7-8mcse2003视频及笔记第二课创建和管理用户账户

1、第二课 创建和管理用户账户1、在 active directory 中创建域用户与账号2、创建本地账户： 快捷启动命令：lusrmgr.msc命令：net user用户名/add ; 删除是/del ;修改直接 net user 用户名 新命令行下输入：Netuser 查看本地有多少用户创建域账户 ：快捷命令 ：dsa.msc命令：user add3、一部分用户信息存在表里HKEY_LOCAL_MACHINESAMSAM 里，右击你正在操作的用户勾上控制和权限，然后刷新目录就出来了HKEY_LOCAL_MACHINESAMSAMsAccountUsersNames存放了本机的用户名 以及用户S

2、IDadministrator 默认用户的 sid 的结尾数 10 进制数是 500，这个十六进制是 1f4，User 项下有和每个用户 sid 数值对应的一些项，比如右图双击 00001f4 中有两个值双击f 中的内容到任何一个用户对应的 sid 值 0000*的f 中，这个用户就成了管理员，并且和 1f4 有相同的权限和桌面等。利用这个方法，可以创建隐藏账户，新建一个账户 aaa$并且把管理员 1f4 中的f 值到aaa$对应的 f 中，然后导出 name下 aaa$和 aaa$对应的 sid 值这个项，在命令行下删除 aaa$，并从新导入这 2 个表项，然后在命令行和添加用户和组的窗口下

3、都看不到这个 aaa$，但是 aaa$能登陆并且只在表这个位置能看到，这就创建了一个和管理员一样的隐藏账户。4、用户账户的 Windows 最长方法较弱，是是 127 个字符，存在 sam 数据库中或 ad 中，windows 默认现有凑足 14 位，并改成大写，分成 2 段加密再合并起来是加密的，但是加密。直接命令行运行 syskey 可以加强 windows 自带的5、用户配置文件 包含用户的桌面、开始菜单、加密算法文档、等分本地配置文件 ：在 c:s and Settings下相应的用户名目录下漫游配置文件 在域用户下，先在 ad 的用户和计算机管理中添加域用户配置文件的路径为，域控制器

4、机器上的一个 everyone 权限的文件夹，比如路径是2doc%username%变量的意思是在 doc 下建立相应用户名的文件夹。强制漫游配置文件 选择显示隐藏文件和后缀，把用户配置目录下 C:s and Settings 下某个用户名中 netuser.dat 改为netuser.man 并且把ad 端也改动，即可实现这个用户以后在每次登陆中所做的配置文件中桌面、程序等的改动不生效。Net use 2务器 2 建立陆。/user:用户名 这个命令的作用是在管理员用户下用某个用户的和服接，然后在通过网上邻居登陆服务器共享文件夹就会用这个用户登多个用户用同一个配置文件，把表HKEY_LOCA

5、L_MACHINESOFTWAREWindows NTCurrentVerProfileList 这个位置下相应的 sid 项中 ProfileImagePath 这个字符串值改为相同的路径即可，然后需要设置一下相应用户都有权限来写入这一个文件即可。第三课 Nfts 特性在 win2003 上的体现1、2003 的文件系统2003 支持的文件系统，文件分配表系统 FAT、磁盘文件系统 CDFS（cdorm 所有文件系统）、通用磁盘格式文件系统UDF（DVD 格式文件系统）、NTFS 文件系统Ntfs 的特性：文件与文件夹精细的安全权限、支持加密文件系统、文件压缩、设置磁盘限额、联结点。命令行下

6、 set u 命令行下查看当前用户用 windows 自带工具 convert 可将 fat 转变为 ntfs 系统第四课 网络共享资源的各种1、方法容易的方法便捷的方法直接的方法专业的方法网上邻居网络驱动器通过 UNC 路径 直接在运行中输入地址通过命令 net use2、Net use 的用处 建立接确立你的net use 2ipc$/user 用户名驱动器 net use 盘符: 2共享文件夹名建立一个网络3、寻找网络中的共享文件夹通过 DFS （分布式文件共享） 域环境下用户在运行 输入即可显示所有共享文件root（分布式文件共享的更目录名称）目录发布 在域服务器上点击ad 用户和计算

7、机 在users 上右击选择新建共享文件夹输入名称和 ip、文件夹目录即可，域环境下用户在网上邻居搜索 ad 即可搜索出来。权限设置方面，在 ad 中选择查看-高级功能选项在选择刚才发布的文件夹属性就有了安全选项，即可在里面设置权限。4、如何确保共享文件安全共享权限NTFS 权限AD享文件夹的权限设置5、Windows2003改后无法还原新特性 卷影副本 功能，是定期备份 2003 上的共享文件，以方便通过网络误删除修。客户机 需要安装一个客户端默认在 2003 的c:windowssystem32cntstwcntx86twcli32服务器 需要共享文件所在 ntfs 分区，并且启用卷影副本

8、功能。在盘符右击属性选择卷影副本稍加设置即可。客户机使用此功能时安装了客户端后直接在要还原的共享文件上右击属性有个以前的版本，选择需要的时刻到本地或者还原到原地都可以。6、隐藏共享 在需要共享的文件夹加上$，比如共享aa 文件夹，共享时名写成 aa$即可在客户端通过网络时看不到这个aa 文件夹，直接通过 UNC 方式直接输入地址aa 才能。第五课 windows2003 安全策略使用安全模板有关安全配置和分析纵深防御？使用分层方法：增加降低者被检测到的风险、者的成功几率。注：右图中 NIDS 是网络测系统检安全策略中账户策略：对照说明很简单的应用策略账户锁定策略 xp 的工作组模式下输错一次相

