不同林多域之间的共享访问AGDLP策略.doc

多域之间的共享访问AGDLP策略AGDLP意思是A（账户）加入G（全局组），再加到对方域的DL（域本地组），分配P（权限）。实验目的：用AGDLP来实现访问其它域的共享文件。试验准备：新建一个分组，放三个虚拟机a，b，xp，其中a，b是windows 2003，在b机中设置双网卡。一个为10网段，一个为192网段。xp也是双网卡，一块网卡连接b，一块连接a。分别设置三台机的密码为suntong_258，后面试验用的的密码均设置为该密码。拓扑图：虚拟机下虚拟网卡的设置如下： 拓扑说明：把所有网卡放在局域网1中，b电脑和xp设置双网卡，设置好相应的IP后，三台电脑应该能互相ping通的。其实也可以不设置双网卡，而是给一块网卡配置2个IP地址，效果一样。本实验采用双网卡做。另外，如果实验拓扑图如下的话，默认情况下即使不配置权限，xp也是ping不通a电脑的，在测试时需要在b上设置NAT。注意：在配置IP的时候需要将b机的192网段的DNS不填，只填写10网段的 而XP中则10网段的DNS需要填写，192网段的不填，否则会出现DNS错误等提示。实验目的：利用AGDLP规则使下的用户能访问下的共享文件。步骤1：拓扑图设置好计算机名，IP地址，dns地址，分别提升2台2003的电脑为域控（在不同的林中），把xp加入域。步骤2：在下建立OU取名benet，在里面建立域本地组DL。步骤3：在下建立G组及用户c步骤4：把用户c加入全局组G，即实现了AG。步骤5：分配P（权限），先在上建立文件夹share并共享，为了验证结果在share中新建个文本文件st，并为DL组赋予访问权，实现了DLP。AG说了，DLP也说了，还有最重要的一步，就是把niit上的全局组G加入到bennet上的域本地组DL，这也是最重要的一步，要在一个域里加入其它域里的对象。那么域之间必须存在信任关系。建立信任关系的前提是能相互解释，那么在DNS上必须设置转发器。步骤6：分别在A，B上是指DNS转发器。Benet域下的DNS转发器地址填B电脑同网段的IP地址Niit域下的DNS转发器地址填电脑A的IP地址步骤7：分别在2台电脑上提升域和林的功能级别。以实现2003上更多的功能。下面以提升为例，首先打开AD域和信任关系，右击选择“提升域功能级别”，选择级别为“windows server2003”。如下图所示。接下来提升林功能级别。右击“AD域和信任关系”选择“提升林功能级别”，选择林功能级别为“windows server 2003”。步骤8：建立信任关系。这里以为例做信任关系。 同样的方式在上做信任关系。（省略）步骤9：手工验证信任关系。（在两个域中都要通过验证） 在上图中选择“属性”，然后点击“验证”，输入用户名和密码，可看到“该信任已经过验证”步骤10：把的全局组G加到的域本地组DL，实现AGDLP。首先打开电脑a中的DL属性成员，把查找位置修改为，如果看不到，可以重启下电脑。在输入对象名称来选择框中，手工输入“G”，单击确定。步骤10：验证。在xp这台机上用在上建立的用户c登录到域中然后在去访问a机中的共享文件。【注意点】： 上面实验可不需要提升域/林功能级别，我习惯性的多此一举。外部信任：是指在不同林的域之间创建的不可传递的信任。 林信任：外部信任为不同域间跨域访问提供了方法，可两个林中有许多域，要跨域访问资源就需要创建很多个外部信任，这种方法就显得不太现实，这就引出了林信任，只用在林根域之间建立林信任就不需要创建多个外部信任，在为林信任是可传递的。注：实现林信任，前提条件，林功能级别为windows server2003,域功能级别可为windows 2000 本机/wndows server 2003。 林中的域的信任关系是可传递的。如域A信任域B，域B信任域C，即域A信任域C。而外部信任不能得出这结果。信任方向有单向和双向两种。其中单向分为内传和外传两种。内传指指定域信任本地域，外传指本地域信任指定域。双向指两个域之间有两个方向上的两条信任路径。如域A做单向外传指向域B，则域B可访问域A资源。“把的全局组G加到的域本地组DL，实