domino 服务器周维护要做哪些事情

a 保存验证者ID文件及其口令  验证者标识符文件(certid及所有组织单元的ID文件)是Domino系统中最重要的的文件。特别是certid，所有其它的ID文件都是由它创建的。如果丢失了这个文件或忘记了它的口令，就无法在创建新的服务器和用户了。因此，从系统建立之初就要注意保存验证者ID文件及其口令。一定要将它保存在安全的地方并作备份，不要将它放在共享的网络驱动器上；将口令记录下来，但不要将口令告诉无关的人员。注意不要将口令设为“password”或其它易猜的单词。  b 定期运行Compact、Fixup和Updall任务 Compact、Fixup和Updall任务是服务器自身的维护性任务。Compact用于释放数据库中的无用空间；Fixup检测无效的文档和损坏的数据库，并尝试修复它们；Updall重建视图索引和全文索引。这三个任务至少每周要运行一次。可以按以下步骤设置它们的运行时间。 1) 在Domino管理员客户端中打开要管理的服务器 2) 在“配置”标签下，展开“服务器”-“程序”，点击“添加程序” 3) 在“基本”标签下，  “程序名”中输入任务的名称，即Compact、Fixup或Updall “命令行”中输入所需的命令行选项  “运行的服务器”中输入运行此任务的服务器的层次名  4) 在“日程安排”标签下，将日程安排设为“启用”，并按需要设置任务启动的时间  如果到了Compact、Updall和Fixup所安排的运行时间，而系统正在执行其它任务，这三个任务可能不被执行。因此，在设置时间安排时，应当尽量避免和其它任务以及定时代理重合。可以在服务器的控制台上输入命令“show schedule”来查看其它程序的时间安排，输入命令“tell amgr schedule”来查看定时代理的时间安排。  每个任务都有自己的命令行选项。例如，“updall -R”将会重建已有的索引，而不加“-R”选项时则只是更新已有的索引。必需选择适当的选项以完成所需的任务。每个任务的选项列表都可以在《Domino 5 管理员帮助》数据库中找到。 c 创建拒绝访问群组  禁止某些用户访问服务器是十分必要的。当用户离开公司时，需要确保他们不能使用原来的Notes ID文件来访问服务器。管理员可以将这些用户的层次名加入拒绝访问群组来保证这一点。创建拒绝访问群组的步骤如下：  1) 在Domino管理员客户端中打开要管理的服务器 2) 在“个人和群组”标签下，点击“拒绝访问群组”，点击“添加群组”按钮   3) 在“群组名称”中输入一个名字，如DenyGroup；将“群组类型”选为“仅禁止存取列表” 4) 在“成员”中输入或选择要禁止访问的用户名 5) 保存并退出此文档  6) 在“配置”标签下打开要拒绝用户访问的服务器文档  7) 在“安全性”标签下“拒绝访问的服务器”中输入上面创建的拒绝访问群组名称，在此例中是DenyGroup。   提示：创建了拒绝访问群组之后，管理员删除用户时可以将用户名自动地加入此群组中，这样，不需手工 *** 作就可以保证每个被删除的用户不再能访问服务器。 d 了解服务器上的应用  要确定服务器所支持的数据库的类型。服务器是主要用于一两个大型数据库，还是用于多个小的应用数据库？服务器上的应用设计怎样？是否使用了对性能有较大影响的方式，如在视图中使用日期/
