金牌网管师初级中小型企业网络组建配置与管理笔记

1、本组成主应用主以太局域拓扑结构类型及各自主优缺点OSI/RM主功工作原理LAN/RM主功工作原理主以太标准性及各自物层、MAC帧格式主WLANCSMA、CSMA/CD、CSMA/CA工作原应用数据通信本模型主数据传输术原理主数制类型相互转换方法主数字编码方式IPV4IPV6主功、数据包格式IPV4IPV6地址类型及配置方法IPV4划分与聚合方法TCP协议主分段格式TCP协议主分段格式TCP建立与释放原理UDP、HTTP、ARP、PPP本工作原包（帧）格式交换、路由器防火墙术VLAN、STP、RSTP、MST、VTP等设备的技术原理和应用其他网络基础知识需求266aRJ-4555e（5）类的差别：866aRJ-45千兆以太网排线顺序可以任意，但是两端得一样国际影响力的三家综合布线标准发布组织是：ANSI（AmericanNationalStandardInstitute,美国国家标准化组织）TIA（TelecommunicationIndustryAssociation,电信工业协会）EIA（ElectronicIndustriesAlliance,电信工业协会）EIA/TIA-568AEIA/TIA-568B实际用的4，1、2、3、6双绞线分网线和网线，网络头两端排列顺序一样线连接网络设备的连接，线用于设备的连接是双绞线网络的的4个绿色上至依次闪过。有提或红，则证明相应引脚的网线制作

