/1, changed state to down
00:03:18: %IP-5-WEBINST_KILL: Terminating DNS process
00:03:24: %SYS-5-RESTART: System restarted --
Cisco Internetwork Operating System Software
IOS (tm) 3600 Software (C3640-I-M), Version 12.1(2)T, RELEASE SOFTWARE (fc1)
Copyright (c) 1986-2000 by cisco Systems, Inc.
Compiled Tue 16-May-00 12:26 by ccai
RouterA>
进入用户模式
RouterA>en
Password:
RouterA#
进入全局模式
RouterA#sh run
查看现在运行的配置
Building configuration...
Current configuration:
!
version 12.1
service timestamps debug uptime
service timestamps log uptime
no service password-encryption
!
hostname RouterA
!
enable secret 5 $1$ul/V$ezbZFgvzGHD.YPSieC0Ew/
enable password bbb
!
memory-size iomem 25
ip subnet-zero
!
interface FastEthernet0/0
ip address 192.168.0.1 255.255.255.0
speed auto
full-duplex
!
interface Serial0/0
ip address 172.16.0.5 255.255.255.252
clockrate 2000000
!
interface FastEthernet0/1
ip address 172.16.0.9 255.255.255.252
speed auto
full-duplex
!
ip classless
no ip http server
!
dialer-list 1 protocol ip permit
dialer-list 1 protocol ipx permit
!
line con 0
transport input none
line aux 0
line vty 0 4
password ccc
login
!
end
现在您就完成了了一个新路由器的基本配置,接下来就可以进行进一步的详细配置了
