georgin-shaju/Network-Infrastructure-Portfolio

# 网络与基础设施工程作品集 这是我在 **Vatanix Technologies, Trichy** 参加企业培训期间完成的实践实验室，涵盖基础设施、虚拟化、Windows Server、网络、防火墙和故障排除。 **Georgin Shaju** | BTech CSE | 网络工程文凭 (NACTET) 📧 georginparackal@gmail.com | 🔗 [LinkedIn](https://www.linkedin.com/in/georginshaju) ## 仓库实际内容 大部分培训都是按照 IT 培训的常规方式进行的——先使用模拟器，其次学习概念，只要条件允许就接触实际硬件。本仓库尽量不模糊这种区别。Packet Tracer 实验室就是标记为 Packet Tracer 实验室。真实硬件实验室会明确说明工作台上使用的是哪台物理设备，之所以要这么说明，是因为它们的故障表现不同——模拟器不会静默丢弃 NAT 转换，也不会因为一根劣质线缆导致端口进入 err-disabled 状态，而下面的几个实验室之所以存在，正是因为在实际中发生了类似的情况。 - 在物理 HPE ProLiant DL360 Gen9 企业级服务器上部署 VMware ESXi 8.0 - Windows Server 2019 管理 —— Active Directory、DNS、DHCP、组策略、OU/用户管理 - Packet Tracer 中的 Cisco 交换和路由 —— VLAN、SSH、生成树协议 (STP)、VLAN 间路由 (SVI 和 Router-on-a-Stick)、静态路由 - 真实硬件上的 Cisco 交换和路由 —— 使用 Cisco 1921 ISR 路由器和 Catalyst 3560-CX 三层交换机（包括 Console 线缆等），涵盖 NAT、SSH 加固、VLAN、DHCP 以及 VLAN 间 ACL 安全策略 - 真实硬件上的防火墙和 UTM 设备 —— Endian Firewall Community 和 FortiGate 300D NGFW，涵盖基于区域的分段、防火墙策略、代理和 Web 过滤 - 真实硬件上的无线网络 —— 基于出厂重置构建的 Cisco Aironet 1815 Mobility Express AP，涵盖控制台 day-0 向导、员工 WLAN 以及带有强制门户重定向的访客网络 - 结构化故障排除 —— 5 个详细的案例研究以及一份快速参考指南，涵盖硬件、操作系统、网络、AD 和 Cisco 主题 ## 实验环境说明 本作品集跨越三个独立的环境，而不是一个连续的设置： - **物理硬件** —— 在真实的 **HPE ProLiant DL360 Gen9** 服务器上裸机安装的 VMware ESXi，通过 iLO 访问。仅涵盖初始 hypervisor 安装和虚拟机部署。 - **原生 Windows Server 机器** —— 从 Active Directory 到组策略的范围首先是在一台独立的物理机器上完成的，该机器直接启动进入 Windows Server（非虚拟化）。 - **VirtualBox** —— 在此处重复了上述从 AD 到 GPO 的范围以进行额外练习。本仓库中带有截图记录的正是这一轮。 另外，下面的 Cisco 真实硬件、防火墙和无线实验室构建在它们各自专用的物理设备上 —— 一台路由器、一台交换机、两台防火墙设备和一个接入点 —— 完全独立于上述三个环境之外。 ## 项目 | # | 项目 | 描述 | 状态 | |---|---|---|---| | 1 | [Windows Server & ESXi 实验室](Windows_Server/) | 6 个实验 —— ESXi 设置 · AD DS · DNS · DHCP · GPO · OU 和用户管理 | ✅ 完成 | | 2 | [Cisco 网络实验室](Cisco_Labs/) | 5 个实验 —— VLAN/SSH · STP · VLAN 间路由 (SVI + ROAS) · 静态路由 | ✅ 完成 | | 3 | [Cisco 真实硬件](Cisco_Real_Hardware/) | 2 卷 —— Cisco 1921 ISR 路由器基线，Catalyst 3560-CX VLAN/DHCP/ACL 安全 | ✅ 完成 | | 4 | [Endian 