第一章 Windows 2000 Server新功能及安装

第一章 Windows 2000 的新功能及安装 Windows 2000 Server

本章主要内容：
1、什么是Windows 2000
2、Windows 2000 Server 的新功能
3、Windows 2000 Server 系统需求和硬件兼容性检查；
4、Windows 2000 Server 安装前的注意事项；
5、安装 Windows 2000 Server；
6、Windows 2000 Server 安装的疑难排除；
7、开机启动时的疑难排除

    1、 什么是 Windows 2000
    Wondows 2000 是一个操作系统系列，集成了对客户/服务器模式和对等模式网络的支持。Windows 2000 产品家族的设计目的在于提高产品的可靠性，提供高层次的可用性及从小型网络到大型企业网的可扩展性。Windows2000 通过集成优化当前先进的网络、应用程序及WEB技术，令企业充分提高现有投资的价值从而降低了总体拥有成本。并为那些优秀的、具有重要作用的商务软件提供了最佳的运行环境。为当今迅猛发展的电子商务提供了一个崭新的具有高可靠性和高安全性的操作平台。

针对不同的用户和环境，Windows 2000 产品家族推出了四个版本：
    Windows 2000 Server： 针对工作组级的服务器用户，Windows 2000 Server 最重要的改进是在"活动目录"目录服务技术的基础上，建立了一套全面的、分布式的底层服务。此外，对最新硬件和设备的良好支持、集成式终端服务、内建虚拟专用网络（VPN）支持等。可以说 Windows 2000 Server 是完美的入门级解决方案，用于运行具有更高可靠性和可管理性的文件、打印、Intranet、通讯和基础架构服务器。
    最低配置要求：Pentium 兼容的 CPU≥133MHz 、64MB≤RAM≤4GB、空闲 HardDisk≥1.0GB、一台机器 ≤4个CPU
    Windows 2000 Professional：针对商业和个人用户。
    Windows 2000 Advanced Server
    Windows 2000 Advanced Server 操作系统提供了 Windows 2000 Server 的全部特性和优点。 此外，该操作系统还包含其他一些附加功能，用于增强电子商务和经营方式应用。针对企业级的高级服务器用户
    Windows 2000 Datacenter Server
针对大型数据仓库的数据中心服务器用户，微软推出的这个全新版本是功能最为强大的服务器操作系统，它支持 16 路对称多处理器系统以及高达 64GB 的物理内存。与 Windows 2000 Advanced Server 一样，它将群集和负载平衡服务作为标准的特性。另外，它为大型的数据仓库、经济分析、科学和工程模拟、联机交易服务等应用进行了专门的优化。 返回页首>>>

2、 Windows 2000 Server 的新功能概览

可扩展性和性能：

端终服务 | 用户可以在服务器上运行 Windows 程序，使用一台远程 PC 机、Windows 终端或非 Windows 设备通过局域网、宽域网或低带宽连接进行访问。在 Windows 2000 中，终端服务可以提升 20% 的可伸缩性，同时极大地改善了高带宽和低带宽连接的性能。
增强 ASP 性能 | 无脚本 ASP 文件的更具可伸缩性的 ASP 处理、改进的 ASP 流控制和 ASP 快速路径可以实现更快的网页处理。
多站点容留 | Internet Information Services (IIS) 5.0 允许用户在保持高性能的同时在每个服务器上容留多个网站。
IIS CPU 节流 | 通过限制某 Web 应用程序或站点可以使用的 CPU 时间量，用户可以确保其他网站或非 Web 应用程序有更多可用的处理器时间，因而有更好的性能。
高吞吐率和带宽利用 | 通过对 1GB 网络的支持，Windows 2000 Server 在高性能网络上提供了高性能处理。更大的吞吐率无需增加网络带宽即可提升性能。

可靠性：

内核方式写保护 | 有助于防止错误代码干扰系统运行。
Windows 文件保护 | 防止新安装的软件替换重要的系统文件。
驱动程序证书 | 识别出那些已经通过 Windows 硬件质量实验室测试的设备驱动程序，如果用户企图安装无证书驱动程序，系统将给出警告。
IIS 应用程序保护 | 应用程序保护将 Web 应用程序和 Web 服务器的运行隔离开来，从而有效地防止某应用程序导致整个 Web 服务器的崩溃。

可用性：

作业对象 API（应用程序编程接口） | 作业对象 API 具有设置处理器相似性、建立时间限制、控制进程属性及限定一组相关进程的内存使用等功能。应用程序可以使用这一 API 管理和控制相关系统资源。这一附加控制等级意味着：作业对象 API 可以防止应用程序降低总体系统可伸缩性。
应用程序证书 & DLL（动态链接库）保护 | 确认可以运行于 Windows 2000 Server 上的应用程序都经过微软公司的测试，以确保其高质量和高可靠性。该功能可以保护应用程序安装的 DLL，防止出现可以导致应用程序故障的冲突。

可用性：（续表）

多主复制 | 活动目录使用多主复制，以确保分布式网络配置的高可伸缩性和可用性。"多主"表示在网络中的每个目录副本都是全部其他副本的同位体；任何一个副本的改变都会影响到所有其他副本。
分布式文件系统（Dfs） | 在一个网络上创建多个文件服务器和文件服务器共享的单个分级视图。DFs可以让用户更方便地定位文件，并通过在分布式服务器上保持多个文件副本的方法提高可用性。
磁盘限额 | 设置每个用户和每个卷的磁盘空间使用限额，以提供更高的磁盘空间可用性，同时有助于容量规划工作。
分级存储管理 | 自动将不常被访问的数据转移到低成本存储媒体上，为最常被访问的数据腾出磁盘空间。

安全性：

对最新安全标准的支持 | 使用最新标准建立安全的内联网、外联网和 Internet 站点，这些标准包括：56 位和 128 位 SSL/TLS、IPSec、Server Gated Cryptography （服务器门控加密技术）、摘要验证、Kerberos v5 验证和Fortezza。
活动目录集成 | 活动目录与支撑它的安全基础架构集成在一起，提供了用户、计算机和设备的安全管理集中点，这更简化了 Windows 2000 的管理操作。
Kerberos 身份验证 | Windows 2000 完全支持 Kerberos v5 协议，提供对 Windows 资源及支持该协议的其他环境快速单登录。
公用密钥基础架构（PKI） | Certificate Server （证书服务器）是公用密钥基础架构的关键组成部分，它允许客户向其用户发布自己的 x.509 证书，以获取诸如基于证书的身份验证、IPSec、安全电子邮件等功能。与活动目录的集成更简化了登记操作。

安全性：（续表）

智能卡支持 | 支持智能卡登录，用于实现坚固的敏感资源身份验证。
加密文件系统 | 通过数据加密增加硬盘上数据的安全性。即使在备份或压缩时该数据也保持加密状态。
安全的网络通信 | 使用 IPSec 标准跨整个企业网络的终端对终端加密通信。它非常适用于防止敏感内部通信被他人有意或无意地查看。活动目录提供了集中的策略控制，以使其具有实用价值。
路由选择和远程访问服务 | 通过拨号、租用线路和 Internet 连接将远程工作人员、远距离办公人员或部门办公室连接到企业通信网上。
模拟专用网络（VPN） | 加密通信，实现通过 Internet 安全地连接远程用户和分支办公室的全功能网关。现在具有更新的 PPTP 支持，以及利用 L2TP （第二层隧道协议）实现的高级安全，并且 L2TP 同时经过 IPSec 的加密。

可操作性：

动态卷管理 | 在保持服务器联机、不影响终端用户的情况下添加新卷、扩充当前卷、添加或删除镜像、修复 RAID 5磁盘阵列。
磁盘碎片整理 | 经过一段时间后，磁盘碎片可能会严重影响一台繁忙的文件或 Web 服务器的性能。这些工具可以增加磁盘可用性和性能。
安全模式引导 | 用户可以使用安全模式引导系统，并在启动过程中通过改变默认设置或删除导致故障的驱动程序对系统进行故障检修。
备份和恢复 | 备份和恢复特性可以简化数据备份操作，同时也简化了出现硬盘故障时的数据恢复操作。Windows 2000 支持对硬盘或磁带

WEB特性：

Internet Information Services 5.0 (IIS) | 集成 Web 服务可以让用户方便地容留和管理网站，以共享信息和创建 Web 商业应用，并将文件、打印、媒体和通信服务扩展到 Web。
ASP （活动服务器页面）编程环境 | ASP 一直被认为是目前最简单、性能最好的 Web 服务器脚本编程环境。
XML 语法分析器 | 它可以创建允许 Web 服务器与 Microsoft Internet Explorer 及任何具有XML语法分析功能的服务器交换 XML 格式数据的应用程序。
Windows DNA 2000 | Windows DNA 2000 （Windows 分布式interNet应用体系结构）是 Windows 平台的应用程序开发模型。使用 Windows DNA 2000 ，用户可以建立具有安全性、可靠性、高可伸缩性的解决方案，它们可以简化异种系统和应用程序的集成化工作。

WEB特性：（续表）

COM+ （组件对象模型+） | COM+ 建立于组件对象模型的集成服务和特性之上，开发者可以利用 COM+ 更方便地使用任何工具创建和使用任何语言编写的软件组件。COM+ 包含可以实现可靠分布式应用程序的事务处理服务程序和信息列队服务程序。
多媒体平台 | 使用集成 Windows Mediasize=1>TM Services （Windows媒体服务），用户可以跨 Internet 和内联网配置和管理高质量数字媒体内容，从将活动和随选内容传送给最大数量的用户。
具有目录功能的应用程序 | 开发者可以使用许多标准界面编写应用程序，这些应用程序可以利用存放于活动目录服务中关于用户、其他应用程序和设备的信息。这样做可以实现丰富的动态应用程序，并且它们更易于开发和管理。活动目录的所有功能都可以通过 LDAP （轻量级目录访问协议）、ADSI （活动目录接口）和 MAPI 调用，用于扩展和集成其他应用程序、目录和设备。
Web 文件夹 | 通过使用 WebDAV （Web文档编辑和排版）实现拖放式 Web 出版，Web 文件夹将丰富的 Windows 功能带入 Web 世界。
Internet 打印 | 通过 Internet 向某 URL 发送打印任务。

返回 页首>>>

3、系统和硬件设备要求
    要使系统的性能良好，请务必使安装 Windows 2000 Server 的计算机应符合下列需求：
§　133-MHz Pentium 或更快的中央处理单元 (CPU)。 每台计算机最多支持四个 CPU。
§　建议最少 256 MB RAM（最小支持 64 MB，最大支持 4 GB）。
§　硬盘分区必须具有足够的可用空间满足安装过程。需要的最少空间大约为 1 GB。可能会需要更大的空间，这要依靠下面的情形而定：
1. 要安装的组件：安装的组件越多，需要的空间也就越大。
2. 使用的文件系统：FAT 比其他文件系统多需要 100-200 MB 的磁盘空间，因为它的文件存储效率比 FAT32 格式及 NTFS 格式要低
3. 使用的安装方法：如果从网络安装，比从光盘安装多需要 100-200 MB 空间。
4. 分页文件的大小。
5. 升级比执行全新安装需要更大的空间，因为现有的用户帐户数据库在升级过程中，随着添加了 Active Directory 功能，它所占用的空间最大会扩大到原来的十倍。但在安装结束之后，操作系统（不包括用户帐户）使用的实际硬盘空间通常小于安装过程需要的可用空间。
§　VGA 或更高分辨率的显示器。
§　键盘。
§　鼠标或其他指针设备（可选）。
§　从光盘安装：
1. CD-ROM（12倍速或更高） 或 DVD 驱动器。
2. 高密度 3.5 英寸磁盘驱动器。如果计划通过安装媒体启动计算机，且系统不支持从 CD-ROM 启动时，则需要这种驱动器。如果计算机没有工作的操作系统并不支持从 CD-ROM 启动时，必须备有一个高密度 3.5 英寸磁盘驱动器。
§　从网络安装：
1. 一块或几块与 Windows 2000 兼容的网卡和相关电缆。
2. 为安装程序文件提供网络访问的服务器。
硬件设备兼容性
    为了使设备能在 Windows 2000 上正常工作，必须在计算机上加载相应设备的驱动程序软件。Windows 2000 安装程序会自动检查硬件和软件并报告任何潜在的冲突。为确保成功安装，在启动安装程序之前，请核对计算机的硬件是否与 Windows 2000 Server 兼容。
§　要核对硬件，请检查 Windows 2000 硬件兼容性列表 (HCL)。如果硬件没有列在其中，那么安装可能会不成功。（注意，微通道总线将不再被支持。）
§　要查看与 Windows 2000 一同发布的 HCL，请在 Windows 2000 光盘的 Support 文件夹中，打开 Hcl.txt 文件。更新的 HCL 可从下列网址找到：Microsoft Windows 硬件兼容性列表 Web 站点。http://www.microsoft.com/
§　要检查现有硬件设备是否有更新的驱动程序，以及是否有最新的系统 BIOS，及时的对硬件加以升级，特别是系统的 BIOS 程序。
§　如果系统中包含大容量硬盘控制器（SCSI卡, RAID卡、光纤适配器），检查它是否在硬件兼容性列表中，如果不在则需要从厂商出获得为 Windows 2000 开发的驱动程序，在安装过程中按提示按F6键安装相应的驱动，如果为安装提供 HAL 文件，请按 F5。否则系统将报错"无法访问的启动设备"。返回 页首>>>