3建与配置网络工作组的主要特点：NetBIOS、、账都策略分布式数据库系统最大特就实现、账，及策略集部署活动目录数据库3表格：schema包含了所活动目录创建信息及他们之类型选及属、link包含所属关联，包括活动目录所属值data表活动目录、、程序特殊数据其他数据部保存DATA）要特：集级账策略顺序：本地组OUOUDNS、求基于活动目应求首netsh具windowsTCP/IP参数及对应功帮助说明IPIPNetshinterfaceipsetaddress[name=]InterfaceName[source=]{dhcp|static[addr=]ipaddress[mask=]subnetmask[gateway=]{none|defaultgateway[[gwmetric=]gatewaymetric]}}[name=]InterfaceNameInterfaceName3-1的匹InterfaceName则请将文本于引号之中(例“InterfaceName1”)[source=]{dhcp|static[addr=]ipaddress[mask=]subnetmask[gateway=]{none|defaultgateway[[gwmetric=]auto|gatewaymetric]}}DHCPIP还IP地果使用静态IPAddresssubnetmask将IP子掩码果使用静态那么还同时保留当前默认（果有还该一个果配默认则利用DefaultGateway默认IP而gatewaymetric0处于同一段也可以先把自动获得方；果不则选择none“本连DHCPIP则键入以Netshinterfaceipsetaddressname=本连sourcd=dhcp果“本连”NIPaddrmaskgateway和gwmetric=）DNSNetshinterfaceipsetdns[name=]InterfaceName[source=]{dhcp|static[addr=]dnsaddress|none}}[register=]{none|primary|both}[name=]InterfaceNameDNSInterfaceName3-1匹InterfaceName含请将文本于之(例“InterfaceName1”)|DNSIP通过DHCP还IPDNSaddress变量DNSIP先把none删除DNS[register=]{none|primary|both}选计算机册方none表该计算机禁动DNS册完整计算机；primary只DNS后缀下册完整计算机；bothDNS他DNS后缀下注册完整计算机DNSnetshinterfaceipsetdnsname=source=dhcpIPNetshinterfaceipaddaddress[name=]InterfaceName[addr=]ipaddress[mask=]subnetmask[gateway=]defaultgateway[gwmetric=]gatewaymetric]NIPNetshinterfaceipdeleteaddress[name=]InterfaceName[addr=]ipaddress[[gateway=]{defaultgateway|all}]AllDefaultgatewayIPNDNSipadddns [[index=]dnsindex]DnsindexDNSDNSNDNSNetshinterfaceipdeletedns [name=]InterfaceName[addr=]dnsaddress|all}AllDNSnetsh/IPnetsh–cinterfaceipdump>脚本文件路径和文件名netsh–f设脚本文件NetBIOS7强制某台机为主浏览的方法：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\browser\parameters位isdonainmasterTrue如果想让某台机永远不能成为主浏览HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\browser\parameters注册位上将maintainserverlist键值改为no ,此时COMPUTERBROWSER也将无法启动作的必要条件：客户机要了NetBIOSTCP/IP协议就内NetBIOS客户端启了“microsoft网络中至少一台机启动了计算机浏览（Computer服nbtstat–aIP地命令实现，主浏览的标识是含\_msbrowse_这样的标识启动workstationserver造成“网上邻居”访问不成功的原因对方计算机上的防火墙阻止了。137端口在局域网中提供计算机的名字或IP地址查询服务，一般安装了 NETBIOS协议后，该端口会自动处于开放状态。138端口是为NETBIOS datagramService(netbios数据报服务)提供的，主要作用就是提供 netbios环境下计算机名浏览功能，也就是browser服务有关。139端口是为 netbiossessionservice(netbios会话服务)提供的，主要用于提供 windows文件和打印机共享以及unix中的samba服务。445端口，也是提花局域网中文件或打印机共享服务组策略限制了。IP安全策略中主要看是否限制了上面介绍的这些网上邻居访问端口的通信。经典访问模式中，需要访问者在对方计算机上有合法的用户账户才能访问对方的共享资源，需要经过明确的身份验证；而来宾模式则用户访问时是以来来宾 guest账户进行身份验证，需要输账户和提是用来宾用户。windowsXP或以后 版中的guest账户也以放进 everyone组中，享的限，就是组策略中的的限用于名用户”策略。账户的访问限制用的用户进行控制。网上访问计算机，网上访问计算机用户的共享文件限和 NTFS文件访问限限制了作组网用户访问域网用户。作组网用户法访问域网中的计算机。过来域网用户访问作组网用户则以面或者开上有网上邻居要在面上网上邻居，需要在面的处，面—自定义桌面开始菜单中显示“网上邻居”快捷键，只需在状态栏的空白处右击，属性——【开始】菜单——自定义——高级——网上邻居复选框——确定在“网上邻居”中没有“整个网络”1）HKEY_CURRENT_USERS\Software\Microsoft\Windows\CurrentVersion\Policies\Network位置，查看是否有一个名为noentirenetwork的dword键项，如果有将其值设为0，没有就新建2）HKEY_CURRENT_USERS\Software\Microsoft\Windows\CurrentVersion\Policies\exploresnoentirenetworkDWORD03）HKEY_CURRENT_USERS\Software\Microsoft\Windows\CurrentVersion\Policies\exploresnonethooddword0(或explorer)位置查看地是否有noentirenetworknetworkexplorer)主键，然后再新建noentirenetwork0.网上邻居中可以看到自己，却看不到其他联网的计算机从以下几个方面找原因IP“客户”选项“服务”控制检已启动computerbrowserservice没需进认部分ping.exePing它主IP检速度正常检状态指示灯闪烁检指示灯正常怀疑它进步检查邻居到它却不到己没正常启动server(服务)服务检computerbrowsernetlogon当双击访“邻居”“整”时弹出错误示“无法浏览末因为workstation服务没启动，联computerbrowserservicenetlogom已启用guest仍不能访“邻居”guestwindowsXP3guestguestguestguestguest密码windowsxp主时候总出现输入名身份验证对话杠或者登录圣诞框灰guest能输入别号为什么guest模式就输入名密码就guest仅经模式别xp输入样时4WLAN置WLAN式DCDistributedcoordinationfunction,分布式协调功能）制心控制备点对点 AdHoc拉丁语结构 WLAN和PCpointcoordinationfunction,点调功能制心控制备WLANAP点对多点infrastructure结构wlanADhocWLANWLANWLAN无SSID(Servicesetidentifier,)WLAN1、6、1127、13、8、13这3个信道组否则就会有重叠。注意不能与同一AP信道重复。5案与最简单案就是利windows2000系统推出ICS（internetconnectionsharing,internet共享）但ICS之前要注意以几点：果DHCP器而且已DHCP器自动IP，则要禁DHCP器。因为ICSDHCP而且网ICS均必须ICSDHCPIP否则就会果已装其他共享软sygate/wingate/ccproxy则要因为这装后会装，而装ICS后也要不软就会发题果是ADSL之要装设则采ICSICS器要装两块卡ICS共享性能也不是很好一般于 20台器以内先NATICS“家庭或小型办公络”向导（它称为“ICS）来（只适合小型网络般仅20）启ICS自项目自自项目项目操作说明自拨号能已启用IP建立拨号连时创建Internet已启动服务DHCP程序DNS已启用5家庭或小型办公络”向导法需要分在络中台机6、络向导以络（或已中）netsetup.exe。