Windows Server 2008学习笔记

●Server 2008下安装“安装增强功能”的方法：保持虚拟光驱为空，鼠标单击“安装增强功能”，然后操作如下：进行增强功能插件的安装即可。

●Server 2008 R2可扮演很多角色，如：DNS、DHCP服务器等，当你安装这些角色后，系统会自动创建用来管理这些角色的工具（即：开始/管理工具/下的“服务器管理器”）；●Win 7同样也有这个功能，但要求下载安装工具：Remote Server AdministratorTools for Windows 7(Windows 7的远程服务器管理工具)，安装完成之后：开始/控制面版/程序/打开或关闭Windows功能，即可正常使用。

●若安装Server 2008时是采用.iso的镜像文件分别进行安装，则不存在Mac地址冲突的可能性，但该方法较慢；若是先安装好一台机器，再进行“导出”后再“导入”的方法得到另一台机器，会比较快，但由于两台机器的“Mac 地址”相同(虚拟机环境下不会报错，就如同实际当中的“机器名相同”、“IP 地址冲突”时导致两台机器不能相互通讯一样)，会导致这两台机器不能通信，则必须进行“Mac地址”的刷新才行，具体如下图：要保证两台虚拟机能正常通讯，必须满足下列几个条件：１、Mac地址不能相同；２、机器名不能重名；３、IP地址不能相同；４、虚拟机的网卡模式：Bridge(桥椄)；５、防火墙处于关闭状态；６、Routing and Remote Access服务处于开启状态(不是必需的)，如下：●DNS主服务器(Primary Server)可直接在该管辖区域内添加、删除和修改记录，存储着区域数据资源的主副本(Master copy)，而辅助服务器(Secondary Server)则只能从主服务器复制数据，且对这些记录无修改权限，存储着副本记录(replica)。

一般了解：主机服务器(Master Server) 可能是存储该区域主副本的主服务器，也可能是存储副本数据的辅助服务器。

唯缓存服务器(Caching-only Server)：无任何新建区域，当它接收到dns客户端的查询请求时，它会帮助dns客户端向其它dns服务器来查询，然后将查询到的记录存储到缓存区，并将该记录提供给客户端。

当再次有客户查询该记录时，能够快速地提供给客户。

适于远端分公司的安装。

●递归查询发生在dns客户端向dns服务器提出查询请求时；迭代查询发生在dns服务器与dns服务器之间的查询；●使用Hosts文件进行解析：一般用于客户端。

该文件用来存储主机名与IP的对应数据。

事实上DNS客户端在查找主机的IP地址时，它会先检查自己计算机内的HOSTS文件，看看文件内是否有该主机的IP地址，若找不到数据，才会向DNS服务器提交查询。

如：在hosts文件末加了一条记录“113.92.32.12 ”验证方法：C:\Users\Administrator>ping 正在Ping [113.92.32.12] 具有32 字节的数据:来自192.168.10.130 的回复: 目标主机无法访问。

来自192.168.10.130 的回复: 目标主机无法访问。

来自192.168.10.130 的回复: 目标主机无法访问。

来自192.168.10.130 的回复: 目标主机无法访问。

113.92.32.12 的Ping 统计信息:数据包: 已发送= 4，已接收= 4，丢失= 0 (0% 丢失)●客户端在进行域名解析时，若使用TCP/IP程序（如：浏览器、telnet程序、ping命令等），则会自动采用DNS名称解析；若是使用NetBIOS名称（如：\\机器名，该写法也称“UNC路径”），则会采用NetBIOS名称解析。

●新建新网站的三种方法：１、不同的主机域名：在同一台虚拟机上进行配置，保证主机域名不同即可。

假设：要创建两个网站： →192.168.10.102 →192.168.10.102２、不同的IP地址产生不同的网站 →192.168.10.101 →192.168.10.102３、不同的端口号产生不同的网站 →192.168.10.102:8081 →192.168.10.102:8082●网站安全：用户身份验证（匿名身份验证、基本身份验证、摘要式身份验证、Windows身份验证）１、匿名身份验证：是大众化的，最常见的验证方式。

默认为“IUSR_计算机名”用户(是一特殊组账号)２、３、●IIS FTP站点的３种隔离模式：１、不隔离用户模式（默认值）：该模式不启用FTP用户隔离模式，也就是不对FTP站点用户的访问进行隔离。

所有用户可以在相同的空间中浏览内容。

由于在登录到FTP站点的不同用户间不进行隔离，适用于只提供共享内容下载功能的站点，或不需要在用户间进行数据访问保护的站点。

通常只需“读取”权限即可，对于特权用户，可通过NTFS权限的配置来实现“读写”功能。

该模式比较简单，无须作特别的配置，特别适用于对外提供给所有用户均共享相同文件的公共服务的Ftp站点，并且通常是采用匿名方式的访问。

２、隔离用户模式：是一种启用了用户隔离功能的Ftp站点模式。

在IIS 6.0中，隔离用户模式的Ftp站点中的所有特权用户都在Ftp站点根目录中的二级目录结构下。

用户主目录的上级目录是一个名为LocalUser(非域环境)、NetBIOS 域名(域环境下，此处的域名为，NetBios名为tea)的一级目录。

每个用户的资源都均被存放和访问限制在自己的主目录中，不允许用户浏览自己主目录外的内容。

例题：３、AD隔离用户模式：该模式与“IIS管理器隔离模式”类似，但该模式是根据域中相应的Active Directory容器验证用户凭据，而不是搜索整个Active Directory，提高了用户搜索和隔离效率，而且无须建立像“隔离用户”模式那样的LocalUser或以对应域名命名的子目录，用户目录可以在本机或哉网络中的任何位置，而不是像“隔离用户模式”中用户主目录必须放在Ftp站点根目录下。

