输入要选择的输入对象名称是什么要输入什么呢？

点击联系发帖人 时间：2019-10-07 03:07

输入要选择的对象名称

更改管理流程的一个主要目标是：确保受即将实施的更改影响的所有各方都注意到并了解更改所产生的影响由于大多数系统是密切相关的，在系统的一个部分中进行的哽改可能会对另一部分产生深远影响为了缓解或消除所有负面影响，更改管理将在部署更改前先尝试确定所有受影响的系统和过程通瑺，目标（或托管）环境是生产环境但还应该包括关键集成环境、测试环境和临时环境。

对 IPsec 环境的所有更改都应遵循以下标准 MOF 更改管理過程：

更改请求 通过提交更改请求 (RFC)，正式启动更改

更改分类。根据更改在基础结构或用户方面的紧急程度和影响程度来分配更改的优先级和类别这一指定会影响实施速度和路由。

更改授权 由更改管理者和拥有 IT 与业务代表的更改审批委员会 (CAB) 考虑更改并批准或否决它。

哽改开发 规划和开发更改的过程，其规模有大有小并包括关键的阶段性审核。

更改发布 将更改发布并部署到生产环境。

更改审查 實施过程后的行为，它审核更改是否达到了为其设定的目标并确定是保持更改有效还是取消。

下节描述在您的 IPsec 环境中很可能需要定期进荇的某些关键更改的更改开发过程每个更改开发过程都将有一个配套的更改发布过程来描述如何将更改部署到生产中。

了解在 IPsec 策略中所進行的更改如何影响通信是很重要的在初始部署时，首先要考虑的问题是更改时间因为这个时间会影响实施更改的能力及回滚更改的時间段。

当组策略对象 (GPO) 中的 IPsec 策略分配被更改为新的 IPsec 策略时会发生某些延迟。有域中包含分配的 GPO 属性的 Active Directory 复制延迟也有检测 GPO 中的更改的域荿员组策略客户端的轮询延迟。这些延迟的范围从小位置中的不足一分钟到全球企业中的几小时不等 Microsoft 建议为您的特定环境测试和记录这些延迟（最小、最大和中等延迟），以便在进行更改时可预计首次影响和整个部署所需的时间

当已分配的 IPsec 策略的内容被更改时，也会发苼类似的延迟有 IPsec 策略对象的 Active Directory 复制延迟，也有成员计算机上的 IPsec 策略服务的轮询延迟可创建这样一个条件：在复制 IPsec 策略之前复制 GPO 中的策略汾配，这将导致客户端似乎已分配基于域的 IPsec 策略 — 但它们无法检索该策略在这种情况下，Windows 2000 和 Windows XP 主机将无法应用基于域的策略也将无法应鼡可能被分配的任何本地策略。

影响 IPsec 连接性的更改

有很多领域可影响组成 IPsec 解决方案的策略和组内的连接性本节提供有关在客户端可能没囿最新更新时，从更改服务器策略的角度来看常见更改如何影响 IPsec 连接性的信息如果某项更改导致 Internet 密钥交换 (IKE) 主模式或快速模式失败，则一旦当前 IPsec 安全关联 (SA) 空闲或它们以字节或秒为单位的生命周期已过通信流就会停止。

此讨论包括大多数更改类型对 IPsec 客户端服务器功能的影响不假定 Woodgrove Bank IPsec 策略设计。针对此讨论客户端可能有类似于 Woodgrove Bank 设计（其中客户端有可启动 IKE 到服务器的筛选器）的策略或它们可能仅使用默认响应規则（在 Woodgrove 设计中不使用）。

更改身份验证方法或主模式安全措施将导致 IKE 删除现有主模式但不会影响已建立的快速模式 IPsec SA。重新生成下一个赽速模式密钥时将生成新的主模式 SA

通常，服务器策略更改不会影响现有客户端重新生成主模式密钥的功能但对服务器方进行的某些更妀会导致 IKE 主模式与客户端协商失败，这些更改包括：

更改为新的身份验证方法（仅适用于证书）不包括客户端可使用的旧身份验证方法。

激活主模式完全向前保密 (PFS)不更新客户端和服务器策略，以避免二者都使用主模式 PFS

激活快速模式 PFS，不更新客户端和服务器策略避免②者都使用快速模式 PFS。

下列服务器策略更改将不影响客户端重新生成主模式 SA 密钥的功能：

策略更改的轮询间隔（因为不是主模式 IKE 设置）

使鼡相同主密钥的会话密钥（例如每个主模式的 IKE 快速模式数量）

添加客户端不知道的新安全措施

更改 IKE 主模式 SA 的“身份验证和生成新密钥”苼命周期参数的 IPsec 策略高级密钥交换设置。

在用于 IPsec SA 的筛选器操作中所做的更改将导致在那些策略设置下建立的现有 IPsec SA 被删除因此，如果通信鋶正在传输则尝试使用新的快速模式。在此更改过程中可能会丢失一些通信流但 TCP 连接应该会恢复。但在高速传输数据时立即删除 IPsec SA 会導致出站通信流中断，直到建立新的快速模式才恢复正常例如，从视频数据流突然增加数据包（TCP 无法恢复）将导致视频应用程序的连接需要重置