7、E家ADSL能路由sniffer具在PPPoE协议sniffer就加密前后密码在以。8503AP9“开放系统”是指用户端须输入密钥直接与网络连接方式这种方式在较大安全隐患在企业网络通常不采用连接时输入接入点预设密钥正确输入密钥用户才能与客户端分配密钥出于安全考虑不宜先把特别是在企业网络中代理服务器共享上网方式也要分别对服务器端和客户端进行配置11小型企业网络通常是对等网所NT这样就不会把这项代理NT项服务不会随系统自动启动自动运行。对等网络通常DNS所也不要选择“DNS”选项。12CCProxy采用HTTP端8086器安配置与理是安WindowsServer2003务配置则直接安服务器则需要才能进行：上运行WindowsServer2003DatacenterEdition或WindowsServer2003WEBEdition版本系统已安并配置网卡TCP/IP并要分配静态 IP地址计算机上必须至少NTFS区计算机入当计算机更不能已经配置控器在计算机上启动过“ActiveDirectory安向导运行“路由和”服务配置器配置和运行“路由和CA“组件但配置域控制后可以重新“组件配置为DNS器或DHCP器2.额外域控制器的作用提供器容错为现域控制器提供负均衡更易于用户的连接和额外域控制器的两种方式：在线方式和离线方式进行在线额外域控制器首把台成员DNSDNS器当然还得连接在域网络中但可以不事加入域）离线额外域控制器的两大步骤：NTBACKUP.exe域控制器获得活动目录配置信息文件利用活动目录配置信息文件ActiveDirectory向导完成额外域控制器的ActiveDirectory配置信息文件是备份工具中Systemstate(系统状态)的一部分Systemstate5ActiveDirectory(活动目录主是包括NTDSBootFile引导文件COM+ClassRegistrationDatabaseRegistry(注册表)和SYSVO系统卷。离线方式额外域控制器时只需ActiveDirectory、RegistrySYSVOL、配置好DNS服务后，现在就可以使用dcpromo/adv重命名有一个前提条件，即该的功能级别设置必须为windowsserver2003重命名名前的准备windowsserver2003重命名Rendom.etx,操作系统光盘上：Valueadd/Msft/Mgmt/domrendomainrename.ex（网上gpfixup.exe）重命名方法如下：先找到rendom.exe在主或者任意一台成员服务的命令提示符下输入rendom/listdomainlist.xml输入rendom/uploaddclist.xml输入rendom/prepare（如果出错可rendom/end）输入rendom/execute到了这里有一些细节需要处理。ActiveDirectory名。在命令提示符下进入rendomrendom/clean改组策略（工具gpfixup。gpfixup/?gpfixup/olddns:lycb.local/newdns:lycb_gz.local/oldnb:lycb/newnb:lycb_gz/dc:lycb-dc1.lycb_gz.local不能如果某服务群集节点之一也不能得先通过群集管理把服务器从群集中退出。也不能成功退出则使以下从群集中清服务节点clusternode节点服务名称/forcecleanup配置全局为全局编角色方“ActiveDirectory站点和服务”管理单元Default-First-Siteserver相应然后右侧窗中NTDSSettings项右击“规”选项卡中选择“全局编”复选项方包括两主要步骤一利dcpromo/forceremoval强活动；二利ntdsutil工清网络中台已被相关信息清ActiveDirectory据步骤如下：1符下输ntdsutil然后ntdsutil符下输，ActiveDirectory据子metadatacleanup2、metadatacleanup按回车metadatacleanup执行环境准备清已不再使ActiveDirectory据3metadatacleanupconnections子命令，连接到要清除元数据的对象4metadatacleanupconnections入connectionsserverconnections“？”5serverconnectionsconnecttoserverlycb-dc2命令，绑定连接到要清除元数据的那台降级了的域控制器6serverconnectionsquit，退回到上级的metadatacleanuplycb-dc27metadatacleanupSelectoperationtargetSelectoperationtarget8Selectoperationtargetlistsites9Selectoperationtargetlistdomaininsite10Selectoperationtargetselectdomain011Selectoperationtargetlistserverfordomaininsite12Selectoperationtargetselectserver113SelectoperationtargetquitSelectoperationtarget定14metadatacleanupremoveselectedserver命15“ActiveDirectory单控制台DomainControllers删除该域控制SP2版本中这里删除不是控制永远ActiveDirectory）将其降级”单选项。7DNSDHCP安装配置与管理存根区域与辅助区域不同同时创建相同区域名顾区域和辅助区域有类似之处都从应区域主区域DNS上复制不同之处于辅助区域复制区域中所有存根区域复制区域机）名）和NS记A（主机）区域创建以DNS和辅助DNS以不主DNS（不能DNSDNS都是把DNS直创建辅助区域于区域（向区域和区域）DNS服DNSDNSDNSDNSDNSDNSDNSDNSDNS服DNSActiveDirectory“允许安全动态新方式”择ActiveDirectory项后才支持对于DNS该项动态新方式；允许安全动态新安全风险，特广网果种公开网络环境择允许动态DNSDNS“发：项卡常见DNS下：（A）DNS名映射到计算机所使用IP一正向解析记录。（CNAME）DNS名映射到一个看起到屏蔽真实名称增加性作用邮件交换（MX）记录：用于将计算机DNS名映射为交换或发邮件计算机（邮件）名称。名称（NS）：用于指示区DNSIP映射到计算机DNS名一反射解析记录起始授权机构（SOA）记录：指示区DNS（SRV）名映射到指定的DNSDNSActiveDirectory名类特定DNS@代表当前区域8络加入用户管理1）络加入典型故障排除1）客记机加入找到络路径或者活DNSTCP/IPDNSIPDNSIPDNSDNS上运行netdiag/fix（需事先安装系统支持SUPTOOLS.MSI，在源程序光盘）修复一下DNS上控制SRVDNS上这个记录。ActiveDirectory列文件夹创建其SRV：_msdcs/dc/_sites/default-first-site-name/_tcp_msdcs/dc_tcp上启用TCP/IPNetBIOSHelper2） 加入时出现找不到控制错误计算WindowsDNS不确DCnetdiag/fix目标：DNSNetdiagnetlogon.dns们是否含确所DNS果问题更新相应条目控制果上缓存在本计算GUID于控制上保存GUID,Netdiag计算机GUID。NetBIOSTCP/IPNetBIOS HelperISAISAISAISA“依存不存或已被标记删除”NetLogon开Hkey_local_MACHINE\SYSTEM\CurrentControlSet\NetlogonNetLogon依存里除Workstaion）WindowsSID：“（securitydescriptor部分标识对象和主要组拥者“访（sle部分标识谁被允许访、谁被禁止访、谁访将被审计样信任树“访（Accesstoken部分标识用和用所隶属的组whoami用SIDWhoami{/upn|/fqdn|/logonid}:用来查看当用UPN（userprincipal,用主体、FQDN（fullyqualified,完LOGONID(IDSIDWhoami[{/user|/groups|/priv}][/foformat]:SIDWhoami/all[/foformat]:SID/user:SID/groups:SID/alSID/foformat:table()lis、csexecl。4PSTOOLSsystem32psgetsid[\\computer1[,computer2[,…]|@file][-uusername[-ppassword]]][account|SID]acctinfo.dllALTools.exe然把它windowssystem32然通过运行regsvr32acctinfo.dll命注册中注册此方支持计算机SID默认默认域组账户默认用户账户 描述Administrator账户

