内网基础知识

将不同的计算机按功能或者部门进行分类，同一网络中的工作组可以随意加入退出，可以互相访问，没有集中管理的作用，所有计算机权限对等。

一个有安全边界的计算机集合（升级版的工作组），不同域不可互访，想要访问域内的资源必须以合法的身份访问，并且有响应的权限。

类似于域的门禁，负责所有计算机用户的身份权限验证工作，域内的计算机如果想互相访问就需要经过域控制器的审核。

就是一个域。一般至少有两台服务器，一台为域控，另一台做为备份域控，一般活动目录的数据库是存在域控中的。一旦使用过程中其中一台挂掉了，可以使用另一台恢复。否侧域内的其他用户就不能登录域了。

父域和子域

由于管理的特殊需求，需要在网络中划分多个域，第一个域就是父域，之后划分出的域就是该域的子域。比如公司的一些保密部门需要一些特殊的策略，那么可以将这些部门单独作为一个子域来管理，并且这个子域可以自己管理自己的资源。

是多个域建立信任关系的集合。一个域管理员只能管理本域，不能访问或者管理其他的域，如果两个域之间需要互相访问，则需要建立信任关系。

是多个域树建立信任关系的集合。比如A公司收购了B公司，只需要将两个域树互信，就可以管理和使用整个域森的资源，并且保留公司原来的特性。

域名服务器

DNS域名服务器（Domain Name Server）是用于实现域名和与之对应的IP地址转换的服务器，域中的计算机是使用DNS来定位域控、服务器和其他网络服务的，域的名字就是DNS域的名字。测试中一般都是通过寻找DNS服务器来确定域控制器的位置。（DNS和域控一般都放在一台服务器上）

活动目录（Active Directory）是域环境中提供目录服务的组件。

目录是什么？目录就是存储有关网络对象（如用户、组、计算机、共享资源、打印机和联系人等）的信息。目录服务是帮助用户快速准确的从目录中查找到他所需要的信息的服务。
如果将企业的内网看成是一本字典，那么内网里的资源就是字典的内容，活动目录就相当于字典的索引。即活动目录存储的是网络中所有资源的快捷方式，用户通过寻找快捷方式而定位资源。

在活动目录中（Active Directory），管理员可以完全忽略被管理对象的具体地理位置，而将这些对象按照一定的方式放置在不同的容器中。由于这种组织对象的做法不考虑被管理对象的具体地理位置，这种组织框架称为“逻辑结构”。

活动目录的逻辑结构就包括上面讲到的组织单元（OU）、域（domain）、域树（tree）、域森林（forest）。在域树内的所有域共享一个活动目录，这个活动目录内的数据分散地存储在各个域内，且每一个域只存储该域内的数据。

活动目录的主要功能

• 帐号集中管理，所有帐号均存在服务器上,方便对帐号的重命令/重置密码。
• 软件集中管理，统一推送软件，统一安装网络打印机等。利用软件发布策略分发软件,可以让用户自由选择安装软件。
• 环境集中管理，利用AD可以统一客户端桌面,IE,TCP/IP等设置。
• 增强安全性，统一部署杀毒软件和扫毒任务，集中化管理用户的计算机权限、统一制订用户密码策略等，可监控网络，资料统一管理。
• 更可靠，更少的宕机时间。如：利用AD控制用户访问权限，利用群集、负载均衡等技术对文件服务器进行容灾设定，更可靠，宕机时间更少。
• 活动目录为Microsoft统一管理的基础平台，其它isa,exchange,sms等服务都依赖于这个基础平台。

AD与DC的区别

如果网络规模较大，我们就会考虑把网络中的众多对象：计算机、用户、用户组、打印机、共享文件等，分门别类、井然有序地放在一个大仓库中，并做好检索信息，以利于查找、管理和使用这些对象（资源）。这个有层次结构的数据库，就是活动目录数据库，简称AD库。

那么我们应该把这个数据库放在哪台计算机上呢？规定是这样的，我们把存放有活动目录数据库的计算机就称为DC。所以说我们要实现域环境，其实就是要安装AD，当内网中的一台计算机安装了AD后，它就变成了DC。

那么有了域环境的话，回答最初的问题：在域环境中，只需要在活动目录中创建一次Alan账户，那么就可以在任意200台电脑中的一台上登录Alan，如果要为Alan账户更改密码，只需要在活动目录中更改一次就可以了。