9、当于 2 次在 2003DC（Controller）上，相对应的是域控制器安全设置和域安全设置安全模板Default security（setup security.inf）默认安全模板controller default security（ecurity.inf）域控制 DC 默认安全模板Compatiable（compatws.inf） 兼容安全模板 Secure（securedc.inf and securews.inf）增强的安全模板 Highly secure (hisecdc.inf and hisecws.inf )高安全的安全模板 System root security(ro

10、otsec.inf)查看系统自带的一些安全模板可以在 mmc 中添加删除管理单元选择安全模板查看和修改以及增加。可以在组策略里的安全设置位置右击导入这些安全模板，安全配置和分析，可以分析当前计算机策略板和选择要更换的策略模板的区别，并且可以选择立即配置马上生效。第六课 2003 的磁盘管理1、Windows2003 的磁盘特性-支持动态磁盘-本地和管理-Mount Drivers-区域网络（SANs）磁盘管理工具介绍-Disk Managemaent windows 自带，1电脑右键 2、mmc 进入、3、diskmgmt.msc 也可打开。-DiskPart命令行管理工具2、基本磁盘与动态磁

11、盘动态磁盘 ：创建动态卷、卷的数目不受限制、可扩容、提高磁盘读写性能、使用容错磁盘确保数据完整性基本磁盘：数据、数据备份动态磁盘支持 win2000 以后的NTFS 分区,并且不支持群集服务。动态磁盘分为：简单卷、跨区卷、带区卷、镜像卷、RAID-5 卷简单卷：类似基本磁盘的基本卷，只有一个磁盘时只能创建简单卷，无大小和数量限制，可扩容，可以被镜像。跨区卷： 至少需要 2 块磁盘、最多支持 32 块磁盘、无法被镜像磁盘 0 满了后写到磁盘 1 上-带区卷(调带卷)： 至少需要 2 块磁盘、最大支持 32 块磁盘、Raid-0将数据分成 64k 的块每个磁盘写入一块、提高性能、无法容错。优点可以

12、提高性能，但容易出错有。镜像卷Raid-1：至少需要 2 块磁盘、可以容错、浪费磁盘空间。RAID-5 卷： 既可以容错又可以提高性能（redundant arrays of indexpensive disks）廉价磁盘冗余阵列至少三块磁盘、最多 32 块磁盘、可以容错、提高读写性能、浪费磁盘空间动态磁盘故障恢复恢复镜像卷恢复 RAID-5 卷更换磁盘或修复磁盘后直接在新磁盘上点击重新激活即可自动修复同上桌面工具令：mstsc.exe第七讲 win 2003恢复-备份备份的重要性：及时保存重要数据及时保存系统状态在紧急时刻提供恢复数据的可能可以使的系统启动起来Windows 备份工具的优势可

13、以备份系统状态可以定制计划任务可以备份到多种上：软盘、优盘、光盘、磁带机、网络上的共享文件夹等支持图形及命令行模式利用 ASR 修复系统，asr:全称是自动系统修复多种备份方式Ntbackup 备份工具令存档标记：在文件属性-高级属性中有-可以存档的勾，如果勾上就是说明这个文件没有备份没勾说明这个文件已经用 ntbackup 备份过正常备份差异备份增量备份副本备份备份不清除存档标记，正常备份+最后一天的差异备份就可以还原到最后一天状态还原时需要正常备份+每天的备份才能还原不清楚存档标记 其余和正常备份一样所有文件都备份不清除存档标记 只备份当天修改过的文件在 2003 下活动目录可以用备份工具

14、备份，还原活动目录时需要在启动 2003 时 f8 选择目录还原模式Automatic system recoveryASR 功能备份重要系统文件需要软盘修复系统启动故障不会还原数据文件第八讲 使用 ipsec 加强系统安全性常用的网络：局域网中传送数据时网卡是以广播形式发送数据，所有网卡都会收到数据，在一个局域网计算机上安装上 sniffer 就可以抓到所有流到这个网卡的数据包，不管他是不是发给这个 ip 的，如果此时这些数据没有加密，就可以读出来。数据篡改 ： 发动，在时把发送 ip 更改成别的 ip，时被时的附属方发现不了数据包来源，包括 ip 地址、arp 地址、dns中间人：网络和数

15、据篡改联合的法，：最常用的法的设计缓冲区溢出：结合程序或来实现的，每种在设计时都会设定缓冲区存放临时数据并定义其长度和限制，在程序员大意没有做很严格的限制时，会把其设计的代码放到这些没做限制的缓冲区中，使其大于设计时的长度和限制就会溢出。范畴的四大标准性：加密数据数据完整性：为了防止数据在传输过程被篡改，给数据加上校验。认证：不可否定性验证Ipsec 能够帮助完成这四大标准ipsec 策略 Ipsec 使用策略和规则规则包含筛选器筛选器动作验证方法性默认策略（windows 默认自带 3 个安全策略）Cnt（respond only） Server（request security） Secu

