适合小白的网络安全学习笔记——第六课（内网环境）

内网环境

**工作组：**无法控制工作组的朋友（计算机教室的各个主机）

**域：**方便企业统一对计算机进行设置

概念：对企业中的所有用户及计算机进行集中管理，这种区别于工作组的逻辑环境称为windows域

活动目录（Active Directory）：

用来管理服务器及客户端计算机账户，包含组策略（统一所有电脑同一背景之类）等等。

安全域的划分 1.内网（安全级别最高）：分为核心区（存储企业最重要的数据，只有很少的主机能够访问）和办公区（员工日常工作区，一般能够访问DMZ，部分主机可以访问核心区）

2.DMZ（Demilitarized Zone，边界网络，隔离区，安全级别中等）：作为内网中安全系统和非安全系统之间的缓冲区，用于对外提供服务，一般可以放置一些必须公开的服务器设施

3.外网（Internet，安全级别最低）

域的部署：

1）安装域控制器(DC)—→生成域环境（老师的主机）
2）安装活动目录(公司所有的公共资源，DC里面)—→生成域控制器

域控制器通常还要部署为DNS服务器，方便通过客户端名称解析为ip地址找到客户端

由于域中计算机使用DNS来定位DC、服务器和其他计算机的，所以域的名字就是DNS域的名字。

一般解析过程：想找到hzh->找到DC控制器(pz.com)->通过DNS表找到hzh.pz.com

管理查询位置

加入域

划分到同一网段，设置DNS服务器，右键属性改工作组为域

以下是加入域的流程

步骤	描述
查询DNS	计算机查询DNS以找到域控制器的IP地址。
定位域控制器	使用DNS返回的IP地址，计算机通过Kerberos协议或其他认证协议与域控制器建立安全连接。
Kerberos认证	如果使用Kerberos，计算机请求服务票据以与域控制器进行安全通信。
发送加入域请求	计算机向域控制器发送加入域的请求。
域控制器处理请求	域控制器验证请求，并检查计算机是否有加入域的权限。
计算机账户创建	请求被接受后，域控制器为计算机创建一个新的计算机账户。
分配安全策略	域控制器分配域的安全策略和组策略给新加入的计算机。
更新本地策略	计算机接收并应用新的安全策略和组策略。

加入域之后conputer可以看到电脑

添加用户

user右键添加用户，然后在别的已经添加到域里面的电脑里面使用账号密码登录

人员划分

用户类型	基本权限描述
域管理员	- 完全控制域内所有对象- 管理组策略- 创建、修改或删除用户和计算机账户- 管理访问控制- 管理信任关系- 执行系统操作
域用户	- 登录到域内计算机- 访问共享资源（根据权限）- 受组策略约束- 受限管理权限
只读域控制器	- 读取Active Directory数据库- 不能进行写操作
企业管理员	- 管理整个Active Directory森林（多个域）
架构管理员	- 管理Active Directory架构- 修改目录结构
组织单位管理员	- 管理特定组织单位内的对象- 权限由域管理员授予
组成员	- 根据所属组，可能有特定权限集合- 权限可以是域级别或针对特定资源
权限提升的用户	- 临时或永久地提升权限- 以便执行特定管理任务

用户权限

1.比如让域用户有权限操控本地电脑上的文件（将域用户添加到原先的本地管理员组）

先用管理员账号登电脑，然后在管理，组administrator那里添加想控制电脑的用户就好了

HzH.com\administrator

OU组成单位

作用：用于归类域资源（域用户，域计算机，域组）

之前的组是为了赋权限，现在的组的目的是为了下发组策略，右键新建组成单位

GPO组策略（组策略管理中更改）

像一张纸一样跟着上面的，右键新建

LSDOU组策略执行顺序local本地->林的站点->domain域->ou 冲突情况等级往后走

工作流程

新来一个员工，管理员的工作：创造一个用户，然后把他的电脑加入域，然后拉到一个组成单位里面（比如董事会），然后在他电脑上把他的权限添加到他的本地用户和组里面，最后告诉他域账号和密码