AD設定說明

• 
  人員離職之後，等接班人來了直接修改原帳戶即可繼承該帳戶的權限，因為AD是依系統SID碼來記錄，而不是AD帳號，故原帳戶可以直接繼承。
• 即使將舊帳戶刪除，再新增一相同帳號之帳戶也不會繼承到原帳戶的權限，因為是依SID來記錄，不是帳號。

群組原則的設定建議：

• A：使用者帳戶。G：通用群組。DL：網域區域群組。P：代表權限。
• A、G、DL、P
• A、G、G、DL、P
• A、G、U、DL、P
• A、G、G、U、DL、P

群組原則功能：

• 帳戶原則的設定：例如設定使用者的密碼長度、密碼使用期限、帳戶鎖定原則等。
• 本機原則的設定：如稽核原則的設定、使用者權利的指派、安全性設定。
• 指令碼(scripts)設定：登入/登出、啟動/關機指令碼的設定。
• 使用者工作環境設定：如隱藏使用者桌面上所有的圖示、移除開始功能表中的執行、搜尋、關機等功能。
• 軟體的安裝與移除：使用者登入或電腦啟動時，自動為使用者安裝應用軟體、自動修復應用程式或是移除。
• 限制軟體的執行：透過各種不同軟體限制的規則，來限制網域使用者只能執行某些軟體。
• 資料夾的轉向：改變我的文字、我的圖片等資料夾的儲存位置。

說明：

• 群組原則包含了電腦設定與使用者設定。
• 電腦設定：當電腦開機的時候系統會根據電腦設定的內容來設定電腦的環境。假如針對了網域設定了群組原則，則此群組原則內的電腦設定就會被套用到此網域內的所有電腦。
• 使用者設定：當使用者登入時，系統就會根據使用者設定的內容來設定使用者的工作環境，如果針對了某OU設定了群組原則，則此群組原則內的使用者設定就會被套用到此OU所有人了。
• 也可以針對本機電腦原則設定，這個電腦原則只會套用本機電腦與在此台電腦登入的所有使用者。

群組原則物件(GPO)

• GPO分GPC與GPT兩部份，並分別被儲存到不同的地點。
• GPC：被儲在AD資料庫內，它記載著GPO的屬性與版本等資料。網域內的電腦可以透過屬性資料來得知GPT的儲存地點，而網域控制站可以利用版本資料來判斷其所擁有的GPO是否為最新的版本。
• GPC：用來儲存GPO的設定值與相關檔案。系統利用GPO的GUID來做GPT的資料夾名稱。

群組原則套用時機

電腦設定的套用時間

• 電腦開機時套用。
• 即使電腦不重開機，系統仍然會每隔一段時間自動套用。
• 手動套用：在網域內電腦執行gpupdate /target:computer /force

使用者設定套用時機

• 使用者登入時套用
• 即時不登入也會自動套用
• 手動套用：在網域內電腦執行gpupdate /target:user /force

範例說明：

一、電腦設定

• 系統預設，只有某些群組才有權利在扮演網域控制站角色的電腦上登入，因為除非設定允許本機登入，否則一般使用者無法登入。
• 我們修改，讓DOMAIN USERS也可以登入。
• 在群組原則管理編輯器\電腦設定\原則\WINDOWS設定\安全性設定\本機原則\使用者權利，將原則允許本機登入，加入DOMAIN USER。
• 假如有多台網域控制站的話，預設每十五秒會自動複製新的原則，也可以手動立刻複製。

二、使用者設定

• 我們利用使用者設定來讓某OU的使用者在登入後，其開始功能表中的執行選項會被移除。
• 如果沒有任何GPO連結到要練習的OU，我們可以建一個GPO連結到該OU，並在使用者設定移除開始選項。

群組原則的規則

• 群組原則有繼承性，如果在高層的原則被設定，在低層未設定的話，則會繼續高層有設定。
• 如果在低層GPO是已設定，則原則是依底層GPO。
• GPO有累加性，有三階的OU都有設定GPO的話，則三階的加總即為最後有效設定值。
• 但如果在網域、站台與OU之間的GPO有衝突的時候，則以處理順序在後的GPO為優先，所以OU的GPO設定優先。
• 系統是先處理電腦設定，再處理使用者設定。如果衝突，大部份情況下以電腦設定優先。
• 如果多個GPO連接到一個OU，一但有衝突，則以排列在前的為優先。
• 本機電腦原則的優先權最低，與站台、網域、OU設定衝突無效。
• 也可以在子容區內透過不要繼承原則選項來選擇不要繼承父容區GPO設定。
• 在父容區也可以透過GPO的不可強制覆蓋選項來強制子容區要繼承。

特殊的處理設定

強制處理GPO

• 假如在GPO內對使用者做了某項限制，使用者因這原則而受限後自行將此限制移除，則當下次使用者端在套用原則時，會因GPO內的原則設定值並沒有異動而不處理此原則，因而無法自動將使用者自行變更的設定改回來。
• 解決的方法是強制處理每一個原則，假如要求某OU內的每台電腦在每一次處理、套用原則時，必須處理、套用與軟體安裝有關的原則，則其設定方法是在系統管理範本\系統\群組原則\軟體安裝原則處理，勾選即時群組原則尚未變更也進行處理。