4、 Windows 2000 Server 安装前的注意事项
升级或安装的确定
    在查阅系统需求和硬件兼容性和要查阅的重要文件后，在运行 Windows 2000 Server 安装程序之前，需要决定是升级还是执行全新安装。升级就是将 Windows NT 的某个版本替换为 Windows 2000 Server。全新安装与升级不同，意味着清除以前的操作系统，或将 Windows 2000 Server 安装在以前没有操作系统的磁盘或磁盘分区上。但不要在压缩的驱动器上进行 Windows 2000 的升级或安装，除非该驱动器使用 NTFS 文件系统压缩实用程序进行压缩。要在 DriveSpace 或 DoubleSpace 压缩的卷上运行 Windows 2000 安装程序，请先将其解压缩。
升级
    选择升级有多种原因。升级可简化配置，并且现有的用户、设置、组、权利和权限都能够保留下来。此外，也不需要重新安装文件和应用程序。但升级也要对硬盘做出很大的更改，所以建议运行安装程序之前备份硬盘数据。在安装了 Windows 2000 Server 后，还可能让计算机在某些时候运行其他的操作系统。但这样设置计算机，会由于文件系统的问题带来很大的复杂性。
    如果执行升级，安装程序会自动将 Windows 2000 Server 安装在当前操作系统所在的文件夹内。可以从下列版本的 Windows NT 升级：
    Windows NT 3.51－4.0 Server，如果用户的 Windows NT Server 是比 3.51 还早的版本，那么就无法直接升级到 Windows 2000 Server，必须先将它升级到 Windows NT Server 3.51 或 4.0。
安装
    如果打算执行一次全新安装，如果要安装到的磁盘分区包含想保留的应用程序，必需先对这些应用程序进行备份，在安装完 Windows 2000 Server 之后，再重新安装它们。如果想在以前包含 Windows 2000 Server 的分区上安装 Windows 2000 Server，并在"我的文档"中保存了一些文档，而且想保留它们，请先将 Documents and Settings 文件夹（一般位于根目录下）中的文档进行备份，在安装完成之后，再将这些文档复制到 Documents and Settings 文件夹内。
许可证方式的选择
    Windows 2000 Server 支持两种授权模式：每客户和每服务器。
§　如果选择了每客户模式，每台访问 Windows 2000 服务器的计算机都要求有自己的客户端访问许可证 (CAL)。使用一个 CAL，一个特定的客户端计算机可以连接到任意数量的 Windows 2000 服务器上。对于拥有超过一台 Windows 2000 Server 的公司来说，这是最常用的授权方法。
§　相反，每服务器授权意味着每一个与服务器的并发连接都需要一个单独的 CAL。这意味着在任何时候，这台 Windows 2000 服务器都可以支持固定数量的连接。例如，如果选择了每服务器客户端授权模式和五个并发连接，此 Windows 2000 Server 可以同时被五台计算机（客户端）所连接。这些计算机将不需要任何其他许可证。
§　只有一台 Windows 2000 服务器的中小企业通常选择每服务器授权模式。对于客户端计算机不可能被授权为 Windows 2000 网络客户端的 Internet 或远程访问服务器，这种模式也很有用。可以指定允许同时连接服务器的最大数量并拒绝任何额外的登录。
§　如果不能确定要使用哪种模式，可选择每服务器模式，因为无需花费任何费用，即可从每服务器模式更改为每客户模式。（但是，如果计划使用终端服务作为应用程序服务器，请参阅下面的段落。）
§　如果计划使用终端服务作为应用程序服务器（而不仅仅作为远程管理），授权模式通常是每客户，但"终端服务 Internet 连接程序"授权除外，因为此处的模式始终是每服务器。此外，如果要使用终端服务，需要安装以下的一两个组件：终端服务和（当作应用程序服务器的）终端服务授权。
是否使用多重启动
    计算机可以被设置为每次重新启动时，都可以在两个或多个操作系统之间选择。例如，可以将服务器设置为大部分时间运行 Windows 2000 Server，但有时也运行 Windows NT Server 4.0 以便支持早期的应用程序。但是，要这样做，需要选择特定的文件系统并可能需要最新的 Service Pack。在重新启动过程中，这些选项将会保持一定的时间，以便在两种系统之间做出选择。在重新启动过程中，如果没有做出选择，那么将运行默认的操作系统。
§　如果将计算机安装为包含 Windows 2000 和其他任何操作系统，那么必须将 Windows 2000 放在计算机的一个单独分区上。这就确保了 Windows 2000 不会覆盖其他操作系统需要的关键文件。
§　将计算机设置为在启动时可以在两个以上的操作系统间选择的原因是允许用户使用只在特定的操作系统上才能运行的应用程序。但是这样设置计算机也有一定的缺点：每个操作系统都占用大量的磁盘空间，并使兼容性问题变得复杂，尤其是文件系统的兼容性。此外，动态磁盘格式并不在多个操作系统上起作用。只有单独运行 Windows 2000 操作系统才能使用动态磁盘格式访问硬盘。
§　如果正在考虑安装包含多个操作系统的计算机，要确保始终可以有一种方式启动计算机（不论驱动程序或磁盘是否有问题），那么首先要考虑的是 Windows 2000 可用的各种故障恢复功能。其中的一个功能是安全模式，在这种模式下，Windows 2000 使用默认设置和数量最少的驱动程序来重新启动。利用安全模式的其他各种故障恢复功能，就没有必要将维护多个操作系统作为防止系统发生问题的一项安全措施。避免多个操作系统意味着也避免了文件系统兼容性问题和其他缺点。
可以和 Windows 2000 实现多重启动的操作系统及在实现时应注意的问题
  1. Windows NT 4.0
§　不要在包含 Windows 2000 和 Windows NT 的计算机上只使用 NTFS 文件系统。
§　确保 Windows NT 4.0 已使用最新版本的 Service Pack 更新过。
§　将每个操作系统安装在单独的驱动器或磁盘分区上。
§　当执行 Windows 2000 Server 的全新安装时（与升级不同），默认情况下，会把它安装在没有其他操作系统存在的分区上。在安装过程中，可以指定不同的分区。
§　不要将 Windows 2000 安装在压缩驱动器上，除非该驱动器是用 NTFS 文件系统压缩功能进行的压缩。
§　在各个系统所在的分区上安装它们各自使用的应用程序。如果想让程序运行在多个操作系统上，需要在每个操作系统分区上分别安装这些程序。
§　如果计算机位于 Windows NT 或 Windows 2000 域，计算机每个 Windows NT 4.0 Server 或 Windows 2000 Server 安装都必须使用不同的计算机名。

  2. Windows 95 或 Windows 98
§　当运行 Windows 2000 时，压缩的 DriveSpace 或 DoubleSpace 卷都不可用。当只有 Windows 98 访问它时，没有必要解压缩 DriveSpace 或 DoubleSpace 卷。
§　要安装包含 Windows 95 和 Windows 2000 的计算机，请最后安装 Windows 2000。否则启动 Windows 2000 所需的重要文件就可能被覆盖。（对于包含 Windows 98 和 Windows 2000 的计算机，不需考虑安装操作系统的顺序。）
§　对于包含 Windows 95 和 Windows 2000 的计算机，主分区必须用 FAT 格式化。对于包含 Windows 95 OSR2 或 Windows 98 和 Windows 2000 的计算机，主分区必须使用 FAT 或 FAT32 格式化，不能用 NTFS。
  3. 多个 Windows 2000 安装
§　可以将多个 Windows 2000（Windows 2000 Professional或 Server）安装到一台服务器的多个分区上。但是，如果计算机参加某个 Windows 2000 域，每次安装都必须使用不同的计算机名。

文件系统的选择
    可以为 Windows 2000 Server 计算机的磁盘分区选择下列之一的文件系统： FAT 、FAT32 和NTFS。NTFS 是推荐的文件系统。FAT 和 FAT32 彼此相似，但与 FAT 相比，FAT32 可用在容量较大的磁盘上。
    NTFS
    NTFS 与 FAT 和 FAT32 相比，它是最强大的文件系统。Windows 2000 Server 包括新版本的 NTFS，它支持各种新功能：
§　Active Directory，可用来方便地查看和控制网络资源。
§　域，它是 Active Directory 的一部分，在简化管理的同时，依然可以使用域来调整安全选项。域控制器需要 NTFS 文件系统。
§　文件加密，它极大地增强了安全性。
§　可以对单个文件设置权限，而不仅仅是对文件夹进行设置。
§　稀疏文件，这些是由应用程序创建的非常大的文件，以这种方式创建的文件只受磁盘空间的限制。也就是，NTFS 只为写入的文件部分分配磁盘空间。
§　远程存储，通过使可移动媒体（如磁带）更易访问，从而扩展了硬盘空间。
§　磁盘活动恢复记录，可帮助用户在断电或发生其他系统问题时，尽快地还原信息。
§　磁盘配额，可用来监视和控制单个用户使用的磁盘空间量。
§　可更好地支持大驱动器，NTFS 支持的最大驱动容量比 FAT 支持的容量大得多，但随着驱动器容量得增大，NTFS 的性能并不随之降低，而 FAT 的性能却急速下降。
    安装程序可以方便地将分区转换为新版的 NTFS，即使该分区以前使用的是 FAT 或 FAT32 文件系统，这种转换可保持文件的完整性。如果不想保留文件，且有一个 FAT 或 FAT32 分区，建议使用 NTFS 格式化该分区，而不是转换 FAT 或 FAT32 文件系统。格式化分区会删除该分区上所有的数据，但使用 NTFS 格式化的分区与从 FAT 或 FAT32 转换来的分区相比，磁盘碎片较少，且性能更快。
FAT 和 FAT32
    有一种情况可能需要将 FAT 或 FAT32 选为用户的文件系统。如果需要让计算机有时运行早期的操作系统，有时运行 Windows 2000，则需要将 FAT 或 FAT32 分区作为硬盘上的主（或启动）分区。这是因为早期的操作系统（只有一个例外），都无法访问使用最新版 NTFS 格式化的分区。例外是带有 Service Pack 4 或更高版本的 Windows NT 4.0，它可以访问使用最新版 NTFS 格式化的分区，但也有一些限制。
硬盘分区的规划
    只有在执行全新安装，而不是执行升级时，需要在运行安装程序之前，规划磁盘分区。磁盘分区是一种划分物理磁盘的方式，以便每个部分都能够作为一个单独的单元使用。当在磁盘上创建分区时，可以将磁盘划分为一个或多个区域，以便将这些区域用诸如 FAT 或 NTFS 这样的文件系统格式化。主分区（或称为系统分区）是安装加载操作系统（如 Windows 2000）时所需文件的分区。主分区用特殊的文件系统格式化，分配的驱动器号为 C：。
§　如果计划在硬盘上删除或创建分区，请确保已备份了该磁盘的内容，因为这些操作将会破坏现有的数据。
§　在运行安装程序执行全新安装之前，需要决定安装 Windows 2000 Server 的分区大小。并没有固定的公式计算分区大小，基本规则就是为一同安装在该分区上的操作系统、应用程序及其他文件预留足够的磁盘空间。安装 Windows 2000 Server 的文件需要至少 1 GB 的可用磁盘空间，这在系统需求中已说明。建议要预留比最小需求多得多的磁盘空间。分区的大小为 2-4 GB 就可以，而对于更大的安装，则需要为其保留 10 GB 的磁盘空间。这样就为各种项目预留了空间，它们包括可选组件、用户帐户、Active Directory 信息、日志、未来的Service Pack、操作系统使用的分页文件以及其他项目。
§　在安装过程中，只需创建和规划要安装 Windows 2000 的分区。在安装完 Windows 2000 之后，可以使用磁盘管理来管理新建和已有的磁盘和卷。这包括利用未分区的空间创建新的分区；删除、重命名和重新格式化现有的分区；添加和卸掉硬盘以及在基本和动态格式之间升级和还原硬盘。
§　如果计划在此服务器上使用远程安装服务（以便可以在其他的计算机上安装操作系统），则需要一个单独的分区以备远程安装服务使用。此分区要使用 NTFS，因为远程安装服务的零备份存储功能要求用 NTFS。如果需要为远程安装服务创建新分区，请在安装之后再创建，并要保留足够的未分区磁盘空间以便创建它（推荐的磁盘空间为 2 GB，但可能不需要这么多，这要依据服务器做何用途而定）。同样，可以使用动态磁盘格式，它比基本格式在使用磁盘空间上更灵活。（但是，动态磁盘格式不会在包含多个操作系统的计算机上工作，只用Windows 2000 操作系统才能使用动态磁盘格式访问硬盘。）
    下表比较了三种文件系统支持的磁盘和文件大小。

NTFS | FAT | FAT32
推荐最小的容量为 10 MB，推荐实际最大的容量为 2 TB，并可支持更大的容量。 无法用在软盘上。 | 容量可从软盘大小到最大 4 GB。 不支持域。 | 容量从 512 MB 到 2 TB。在 Windows 2000 中，可以格式化一个不超过 32 GB 的 FAT32 卷。 不支持域。
文件大小只受卷的容量限制。 | 最大文件大小为 2 GB。 | 最大文件大小为 4 GB。

TCP/IP、IP地址、域名解析的规划
    要使用 TCP/IP，请确保每个服务器都有 IP 地址，无论是动态的还是由软件自动提供的地址，或是用户获取和设置的静态地址均可以。因为这些地址仅仅是一些数字，很难记忆，所以同时还需为用户提供易于使用的名称。将此类名称映射到 IP 地址上的过程称作名称解析，它可以通过各种方法来完成，但主要是域名系统 DNS 和 Windows Internet 名称服务 (WINS)。
IP 地址的分配
    在安装过程中，Windows 2000 会自动分配 IP 地址，在安装完成后，请更改这个配置以便使用 DHCP或静态寻址。可以提供 IP 地址的方法如下：
§　对于在小型专用网络上的有限数量（五台或更少）的服务器，可以使用 Windows 2000 Server 中称作自动专用 IP 寻址 (APIPA) 的功能为服务器自动分配 IP 地址。
§　在结束安装后，可以继续使用自动分配的地址，或配置 DHCP 和/或静态 IP 地址。
§　如果网络包含多个子网，请选择一台服务器安装和配置 DHCP 组件。此 DHCP 服务器将为其他计算机提供动态 IP 地址。但这台服务器本身要有一个静态 IP地址（以便其他计算机可以找到它）。
§　在这种情况下，为了支持客户端，也需要一台或几台装有域名系统 DNS 组件和/或 Windows Internet 名称服务 (WINS) 组件的服务器。这样一台服务器或几台服务器就可以提供 DHCP、DNS 和/或 WINS 服务。任何提供这些服务的服务器都需要有静态 IP 地址（以便其他的计算机可以找到它）。
§　如果有一台特定的服务器可以使用户直接访问 Internet，则必须为这台服务器分配静态 IP 地址。可以从某个 Internet 服务提供商 (ISP) 或 Internet 网络信息中心 (InterNIC) 获得一个地址和相关的域名。
§　如果计算机有多块网卡，那么每个网卡都需要单独的 IP 地址。

名称解析
§　域名系统 (DNS)
    DNS 是一个用于在 Internet 和专用 TCP/IP 网络上定位计算机的分层命名系统。通常需要安装一个或多个 DNS 服务器。Internet 电子邮件、Web 浏览和 Active Directory 都需要 DNS。某些带有运行 Windows 2000 客户端的域也需要 DNS。当创建域控制器（或将某个服务器提升为域控制器）时，会自动安装 DNS，但当 Windows 2000 软件检测到域内已有 DNS 服务器时例外，或者，也可以明确地将 DNS 作为安装过程中或安装之后要安装的组件。
    如果在服务器上安装 DNS，将需要为该服务器指定一个静态 IP 地址。此外，还需要配置 DNS 客户端，以便它们能够识别这个 IP 地址。
§　Windows Internet 名称服务 (WINS)
    如果要支持运行 Windows NT 或任何早期 Microsoft 操作系统的客户端，则需要在域内的一个或几个服务器上安装 Windows Internet 名称服务 (WINS)。WINS 是一个可选的软件组件，在组件列表的网络服务下面。如果在服务器上安装 WINS，则需要为该服务器指定一个静态 IP 地址。此外还需要配置 WINS 客户端，以便使它们识别这个 IP 地址。
工作组和域的选择
    域是在同一个域名和安全范围内的一组帐户和网络资源的集合。工作组则是更基本的分组，它只是用来帮助用户在组内查找像打印机和共享文件夹这样的对象。域是所有网络都推荐的选择，但对于只有几个用户的网络例外。
§　利用 Windows 2000，服务器在域内可以是下面两种角色之一：域控制器，它含有给定域内用户帐户和其他 Active Directory 数据的副本；而成员服务器，它属于域但没有 Active Directory 数据的副本。（属于工作组，而不是属于域的服务器，称作独立服务器。）利用 Windows 2000，可以将服务器的角色在域控制器和成员服务器（或独立服务器）之间来回变换，即使在安装结束之后也可以这样做。但是建议在运行安装程序之前规划好域，并且只在必要的时候才更改服务器的角色。
§　在运行安装程序之前仔细考虑域控制器的名称是个好主意，一旦它成为域控制器后就无法更改它的名称了。如果要改名，必须先将它更改为成员或独立服务器，再更改名称，最后再次使它成为域控制器。
§　如果有多个域控制器，就可以比一个域控制器为用户提供更好的支持。多个域控制器可以自动备份用户帐户和其他 Active Directory 数据，并一同支持域控制器的功能（例如确认登录等）。返回 页首>>>