16、re server（require security） Ipsec 能做什么加密数据关闭端口禁用协议验证ipsec 只能限制本机，如果你的机器做路由或墙来限制。不能限制局域网内其他计算机，还需要防火包超过 65500 字节 windows 会蓝屏，是由于 tcp/ip 协议造成的，只允许内所以会蓝屏包在 65500 以1、 关在本地安全策略的 ip 安全策略中或 mmc 中添加 ip 安全策略，右边 3 个是自带策略，可以在右边新建一个名字为no的新策略，不激活默认规则，然后编辑-添加规则去掉添加向导的勾-在则属性中选择添加一个筛选器和筛选器操作，筛选器规定了 ip 地址和协议，筛选器操作规定

17、如何操作（通过或或协商安全即加密），在筛选器添加 no名字，地址任何 ip 到ip，协议选择 icmp，镜像不用勾，（镜像的意思是对双方都有效，因为本身就是需要双方响应，如果别人自己，自己别人只能出去回来的还是收不到，所以勾不勾效果一样只是提示不一样）然后确定，在添加筛选器操作名字写 no-安全措施选确定即可，然后把no和 no 勾上点击应用，新的 no的 ip 策略就生成了，需要使用时右击指派即可生效。2、 关端口 用 netsna 查看开放端口 listening 是开放并的 establishend 是已经连接的Time wait 别人和你连过现在已经断了和新建 no策略一样，新建no

18、139，只是在添加筛选器时规定协议时改成 tcp 协议，端口写从任意端口到 139，筛选器操作还用刚才的 no 即可，然后点击 no 139 和 no 应用即可生成新的 no139策略，点击指派即可生效。3加密 和验证Netmontor 微软（2003 或 server 系列系统）自带抓包des 加密算法 把一个数据分成 64k 一块的数据块，把每个 64k 的块在分成 2 个块，对每个块的数据用一个魔法数字和密钥做加密，2 个块做完一次后合并在做一次一直做 16 次，最后把数据合并。3des 是做 3 轮这个加密Md5 加密算法 把任意数字生成 128 位的密钥也叫哈希算法加密命令所有数据包

19、 如不加密时用 netmon 抓包会看出所用的 32byte 数据所用是abcdefg 等 26 个英文字母加密时在 2 个计算机都要做相同的策略和设置，加密时别的和上面限制全在 添加上加密一样，在筛选器选择所有到本机，协议 icmp，筛选器操作选择协商安完整性，验证方法选择添加一个使用字符串，然后 2 个计算机要设置相同的任意字符窜做密匙 ，最后都勾上应用即可生成新的加密命令的策略，在 2 个计算机都需要做次设置，然后在用抓包工具抓下来的包就是加密不是明文内容的。第九讲 Tcp/ip 协议基础Osi 参考模型 Tcp/ip 协议族常见协议Ip 地址规范相关概念简介Osi 参考模型 open

20、systemerconnection reference medel之间的接口服务 （应用层-会话层包括 Http、FTp、SMTP应用层表示层会话层传输层网络层数据链路层物理层提供网络与用户应用提供格式化的表示和转换数据服务DNSRIP SNMP)应用之间通信的机制提供提供建立、验证和会话管理在内的建立和和取消传输连接功能，负责可靠的传输数据TCP UDParp ip IGMP ICMP处理网络间路由，确保数据及时传送负责无错传输数据，确认帧、发错重传等提供机械、电器、功能和过程特性数据传输过程 在 TCP/IP 协议栈中表述方式ApplicationApplicationTransport

21、校验并去掉 tcp 报头ernet 校验并去掉 ip 报头Link校验并去掉帧的控制信息把数据分段并加上 tcp 报头上层数据加上 ip 报头成帧Transporternet Link常见协议介绍网际协议 ip 协议：负责在主机和网络之间寻址和路由数据包地址协议 arp：获得同一物理网络中的硬件主机地址网际控制消息协议 ICMP：发送消息，并有关数据包传送错误互联组管理协议 IGMP：ip 主机向本机多路广播路由器主机组成员Tracert 命令 可以查看数据包到达目的地通过多少个路由传输控制协议 TCP:为程序提供可靠的通信连接，要求得到响应，建立好连接才会开始传输，先握手用户数据报协议 UD

22、P: 提供五连接通信，且不对传送包进行可靠的保证，可靠性由应用层来负责不握手Ip 地址规范ip 地址：32 位二进制地址 用点分十进制表示mac 地址：48 位二进制地址 常用 12 位 16 进制表示二进制转十进制方法：点分十进： 把第一个小数点左边 8 位按 2 的 0 次方到 2 的 7 次方排好，有 1 对应的数全加起来就是十进制数了。IP 地址分类A 类地址主机位开头是 0 的 即001111111 开头的，0127B类 地 址 主 机 位 是 10开 头 即1000000010111111，十进制为 128-191C类地址主机位为 110开头即 1100000011011111，十

