域安全通道实用工具nltest.exe的使用简介（上） (转)

域安全通道实用工具nltest.exe的使用简介（上） (转)[@more@]

工具：

  此工具在microsoft windows NT 4.0资源工具包中可以找到，另外如果你有Windows 2003安装盘的话，在安装盘的Support Tools目录下有安装Support Tools的一个工具包安装程序，你安装此工具包后同样也有nltest.exe工具。

  简介：

  nltest.exe是一个非常强大的命令行工具，它能用来在windows NT域中测试信任关系和域控制器复制的状态。一个域由一个独立主域控制器（PDC）和零个或者更多备份域控制器（BDC）组成。

  当在Windows NT上下文关系中使用信任时，它描述两个Windows NT域之间的关系。每个包含的域或者是等待信任域角色，也或者是已信任域角色。对于任何已给出的信任关系，在等待信任域的每个域控制器和已信任域的每个域控制器之间只有唯一的一个连续的通信通道。举例，如果域A信任域B，那么B就是已信任域，A就是等待信任域。另外一个例子，假设域C信任域D，同时域D也信任域C，这种情况下，在域控制器之间有两个截然不同的信任关系，通常我们把它叫作完全信任模式，或者双路线模式。然而，为了诊断安全通道，最好是认为在等待信任域的每个域控制器和已信任域的域控制器之间存在两个独立的安全通道。

  信任关系并不是可传递的，举例，假设域E信任域F，域F信任域G，这并不表示域E就信任域G。这是因为每个域的管理员必须为发生信任关系的两个域之间明确地授权。

  信任关系的另一种形式是它有时被引用成一个隐式的信任。在一个独立域模式中，或者在任何两个域之间没有清楚的信任关系的环境中，隐式信任关系是活动的和功能上需要的。这种隐式信任关系存在于一个域的域控制器和域中所有成员计算机之间。清楚的信任关系在域用户管理中建立。隐式信任关系在成为域成员时建立。

  Nltest.exe能够用来测试一个域中的域控制器和运行Windows NT的域成员之间的信任关系。Nltest.exe也可以用来在主域控制器（PDC）和备份域控制器（BDC）之间效验信任关系。在一个明确指定信任关系的域中，nltest.exe能够用来测试在等待信任域中的所有域控制器和已信任域中的一个域控制器之间的信任关系。

  这些通讯会议被叫作安全通道并用来验证Windows NT计算机账号。也用来验证当一个远程用户连接到网络资源并且这个用户帐号存在于一个已信任的域中的用户帐号，这被叫作通行证验证，并允许加入到域中的运行Windows NT的计算机拥有访问域中或已信任域中的用户帐号的数据。

  Nltest.exe能使用浏览器服务来枚举域控制器。因此，如果浏览器服务没有正确地工作，nltest.exe将返回不协调的结果。运行nltest.exe和提供浏览器服务的计算机将共享域控制器承载域活动记录的同一协议。特别地，指定计算机和域名称的枚举依赖命名决定的状态，比如WIN服务器复制，IPX路由配置或.NETBEUI桥接。

  所有的信任关系和域同步，都可以在nltest.exe下监视、测试和检验。

  在命令行下输入带/?参数的nltest.exe后的样本输出：

/SERVER:XML:namespace prefix = o ns = "urn:schemas-microsoft-com:Office:office" />

指定ServerName

/QUERY - Query netlogon service

查询ServerName的netlogon服务

/REPL - Force partial sync on BDC

强制的备份域控制器BDC局部同步

/SYNC - Force full sync on BDC

强制的备份域控制器BDC全部同步

/PDC_REPL - Force UAS change message from PDC

强制UAS从主域控制器PDC改变消息

/SC_QUERY:<domainName> - Query secure channel for on

为上的域查询安全通道

/SC_RESET:[] - Reset secure channel for on

rverName> to

重设上域到的安全通道

/SC_VERIFY: - Verify secure channel for on

检验上域的安全通道

/SC_CHANGE_PWD: - Change a secure channel  password for

 on

改变上域的安全通道口令

/DCLIST: - Get list of DC's for

得到的域控制器清单

/DCNAME: - Get the PDC name for

得到的主域控制器名称

/DSGETDC: - Call DsGetDcName /PDC /DS /DSP /GC /KDC

  /TIMESERV /GTIMESERV .netBIOS /dns /ip /FORCE /WRITABLE /AVOIDSELF /LDA

PONLY /BACKG

  /SITE: /ACCOUNT: /RET_DNS /RET_NETBIOS

调用DsGetDcName

/DNSGETDC: - Call DsGetDcOpen/Next/Close /PDC /GC

  /KDC /WRITABLE /LDAPONLY /FORCE /SITESPEC

调用DsGetDcOpen、DsGetDcNext或者DsGetDcClose

/DSGETFTI: - Call DsGetForestTrustInformation

  /UPDATE_TDO

调用DsGetForestTrustInformation

/DSGETSITE - Call DsGetSiteName

调用DsGetSiteName

/DSGETSITECOV - Call DsGetDcSiteCoverage

调用DsGetDcSiteCoverage

/PARENTDOMAIN - Get the name of the parent domain of this machine

得到本机的父域名称

/WHOWILL:* [] - See if will log on

查看域是否愿意登陆用户

/FINDUSER: - See which trusted domain will log on

查看哪个域愿意登陆用户

/TRANSPORT_NOTIFY - Notify netlogon of new transport

通报新传输的netlogon事件

/dbFLAG: - New debug flag

新调试标记

/USER: - Query User info on

查询的用户信息

/TIME: - Convert NT GMT time to ascii

转换NT GMT时间为ascii码

/LOGON_QUERY - Query number of cumulative logon attempts

查询试图登陆的累计数字

/DOMAIN_TRUSTS - Query domain trusts on

  /PRIMARY /FOREST /DIRECT_OUT /DIRECT_IN /ALL_TRUSTS /V

查询上的域信任

/DSREGDNS - Force registration of all DC-specific DNS records

强制注册所有DC指定的DNS记录

/DSDEREGDNS: - Deregister DC-specific DNS records for specified

 DC

  /DOM: /DOMGUID: /DSAGUID:

取消DC指定的DNS记录的注册

/DSQUERYDNS - Query the status of the last update for all DC-specific DNS re

cords

查询所有DC指定的DNS记录最后更新的状态

/BDC_QUERY: - Query replication status of BDCs for

查询备份域控制器BDCs的复制状态

/SIM_SYNC: - Simulate full sync replication

模拟完全同步复制

/LIST_DELTAS: - display the content of given change log file

显示给定变化日志文件的内容

/CDIGEST: /DOMAIN: - Get client digest

得到客户端的摘要信息

/SDIGEST: /RID: - Get server digest

得到服务器的摘要信息

/SHUTDOWN: [] - Shutdown for

关闭

/SHUTDOWN_ABORT - Abort a system shutdown

中断系统关闭

  下面是一些额外参数说明

来自 “ ITPUB博客 ” ，链接：http://blog.itpub.net/10752019/viewspace-963691/，如需转载，请注明出处，否则将追究法律责任。

转载于:http://blog.itpub.net/10752019/viewspace-963691/