5、安装 Windows 2000 Server 中文版
准备安装
    升级安装
    在将系统升级到 Windows 2000 Server 的准备阶段，要执行以下几个基本步骤：备份文件、将驱动器解压缩、禁用磁盘镜像、切断不间断电源 (UPS) 设备并检查计算机上的应用程序。
§　备份文件
    在升级之前，建议备份当前的文件。可以将这些文件备份到磁盘、磁带驱动器或网络中的其他计算机上。
§　将驱动器解压缩
    在升级到 Windows 2000 时，要将所有的 DriveSpace 或 DoubleSpace 卷解压缩。不要在压缩的驱动器上将系统升级到 Windows 2000，除非这个驱动器是用 NTFS 文件系统的压缩功能执行的压缩。
§　禁用磁盘镜像
    在升级之前，如果目标计算机上安装有磁盘镜像，那么在运行安装程序之前要禁用它。在完成安装后，再重新启动磁盘镜像。
§　切断 UPS 设备
    如果目标计算机与不间断电源 (UPS) 相连，那么在运行安装程序之前要切断连接的串行电缆。因为 Windows 2000 安装程序会试图自动检测连接到串行端口上的设备，如果不切断，UPS 设备会在检测过程中产生问题。
§　检查应用程序
    在启动 Windows 2000 Server 安装程序之前，请务必阅读 Readme.doc 文件（在 Windows 2000 Server 光盘的根目录下）的关于应用程序一节。查找在运行安装程序之前，需要禁用或删除应用程序的信息 。

全新安装
    在将系统升级到 Windows 2000 Server 的准备阶段，要执行以下几个基本步骤：备份文件、将驱动器解压缩、禁用磁盘镜像并切断不间断电源 (UPS) 设备。
§　备份文件
    在执行 Windows 2000 Server 安装程序之前，建议备份当前的文件，除非计算机没有文件，或当前的操作系统文件已损坏。可以将这些文件备份到磁盘、磁带驱动器或网络中的其他计算机上。
§　将驱动器解压缩
在安装 Windows 2000 之前，要将所有的 DriveSpace 或 DoubleSpace 卷解压缩。不要在压缩的驱动器上安装 Windows 2000，除非这个驱动器是用 NTFS 文件系统的压缩功能执行的压缩。
§　禁用磁盘镜像
    在执行全新安装之前，如果目标计算机上安装有磁盘镜像，那么在运行安装程序之前要禁用它。在完成安装后，再重新启动磁盘镜像。
§　切断 UPS 设备
    如果目标计算机与不间断电源 (UPS) 相连，那么在运行安装程序之前要切断连接的串行电缆。因为 Windows 2000 安装程序会试图自动检测连接到串行端口上的设备，如果不切断，UPS 设备会在检测过程中产生问题。

启动安装程序及相关的设置步骤
    对于不同的环境，用户可以利用不同的方式启动 Windows 2000 Server 安装程序，下面用户介绍在不同的环境中启动安装程序。
1.在运行 Windows 的计算机上从光盘启动安装程序
    步骤1 将光盘插入驱动器。
    步骤2 要开始安装，执行下列操作之一：
§　对于运行高于 Windows 3.x 的任何版本 Windows 的计算机，等待安装程序显示对话框。
§　对于运行 Windows 3.x 的计算机，使用文件管理器转到光盘驱动器，并进入 I386 目录。然后，双击 Winnt.exe。
    注意：如果是在运行 Windows 3.x 或 MS-DOS 的计算机上运行安装程序，为了获得最高的效率，请使用磁盘高速缓存。否则安装过程（从 Winnt.exe 开始运行）将花费很长的时间。在运行 Windows 3.x 或 MS-DOS 的计算机上启用磁盘高速缓存的通常方式是使用 SMARTDrive。

2.从网络启动安装程序
    步骤1 在网络服务器上，既可通过插入光盘并共享该光盘驱动器来共享安装文件，也可通过将安装文件从光盘的 I386 文件夹复制到共享文件夹来共享安装文件。
    步骤2 在要安装 Windows 2000 的计算机上，连接共享的安装程序文件：
§　如果共享光盘驱动器，可连接共享驱动器并将转到 I386 文件夹。
§　如果要共享文件夹，连接该文件夹即可。
    步骤3 找到并运行位于光盘 I386 文件夹上的文件或共享文件夹的文件：
§　在运行 MS-DOS 或 Windows 3.x 的计算机上，运行 Winnt.exe。
§　在运行 Windows 95、Windows 98、Windows NT 3.51、Windows NT 4.0 或任何版本的 Windows 2000 计算机上，运行 Winnt32.exe。

3.在运行 MS-DOS 的计算机上为全新安装启动安装程序
    步骤1 将光盘插入驱动器。
    步骤2 在命令提示符下，键入
如 d:
其中 d 是光盘驱动器的驱动器号。
键入
cd i386
然后按回车键。
    步骤3 键入
winnt
然后按回车键。

4.通过从光盘启动计算机，为全新安装启动安装程序
    步骤1 确定要安装的计算机是否可从光盘驱动器启动，是否执行全新安装（不是升级）。只有满足以上两点才能继续。
    步骤2 关闭计算机，将光盘插入驱动器。
    步骤3 启动计算机，并等待安装程序显示对话框。
5．通过从软盘启动计算机，为全新安装启动安装程序
    步骤1 决定是执行全新安装还是升级。如果要执行全新安装，请继续。
    步骤2 找到 Windows 2000 安装软盘和 Windows 2000 光盘。
    步骤3 关闭计算机，将第一张安装磁盘插入计算机的 A 盘驱动器中。
    步骤4 打开计算机。
    在安装程序启动后，安装过程分为几个阶段，提示信息，复制文件和重新启动。根据启动安装程序的方式，可能需要重新启动两到三次计算机。出现配置服务器屏幕表明安装程序结束，可以使用此屏幕调整设置以便符合特定的需求。

安装及配置服务器
    下面通过从光盘或软盘启动计算机安装一个全新的 Windows 2000 Server ，如果用户需要升级现有的NT请参见附录一"将 Windows NT 4.0 迁移到 Windows 2000 Server"。
    启动安装程序后，就开始将必须得安装文件复制到磁盘中，然后显示出现一系列的对话框，用于设置系统相关的重要信息。
    步骤1 为 Windows 2000 Server 选择或创建一个分区
    在系统复制完安装文件并重新启动后，出现一个对话框要求创建或指定一个用于安装 Windows 2000 Server 的磁盘分区，用户可以在磁盘中未分区的可用空间上创建分区，也可以指定一个现有的分区，还可以删除一个或几个现有的分区然后创建一个新的分区。由于安装 Windows 2000 Server 的文件需要至少 1 GB 的可用磁盘空间，这在系统需求中已说明了，所以建议要创建或指定的分区大小应大于最小需求，分区的大小为 2-4 GB 就可以了。之后，选择文件系统。如果用户是升级，则可以使用当前的文件系统；然而，也可以更改为 NTFS，它是推荐的 Windows 2000 文件系统。
    步骤2 选择区域设置
    在"地区设置"对话框中，遵循指导来自定义语言、选择正确的时间区域和辅助功能设置。还可将 Windows 2000 设置为使用多种语言和地区选项。
    步骤3 设置个人化软件
    在"个人化软件"对话框，键入用户的姓名，还可键入单位（可选）。

步骤 4 选择许可协议方式
    在"授权模式"对话框，选择客户端的授权模式，可以是"每客户"或"每服务器"方式。对于新的安装，系统要求用户选择客户端的授权模式，如果是升级安装，客户许可协议方式将根据已有设置自动设定。如果用户无法确定授权方式，则选择"每服务器"方式，因为用户可以随时将"每服务器"方式转换为"每客户" 方式，但注意只能进行一次转换，且这种转换是不可逆的。
    步骤5 输入计算机名称
    对于大多数语言来说，建议不超过 15 个字符。对于需要更多存储空间的语言，例如中文、日文或韩文，建议不超过 7 个字符。
    建议在计算机名中只使用 Internet 标准的字符。这些标准字符包括数字 0 到 9、A 到 Z 的大写字母和小写字母以及连字符 (-)。如果网络上使用了 Microsoft DNS 服务，那么还可以使用范围更广的字符，包括 Unicode 字符和其他非标准字符，例如 & 符等。使用非标准字符可能会影响与网络上的非 Microsoft 软件的互操作性。
    计算机名的最大长度为 63 字节。如果名称超过 15 个字节（大多数语言是 15 个字符，有些语言是 7 个字符），安装 Windows 2000 以前的计算机只靠该名称的前 15 个字符来识别此计算机。此外，对于长于 15 个字节的名称，需要额外的配置步骤。
    如果此计算机是某个域的一部分，则选择的计算机名必须不同于域内的其他任何计算机。如果此计算机是某个域的一部分，且包含多个操作系统，那么每个操作系统使用的计算机名必须各不相同。

步骤6 设置管理员帐户密码
    在"管理员密码"对话框中，键入最多不超过 127 个英文字符的密码。为了具有最高的系统安全性，密码至少要 7 个字符（非强制性），并应采用大写字母、小写字母和数字以及其他字符（例如 *、? 或 $）的混合形式。 在"确认密码"对话框，再次键入密码。
    由于管理员帐户在 Windows 2000 中的特殊性，出于对系统安全性的考虑，用户要格外重视这个帐户。安装程序在计算机上创建了一个称作 Administrator 的用户帐户，它具有管理计算机全部配置的管理权限。管理这台计算机的人员一般使用此 Administrator 帐户。出于安全考虑，建议为 Administrator 帐户指定密码。将"管理员密码"设置为空，表明该帐户没有密码。在"确认密码"框内输入的密码必须与"管理员密码"中输入的密码完全一致。一定要谨记并保护好用户的密码。 在安装完成之后，为了获得最好的安全性，要更改 Administrator 帐户名（但不能删除它）并始终为该帐户设置一个安全性高的密码。
    步骤7 选择 Windows 2000 组件
    在"Windows 2000 组件"对话框，选择系统运行所需组件。对于 TCP/IP 网络用户通常需要的组件包括 DHCP、DNS 和 WINS。要选取这些组件，可在安装过程中，在"Windows 2000 组件"对话框内，选择"网络服务"，并单击"详细资料"，然后选择所需的一个或多个组件。
    如果在完成安装后，确定还需要其他组件，可以在以后添加这些必要的组件。要这样做，请在运行完安装程序之后，单击"开始"，指向"设置"，然后单击"控制面板"，在控制面板上，双击"添加/删除程序"。在添加/删除程序中，单击"添加/删除 Windows 组件"。

步骤8 设置日期和时间
    在"日期和时间设置"对话框中设置正确日期、时间和时区。如果想让系统自动调整夏时制，请选中"根据夏时制自动调整时钟"复选框。
    步骤9 设置网络选项
§　如果允许 Windows 2000 安装程序分配或获取 IP 地址，则在"网络设置"对话框中，单击"典型设置"。 Windows 2000 安装程序将检查域中是否有 DHCP 服务器。如果域内有 DHCP 服务器，则该服务器会提供 IP 地址。如果域内没有 DHCP 服务器，自动专用 IP 寻址 (APIPA) 功能会自动为这台计算机分配一个 IP 地址。
§　如果希望为计算机指定静态 IP 地址及 DNS 和 WINS 的设置则执行以下步骤
    1.在"网络设置"对话框，单击"自定义设置"。
    2.在"网络组件"对话框内，单击"Internet 协议 (TCP/IP)"。
    3.在"Internet 协议 (TCP/IP) 属性"对话框内，单击"使用下面的 IP 地址"。
    4.在"IP 地址"和"子网掩码"内，键入适当的数字（如果需要，还可指定"默认网关"）。
    5.在"使用下面的 DNS 服务器地址"下，键入首选的 DNS 服务器地址和备用的 DNS 服务器地址（可选）。如果本服务器是首选或备用 DNS 服务器，则要键入在上一步已分配好相同的 IP 地址。
    6.如果要使用 WINS 服务器，可单击"高级"，然后单击"高级 TCP/IP 设置"对话框的"WINS"选项卡，添加一个或多个 WINS 服务器的 IP 地址。如果本服务器是 WINS 服务器，则键入第 5 步为本机分配好的 IP 地址。

步骤10 指定工作组名或域名
    在此用户需要选择本机是属于工作组还是将本机加入到一个域中，并指定工作组名或域名。
    在安装向导完成 Windows 2000 Server 的安装后，计算机重新启动。至此用户已经完成了 Windows 2000 Server 的基本安装。下面进一步配置 Windows 2000 Server。
    系统重新启动后，以管理员身份登录，屏幕上将出现配置服务器程序，利用它用户可以轻松地进行进一步的服务器配置。用户也可以通过单击"开始"，指向"程序"，再指向"管理工具"，然后单击"配置服务器"，启动配置服务器程序。下面介绍以下"配置服务器"所提供的配置选项的详细信息。
    Active Directory
    设置用户帐户、组帐户及其策略、域、服务器角色、权限，还可以帮助维护系统的安全性、跟踪用户信息。
    文件系统
    设置和管理共享文件夹及其他共享网络资源。
    打印服务器
    设置和管理打印机、打印机队列以及其他与打印相关的元素

Web/Media 服务器
    创建管理 Internet 或企业内部网中的 Web 站点、多媒体站点、FTP 站点和其他功能。要使用这些服务，必须在 Windows 2000 Server 内安装相应的组件。
    网络
    选择、设置网络协议、远程访问和路由选择，包括DNS和DHCP服务
    应用程序服务器
    对消息队列、组件服务和跨网络的分布式应用程序的相关支持，也包括终端服务。
    高级
    Windows 2000 Resource Kit 支持工具和可选组件，例如远程安装、终端服务器、证书授权及在"基本安装"过程中未安装的组件。
    注意：如果用户不想在每次登陆时都启动 Windows 2000 配置服务器，则运行 Regedit.exe 将 HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Setup\Welcome\srvwiz 的值改为 0 即可。返回 页首>>>