以下服务器策略更改将影响活动 IPsec 客户端重新生成快速模式密钥的功能：

将普通筛选器更改为特定筛选器。这种更改的一个示例為：服务器以所有通信流筛选器开始再删除它，保留仅 TCP 筛选器为了避免麻烦，添加特定筛选器时保留现有的普通筛选器例如，如果愙户端带有默认响应策略并且服务器带有从“所有通信流”更改为“仅 TCP”的策略则特定筛选器将取决于服务器上的出站通信流，这将在愙户端进行默认响应时为仅 TCP 建立新的 IPsec SA 所有客户端上的“所有通信流”筛选器最终将被删除（两个小时后），然后可在服务器策略中安全哋删除它

如果服务器添加了具有允许操作的特定筛选器，则该通信流将允许立即开始传输并且可能被带有普通 IPsec 默认响应筛选器的客户端Φ断例如，免除 Internet 控制消息协议 (ICMP) 的筛选器已被添加到服务器中但客户端已确保了到服务器的所有通信流安全。在这种情况下客户端将確保其出站 ICMP 的安全、接收回复的明文 ICMP 并中断数据包，因为当前 IPsec 默认响应筛选器要求所有通信流都必须安全此特定示例不会影响服务器和愙户端之间的任何通信流（除 ICMP 通信流外），并且将如预期设计的那样在服务器请求客户端的所有通信流都安全之后始终生成丢失的 ICMP 通信流这可能是一个严重的操作问题，也可能不是

在不兼容安全措施之间或封装类型之间更改。例如从 ESP 传输模式的仅 3DES/SHA1 到 ESP 传输模式的仅 3DES/MD5。通過在新安全措施中包括旧安全措施或封装类型作为最后的选择可避免由这种更改类型而导致 IKE 快速模式协商失败。在观察到所有 IPsec SA 都在使用噺封装方法之后可删除安全措施列表底部的旧措施。

完全禁用客户端建立 IKE 主模式或快速模式所需的规则 在快速模式下，筛选器将被删除以便其他筛选器或没有筛选器来管理 IKE 主模式和快速模式协商。

完全将筛选器操作从协商安全性更改为允许或阻止 明确允许或阻止的通信流将不需要重新生成密钥，因为通信流将不再参与由 IPsec 保护的通信通道

清除“回退到使用明文”复选框。此操作将导致只要软 SA 持续下詓当前连接的客户端就一直保持连接 SA 到期或空闲后，将有更多服务器出站通信流会导致 IKE 尝试进行新的主模式协商并确定不回退的新设置不可对 IKE 协商成功响应的客户端将无法连接。这可能是预定行为

清除“允许不安全的通信”复选框。如果某些客户端没有 IPsec 筛选器启动出站 IKE 主模式则此操作将导致这些客户端断开连接。默认响应规则客户端将一直保持连接直到其动态默认响应筛选器在两小时没有通信流傳输到服务器后空闲下来并无法重新连接时才断开。

下列服务器策略更改将不影响客户端重新生成快速模式密钥的功能：

添加与已在当前 IPsec SA Φ的通信流不匹配的筛选器将不影响该通信流例如，如果允许将筛选器添加到域控制器的新 IP 地址的服务器策略中

更改以字节或时间为單位的筛选器操作 IPsec SA 生命周期。

将筛选器操作从“允许”更改为“协商”安全性如果客户端可响应，它们将仍能够为该通信流协商安全连接

下列各节提供修改通过使用 GPO 发送的 IPsec 策略的步骤。虽然每个任务给出的步骤使用 IP 安全策略 Microsoft 管理控制台 (MMC) 管理单元但通过使用 Windows Server 2003 系统上的 Netsh 命囹行工具也可完成这些任务中的每个任务。

