草庐IT

内网安全 - 简单域环境搭建

Sanyic's Blog 2023-03-28 原文

内网安全 - 简单域环境搭建

使用Windows Server 2012 R2 , Windows 7 , Windows XP配置域控环境。
虚拟机的获取和安装不再叙述,安装时网络选择桥接模式。

域基础知识

这里是我刚学习的时候记录的一些最基础的资料,有计算机网络基础的大哥可以略过。

TCP/IP基础概念

IP地址

IP地址可以划分为两个部分,网络号和主机号部分,网络号表示所属的网络段编号,主机号表示该网段中该主机的地址编号。IP地址可以分为A、B、C、D、E五类:

  • A类:0.0.0.0-127.255.255.255
  • B类:128.0.0.0-191.255.255.255
  • C类:192.0.0.0-223.255.255.255
  • D类:224.0.0.0-239.255.255.255
  • E类:240.0.0.0-247.255.255.255

A、B、C三类地址称为单播地址,用于标识一个终端设备的接口,而目的地址为单播地址的报文称为单播报文;

D类地址称为组播地址,目的地址为组播地址的报文称为组播报文,某些设备启用了特定功能的接口可以收到对应组播地址的组播报文;

E类地址暂时不用

一个特殊的地址是255.255.255.255,称为广播地址,广播报文可以被局域网内的所有设备接收。

IP地址中,有三段地址专门用于私网的规划,不能被用于互联网上的连接如下:

  • A类:10.0.0.0-10.255.255.255
  • B类:172.16.0.0-172.31.255.255
  • C类:192.168.0.0-192.168.255.255

之后的配置会将静态IP地址设置在C类的私网地址中

DNS

域名是Internet上某一台计算机或计算机组的名称,用于在数据传输时标识计算机的定位。域名是由一串用点分隔的名字组成的,通常包含组织名,而且始终包括两到三个字母的后缀,以指明组织的类型或该域所在的国家或地区。

把域名翻译成IP地址的软件称为域名系统,缩写也是DNS。它保存了一张域名和与之相对应的IP地址的表,以解析消息的域名。

子网掩码

子网掩码是用来判断任意两台计算机的IP地址是否属于同一子网络的根据。最为简单的理解就是两台计算机各自的IP地址与子网掩码进行AND运算后,如果得出的结果是相同的,则说明这两台计算机是处于同一个子网络上的,可以进行直接的通讯。

A类地址的默认子网掩码为255.0.0.0; B类地址的默认子网掩码为255.255.0.0; C类地址的默认子网掩码为:255.255.255.0。

默认网关

默认网关(Default Gateway)又叫缺省网关或缺省路由器,是子网与外网连接的设备,通常是一个路由器,而该路由器的IP地址即为网络配置参数的默认网关地址。

如果网络A中的主机发现数据包的目的主机不在本地网络中,就把数据包转发给它自己的网关,再由网关转发给网络B的网关,网络B的网关再转发给网络B的某个主机。

只有设置好网关的IP地址,TCP/IP协议才能实现不同网络之间的相互通信。

工作组

工作组和域都是计算机资源管理的方式

默认情况下计算机都是采用工作组方式进行资源管理的。将不同的电脑按功能分别列入不同的组中,以方便管理。默认情况下所有计算机都处在名为 WORKGROUP 的工作组中。

默认共享的是 Users 目录。不同组的不同用户通过对方主机的用户名和密码也可以查看对方共享的文件夹

工作组资源管理模式适合于网络中计算机不多,对管理要求不严格的情况。工作组里的所有计算机都是对等的 , 没有服务器和客户机之分的。

域和域控

域 (Domain)是一个有安全边界的计算机集合( 安全边界,意思是在两个域中,一个域中的用户无法访问另一个域中的资源

域有一个更加严格的安全管理控制机制,若果需要访问域内的资源,就必须拥有一个合法的身份登陆到该域中,而你对该域内的资源拥有什么样的权限,还需要取决于你在该域中的用户身份。