6、Windows 2000 Server 安装的疑难排除
    在安装和启动 Windows 2000 Server 时，用户可能会遇到一些问题造成无法正常的安装或启动 Windows 2000 Server，产生问题的原因多种多样在此不可能一一列举，下面列出一些常用的办法，用于判断和解决问题。
安装时的疑难排除
    在安装过程中当遇到问题，无法继续安装时，用户可以通过以下方法加以判断和解决：
§　在安装过程中，用户是否需要关闭高速缓存？
    计算机的系统高速缓存可能妨碍安装程序的进行。在安装过程中关闭高速缓存，可能会解决问题。当安装过程完成后，使系统高速缓冲内存可用。如果在安装后还是有相同的症状，有可能是高速缓存已经损坏。
§　检查 RAM 问题
    1.确认所有 RAM 条速度和类型相同，并且由相同的制造商制造。
    2.检查物理交换内存槽中 RAM 条的顺序。计算机 BIOS 可能要求 RAM 条以一定的顺序插入内存槽，或特定大小的内存要求放在特定的槽里。
    3.用第三方软件诊断 RAM 条。

§　计算机是否感染了引导扇区病毒？
    1.使用 Windows 2000 的防病毒工具，具体步骤如下
    单击"开始"，然后单击"运行"。
    键入 e:\support\ca_antiv\makedisk.bat a:，这里 e 是 CD-ROM 驱动器字母，而 a 是包含一张空白软盘的驱动器字母，然后按 ENTER。
    这将创建一个 Windows 2000 病毒扫描盘。
    在磁盘驱动器里，用病毒扫描盘重新启动计算机。
    当出现菜单的时候，选择"扫描和清除"。
    2.使用第三方的防病毒程序
§　用户是否需要给 RAM 添加等待状态？
    给 RAM 添加等待状态可解决这个问题。要做这项工作，必须进入 CMOS 设置。请参考计算机文档或与计算机厂商联系获取专门的说明。

§　检查驱动器布置结构
    检查驱动器的物理跳线和 CMOS 设置。
    如果驱动器都在相同的通道上，并且在 CMOS 里启用了辅通道，把 CD-ROM 驱动器移动到辅通道并且把它配置为主控的。
§　标明硬件冲突
    检查所有硬件组件的设置。确认没有硬件冲突存在。
    检查 BIOS 中 IDE 控制器的设置。
§　降低数据传输率
    进入 CMOS。
    将 PIO 模式（正常是 3 或 4）改变成 2。
    用户也可能需要关闭任何 ULTRA DMA 的设置。
§　驱动器电缆接上并工作了吗
    检查硬盘驱动器和 CD-ROM 驱动器电缆并核实驱动器是否正确地连接。
    用确知能正常工作的电缆代替它们进行测试。并将有问题的电缆替换掉。返回 页首>>>

7、开机启动时的疑难排除
    在启动计算机时，我可能会收到错误消息，可以利用以下方法加以判断并排除故障：
§　NTLDR 文件是否损坏或丢失？
    启动 Windows 2000 时，如果收到"BOOT：无法找到 NTLDR"，则 NTLDR 文件可能已损坏或已被删除。要替换该文件或其他丢失或损坏的启动文件，请执行紧急修复。用户将需要 Windows 2000 安装盘，如果有 安装 Windows 2000 时创建的紧急修复盘，也应当常备。
§　是否感染 MBR 或引导区病毒？
    启动 Windows 2000 时，主引导记录 (MBR) 或引导区感染的病毒将导致问题。如果最近用感染病毒的软盘启动计算机，则计算机很可能已感染 MBR 或引导区病毒。
    清除计算机中的病毒：
    用已查过病毒的软盘启动计算机。
    备份所有数据。
    用病毒扫描程序扫描硬盘以及最近格式化或使用的软盘。
    清除程序找到的任何病毒。
§　计算机的 BIOS 是否正在查找启动盘？
    如果计算机无法定位某个硬盘用作启动盘，用户将收到以下错误信息：
    1.没有安装 SCSI BIOS
    2.C 驱动器已经安装
    3.正在搜索目标 0

解决这个问题：
    检查硬盘的 SCSI ID。某些 SCSI 控制器不支持从 SCSI ID 为0 或 1 的磁盘启动。
    如果主适配器不用来控制 SCSI 硬盘，并且以前与所连设备及其相应的驱动程序一起使用，请禁用主适配器上的 BIOS。
§　BIOS 是否在访问 SCSI 控制器之前访问 IDE 控制器？
如果在先前只有 SCSI 硬盘的系统上安装 IDE 硬盘，并且系统试图在访问 SCSI 控制器之前访问 IDE 控制器，此时将出现"没有找到启动设备"的错误信息。
    在最新的系统中 BIOS 可以将系统配置成先从 SCSI 设备启动。然而，许多现有的 Intel 系统，没用控制访问 IDE 或 SCSI 先后次序的选项。要将系统配置成与新的 IDE 硬盘一起工作，请创建 Windows 2000 启动盘，设置新的 IDE 硬盘，然后在硬盘上安装 Windows 2000 系统文件。
    1.创建 Windows 2000 启动盘
    2.设置新的 IDE 硬盘
    3.在新 IDE 硬盘上安装 Windows 2000 启动文件
§　系统 BIOS 是否无法定位系统 IDE 控制器上的启动设备？
    如果 BIOS 配置错误，则启动和运行 Windows 2000 会出现问题，并且会收到"hdd 控制器失败"的错误信息。
    如果在系统中使用 SCSI 硬盘，请检查系统 BIOS 设置确保所有磁盘都配置为"未安装"或"无"。

§　控制器是否使用不同的 SCSI 转换方案？
    尽管 SCSI 是一种工业标准，但硬盘的逻辑布局与物理布局之间的关系可以不同。每个厂商使用自己的转换方案。将硬盘连接到新 SCSI 主适配器后对其进行低级格式化。如果用户不知道如何操作，请将计算机送到维修中心。重新格式化硬盘后，请启动并运行 Windows 2000，然后关闭系统。
§　硬盘上是否有活动分区？
    损坏的驱动器分区表可能产生"操作系统丢失"的错误信息。
    若碰到这样的问题，则无法通过常规方法恢复数据，尽管数据恢复服务可以从磁盘恢复数据。
    如果用户决定不将硬盘送到数据恢复服务，则需要自己重新格式化并对硬盘重新分区。这将破坏磁盘所有分区的全部数据。 然后，用户必须重新安装操作系统并用备份恢复数据。
§　硬盘是否在等待启动单元命令？
    如果用户收到"驱动器没有准备好"的错误信息，则硬盘可能等待 SCSI 主适配器的启动单元命令。
    启动单元命令在多个 SCSI 硬盘的系统中最为有用，因为该命令允许错开启动磁盘以避免突发的电源消耗。
    执行任务
    1.将 SCSI 主适配器配置为"发送启动单元命令"。
    2.如何配置 SCSI 主适配器和硬盘，请参考 SCSI 主适配器和硬盘文档，或与硬件供应商联系以获得技术支持和进一步信息。
    3.如果更改 SCSI 主适配器或硬盘配置，请试着启动并运行 Windows 2000，然后关闭系统。

1.7 其他设置
    通过以下的一些设置，用户可以更容易的使用和管理 Windows 2000 Server。
自定义启动信息
    步骤1 运行 Regedit.exe
    步骤2 在 HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Current\Explorer\Tips 可以添加及修改启动提示信息更改显示顺序，计数值保存在 HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Tips\Next 中，如果需要可以修改。控制是否显示提示，设置 HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Tips\Show 的值，当设置为 01000000 则显示提示，设置为 00000000 则不显示。
自动登录
    步骤1 运行 Regedit.exe
    步骤2 HKEY_LOCAL_MACHINE\Software\Microsoft\WindowNT \CurrentVersion\Winlogon
    步骤3 建立字符串值 DefaultDomainName，输入要登录的域名
    步骤4 建立字符串值 DefaultUserName ，输入要登录的用户名
    步骤5 建立字符串值 AutoAdminLogon ，设置值为1

步骤6 建立字符串值 DefaultPassWord,输入登录密码
    步骤7 退出注册表编辑器
更改登录时的背景图案
    改变登录前得背景图案
    步骤1 运行Regedit.exe
    步骤2 HKEY_USER\DEFAULT\ControlPanel\Desktop
    步骤3 双击Wallpaper Key,输入背景图案的路径（如：c:\winnt\background\1.bmp）
    步骤4 如果要修改背景颜色，则在HKEY_USER\DEFAULT\ControlPanel\Colors，然后双击Background,输入所需颜色的键值（如000为黑色）
    步骤5 退出注册表编辑器
不显示前一个登录者的名称
    步骤1 运行Regedit.exe
    步骤2 HKEY_LOCAL_MACHINE\Software\Microsoft\WindowNT \CurrentVersion\Winlogon
    步骤3 建立字符串值 DontDisplayLastUserName,将其值设置为1
    步骤4 退出注册表编辑器

如何激活或取消按 Ctrl+Alt+Del 键后输入登录信息
    步骤1 运行 Regedit.exe
    步骤2 HKEY_LOCAL_MACHINE\Software\Microsoft\WindowNT \CurrentVersion\Winlogon
    步骤3 双击 Disablecad ,如无需按 Ctrl+Alt+Del 键将其值设置为 1，否则将其值设置为 0
    步骤4 退出注册表编辑器
用户n分钟无操作，如何使其自动注销
    步骤1 运行 Regedit.exe
    步骤2 HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Lanman Server\Parameters
    步骤3 建立 DWORD 键值 Disc ,将其值设置为无操作的分钟数
    步骤4 退出注册表编辑器

如何远程引导NT
    利用 NT Resource Kit 中提供的 SHUTDOWN.EXE 远程引导另一台计算机，具体命令如下
SHUTDOWN \\ <machine name> /l /r /y /c
返回 页首>>>

相关内容：（本教程出自：www.365edu.com）
第一章、windows2000Server新功能及安装
第二章、windows2000网络客户端的安装和配置
第三章、配置远程安装服务和设置用户配置文件
第四章、windows2000的基本管理
第五章、DNS服务器的配置与管理
第六章、活动目录服务的基本安装和配置
第七章、管理计算机和用户帐号
第八章、文件和打印系统的配置与管理
第九章、数据存储
第十章、安全管理
第十一章、DHCP服务器的安装和配置
第十二章、WINS服务器的安装与配置
第十三章、高级管理
第十四章、管理Internet信息服务器
第十五章、系统的诊断与修复
第十六章、将WinNT4.0升级为windows2000


第二章 Windows 2000 网络客户端的安装和配置

本章主要内容：
1、Windows 9x 与 Windows 2000 网络的互连
2、Windows NT Workstation 与 Windows 2000 网络的互连
3、Windows 2000Professional 与 Windows 2000 网络的互连

    1、 Windows 9x 与 Windows 2000 网络的互连
    步骤1 如果在 Windows 2000 Server 中已经配置了 DHCP 服务，并且由DHCP服务器指定其它网络相关设置（如： DNS 、 WINS ），则在 Windows 9X 中安装或设置 TCP/IP 时，单击控制面板双击"网络"选择"TCP/IP"单击"属性" ，选择"IP 地址"选项卡然后选择"自动获取 IP 地址"如图 2.1

步骤2 如果未在DHCP服务器中未指定其它网络相关设置，则按以下方法指定 DNS、WINS 服务器：
    1. 进入 TCP/IP 高级属性
    2. 选择"DNS 配置" 标签，选择"启用 DNS"选项如图 2.2

3.　输入主机名称、域名称，添加DNS服务器 IP 地址
4.　选择 " WINS 配置"选项卡中单击"启动 WINS 解析"，然后添加服务器的 IP 地址单击"确定"如图2.3
5.　如果使用 DHCP 服务进行自动设置则选择"使用DHCP 进行 WINS 解析"
    步骤3 设置登陆域，在"Microsoft 网络客户" 图 2.2 TCP/IP属性对话框
的属性对话框中选择"登陆到
Windows NT 域"在下方填
写域的名称，然后单击确定。

图 2.3 TCP/IP属性对话框

返回页首>>>

2、 Windows NT Workstation 与 Windows 2000 网络 [image] 的互连 步骤1 以 WindowsNT4.0 Server 为例加以说明，同样适用于 Workstation。打开"控制面板" 选择"网络"选择"协议"选项卡单击 "TCP/IP 通信协议"，然后单击"属性"选择"从 DHCP 服务器中获得 IP 地址"，如图 2.4 所示。 |
图 2.4 IP 属性 | 图 2.5 NT 的 DNS 属性
 | 步骤2如果未在 DHCP 服务器中未指定其它网络相关设置，则按以下方法指定 DNS、WINS 服务器： 在 WindowsNT4.0 server/workstation 中， TCP/IP 通信协议单击"属性" 选择"DNS"，在 DNS 标签中如图 2.5 中输入以下各项： 主机名：输入计算机的主机名称 域：主机所隶属的域名称 DNS 服务器搜索顺序：添加 DNS 服务器的地址 域后缀搜索顺序：添加主机名称的后缀 选择 "WINS 地址"，然后输入主 WINS 服务器及二级 WINS 服务器的 IP 地址，单击"确定"完成，如图 2.6 。
图 2.6 NT 的 WINS 选项卡 |

返回页首>>>

3、 Windows 2000 Professional 与 Windows 2000 网络的互连 步骤1 如果用户的计算机在安装 Windows 2000 时连接在网络中， Windows 2000 自动检测网卡并安装相应的客户端软件及协议，默认协议为 TCP/IP 协议。 步骤2 在安装后设置网络，以管理员身份登录到计算机上右键单击"本地连接"选择属性；然后单击"配置"查看网卡工作是否正常工作 步骤3 查看并添加客户软件，服务，协议（Microsoft Network 客户端、Microsoft Network 的文件和打印服务、TCP/IP 协议、NetBUIE 协议） 步骤4 第三设置IP地址、DHCP、WINS、DNS 如服务器使用 DHCP 分配 IP 地址并在DHCP中添加了 WINS、DNS、ROUTER 的环境设置 以管理员身份登录到计算机上右键单击"本地连接"选择属性，然后点选" Internet 协议（TCP/IP）"单击"属性"选择"自动获得 IP 地址"和"自动获得 DNS 服务器地址"如图 2.7 。 |
 | 图 2.7 "常规"选项卡
单击 "Internet 协议（TCP/IP）"单击"属性"，在"高级"选项卡中选择 "WINS" ,然后添加WINS地址并选择"启用 TCP/IP 上的 NetBIOS" ，单击"确定"如果利用 DHCP 服务进行自动设置则选"使用来自 DHCP 服务器的 NetBIOS 设置，如图 2.8 。 |
 | 图 2.8 WINS 选项卡
如果需要进一步设置客户机的 DNS 属性，则单击"高级"按钮选择 DNS 标签如图 2.9 如果选择"搜索主 DNS 和每一个连接的 DNS 域"表示在搜索一个不标准的域名称时只能在父域中搜索，如果父域中搜索不到该域名则将此结果返回；如果选择"搜索这些 DNS 域"选项则在搜索域名称时首选在列表中的服务器上搜索，如果搜索不到结果则在其它域中进行搜索。 "在 DNS 注册此连接的地址、在 DNS 中注册此连接的域名"这两个选项用于在 Win2000 环境中在登录时将客户机的 IP 地址及域名注册到 DNS 服务器中。 在 DNS 服务器和客户机的设置完成后用户可以利用 IPCONFIG、PING、NSLOOKUP 三个命令测试 DNS 服务器的设置是否正确。 步骤5 用户可以在安装的时候指定计算机所属的域，也可以在安装后指定计算机的域。 以管理员身份登录到计算机上，右击"我的电脑"单击"属性"选择"网 |
络标识标签"然后选择"高级"；选择"域"并填写域名，在接着出现的对话框中填写 | 图 2.9 DNS属性

