内网第一章 - 内网基础知识


基础知识

工作组

类似一个社团,不存在集中管理,无服务机与客户机之分,是对等的

将不同的计算机按功能(或部门)分别列入不同的工作组中

实例:加入/更改/退出 工作组: 计算机- 属性- 计算机名- 更改设置- 工作组更改- (修改名称。若没有这个工作组会新建)- 重启

域(Domain)

一个有安全边界的计算机集合(安全边界: 是指在两个域中,一个域中的用户无法访问另一个域中第资源),可以理解为升级版的“工作组”

域控制器(Domain Controller, 简写为DC)

一个域中一个类似管理服务器的计算机,相当于单位的门卫一样,域内电脑如果想互相访问,首先都是经过它的审核

域的分类

  • 单域 (固定位置的小公司。一个yu内要建立至少两个DC,一个作为备份DC)
  • 父域、子域 (比如一个大公司,有分公司;不同地理位置分公司;子公司可以通过自己的域管理自己的资源; 出于安全策略)
  • 域数(tree)
  • 域森林(forest)
  • DNS域名服务器 (实际上,域的name就是DNS域的name; 通常dns服务器与DCS 是一台机器)

活动目录(Active Directory,AD)

是指域环境中提供目录服务的组件。

目录是什么?目录就是存储有关网络对象(如用户、组、计算机、共享资源、打印机和联系
人等)的信息。目录服务是指帮助用户快速、准确地从目录中找到其所需要的信息的服务。活动
目录实现了目录服务,为企业提供了网络环境的集中式管理机制

活动目录相当于字典的索引,即活动目录里的资源就是字典资源的快捷方式,用户通过寻找快捷方式而定位资源

逻辑结构

组织对象的做法不考虑被管理对象的具体地理位置的组织框架

活动目录的逻辑结构就包括: 组织单元(ou)、域(domain)、域树(tree)、域森林(forest)

在域树内的所有域共享一个活动目录,这个活动目录内的数据分散的存储在各个域内,且每个域只存储该域内的数据。

活动目录主要功能

  • 账号集中管理
  • 软件集中管理
  • 环境集中管理
  • 增强安全性
  • 更可靠
  • 活动目录为Microsoft统一管理的平台

DC与AD最大的区别是:

域控制器(DC)与活动目录(AD)最大的区别是:
如果网络规模较大,就考虑把网络中的众多对象,如计算机、用户、用户组、打印机、共享文件等,分门别类、井然有序地放在一个大仓库中,并将检索信息整理好,以便查找、管理和使用这些对象(资源)。这个拥有层次结构的数据库,就是活动目录数据库,简称 AD 库

那么,我们应该把这个数据库放在哪台计算机上呢?用于存储活动目录数据库的计算机称为DC

所以,要实现域环境,其实就是要安装 AD。当内网中的一台计算机上安装了 AD,它就变成
了 DC

安全域

目的:

将一组安全等级相同的计算机划入同一网段内

DMZ

“隔离区”, “非军事化分区”, 为了解决安装防火墙后外部网络不能访问内部网络费武器的问题

放置 一些必须公开的服务器设施,比如:企业web服务器、FTP服务器和论坛等

有效的保护了内部网络

DMZ的屏障功能:

  • 内网可以访问外网
  • 内网可以访问DMZ
  • 外网不能访问内网
  • 外网可以访问DMZ
  • DMZ不能访问外网
  • DMZ不能访问内网

域中计算机分类

  • 域控制器
  • 成员服务器
  • 客户机
  • 独立服务器

内权限解读

域本地组 (来自全林用于本域)

多域用户访问单域资源(访问同一个域),不能嵌套于其他组中,主要是用于授权位于域资源的访问权限

全局组 (来自本域作用于全林)

单域用户访问多域资源(必须是同一个域里面的用户),全局组嵌套在其他组中

通用组 (来自全林作用于全林)

通用组成员来自域林中任何域中的用户账户、全局组和其他的通用组,可以在该域林中的任何域中指派权限,可以嵌套于其他域组中。非常适于域林中的跨域访问

A-G-DL-P策略

A - 用户账号
G - 全局组
U - 通用组
DL - 域本地组
P - 资源权限

A-G-DL-P策略 是将用户账号添加到全局组中,讲全局组添加到域本地组中, 然后为域本地组分配资源权限。按照AGDLP的原则对用户组织和管理起来更容易

在AGDLP形成以当给一个用户某个权限的时候,只要把这个用户家到某一个本地域组就可以了。

全局组、通用组的权限

  • 域管理员组 Domain Admins
  • 企业系统管理员组 Enterprise Admins
  • 架构管理员组 Schema Admins
  • 域用户组 Domain Users

本地组的权限:

  • Administrators (管理员组)
  • Remote Desktop USer (远程登录组)
  • Print Operator (打印机操作员组)
  • Account Operators (账号操作员组)
  • Server Operater (服务器操作员组)
  • Backup Operators (备份操作员组 )

域环境搭建

Windows 2012 R2

设置IP

更改计算机名

安装域控制器和DNS服务

升级服务器

创建Active Directory用户

Windows7

Windwos7

通过防火墙Monowall构建二级内网

防火墙Monowall的使用

开源,基于软件的防火墙, 基于Web页面管理的

中文版: www.cat-home.org/?action=show&id=158

网络适配器: 2个, 一个NAT,一个桥接,硬盘要求特别低;

配置:


文章作者: 剑胆琴心
版权声明: 本博客所有文章除特別声明外,均采用 CC BY 4.0 许可协议。转载请注明来源 剑胆琴心 !
评论
 上一篇
ubuntu server 包管理 ubuntu server 包管理
DPKG包管理器(本地) ​ dpkg -l 导出软件包,在新系统上安装dpkg -L xxd 查看某个软件包在电脑上包含哪些文件dpkg -S /usr/.../man1 看这个文件来自哪个软件包dpkg -i xxx
2020-02-04
下一篇 
Ubuntu server-基础命令 Ubuntu server-基础命令
基本Shell常识ctrl + D # 结束当前输入 ctrl + c # 强制结束一切 # bash ls参数:-l -a -d 只显示目录自身信息 -i 显示inode信息 -S 按文件大小排序 -r 倒序
2020-01-01
  目录