解決臺北縣三期租賃案電腦（Acer L410）使用 Symantec Ghost 派送系統重開機後畫面全黑當機之問題

　　臺北縣電腦三期租賃案所使用的電腦：Acer L410，不知什麼原因，在使用 Symantec Ghost Solution Suite 進行派送時會出現一種狀況：當派送完成，電腦自動重開機，會有不特定幾台電腦（而且每次派送，每次出現狀況的電腦也不是固定哪幾台）畫面全黑並且當機不動，必須手動強制關機再重開機後才能繼續接下來的 Ghost 流程。這真是造成管理者莫大的困擾。

　　當時花了不少時間，實驗了好幾種方法，終於在使用 Windows 98 的 MS-DOS 做為 Ghost 「虛擬分割區」的作業系統進行派送，而不再出現這種狀況了。

　　在卸下資訊組長這個工作將近一年的今天，有個廠商的工程師打電話來，說臺北縣教研中心的電腦教室出現相同的問題，要他們想辦法解決。而他想到我之前曾經和他提過這個問題的解決方案，因此想到向我尋求解決方案。我想一想，其實臺北縣或許還有其他學校有類似的問題，乾脆直接錄個教學影音檔，供大家參考參考。

　　不過最後還是要提醒大家，這個方法經過多次的實驗所得到的結果，並不是經由學理依據找到的解決方法，所以各位請不要問我為什麼這樣可以解決。因為說真的，我也不知道為什麼，我只能說：只要有心，人人都能實驗出好的解答！

觀看教學影音檔

項次	名稱	教學		時間
1	前言	站台一	站台二	00:01:26
2	準備工具	站台一	站台二	00:01:08
3	匯入 MS-DOS 至 Symantec Ghost 內	站台一	站台二	00:03:44
4	設定「虛擬分割區」使用 MS-DOS 進行派送	站台一	站台二	00:02:31

PHP + MySQL，如何維護資料庫的安全？

　　市面上有許多教人如何撰寫 PHP + MySQL 網頁程式的書籍，每當 PHP 要和資料庫進行連線時，host 參數都會使用 localhost，也就是網頁伺服器和資料庫在同一台主機上。不曉得是因為書籍都這樣寫的原因、還是因為中小學單位資金不足、抑或根本不想理它，程式跑起來就好，許多教育單位（甚至包含大專院校）在架設許多 PHP + MySQL 程式時（如:Gallery、LifeType、Moodle、Xoops......等），在 host 參數也都是使用 localhost；當然，不可否認，使用 localhost 真的是很方便，但是，這樣真的好嗎？

　　如果我們只是在「練習」撰寫 PHP + MySQL 的程式，我們使用的工具可能只是一台桌上型電腦，甚至是筆記型電腦，那當然沒有什麼好說的。使用 localhost 當然沒有安全性上的顧慮，因為程式只在自己的電腦上跑給自己看罷了！但如果我們以這種方式將我們的網頁程式安裝到伺服器上，代表除了我們的網頁程式會在網際網路上供大家瀏覽，我們的資料庫同時也可能在網際網路上供人「瞻仰」，任何人都有可能直接在網際網路上攻擊你的資料庫，此時，資料庫的安全性自然堪慮。

　　我很認同臺北縣新莊國小蘇志展老師有一次在九大區資訊組長會議中提出的一個問題：「你的網頁伺服器每天有多少流量在跑？你的網頁伺服器每天有多少次 CPU 使用率超過 20%？」的確，一般教育單位每天網頁伺服器的流量不會非常多；但換個角度想，正因為我們的網站伺服器不用太操勞，我們是不是可以把用兩台好一點的 PC 取代一台真正的伺服器，讓網頁程式和資料庫分開來，確保資料庫的安全呢？畢竟資料庫裡的資料才是最有價值，但又最難維護的東西啊！若被別人攻擊而清空了裡面的內容，那豈不是虧大了。

　　當然，雖然我們把網頁程式和資料庫的伺服器分開了，但若我們仍然把兩台伺服器都放在網際網路可以瀏覽到的位置上，把他們分開就真的是一種多此一舉的行為了，所以接下來我們來看看要如何擺設它們才好呢？

　　以一般的網路環境（非臺北縣中小學架構）來看，我們在 Web Server 上安裝兩張網卡，一張網卡設上實體 IP，用來讓網際網路上的使用者瀏覽，另外一張網卡設上虛擬 IP（在此以 192.168.xxx.1/24 為例），用來和內部的網路進行溝通。而 Database Server 只需要一張網卡，而且設定虛擬 IP（在此以 192.168.xxx.2/24為例），純粹只在存在於內部網路，讓網際網路上的使用者無法看到它。大致架構如下圖：

