中小企業PC客戶端及網絡運維技術的發展與實踐

□范雅娟 張 銳

一、傳統運維方式——本地單機部署+IP手動指定

伴隨著現代化及信息化的大潮，PC客戶端數量不斷增加，網絡規模逐步擴大。隨之而來的是PC客戶端系統的部署和IP地址的手動分配成了網絡運維人員沉重的負擔和揮之不去的夢魘。

當前，有不少企業計算機操作系統及應用程序采用的是本地單機部署方式。這種傳統運維方式的缺點如下：操作系統及應用程序的部署，只能是一臺一臺的安裝，做系統、裝驅動、安裝各種應用軟件，而且絕大部分系統及軟件都需要配置，整個過程費時費力，常規做一臺計算機需半天的時間，有時更多。IP地址因為員工都可以手工指定，導致網絡運維人員很難掌控整個企業IP地址的分配情況，造成IP地址管理混亂。如果有新的計算機加入網絡，IP地址的分配是個頭痛的問題，經常產生IP地址沖突，造成計算機無法上網，排查過程困難重重。并且有一部分計算機操作系統及應用程序是員工自己安裝，軟件的來源及系統的配置千差萬別，造成系統各種各樣的問題，運維人員疲于應付，這種狀況只能是治標不治本。當聯網計算機數量成百上千時，網絡子網越來越多，如何面對？顯而易見，傳統運維方式亟需改進。

二、改進運維方式——封裝PE部署+IP自動分配

針對早期網絡運維過程中出現的最令人頭疼的兩個問題，應研究新技術并采用新技術。

當前，將系統進行封裝并結合WIN PE(Upan啟動)進行部署是一種最佳實踐。封裝技術的優點如下：第一，運維人員對整個系統及應用程序做了大量的測試，保證了系統的健壯性和穩定性。第二，軟件的兼容性，各種系統運行庫，補丁程序，驅動程序，不同應用程序的配置，都通過運維人員封裝定制，避免了員工由于計算機水平層次不一造成的各種問題的產生。第三，在測試過后進行封裝，針對不同的應用群體，部署相應的計算機操作系統及應用程序，做到了規格化與個性需求的統一。同時大大減少了封裝系統的部署時間，一般10～20分鐘即可部署完畢。

IP地址自動分配最佳實踐如下：第一，IP地址與MAC地址統計。為了應對傳統運維方式IP地址手動分配帶來的弊端，需加強IP地址管理。目前，部分企業采用的常見策略是將IP地址與MAC地址，在DHCP服務器中進行綁定。為此需對企業計算機IP地址、MAC地址以及使用單位和人員逐一進行統計，為實現DHCP服務器搭建做好前期的準備工作。第二，DHCP服務器搭建。DHCP是動態主機協議的縮寫，是一個簡化主機IP地址配置管理的TCP/IP標準協議，它可以自動為網絡客戶機配置一個動態IP地址并提供安全、可靠、簡單的TCP/IP網絡配置，確保不發生地址沖突。在統計企業IP地址與MAC地址的過程中，推薦利用遠程桌面服務(RDP)將每個用戶終端的IP地址與MAC地址，在DHCP服務器中登記造冊。通俗的講，這樣每塊網卡就鎖定一個固定的IP地址，經過這樣的登記之后我們就采用DHCP服務器自動分發IP地址，只要登記在冊，用戶不需要自己指定生疏難記的IP地址、子網掩碼、DNS等復雜的網絡參數，DHCP服務器都會自動推送至每個終端用戶，保證了IP地址的唯一性并且解決了IP地址沖突的棘手問題。若企業網絡劃分了多個子網，還需構建一臺DHCP中繼服務器，這樣多個網絡都可以自動分配到不同子網段的IP地址。第三，其它基礎網絡服務搭建。通過以上幾個階段，初步完成了DHCP服務器的搭建，為了使遠程部署更加完美，我們還可以搭建其它基礎服務器角色，比如DNS域名解析服務器和微軟WSUS補丁更新服務器。這樣就具備了為遠程PC端客戶自動推送分發系統補丁的能力，一定程度上避免了由于系統漏洞帶來的網絡安全問題。

三、升級運維方式——遠程封裝部署+IP硬件綁定

在上述改進的運維方式下，依舊存在一些不足。封裝好的系統通過WinPE引導安裝，雖然省時，但仍不省力，當大規模批量部署系統時這種不足尤為突出。

實現大規模批量部署封裝系統，可以再部署網絡克隆服務器，將WinPE系統放到服務器上，通過網絡克隆服務器提供的服務，PC客戶機遠程網卡(現在網卡不能遠程引導的計算機少之又少)啟動即可一次性獨立完成系統的自動化部署，不需網絡運維人員親跑用戶現場進行安裝。在某些企業，最近幾年更新的PC，還可以部署Intel AMT技術進行遠程控制安裝。圖1、圖2為搭建好的網絡克隆服務器進行遠程部署的示意圖。

圖1 網絡克隆服務器

圖2 從網卡啟動winpe進行遠程PC客戶端系統部署

在企業IP地址自動分配使用的過程中，網絡部署有可能遇上新問題。隨著網絡設備尤其是家用路由器的普及，員工有時會私自接入路由設備(目前大多數路由設備都具有DHCP功能)造成部分PC客戶端不能獲取合法DHCP服務器(如上所述企業自己搭建的DHCP服務器)分配的IP地址，造成部分員工無法使用網絡，而且這種故障很難追蹤和排查，只能采用人工手段查找。網絡運維人員排查工作量大，查找原因費時費力，還不能從根源上改變這種問題。為了避免此種現象發生，應改進新的IP地址部署方式—IP地址硬件綁定。

以前，高端網絡設備價格昂貴，實施部署IP硬件綁定成本過高。現在，隨著高端網絡設備價格的降低，企業有條件進行運維方式的升級。簡單來說，就是通過架設可管理型三層以太網交換機，開啟ACL控制，進行MAC地址過濾，只允許登記過的MAC-IP地址對進行網絡連接，為登記造冊的全部阻止訪問；同時開啟DHCP Snooping功能，可阻止非法DHCP對網絡核心設備產生的數據入侵；這樣還能有效地控制私自指定IP地址、來訪客人隨意接入企業網絡、控制網絡活動和權限，提高了企業網絡接入的安全性。

四、結語

在企業生產環境所使用的計算機與一般家用計算機的用途有很大的不同之處。通過系統封裝與遠程部署技術，能夠解決IP地址分配沖突和自動化問題，可便捷地實現封裝系統網絡部署，從而實現企業網絡的良好應用，方便員工使用計算機，降低計算機故障率，提高計算機管理維護水平，減輕運維人員的工作強度，并且使企業的計算機管理水平邁上一個新的臺階。