  文档名称  创建人: 创建日期： 信息技术部 DOMINO 服务器日常维护SOP  版本:    67223722doc                         4/16/2013        2 of 4  时间查询？如果应用数据库的设计不合理，管理员所能做的调整不可能起太大作用。  管理员还需要留意服务器的日志(Lognsf)。服务器日志中的信息是了解服务器及用户活动的关键。特别是日志中的“其它事件”视图，大部分需要观察的信息都包含在其中。每天都应当浏览lognsf，从中找出错误信息和异常信息，判断服务器是否正常运行。  e 去掉不必要的服务器任务  缺省情况下，Domino服务器会自动启动一组服务器任务，其中有些任务用户可能不会用到。去掉这些不必要的任务可以节省系统资源，有利于其他任务和应用的运行。  服务器上自动启动的任务列表在服务器的notesini文件中。用任一文本编辑器打开Domino程序目录中的notesini文件，找到“ServerTasks=”行，删除其中不需要的任务名称，则下一次启动服务器时，这些任务就不会再启动了。例如，如果不使用Notes的日历和日程安排功能，可以将“calconn”和“sched”任务去掉。  在指定时间运行的服务器任务也可以考虑去掉。在服务器的notesini文件中，找到“ServerTasksAtY=”行，其中Y是代表时间的数字(1代表凌晨1点，5代表凌晨5点，以此类推)，删除其中不需要的任务名称。例如，如果不使用共享邮件，则“ServerTasksAt2=, Object Collect mailobjnsf”行中的“Object Collect mailobjnsf”可以去掉。下一次重新启动服务器后，这些被去掉的任务就不会再定时运行了。  关于每个服务器任务的名称和用途，可参阅《Domino 5管理员帮助》中“Domino服务器任务”主题。 f 监视存取控制列表(ACL)  管理员必须保证每个用户对每个数据库都有适合其需要的访问权限。存取控制列表(ACL)是服务器安全性的核心，如果用户能够访问到他不应接触的信息，则会威胁到服务器的安全和信息的安全。 要想方便地查看每个用户对每个数据库的权限，可以打开服务器上的“目录 (R5)”数据库，查看“存取控制列表”-“按级别”视图。“目录 (R5)”数据库的文件名是catalognsf，它是由服务器自动创建并更新的，如果在服务器上未找到catalognsf，可以在服务器控制台上输入命令“load catalog”来立即创建它。  某些关键数据库的ACL必须被严格监控，这包括通讯录(namesnsf)、目录(catalognsf)、服务器日志(lognsf)及所有包含重要信息的数据库。  进一步来说，管理员需要查看哪些用户对数据库具有管理者(Manager)权限。由于管理者可以改变数据库的ACL及其他设置，只应给予需要管理这些设置的用户这一权限。建议最好使用群组来设置管理者权限。例如，可以创建名为DomainManagers的群组，将系统管理员的名字加入其中，然后在数据库的ACL中将DomainManagers设为管理者。这样，即使系统管理员有所变动，也只需修改该群组的定义。  在服务器上安装新数据库时，需要注意其ACL的缺省设置，特别是Default和Anonymous的权限设置。对于重要的数据库，最好不要让Default和Anonymous的权限高于“不能存取者”。当服务器可以从Web上进行访问时， Anonymous或Default的权限高于“不能存取者”时会更为危险。 g  *** 作系统和Domino的补钉程序  各种 *** 作系统都会发布一些补钉程序，用于修补所发现的错误和漏洞。管理员应该留意这些补钉程序，并将需要的补钉程序及时安装在服务器上。