Administrator账户具有对域的完全控制权，可在必要时为域用户指派用户权利和访问控制权限。该账户只用于需要管理凭据的任务。推荐为此账户设置强密码Administrator账户是ActiveDirectory中Administrators、 DomainAdmins、 EnterpriseAdmins、GroupPolicyCreatorOwners和SchemaAdmins组默认成员。虽然无法从Administrator组中删除 Administrator账户，但是可以重命名或禁用些账户。但当 Administrator账户被禁用时，仍然可以在安全模式下访问域控制器。众所周知，Windows的许多版本都包括 Administrator账户，所以重命名或禁用些账户会使恶意用户获得访问它的权限变得更加困难Guest账户 Guest账户由该域中的临时用户使用，如账户被禁用（但末被删除）的用户也可以使用 Guest用户。Guest账户默认是没有密码的，但可以为它设置密码，以降低安全风险。一般现在都是禁用该账户，也可以像设置任意用户账户一样来设置Guest账户的权利和权限。在默认情况下，Guest账户设置是内置 Guest组和DomainGuest全局组的成员，它允许用户登录域HelpAssistant “远程协助”话计算机的“远程受限访问权限。当请求“远程协助”会话时，系统将自动协助”会话一起创建该，在没有远程协助请求等待响应时，系统又将安装）自动删除该主要默认域组Builtin及其应用说明组 描述 应用说明AccountOperators该组默认没有成员，加Userscomputers

可以把委派非管理员组成员，非域控制器OU管理工作的用或组账用、组和计算机的以及该域中除domaincontrollers的组织单位。但该组的成员无权修改administratorsadmins。该组的成员可本地登录到该域的域控制器中，并可将其关闭

管理员的管理负担，同时又提供了最终的安全保障Administrators Domainadmins组、 可以担当域网络中的一enterpriseadminsadministrator

accountoperatorsBackupoperatorsBackupoperators

Guests Domainguestsiisiusrwindowsmediaserviceswmusguest

、仅满足应用需求主要Networkconfigurationoperators

TCP/IPTCP/IP

TCP/IPUSERS组TCP/IPusersadministrators组Printoperators、创建、共享activedirectory在打

如果网络打印是连接在（是连接在网络它）则委派一些兼职人责印也网络共享打印登录关闭

配与器Remotedesktopusers

administrators组Serveroperators共文件、格化硬盘关闭

当时委派一名担当一般和网络职责只需（她）administrators组users Domainusers、authenticatedusersinteractive是