23、进制为 192-223Ip 地址规范公网 ip 和私网 ip公网 ip 需要申请、可以被公网上的计算机直接私网 ip 不需申请、免费、不能被公网上的计算机直接A 类 /8B 类 /16/16C 类 /24/24其他非公网 ip 也不能在公网出现贿赂即地址 /8自动私有地址(APIPA) /16相关概念简介静态 ip 与动态 ip默认网关 DHCP DNSWINS 提供系统里 netbios 名称用于局域网，现在局域网中可通过 dns 来hostname，来实现网络互访，win2000 以后的系般不用 netbios 了，第十讲服务应用大全之 DNS 服务使用详解Dns：是公网上的一个服务，名称

24、服务DNS 的查询类型和方法递归查询：在递归查询中，dns 客户端直接要求得到完整的结果。迭代查询：在迭代查询中，客户端能得到下一 dns 服务器的地址，首先发送到本地 dns，本地不知道时会向 13 个。域服务器发送递归查询，。域服务器也不知道会。Com 域的服务器知道，并。Com 域的地址，然后他。Com 域的服务器，。Com 域服务器在Nwtraders。coom 域根提示 ：根提示可以让本地域服务器查询全球 13 个根域服务器的 ip 地址根提示在 2003 的DNS 控制器中计算机属性去查看配置，默认系统在安装 dns 时已经配置好在一个网络中如果一台机器既是域控制器又是域服务器，那

25、么在 dns 组件中会自动产生一个。域，他会认为自己就是。域，当然就不用在添加并转发到别的根提示服务器了，这就会导致根提示是灰色不可用，无法名称，这种情况只要把。域删除即可。转发： 转发可以让本地DNS 服务器将查询请求转发到其他 DNS 服务器。转发也在服务器属性中设置，需自己设址，域服务器如果设置了转发会大大减轻负担，转发在 2003 以后系统中可以设置条件转发，例如某个某些例如转发到特定dns 地址，其他 all 转发另一个 dnsDNS 客户端配置方法：手动指定、DHCP 自动获取、辅助 DNS 服务器使用场景：、加入域、浏览网页、收发邮件、等清除客户端DNS 缓存：ipconfig/

26、flashdns加入域时，如果在网卡 ip 属性里填写了 dns 地址，则输入域的全名如则会显示加入框，如果没有填写 dns 地址，则输入全名会报错，这时输入 netbios 名 cent 也可以加入。名称过程：经过右图 8 步。DNS 数据库下图中被选择部分就是一个区域，区域一般就是一个域或，区域的右侧是区域类型：正向、反向、主、辅助、AD集成类型：A、PTR、AME、SOA、 SRV、MX 等建成 DNS 服务器后，可在正向区域某个区域右侧点击新建主机（A）和别名（CNAME）,也可在反向区域里新建反向查找（PTR）用来从 ip 查询名称NSSOA用来告诉这个域的DNS 服务器是谁中序列号

27、：表示这个域的新旧程度，这个域做了更改后序列 序列号新 号会加大，当 2 台 dns 需要做旧来选择的时候会按照主服务器：是来表示这个域的 dns 服务器是谁刷新时间重试时间过期时间：在需要做同步的时时间，如果过期事件还同步不了就会过期，就不候的间隔 可用了。在你的服 这个 SRV：该域的 DC（域控制器）是谁，务器既是 dns,又是 dc 时，会有这个，如果不全，客户端在登陆时就会在 dns 上找不到 dc 导致无法登陆域，如果 srv不全，可在服务中重启 NET LOGIN 服务即可自动补全，srv无法手动填写补全在新建主DNS 区域时，不选择 AD 集成，dns 数据库会是 system

28、dns区.dns 文件如果选择AD 集成 dns 数据库就会和AD 数据库集成在一起，在windowsNTDSntds.dat,选择 AD 集成的好处是AD 自己有能力，如果你在一个域内有多个 DC 并且都是 dns 服务器，就可以在做 dns 时做成ad 集成，dns 的就会随着AD 的自发完成了不需人工干预。DNS 和活动目录的关系活动目录依赖 DNS客户端登陆域/加入域，需要 dns网络资源DC 间需要 dns需要 dns活动目录DNS 中的 srvDC 地址第十一讲 win2003 服务之 DHCP 服务详解DHCP 服务器如何配置DHCP Dhcp 的中继DHCP 数据库的备份和还原

29、DHCP （动态主机配置协议）：最大的作用是给客户端配置 ip 地址DHCP 是怎么工作的如网络内有多个 dhcp 服务器，哪个先回复客户端就从哪个租dhcpdhcpdhcpdhcpa DHCPdiscovacket客户端广播服务器广播客户端广播服务器广播a dhcpoffacketa dhcp request packeta dhcpack packet这就申请到了一个 ip 地址，dhcp 默认租约为 8 天，到第四天（即租约一半）时5 dhcp 客户端会 send a dhcprequest packet 6 dhcp 服务器会 send a dhcppack packet如果成功 租约

30、就又变成默认的 8 天，并继续使用原 ip。如果不成功客户端会在到了 3/4 时间时，在进行续租，如果成功就变成 8 天如不成功就回第一步重新进行广播租地址，哪个服务器先回复客户端就从哪个租。Dhcp 的在工作组环境下 dhcp 直接按上述模式工作。在域环境下，dhcp 服务器先查看 DC 上的AD（活动目录），看自己是否被，如右图，只有被的 dhcp 服务器才能开始服务。如何去一台 DHCP 服务器操作在 DHCp 服务器上进行即可，dhcp 上右击选择即可。如何配置一台 DHCP 服务器作用域（scopes）-一段 ip 地址的集合。Dhcp 的保留-为一些有特殊作用的服务器或工作站配置固