域用户名和密码然后单击"确定"如图 2.10。
    注意：如计算机帐户和用户帐户分属不同的域则在填写用户名时用以下格式：域名\用户名

图 2.10 "网络标识"对话框
返回页首>>>

相关内容：（本教程出自：www.365edu.com）
第一章、windows2000Server新功能及安装
第二章、windows2000网络客户端的安装和配置
第三章、配置远程安装服务和设置用户配置文件
第四章、windows2000的基本管理
第五章、DNS服务器的配置与管理
第六章、活动目录服务的基本安装和配置
第七章、管理计算机和用户帐号
第八章、文件和打印系统的配置与管理
第九章、数据存储
第十章、安全管理
第十一章、DHCP服务器的安装和配置


第三章 配置远程安装服务和设置用户配置文件

本章主要内容：
1、远程安装服务的基本概念
2、远程安装服务的规划
3、远程安装服务的安装
4、远程安装服务的设置
5、客户机的安装配置
6、用户配置文件的类型
7、创建及管理配置文件

    1、 远程安装服务的基本概念
Windows 2000 远程安装服务大大的简化了在客户机上安装操作系统的过程，在 Windows 2000 中提供了一种客户机在初始化阶段与服务器连接的特殊机制，允许服务器控制客户机上 Windows 2000 Professional 的本地安装。这项服务即可以用于在客户机上安装和配置新的操作系统，也可以用于恢复崩溃的客户机的操作系统。远程安装服务和 IntelliMirror 是 Windows 2000 服务器中新变化和配置管理功能。通过远程安装服务与其他 IntelliMirror 功能（如用户文档和设置、软件安装及组策略）的结合，每个单位都会从改进的灾难性恢复、更简便的操作系统和应用程序管理中受益，其结果直接导致所需的技术支持服务减少。

可以使用远程安装服务，对新客户机进行远程设置， 现在用户可以利用客户机登录到网络中或使用合法帐户登录等方法激活远程安装服务，在客户机上安装操作系统。
    在使用远程安装服务时需要三个 Windows 2000 Server 的组件的支持。它们可以单独安装在不同的服务器上，也可以安装在同一台服务器上。它们是：
§　域名服务器（DNS Server）
§　动态主机配置协议服务器（DHCP Server）
§　活动目录服务（ADS）
    客户机登录到网络与运行远程安装服务的服务器建立连接，服务器通过由计算机生产商提供的唯一的机器 ID （GUID、UUID）设备相应的客户机。在远程安装服务检测到客户机的请求后，根据设置的不同它可以利用两种方式响应客户机的请求：通过客户机的机器 ID 识别客户机实现不同的远程安装；对所有的客户机的请求进行响应。
    远程安装服务使用了 Windows 2000 中新的"启动预执行环境（PXE）"中的"动态主机配置协议（DHCP）"中的远程启动服务，在客户机的本地硬盘上安装保存在远程资源中的预配制的操作系统，它与从本地 CD-ROM 中安装 Windows 2000 Professional 具有相同的效果，不同点在于安装程序保存在 RIS 服务器上。

远程是指配置了远程安装服务的服务器，服务器上保存着要安装的操作系统的映象文件，映象文件分为两种：一种是光盘格式，与在本地利用 Windows 2000 Professional 安装光盘安装一样，只不过是将光盘文件存放在网络上一样；另一种是远程安装预备向导格式，通过客户机的 BIOS 中的网络启动服务，或制作的远程启动盘启动客户机，在网络服务请求启动时，客户机将收到一个由 DHCP 服务器提供的 IP 地址，然后远程安装服务响应客户机的请求，并下载安装向导到客户机，在提示用户以合法身份登录后，显示可能的安装选项菜单，这些安装选项是由组策略为用户确定的。
    远程安装服务服务器包含下列组件：
§　客户机安装向导：提供用户按步骤完成客户机安装所需的配置选项
§　远程安装预备向导：用于准备一个已有的 Windows 2000 Professional 的安装，包括本地安装和配置，及在网络上将该安装映象文件复制到其它的远程安装服务服务器上。
§　远程启动盘：当客户机的网卡不支持远程启动时，可以利用远程启动盘提供客户机箱服务器请求网络服务的操作
    在远程服务配置完成后，它自动提供以下服务：
    启动信息协商层（BINL）：负责监听客户机的远程安装请求，并提供对远程安装服务的管理， BINL 保证传递给客户机的安装文件的准确性，在预处理客户机时，确保是由正确的远程安装服务器提供的服务。
    小文件传输协议后台程序（TFTPD）：远程安装服务器利用 TFTPD 下载安装过程所需的初始化文件，从客户机下载的最常见的文件是 startrom.com 文件，它负责启动安装 Windows 2000 Professional 到客户机，如果是新的客户机，将下载 OSChooser 向导程序，并启动安装程序。

单个实例存储（SIS）：用于降低服务器上远程安装服务对服务器磁盘容量的要求。SIS 利用一个程序扫描上是否有重复文件，如果有重复文件它将源文件复制到 SIS 存储区中，并在文件原有的位置上创建一个链接文件。返回页首>>>

    2、 远程安装服务的规划
    "远程安装服务"环境依赖于设计和规划良好的 Active Directory 体系结构。一般来说，确定服务器的物理位置可能是一件比较麻烦的事，尤其是在不同的办公室、楼层或建筑中配置几台服务器时。在给定的域中，Active Directory 提供了组织单位或容器，用户可以使用它将用户和资源组织到逻辑管理组中。
    如果此服务器是域控制器，则"远程安装服务"服务器计算机的对象位于域控制器文件夹中。管理员可以在一个地方管理涉及客户机服务、服务器验证、定位客户机以及确定操作系统安装选项的独立远程安装服务器。返回页首>>>

3 、远程安装服务的安装
    步骤1 在"控制面板"中双击"添加、删除程序"→选择 Widows 组件→选择"远程安装服务"→启动安装向导

    如图3.1

步骤2 输入远程安装文件夹的位置，注意如果在主域控制器上安装此文件夹则此文件夹不能设置在系统盘上

    如图3.2

步骤3 如果希望在安装后服务器立即开始工作，则在初始设置中选择"响应客户计算机请求服务"

    如图3.3

步骤4 输入安装源文件位置，即 Windows 2000 Professional 安装盘的位置

    如图3.4

步骤5 如果远程安装的 Windows 2000 Professional 操作系统为英文版，则需要添加一个语言选择屏幕，以便用户服务新映射。

    如图3.5

步骤6 输入安装映象文件夹名称

    如图3.6

    步骤7 为安装映象提供相应的描述和帮助说明
    步骤8 在复查设置对话框中单击完成，开始安装复制Windows 2000 Professional到相应文件夹中，在系统重新启动后远程安装服务开始使用。

    如图3.7
返回页首>>>

4、 远程安装服务的设置
    远程安装服务提供了一些配置选项，这些安装配置选项规定了如何安装和配置客户机。用户利用微软管理控制台中的 Microsoft Directory Services Manager 管理单元对其进行管理，下列是常用的配置选项。
    在活动目录的用户和计算机管理控制台中，右击已安装远程安装服务的服务器，选择属性，在远程安装标签中如图 3.8，如选定"响应客户计算机的服务请求"，可以为客户机提供远程安装服务；如选定"不响应未知客户计算机"则没有在活动目录中定义的计算机，无法获得远程安装服务；如果在安装时出现问题，则单击"验证服务器"检查服务器的配置是否正常。

    如图3.8

在"高级设置"中用户可以实现一些远程安装的高级设置。
    新客户设置：在"客户计算机命名格式"列表框中选择自动的客户机命名格式，它决定了客户机的名称是基于用户名产生（姓在前，名在后），还是由企业特定的客户命名格式传输客户机名称。
    在"客户帐户位置"列表框中列出为所有客户机帐户定义的默认 Active Directory 位置，管理员如选择了默认得 Active Directory 位置，则在安装操作系统的过程中所有的远程安装计算机均在此位置创建。

    如图3.9

映象配置：管理员利用添加映象的方法将不同的无人参与的安装模板与现有的操作系统映象连接在一起供不同需求的客户机安装。

    如图3.10。

工具：为管理员和用户提供第三方供应商提供的维护和诊断工具，这些工具在加载和安装操作系统之前对客户机诊断和维护。
相关工具：
    RBFG.EXE：（位于\\servername\remoteinstall\admin\i386\RBFG.EXE）用于创建远程启动盘
    RIPREP.EXE：（位于\\servername\remoteinstall\admin\i386\ RIPREP.EXE）在客户机上运行该程序，建立远程安装的预处理映象。

返回页首>>>

如图3.11

5 、客户机的安装配置
    在进行客户机远程安装服务前，在Active Directory 用户和计算机控制台中可预处理客户机帐户（包括：创建客户机名称、选择默认的Active Directory位置、指定客户机进行远程安装的服务器），以便服务器只在授权的服务器上进行远程安装。
    客户机是由全局唯一标识（GUID）加以区分的，GUID位于计算机的硬件中。
    在客户机与远程安装服务器建立连接后，安装向导在客户机上列出一个可用的安装选项菜单，远程安装服务根据组策略中为用户制定的选项，决定那些安装选项对相应的客户起作用，管理员可以灵活的分配给不同级别用户以不同的选项，并使得相应的安装自动完成不需要用户提示信息。具体选项如下：
§　自动安装：为安装操作系统提供了最便捷的方法，用户选择所要安装的操作系统自动开始安装
§　自定义安装：允许管理员取消自动安装程序，采用常规的安装方式
§　重新开始以前的安装：如果以前的安装失败，采用此选项自动重新开始安装操作系统
§　维护和疑难解答：利用服务商提供的工具在安装操作系统之前对客户机进行诊断和更新等操作。
返回页首>>>

     设置用户配置文件
    在运行 Windows 2000 的计算机上，用户配置文件将自动创建和维护本地计算机上的每个用户工作环境的桌面设置。当用户第一次登录到计算机的时候，系统为每个用户创建一个用户配置文件。
    用户配置文件为用户提供了多种便利：
§　多个用户可以使用同一台计算机，并且每个用户在登录时都会收到自己的桌面设置。
§　当用户登录到工作站时，将收到上次注销时的桌面设置。
§　一个用户对桌面环境的自定义设置不会影响其他用户的设置。
§　用户配置文件可以存储在服务器上，以便它们可以跟随用户到网络上任意一台运行 Windows NT 4.0 或者 Windows 2000 的计算机上。这称为"漫游用户配置文件"。
    用户配置文件为系统管理提供了以下选项：
§　可以创建适合用户任务的默认用户配置文件。
§　可以建立不保存用户对桌面设置所做更改的强制用户配置文件。用户可以在登录之后修改计算机的桌面设置，但是当用户注销的时候不保存任何更改。用户每次登录时，强制用户配置文件设置都会下载到本地计算机。
§　可以指定要添加到所有的个人用户配置文件中的默认用户设置。
    每个用户配置文件都是以"默认用户"的副本开始，"默认用户"是保存在每台运行 Windows 2000 的计算机上的默认用户配置文件。"默认用户"里的 Ntuser.dat 文件显示了 Windows 2000 注册表中的配置设置。每个用户配置文件还使用包含在"所有用户"文件夹中的常用程序组。虽然"所有用户"文件夹中的设置不复制到用户配置文件夹，但可以用来创建个人用户配置文件。Windows 2000 支持两种程序组类型：第一种公用程序组在计算机上总是可以，不管谁登录。第二种个人程序组供创建这些组的用户专用。返回页首>>>

6、 用户配置文件的类型
    用户配置文件定义了自定义的桌面环境，包括个人显示设置、网络和打印机连接，以及其他指定的设置。用户或者用户的系统管理员可以定义桌面环境。用户配置文件类型包括：
§　本地用户配置文件。第一次登录到计算机时，将创建本地用户配置文件，并保存在计算机的本地硬盘上。对本地用户配置文件所做的任何更改都只是针对用户所在的计算机。
§　漫游用户配置文件。漫游用户配置文件由系统管理员创建，并保存在服务器上。每次登录到网络上的任何一台计算机时，都可以使用该配置文件。对漫游用户配置文件所做的更改将在服务器上更新。
§　强制用户配置文件强制用户配置文件也是漫游配置文件。用来为个人或整个用户组指定特殊的设置。只有系统管理员才能更改强制用户配置文件。

返回页首>>>

7、 创建及管理配置文件
    创建本地用户配置文件
对于 Windows 2000 Server 的全新安装的用户，本地用户配置文件将保存在 系统所在磁盘的 Documents and Settings 文件夹中的用户名下面。对于 Windows 2000 Server 的升级安装的用户，本地用户配置文件将保存在 WINNT\profiles 文件夹中的用户名下面。如果在服务器上用户没有预先配置的漫游用户配置文件，则该用户第一次登录到计算机时，系统会在该用户名称下创建一个用户配置文件夹。然后默认用户中的内容将复制到新用户配置文件夹中。用户配置文件，与"所有用户"文件夹中的公用程序组设置一起创建用户的桌面。当用户注销时，在会话期间对默认设置做的所有更改都会保存到新用户配置文件夹中。"默认用户"中的用户配置文件保持不变。
    注意：如果用户除了有一个域用户帐户外还有本地计算机上的用户帐户，或者有多个域用户帐户，那么每个帐户的本地用户配置文件将不同，因为不同的用户配置文件是为每个登录的用户生成的。当用户注销时，更改的设置只保存到其中的一个用户配置文件中，这取决于用户登录的帐户。

创建漫游或强制配置文件
    从 Active Directory 中，可以为用户配置文件指派服务器位置。如果在用户的域帐户中输入了用户配置文件的路径，那么当用户注销时，该用户本地用户配置文件的复本将保存到本地和用户配置文件路径位置。用户下次登录时，用户配置文件路径位置中的用户配置文件，将与本地用户配置文件夹中的副本进行比较，然后打开最新的用户配置文件副本。如果服务器不能使用，就使用本地缓存的漫游用户配置文件的复本。不论用户在什么地方登录，都可以使用他的用户设置和文档。
    注意：
    如果服务器不能使用，就使用本地缓存的漫游用户配置文件的复本。
    如果用户以前没有登录到计算机，则会创建新的本地用户配置文件。
    不论哪一种情况，如果登录时在中央保存的用户配置文件不能使用，那么当用户注销时该文件不会更新。
    如果用户配置文件由于服务器问题而没有下载，那么当用户注销时也不会加载该文件。
    下面用户将 Administrator 用户的配置文件配置成漫游或强制配置文件
    步骤1 使用户配置文件成为漫游或强制配置文件，在"计算机管理"中用"共享文件夹"在适当的服务器上创建共享 profiles，并授予 Everyone 组完全控制权限。
    步骤2 在控制台树的"本地用户和组"中，单击"用户"。
    步骤3 单击所需的用户帐户 Administrator。
    步骤4 单击"操作"，然后单击"属性"。