安全域划分

安全域划分的目的是将一组安全等级相同的计算机划入同一个网段内，这一网段内的计算机拥有相同的网络边界，在网络边界上采用防火墙部署来实现对其他安全域的NACL（网络访问控制策略），允许哪些IP访问此域、不允许哪些访问此域；允许此域访问哪些IP/网段、不允许访问哪些IP/网段。使得其风险最小化，当发生攻击时可以将威胁最大化的隔离，减少对域内计算机的影响。

DMZ区域

DMZ称为“隔离区”，也称“非军事化区”。是为了解决安装防火墙后外部网络不能访问内部网络服务器的问题，而设立的一个非安全系统与安全系统之间的缓冲区。
这个缓冲区位于企业内部网络和外部网络之间的小网络区域内，在这个小网络区域内可以放置一些必须公开的服务器设施，如企业Web服务器、FTP服务器和论坛等。
另一方面，通过这样一个DMZ区域，更加有效地保护了内部网络，因为这种网络部署，比起一般的防火墙方案，对攻击者来说又多了一道关卡。

DMZ的屏障功能

• 内网可以访问外网：内网的用户需要自由地访问外网。在这一策略中，防火墙需要执行NAT。
• 内网可以访问DMZ：此策略使内网用户可以使用或者管理DMZ中的服务器。
• 外网不能访问内网：这是防火墙的基本策略了，内网中存放的是公司内部数据，显然这些数据是不允许外网的用户进行访问的。如果要访问，就要通过VPN方式来进行。
• 外网可以访问DMZ：DMZ中的服务器需要为外界提供服务，所以外网必须可以访问DMZ。同时，外网访问DMZ需要由防火墙完成对外地址到服务器实际地址的转换。
• DMZ不能访问内网：如不执行此策略，则当入侵者攻陷DMZ时，内部网络将不会受保护。　
• DMZ不能访问外网：此条策略也有例外，比如我们的例子中，在DMZ中放置邮件服务器时，就需要访问外网，否则将不能正常工作。

域中计算机分类

• 成员服务器
• 独立服务器

域控制器是存放活动目录数据库的，是域中必须要有的，而其他三种则不是必须的，也就是说最简单的域可以只包含一台计算机，这台计算机就是该域的域控制器。

域中各个服务器的角色也是可以改变的，例如域服务器在删除活动目录时，如果是域中最后一个域控制器，则该域服务器会成为独立服务器，如果不是域中唯一的域控制器，则将使该服务器成为成员服务器。

同时独立服务器既可以转换为域控制器，也可以加入到某个域成为成员服务器。

域内权限解读

组（Group）是用户帐号的集合。通过向一组用户分配权限从而不必向每个用户分配权限，管理员在日常工作中不必要去为单个用户帐号设置自己独特的访问权限，而是将用户帐号加入到相对应的安全组中。管理员通过给相对的安全组访问权限就可以了，这样所有加入到安全组的用户帐号都将有同样的权限。使用安全组而不是单个的用户帐号可以方便，简化网络的维护和管理工作。

域本地组，多域用户访问单域资源（访问同一个域）。可以从任何域添加用户账户、通用组和全局组，只能在其所在域内指派权限。域本地组不能嵌套于其他组中。它主要是用于授予位于本域资源的访问权限。

全局组，单域用户访问多域资源（必须是同一个域里面的用户）。只能在创建该全局组的域上进行添加用户和全局组，可以在域林中的任何域中指派权限，全局组可以嵌套在其他组中。

通用组，通用组成员来自域林中任何域中的用户账户、全局组和其他的通用组，可以在该域林中的任何域中指派权限，可以嵌套于其他域组中。非常适于域林中的跨域访问。

可以简单这样记忆：

• 域本地组：来自全林用于本域
• 全局组：来自本域用于全林
• 通用组：来自全林用于全林

A-G-DL-P策略

• A(account)，表示用户账号
• G(Global group)，表示全局组
• U(Universal group)，表示通用组
• DL(Domain local group)，表示域本地组
• P(Permission 许可)，表示资源权限。

A-G-DL-P策略是将用户账号添加到全局组中，将全局组添加到域本地组中，然后为域本地组分配资源权限。按照AGDLP的原则对用户进行组织和管理起来更容易。
在AGDLP形成以后,当给一个用户某一个权限的时候,只要把这个用户加入到某一个本地域组就可以了。

本地域组的权限

本地域组的权限

• Administrators（管理员组）
• Remote Desktop Users(远程登录组)
• Print Operators（打印机操作员组）
• Account Operators（帐号操作员组）
• Server Operaters（服务器操作员组）
• Backup Operators（备份操作员组）

全局组、通用组的权限

• Domain Admins（域管理员组）
• Enterprise Admins（企业系统管理员组）
• Schema Admins（架构管理员组）
• Domain Users（域用户组）