对网络服务器的恶意网络行为包括两个方面：一是恶意的攻击行为，如拒绝服务攻击，网络病毒等等，这些行为旨在消耗服务器资源，影响服务器的正常运作，甚至服务器所在网络的瘫痪;另外一个就是恶意的入侵行为，这种行为更是会导致服务器敏感信息泄露，入侵者更是可以为所欲为，肆意破坏服务器。所以我们要保证网络服务器的安全可以说就是尽量减少网络服务器受这两种行为的影响。

(一) 构建好你的硬件安全防御系统

选用一套好的安全系统模型。一套完善的安全模型应该包括以下一些必要的组件：防火墙、入侵检测系统、路由系统等。

防火墙在安全系统中扮演一个保安的角色，可以很大程度上保证来自网络的非法访问以及数据流量攻击，如拒绝服务攻击等;入侵检测系统则是扮演一个监视器的角色，监视你的服务器出入口，非常智能地过滤掉那些带有入侵和攻击性质的访问。

(二) 选用英文的 *** 作系统

要知道，windows毕竟美国微软的东西，而微软的东西一向都是以Bug 和 Patch多而著称，中文版的Bug远远要比英文版多，而中文版的补丁向来是比英文版出的晚，也就是说，如果你的服务器上装的是中文版的windows系统，微软漏洞公布之后你还需要等上一段时间才能打好补丁，也许黑客、病毒就利用这段时间入侵了你的系统。

如何防止黑客入侵

首先，世界上没有绝对安全的'系统。我们只可以尽量避免被入侵，最大的程度上减少伤亡。

(一) 采用NTFS文件系统格式

大家都知道，我们通常采用的文件系统是FAT或者FAT32，NTFS是微软Windows NT内核的系列 *** 作系统支持的、一个特别为网络和磁盘配额、文件加密等管理安全特性设计的磁盘格式。NTFS文件系统里你可以为任何一个磁盘分区单独设置访问权限。把你自己的敏感信息和服务信息分别放在不同的磁盘分区。这样即使黑客通过某些方法获得你的服务文件所在磁盘分区的访问权限，还需要想方设法突破系统的安全设置才能进一步访问到保存在其他磁盘上的敏感信息。

(二)做好系统备份

常言道，“有备无患”，虽然谁都不希望系统突然遭到破坏，但是不怕一万，就怕万一，作好服务器系统备份，万一遭破坏的时候也可以及时恢复。

(三)关闭不必要的服务，只开该开的端口

关闭那些不必要开的服务，做好本地管理和组管理。Windows系统有很多默认的服务其实没必要开的，甚至可以说是危险的，比如：默认的共享远程注册表访问(Remote Registry Service)，系统很多敏感的信息都是写在注册表里的，如pcanywhere的加密密码等。

关闭那些不必要的端口。一些看似不必要的端口，确可以向黑客透露许多 *** 作系统的敏感信息，如windows 2000 server默认开启的IIS服务就告诉对方你的 *** 作系统是windows 2000。69端口告诉黑客你的 *** 作系统极有可能是linux或者unix系统，因为69是这些 *** 作系统下默认的tftp服务使用的端口。对端口的进一步访问，还可以返回该服务器上软件及其版本的一些信息，这些对黑客的入侵都提供了很大的帮助。此外，开启的端口更有可能成为黑客进入服务器的门户。总之，做好TCP/IP端口过滤不但有助于防止黑客入侵，而且对防止病毒也有一定的帮助。

（ 四)软件防火墙、杀毒软件

虽然我们已经有了一套硬件的防御系统，但是“保镖”多几个也不是坏事。

(五)开启你的事件日志

虽然开启日志服务虽然说对阻止黑客的入侵并没有直接的作用，但是通过他记录黑客的行踪，我们可以分析入侵者在我们的系统上到底做过什么手脚，给我们的系统到底造成了哪些破坏及隐患，黑客到底在我们的系统上留了什么样的后门，我们的服务器到底还存在哪些安全漏洞等等。如果你是高手的话，你还可以设置密罐，等待黑客来入侵，在他入侵的时候把他逮个正着。