　　接下來，我們可以在 Database Server 上面進行設定，只讓 192.168.xxx.1/24 可以存取資料庫，而且只有建立資料庫（Create DB）、新增資料（Insert）以及修改資料（Update）等權限，盡量不要開啟刪除資料庫（Drop DB）以及刪除資料（Delete）等權限，以免 Web Server 若被別人攻擊入侵，一樣可以從 Web Server 上毀損我們的資料庫，造成損失。

　　但若以臺北縣中小學的網路架構來看，因為有在 Submit 400 上面切割 VLan，並且也設定好了 VLan Routing，所以就不用那麼麻煩了，這時我們的 Web Server 只需要一張網卡，設定實體 IP（在此以 163.20.xxx.yyy/24 為例），並且將 Web Server 連至 VLan ID 為 5 的 lan 網段 Port 上，而我們的 Database Server 可以設在 intra-1 或 intra-2 的 VLan 網段上，讓網際網路攻擊者沒有辦法直接從網際網路上看到資料庫。在此我們以電腦教室網段 intra-1 為例，我們將 Database Server 的 IP 設成 10.231.aaa.bbb/24，並且將 Database Server 連至 VLan ID 為 10 的 intra-1 網段 Port 上。大至架構如下圖：

　　至於 Database Server 的設定和前述的一樣，盡量不要開啟讓 Web Server 可以刪除的權限。

　　以上，就是基本的資料庫安全防護方法：讓資料庫存在於內部網路避免被外界網際網路使用者攻擊。

利用網域群組原則進行電源管理

　　這篇教學文章是有一次和臺北縣永福國小林文富老師在討論 Microsoft AD 環境時，林老師所提出來的疑問，也感謝林文富老師提供了許多相關的資料，才有這篇教學影音檔的產生。

參考資料：微軟知識庫（http://support.microsoft.com/kb/915160/zh-tw）

觀看教學影音檔

項次	名稱	教學		時間
1	下載批次檔	站台一	站台二
2	下載並修改批次檔	站台一	站台二	00:01:25
3	群組原則設定（使用者設定）	站台一	站台二	00:01:53
4	群組原則設定（電腦設定） 修改登錄檔權限： MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Controls Folder\PowerCfg USERS\.DEFAULT\Control Panel\PowerCfg	站台一	站台二	00:04:17
5	Client 端電腦登入後情況１	站台一	站台二	00:02:13
6	讓使用者無法手動修改電源管理資訊 修改檔案權限：%SystemRoot%\system32\powercfg.cpl	站台一	站台二	00:02:51
7	Client 端電腦登入後情況２	站台一	站台二	00:01:18

申請及設定 Google 應用服務網站版（Google Apps for Your Domain）－ 使用Microsoft Windows 2003 DNS Server

　　Google 真的是一個了不起的公司，雖然有很多人擔心它會成為微軟之後的「邪惡帝國」，但是在它真的變成這樣子之前，我們還是多多利用它吧。

　　Google 應用服務網站版（Google Apps for Your Domain）對於中小學教育單位來說真的是一個很不錯的服務，尤其是它的 Mail Service 更是許多人的救星。只要學校有 DNS 伺服器，並且擁有自己的網域名稱，就能免費（教育單位啦）使用它的服務，減少了許多資訊組長或是系管師管理郵件伺服器的困擾。

　　本教學影音檔在介紹如何申請及設定 Google 應用服務網站版，如同前面所說，使用這項服務需要在 DNS 伺服器上進行一些設定，因為工作地點所使用的 DNS 伺服器是 Microsoft Windows 2003 Server，所以本教學影音檔也只針對 Microsoft Windows 2003 Server 的 DNS 設定進行解說。

觀看教學影音檔

項次	名稱	教學		時間
1	如何申請 Google 應用服務網站版（Google Apps for Your Domain）	站台一	站台二	00:03:11
2	啟動服務	站台一	站台二	00:00:51
3	設定 DNS 的「CNAME」紀錄 （如果有使用 NAT ，則對外 DNS 伺服器要進行設定）	站台一	站台二	00:03:28
4	設定 DNS 的「MX紀錄」紀錄 （如果有使用 NAT ，則對外及對內 DNS 伺服器都要進行設定）	站台一	站台二	00:02:48
5	登入 Google 應用服務網站及測試收信	站台一	站台二	00:02:48
6	新增一般使用者	站台一	站台二	00:01:11
7	新增管理者	站台一	站台二	00:01:09
8	大量新增帳號	站台一	站台二	00:02:28
9	登入畫面的設定	站台一	站台二	00:02:18