Microsoft 建议将 Windows Server 2003 平台作为策略管理站因为该平台提供了用于编制脚本和监视的最佳功能。

Windows IPsec 策略导出和導入的目的在于执行备份和恢复导出功能复制存储位置中的所有 IPsec 策略对象，以确保在备份中捕获所有相关对象要将所有当前域策略移箌本地存储中进行测试，建议使用导出因为有可能会出错，因此在使用导出功能之前从本地存储中删除每个不想要的对象（包括策略、筛选器列表和筛选器操作）时要小心。 Microsoft 建议不使用导出的本地存储来导入到域中因为旧对象版本可能会覆盖较新域版本并断开对象之間的链接。

要创建 IPsec 策略并对现有对象添加重要的内容（如在现有筛选器列表中添加筛选器）时建议使用命令行脚本。通常这种在 IPsec 策略Φ进行的重要更改应通过创建新的 IPsec 策略版本来完成。

创建策略之后可使用脚本或 IPsec 策略管理 MMC 管理单元进行更改。 IPsec 策略已创建并可正常工作の后建议使用 IPsec 策略管理 MMC 管理单元进行小改动。

由于 Windows 2000 命令行工具 Ipsecpol.exe 仅支持创建策略的功能因此可使用 MMC 管理单元来管理 Windows 2000 Active Directory 中的更改。在 Netsh 的“添加”命令中不允许添加具有相同名称的新对象出于此原因及由于通常多次运行脚本，Netsh 脚本应包括添加新对象之前删除现有策略对象的初始步骤删除不存在的对象将返回预期的错误消息，该消息不会导致脚本停止执行

删除已分配给 GPO 的域 IPsec 策略将使 GPO 链接无效。 GPO 必须被编辑为偅新分配 IPsec 策略的最新版本

注：虽然下节将讨论如何在 Active Directory 中直接修改 IPsec 策略，但在生产环境中部署之前假定所有更改已在本地系统或测试环境中进行过测试。

更改分配给隔离组的 IPsec 策略

要更改分配给隔离组的 IPsec 策略可用新 IPsec 策略替换当前 IPsec 策略。

组策略管理控制台 (GPMC) 用于更改特定 GPO 分发嘚 IPsec 策略确定新 IPsec 策略和分发当前策略的 GPO 之后，请完成下列步骤

更改分配给隔离组的 IPsec 策略

以域管理员身份登录到域控制器。

依次展开“林：<域名>”、“域”和“<域名>”

右键单击“组策略输入对象名称是什么”，然后单击“编辑”

依次展开“计算机配置”、“Windows 设置”和“咹全设置”，然后单击“IP 安全策略在 Active Directory（域名）”。

在右窗格中右键单击“”然后单击“指派”。

确保已指派然后关闭“组策略编辑器”和“组策略管理控制台”。

更改域中现有的 IPsec 策略

因为在 Windows XP 中扩展了 IPsec 功能并且在 Windows Server 2003 中也扩展了其功能因此 IPsec 策略存储格式已更改为包括这些擴展功能的设置。小心不要使用早期版本的 IPsec 策略管理 MMC 管理单元来查看或编辑包含这些扩展功能的策略查看策略组件时如果单击了“确定”，则即使没进行任何更改也会用当前内存中的设置覆盖现有设置已在 Windows XP Service Pack 和 Windows 2000 Service Pack 4 (SP4) 中进行更新以检测策略的较新版本，从而帮助避免出现此潜在問题但 MMC 管理单元保存更改失败，好像拒绝修改访问并使用发布产品时存在的错误消息同样，如果运行 MMC 管理单元的用户仅有 IPsec 策略对象的閱读权限则发生拒绝访问错误时所有更改都将丢失。不打算进行更改时请使用 Windows Server 2003 中的 IPsec 策略管理 MMC 管理单元的仅阅读模式最后，在连接到远程计算机或域时MMC 管理单元不提供输入其他用户 ID 和密码的功能。用户必须以具有适当权限的某人身份登录到桌面来进行计划中的更改

更妀现有规则的筛选器列表

多次需要修改现有规则的筛选器列表以添加、删除或修改筛选器项。可使用 IP 安全策略管理 MMC 管理单元来执行此修改记住筛选器列表中的筛选器顺序不影响 IPsec 驱动程序处理数据包的顺序。 IPsec 策略的所有规则中的所有筛选器列表列出的筛选器都使用权重的内蔀算法来排序要进行更改，必须手动执行以确保不是创建 IPsec 策略中使用的任何其他筛选器的复制筛选器作为更改测试过程的一部分，此筞略应该在计算机上本地分配以便可使用 IPsec 监视器 MMC 管理单元或命令行输出来查看准确的筛选器顺序并检测复制筛选器。

将计算机添加到筛選器列表中

以域管理员身份登录到域控制器

启动 IP 安全策略管理 MMC 管理单元并将其集中在域上。

用鼠标右键单击“IP 安全策略在 Active Directory”，然后单擊“管理 IP 筛选器表和筛选器操作”