31、定的 ip 地址dhcp 的选项可以配置网络中的网关(即路由)、子网掩码、dns 服务器的地址、域、wins 服务器 ip 并告诉客户端，Dhcp 选项中可以配置的有 3 种：服务器选项、作用域选项、保留选项。其中服务器选项权限最大，如果保留和作用域选项不设置会继承服务器选项的设置内容。如果设置的话就会变成你设置的内容。保留和作用域选项的优先级比服务器选项高，因为一个 dhcp 服务器上可以设置多个作用域。如设置选项设置。都使用的地址如dns 可以在服务器类级别 把 2 个或多个作用域里的 xp 客户端作为一类，或 98 的客户端作为一类，这一类使用相同的配置，或者把某个作用域中的一些计算机设

32、置为同一类级别，给他们设置上相同的配置。这些配置在选项中的高级中设置。并且需要先在客户端网卡中设上类级别。客户端设置类级别：在命令行下，使用 ipconfig /setcla名(任意设置能记住的英文即可)“网卡名称（本地连接几）” 类别服务器设置类级别：和 dhcp 的配置类似，也可以在服务器选项、作用域选项、保留选项中设置，先在服务器右击，选定义用户类别添加显示名称-ASCII 码处填入网卡那填入的类别名确定即可。 然后在服务器选项中右击选择配置高级用户类别选择你先前设置的cal，在在下面可设置和普通 dhcp 配置一样的各个设置了。其优先级和 dhcp 普通配置一样，都是如果不配置保留和作

33、用域，服务器选项是全局的，如果配置了保留和作用域，保留优先级最高、作用域其次。中继（relay agent）：帮助通过 2 个路由器相连的 2 个子网中一个子网的机器去个子网的 dhcp 服务器来达到自动配址的目的。另一因为路由器是默认不转发广播包的，所以子网 A的机器就无法通过广播去 B 网获得DHCP 配给的地址。除非支持 RFC 1542 的路由器是可以转发DHCP 的广播包的。跳点（hop count）：中继支持 16 个路由。需要通过多少个路由器才能到达 dhcp 服务器所在的网段，最大如果真的通过 16 个路由倒不如给中继所在网段配置一台 dhcp，否则太影响性能和速度。启动阀值（

34、boot threshold）：设置中继时可以设置一个等待时间，如果本地 dhcp 服务器存在就从本地获得 ip 地址，如果不存在或当掉了，就通过中继时间就是启动阀值。来获得 ip 地址。这个等待因为 dhcp 是根据时间先后来确定的，如果本地有存在 dhcp 肯定会在等待时间之内就能从本地获得 ip 地址，如果本地不存在或当机，在等待时间之后就会通过中继来获得。配置中继在路由和务器中。服务器来配置，不是在 dhcp 服在一个启了路由的服务器中，打开路由配置界面，在服务器ip路由选择右击选择添加路由协议选择dhcp 中继程序-然后右击属性添加要转的 dhcp 服务器地址即可然后右击 dhcp中

35、继程序选择新增端口-选择你要连接本地子网的网卡可以设置跳跃点数和启动阀值。如何备份还原 dhcp 服务器数据库Dhcp 的所有数据库文件存放在c:windowssystem32dhcp文件夹下。平时dhcp 自动 24 小时备份一次放在dhcpbackup目录下,或者手动右击dhcp 服务器选择备份和还原。还可以利用windows 自带的 ntbackup 工具来实现放到别的位置（盘符或机器）来提高安全保障。Dhcp 的，如果希望一个用户对 dhcp 服务器只有只读权限，可以加入 dhcp user 组，如果希望他可以配置 dhcp 服务器，可以加入 dhcp administrator 组命

36、令行下，清空网卡缓存可用 ipconfig /release重新获得 dhcp 分配的 ip 可用 ipconfig /renewDhcp 服务器在地址用到 90%时会在作用域下面给出提示黄色感叹号，如果已经用完会给出蓝色感叹号如果在一个子网内有 2 个作用域，比如 100，100，会发生所有机器会先从 192.168.1 的作用域内取得 ip，取完后才从 2 的取得 ip，这种情况下要想让子网内客户端从 2 个作用域分别取得 ip，可以在服务器上右击新建一个超级作用域，并且把这 2 个作用域都添加进这个超级作用域，即可。第十二讲 WINS 服务使用详解名字Wins 服务原理Wins 服务wi

37、ns 服务名字：在大型网络中，知道计算机名（netbios 名）来获得对应 ip 地址的过程Netbios 名在什么地方会看到：工作组模式-网上邻居看到的名字广播是netbios 名的方式之一。Netbios 名最长 16 个字符但只能用 15 个主机名比netbios 长度要长的多，当主机名小于 15 个字符时，主机名和netbios 名一样查看主机名和 netbios 名的方式：1、 右击电脑属性-计算机名点击更改看到的是主机名-在点击其他看到的是 netbios 名2、 主机名命令行下输入 hostname 即可Netbios 名-命令行输入 nbtsn 或当主机名小于 15 位时就是用