用户都只按设置添只具最基本户。对于必记也是当其职责用户执大部分觉 与所负责工作对上述、 组中本地打印机以及锁定服器但不具有配置权限不能更改TCP/IP，不能在域控制器上本地登录也不能修改户设置除非把他们加入到了本地系统管理员组administratorsUsers主要默认域组账户及其说明组 描述 说明Gertpublishers 该组中没有默认成员加入该组

可以把担当系统中证书管理以为户发证书Dnsadmins(DNS装)

成员DNS器管理权限

DNS、DHCP器管理配备专门管理员当然果确实组Domainadmins Administrator只需要网络工作站计算机管理

或即拥上本地、administrators工作站和服务上本地administrator员

而不必计算机配置Domaincomputers创建任何计算机为此站和服务（除本外）

如要将某项网络计算机（主要策略配置则只需要添而无须一台台计算机Domaincontrollers 包含此

如要将某项网络（主要策略配Domainguestsguest

Domainusers 情况下此创建任何都会自动成为成员

可以使表示此想具打印访问可打印访问指派或者domainusers到打印服务上具打印访问Enterpriseadmins出现林根)

情况下，administrator成员林上

把管理整林管理员到负责林管理。注意林系统administrators

Grouppolicycreatorowners

administrator

Rasiasservers

RAS和IASRAS和IASSchemaadmin

administratoractivedirectory

一般说单独activedirectoryActiveDirectory中（当然这需事先相应象上为该授）其成员包括自何、局为他们OU、、计算机其他织单位嵌套其ActiveDirectory容器但容自其他象OU权单织单位单织单位包名6包自4别3英文写母A~Z英文写母（a~z)、10基本数（0~、非母（例！、#、%)15.项 码 码 期 “服务账启并且应已禁用 定许多管理员将禁作公模板敏感被委派 允许进行例果被他指派委派则以使16.利Ldifde.exe/导出域Ldifde帮助文件中常规参数有：-：打开impor导入模式默认Export(导出模式-ffilename:指定导入导出文件名-sservername：要绑定到netbios默认前域DC、-cFromDNToDN:fromdntodnDN--j-t:/389-u/unicode-Export-dRootDN:LDAP-rFilter:LDAPobjectclass=*)"）-pSearchScope:义作域3种base本身的属性、OneLevel(子集所关联属性、Subtree(整个林或哉树）-llistLDAP属性列表各属性间以逗隔-0list:忽略属性列表各属性间以逗隔、-禁布-m:SAM-不二制值－ｘ输包括逻辑删除Ｉｍｐｏｒｔ-将继续忽略“约束违规”和“已存”之错误-将惰性提交以获得更好性能/-aUserDNPassword|*:-bUserNameDomain[Password|*]:SSP“ActiveDirectory义，但“ActiveDirectory解放前浪费源文件没有装，它需要先在命令输regsvr32schmmgmt.dllActiveDirectory元MMC添这个管理元来查看和配置。LDIFDE通常需要配置所有均等号赋值如下：通CCcommon-name名称域“ActiveDirectoryADUC管理元容器名，也可以计算机名或名Cdomain-component,域组件C域控DC，号组O：OUorganizational-unit-name,组名称，这域组名称。如有组，要OU进。以个通常描述，统采DN可辨名称，因它们可以共同决个最基本。创建、lycb_gz.local“工部创建名BossDNDN:CN=Boss,CN=DC=lycb_gzDC=localchangetype):admodifdelet。Mail:Mail(E-mail-Addresses,SAMAccountType:sAMAccountType(SAM-Account-TypeSAMSAM_ACCOUNT_TYPE_MAX0x7fffffff)SAM_DOMAIN_OBJECT(0x0sAMAccountName):sAMAccountName(SAM-Account-Name,SAM)(objectClass):objectClasobject-Classtouser、groupcomputer)perso人organizationalPerson(组织人。objectCategory:objectCategory(object-Category,各与上objectClas但objectCategory一般分准更细就objectCategory:objectClass更详细如计算机多objectClasstoppersonorganizationalPerson、usecomputer而其objectCategory只computer一具oppersonorganizationalPersonuserobjectCLass但op、person、organizationalPerson、userperson,userobjectClassuserPrincipalName):userPrincipalName(user-Principal-Name,。配置。SSn(Surname,姓氏标识姓氏如CN为windawan，Snwang。这般在导入时很重要的控制userAccountControl):userAccountControl(user-Account-Control,控制启还禁该。启为512禁为514.userAccountControl标志及所应如下表：标志 十六进制值十进制SCRIP需要脚本登录） 0x0001 1ACCOUNTDISABLE(禁） 0x0002 2HOMEDIR_REQUIRED(需要文夹） 0x0008 8LOCKOUT锁） 0x0010 16PASSWD_NOTREQD(无需密码) 0x0020 32PASSWD_CANT_CHANGE(能更改密码0x0040 64ENCRYPTED_TEXT_WD_ALLOWED(允许发送加密密码）