．服务器管理
在这项管理工作中，主要是配置和管理服务器属性，安装和设置TCP／IP协议和远程访问服务协议，安装、配置和管理域控制器、文件服务器、DNS、WINS、DHCP、Web、FTP 服务器和各种远程访问服务器。
对服务器的关键点工作状态(如温度、电源、风扇和UPS的运行等)进行必要的监控，以确保服务器正常工作。如果网络中存在多个域控制器，则还需对各服务器的配置信息进行实时更新；更新Web服务器页面信息、向数据库服务器注入新的数据、管理邮件服务器的用户信箱等。
最后还有一点非常重要，就是要及时地更新服务器系统的版本或补丁程序，这不仅关系到服务器的性能发挥，而且还关系到整个网络系统的安全性，因为现在的 *** 作系统不断有新的安全漏洞被发现，及时安装补丁可以有效地阻止填补这些安全漏洞。
2．用户管理
网络管理员在保证网络安全可靠运行的前提条件下，根据单位人员的工作职权和人员变动情况，为每个用户设置账户、密码和分配不同的网络访问权限；设置Web服务器、*** 等远程访问服务器中用户的访问权限等；限制Web服务器可登录的账号数量，及时注销过期用户和己挂断的拨号用户，关闭不用的网络服务等。既要保证各用户的正常工作不受影响，同时又要避免分配过高权限而给网络安全和管理带来不必要的安全隐患。
在本书中，针对用户管理方面在第2章、第5章、第6章做了较为详细的介绍。
3．文件和文件夹的管理
网络中的文件和文件夹管理是整个网络管理中最重要的部件之一，它不仅涉及到各用√ 的正常工作和网络应用，同时还关系到整个网络系统的安全性能。对于网络管理员来说，j 文件和文件夹管理中我们所做的工作主要有以下几个方面：
证每一台工作站的一致性。如果要在工作站上安装新软件，应该先做一个安装测试，并记录下每一个步骤。测试新的安装在典型的工作站上是否会出现问题。如果认为满意，就在每一个用户的计算机上都重复安装过程，保证一致性。如果在每一台工作站上都使用相同的硬件和 *** 作系统，一致性的安装应用程序非常简单。如果网络上用户过多，可以考虑使用某些特殊的工具来生成软件自动安装过程。如Windows系统的“无人值守安装"和“远程安装"功能就可大大减轻网络管理员软件安装的负担。
软件永远不可能完美，总会有这样或那样的问题，所以无论是 *** 作系统还是设备的驱动程序，都应该至少每个季度检查一次有无升级的提示，在服务器和工作站上都要进行这一工作。有时，补丁程序本身比要解决的问题更加可怕， *** 作系统的补丁导致的严重事故比比皆是。比如2003年1月25日爆发的Slammer病毒就是利用了SQL Server 2000早就发现的一个漏洞进行攻击的蠕虫病毒。早在2002年7月，微软就针对SQL Server 2000中l 434端口的漏洞，公布了安全补丁程序，对于微软服务器软件的用户来说，只要下载了补丁程序，就可以避免这次灾难。但遗憾的是，太多用户忽视了微软的建议。从上面的例子不难看出，安全意识的树立在某种意义上比安全技术本身更重要。
另外，在软件管理方面还应对服务器中专门存放源程序的文件夹的访问权限进行严格限制，通常只允许系统管理员有权限访问和使用，否则一些不自觉的用户会在他们的计算机上安装一些本来他们不需要的软件。
8．硬件资源的维护与管理
在企业网络中，网络管理员通常需要负担起管理服务器和全部共享网络资源的责任，包括打印机、处理器、内存、硬盘等。在这种条件下，网络管理员的责任是相当直接的。保持所有资源连接、运转正常。在对这些网络硬件资源的管理中，其中一项重要任务就是实施常规检查。虽然现在复杂的网络 *** 作系统可以承受一定程度的问题而不至于停工，但是网络管理员在这些非关键性的错误堆积起来并变得严重之前，需要周期性地检测服务器并纠正这些错误。计算机系统也带有诊断的工具，但是可能需要使用比它们更复杂的专业工具，比方说 Intel公司的LANDesk Management Suite或者Novell的ManageWise，可以进行更细致的测试，并有更好的联机帮助。网络就是网络管理员的阵地，网络管理员还应对网络内的各台微机或各个工作站进行定期巡检，了解每台计算机的状态，并定期保养。
在出现了硬件故障后，网络管理员还必须承担起故障排除和基本硬件维修的责任。这是最体现网络管理员的技术水平、冷静心态和逻辑思考能力的时候。随着经验的增长，解决问题的能力也会逐步提高。网络管理员要了解各处可能发生的问题：时刻不忘在笔记本电脑中记下调查结果和建议；利用书籍、期刊和自学培训等方式尽可能地积累常见问题的解决方法；当然还应该采取措施预防网络故障的发生。网络管理员应尽可能多地搜集信息，并记录在网络文档中。你会惊奇地发现以前的积累常常可以帮助查明某个事件的原因。

---