之后的配置过程中我们会以Windows Server 2012作为域控制器,给Win7和WinXP授予用户账户,就是这一特点的体现。

活动目录AD

活动目录是一个目录数据库,存储整个windows网络中对象的相关信息(可以理解为存储了网络中所有资源的快捷方式)。也是一种服务,可对活动目录中数据执行各种操作。

活动目录存储的是网络中所有资源的快捷方式,用户通过寻找快捷方式而定位资源。

域控制器DC

域控是用来管理所有客户端的服务器,它负责每一台联入的电脑和用户的验证工作,域内电脑如果想互相访问首先都得经过它的审核。
域控是域架构的核心,每个域控制器上都包含了AD活动目录数据库。

一个域中通常要有至少两个域控。一个作为DC,一个是备份DC。如果没有第二个备份DC(BDC),那么一旦DC瘫痪了,则域内的其他用户就不能登陆该域了,因为活动目录的数据库(包括用户的帐号信息)存储在DC中的。

当域中的一台计算机安装了AD后,它就成了域控DC。

域环境配置

域控制器配置

设置固定IP地址

在控制面板打开网络和Internet,更改适配器设置一项,在Ethernet0属性栏中双击TCP/IPV4,设置使用下面的IP地址,取消勾选IPv6选项

修改主机名

安装AD

1、在服务器管理器中--添加角色和功能
进入添加流程中,依次选择

  • 基于角色或基于功能的安装
  • 从服务器池中选择服务器
  • 服务器角色选择 Active Directory 域服务和 DNS服务器

服务器功能根据需要选择配置,选择如果需要,自动重新启动目标服务器

安装完成后选择将此服务器提升为域控制器

AD部署配置

在部署配置部分单击选中添加新林(F)单选按钮,然后输入符合DNS命名约定的根域名,这里使用了sanyic.testlab

在域控制器选项部分,将林功能级别、域功能级别都设置为windows servers 2012 R2,如图所示。创建域林时,在默认情况下应选择DNS服务器,林中的第一个域控制器必须是全局目录服务器且不能是只读域控制器(RODC)。然后,设置目录服务还原模式的密码(在开机进入安全模式修复活动目录数据库时将使用此密码)

在DNS选项部分可能会出现关于DNS的警告。不用理会,保持默认设置。

在其他选项部分。在NetBIOS域名(不支持DNS域名的旧版本操作系统,例如widows98、NT,需要通过NetBIOS域名进行通信)部分保持默认设置。

在路径部分,制定数据库、日志、SYSYVOL文件夹的位置,其他选项保持默认设置。单击洗一步按钮,保持默认设置。

安装好后,会自动重新启动服务器。

这里命令行下输入net view,可能会出现错误

解决方案如下:

1.win+R ,输入services.msc 开启服务:Server ,WorkStation,computer Browser
2.如果你的电脑没有computer Browser服务,win+R 输入appwiz.cpl ,选择启用或关闭Windows功能,选择SMB1.0/CIFS 文件共享支持,重启电脑。然后开启以上3个服务。
3.重启computer Browser服务。

创建Active Directory用户

为windows7用户和WindowsXP创建域控制账户,在Active Directory用户和计算机界面中选择Users目录右键,使用弹出的快捷菜单添加用户。

将Win7和WinXP添加到该域中

首先要修改IP

单击开始 > 控制面板。
在控制面板上,双击网络连接。
右键单击本地连接。
单击属性。
选择因特网协议 (TCP/IP),然后单击属性。

这里将WinXP设置IP地址为192.168.28.31,并将域控服务器IP地址设置为DNS服务器地址。
将Win7设置IP地址为192.168.28.33,并将域控服务器IP地址设置为DNS服务器地址。