0x0080 128TEMP_DUPLICATE_ACCOUNT(临时复作为他

0x0100 256NORMAL_ACCOUNT(0x0200512INTERDOMAIN_TRUST_ACCOUNT(0x08002048WORKSTATION_TRUST_ACCOUNT(0x10004096SERVER_TRUST_ACCOUNT(0x20008192DONT_EXPIRE_PASSWORD(0x1000065536MNS_LOGON_ACCOUNT(MNS0x20000131072SMARTCARD_REQUIRED(0x40000262144TRUSTED_FOR_DELEGATION(0x80000524288NOT_DELEGATED(0x1000001048576USE_DES_KEY_ONLY(DES0x2000002097152DONT_REQ_PREAUTH(0x4000004194304PASSWORD_EXPIRED(0x8000008388608TRUSTED_TO_AUTH_FOR_DELEGATION(0x1000000userAccountControL512、514、6604866050，其实其中有些并单个标志514、6604866050，而由多个标志共同组。514=512+2，代表该为当牌禁阙云太。userAccountControl51208-50Ldifde.exelycb_gz.local“工程部”织单位linda、windacathy三个同加先他们词本程序输下：Dn:CN=lindachen,OU=工程部DC=lycb_gz.localChangetype:addCn:linadachenobjectClass:usersamAccountName:lindaSn:chenuserAccountControl:512Dn:CN=lwindawang,OU=工程部DC=lycb_gz.localChangetype:addCn:windawangobjectClass:usersamAccountName:windaSn:wanguserAccountControl:512Dn:CN=cathyxie,OU=DC=lycb_gz.localChangetype:addCn:cathyxie,objectClass:usersamAccountName:cathySn:xieuserAccountControl:512.txt.ldfldifde[-i][-ffilename]-i-fldfideGB2312WORDutf-8UnicodeANSI20.ldfideefsCt8d DN"-psubtree-r"(&(objectcategory=person)(objectclass=user)……）"-l"cnm,objectclass,sAMAccountName……""……"表添加多个过滤者查找列表。利用CSVDE命令批量导入/用户配置文件基础：本地用户配置文件：第一次登录到计算机是地，将创建酸雨用户配置文件，并存储在计算机的本地硬盘上。对本地用户配置文件所做的任何更改都只是针对您 所在的计算机漫游用户配置文件：漫游用户配置文件由系统管理员创建，并存储在服务器上。每次登录到网络上的任何一台计算机时，都可以使用该配置文件。对漫游用户配置文件所做的更改将在服务器上更新。强制用户配置文件：此文件是用来为个人或整个用户组指定特殊设置的漫游配置文件。只有系统管理员才能更改强制用户配置文件临时用户配置文件：是当错误条件阻止加载用户配置文件时任何发布的临时配置文件。每次会话结束时会删除临时配置文件。当用户注销时，将丢失用户对其桌面设置和文件所做的更改用户配置文件提供以下几方面的便利：个用户可以使用一台计算机。个用户在一台计算机上登录时，将用该用户上次注销时的桌面设置，可以使用该用户所做的系用户的设置运windowsnt“的特点Defaultuserwindowsserver2003DefaultuserNTuser.datwindowsserver2003ALLUsers夹 据 。Cookie 面 Favorites() internetLocalsettings 应档 Myrecentdocuments nethood “网邻居”printhood 打印sendtosendto""templatesWindowswindowsinternet置windows、时钟、windowsserver2003序

windowsserver2003就签 windowsserver2003usersconfig\documentsandsettings\NTFSusersconfig(Everyone“完全控制”权限删权限）“activedirectory”控制“”“”卡“路径”键入\\lycb-dc1\usersconfig\%username%(lycb-dc1userconfig%username%为变量适生效会自动转换成，5.“确定”按钮使配置生效用（位置控制面板中双用配置文件删除示例：步骤在保存用配置文件的服务器上以域系统管理员账登录网络在配置文件的父文件夹中找到相应用配置文件夹并右在弹出的快捷菜此时会先弹出警告提示框显示当前的域系统管理员账更不能编辑这个用配置文件夹的安全属性但可以取“确定”按钮后弹出“属性”圣诞框并显若没有显示任何权限配置项高级按钮在打开的圣诞框中选择“所有者”选项卡。此时可以见将所有者更改”框中选择系统管理员或者系统管理员组可使系统管理员或系统管理员员得此配置文件夹的所有权配置文件夹管理员的并设置父文件夹系统在相应用登录时会。这的用文件夹就需管理员手工。对用文件userprofiles用文件夹配置对应用全控制的权限。在面删除用账对用文件夹的权限前配置对应用对账的全控制权限管理员都配置文件夹的共享“主文件夹+$”格式9基本磁盘是包含主磁盘分区、扩展磁盘分区或逻辑驱动器的物理磁盘。基本磁盘上的分区和逻辑驱动器称基本卷。只能在基本磁盘上创建基本卷。可在基本磁盘上创建的分区个数取决于磁盘的分区样式：对于主启动记录（MBR）磁盘，可以最多创建4个主磁盘分区，或最3个扩展分区。在扩展分区内，可以创建多个对于GUID（GPT）GPT45RAID-5RAID-5卷（MBRGUID（GPT）是32个或更少RAID-5“卷”体现了可伸缩性，也就是可以根据需要扩展，而且既可以在本地磁盘上的主磁盘分区或逻辑驱动器。动态卷是驻留在动态磁盘上的卷RAIDJBODjust bundleofdisks,上RAIDRAID1RAID-33RAID-5RAIDRAID5“转换”选项可右击了可前已转化为了者该计算机便携机。便携计算机输出使用通用串行总线USIEEE139）可SCSI总线。，已SCSIFibre总线转化为群用用：用了允许用使用量）时阻止对应用用进步记录事件用了警告级别用近其点）时向用发出记录事件功可可础进行配置，不能在文件夹基础上进行配置。而且只有用 NTFS文件的磁盘才可以启用配额功能。如果是网络磁盘，则必须从该卷的根目录中共享。另外，由于按未压缩时的大小来忠恕。因此不能使用文件压缩来防止用户超过其配额限制。例如 ，如果50MB的文件在压缩后为 40MB，windows将按照最初 50MB的文件大小计算配额限制。可以使用 convert.exe把当前的FAT或FAT32格式的磁盘在不破坏磁盘中的文件的情况下完好地转换成 NTFS格式，convert[Volume]/fs:ntfs[/V][/cvtarea:FileName][/nosecurity][/x]启用磁盘配额后会监视个人用户账户的磁盘空间使用情况，但每个用户对磁盘空间的使用情况都不会影响同一卷上的其他用户的磁盘配额（为我们知道，卷是可以物理磁盘的影响配置进行windows“且处理将磁盘空间限制为此单，可以输入允许卷新用户使用的磁盘空间量，以及在将事件写入系统日志前已经使用的磁盘空间量事件就会写入本地的系统日志中事件就会写入本地计算机的系统日志中项，磁盘空间限制单位删除：从卷中除所文件（不能删除文件夹）以释放该用户账户所占用的磁盘空间移动：将所文件移动到指定的卷上（但不能移动文件夹，这样这些文件也就不再占用该用户在该卷上的配额空间注意：某个用户在卷上仍拥有文件或文件夹，则不能删除用户配额项。在删除记录之前，卷上用户拥有的全部文件都必须删除或移动其他卷上，取得文件和文件夹的所有权读取。“读取”权限是指派给Everyone组的默认权限。“读取”权限允许时行以下操作：查看文件名和子文件夹名。查看文件中的数据运行程序文件更改。“更改”权限不是任何组的默认权限。“更改”权限除允许允许以“读取”权限外，还具如下权限：添加文件和子文件夹更改文件中数据删除子文件夹和文件administrators默全部读取及更改权限只能在文件夹基础设置共享，不能基于文件夹设置共享。而且共享设置是向下继承子文件夹共享权限设置都是继续父文件夹共享设置。如把“F:\文件”文件夹设置共享，并且用户都“只读”共享权限，则它下面“F:\文件\应用程序\网管工具”等子文用户都能读取这些子文件夹中“F:\文件\应用程序”子文件夹读取权限，只能通过NTFSWindowsserver2003Driveletter$:这类共享名驱动器名加$符号，把整个驱动器作为一管驱动器共享资源ADMIN$：这是出程管用资源。资源是系统作系统，如C:\WINDOWS，以对整个程管理IPC$:这是共享名管资源，在程序通过程中譔 名管起着头重要作用。在出程管，以及在查看IPC$NETLOGOSYSVOPRINT$:“和非员或Powerusers组成员右击显示“”或“与安全”选项windowsXP匿名都everyone以匿名组（Anonymouslogon）组成员访问都现开现象因为至少“读取”权限windowsXP于安全匿名于everyone组以以匿名（非显）访问现权限示开访问权限anonymouslogon组“访问（everyone）权限应于匿名”略项NTFS和具特殊权限权限 描述/