低速連線的GPO處理

• 可以設定讓網域內的電腦來自動偵測其與網域控制站之間的連線速度是否太慢，在系統管理範本\系統\群組原則\群組原則低速連結偵測中設定。

回送處理模式

• 伺服器SERVER1的電腦帳戶位於伺服器的OU內，有一個伺服器GPO，而使用者A的帳戶位於業務OU內有一個業務GPO，則當使用者A在SERVER1登入網域時，正常情況下，使用者環境由業務GPO的使用者設定提供，而電腦環 境是由伺服器GPO的電腦設定提供。
• 可是當設定在業務部GPO的使用者設定中設定，當在業務OU登入時會自動安裝某應用程式，則使用者在任何一台電腦登入，都會為這電腦安裝應用程式。但卻不想替使用者在這台重要的伺服器SERVER1內安裝應用程式，就要靠回送處理模式解決了。
• 只要在伺服器GPO內啟用了回送處理，則不論使用者是在那，只要是利用伺服器OU的電腦登入，則使用者工作環境就會由伺服器GPO提供。
• 其設定方法是在系統管理範本\系統\群組原則\使用者群組原則回送處理模式

變更管理GPO的網域控制站

• 在新增修改或刪除群組原則時，異動預設都是存在PDC模擬主機，再由PDC將其複製到其它網域控制站。但如果人在上海，PDC主機在台北的話，希望所有異動都直接儲存在上海的網域控制站，可以有幾種選項：
• 擁有PDC模擬器的操作主機權杖的網域控制站-建議使用
• 由AD嵌入式管理單元所使用的網域控制站
• 使用任何可用的網域控制站-不建議
• 利用群組原則-設定使用網域控制站

名稱解析概念-DNS

說明：

• 在SERVER中有兩個名稱解析服務，一個是DNS，一個是WINS。
• 一個名稱可以對應一個或多個IP，但每個IP都是獨特的。
• 有許多方法可以進行HOST NAME名稱解析或NETBIOS NAME名稱解析。
• 一般來說，使用TCP/IP通訊協定相關應用程式或服務會使用HOSTNAME名稱解析。而絕大部份用到UNC PATH的應用程式或服務則會用NETBIOS NAME名稱解析。

NetBios：

• 使用nbstat -n可以查詢本身那些服務有開啟NetBios服務。
• 打開伺服器管理員\設定\服務 設定。
• 主要提供給WIN2000以前的系統使用，運作中用到很多Broadcast機制，會影響到整個網路上的電腦。所以在xp、2000、2003、以後都改用HOSTNAME了。
• 在NT4.0時期，NETBIOS NAME跟HOSTNAME是不同的，但之後就是相同的了。

Host Name：

• HOST NAME是在網路設備中的DNS NAME。
• 透過HOSTNAME跟DNS SUFFIX可以組成完整的網域名稱。如SV1為HOSTNAME，而UUU.COM.TW為DNS SUFFIX，則結果為SV1.UUU.COM.TW。
• 設定DNS SUFFIX在開始\伺服器管理員\變更系統內容。
• 一台主機可以對應一個或多個HOSTNAME，如一台電腦在DNS伺服器中可以名字叫SV1.UUU.COM.TW OR SV2.UUU.COM.TW如此連結都是在同一台電腦。
• 一個HOSTNAME也可以對應多個主機，此功能為網路平衡負載使用(NLB)。
• 要做HOSTNAME的名稱解析，HOSTNAME跟IP都必需先設定到DNS伺服器或HOST檔案。
• 可以在命令提示字元中鍵入HOSTNAME指令來查詢你設定到這台電腦的HOSTNAME。

解析範例：

• 在電腦預設dns為168.95.1.1，然後ping www.hinet.net會發現解析ip為203.66.88.89，但如果把host記錄檔修正，加入一筆『192.168.0.254 www.hinet.net』再ping一次，會發現解析為192.168.0.254了。
• 這代表著，在名稱的解析方面，有其順序。
• 順序為：用戶端host檔、dns伺服器、netbios、wins、廣播…

安裝DNS服務角色：

• 扮演DNS服務角色的電腦建議設定為固定IP，且慣用DNS伺服器指定為自己。
• 將申請到的DNS網域名稱設為這部電腦的主要DNS尾碼。在伺服器管理員\變更系統內容\系統內容 點選變更，選擇其他，在這電腦的主要DNS尾碼中設定，輸入要使用的名稱。

DNS名稱查詢處理程序：

• 正向對應區域 -利用HOSTNAME來查IP
• 反向對應區域 -用IP查HOSTNAME
• 轉寄站 -一般設定為ISP的DNS，可節省一去一回的DNS查詢封包。
• 全域記錄  -
• 查詢方式 -反覆式(不斷溝通，只幫你查下一層DNS的IP)。遞迴式(會將所要解析的名稱轉向下一層DNS)