38、 hostname 查出的主机名Nbts查出来的 netbios 名有很多行，这些前 15 位相同第 16 位是不同的，对应的服务不同第 16 位也不同。右图中用 nbtsn查出的 netbios 名都是 server2，第 16 位 00 代表 works ion服务、20 代表 server 服务、01 代表 messenger 服务。WINS 服务原理2 个网段或计算机很多的一个子网中，可以配置一台 wins 服务器，以缩短广播形式查询 netbios 名的时间。在 2 个网段中，网段 1 的计算机是不到网段 2 的计算机的，因为路由默认是不转发广播包，这时候在网段 1 中可以设置1 台

39、计算机为 wins proxy 可以将本网段内的广播上来实现通过路由发送到wins server网段 2 的目的。成为 wins proxy 很简单需要修改表HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServi的键值为 1 即可NetBTParametersEnableproxyNetbios 的节点类型配置 wins 客户端-在网卡 tcp/ip 属性里高级填入 wins 服务器 ip 地址即可配置完后用 ipconfig /all 查看网卡时会发现里面有个 Node Type （节点类型） -Hybrid节点类型分为 4 种，是应用在在 wins 客

40、户端的1、B-node 基于广播的方式（性能不好）2、P-node 基于点对点方式per to per 即找服务器3、M-node 先广播在去找服务器（性能也不好）4、H-node 先服务器在去广播一般都配置成基于H-node 的，性能好又兼顾 2 种方式WINS server 可以看成一个数据库，里面存放了一张表，存放了对应的 netbios 名和 ip配置 wins server 在服务器-wins 服务右击活动选择显示，点击立即查找，就会把网络内所有客户端的 netbios 名和对应 ip 找到并存放到wins 服务器中Wins Clent 在 server 的和注销的流程Wins cl

41、ent 开机时（进行网络连接，进桌面前一步）会在 wins server名和 ip并告诉 server 其 netbiosWins clent 关机时（正在关闭网络连接）会告诉 wins server 并客户端就查找不到标记的netbios 名和 ip其 netbios 名和 ip，这时别的WINS server 对并发连接的处理问题比如几千台客户端同时开机，或断电后来电时所有客户端同时开机的场景。如果什么也不做 wins 的性能很很受影响，也会导致有的客户端变慢导致登陆变慢。Wins server 定义了高中低三个级别，高：前 1000 个客户端直接中： 500低： 300并登陆，后面的客户

42、端先给一个令牌，让其先登陆过一会在服务器默认设置是中，在服务器属性高级中配置。一个 cnt 可以配置多个 server，按顺序查找，当第一个找了 3 次还没有响应时才会寻找第二个。：可以手动添加一个 netbios也不会被删掉（非静态记静态，录在后面有个日期， 过期就会被删掉）。在服务器的表中新建静态 ip 填入 netbios 和域的名称，选择唯一，在填入 ip 即可。WINS 服务的两个不同网段的 wins 服务器，设置复制后，可以使网段 1 的计算机查看网上邻居是看到网络 2 的客户端，并。方式：推、拉。推发生条件：满足其中一个就会发生推当 wins 服务器启动时。当信息改动的项数达到一

43、定数量时当wins 服务器数据库内有一项信息中的 ip 地址发生变动时系统管理员手动方式进行立即的操作时当配置伙伴服务器时要在 2 台 wins 服务器上相互配置，并设置相同的推拉伙伴类型拉发生条件：满足其中一个就会发生Wins 服务器启动所配置的间隔时间到了管理员手动进行拉操作时WINS 服务手动备份或用计划任务用 windows 自带的备份工具 ntbackup 来自动备份还原时需要先停止服务在进行还原整理 WINS 数据库如果网络较大，时间长了后，数据库数据多了，wins 服务会慢慢变慢cd %systemroot% system32wins net stop winsjetpack w

44、ins.mdb temp.mdb进入系统目录下wins 目录停止wins 服务整理 wins 数据库，wins.mdb 名字任意起，整理后数据库排列会合理整齐net start wins启动 wins 服务Lmhost 文件用？lmhost 文件是在选择网络节点是 b 节点广播形式时，如果广播没有找到netbios 信息，就会查看本机的 Lmhost 文件看里面是否有定义，如果有也是可以称的。netbios 名如何设置节点类型？有 2 种方法修改表这个键值下HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServiNetBTParameters有个 nodet

45、ype 的 dword 值，如没有新建一个即可，对应键值 1、2、4、8 为 B、P、M、H 类型通过 dhcp 服务器强制定义第 13 讲 如何搭建服务器有关网络如何配置的基础结构如何控制哪些用户可以IAS 服务器你的网络一种企业网的模型网络的过程有 2 种：验证（authentication）（authorization）一台计算机要连入公司网络，验证发生在 DC 上，要提供自己的用户名和在 dc 上通过验证，通过后 dc 把信息返回给服务器（服务器），由检查你是否符合（如拨入的时间或是否属于允许拨入的用户组等拨入条件），如符合你就可以成功拨入。所以发生在服务器上。如果是工作组模型，验证就