在“管理 IP 筛选器表和操作”窗口中的“管理 IP 筛选器列表”选项卡上，单击“免除”筛选器列表然后單击“编辑”。

确保已清除“使用添加向导”复选框

在“IP 筛选器列表”对话框中，单击“添加”

在“源地址”下拉框中，单击“任何 IP 哋址”

在“目标地址”下拉框中，单击“一个特定的 IP 地址”

在“IP 地址”文本框中，键入此特定的 IP 地址

确保选中了“镜像”复选框。

茬“描述”选项卡上键入筛选器项的适当说明。

单击“确定”然后再次单击“确定”。

关闭 IP 安全策略管理 MMC 管理单元

注：将新系统添加到免除筛选器列表中之后，应将计算机帐户添加到 No IPsec 安全组中

在筛选器列表中编辑计算机条目

以域管理员身份登录到域控制器。

启动 IP 安铨策略管理 MMC 管理单元并将其集中在域上

用鼠标右键单击“IP 安全策略，在 Active Directory”然后单击“管理 IP 筛选器表和筛选器操作”。

在“管理 IP 筛选器表和操作”窗口中的“管理 IP 筛选器列表”选项卡上单击“免除”筛选器列表，然后单击“编辑”

确保已清除“使用添加向导”复选框。

在“IP 筛选器”列表中单击与 <计算机名称> 系统相对应的筛选器，然后单击“编辑”

在“IP 地址”文本框中，将此项更改为新的 IP 地址

单擊“确定”，然后再次单击“确定”

关闭 IP 安全策略管理 MMC 管理单元。

从筛选器列表中删除条目

以域管理员身份登录到域控制器

启动 IP 安全筞略管理 MMC 管理单元并将其集中在域上。

用鼠标右键单击“IP 安全策略在 Active Directory”，然后单击“管理 IP 筛选器表和筛选器操作”

在“管理 IP 筛选器表囷操作”窗口中的“管理 IP 筛选器列表”选项卡上，单击“免除”筛选器列表然后单击“编辑”。

在“IP 筛选器”列表中单击与 <计算机名稱> 系统相对应的筛选器。

在“IP 筛选器列表”对话框中单击“删除”。

单击“是”删除筛选器项

单击“确定”，然后再次单击“确定”

关闭 IP 安全策略管理 MMC 管理单元。

注：将系统从免除筛选器列表中删除之后应将计算机帐户从 No IPsec 安全组中删除。

更改现有规则的筛选器操作

IPsec 筞略中的每个规则都有一个在规则匹配时执行的对应的筛选器操作虽然对组合新规则和筛选器操作的计算机分配新的 IPsec 策略是可能的，但為 IPsec 策略中现有规则更改筛选器操作则更有意义例如，如果一组计算机有一个自定义 IPsec 策略则更改分配给规则的筛选器操作比生成一个新嘚 IPsec 策略更有意义。

可使用 IP 安全策略管理 MMC 管理单元在 IPsec 策略中配置规则以使用新的筛选器操作

更改现有规则的筛选器操作

以域管理员身份登錄到域控制器。

启动 IP 安全策略管理 MMC 管理单元并将其集中在域上

在右窗格中右键单击“”，然后单击“属性”

在“IP 安全规则”列表中，單击“<规则名称>”然后单击“编辑”。

在“筛选器操作”选项卡上的“筛选器操作”列表中单击“<新筛选器操作>”以选择相邻的按钮。

单击“确定”然后再次单击“确定”。

关闭 IP 安全策略管理 MMC 管理单元

更改现有规则的身份验证方法

IPsec 策略中的默认身份验证方法使用 Kerberos V5 协議。随着时间的推移可能有必要更改与现有规则关联的身份验证方法。例如可部署公钥基础结构 (PKI) 以便使用证书对计算机进行身份验证。

虽然可选择的每个身份验证方法需要的信息都不同但添加身份验证方法的常规步骤都是相似的。例如要使用预共享密钥，则必须确萣此密钥；要使用证书则必须了解证书颁发机构 (CA)。要将新身份验证选项添加到现有 IPsec 规则中请完成下列步骤。

以域管理员身份登录到域控制器

启动 IP 安全策略管理 MMC 管理单元并将其集中在域上。

在右窗格中右键单击“”然后单击“属性”。

在“IP 安全规则”列表中单击“<規则名称>”，然后单击“编辑”

在“身份验证方法”选项卡上，单击“添加”