然后再系统属性后重命名计算机名和隶属域,输入拥有权限的域账户名和密码(这里可以输入设置的域管理员的账户和密码)。

指定的网络名不再可用

如果双方计算机互相ping通,并且nslookup成功解析域名时连接,还有可能遇到这种错误

解决方案如下:

重置一下网络:
启动 “Windows PowerShell (管理员)”,依次执行以下 5 条命令:

netsh winsock reset
netsh int ip reset
ipconfig /release
ipconfig /renew
ipconfig /flushdns
执行完毕后直接重启设备

重新配置IP地址,子网掩码和默认网关,可以解决

配置的时候踩坑还是很多的,包括防火墙,几个关键服务,DNS服务器的设置等等。

参考文章

https://cloud.tencent.com/developer/article/1624522
https://www.cnblogs.com/xiaozi/p/12828421.html
https://pingmaoer.github.io/2020/03/05/搭建域环境/
https://answers.microsoft.com/zh-hans/windows/forum/all/加域时指定/981f0ec0-a55b-4b34-9144-826ef2fbd44f

有关内网安全 - 简单域环境搭建的更多相关文章

  1. ruby - 如何使用 Ruby aws/s3 Gem 生成安全 URL 以从 s3 下载文件 - 2

    我正在编写一个小脚本来定位aws存储桶中的特定文件,并创建一个临时验证的url以发送给同事。(理想情况下,这将创建类似于在控制台上右键单击存储桶中的文件并复制链接地址的结果)。我研究过回形针,它似乎不符合这个标准,但我可能只是不知道它的全部功能。我尝试了以下方法:defauthenticated_url(file_name,bucket)AWS::S3::S3Object.url_for(file_name,bucket,:secure=>true,:expires=>20*60)end产生这种类型的结果:...-1.amazonaws.com/file_path/file.zip.A

  2. ruby - 简单获取法拉第超时 - 2

    有没有办法在这个简单的get方法中添加超时选项?我正在使用法拉第3.3。Faraday.get(url)四处寻找,我只能先发起连接后应用超时选项,然后应用超时选项。或者有什么简单的方法?这就是我现在正在做的:conn=Faraday.newresponse=conn.getdo|req|req.urlurlreq.options.timeout=2#2secondsend 最佳答案 试试这个:conn=Faraday.newdo|conn|conn.options.timeout=20endresponse=conn.get(url

  3. ruby - 用 Ruby 编写一个简单的网络服务器 - 2

    我想在Ruby中创建一个用于开发目的的极其简单的Web服务器(不,不想使用现成的解决方案)。代码如下:#!/usr/bin/rubyrequire'socket'server=TCPServer.new('127.0.0.1',8080)whileconnection=server.acceptheaders=[]length=0whileline=connection.getsheaders想法是从命令行运行这个脚本,提供另一个脚本,它将在其标准输入上获取请求,并在其标准输出上返回完整的响应。到目前为止一切顺利,但事实证明这真的很脆弱,因为它在第二个请求上中断并出现错误:/usr/b

  4. ruby-on-rails - 在 Rails 开发环境中为 .ogv 文件设置 Mime 类型 - 2

    我正在玩HTML5视频并且在ERB中有以下片段:mp4视频从在我的开发环境中运行的服务器很好地流式传输到chrome。然而firefox显示带有海报图像的视频播放器,但带有一个大X。问题似乎是mongrel不确定ogv扩展的mime类型,并且只返回text/plain,如curl所示:$curl-Ihttp://0.0.0.0:3000/pr6.ogvHTTP/1.1200OKConnection:closeDate:Mon,19Apr201012:33:50GMTLast-Modified:Sun,18Apr201012:46:07GMTContent-Type:text/plain