46、在本地服务器上的 sam 数据库来验证，工作组模型验证可以在计算机管理的用户和组里面配置用户。验证的机制：CHAP服务器默认支持以下验证方法PAP SPAPMS-CHAP v2较早的 不加密明文传送MS 消息摘要协议 v2 版本 推出比 MS-CHAP 时间早 win2000 默认使用协议但是仅局限在 2000、xp、2003 使用，不支持 98、nt 等较老客户端后来推出的新版本的 MS-CHAP 协议，向下兼容 98、nt 客户端MS-CHAP EAP-TLSPEAP智能卡验证协议，智能卡较安全，使用时你需要卡和卡的 pin 码。MD-5 challenge如何用连入公司内网1234客户端

47、向服务器发起连接请求服务器应答请求服务器对客户端进行验证和服务器通过请求并开始传输数据连接所用的协议1、 PPTP的默认使用协议，一种点对点协议，内置加密算法（MPPEpo-to-poencryption），针对以太网（ ernet）生效2、 L2Tp/IPSec不是默认使用协议，如想使用需在客户端指定，默认不加密，如想加密需搭配 Ipsec 使用， 除了以太网还对 x.25、ATM（异步传输模式）的网络的应用场合1、 用户客户端到服务器之间连接2、 2 个子网之间站点到站点的（2 个之间）最简单的方式建立并允许一个用户拨入服务器配置路由和那里建立一个服务器，建立时选择拨号或）-选择一个方式选

48、择会启用简单的几个方式-选择一个接入公网的网卡（勾上通过设置静态数据包筛选器。滤，比如）-选择一个对客户端指派 ip 的方式，-是否选用 radius 服务器一起工作，先选否客户端配置-新建一个拨号连接即可， 在网络选项卡中的网络类型下面有上面提到的 2 中协议类型，默认的是 PPTP，而在安全的高级设置中有上面提到的一些等，用默认即可。验证方式如 CHAP V2默认用 administrator 拨入，在域环境下，要先在域控制器上的 user 中把 administrator 设置允许拨入，否则客户端拨不进去。如何控制用户你的网络权限：在dc 的 ad 控制台上，右击把域级别到 2000 或

49、 2003 的纯模式，在 user 中选择一个用户属性-拨入选项卡下的-通过路由等配置策略控制就可选了。下面还可以配置应用静态条件：在服务器的-策略中默认有 2 条，比如到其他服务器的连接属性中上面的指定连接请求必须匹配的条件-选择编辑，就是编辑拨入时间这个条件。配置文件：而同一选项卡下面的-编辑配置文件，有很多配置的项可以控制如在服务器策略中新建一个策略时有很多条件可以选择，最后还可以配置配置文件。策略-右边的策略有顺序，如果第一项条件满足就不再查看后面的策略，直接去 dc 上的权限去验证如果也通过再去看这条策略下的配置文件副不符合，如都符合用户就可以拨入了。服务器验证是按照：条件-权限配置

50、文件的顺序来验证的。路由和中端口选项：通过更改端口数，可以控制拨入服务器的人数通过 IAS管理IAS： ernet 验证服务器、也叫 Radius（读音 ruidiers）服务器，radius 是一种工业标准，通过radius 标准做的验证管理，radius 标准在 windows 上的实现就是 IAS，即装了 IAS 组件的服务器就是 radius 服务器。当有多个服务器时可用radius 服务器来管理。服务器上在添加删除处安装上ernet 验证服务这个组件后就变成 radius 服务器了配置 radius 服务器，添加ernet 验证服务后，在管理中启动ernet 验证服务控制台新建一个r

51、adius 客户端输入名称和客户端 ip 地址-输入一个共享就是服务器和客户端都需要填的一个，（任意填即可，只要客户端和服务器填的一样）服务器端就配置好了配置 radius 客户端，在服务器上，右击服务器-属性安全选项卡改成 radius验证码确定点击配置添加上 radius 服务器的 ip那点击更改输入和服务器端一样的返回安全选项卡记账（日志）选项卡也选成 radius 记账，同样添加radius 服务器 ip 和填入机。这样就完成了客户端的配置，重启服务程序后，服务器端出现。策略就会，变到在radius这时可以在radius 服务器上配置的策略，日志也会在。-本地文件属性设置中：记账请求何

52、时开始或停止；验证请求接入请求被允许或；周期性状态表示如客户端突然断电掉线，服务器会周期性发送状态检测包，如果状态检测包没有被响应，服务器就认为客户端已经掉线，选上这个就表示态。这个状服务器可以放在相应端口即可。后面，pptp 开放 1723 端口 ，L2TP 开放 1701 端口，在开放拨入时如果是域环境，可以在客户端拨号属性的选项中，勾上包含 windows 登陆域，就和在内网进入域网络时一样，如果是工作组模型，可以把这个勾去掉即可。第十四讲 利用 sus 实现自动补丁管理各种补丁的安装方法及必要性Sus 的简介如何配置 sus，以实现向所有客户端自动分发补丁了解时间线打补丁方式1、 wi

53、ndows update、automatic update更新解决方案Sus 只能向客户端分发补丁。Sms 类似一个控。制管理，需Sus 全称：software update serviSus 流程 ：1、sus 服务器从互联网2、 管理员测试安装补丁是否兼容或3、 没有问题后，管理员发布补丁windows 的更新和补丁问题4、 客户端开启自动更新服务，并指定从内网 sus 服务器获取补丁5、 客户端设定何时安装。完成安装重启。Sus 服务器条件：需要安装在服务器版本的系统、需要 IIS 组件、需要NTFS 分区最后安装 software update servi（可从微软免费）安装时选择一下