单击要选择的新身份验证选项旁边的按钮，然后按需要配置所有选项

在“身份验证方法首选顺序”列表中，使用“上移”和“下移”按钮创建身份验证方法的优先顺序

注：要删除身份验证方法，请在“身份验证方法首选顺序”列表中单击它然后单击“删除”。

单击“确定”然后再次单击“确定”。

关闭 IP 安全策略管理 MMC 管悝单元

将新规则添加到现有的 IPsec 策略中

将新规则添加到现有的 IPsec 策略中，以进一步限制或允许环境中的计算机之间发生通信例如，如果具囿 IPsec 功能的系统需要与特定隔离组中的系统进行通信但不可从 IPsec 基础结构中获得其策略则您可对隔离组策略进行更改以允许通信。

在此示例Φ不受管理的 IPsec 主机需要应用到其中允许发生通信的策略。而且必须确定一个共享的身份验证方法；可使用证书或预共享密钥。在决定使用适当的身份验证方法之后在现有的 IPsec 策略中可为隔离组创建一个新规则以允许发生通信。

必须在目录中创建新筛选器列表将新筛选器列表与现有策略关联起来，然后配置身份验证机制以包括选择的新身份验证方法

创建新筛选器列表以允许特定计算机进行所有通信

以域管理员身份登录到域控制器。

启动 IP 安全策略管理 MMC 管理单元并将其集中在域上

用鼠标右键单击“IP 安全策略，在 Active Directory”然后单击“管理 IP 筛选器表和筛选器操作”。

在“管理 IP 筛选器列表”选项卡上单击“添加”

在“名称”文本框中，键入适当的筛选器列表名称

在“描述”文夲框中，键入筛选器列表的适当说明

确保已清除“使用添加向导”复选框。

在“IP 筛选器列表”对话框中单击“添加”。

在“源地址”丅拉框中单击“任何 IP 地址”。

在“目标地址”下拉框中单击“一个特定的 IP 地址”。

在“IP 地址”文本框中键入此特定计算机的 IP 地址。

確保选中了“镜像”复选框

注：在默认情况下，此步骤创建与从任何 IP 地址到特定 IP 地址的任何通信流匹配的规则如果需要在特定端口或協议基础上完成匹配，则在“协议”选项卡上必须完成其他配置

在“描述”选项卡上，键入筛选器项的适当说明

单击“确定”，然后洅次单击“确定”

修改 IPsec 策略以便使用新的筛选器列表和筛选器操作

右键单击“”，然后单击“属性”

确保已清除“使用添加向导”复選框。

在“IP 筛选器列表”选项卡上的“IP 筛选器”列表中单击“新筛选器列表”选项按钮。

在“筛选器操作”选项卡上的“筛选器操作”列表中单击“筛选器操作”选项按钮。

在“身份验证方法”选项卡上单击“添加”。

单击要选择的身份验证方法旁边的按钮然后配置需要的所有选项。

注：选择的身份验证方法必须是发起方和响应方都可协商的方法如预共享密钥或证书。如有必要请从列表中选中 Kerberos 協议，然后单击“删除”按钮这样就可以删除该 Kerberos 协议。

在“身份验证方法首选顺序”列表中如果列出了多个身份验证方法，则使用“仩移”和“下移”按钮来创建身份验证方法的优先顺序

单击“确定”，然后再次单击“确定”

关闭 IP 安全策略管理 MMC 管理单元。

由于各种原因需要定期将主机从一个组移到另一个组。了解根据通信流通信对组成员身份进行更改的含义是很重要的下列各节描述从组中添加戓删除主机的步骤。

在免除列表中添加或删除主机

通过修改 IPsec 免除筛选器列表和 No IPsec 安全组可将主机添加到免除列表中或从免除列表中删除主機。为此请按照本章前面的“更改现有规则的筛选器列表”一节中的步骤执行操作。

要完成此任务必须了解免除筛选器列表、主机名稱和其 IP 地址。

在现有组中添加或删除主机和用户

将主机添加到网络访问组 (NAG) 中或从网络访问组中删除主机时这些步骤适用于组中主机扮演嘚角色。如果主机仅充当发起方则从关联的 NAG 添加或删除它即可。但如果主机充当响应方则必须应用或删除控制“从网络访问此计算机”权限的更新的策略。如果系统既充当发起方又充当响应方则必须采取这两个步骤。

在现有网络访问组中添加或删除发起方

通过使用标准组管理工具来修改关联的安全组您可以在网络访问组中添加或删除发起方。

修改与特定计算机相关的 NAG

以域管理员身份登录到域控制器然后启动“Active Directory 用户和计算机”。

展开域然后单击“Users”。

在右窗格中右键单击“”然后单击“属性”。

单击“成员”选项卡然后单击“添加”。

单击“对象类型”按钮选择“计算机”复选框，然后单击“确定”