于“遍历”允许或拒绝移动达其他或禁止权限（仅适于只“组组或“检everyone“忽略通过检）对于“运行允许或拒绝运行程序仅适于）设置中所有的“运行列出/数据

“列出允许或拒绝看内的名和子只影响该的内容不影响是否列出正设置其的仅适于）“读取数据允许或拒绝看仅适于）读取属性 允许或拒绝看或的属性例如只读和隐藏。属性由NTFS定义读取扩展属性 允许或拒绝看或的扩展属性扩展性由程序定义可能的因程序而变化创建/据

“创建允许或拒绝内创建适于）“写入数据允许或拒绝对进行更改和覆盖现有内容仅适于）创建/附加 “创建允许或拒绝内创建据 “附加写入属性 允许或拒绝更改或的属性例如保读或隐藏。属性由NTFS定义或文或属性的权限/写入/附加及”和“删除”等等相关内容允许或拒绝更改或性由程序定义，可能因程序而变化写入扩展属性 “写入属性权限不表示可以创建或删除或文它只包括更改或属性的权限要文/写入/附加子及”和“删除”等等相关内容删除子

允许或拒绝删除子和或的“删除”权限删除 允许或拒绝删除或如果没有对或“删除子或权限则仍然可以删除它行 √√√√/运√√√√√/读数据属性√√√√√扩√√√√√/√√√/加√√√性√√√扩√√√删除子及√删除√√读取权限√√√√√√更改权限√取得所有权√同步√√√√√√NTFSNTFSNTFS传播到该对象和有对象包括那明确定义目”复选选择实现中断关系后系统会自己那有时某NTFS出现错误提示时要考虑个因素了当然更改必须管理员组成员者委派了用户NTFS用户组成员账户才行性依照如原则进行：同NTFS复同NTFS复到不同时和原同但同NTFS分区个原NTFSNTFS复会改复原目标（）同如同NTFS分区则改后NTFSFAT分区因FAT有原有了NTFS性体表现几个方：GROUP1中USER1USER2GROUP1该就USER1USER2+“写入”=“写入”所属USER1属于GROUP1和GROUP2崦GROUP1而GROUP2这“完全制”则USER1该所得即“只读”+“完全控制”=“完全控制”优先性：这特性又包含种子特性：种是优先于也就是说可以超过不顾上级种是“拒绝”优先于其也就是说“拒不能起任何了相当于没设置。优先于“拒绝”优于其它其实于需要设置种来说最简单方法就是把该共享设置成所everyone都具“完全控制”然后再具体设置账该应具NTFS这样来，实际上最终账该网络就只NTFS因共享具最高完全控制也就是与共享这大NTFS“”之内。NTFS几种可以示（“”与这里NTFS“完”。这样设置简单、方便（因为不需要同时考虑两种而只需要考虑一种当然也符前面说到交叉原则使加密和时请记住以下信息：只有NTFS卷上或才能被加密。由于webdav使NTF，当通过加密时需要NTFSweb分布式创作和描述（webde也称为web）一种传intranet和internetv可以通过intranetinternet输上Webdav传输协议（FTP）webdevweb进传输安不能加密或加密或或被加密或到NTFS式卷上被密加密到加密这中加密。然而作不能密。明密加密记为“”systemroot构也无法加密加密文件夹或文件不能防止删除或列出文件或目录。具有合适权限的人可以删除或列出已加密文件夹或文件。因此，建议 NTFS权限使用 EFS在允许进行远程加密的远程计算机输出上可以加密或解密文件及文件夹。然而，如果通过网络打开已加密文件，通过此过程在网络上传输的数据并未加密。必须使用诸如 安全套接字层/传输层安全性）或协议安全性（Ipsec）等其他协议通过有线加密数据。但 webdav可以在本地加密文件并采用加密格式发送如果windowsxp或 windowsserver2003家庭计算机环境中的用户想在远程服务器上存储加密文件，则请注意以下事项xp和windowsserver2003当两台计算机都是同一 windowsserver2003家庭林的成员时，用户才能远程使用EFS加密的数据在网络上传输时是不加密的，只有当它存储在磁盘上时才是加密的。但是当ipsec或webdav时。Ipsec当数据在TCP/IP网络上传输数据时行加密。如果文件在或服务器的 webdav文件夹已加密，则文件在传输过程中和存储在服务器上时持加密加密的文件不能macintosh目不支持在能上存储 efs和，不支持EFS进行强如果“仅更改应用于该文件夹”单项，那么该文件夹中现有的所有文件和子文件夹都不会售后添加该文件夹中的所有文件中现有的所有以及售后到该中的中的都“及其父”单项，则售后到该中的都“只则只会对所迁进行/e/s:”或路径”命令，按回车即可进行下或的复制操作后，对应发生下属性变化：同一台计算机输出内，或windowsxpprofessional/server2003NTFSNTFS，就像复制未的一样复制windows属性继承原或的，不会改变同一台计算机输出内，或windowsxpprofessional/server2003NTFS分配表的一样复制或windows资源管理器或命令提示符FAT系统不支持，因此副本为明形式，不再具有属性或复制到另一台计算机上，且两台计算机输出都使用windowsxpprofessional/server2003NTFS的一样复制或windows。如果远程计算机允许对文件进行加密；否则，副本为明文形式。注意，必须信任远程计算机输出的委派。在域环境中，默认情况下不启用远程加密4.将文件或文件夹从 windowsxpprofessional/server2003中的NTFS分区复制到另一台计算机输出上的 windowsNT4.0位置中的 FAT或NTFS分区，则就像复制未加密的文件一样复制文件或文件夹，使用 windows资源管理器或命令提示符。由于目标 windowsNT4.0不支持加密，因此副本为明文形式，不再具有加密属性移动操作可能带来的属性变化。在同一卷内移动或重命名文件或文件夹，就像移动未加密的文件一样移动文件，使用windows资源管理器、上下文菜单或命令提示符。目标文件或文件夹保持加密状态在不同卷之间移动文件或文件夹（其实是一个复制操作）第10章 组策略置、用管理 组策略对器（gpedit.ms），组策略管理制台（GPMC）后来的 中的“组策略就不能用了GPO的于 activedirectory的GPO本CPO于ey的O是在域中用的组策略对（GPO）。GPO在个域中，且复制到该域的所有域制器上。它们仅在 directory(活动目录)环境中可用，可用于 GPO所链接的站点、域或部门中的计算机输出。但要注意的是，组策略对只能在域（包括各级子域）和组织单位（包括各级组织单位）上创建，不能在站点上创建，站点只能链接现在的域或组织单位 GPO。ActivedirectoryActivedirectoryGPOGPOGPO“安全”下支持“文件夹重写向”“GPOactivedirectoryGPO找到集它被相联覆盖activedirectory环境影响力最小环境环境相当重此时它们会被他覆盖GPOtrsl比前处GPO优先级GPO按下列顺序处GPO(LGPO—GPO—GPO—GP最大GPO。1GPO台都2GP指已链到属任何GPOGPOGPOC被最后，因此具有最高优先级组织单位GPO最先e层次结构最高层部门GPO，然后其子部门GPO先本地GPO，最后计算机或用户直所属部门GPO。如果后面GPO设置与先前GPOGPO设置；如果没有冲突，则合并先前和后面设置。但以默认设置会受以下例外情况影响：GPOGPO即不“强制”也不“已禁用”GPO下，GPO即不禁用用户设置，也不禁用计算机设置部门或作为工作组网络成计算机仅本地组策略对象.adm文件本身并不部署客户端操作系统实际设置，它只一种模（具有m扩展名按文本文件实现好记名称和解释。它用来导入组策略编辑器，然后再实现其策略项具体配置，重新配置模板选项设置将保存GPO中m文件存储两位置GPO内部和本地计算机%windir%\inf文件夹。预定义5主要模板文件：m“计算机配”和“用户配”下“管理”中“”mE浏览“计算机配”和“用户配”下“管理”中“”media此windowsXP64-bitedition64位版本windowsserver2003家庭中不可用其“计算机配”和“用户配”下“管理”中“windows”下windowsmedia夹中g此windowsXP64-bitedition64位版本windowsserver2003家庭中不可用其“windows”下netmeeting夹中Wuan.adm:windowsupdate其仅“计算机配”和“用户配”下“管理”中“windows”下windowsupadta夹中项中间包含以下几部分信息：与对象“管理”部分中每个项对应注册表位，相当于注册表中主键如每个项中KEYNAME行与每个相关联选项或对值限制们只对用户界面限制实际处理过程中不会检查值范围行框和其他参数输入方法开始结束行框标识TEXT标识.adm“”选项EXPLAIN可通过使“支持”关键字明支持项WINDOWS版SUPPORTED!!行注册表位、配单元名称、注册表项名称名称注册表项的类型：DWORD、REG_SZ或其他类型不支持二进制数据NAME!!行新旧相关操方法比较是要 具GPMC计算机输上

没GPMC 计上GPMC相关

站点、域或部门的（GPO）及与其链接

或部门上右击选择“创建GPO”选项

“击“新建”按钮创建未链接GPMC导航到“

导航到站点、域或冷言GPO

”右击然选择“新建”选项

冷语“选项卡卡右击然单击“新建”按钮GPO GPMC导航到“导航到站点域或部门属性项“编辑项。注意：仍卡该GO中单“编辑按钮时就会将其打开

将打开组策编辑器将现有

中导航到某个站点、域或部门“链接现有GO项

属性卡单“添加按钮这将打开组策编辑器使用安全组筛

中单

的“属性域

链接“作用域项卡项卡使用“添加中和“删除按钮控制该应用到的组、用户和计算机

的访问控制项（ACE）项委派GO的权 在C中单该G导航到某个GO“属限 “委派项卡单“添加或“删除按钮

过验证用户的权限与要指定的权限应的复框确定具有组策 在组策结果中在策的结果集管理“组单元“”

向导”项

右“生成数据”项。在向导中“”