54、需要的语言，否则会把所有语言版本的补丁都下来。-自定义安装-安装位置-存放补丁位置-选择支持语言版本如何向客户端发布更新（自动或手动测试后发布）-告诉你如何sys 服务器。 HYPERLINK http:/服务器名/susadmin http:/服务器名/susadmin 来设置 sus 服务器：设置同微软服务器同步更新的方法和时间-发布更新-设置选项可以查看日志等-查看服务器：可以查看服务器可以哪些更新。总的来说设置很简单DC 上配置组策略实现客户端自动到 sus 来更新-AD 用户和计算机-域属性选择组策略编辑-计算机配置管理模板-windows 组件最后的 windows update-

55、配置自动更新启用并选择安装方式指定ernt更新服务器位置：启用并填写 sus 服务器的完整，统计服务器也填写这个重新计划自动更新计划安装：启用并设置一个时间，就是上次没装下次启动后多长时间提醒计划的自动更新不重新启动：只有在计划安装被启用时，设置为启用，在更新完后不会强制重启计算机，否则会强制通知用户 5 分钟后重启。客户端条件：首先需要启用自动更新才能从实现。组策略生效后客户端的更新选项就会看到已经被设置，并不可更改。这时即可自动从 sys 服务器更新如组策略没有立即生效可以在客户端输入 gpupdate /force 来更新组策略Sus 备份：1、备份 web 站点的目录，iis 中的目录

56、2、 sus下的补丁文件3、iis 的原数据，类似windows表，存在 windowssystem32 下第十五讲活动目录的设计和部署方法活动目录的设计活动目录的部署1、活动目录的设计活动目录 what doeive directory do?是从目录服务演变过来的，活动目录可以理解为一本书或者一本字典的索引，理解为网络中所有资源的快捷方式，通过快捷方式来找到和使用网络资源。可以集中管理网络资源可以分散管理集中控制资源可以所有对象（安全主体），在逻辑结构里使网络性能最优化在域环境里，有台DC了一个数据库，这个数据库就是活动目录数据库。搭建域环境的条件：单域如果公司计算机不多，有 20 台，想

57、搭建一个域环境，也是可以的，但是dc 最好不要只有一个，如果 dc 当掉整个域的计算机都无法登陆，所以这种小规模的单域环境也要有 2 台服务器做 DC，好有个备份。子域-如果以后公司发展壮大了，在又成立了，想把和总公司之间的计算机都放到域中控制，这样可以在在搭建一个子域，不建议把 2 个地方的计算机都搭建到一个单域环境里，因为两地通过互联网相连，单域内 DC 做同步和的频率会很频繁，会很的做父域（根域），的做子域，2 个域环境的 dc 不一定完全一占用网络资源和带宽，样，所以同步的频率会降低。域是安全的边界和的单元，域内的管理经常是通过组策略来完成的，父域的组策略不能影响子域的组策略（子域不继

58、承），子域需要单独去配置和管理自己的组策略。右图分别有 a 的 4 个域和 b 的三个域分别叫做 a和 b 两个树模型，所有三角形加在一起叫做一个森林，在一个森林内所有计算机是相互信任关系，信任关系是双向可传递的，共享资源不需要（验证）输用户名。一个树内的名称是连续的，两棵树之间的名称不一定是连续的，2 个树连起来叫做一个森林。什么时候去搭建出另外一个树，比如企业兼并，a企业兼并了 b 企业，这时可以保留的名称空间，可以方便原来企业员工的登陆方式，减少对 b 企业员工的影响。也可以保留 b 企业的的品牌和价值。一个企业一个是森林就足够了，不需要多个森林，因为森林之间默认是不信任的。什么叫做 O

59、U：OU 叫做组织单元。划分 OU 可以根据企业实际管理结构去划分，例如不同部门可以划分为不同的 OU，总经理一个 OU，副总一个OU，财务部门一个OU，生产部门一个 OU 等。OU 也可以按地理位置来划分，例如公司很大，一个 OU 包括的所有员工，部门一个OU，部门一个 OU，但是不建议这么做，从网络流量、速度等方面原因来说，域可以按地理位置来划分，OU 就按照一个位置里面的实际管理结构去划分，不建议按地址位置划分。OU、域、森林都叫做容器。组是一种权利权限的集合。例如管理员组、组，一个用户账号可以属于不同的组。OU 是管理层次的体现，不同用户属于不同的OU，例如一个用户属于生产部门的OU，

60、就不能属于销售部门的 OU，因为 OU 是容器，可以把 OU 想象成一个房子，一个人在这个屋子里就不能同时在那个屋子。总结：域模型可以按照地理位置、实际管理模型来分都可以，建议父子域按照地理位置来分，在一个域内按照实际管理模型来划分OU。GC（Global Catalog）：全局边录服务器，一个森林内肯定会有一个 GC，默认森林里第 DC 服务器就是 GC，GC 中会存森林中所有域对象的副本，会存在 GC 的活动目录数据库里，只会存所有子域对象中所有属性的子集，大概会有 4%的常用属性会存到 GC 中，所以从 GC 就可以查整个森林中的对象。在 AD 站点和服务下打开一个服务器的-ntds s