《最新windows-2003-域服务器部署方案.doc》由会员分享，可在线阅读，更多相关《最新windows-2003-域服务器部署方案.doc（28页珍藏版）》请在taowenge.com淘文阁网|工程机械CAD图纸|机械工程制图|CAD装配图下载|SolidWorks_CaTia_CAD_UG_PROE_设计图分享下载上搜索。
1、Four short words sum up what has lifted most successful individuals above the crowd: a little bit more.-author-datewindows-2003-域服务器部署方案windows 2003 域服务器部署方案windows 2003 域服务器部署方案.txt机会就像秃子头上一根毛，你抓住就抓住了，抓不住就没了。我和你说了10分钟的话，但却没有和你产生任何争论。那么，我们之间一定有个人变得虚伪无比！过错是短暂的遗憾，错过是永远的遗憾。相遇是缘，相知是份，相爱是约定，相守才是真爱。 本文由hu
2、aishugen贡献 doc文档可能在WAP端浏览体验不佳。建议您优先选择TXT，或下载源文件到本机查看。 域服务器部署方案 一、网络对办公环境造成的危害 随着 Internet 接入的普及和带宽的增加，一方面员工上网的条件得到改善， 另一方面也给公司带来更高的网络使用危险性、复杂性和混乱，内部员工的不当 操作等使信息维护人员疲于奔命。网络对办公环境造成的危害主要表现为： 1. 为给用户电脑提供正常的标准的办公环境，安装操作系统和应用软件已 经耗费了信息管理中心人员一定的精力和时间，同时又难以限制用户安装软件， 导致管理人员必须花费其 50%以上的精力用于维护用户的 PC 系统，无法集中精 力
3、去开发信息系统的深层次功能，提升信息系统价值。 2. 由于使用者的防范意识普遍偏低，防毒措施往往不到位，一旦发生病毒 感染，往往扩散到全网络，令网络陷于瘫痪状态，部分致命的蠕虫病毒利用 TCP/IP 协议的各种漏洞，使得木马、病毒传播迅速，影响规模大，导致网络长 时间处于带毒运行，反复发作而维护人员。 3. 部分网站网页含有恶意代码，强行在用户电脑上安装各种网络搜索引擎 插件、广告插件或中文域名插件等，增加了办公电脑大量的资源消耗，导致计算 机反应缓慢； 4. 个别员工私自安装从网络下载安装的软件，这些从网络上下载的软件安装 包多数附带各种插件、木马和病毒，并在安装过程中用户不知情的情况下强行
4、安 装在办公电脑上，增加了办公电脑大量的资源消耗，导致计算机反应缓慢，甚至 被远程控制； 5. 局域网共享，包括默认共享（无意） ，文件共享（有意） ，一些病毒比如 ARP 通过广播四处泛滥，影响到整个片区办公电脑的正常工作； 6. 部分员工使用公司计算机上网聊天、听歌、看电影、打游戏，部分员工 全天 24 小时启用 P2P 软件下载音乐和影视文件，由于 flashget、迅雷和 BT 等软 件并发线程多，导致大量带宽被部分员工占用，网络速度缓慢，导致应用软件系 统无法正常开展业务， 即便是严格的计算机使用管理制度也很难保障企业中的计 算机只用于企业业务本身，PC 的业务专注性、管控能力不强。
5、 二、网络管理和维护策略 针对以上这些因素，我们可以通过域服务器来统一定义客户端机器的安全策 略，规范，引导用户安全使用办公电脑。 域服务器的作用 1.安全集中管理 统一安全策略 2.软件集中管理 按照公司要求限定所有机器只能运行必需的办公软件。 3.环境集中管理 利用 AD 可以统一客户端桌面,IE,TCP/IP 等设置 4.活动目录是 企业基 础架构的根本 ，为公 司整体统一管 理做基 础 其它 isa,exchange,防病毒服务器，补丁分发服务器，文件服务器等服务依赖于域服务 器。 建立域管理 1，建立域控制器，并规定所有办公电脑必须加入域，接受域控制器的管理， 同时严格控制用户的权限