防火墙实验室](Endian_Firewall_Lab/) | 真实硬件 UTM 防火墙 —— RED/GREEN 分段，规则排序，代理，Web 过滤 | ✅ 完成 | | 5 | [FortiGate 300D 硬件实验室](FortiGate-300D-Hardware-Lab/) | 真实硬件 NGFW —— 基于 GUI 的接口，静态路由，带 NAT 的防火墙策略，DHCP | ✅ 完成 | | 6 | [Cisco Aironet 1815 无线实验室](Cisco_Aironet_1815_Lab/) | 真实硬件 AP —— 出厂重置，day-0 向导，员工 WLAN，带强制门户重定向的访客网络 | ✅ 完成 | | 7 | [故障排除案例](Troubleshooting_Cases/) | 5 个详细的事件案例研究 + 快速参考指南，涵盖完整的培训历程 | ✅ 完成 | ## Windows Server 实验室 | 实验室 | 主题 | 展示的关键技能 | |-----|-------|--------------------------| | [01](Windows_Server/01_ESXi_Server_Setup/) | ESXi 和虚拟机部署 | 裸机 ESXi · iLO · VMXNET3 · VMware Tools · POST 诊断 | | [02](Windows_Server/02_Active_Directory_Domain_Setup/) | Active Directory 和域控 | AD DS · DC 提升 · 林 · 域加入 | | [03](Windows_Server/03_DNS_Configuration/) | DNS 服务器配置 | 正向/反向查找区域 · A 记录 · PTR 记录 · nslookup 验证 | | [04](Windows_Server/04_DHCP_Configuration/) | DHCP 服务器配置 | IPv4 作用域 · 作用域选项 · 服务器授权 · 租约验证 | | [05](Windows_Server/05_Group_Policy_Objects/) | 组策略对象 | 登录横幅 · 壁纸 · 密码策略 · 安全筛选 | | [06](Windows_Server/06_OU_Users_Groups_Management/) | OU、用户和组 | OU 设计 · 用户创建 · 安全组 · ADUC · 域加入验证 | ## Cisco 网络实验室 | 实验室 | 主题 | 展示的关键技能 | |-----|-------|--------------------------| | [01](Cisco_Labs/01_Basic_Switch_VLAN_SSH/) | 基本交换机配置、VLAN 和 SSH | 主机名 · enable secret · VLAN · SVI · Telnet → SSH 迁移 · RSA 密钥 | | [02](Cisco_Labs/02_Spanning_Tree_Protocol/) | 生成树协议 | Root Bridge 选举 · 端口角色 · BLK→FWD 故障转移 · PortFast · BPDU Guard | | [03](Cisco_Labs/03_Inter_VLAN_Routing_SVI/) | VLAN 间路由 —— SVI | 三层交换机 · SVI · trunking · `ip routing` · 多交换机路由 | | [04](Cisco_Labs/04_Inter_VLAN_Routing_ROS/) | VLAN 间路由 —— Router-on-a-Stick | 路由器子接口 · 802.1Q 封装 · ROAS 与 SVI | | [05](Cisco_Labs/05_Static_Routing/) | 静态路由 | `ip route` · 下一跳配置 · 错误子网掩码故障排除 | ## Cisco 真实硬件 上面的概念是在 Packet Tracer 中学习的。而在这里，它们在一台物理 Cisco 1921 ISR 路由器和 Catalyst 3560-CX 三层交换机上接受了测试 —— 插上 Console 线缆，在 COM4 上打开 PuTTY，连接真实的上游互联网，要么能通，要么不通。 **[第 01 卷 —— 路由器基线](Cisco_Real_Hardware/Vol_01_Router_Baseline/)** 将一台恢复出厂设置的 1921 构建为可用的互联网网关 —— WAN/LAN 接口、NAT overload、使用 2048 位 RSA 密钥的 SSH、Telnet，以及一台通过它获取互联网连接的真实 PC。 **[第 02 卷 —— 企业交换机：VLAN、DHCP、ACL 安全](Cisco_Real_Hardware/Vol_02_Enterprise_Switch/)** 一台 Catalyst 3560-CX 接管了所有内部网络 —— 四个 VLAN，通过 SVI 进行 VLAN 间路由，每个部门配置 DHCP，使用扩展 ACL 策略将它们彼此隔离，以及二层安全加固（端口安全、DHCP Snooping、DAI、BPDU Guard、风暴控制）。两个真实的构建问题和一个隐蔽的 ACL 测试陷阱都进行了完整记录，包括一份[专门的故障排除报告](Cisco_Real_Hardware/Vol_02_Enterprise_Switch/ACL_Troubleshooting.md)。  ## 防火墙和 UTM —— 真实硬件 两台防火墙设备，两种截然不同的交互模式 —— 一台在恢复阶段几乎完全由 CLI/控制台驱动，另一台从开机到策略配置完全基于 GUI。 **[Endian Firewall Community 3.3.2](Endian_Firewall_Lab/)** 安装在一台改造过的 PC 上（Intel i3，8GB 内存，双 Intel 网卡用于 RED/GREEN），配置为实验室路由器和客户端笔记本电脑之间的网关。涵盖安装程序、通过控制台网络配置向导恢复的真实 GUI 不可达故障、出站防火墙规则排序、HTTP 代理，以及针对特定客户端配置了类别阻断的 Web 过滤。 **[FortiGate 300D](FortiGate-300D-Hardware-Lab/)** 一台完全通过浏览器配置的下一代防火墙 —— LAN/WAN 接口角色、默认静态路由、将访问控制和 NAT 捆绑在一起的防火墙策略，以及为内部网段启用的 DHCP。记录为与上述基于路由器的 CLI 工作的直接对比：概念相同，界面不同。 ## 无线网络 —— 真实硬件 **[Cisco Aironet 1815 Mobility Express](Cisco_Aironet_1815_Lab/)** 从真正的出厂重置状态启动的一台 Cisco Aironet 1815，由 Cisco 真实硬件实验室中使用的同一台交换机提供 PoE 供电，并直接放置在主实验室网络中，没有进行 VLAN 分段。涵盖控制台 day-0 设置向导、首次 GUI 登录、员工 WLAN，以及带有强制门户的访客 WLAN（将经过身份验证的访客重定向到真实的登录页面）。包含一个尚未解决的故障排除线索：访客客户端在切换回受信任的 SSID 后失去对管理 GUI 的访问权限。 ## 故障排除案例 以 NOC 工单格式编写的 5 份详细事件报告，均取材于上述实验室中 诊断和解决的真实故障，此外还有一份[快速参考 指南](Troubleshooting_Cases/Common_Troubleshooting_Scenarios.md)，涵盖了从 硬件基础到 Cisco 路由的常见场景。 | 案例 | 事件 | 严重程度 | |------|----------|----------| | [INC-001](Troubleshooting_Cases/INC-001_DNS_Reverse_Lookup_Failure.md) | DNS 反向查找失败 —— 缺少 PTR 记录 | P3 | | [INC-002](Troubleshooting_Cases/INC-002_DHCP_APIPA_Authorization_Failure.md) | 客户端获取 APIPA 地址 —— DHCP 未授权 | P2 | | [INC-003](Troubleshooting_Cases/INC-003_VLAN_Missing_From_Trunk_Database.md) | 跨交换机 VLAN 不可达 —— 数据库中缺少 VLAN | P2 | | [INC-004](Troubleshooting_Cases/INC-004_Wrong_Subnet_Mask_Static_Route.md) | 单向连接失败 —— 静态路由上的子网掩码错误 | P2 | | [INC-005](Troubleshooting_Cases/INC-005_Port_Err_Disabled_BPDU_Guard.md) | 