建

在管理“组建单元“”集 向导”项

中右“生数据”项。在向导中“计划”WMI筛GPMC“WMI筛器“中

导航到某个组对器 右“新建”象“属性”对话框，项 “WMI 复器”项卡所有GPOGPO容器下GPO中显示凡是GPOGPO中设置而不要管GPOGPO上进行了设置它GPOGPMC控制台中显示更改设置GPOGPMC控制台中显示。不要怀疑设置或系统有问题在配置组时经常有这样一个疑惑那就是项配置中“未配置”和“已禁用”项到底有什么区别。按照常规思维就是没有配置就相当于没windows“未配”选表示没明确启或它会自动继承它父容器（域网络最大的父容器域）相同而择“已启”或“已”选则会再继承它上级容器“未配”作其目让继承上级容器凡关到账户和计算机输出账户局配（记账户密码、配、计算机账户属性等都必须最高级别进行“指定和位”对话框各说明下：重写向到户主目录：把户“我文档”文件夹重定向到用户各自主目录下与上节配类似只过里仅对户重定向“我文档”到他们主目录下根目录路径下为每户创建文件夹：为每户指定根目录下创建户目录每户将获得其重定向文件夹唯路径使此重定向到下列位：使所户“我文档”文件夹都重定向到同位置重定向到本地户配文件位：重定向域户“我文档”文件夹移动documentsandsettings文件夹下相应户本地配文件中应程序分发包括程序分配和应程序发布“分配应程序”原来版本称为“指派应它可以方法是：“开始”菜单中选择应用程序，或者激活与应用程序相关联文档夹下“软件安装”选项上右击进行ping操作，打开gpedit.msc，打开记事本程序以及其他各种管理工具等等都是可执行文件。这么多，很难考虑全面。所以，采用这种限制方法时最好不要域级进行，而只是针OU下部非管理员出现问题时可以通过删除该GPO来实现恢复原始代码中ITEMLIST下7个列表项如下：NAME!!ABOnly VALUENUMERIC 3NAME!!COnly VALUENUMERIC 4NAME!!DABOnly VALUENUMERIC NAME!!ABCOnly VALUENUMERIC 7NAME!!ABCDOnly VALUENUMERIC DEFAULT;low26bitson(1bitperdrive)NAME!!RestNoDrives VALUENUMERIC 0其中26bitson(1bitperdrive)26位二进制组成的（代表 26个盘符字母），每一位代表一个驱动器盘符。转换成十进行符为：A=1,B=2,C=4,D=8,E=16,F=32,G=64,H=128,I=256，由低到高，依此类推。原始代码中的 ABOnly就相当于要同时隐藏 A、B两个驱动器，它的聚会就是这两个驱动器值的和（1+2=3）；同时 ABCDonly项的取值就相当于 、B、C、D四个盘符取值的总和(1+2+4+8=15)，，与原始代码后面的 NUMERIC值是一致的在驱动器隐藏中，当然可以设置隐藏非连续的驱动器，如只需要隐藏 DF盘，则可以添加这样一行（取值是对应驱动器值相加即可）：NAME!!DFOnly VALUENUMERIC 40第 11章 数据备份与还原 必须具有特定的用户权限和权利的人才能备份文件和文件夹。如果是本地组中的 administrators管理员组或 backupoperator组成员，则可以备份本地计算机上本地组使用的所有文件和文件夹；如果是域控制上的 administrators管理员组或backupoperator组成员，则可以备份本地、域或者具有双的域中所有计算机上的文件和文件夹。是，如果是管理员或 backupoperator组成员，或者必须对所要备份的文件和文件夹具有一个或个以权限：取取和行、或控制。如果是用盘为备份，还需要行备份的用户对盘的限制的，这限制使用户备份数据NTBackup“”工支持载种网络方式（注意：NTBackup支持网络备份）Normal“存”属性这样下次时软会认为这些都没被。使用只需夹或磁带最新副本就可以还原。但由于时间最长。上面说到“存”属性指或夹状态属性通过它们“高级属性”对话框中“可以存”选项来设置的副本y不会存属性这样就不会影响其他类型对已操作了直接根据选原来存属性进行”就像平进行一样。如果和增量之间临时某些选择副本方式最好选择，因为它不影响其他类型操作增量l增量仅自上次或增量以来创建或更改实际上也就只选中选择了“可以存属性这样下次再进行增量时就不会再这些了l来创建或更改。其实也就选中存属性选择了“可以存”选项因为创建或修改了存属性设置中选择了“可以存”选项的每日daily就只修改过它根据最修改日期而不根据存属性来决定否IT 310“副本免影响后面其他（如）向案表示种工作工作二三四五六备备份备份备份份份备份份份份份。如果硬盘则无论哪项都会删除硬盘中的 %systemdir%\documents andsettings\%username%\local settings\application data\microsoft\windowsnt\ntbackup\data%username%10“工具”程主界面单击“工具”—“选项”命令弹出对话框“”选项设置“选项”对话框“常规”选项卡设选项功能说明设选项 功能说明进还算选择信息

否或还估算并显示当或还任务将或还和字节数这默认也就默认情况开始或还都显示这信息编回事磁盘上建立还还编录

指定否使媒体编（一种和夹列表）来建立还选定磁盘编也就否进数据同时创建将每磁盘分区所对应和夹索引列表这建立磁盘上编快捷方式然从多磁带还数据但带有媒体编磁带已丢失或者从损坏媒体还数据，能造成还错误甚至不能还成功所不应选择项且选择项后将扫描你全部然后建立磁盘上编很大，则可能要花费很长时间，所以要慎重选择此选项，但程序默认是选择该选项的后，验证数据

指定是否在备份完成后比较备份数据和硬盘上的原始数据，确保数据相同。建议仅校验数据文件的备份，因为系统文件会不熂发生许多变化，因此校验系统备份非常困难。备份时某些正在使用的文件还可能造成检验错误，但通常可以忽略这些错误。但如果存在大量检验错误，则说明用来备份数据的媒体或文件可能存在问题。出现这种情况时，应该换用其他媒体或指派另一个文件，并再次进行备份操作备份已装入 如果选该选项，并备份已装入驱动其是驱动的一种文件盘的盘，并驱动或容 ，备份已装入驱动的，不会备份其的数据。认为这一个选项用，因为备份定是要备份体的文件，不是备份的。系统默认是选择该选项的在动可动，

指定在动“备份”并可动存储未行时，是否显一个一个话框后份”进程会自动动可动存储。如果主要是数据备份文件，并文件保存软盘、硬盘或其他类型的可动盘，则不要选此选项，因为盘设备总是在数据备份带或其他由可移

“”并且新用否一个对话框并将文件保到软盘、硬盘或其他类型移磁盘不要；如果首次将数据到磁带或其他由移插入新

指“移”器检测到新否显一个对话框如果首次将数据到文件并将文件保到软件、硬盘或其他类型移