这样一来，就可以根据网络配置情况，灵活地将用户主目录分布在多个服务器、多个卷和多个目录中。

当然，如果是在网络中的其它主机上，则在配置用户Ftp 主目录（msIIS-FTPDir）属性时要以“\\主机名\共享名”的格式键入用户主目录。

但同样要配置Ftp站点根目录，用于公共访问。

该模式默认禁止匿名用户访问。

要创建一个管理员账户ftpadmin，该账户被授权读取特权用户的信息，并且是在站点创建过程中就进行授权的，该过程称为委派。

例题：DOS状态下输入命令：adsiedit.msc，打开“ADSI Edit”对话窗口，进行特权用户的如下权限的修改：拓扑图（IP修订：DC01：192.168.10.102、DC02：192.168.10.103，PC为自动获取）总结注意点：在以上的设置过程中，需要注意的是用户名需要和用户的主文件夹名称一致，否则用户将不能连接。

由于使用了用户隔离模式，因此，用户经过登陆后仅能访问用户的主文件夹，但若知道其它用户名，也可通过在ftp:// 域名后加上其它用户名的方法访问到该用户的主目录，这是一个安全漏洞，所以，这时必须通过NTFS文件系统的访问控制列表进行限制，其实该问题通过创建LocalUser和public目录后，已经得到解决。

实际上“不隔离”用户模式也能实现FTP服务器多用户的添加和管理，不过由于不进行用户目录隔离，就必须进行更加复杂的NTFS文件系统的配置确保用户仅能访问自己的主文件目录，并且每个用户均需要新建一个和用户名同名的虚目录作为用户主目录。

４、待做的工作：网络负载均衡、CA证书、组策略、IPSec与网络安全、VPN、Radius服务器架设、邮件服务器、高级防火墙配置、NPS服务创建子域的方法：父域 子域●NT 4.0时代，域控制器有主从之分，仅主域控制器有权更改域设置，备份域只能从主域控制器上复制域配置信息。

但从2000 Server之后，网络上的各个域控制器角色上是平等的，每个域控制器都有自己的一套AD数据库，每个域控制器都可以更改域设置，然后把更改的设置通知网络中的其他域控制器，以使整个网络中的域设置保持同步，但第一台DC，享有特权。

●在域的场合，建议DNS、DHCP服务器尽量与DC安装在同一台机器(第一台、主域)上，而Ftp服务器安装在额外域控制器(辅助域、备份域)上。

对于Exchange Server 2007（更新的版本为2010、2013）邮件服务器来讲，只能架设在域环境中，建议将“第一台邮件服务器”安装在额外域控制器上，“其它邮件服务器”安装在子域控制器上。

“第一台邮件服务器”与“其它邮件服务器”之间满足管理与被管理的关系。

●如何在辅助域上安装Exchange Server 2007 SP3？经过验证，在Server 2008 Enterprise上无法安装Exchange Server 2007版本，后来重新下载SP3版后安装正常，该说法也得到了网上的验证，如下图：引用“金牌网管(中)”P105言：Exchange Server 2003邮局系统的目录是以林为单位的，也就是说一个林中只能有一套供Exchange Server 2003使用的目录，这就决定了在同一个林中，“第一台邮件服务器”与“其他邮件服务器”之间那种管理与被管理的关系。

而不能在同一个林中创建两个完全不同且没有信任关联的邮件服务器。

●取消Server 2008系统账户的密码安全性限制：●如何修改Windows Server 2008系统默认的远程连接数：单击“开始→运行”，输入“gpedit.msc”打开组策略编辑器窗口，依次定位到“计算机配置→管理模板→Windows 组件→终端服务→终端服务器→连接”，再双击右侧的“限制连接数量”，将其TS允许的最大连接数设置大一些即可。

●怎样设置主DNS上的转发器?(客户端DNS都指向主DNS，这样我们怎样让局域网的客户机上网呢？我们设置DNS属性。

如图，将所选域的转发器的IP地址填写上公网的DNS地址即可。

)●“本地安全策略”：secpol.msc “本地组策略”：gpedit.msc(域)“组策略管理”：gpmc.msc，2003下要单独安装，2008下则内置。

●“在客户端试图修改密码，仍然报告说不符合密码复杂度”的解决方法（域用户密码策略的设置方法）：在域环境中，密码的复杂性是由Default Domain Policy中的密码策略决定的，这样域用户在修改密码的时候就要求符合密码复杂性要求。

如果您在DC上可以成功修改密码，而在客户端电脑不能，这就说明要修改的密码以前用过，是由于不符合“强制密码历史”造成的问题。