接入端口 Err-Disabled —— 触发了 BPDU Guard | P3 | ## 实验展示 ### 物理服务器 —— HPE ProLiant DL360 Gen9   ### VMware ESXi 8.0 —— 裸机 Hypervisor     ### Cisco —— 生成树协议故障转移  ### 真实硬件 —— 在 Catalyst 3560-CX 上验证 ACL 隔离  ## 技能 | 类别 | 工具与技术 | |---|---| | **虚拟化** | VMware ESXi 8.0，vSphere Host Client，虚拟机部署 | | **服务器硬件** | HPE ProLiant DL360 Gen9，iLO 4，硬件 RAID | | **Windows Server** | Windows Server 2019，AD DS，DNS，DHCP，GPO，Domain Controller | | **Cisco 交换和路由** | VLAN，SVI，SSH，STP，Router-on-a-Stick，静态路由，扩展 ACL | | **Cisco 真实硬件** | Cisco 1921 ISR，Catalyst 60-CX，NAT overload，DHCP Snooping，DAI，端口安全 | | **防火墙 / UTM** | Endian Firewall Community，FortiGate/FortiOS，基于区域的分段，HTTP 代理，Web 过滤 | | **无线网络** | Cisco Aironet 1815 (Mobility Express)，WLAN/SSID 配置，WPA2-Personal，访客网络，强制门户 | | **网络基础** | TCP/IP，OSI 模型，子网划分，以太网，结构化布线 | | **故障排除** | OSI 逐层方法论，Windows Server，Cisco CLI，防火墙 GUI | | **工具** | Cisco Packet Tracer，VirtualBox，PuTTY，draw.io | ## 关键经验教训 - 硬件故障排除从第一层开始 —— 始终首先检查物理连接和 POST 诊断 - 端口识别很重要 —— iLO 和标准 NIC 端口看起来一模一样；POST 屏幕上的 iLO IP 显示是确认哪个是哪个的最快方法 - DNS 配置错误会破坏许多 Windows 服务 —— 反向查找区域不会自动创建，必须手动添加 - DHCP 服务器在 Active Directory 中获得授权后才会分配地址 —— 仅运行服务是不够的 - VLAN 必须存在于承载其流量的每台交换机上的本地 VLAN 数据库中 —— trunk 处于 "up" 状态并不能保证每个 VLAN 都在通行 - 静态路由要求路径上的每台路由器在双向都有正确的路由 —— 任何地方出现一个错误的子网掩码都会中断路径 - STP 在 Cisco 交换机上自动运行 —— 在生产环境中始终手动设置 Root Bridge，而不是依赖 MAC 地址选举 - PortFast 和 BPDU Guard 共同让接入端口安全地跳过 STP 延迟，同时仍能防止未经授权的交换机连接 - 组策略需要 `gpupdate /force` 和重启才能可靠地应用计算机配置设置 - 在 NAT 路由器后面添加新子网意味着 NAT ACL 也需要更新 —— 当它不完整时没有任何警告，而且其症状（DHCP 正常，无互联网连接）看起来与其它几种故障完全相同 - 扩展 ACL 隐含的 `deny ip any any` 是不可见的，但始终存在 —— 忘记在末尾加上 `permit` 会静默切断本不该被阻止的流量 - CLI 和 GUI 防火墙是披着不同外衣的相同概念 —— 接口角色、静态路由和策略/NAT 捆绑可以直接从路由器 CLI 工作转换到基于浏览器的 NGFW 上 - 访客网络上强制门户的自签名证书警告不是故障 —— 对于内部虚拟网关地址来说这是预料之中的，除非单独安装了受信任的证书 - 访客 WLAN 上的 Local Profiling 等客户端跟踪功能并不是没有代价的 —— 它们可能会以一种影响客户端访问权限的方式标记客户端，即使它重新连接到受信任的网络也是如此；在依赖访客/员工划分来实现真正的隔离之前，值得对此进行测试

标签：IT基础设施, Windows Server, 后端开发, 思科网络, 系统运维, 网络工程, 防火墙配置