样题-世界技能大赛网络系统管理项目模块 B-Windows 环境

大大大大小小

已于 2024-01-23 01:14:39 修改

阅读量419

点赞数 1

分类专栏： Windows Server 2019 部分技术资料文章标签：服务器网络运维

于 2022-08-14 00:06:17 首次发布

本文链接：https://blog.csdn.net/m0_57856520/article/details/126253572

版权

Windows Server 2019 部分技术资料专栏收录该内容

18 篇文章 3 订阅

订阅专栏

地址表

公共网络区域

1. 路由转发服务

 在 ISP-RTR 启用路由功能。

 在 HQ-RTR 和 BR-RTR 上配置默认路由，下一跳设置为 ISP-RTR。

ISP-PTR

关机防火墙，配置网络

安装服务

自定义选择LAN，

查看路由，没有通往24子网掩码的路由，我直接用静态指向

HQ-RTR

网络配置

指定网管后自动会有默认路由

即使添加还是会有报：此对象存在

BR-RTR

同理，自动生成路由

2. 域名解析服务

 在 ISP-RTR 上安装 DNS 服务器，配置为当前系统环境的根域服务器。

添加根域

允许更新

 在 HQ-RTR 上安装 DNS 服务器，该服务器将保存 worldskills.ts 的只读副本。

这个的意思是添加worldskills.ts的dns辅助区域

3. 互联网检测服务

 在 ISP-RTR 上安装 IIS 服务器。

 按照当前系统版本的客户端配置 NCSI 检测内容。

打开注册表

找到

当访问www.msftconnecttest.com时候，输出的页面为 Microsoft Connect Test ，当解析dns.msftncsi.com，解析地址为131.10.255.255时，网络internet检测成功

dns

新建msftconnecttest.com域（在根下面），并记录两条记录。

同理创建msftncsi.com

iis

新建www.msftconnecttest.com站点，主页目录为wwwroot，主页文件为 connecttest.txt ,内容为 Microsoft Connect Test.

Client

验证

当访问www.msftconnecttest.com时候，输出的页面为 Microsoft Connect Test ，当解析dns.msftncsi.com，解析地址为131.10.255.255时，网络internet检测成功

4. 时间同步服务

 设定 HQ-RTR 为时间同步服务器，允许 ISP-RTR 进行同步。

HQ-RTR

1）打开组策略编辑器

打开运行对话框，输入gpedit.msc，打开策略编辑器。

2）找到

修改Announcelags=5，标记该计算机为可靠时间服务器。

3）启用NTP时间同步服务器

4）重启Windows Time service

5）查看HQ-RTR时间

ISP-RTR配置

1）打开注册表，找到刚才那个目录，设置client为enable

2）开启ntp客户端，修改NtpServer为ISP-RTR的IP，AllSync类型代表域和ntp都能同步

3）查看client时间

4）开始测试ntp同步时间

同步成功，与HQ-RTR相同时间。

5. 其他工作任务

 配置 ISP-RTR 的“本地安全机构安全服务进程”的保护。

 启用 ISP-RTR 的用户连接监控，当有普通用户使用 mstsc 连接的时候，系统提示“All your actions may be monitored and recorded.”。

HQ 网络区域

1. 活动目录域服务

 配置 HQ-DC 为域控制器，域名为 worldskills.ts，HQ-DC 为域主控。

 配置当前网络区域为 HQ_Site。

 配置 HQ-CLT 加入域，并且将当前域名隐匿为 HQSITE，并且能够使用 BRSITE 域名进行登录。

 设置 worldskills.ts 域全部计算机强制启动防火墙

2. 域用户管理

 导入 users.csv 的相关用户和属性信息。

 配置 user profile 以及 homefolders 分别为：

\\worldskills.ts\HQ\users\profiles\%username%

\\worldskills.ts\HQ\users\homes\%username%

 限制使用 Sales 组进行域的加入。

 设置不允许 sales 组使用 cmd 以及 cmd scripts。

 Sales 组用户不能执行关闭计算机的操作，即使是在客户端。

创建nfs命名空间。

在自己喜欢的位置创建homes,profiles文件夹，并共享

在nfs中作为profile,home的真实物理路径

创建题目要求的组

开始导入用户数据

1）csv文件导入到机器

2）编写bat脚本导入用户

首先先读取文件中数据命令：

for /F "tokens=1,2,3,4,5,6,7,8 delims=," %a in (c:\New\users.csv) do $echo %a %b %c %d %e %f %g %h 
解释：
   tokens： 为列对应的数。
   delims: 分割数据。
   %a/b/c/d/e/f/g/h： 输出tokens=1/2/3/4/5/6/7/8的数据。
结果如图所示