步骤5
在"配置文件"选项卡中，在"配置文件路径"中键入完整的路径，例如： \\N2k_server\profiles\Administrator 或\\N2k_server\profiles\Administrator .man（强制配置文件）如图3.12
    注意:
    要打开"计算机管理"，请单击"开始"，指向"设置"，单击"控制面板"，双击"管理工具"，然后双击"计算机管理"。

如果用户要登录运行 Windows NT 4.0 或 Windows 2000 的计算机，但不登录运行 Windows NT 3.x 的计算机，则用户配置文件路径不需要文件名。如果在用户配置文件路径中指定的文件夹不存在，则用户第一次登录时会自动创建此文件夹。
    如果用户要登录运行 Windows NT 3.x 的计算机，也要登录运行 Windows NT 4.0 或 Windows 2000 的计算机，则用户配置文件路径必须包含文件名。这个文件名可以是漫游用户配置文件 (.usr) 或强制用户配置文件 (.man)，例如：\\N2k_server\profiles\Administrator .man
    用户可以通过使用 Windows 资源管理器，将 ntuser.dat 文件重命名为 ntuser.man，来创建强制用户配置文件。强制用户配置文件是一个预先配置的用户配置文件。用户仍然可以改变桌面，但是当用户注销时，改变不会保存。下一次用户登录时，强制用户配置文件将重新下载。当用户将服务器上的 NTuser.dat 文件重命名为 NTuser.man时，用户配置文件就变成了强制用户配置文件。.man 扩展名使得用户配置文件只能读取。

将用户配置文件复制到服务器中
    步骤1 打开 "系统属性"对话框，然后单击"用户配置文件"选项卡。
    步骤2 在"用户配置文件"对话框中，单击要复制的用户配置文件。
    步骤3 单击"复制到"，然后键入目标文件夹的名称，或浏览网络查找目标文件。
    注意：
    这个位置必须与 Active Directory 中用户帐户的"用户配置文件路径"项相匹配。

    不能使用 Windows 资源管理器或任何其他文件管理工具，来复制用户配置文件。
    使用该步骤给指定用户发行配置文件，或为域中所有新用户准备默认的网络用户配置文件。

创建预先配置的漫游用户配置文件
    虽然可以使用任意帐户创建预配置的用户配置文件，但使用参照计算机会更加方便和有效。首先为需要创建预先配置漫游用户配置文件的用户或用户组创建一个配置文件模板，即利用以上所介绍的方法创建一个本地配置文件，并将其复制到指定的服务器上，前三步与"将用户配置文件复制到服务器中"相同
    步骤4 要改变允许使用用户配置文件的用户或组，请单击"更改"，选择需要使用这一配置文件的用户或组。
    如图3.14

注意：
    要复制用户配置文件，用户必须以管理员的身份登录到 Windows 2000 中。
    不要使用此步骤来创建指向"文档和设置"文件夹的本地用户配置文件。
    用户第一次登录时，从服务器得到的是预先配置的用户配置文件的副本，而不是默认配置文件的副本。因此，用户配置文件的功能与标准漫游用户配置文件相同。每次用户注销时，用户配置文件将在本地保存，同时也复制到服务器。
    Windows 2000 不支持将加密文件与漫游用户配置文件一起使用。
    直到交互式用户注销，并且交互式会话关闭时，终端服务客户使用的漫游用户配置文件才能复制到服务器中
    将宿主目录添加到配置文件中
    在 "Active Directory 用户和计算机"或"本地用户和组"中指定的主目录使用户可以访问的并包含该用户的文件和程序的文件夹。一般此文件夹用于在网络上存储用户的文件和程序，从私密和安全角度考虑，管理员也无权察看其中内容。
    步骤1 打开 Active Directory 用户和计算机。

步骤2 在控制台树的用户详细信息窗口中，右键单击可用的用户帐户。
    步骤3 单击"属性"。
    步骤4 在"属性"对话框中，单击"配置文件"选项卡。
    步骤5 在"主文件夹"中，键入目录信息。 如图3.13
注意：
    Windows 2000 包含一个称为我的文档的桌面文件夹，它可以用来存储要保存在宿主目录中的文件，但是不能代替宿主目录。所有用户在他们的用户配置文件中都有 "My Documents" 文件夹。
    用户可以改变自己的"我的文档"文件夹的目标文件夹位置，方法是右键单击该桌面图标，单击"属性"，然后在"目标"选项卡上指定新的位置。
    如果此处没有指派宿主目录，系统会将默认的本地宿主目录指派给用户帐户，默认宿主目录为用户升级安装 Windows 2000 的本地驱动器上的 \Users\Default ，或初始安装 Windows 2000 的根目录。宿主目录可以使用与"我的文档"文件夹相同的位置。
    当使用 "Windows 2000 终端服务时，用户配置文件是默认的宿主目录。返回页首>>>

相关内容：（本教程出自：www.365edu.com）
第一章、windows2000Server新功能及安装
第二章、windows2000网络客户端的安装和配置
第三章、配置远程安装服务和设置用户配置文件
第四章、windows2000的基本管理
第五章、DNS服务器的配置与管理
第六章、活动目录服务的基本安装和配置
第七章、管理计算机和用户帐号
第八章、文件和打印系统的配置与管理
第九章、数据存储
第十章、安全管理


第四章 Windows 2000 的基本管理

    不要以管理权限登录，以普通用户登录，并在执行管理任务时使用 Runas 命令，特别是当服务器与因特网连接的时候，因为以管理员身份运行 Windows 2000 使系统易受特洛伊木马和其他安全性威胁的侵害。访问 Internet 站点的简单操作也可能对系统产生非常大的破坏。
本章主要介绍基本管理功能：
1、系统管理工具
2、微软管理控制台
3、远程管理服务器

    4.1 管理工具
    在Windows 2000 Server 中主要利用控制面板、管理控制台、系统工具、Resouce Kit 及其它支持工具实现管理操作。

4.1.1 控制面板
    控制面板（如图4.1）提供了对计算机系统的普通设置方法。

§　辅助功能
    Windows 2000 包含的辅助功能工具是为有特殊需要的用户提供最低级功能而设计的。大多数残疾人士在日常使用中都需要功能更好的实用程序。

§　添加/删除硬件
    每个设备都有自己唯一的设备驱动程序，它一般由设备制造商提供。但是，某些驱动程序是 Windows 2000 提供的。用户可以通过控制面板中的"添加/删除硬件"向导或设备管理器来配置设备。但需要注意的是用户必须以管理员或管理员组成员的身份登录，才能使用"控制面板"或"设备管理器"中的"添加/删除硬件"向导配置设备。如果用户的计算机连接到网络上，那么网络策略设置可能也会阻止用户安装硬件。另外用户如果要同时更新所有驱动程序，请使用"Windows Update"。
    在 Windows 2000 下安装即插即用设备非常容易。只需将该硬件接入然后让 Windows 2000 去完成其余的工作，包括安装必要的驱动程序、更新系统并分配资源。通过即插即用，用户大可放心，任何新设备都将正常协同工作，而且在安装或拆除硬件后用户的计算机可正确重新启动。即插即用还能在计算机启动时识别出任何新硬件并加载硬件设备所需的任何驱动程序。安装或拆除硬件设备时，即插即用与 Windows 2000 的电源选项一同使用，以管理硬件和外围设备的电源需求，并在不使用时关闭电源或进入节能模式。而且，如果在安装或拆除设备时用户正在其他程序中工作，即插即用功能将通知用户计算机配置将要更改并提醒用户保存所做的工作。为充分使用即插即用功能，必须使用高级配置和电源接口 (ACPI) 计算机，运行在 ACPI 模式，而且硬件设备必须支持即插即用。在 ACPI 计算机中，由操作系统而不是硬件配置和监视该计算机。由于"即插即用"的功能使用，使用户能够更为轻松的安装和删除硬件设备。

高级配置和电源接口 (ACPI) 是一个开放的工业规范，它为系统插件板定义了灵活的、可扩展的硬件接口。软件设计人员使用该规范来集成整个计算机系统（包括硬件、操作系统和应用程序软件）的电源管理功能。此集成允许 Windows 2000 决定哪些应用程序是活动的并处理计算机子系统和外围设备的所有电源管理资源。ACPI的作用在于：
  §　ACPI 能够使操作系统在便携机、台式机、服务器和外围设备等很宽的范围上进行电源管理。
  §　ACPI 是 OnNow 产业主导性的基础，它允许系统生产商交付的计算机只需在键盘上按一个键就可启动。
  §　ACPI 设计对于充分体现 Windows 2000 中的电源管理和即插即用的优势是必要的。如果用户不能确定用户的计算机是否兼容 ACPI，请检查制造商的文档。更改利用 ACPI 的电源设置，请使用"控制面板"中的"电源选项"。

§　添加/删除程序
    "添加/删除程序"可以帮助用户管理计算机上的程序。它提示用户通过必要的步骤添加新程序或更改、删除已有的程序。用户可以使用"添加/删除程序"，来添加选中的不包括在初始安装中的 Windows 2000 组件及 Internet 上的 Windows 更新和新特性。
§　日期/时间
    用于更改计算机的日期、时间及相应的时区，并且如果希望夏时制时间更改时自动调整计算机时钟，请选择"根据夏时制自动调节时间"复选框。

§　显示
    使用"控制面板"中的"显示"可自定义桌面和显示设置。这些设置控制了桌面的外观和监视器显示信息的方式。用户可以自定义屏幕上 Windows 中使用的颜色和字体。用户还可以将图片、图案或 HTML 文档设置为墙纸，或者设置带密码的屏幕保护程序来保护用户的工作。可以采用视觉效果平滑字体或者增强打开和关闭菜单和文件命令时的其外观显示。用户还可以更改计算机的显示设置。用户可以指定监视器的颜色设置、更改屏幕分辨率以及设置刷新频率。如果用户正使用多个监视器，则可以为每个显示指定单独的设置。
    在自定义桌面的过程中，用户可以使用 Windows 2000 中新的效果方式，包括"动画显示菜单和工具提示"启用动画，例如 "使用大图标"增大代表文件、文件夹和快捷方式的图标的大小等。
    Windows 2000 具有新的多监视器功能，可以通过扩展桌面的大小来提高工作效率。最多可连接十个监视器，用户可以创建一个足以容纳许多程序或窗口的大桌面。 通过将一个项目在监视器间移动或将它们拉伸到多个监视器中，用户可以从容地同时在多个任务中工作。用户可以在查看一个监视器中的 Web 活动的同时，编辑其他监视器中的图像或文本。或者，用户可以打开一个长文档中的多页，将其跨监视器拖动以便于查看文本或图形的布局。用户还可以将 Microsoft Excel 电子表格拉伸到两个监视器，以便于查看多个列而无需滚动。启动计算机时，有一个监视器作为主显示器并显示登录对话框。另外，大多数程序窗口在最初打开程序时都将显示在主监视器上。可为每个监视器设置不同的分辨率和颜色数。多个监视器可被连接到各自的图形适配器，或者支持多个输出的单个适配器。

请注意：要使用多监视器支持特性，每个监视器都需要一块 PCI 或 AGP 视频适配卡。如果用户的计算机主板自带视频适配器（集成在主板上，而不是扩展槽上的插卡），而用户又想使用多监视器配置，则必须将其设置为 VGA 模式。
    下面安装和使用多监视器的一些常用操作：
    安装附加的监视器
步骤1 关闭计算机。
步骤2 将其他的 PCI（外围元件互连接口）或 AGP（加速图形端口）视频适配器插入到可用的插槽中。
步骤3 将附加的监视器信号线插入视频卡接口。
步骤4 打开计算机。Windows 2000 将检测新的视频适配器并安装适当的驱动程序。
步骤5 在"控制面板"中打开"显示"。
步骤6 在"设置"选项卡上，单击代表除主监视器之外还需要使用的监视器图标。
步骤7 选中"将 Windows 桌面扩展到该监视器上"复选框，然后单击"应用"或"确定"。
    更改主监视器
步骤1 在"控制面板"中打开"显示"。
步骤2 在"设置"选项卡中，单击要代表指派为主监视器的监视器图标。
步骤3 选中"使用该设备作为主监视器"复选框。

在监视器之间移动项目
步骤1 在"控制面板"中打开"显示"。
步骤2 在"设置"选项卡上，单击"标识"，在每台监视器上显示一个较大的数字，显示监视器与每个图标的对应关系。
步骤3 单击监视器图标并将图标拖曳到代表要将项目从一台监视器移动到另一台监视器的方式的位置，然后单击"确定"或"应用"。
步骤4 在屏幕上拖曳桌面上的项目，直到该项目出现在另一台监视器上。
步骤5 也可以调整窗口的大小，使其跨越多台监视器。
    在多台监视器中查看同一桌面
步骤1 在"控制面板"中打开"显示"。
步骤2 在"设置"选项卡上，单击代表除主监视器之外还需要使用的监视器图标。
步骤3 选取"将我的 Windows 桌面扩展到此监视器上"复选框。
§　传真
    使用"传真"传真文本文档或图形图像的方便程度就象在基于 Windows 程序的打开文档中单击"打印"一样。传真支持扫描的图像，在传真前会自动将图形转换成 .tif 文件格式。用户也可以使用邮件程序同时发送电子邮件和传真信息。安装了传真设备后，请单击"开始"菜单中的"程序"，再单击"附件"中的"通讯"，然后单击"传真"来查看每个可用的传真命令。

具体命令如下：

传真队列 | 查看、取消、继续或暂停发送的传真。
传真服务管理 | 设置传真设备接收传真；设置安全权限；设置传真应答前响铃的次数以及传真发送中断前重试的次数。
我的传真 | 查看、打印或删除发送和接收的传真。该文件夹也存储所有的封面。
发送首页传真 | 只传真封面。该命令访问"发送传真向导"。