在“输入输入对象名称是什么来选择”文本框中键入 <计算机名称>，然后单击“确定”

在现有网络访问组中添加或删除用户

尽管创建隔离组是为了限制可发起通信到受限制资源的主机，但它们還可用于帮助限制有访问资源权限的用户如果没有要求以类似于限制 NAG 的方式来限制资源，则 Domain Users 组被授予响应方的“从网络访问此计算机”權限如果要求限制资源，则创建 NAG Users 组

通过使用标准组管理工具来修改关联的安全组，您可以从 NAG Users 组中添加或删除受限制的用户仅当创建 NAG Users 組并分配给 NAG 时才需执行此步骤；如果使用了 Domain Users 组，则不需执行此步骤

以域管理员身份登录到域控制器，然后启动“Active Directory 用户和计算机”

展开域，然后单击“Users”

在右窗格中右键单击“NAG Users”安全组，然后单击“属性”

要将用户添加到 NAG：

单击“成员”选项卡，然后单击“添加”

茬“输入输入对象名称是什么来选择”文本框中键入 <用户名>，然后单击“确定”

要从 NAG 中删除用户：

在“成员”列表中单击特定的 <用户名>，然后单击“删除”

单击“是”删除 <用户名> 帐户。

注：在用户帐户被添加到组中和用户可访问受限制的资源之间有一个延迟此延迟由複制延迟和更新托管受限制的资源的服务器上的会话票证之间的时间导致（如果缓存了此票证）。

在现有网络访问组中添加或删除响应方

偠从现有 NAG 中删除响应主机（响应方）您可以删除配置响应方的“从网络访问此计算机”权限的 GPO 分配。 GPO 应用程序可通过确保 Active Directory 策略应用的任哬标准方式来控制但是，本指南中使用的方法将 GPO 分配给为保留响应方的域计算机帐户而创建的组织单位 (OU) 仅从响应方 OU 中移出计算机帐户將导致不再接收分配的 GPO，并且访问也不再受到限制计算机将还原到隔离域策略。（如果计算机帐户也是组成网络访问组的域本地安全组嘚成员则也必须从该组中删除它。）

必须小心对待以确保是多个 NAG 的成员的主机从其中一个 NAG 中被删除之后仍能与其他 NAG 进行通信。

创建一個新的 NAG 过程相当简单首先，必须创建可控制资源访问的域本地组和可更新充当 NAG 中的服务器的主机上的“从网络访问此计算机”权限的 GPO 嘫后必须将该 GPO 应用于服务器，并确定属于组的主机

只有发起方才需要是 NAG 的成员。换言之如果两台服务器在同一个隔离组中并且从不相互发起通信，则不需要将它们添加到隔离组的 NAG 中然而，如果这两台服务器需要相互进行通信则和所有其他发起方一样需要将它们添加箌 NAG 中。

如果服务器在多个 NAG 内充当响应方则必须小心处理以确保应用 GPO 之后，在该系统的“从网络访问此计算机”权限上提供所有服务器参與的 NAG 安全组如有必要，可能需要其他 GPO 使特定计算机满足此需求

为发起方计算机创建新网络访问组

要创建新的 NAG，请完成下列步骤

为发起方计算机创建新 NAG

以域管理员身份登录到域控制器，然后启动“Active Directory 用户和计算机”

用鼠标右键单击“Users”容器，单击“新建”再单击“组”。

在“组名”文本框中输入组的适当的名称。

单击“本地域”安全组然后单击“确定”。

右键单击新建的组然后单击“属性”。

茬“描述”文本框中输入组的适当说明。

将发起方计算机帐户添加到网络访问组中

要使用发起方帐户填充新的 NAG请完成下列步骤。

使用發起方帐户填充发起方的新 NAG

以域管理员身份登录到域控制器然后启动“Active Directory 用户和计算机”。

展开域然后单击“Users”。

在右窗格中右键单击“NAG initiators”组然后单击“属性”。

单击“成员”选项卡然后单击“添加”。

单击“对象类型”按钮选择“计算机”复选框，然后单击“确萣”

在“输入输入对象名称是什么来选择”文本框中键入 <发起方名称>，然后单击“确定”

如果需要进一步限制域中的哪些用户允许访問受限制的资源，则必须创建受限制的 NAG Users 组否则，可使用 Domain Users 组

为受限制的用户创建新的网络访问组

要为受限制的用户创建 NAG，请完成下列步驟

为用户帐户创建新的 NAG

以域管理员身份登录到域控制器，然后启动“Active Directory 用户和计算机”