DNS區域概念：

• 所謂的區域(zone)，指的就是DNS伺服器所管理的範圍。假如公司申請一個名為AAA.COM.TW的DNS網域，那你可以在公司中的DNS伺服器新增一個名為AAA.COM.TW的網域。一台DNS伺服器可以同時管理多個區域。
• 主要區域(PRIMARY ZONE) -標準DNS伺服器功能，所謂主要的區域就是區域資料庫可以修改。因為是PRIMARY，即指主宰區域裡面的相關資料。
• 次要區域(SECONDARY ZONE) -會定期到DNS伺服器複製資料，這動作稱為區域轉送，主要DNS伺服器是次要的轉送對象。次要區域是唯讀的。
• 虛擬常設區域 -跟次要區域很像，但這邊只會複製維護這個區域的DNS伺服器資訊，也就是NS記錄及跟NS記錄相關的A記錄。

基礎網路概念

基本說明：

• IP：代表主機在網路上的唯一地址。
• 子網路遮罩：網路遮罩的設計是切割子網路與判斷目的主機位址用途。
• 預設閘道：指定用來轉送至其他網段的路由器IP位址，通常設定為相同子網段的路由器IP。
• 慣用DNS：提供主機名稱解析服務主機的IP位址，允許設置一部以上。
• 
  
• 在SERVER2008，如設定為DHCP的話會自動啟動一項APIPA(automatic private ip addressing)功能。並自動採用一個169.254.0.0/16網段上的位址。
• SERVER2008提供『多重網路連線自動使用其他組態』，透過此設定可以設定多組網路，而不需要每次更換作業場所都需要手動重新設定TCP/IP。

使用命令設定TCP/IP組態：

• netsh interface ip set address "區域連線" dhcp - 將目前的TCP/IP組態改成由DHCP指定。
• netsh interface ip set address "區域連線" static 192.168.1.100 255.255.255.0 192.168.1.1 1 -將IP設為192.168.1.100、子網路遮罩設為255.255.255.0、閘道器為192.168.1.1、METRIC值為1。
• netsh interface ip set dns "" static 192.168.1.254 -將dnc設為192.168.1.254。
• netsh -c interface dump > c:\ipconfig.txt -將目前網卡的TCP/IP設定匯出。
• netsh -f c:\ipconfig.txt -將先前備份的網卡設定匯入。
• netsh interface ip reset c:\log.txt -重設TCP/IP為預設值。
• netsh int ip reset c:\reset.log -2008重設TCP/IP指令。

檢視TCP/IP目前組態：

• ipconfig /all -顯示目前的組態設定。

TCP/IP基本診斷：

• 先執行ipconfig /all確定網路設定是否有誤，如IP位址為.0.0.0.0則表示有IP衝突的問題，如IP為169.254璒頁，則表示系統因為無法取得有效IP而自動啟動APIPA。
• Ping本機127.0.0.1檢測本機TCP/IP協定運作是否正常。
• Ping本機電腦IP。
• Ping預設閘道IP。
• Ping遠端主機IP驗證主機是否可以透過路由器。
• tracert會利用逐層遞增的存留時間(TTL)欄位值來傳送『ICMP ECHO REQUEST』訊息至目的，以決定到達目的地的路徑，同時也顯示了來源主機與目的地之間的路徑清單。
• Arp -顯示、新增與刪除arp快取資料。
• Netstat -顯示目前TCP/IP協定連線狀況。
• Nslookup -診斷與查詢DNS伺服器主機名稱解析問題。
• Pathping -提供有關在來源與目的地之間的路由器上的網路延遲及網路遺失相關資訊。

網路連結：

• 網路連結是一種連接上下層網路元件的過程，也就是網路卡、通訊協定與網路服務之間的連結過程。一般原則是將最常用的通訊協定移至清單最頂端或將最快速的通訊協定移至最頂端。在控制台\網路連線\進階\進階設定。

網路地圖功能：

• 2008內建了『連結階層拓樸搜索LLTD』協定，該協定運作於OSI第二層。
• 在群組原則的電腦設定\系統管理範本\網路\連結階層拓樸搜索 路徑設定『開啟Responder(RSPNDR)』與『Mapper I/O(LLTDIO)』。
• 在XP並無內建LLTD功能。
• LLTD不是一個絕對穩當可靠的協定。
• 登入網域時，網路地圖功能會自動停用。

其它指令與工具：

nslookup -nslookup hostname 或 nslookup ipaddress 來看ip與對應主機的名稱。

Portqry -查詢遠端主機的服務是否開啟。 portqrt -n www.microsoft.com -e 80 確認主機的80port是否開啟，portqry -n 192.168.1.1 -o 23 檢測23port是否開啟。

route -route print顯示本機電腦的路由表。

telnet -雖然不是一個主要診斷的指令，可以透過該指令確認主機服務port是否有開啟。如telnet 192.168.1.3 80，即是判斷該主機的80port是否正常。