6、。汕尾发电厂的员工帐号只有标准 user 权限。不允许 信息系统管理员泄露域管理员密码和本地管理员密码。 在如今各种流氓插件、广告插件、木马和病毒霸道横行的网络环境中，普通 员工只具备标准的 power user 权限，实际上是对公环境有效的保护。 办公 PC 必须严格遵守 OU 命名规则，同时实现实名负责制。指定员工对该 PC 负责，这不但是固定资产管理的要求，也是网络安全管理的要求。对 PC 实 施员工实名负责是至关重要的，一旦发现该员工电脑中毒和在广播病毒包，信息 系统管理员能准确定位，迅速做出反应，避免扩大影响。 2：PC 维护包干到户。 管理员在实际工作中可能存在拿本地管理员权限作为
7、人情， 这其实是一种自 杀行为。 任何一个具备管理管理员权限的员工， 即使是管理员， 使用 Administrator 权限上网，稍有不慎，便掉入网络陷阱。为避免这种情况，对 PC 维护人员，采 取区域包干到户的管理， 同时区域负责人的域用户帐号具备该区域内所有办公电 脑本地管理员的权限；如果区域负责人他愿意增加本地电脑管理员权限，增加的 风险和工作量将由他自己承担。 所有办公电脑的本地管理员密码由域控制器负责 人掌握、设定或变更。 3：在防火墙上只开放常用或业务系统需要的端口，如 80、25、21、110、 443，其它端口一律封锁，有效实施对 P2P 和 BT 软件的封锁。 4：接入网络的
8、计算机必须接受信息中心的管理。通过在防火墙上设置相关的 策略，允许经信息中心核准的某些 IP 组可以在本机上直接访问 Internet，或某些 IP 组只能连接局域网的应用服务器，对于不遵守 OU 命名规则的机器 IP 和没有 经过信息系统管理员授权的机器 IP， 不允许访问 Internet 和 Intranet， 只能单机使 用。 5： 建立 WSUS 服务器。 WSUS 是微软推出的免费的 Windows 更新管理服务， 目前最新版本除了支持 Windows 系统（Windows 2000 全系列、Windows XP 全 系列和 Windows server 2003 全系列）的更新管
9、理外，还可以支持 SQL Server、 Exchange 2000/2003、Office XP/2003 等系统的更新管理，并且在以后，WSUS 将实现微软全系列产品的更新管理。在域服务器上通过组策略设定客户端 PC 的 自动更新服务， 。 ，通过防病毒及时更新计算机的病毒库， 6：建立防病毒服务器（比如诺顿） 增强整体的病毒抵御能力，及时消灭网内病毒。 7：启用组策略。检查用户的计算机是否具备了相应的安全策略。只有符合相 应的安全策略的计算机才允许访问外部网络，不具备相应安全条件的用户计算 机，不允许上网。这样从根本上提高了企业用户计算机的安全性，减少了企业用 户遭受蠕虫、病毒、木马以及
10、间谍软件的风险。 8：主干设备上做数据过滤，屏蔽掉非办公应用的数据流。 9：使用 DameWare NT Utilities 软件进行远程维护，实现快速的维护响应。 10：借助于入侵检测防御系统，使得管理员可以根据记录进行统计分析，发 现有潜在危险的办公计算机，可以有针对性地进行预防性检查。 整体规划： 整体规划 最上面是单域 下面创建 OU：zydx Zydx 下面创建以下几个 OU Groups：这里是所有的部门 Users：这里是所有用户 Servers：服务器群，比如病毒服务器，补丁分发服务器，isa 服务器 Mobiles：所有的移动电脑 Workstations：所有工作站 It：
11、特殊组，一些管理员和特殊用户。 不同部门可以设置不同安全策略，以满足不同部门的办公需求，通用策略可以设 置在根域上，特殊权限在不同部门分别做策略。 用户及名称规划 所有用户均用工号及密码来登录域环境，域的加入可以做一个加入域的批处理， 用户通过输入自己的用户名和密码既可登录到域服务器。 所有接入电脑必须严格遵守 OU 命名规则，即电脑名必须改为部门加工号，比如 电脑部易小辉，则其计算机名为：dnb236294。当我们通过一些软件找到病毒机 器时可以通过电脑名称快速定位电脑位置， 通过工号可以及时联系责任人进行处 理。 各部门用户加入各部门的组，便于用户管理及根据部门进行不同的策略设置 计算机帐