  5. ruby-on-rails - 简单的 Ruby on Rails 问题——如何将评论附加到用户和文章? - 2

    我意识到这可能是一个非常基本的问题,但我现在已经花了几天时间回过头来解决这个问题,但出于某种原因,Google就是没有帮助我。(我认为部分问题在于我是一个初学者,我不知道该问什么......)我也看过O'Reilly的RubyCookbook和RailsAPI,但我仍然停留在这个问题上.我找到了一些关于多态关系的信息,但它似乎不是我需要的(尽管如果我错了请告诉我)。我正在尝试调整MichaelHartl'stutorial创建一个包含用户、文章和评论的博客应用程序(不使用脚手架)。我希望评论既属于用户又属于文章。我的主要问题是:我不知道如何将当前文章的ID放入评论Controller。

  6. ruby - 如何安全地删除文件? - 2

    在Ruby中是否有Gem或安全删除文件的方法?我想避免系统上可能不存在的外部程序。“安全删除”指的是覆盖文件内容。 最佳答案 如果您使用的是*nix,一个很好的方法是使用exec/open3/open4调用shred:`shred-fxuz#{filename}`http://www.gnu.org/s/coreutils/manual/html_node/shred-invocation.html检查这个类似的帖子:Writingafileshredderinpythonorruby?

  7. ruby - 使用 Ruby 通过 Outlook 发送消息的最简单方法是什么? - 2

    我的工作要求我为某些测试自动生成电子邮件。我一直在四处寻找,但未能找到可以快速实现的合理解决方案。它需要在outlook而不是其他邮件服务器中,因为我们有一些奇怪的身份验证规则,我们需要保存草稿而不是仅仅发送邮件的选项。显然win32ole可以做到这一点,但我找不到任何相当简单的例子。 最佳答案 假设存储了Outlook凭据并且您设置为自动登录到Outlook,WIN32OLE可以很好地完成此操作:require'win32ole'outlook=WIN32OLE.new('Outlook.Application')message=

  8. Vscode+Cmake配置并运行opencv环境(Windows和Ubuntu大同小异) - 2

    之前在培训新生的时候,windows环境下配置opencv环境一直教的都是网上主流的vsstudio配置属性表,但是这个似乎对新生来说难度略高(虽然个人觉得完全是他们自己的问题),加之暑假之后对cmake实在是爱不释手,且这样配置确实十分简单(其实都不需要配置),故斗胆妄言vscode下配置CV之法。其实极为简单,图比较多所以很长。如果你看此文还配不好,你应该思考一下是不是自己的问题。闲话少说,直接开始。0.CMkae简介有的人到大二了都不知道cmake是什么,我不说是谁。CMake是一个开源免费并且跨平台的构建工具,可以用简单的语句来描述所有平台的编译过程。它能够根据当前所在平台输出对应的m

  9. postman——集合——执行集合——测试脚本——pm对象简单示例02 - 2

    //1.验证返回状态码是否是200pm.test("Statuscodeis200",function(){pm.response.to.have.status(200);});//2.验证返回body内是否含有某个值pm.test("Bodymatchesstring",function(){pm.expect(pm.response.text()).to.include("string_you_want_to_search");});//3.验证某个返回值是否是100pm.test("Yourtestname",function(){varjsonData=pm.response.json

  10. Qt Designer的简单使用 - 2

    在前面两节的例子中,主界面窗口的尺寸和标签控件显示的矩形区域等,都是用C++代码编写的。窗口和控件的尺寸都是预估的,控件如果多起来,那就不好估计每个控件合适的位置和大小了。用C++代码编写图形界面的问题就是不直观,因此Qt项目开发了专门的可视化图形界面编辑器——QtDesigner(Qt设计师)。通过QtDesigner就可以很方便地创建图形界面文件*.ui,然后将ui文件应用到源代码里面,做到“所见即所得”,大大方便了图形界面的设计。本节就演示一下QtDesigner的简单使用,学习拖拽控件和设置控件属性,并将ui文件应用到Qt程序代码里。使用QtDesigner设计界面在开始菜单中找到「Q

随机推荐