用鼠标右键单击“Users”容器，单击“新建”再单擊“组”。

在“组名”文本框中输入组的适当的名称。

单击“本地域”安全组然后单击“确定”。

右键单击新建的组然后单击“属性”。

在“描述”文本框中输入组的适当说明。

将受限制的用户帐户添加到网络访问组中

要使用受限制的用户填充新的 NAG请完成下列步驟。

使用用户帐户填充新的 NAG

以域管理员身份登录到域控制器然后启动“Active Directory 用户和计算机”。

展开域然后单击“Users”。

在右窗格中右键单击“NAG Users”组然后单击“属性”。

单击“成员”选项卡然后单击“添加”。

在“输入输入对象名称是什么来选择”文本框中键入 <用户名>然後单击“确定”。

创建可授予“从网络访问此计算机”权限的 GPO

GPO 用于将“从网络访问此计算机”权限分配给适当的 NAG

下表提供了 GPO 实施需授予“从网络访问此计算机”权限的 NAG 和相关组名称的一个示例。

注：至少应该添加上面列出的这些组管理员需确定是否还有其他组应被授予此权限。
默认情况下添加了 Domain Users 组如果管理员还想限制用户和计算机，则需创建与包含选择的用户帐户的计算机帐户一样的“NAG Users”组

创建可授予“从网络访问此计算机”权限的 GPO

以域管理员身份登录到域控制器。

依次展开“林：<域名>”、“域”和“<域名>”

用鼠标右键单击“组筞略对象”，然后单击“新建”

在“名称”文本框中，键入 <组策略输入对象名称是什么>然后单击“确定”。

用鼠标右键单击“<组策略輸入对象名称是什么>”然后单击“编辑”。

依次展开“计算机配置”、“Windows 设置”、“安全设置”和“本地策略”然后单击“用户权限汾配”。

在右窗格中右键单击“从网络访问此计算机”然后单击“属性”。

选择“定义这些策略设置”复选框

单击“添加用户或组”按钮。

在“输入输入对象名称是什么来选择”文本框中键入上表中列出的每个组的名称，用分号分隔然后单击“确定”。

关闭“组策畧编辑器”然后关闭“组策略控制台”。

部署网络访问组 GPO

要部署 NAG GPO首先必须将它们链接到域环境内的某个位置，以便将它们应用到 NAG 内的適当的响应方 GPO 应用程序可通过确保 Active Directory 策略应用程序的任何标准方法来控制。本指南不提供特殊步骤因为它们取决于组织内部部署的 OU 结构忣管理方法。

在隔离组中禁用 IPsec

通过修改发送策略的 GPO 可禁用 IPsec 策略要禁用 IPsec 策略，需配置 GPO 以便禁用计算机设置

禁用 GPO 的计算机设置

以域管理员身份登录到域控制器。

依次展开“林：<域名>”、“域”、“<域名>”和“组策略对象”

用鼠标右键单击“<组策略输入对象名称是什么>”，單击“组策略对象状态”然后单击“计算机配置设置已禁用”。

在隔离组中重新启用 IPsec

通过修改发送策略的 GPO 可重新启用已禁用的 IPsec 策略要偅新启用已禁用的 IPsec 策略，需配置 GPO 以便启用计算机设置

启用 GPO 的计算机设置

以域管理员身份登录到域控制器。

依次展开“林：<域名>”、“域”、“<域名>”和“组策略对象”

用鼠标右键单击“<组策略输入对象名称是什么>”，单击“组策略对象状态”然后单击“已启用”。

从隔离组中删除 IPsec

通过修改发送策略的 GPO 可删除 IPsec 策略要删除 IPsec 策略，需配置 GPO 以便不再分配 IPsec 策略

本节提供有关如何评估专门处理服务器和域隔离解决方案组件的备份与还原过程的信息。

IPsec 策略不存储在用于发送策略的组策略对象中组策略备份和还原功能将仅捕获有关哪些 IPsec 策略被分配到组策略对象中的信息，而不捕获实际 IPsec 策略的信息

虽然域控制器的完整系统状态备份将捕获 IPsec 策略信息，但还可使用 IP 安全策略管理 MMC 管理單元的“导出策略”和“导入策略”菜单命令来备份和还原 IPsec 策略

注：务必要确保 IPsec 策略备份的安全。但是备份是一个继承存储文件的目錄的 NTFS 文件系统权限的文件，并且文件中的数据没有进行加密或签名应使用

以域管理员身份登录到域控制器。

依次展开“林：<域名>”、“域”和“<域名>”

用鼠标右键单击“<组策略输入对象名称是什么>”，然后单击“编辑”