12、户中删除多余用户， 仅保留域用户及 administrator， 重命名管理员帐户， 并且强制统一管理员密码，以便日后维护。 用户权限及策略规划 所有用户初始权限为 power user 能正常访问本地所有资源，受限安装软件，禁 止用户修改注册表，禁止修改 TCP/IP，禁止修改计算机设置。 常用软件可以用软件分发来做，个别用户的特殊软件可以远程安装。近期使用计 算机指派,文件服务器共享等方式，远期使用 SMS. 具体的实施 具体技术方案包括： 1，需求收集。 收集各部门工作需要用到的软件，与工作有关的网页，常见的一些机器故障。 2规划。规划服务器，客户端母盘制作，用户权限规划。 在安装活动目
13、录之前，我们首先要对活动目录的结构进行细致的规划设计，让用 户和管理员在使用时更为方便。域的结构遵循简单原则，采用单域模式，人员的 组织以部门为组织单位加入域中 1.规划 DNS 如果用户准备使用活动目录，则需要首先规划名称空间。当 DNS 域名称空间可 在 Windows 2003 中正确执行之前，需要有可用的活动目录结构。所以，从活动 目录设计着手并用适当的 DNS 名称空间支持它。 2.规划用户的域结构 最容易管理的域结构就是单域。规划时，用户从单域开始，并且只有在单域模式 不能满足用户的要求时，才增加其他的域。单域可跨越多个地理站点，并且单个 站点可包含属于多个域的用户和计算机。在一个
14、域中，可以使用组织单元(OU， Organizational Units)来实现这个目标。然后，可以指定组策略设置并将用户、组 和计算机放在组织单元中。 3.规划用户的权限 我们给用户那些权限,user（最低权限，不能安装软件） ，power user（能完成所有 任务但不能更改管理员设置）？建议初期给 power user 稳定后回收权限。 需要限制用户使用那些软件 用户能够访问那些资源 组策略有以下几个比较重要的应用 1，软件分发，分发 msi 格式软件，非 msi 格式可通过工具转换 2，软件限制（非办公软件可以使用软件策略进行限制） 3，文件夹重定向，可以把用户资料保存到安全位置 4，
15、管理设置,主要设置一些 windows 组件相关内容，比如开始菜单显示的内容 5，Ie 相关设置（信任站点，控件下载，文件下载等） 6，安全设置（帐户策略，系统服务，注册表，文件系统） 7，实现一些脚本的功能 （比如分发一些脚本进行 MAC 地址绑定进行 ARP 免疫） 文件服务器的要求 1、每个用户都能存取删除自己所拥有的文件。 2、每个使用者都要有自己的帐户，并且对特定文件夹的访问需要形成日志保存 下来供管理员查看。 3、保证用户存放在服务器上的文件不携带病毒和其它有危害性的代码。 4、每个用户只能在服务器上存放一定大小,类型的文件，而不是无限大的文件， 并且当存放文件到特定警戒线的时候能
16、通知管理员。 4.母盘制作相关问题 A，那些软件是必须安装的 B，系统做那些优化 C，安全设置（ie 安全设置，共享安全设置等） D，避免 sid 问题 3部署。 部署客户端 考虑到 ris 服务器需要 dhcp 服务器支持，且对网络带宽有较高要求，可以通过分 批加入域，分批 GHOST 部署域服务器、dns 服务器及文件服务器，如果需要做 dhcp，需要张工，徐工考 虑 DHCP 的实现方式。后期还要添加 WSUS 服务器，sms 服务器，诺顿防病毒 服务器及 vpn 服务器， 因为所有客户机操作系统都为 XP， 没有 98 或者其他系统， 个人认为 wins 服务器在域环境下没有必要。域服
17、务器按规划做好策略，文件服 务器做好权限控制。 4测试。 部门办公应用在域环境下能否正常使用，安全性方面能否达到预期效果。 办公应用：erp 系统能否正常登录，打印；office 软件能否正常运行；bbs 能否正 常登录使用； 5建立各类使用及维护文档。 帮助大家在域环境下更方便的使用办公电脑。 6检查所有电脑，如果检测认定安全的直接加入域，如果是 HOME 版及机器有 问题的，重做系统。 7域的备份 域的备份主要是通过做备份域，以及微软自带的备份工具备份帐户数据等。 效果 最终的客户端系统桌面如下 运行其他非必须程序提示： 对文件服务器的正常访问： 浏览 bbs： 服务器的安全 1、域控制器