将文件中数据所对应的用户信息引用并创建用户命令：

for /F "tokens=1,2,3,4,5,6,7,8 delims=," %a in (c:\New\users.csv) do dsadd user cn=%c,ou=user,dc=worldskills,dc=ts -samid %c -upn %d@BRSITE -fn %a -ln %b -email %d -pwd Skills39 -tel %f -title %g -office %h -memberof cn=%e,ou=user,dc=worldskills,dc=ts -hmdir \\worldskills.ts\HQ\homes\%username% -profile \\worldskills.ts\HQ\profiles\%username% -pwdneverexpires yes -disabled no 

dsadd解释：
       <UserDN> ： 指定要添加的户在dc中的路径。
       -samid   ： 指定要添加的用户名。
       -upn     ： 指定要添加的用户登录名
       -fn      ： 指定要添加的First name 名
       -ln      ： 指定要添加的last name 姓
First Name = Given Name = 名
Last Name  =   Surname      =     姓
       -tel     ： 指定要添加的电话号码
       -title   :  指定要添加的用户的标题
       -office  :  指定要添加的用户的办公位置
       -memberof:  指定要添加的用户成为其成员的组的可分辨名称
       -hmdir   :  指定要添加的用户的主目录位置。
       -profile :  指定要添加的用户的配置文件路径。

dsadd详细命令：
dsadd user <UserDN> [-samid <SAMName>] [-upn <UPN>] [-fn <FirstName>] [-mi <Initial>] [-ln <LastName>] [-display <DisplayName>] [-empid <EmployeeID>] [-pwd {<Password> | *}] [-desc <Description>] [-memberof <Group> ...] [-office <Office>] [-tel <PhoneNumber>] [-email <Email>] [-hometel <HomePhoneNumber>] [-pager <PagerNumber>] [-mobile <CellPhoneNumber>] [-fax <FaxNumber>] [-iptel <IPPhoneNumber>] [-webpg <WebPage>] [-title <Title>] [-dept <Department>] [-company <Company>] [-mgr <Manager>] [-hmdir <HomeDirectory>] [-hmdrv <DriveLetter>:][-profile <ProfilePath>] [-loscr <ScriptPath>] [-mustchpwd {yes | no}] [-canchpwd {yes | no}] [-reversiblepwd {yes | no}] [-pwdneverexpires {yes | no}] [-acctexpires <NumberOfDays>] [-disabled {yes | no}] [{-s <Server> | -d <Domain>}] [-u <UserName>] [-p {<Password> | *}] [-q] [{-uc | -uco | -uci}]
dsadd官方：      
https://docs.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2008-R2-and-2008/cc731279(v=ws.10)

使用new-aduser进行导入，不用dsadd

将users.csv文件第一行删除，并保留空行，为什么？做个小彩蛋，前面的图片已经标注了问题了。
开始导入
导入成功，查看配置

限制使用 Sales 组进行域的加入。

默认情况下，任何经过身份验证的用户都具有此权限。那就先拒绝所有加入，然后允许其他

1）第一种 ms-ds-mech =0

首先禁止所有用户加入域。

打开adsi

右键域名单击权限

设置ms-DS- Ma :一个用户可以将计算机加入域的数量=0

然后再委派给其他组加入域的权限，

选中其他组

委派加入域的权限。

2）第二种方法，ms-ds-mech >0

限制这两个权限。

我惊奇的发现，第一种方式能在第二种方式中展现，我认为只需要在adsiedit中属性 -再添加其他组就行，不过想想就麻烦，那么多的权限，看的头皮发麻。

默认所有用户可加域

1）sales组策略应用于Sales组。

友好链接：

设定特定域用户或者组无限次数将计算机加入域,Windows Server 2016中，如何限制一个用户组加入域控？..._weixin_40000702的博客-CSDN博客

取消/修改普通域用户将计算机加入域的权限_weixin_34391445的博客-CSDN博客

限制普通域用户将计算机加入域_weixin_33774308的博客-CSDN博客