§　文件夹选项
    "文件夹选项"使用户能够改变桌面和文件夹内容的外观、并可以指定打开文件夹的方式。例如，用户可以选择在打开所选文件夹内的文件夹时，是打开一个窗口还是层叠窗口。另外，用户可以指定文件夹的打开是通过单击鼠标还是双击鼠标来实现。 也可以使用"文件夹选项"打开"活动桌面"或在文件夹中显示超链接文本（"常规"选项卡）、更改打开某些类型文件（"文件类型"选项卡）的程序，或者在没有连接到网络时使文件可用（"脱机文件"选项卡）。用户在"文件夹选项"中进行的更改会应用到 "Windows 资源管理器"（包括"我的电脑"、"网上邻居"、"我的文档"和"控制面板"）窗口目录的外观。但是，"文件夹选项"设置不在文件夹工具栏中应用。
    在 Windows 2000 中实现了"脱机文件"功能。使用脱机文件，即使没有连接到网络也可以继续处理网络文件和程序。如果断开与网络的连接或移除便携式计算机，指定为可以脱机使用的共享网络条目与连接到网络时完全相同。可以象通常一样继续处理。对这些文件和文件夹的访问权限与连接到网络时相同。当连接状态变化时，"脱机文件"图标将出现在状态区中，状态区上会显示提示信息，通知用户这一变化。网络连接恢复或插接便携式计算机时，所有脱机时所作的更改均将更新到网络上。用户和网络上的其他人对同一文件作出更改时，用户可以选择将用户的文件版本保存到网络、保留其他版本或两个版本均保存。具体启用"脱机文件"功能的步骤如下：
    步骤1　打开"我的电脑"。
    步骤2　在"工具"菜单上，单击"文件夹选项"。
    步骤3　在"脱机文件"选项卡上，确保选中了"启用脱机文件"复选框。
    步骤4　选中"注销前同步所有脱机文件"以便进行完全同步。清除该选项则进行快速同步。

    注意：完全同步可以确保获得每个指定为可以脱机使用的网络文件的最新版本。快速同步可以确保获得所有脱机文件的完整版本，却未必是最新版本。 在默认情况下，Windows 2000 Professional 选中"启用脱机文件"复选框，而 Windows 2000 Server 不选中该复选框。即使计算机配置为使用"脱机文件"，仍必须选择要指定为可以脱机使用的网络文件和文件夹。要查看可以脱机使用的所有网络文件列表，请在"脱机文件"选项卡上单击"查看文件"。
§　字体
    字体用于在屏幕上显示文本和打印文本。在 Windows 2000 中，字体是字样的名称。字体有如斜体、黑体和黑斜体等字形。 Windows 2000 提供三种基本字体技术：
轮廓字体
    TrueType 和新的 OpenType 字体是由直线和曲线命令生成的轮廓字体。OpenType 是 TrueType 的一种扩展。两者都可以缩放和旋转。Windows 2000 支持外观优美的所有尺寸和所有输出设备。Windows 2000 允许选择 OpenType 字体。Windows 2000 也附带了亚洲 OpenType 字体的 CD-ROM 集合，用户可以安装它来查看或打印亚洲文档和 Web 页面。
矢量字体
    支持矢量字体是因为许多程序仍然依赖这些字体。矢量字体是从数学模型生成的。它们主要用于图形显示器。Windows 2000 支持三种矢量字体。

光栅字体
    支持光栅字体是因为许多程序仍然依赖这些字体。光栅字体存储在位图文件中，通过在屏幕或纸张上显示一系列的点来创建。Windows 2000 支持五种光栅字体。
§　红外和无线链接
    Windows 2000 支持 IrDA 协议，该协议允许数据在红外连接上传送。这提供一个基础结构，此结构允许其他设备和程序通过 IrDA 接口与 Windows 2000 通讯。Windows 2000 安装了"无线链接"程序，它与运行 Windows 2000 或 Windows 98 操作系统的计算机互相传送文件。Windows 2000 即插即用结构可以为内嵌 IrDA 硬件的计算机自动检测并安装红外组件。对于没有内置 IrDA 硬件的计算机，用户可以将串行 IrDA 收发器连接到 COM 端口，并使用 Windows 2000 中的"添加/删除硬件"向导安装设备。安装红外设备后，"控制面板"中会出现"无线链路"图标。当其他 IrDA 收发器进入有效范围时，"无线链路"图标出现在桌面和任务栏上。然后可以使用下列任意操作通过红外连接发送文件：
  §　使用"无线链路"对话框指定位置和一个或多个文件。
  §　使用拖放操作将文件移动到桌面的"无线链路"图标上。
  §　右键单击在桌面、"Windows 资源管理器"或者"我的电脑"中选择的任何文件，然后单击"发送到红外接收器"命令。
  §　打印到配置使用红外端口的打印机。

§　消息队列
    控制面板中的"消息队列"允许用户设置该计算机的消息队列的某些属性。消息队列是 Windows 2000 操作系统的通讯基础，并且是为 Windows 2000 操作系统创建分布式消息传递应用程序的开发工具。这些应用程序可以通过不同种类的网络进行通讯，也可以与可能脱机的计算机通讯。消息队列提供了有保障的消息传递、有效的路由选择、安全性、事务处理支持以及基于优先级的消息传递。可以使用控制面板中的消息队列工具执行消息队列的以下本地管理任务：
  §　指定该计算机上要存储消息和日志文件的磁盘驱动器和文件夹。
  §　管理该计算机的用户证书，并查看 Active Directory 中的所有用户证书。
  §　更新该计算机的密钥。
  §　与运行 Windows NT 4.0 的 MSMQ 1.0 控制器服务器通讯时，请指定是否使用服务器身份验证。
  §　如果用户使用的是便携式计算机，请指定用于转发消息的新 Windows 2000 站点。
  §　更改并查看本地服务器的服务器证书。
§　关于网络和拨号连接
    网络和拨号连接提供用户的计算机与 Internet、网络或另一台计算机之间的连接。通过网络和拨号连接，无论物理上位于网络所在的位置还是在远程位置，都可以访问网络资源和功能。连接是在网络和拨号连接文件夹内建立、配置、存储和进行监视的。

"网络和拨号连接"文件夹中的每个连接均包含一组功能，可以用来在用户的计算机与另一计算机或网络之间建立链接。传出连接通过使用已经配置的访问方法（LAN、调制解调器、ISDN 线路等等）来访问远程访问服务器，从而建立与网络之间的连接。相反的，传入连接能够使运行 Windows 2000 Professional 的计算机或运行 Windows 2000 Server 的单独的计算机被其他计算机访问。这意味着用户的计算机可以充当远程访问服务器。无论用户的计算机是通过本地 (LAN)、远程（拨号、ISDN 等等），还是两者进行连接，都可以配置任何连接，使之执行需要的任何网络功能。例如，用户可以打印到网络打印机、访问网络驱动器和文件、浏览其他网络，或者访问 Internet。Windows 2000 登录和域安全、对安全主机的支持、数据加密、身份验证，以及回拨都为网络和拨号连接提供了安全的网络访问。
§　调制解调器
    调制解调器支持是由 Windows 2000 中的 TAPI Unimodem 5 服务提供程序提供的，它使你可以安装并使用当今几乎所有类型的调制解调器。调制解调器被随同 Windows 2000 安装的程序（如超级终端、"网络和拨号连接"、电话拨号程序和传真），以及被其他 Windows 2000 兼容的产品（包括为了访问 Internet 服务提供商而需要使用的软件）使用。
§　电源选项
    使用"控制面板"中的"电源选项"，可以降低任意个计算机设备或整个系统的电耗。通过选择电源方案可以实现电源管理，电源方案就是计算机管理电源使用情况的一组设置。用户可以创建自己的电源使用方案，或者使用 Windows 2000 提供的方案。也可以调整电源方案中的单个设置。

例如，根据硬件，可以：
  §　自动关闭监视器和硬盘以节省电能。
  §　当计算机空闲时将其置于等待状态。在等待状态时整个计算机将切换到低能耗状态，在这种状态下设备（例如监视器和硬盘）将关闭，并且计算机使用更少的电能。想重新使用计算机时，它将快速退出等待状态，而且桌面精确恢复到进入等待时的状态。尤其对于保存便携机上的电池能量，等待功能非常有用。因为待机状态并没有将桌面状态保存到磁盘，待机状态时的电源故障可能会丢失未保存的信息。
  §　使计算机进入休眠状态。休眠特性关闭监视器和硬盘，并将内存中的所有内容保存到硬盘，然后关闭计算机。重新启动计算机时，桌面精确地恢复为用户离开时的状态。计算机退出休眠状态比退出等待状态需要的时间长。
§　打印
    使用 Windows 2000，用户可以在整个网络上共享打印机资源。不同计算机和操作系统的客户，可以通过 Internet 将打印作业发送到直接连接 Windows 2000 打印服务器的打印机，或者使用内部或外部网卡连接到网络或其他服务器的打印机。Windows 2000 支持几种高级打印功能。例如，用户可以管理网上任何地方的 Windows 2000 打印服务器。另一高级特性是，不必在 Windows 2000 客户机上安装打印机驱动程序就可以使用打印机。该驱动程序在客户连接到 Windows 2000 打印服务器时自动下载。

那么在 Windows 2000 中，在安装、使用和管理打印机时添加的新特性包括：
  §　打印设置
  §　打印管理
  §　Internet 打印
  §　目录服务
  §　标准端口监视器
  §　打印队列监视
  §　用户设置
  §　从应用程序打印
    对于打印系统的配置与管理用户将在第八章"文件和打印系统的配置与管理"中作详细的介绍。
§　区域选项
    通过"控制面板"中的"区域选项"，可以更改 Windows 2000 显示日期、时间、货币、大数字和带小数点数字的方式。也可以选择公制或者美国的度量制。
§　扫描仪和照相机
    在安装第一个扫描仪或数字相机时，将在"控制面板"中显示"扫描仪和照相机"图标。然后可以使用"扫描仪和照相机"特性安装其他扫描仪、数字静态相机、数字视频相机和图像捕捉设备。设备安装后，"扫描仪和照相机"图标即可将该设备链接到计算机中的某程序。例如，当按下扫描仪上的"扫描"按钮时，可以使已扫描的图片在用户需要的程序中自动打开。

§　任务计划程序
    使用任务计划程序，用户可以安排任何脚本、程序或文档在最方便的时候运行。每次启动 Windows 2000 时，任务计划程序也会启动，并在后台运行。使用任务计划程序可以完成以下任务：
  §　计划让任务在每天、每星期、每月或某些时刻（如系统启动时）运行。
  §　更改任务的计划。
  §　停止计划的任务。
  §　自定义任务如何在计划的时间运行。
§　声音和多媒体
    使用"控制面板"中的"声音和多媒体"可以将声音指派给某些系统事件。系统事件可以在很多情况下发生。例如：当计算机程序执行任务或遇到与执行任务有关的问题时。
§　系统
    使用"控制面板"中的"系统"执行以下任务：
  §　查看并更改控制计算机如何使用内存以及查找特定信息的设置。
  §　查找有关硬件和设备属性的信息，还可配置硬件配置文件。
  §　查看有关计算机连接和登录配置文件的信息。

图4.2 "系统"属性

    可以更改控制计算机如何使用内存的性能选项，包括页面文件大小、注册表大小，或告诉计算机在哪可找到某些类型信息的环境变量。启动和故障恢复选项表示启动计算机时将使用的操作系统以及系统意外终止时将执行的操作。 有关硬件和设备的信息也可以在"系统"中找到。使用硬件向导安装、卸载，或配置硬件。设备管理器显示计算机上安装的设备并允许更设备属性。还可以为不同的硬件配置创建硬件配置文件。使用"系统"，可以查看网络和登录信息，如计算机名或 DNS 域名。还可以查看域或工作组成员的详细信息，或者启动网络识别向导并连接到网络。用户配置文件包含与登录配置关联的个人设置。
    注意：必须以管理员身份登录本地计算机或具有适当的网络特权才能对"系统"进行某些更改。

4.1.2 系统工具
    如图4.3显示了 Windows 2000 Server 的系统配置管理工具。
    在安装盘中还提供了 Resource Kit 工具，这个工具集主要用于系统的开发，涉及到许多 Windows 2000 底层的知识，在此不做展开了。

    同时还提供了一个支持工具集如图 4.4 所示，提供了一些辅助系统管理的使用工具。
    配置服务器为用户配置服务器的各项功能和服务提供了一个统一的入口，让用户更方便配置和管理服务器。
    同时在安装盘中还提供了一些由第三方厂商开发的，尚未经过完全测试的管理工具，如 Phone Bool Administration ,如果有兴趣大家不妨一试。

4.1.3 其它组件
    在安装 Windows 2000 Server 时用户并不是将所有的功能组件全部安装，为了进一步扩展服务器的功能，用户可以选择安装其它组件，以下列出了在 Windows 2000 Server 中所包含的所有组件：
    Active Directory、AppleTalk 网络集成、证书服务、连接点服务、DHCP 服务、磁盘碎片整理程序、磁盘管理、磁盘配额、分布式组件对象模式、分布式文件系统 (DFS)、DNS 服务、容错、组策略、安装和升级、Internet 验证服务、网际协议安全、授权、管理安全模板、消息队列、调制解调器、监视性能、网络和拨号连接、网络监视器、Novell NetWare 集成、打印、QoS 许可控制服务、远程安装服务、远程存储、可移动存储、路由和远程访问、安全配置和分析、智能卡的安装、SNMP 服务、任务计划程序、TCP/IP、电话服务、终端服务、虚拟专用网络、Windows ATM 服务、Windows 备份、Windows 安装程序、WINS 服务。

4.1.4 使用 Runas 命令启动程序
    用户不应该将自己添加到 Administrators 组，而应该在以管理员身份登录时避免运行计算机。大多数计算机活动，都以 Users 组或 Power Users 组成员的身份登录。如果需要执行只有管理员才能进行的任务，可以以管理员身份登录，然后在执行任务后注销。应该将自己添加到 Users 组或 Power Users 组中。以 Users 组成员身份登录时，用户可以执行日常任务，包括运行程序和访问 Internet 站点，以防止计算机遭受不必要的风险。作为 Power Users 组的成员，用户可以执行日常任务，也可以安装程序、添加打印机以及使用"控制面板"中的大部分项目。如果用户需要执行管理任务，例如升级操作系统或配置系统参数，请先注销再以管理员身份登录。如何使用 Runas 命令启动程序呢？
    步骤1 在"Windows 资源管理器"中，单击程序、Microsoft 管理控制台 (MMC) 工具或要打开的"控制面板"项。
    步骤2 按 SHIFT 并右键单击该程序，然后单击"运行方式"。

    步骤3 单击"以下面的用户身份运行程序"。
    步骤4 键入用户名、密码以及要使用的管理员帐户所属的域。如下图 4.5 所示

注意：
  §　"运行方式"允许用户运行程序 (*.exe)、保存的 MMC 控制台 (*.msc)、程序以及保存的 MMC 控制台的快捷方式及"控制面板"项。作为另一个组（例如 Users 组或 Power Users 组）的成员登录到计算机时，用户可以以管理员的身份运行。
  §　虽然没有限制"运行方式"只能由管理员帐户使用，但通常还是以管理员身份使用"运行方式"来运行程序。任何拥有多个帐户的用户均可以使用"运行方式"来运行使用备用凭据的程序、MMC 控制台或"控制面板"项。
  §　有些项目（例如"Windows 资源管理器"、"打印机"文件夹和桌面项）由 Windows 2000 间接打开。这些项目不能使用"运行方式"启动。
返回页首>>>