18、的安全保证：域控制器主要是管理局域网的用户和机器，并对 用户的权限进行控制，一旦主域控制器系统损坏，重新安装系统后就必须重新建 立用户信息，为了防止系统损坏而影响系统使用，在局域网中又设置一台备份域 服务器，备份域服务器能将主域控制器上的所有用户信息备份到本机，并在主域 控制器失效时自动充当主域控制器的角色，保证系统能正常运行。 2、文件服务器的安全保证：文件服务器主要是保存各种公司私密文件，所 以其安全性主要是考虑服务器上保存的文件的安全性， 文件服务器本身做磁盘冗 余，这样即使服务器有一个硬盘损坏也不会导致文件丢失，另外我们还通过异地 备份将文件服务器上文件保存一份到其他服务器上， 这样即
19、使文件服务器遭遇灾 难性的损坏我们的文件也不会丢失。 3、综合安全优化 1，停掉 Guest 帐号 2，修改管理员帐号和创建陷阱帐号： 重命名 Administrator 账号，然后新建一个名称为 Administrator 的陷阱帐号 “受限制用户” ，把它的权限设置成最低，什么事也干不了，并且加上超级复杂 密码 3，删除默认共享 Windows2003 安装好以后， 系统会创建一些隐藏的共享， 要禁止或删除这些 共享以确保安全，方法是：首先编写如下内容的批处理文件： echo off net share C$ /del net share D$ /del net share E$ /del
20、 net share F$ /del net share admin$ /del 可以通过组策略编辑器使客户机系统开机即执行脚本删除系统默认的共享。 4，禁用 IPC 连接 Ipc 连接 比如 net useipipc$ password /user:usernqme。可以通过修改注 册 表 来 禁 用 IPC 连 接 。 打 开 注 册 表 编 辑 器 。 找 到 HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlLsa 中 的 restrictanonymous 子键，将其值改为 1 即可禁用 IPC 连接。 重新设置远程可访问的注册表路径 5
21、，设置远程可访问的注册表路径为空，这样可以有效地防止黑客利用扫描器通 过远程注册表读取计算机的系统信息及其它信息。打开组策略编辑器，然后选择 “计算机配置”“Windows 设置”“安全选项”“网络访问：可远程访问 的注册表路径”及“网络访问：可远程访问的注册表” ，将设置远程可访问的注 册表路径和子路径内容设置为空即可。 6，关闭不需要的端口 7，关闭不需要的服务 服务提供了核心操作系统功能，如 Web 服务、事件日志记录、文件服务、 帮助和支持、打印、加密和错误报告，并不是所有默认服务都是我们需要的。我 们不需要的可以停用、禁用，来释放系统资源。 8，锁住注册表 9，运行防病毒软件 10,
22、备份 3、监视服务器性能： 通过实时和日志方式来监视服务器性能； 监视服务器内存性能； 监视服务器处理器性能； 监视服务器磁盘性能； 监视网络性能。 4、建立完备的管理制度 为能跟上整改后的计算机网络的管理与使用，需要逐步完善各类相应的管理制 度，包括： 计算机网络管理办法 主要针对用户对计算机的操作使用，管理及保护等进行阐述，明文规定不得进行 哪些相关的操作及网络访问等； 核心网络设置管理办法 针对网络设备、服务器等设置及管理做的详细阐述； IT 管理员工作手册 岗位说明书，规范 IT 管理人员的日常必要维护事项及操作方法，包括设备盘点 登记表、设备健康卡，日常维护记录表、工作日志、设备申购表、报废表等； 计算机维护指南 主要针对分机构计算机用户的自我计算机维护操作指南，主要包括：常用操作系 统的安装说明、常用病毒及网络安全设置步骤、病毒-