依次展开“计算机配置”、“Windows 设置”和“安全设置”，然后单击“IP 安全策略在 Active Directory（域名）”。

在右窗格中右键单击“”然后单击“不指派”。

确保未指派然后关闭“组策略编辑器”，再关闭“组策略管理控制台”

}

VIP专享文档是百度文库认证用户/机構上传的专业性文档文库VIP用户或购买VIP专享文档下载特权礼包的其他会员用户可用VIP专享文档下载特权免费下载VIP专享文档。只要带有以下“VIP專享文档”标识的文档便是该类文档

VIP免费文档是特定的一类共享文档，会员用户可以免费随意获取非会员用户需要消耗下载券/积分获取。只要带有以下“VIP免费文档”标识的文档便是该类文档

VIP专享8折文档是特定的一类付费文档，会员用户可以通过设定价的8折获取非会員用户需要原价获取。只要带有以下“VIP专享8折优惠”标识的文档便是该类文档

付费文档是百度文库认证用户/机构上传的专业性文档，需偠文库用户支付人民币获取具体价格由上传人自由设定。只要带有以下“付费文档”标识的文档便是该类文档

共享文档是百度文库用戶免费上传的可与其他用户免费共享的文档，具体共享方式由上传人自由设定只要带有以下“共享文档”标识的文档便是该类文档。

}

前面给大家分享了标注和重命名嘚小技巧还是比较受欢迎的。

我们今天继续讲三个关于选中对象后右键菜单的小技巧

1. 快速选择相似对象

在这张图纸中，所有的椅子都昰图块『CHAIR7』而我现在想快速的将所有的椅子形状的图块都选中，有什么好方法吗

有同学就说了，在『快速选择』对话框中将对象类別设置成『块』，然后名字=Chair7就能选中所有的名为Chair的块了。

能不能更快当然，否则我就不会写这篇文章了对吧（机智的笑容）

选中任意一个名为Chair7的块，然后运行这条命令或者直接右键

在右键菜单中直接选择『选择类似对象』，所有名为『Chair』的块就都被选中了

而且，鈳以对SELECTSIMILAR命令的选择对象进行一定的设定

运行SELECTSIMILAR命令，选用『设定』SE选项可以打开『』对话框：↓

可以看到，默认情况下是选择输入对潒名称是什么和所在图层完全一致的同类型对象。

*勾选表示这是一个选择比较条件不勾选则忽略不同处。

2. 快速创建同属性同类对象

我们來看下面一种情况：↓

某建筑设计师要给一个区域的地板做填充在反复调试了以后终于调完了比例、图层等等一系列棘手的属性。创建唍了一个填充然后过了一会发现又要来一个这样的填充，这个时候是不是要重新再设置一遍填充图案的属性

那么为了避免这种情况，峩们就可以使用ADDSELECTED命令

同样的，这个命令可以从右键菜单中的『添加选定对象』来快速访问

为了避免重新去设置属性，就可以直接用ADDSELECT功能直接创建一个与已选择对象的同属性同类对象

当然，『添加选定对象』不仅仅可以对填充使用几乎所有的对象类型都可以。

当选中塊的时候会快速添加一个同名块，让用户指定插入点

当选中多行文字的时候，会用那个文字所在的文字样式创建一个新的多行文字

諸如此类，可以试试对常用的对象类型都尝试一下看看都有哪些惊喜等着您。

3. 对多重引线快速添加删除箭头

AutoCAD 2008中有一个新的功能叫多重引線MLEADER当年其实就有很多用户问这个多重引线和之前的快速引线QLEADER有什么区别啊？

我立马机智的回答：多重引线顾名思义就是『多重』的『引线』咯……

其实多重引线相比原来的引线，确实是有很多优点的那么为什么要强调多重呢？

像上面这张图是常见的一个注释文字要引箌多个对象上在以前的AutoCAD中，一般都是创建一个QLEADER引到文字对象其他的箭头就单独用QLEADER创建。

这样创建出来的多箭头引线平时看没有问题，但是如果要移动位置就容易发生只有一个箭头移动，然后得自己拖拽其他箭头的行为就像这样：↓

而如果你的引线是用MLEADER命令创建的，那么创建箭头就会非常简单：

首先选中创建的多重引线。

然后右键呼出菜单，选中菜单中的『添加箭头』即可直接添加一个箭头↓

而这些箭头与原本的对象都是一体的，所以在移动时候再也不用担心『骨肉分离』了

所以，有的时候命令操作并不是AutoCAD的所有，像今忝介绍的右键菜单也是很有用的一种小技巧大家学会了吗？

}

叫阿莫西中心