内网安全 - 简单域环境搭建

使用Windows Server 2012 R2 , Windows 7 , Windows XP配置域控环境。
虚拟机的获取和安装不再叙述，安装时网络选择桥接模式。

域基础知识

这里是我刚学习的时候记录的一些最基础的资料，有计算机网络基础的大哥可以略过。

TCP/IP基础概念

IP地址

IP地址可以划分为两个部分，网络号和主机号部分，网络号表示所属的网络段编号，主机号表示该网段中该主机的地址编号。IP地址可以分为A、B、C、D、E五类：

A类：0.0.0.0-127.255.255.255
B类：128.0.0.0-191.255.255.255
C类：192.0.0.0-223.255.255.255
D类：224.0.0.0-239.255.255.255
E类：240.0.0.0-247.255.255.255

A、B、C三类地址称为单播地址，用于标识一个终端设备的接口，而目的地址为单播地址的报文称为单播报文;

D类地址称为组播地址，目的地址为组播地址的报文称为组播报文，某些设备启用了特定功能的接口可以收到对应组播地址的组播报文;

E类地址暂时不用

一个特殊的地址是255.255.255.255，称为广播地址，广播报文可以被局域网内的所有设备接收。

IP地址中，有三段地址专门用于私网的规划，不能被用于互联网上的连接如下：

A类：10.0.0.0-10.255.255.255
B类：172.16.0.0-172.31.255.255
C类：192.168.0.0-192.168.255.255

之后的配置会将静态IP地址设置在C类的私网地址中

DNS

域名是Internet上某一台计算机或计算机组的名称，用于在数据传输时标识计算机的定位。域名是由一串用点分隔的名字组成的，通常包含组织名，而且始终包括两到三个字母的后缀，以指明组织的类型或该域所在的国家或地区。

把域名翻译成IP地址的软件称为域名系统，缩写也是DNS。它保存了一张域名和与之相对应的IP地址的表，以解析消息的域名。

子网掩码

子网掩码是用来判断任意两台计算机的IP地址是否属于同一子网络的根据。最为简单的理解就是两台计算机各自的IP地址与子网掩码进行AND运算后，如果得出的结果是相同的，则说明这两台计算机是处于同一个子网络上的，可以进行直接的通讯。

A类地址的默认子网掩码为255.0.0.0； B类地址的默认子网掩码为255.255.0.0； C类地址的默认子网掩码为：255.255.255.0。

默认网关

默认网关(Default Gateway)又叫缺省网关或缺省路由器，是子网与外网连接的设备，通常是一个路由器，而该路由器的IP地址即为网络配置参数的默认网关地址。

如果网络A中的主机发现数据包的目的主机不在本地网络中，就把数据包转发给它自己的网关，再由网关转发给网络B的网关，网络B的网关再转发给网络B的某个主机。

只有设置好网关的IP地址，TCP/IP协议才能实现不同网络之间的相互通信。

工作组

工作组和域都是计算机资源管理的方式

默认情况下计算机都是采用工作组方式进行资源管理的。将不同的电脑按功能分别列入不同的组中，以方便管理。默认情况下所有计算机都处在名为 WORKGROUP 的工作组中。

默认共享的是 Users 目录。不同组的不同用户通过对方主机的用户名和密码也可以查看对方共享的文件夹

工作组资源管理模式适合于网络中计算机不多，对管理要求不严格的情况。工作组里的所有计算机都是对等的 , 没有服务器和客户机之分的。

域和域控

域 (Domain)是一个有安全边界的计算机集合（安全边界，意思是在两个域中，一个域中的用户无法访问另一个域中的资源）

域有一个更加严格的安全管理控制机制，若果需要访问域内的资源，就必须拥有一个合法的身份登陆到该域中,而你对该域内的资源拥有什么样的权限,还需要取决于你在该域中的用户身份。

之后的配置过程中我们会以Windows Server 2012作为域控制器，给Win7和WinXP授予用户账户，就是这一特点的体现。

活动目录AD

活动目录是一个目录数据库，存储整个windows网络中对象的相关信息（可以理解为存储了网络中所有资源的快捷方式）。也是一种服务，可对活动目录中数据执行各种操作。

活动目录存储的是网络中所有资源的快捷方式，用户通过寻找快捷方式而定位资源。

域控制器DC

域控是用来管理所有客户端的服务器，它负责每一台联入的电脑和用户的验证工作，域内电脑如果想互相访问首先都得经过它的审核。
域控是域架构的核心，每个域控制器上都包含了AD活动目录数据库。

一个域中通常要有至少两个域控。一个作为DC，一个是备份DC。如果没有第二个备份DC(BDC)，那么一旦DC瘫痪了，则域内的其他用户就不能登陆该域了，因为活动目录的数据库（包括用户的帐号信息）存储在DC中的。

当域中的一台计算机安装了AD后，它就成了域控DC。

域环境配置

域控制器配置

设置固定IP地址

在控制面板打开网络和Internet，更改适配器设置一项，在Ethernet0属性栏中双击TCP/IPV4，设置使用下面的IP地址，取消勾选IPv6选项

修改主机名

安装AD

1、在服务器管理器中--添加角色和功能
进入添加流程中，依次选择

基于角色或基于功能的安装
从服务器池中选择服务器
服务器角色选择 Active Directory 域服务和 DNS服务器

服务器功能根据需要选择配置，选择如果需要，自动重新启动目标服务器

安装完成后选择将此服务器提升为域控制器

AD部署配置

在部署配置部分单击选中添加新林（F）单选按钮，然后输入符合DNS命名约定的根域名，这里使用了sanyic.testlab

在域控制器选项部分，将林功能级别、域功能级别都设置为windows servers 2012 R2,如图所示。创建域林时，在默认情况下应选择DNS服务器，林中的第一个域控制器必须是全局目录服务器且不能是只读域控制器（RODC）。然后，设置目录服务还原模式的密码（在开机进入安全模式修复活动目录数据库时将使用此密码）

在DNS选项部分可能会出现关于DNS的警告。不用理会，保持默认设置。

在其他选项部分。在NetBIOS域名（不支持DNS域名的旧版本操作系统，例如widows98、NT,需要通过NetBIOS域名进行通信）部分保持默认设置。

在路径部分，制定数据库、日志、SYSYVOL文件夹的位置，其他选项保持默认设置。单击洗一步按钮，保持默认设置。

安装好后，会自动重新启动服务器。

这里命令行下输入net view，可能会出现错误

解决方案如下：

1.win+R ,输入services.msc 开启服务：Server ，WorkStation，computer Browser
2.如果你的电脑没有computer Browser服务，win+R 输入appwiz.cpl ,选择启用或关闭Windows功能，选择SMB1.0/CIFS 文件共享支持，重启电脑。然后开启以上3个服务。
3.重启computer Browser服务。