4.2 Microsoft 管理控制台
    在微软近几年推出的软件中用户已经开始接触到管理控制台如 IIS、Proxy 等，只不过适用于单项功能的管理。而在 Windows 2000 Server 中，管理控制台已经成为了所有管理工具的统一平台。用户可以使用 Microsoft Management Console (MMC) 创建、保存或打开管理工具（称为 MMC 控制台）来管理硬件、软件和 Windows 系统的网络组件。MMC （如图4.6） 是 Windows 2000 操作系统的一个特性，但也可以在 Windows NT、Windows 95 和 Windows 98 操作系统上运行 MMC。另外，MMC 是许多设计在 Windows 上运行的软件程序的特性。
    需要在此明确的是 MMC 不执行管理功能，但它集成了所有的管理工具。可以添加到控制台的主要工具类型称为管理单元，其他可添加的项目包括 ActiveX 控件、指向 Web 页的链接、文件夹、任务板视图和任务。
    使用 MMC 有两种常规方法：在用户模式中，用已有的 MMC 控制台管理系统；在作者模式中，创建新控制台或修改已有的 MMC 控制台。

如图4.6所示，新建的 MMC 控制台由分成两个窗格的窗口组成。左边的窗格包括两个选项卡："树"选项卡和"收藏夹"选项卡。右边的窗格包括详细资料窗格。"树"选项卡，也称为控制台树，列出给定控制台中可用的项目。详细资料窗格列出这些项目的信息和有关功能。随着单击控制台树的不同项目，详细资料窗格中的信息也将变化。详细资料窗格可以显示不同信息，包括 Web 页、图形、图表和列。每个控制台都有自己的菜单和工具栏，和主 MMC 窗口的菜单和工具栏分开，这有利于用户执行任务。

4.2.1 作者模式的管理控制台
    MMC 窗口
    MMC 控制台组件包含在 MMC 窗口中。该窗口有许多菜单和一个工具栏，提供打开、创建和保存 MMC 控制台的命令。MMC 窗口上的菜单和工具栏分别称为主菜单栏和主工具栏。另外，在窗口的底部还有状态栏，详细资料窗格顶部有说明栏。打开 MMC 以查看 MMC 窗口。当打开新建的 MMC 控制台时，控制台窗口出现在 MMC 窗口中的工作区里。在控制台窗口中，可以组织和配置新控制台，然后使用控制台中的工具。将项目添加到控制台之后，可以隐藏主菜单栏、主工具栏、说明栏和状态栏，防止用户对控制台做不必要的更改。
    管理单元
    管理单元是 MMC 控制台的基本组件。管理单元总在控制台中，但不能自己运行。当安装了一个组件，在运行 Windows 的计算机上有与之关联的管理单元的时候，管理单元对于任何在该计算机上创建控制台的人员都可用（除非受用户策略的限制）。如图4.7

MMC 支持两种类型的管理单元：独立管理单元和扩展管理单元。
§　管理单元:可以将独立管理单元(通常称为管理单元)添加到控制台树中，而不用先添加另外的项目。
§　扩展管理单元:通常称为扩展，一般添加到已有独立或扩展的管理单元的控制台树。当启用管理单元的扩展时，它们操作由管理单元控制的对象，如计算机、打印机、调制解调器或其他设备。
    将管理单元或扩展添加到控制台时，它可能显示为控制台树的新项目，或者可能将文本菜单项、附加工具栏、附加属性页或向导添加到已安装在控制台的管理单元中。可以将单个管理单元或多个管理单元及其他项目添加到控制台中。另外，可以将多个特定管理单元的实例添加到同一个控制台来管理不同的计算机或修复损坏的控制台。每次向控制台添加新的管理单元实例时，该管理单元的所有变量都按默认值设置，直到配置了该管理单元。例如，如果先配置一个特定的管理单元来管理远程计算机，然后又添加该管理单元的第二个实例，那么并不自动配置第二个实例来管理远程计算机。通常，用户只能添加安装在用来创制控制台的计算机上的管理单元。然而，在 Windows 2000 中，如果计算机是域的一部分，便可以使用 MMC 下载任何本地还没有安装的管理单元，但必须是在 Active Directory 目录服务中可用。

任务板视图和任务
    任务板视图是能添加控制台详细资料窗格视图的页面，也是指向给定控制台之内和之外功能的快捷方式。可以使用这些快捷方式运行任务，如启动向导、打开属性页、执行菜单命令、运行命令行和打开 Web 页。可以配置任务板视图，以便包含给定用户可能需要的所有任务。另外，可以在控制台中创建多个任务板视图，这样可以按功能或用户对任务分组。
控制台目录树和控制台根节点
§　控制台目录树
    MMC 控制台的左边窗口里的控制台树是一个层次结构。控制台树显示控制台中可以使用的项目。这些项目包括文件夹、管理单元、控件、Web 页以及其他一些工具。打开 MMC 以查看新控制台的控制台树。在新控制台里，控制台树上的唯一一项是标记为控制台根节点的文件夹。可以通过向控制台添加项目来创建控制台的管理功能。不需要在控制台根节点建立控制台窗口，可以在控制台树的任何项目上建立控制台窗口。这隐藏了控制台树中根节点以上的项目，并且着重于新控制台根节点上的窗口和下面的管理工具。

§　控制台树上的树枝
    树枝是控制台树中添加了对象的任何项目。可以单击加号来展开某个树枝并查看其内容，单击减号标记来折叠树枝。可见树枝是一个文件夹，可用来将控制台树上的相关项组合在一起。但是，还可使用 MMC 将工具添加到项目而不是文件夹，然后它也变成树枝。控制台树根节点是一个树枝；它的功能只是包含控制台树。管理单元顶部的项目通常是文件夹或其他树枝。另外一种可以容纳其他项目的项是可查看项目。当单击可查看项目时，它会在详细资料窗格中而不是在附加项中显示列表、文本或图形信息。Web 页是可查看项目，因为它们需要浏览器，只有在详细资料窗格中才能打开。不应当向可查看项目添加项目，因为如果某个用户隐藏了控制台树，他们可能就不知道某个可查看项目中包含其他项目。相反，如果有可查看项目集合，便可以向控制台树中添加文件夹并把文件夹中的可查看项目组合起来。然后当控制台树被隐藏起来时，用户就可以从所有的项目中选择。
    种不能包含其他项的项目类型是树叶。单击某个树叶时，它便在详细资料窗格中列出所有项目。一般地，这些是单独包含在控制台树上的项目。然而，当项目的数量成百上千时，管理单元使用树叶而不是树枝。

收藏夹列表
    收藏夹列表位于新 MMC 控制台的左边窗格的"收藏夹"选项卡上。如果以作者模式打开控制台，或已将项目添加到控制台的收藏夹列表中，那么将自动出现该选项卡。
    可以使用收藏夹列表来创建指向控制台树中项目的快捷方式。为了方便，可以添加指向经常使用工具的快捷方式，或者添加指向控制台树中许多级以下工具的快捷方式。还可以使用收藏夹列表来便于初学用户更容易地完成任务。例如，可以创建一个控制台，其收藏夹列表中只包含指向某些控制台树项目的快捷方式，这些控制台树项目是所给用户需要执行的作业。然后可以隐藏控制台树来进一步简化视图。还可以使用收藏夹列表来整理任务板视图。例如，一个复杂的控制台可能有多个任务板视图，分布在控制台树中的多个项目中。但是，可以将所有这些任务板视图添加到收藏夹列表，这样用户就可以从一个位置访问它们。

控制台访问选项
    创建自定义控制台时，可以给控制台指派两种常用访问选项中的一种：作者模式或用户模式。依次有三个级别的用户模式，因此共有四种默认访问控制台的选项如图4.8：
  §　作者模式
  §　用户模式－完全访问
  §　用户模式－受限访问，多窗口
  §　用户模式－受限访问，单窗口
    可以在 MMC 中的"选项"对话框中配置这些选项。有关打开该对话框的指导，请参阅设置 MMC 控制台选项。

    可以给控制台分配作者模式以便向所有 MMC 功能授予完全访问权限，包括能添加或删除管理单元、创建新窗口、创建任务板视图及任务、向收藏夹列表添加项目，以及查看控制台树的所有部分。通过选择一种用户模式选项，排除用户可能不需要的创作功能。例如，如果分配"用户模式－完全访问"选项给控制台，那么将提供所有窗口管理命令和完全访问控制台，但是能防止用户添加或删除管理单元，或者更改控制台属性。
    作者模式和用户模式之间的另一不同之处是更改保存的控制台的方法。如果在作者模式下对控制台操作，关闭控制台时会提示保存所做的更改。然而，如果在用户模式下对控制台进行操作并且没有选中"不要保存更改到此控制台"复选框（它可以通过单击"控制台"菜单中的"选项"来获得），那么当关闭控制台时所做更改会自动被保存。
    如果产生下列任一情况，将忽略控制台的默认模式并且控制台以作者模式打开：
  §　打开控制台时 MMC 已经打开。
  §　通过快捷方式菜单命令"作者"打开控制台。
  §　在命令提示符下用 "/a" 选项打开控制台。

4.2.2 管理控制台的操作
    4.2.2.1 创建控制台
    在创建控制台之前，必须标识控制台将要处理的任务、要管理的组件，以及执行任务所必须的管理单元和控件。还应当考虑是否需要创建任务板视图和任务。在决定之后，可以打开新的控制台，开始向控制台树添加项目。
§　打开 MMC
    步骤1 单击"开始"，再单击"运行"，键入"mmc"，然后单击"确定"。
    步骤2 在命令提示中键入"mmc"，然后按回车。
    完整的 MMC 命令行语法是：
mmc path\filename.msc [/a]
path\filename.msc
/a 以作者模式打开或保存控制台，用于改变一个存在的控制台或创建一个新的控制台。

4.2.2.2 向控制台树添加项目
    可以通过调整项目层次结构帮助用户在控制台或控制台组中确定所需组件的位置。要向控制台树添加项目，可以使用 MMC 主工具栏上"控制台"菜单中的"添加/删除管理单元"命令。
    在"添加/删除管理单元"对话框中，"管理单元添加到"决定要添加的新项目位于控制台树上的哪个项目下面。默认值是"控制台根节点"。可以单击"管理单元添加到"中的项目来定位控制台树之外的对象。"添加独立管理单元"对话框显示可用管理单元的列表。对于域成员中运行 Windows 2000 的计算机，该列表包括本地安装的管理单元和在 Active Drirectory 目录服务下发布的管理单元。
§　为本地/远程计算机的新 MMC 控制台添加"用户和组"单元项目
    步骤1 打开 MMC。
    步骤2 在"控制台"菜单上，单击"添加/删除管理单元"，然后单击"添加"。

步骤3 在"管理单元"下，双击"用户和组"，如果提示，执行以下的某项操作：
§　单击"本地计算机（运行这个控制台的计算机）"，然后单击"完成"。如图4.9
§　单击"另一台计算机"，键入该项目要管理计算机的名称，然后单击"完成"。 （为远程计算机的新 MMC 控制台添加项目）
§　如果出现向导，请遵循屏幕提示。
    步骤4 要向控制台中添加另外项目，请重复步骤 3。
    注意：如果向控制台添加管理单元，但此时管理单元被损坏，请尝试将相同管理单元的另外一个实例添加到控制台，根据需要对它配置，然后删除管理单元的第一个实例。如果将控制台保存到每个用户的管理工具文件夹中（在 Windows 2000 中，位于 systemroot\Documents and Settings\user\「开始」菜单\程序\管理工具），那么可以在该用户的"程序"菜单上的管理工具文件夹中获得它

§　将扩展管理单元添加到 MMC 控制台
    步骤1通过执行以下的某项操作，按作者模式打开保存的控制台：
  §　右键单击该 .msc 文件，然后单击"作者"。
  §　单击"开始"，再单击"运行"，键入 mmc path\filename.msc /a，然后单击"确定"。
    步骤2 在"控制台"菜单上，单击"添加/删除管理单元"，然后单击要扩展的项目。
    步骤3 在"扩展"选项卡上的"可扩展的管理单元"中，选择要添加的扩展旁边的复选框，然后单击"确定"。
§　将发布的扩展管理单元添加到 MMC 控制台
    步骤1 通过执行以下的某项操作，按作者模式打开保存的控制台：
  §　右键单击该 .msc 文件，然后单击"作者"。
  §　单击"开始"，再单击"运行"，键入 mmc path\filename.msc /a，然后单击"确定"。
    步骤2 单击"控制台"菜单上的"添加/删除管理单元"。
    步骤3 在"扩展"选项卡，单击"可扩展的管理单元"中的要扩展的管理单元。
    步骤4 在"可扩展的管理单元"中，选中要添加的发布扩展旁边的复选框，然后单击"下载"。
    步骤5 如果出现一个或多个向导，请遵循屏幕上的指示操作，然后单击"确定"。
    注意：如果选中"扩展"选项卡上的"添加所有扩展"复选框，那么只有在本地安装和注册的扩展管理单元才被添加到控制台中。必须专门从目录服务下载扩展管理单元，以便使其在控制台中可用。因此，要添加给定项目的所有发布扩展，不要选中"添加所有扩展"复选框，而是选中每个发布扩展旁边的复选框。
    为远程计算机的新 MMC 控制台添加项目、将发布的管理单元添加到新 MMC 控制台、将扩展管理单元添加到 MMC 控制台，以及将发布的扩展管理单元添加到 MMC 控制台。

4.2.2.3 添加任务板视图及任务
    在向控制台添加任务板视图和任务之前，先确定需要多少个任务板视图。如果需要多个任务板视图，也必须确定如何在任务板视图中分配任务。另外，必须决定需要用哪种任务板视图显示列表和任务，或者只显示任务。要为控制台创建任务板视图，控制台必须包括至少一个管理单元。可以使用新任务板视图向导来配置标题、头和出现在任务板视图中的列表，并定义控制台树中任务板视图是带一个项目还是多个项目。完成新任务板视图向导之后，可以使用新任务向导向任务板视图中添加任务。任务可以包括控制台中项目的菜单命令，还有从命令提示运行的命令。可以创建只对控制台树或详细资料窗格的部分区域起作用的命令，或者创建可以在计算机中打开另外一个组件的命令。然而，如果从菜单命令给在控制台树中的项目创建一个任务，然后删除该项，那么任务也将被禁用。 下面继续为"用户和组"管理单元创建新任务板视图。
§　创建任务板视图
    步骤1 通过执行以下的某项操作，按作者模式打开保存的控制台：
  §　右键单击该 .msc 文件，然后单击"作者"。
  §　单击"开始"，再单击"运行"，键入 mmc path\filename.msc /a，然后单击"确定"。
    步骤2 在控制台树中，单击管理单元项。
    步骤3 在"操作"菜单上，单击"新任务板视图"。

    步骤4 遵循新任务板视图向导中的指示。
    步骤5 如果要在创建新任务板视图之后立即创建任务，请在向导的最后屏幕上选中"启动新任务向导" 复选框。 如图4.10
    注意：用户还可以在新控制台里创建任务板视图，但是必须首先将管理单元添加到控制台中。如果创建了新任务板视图并要添加任务，可以通过在新任务板视图向导的最后屏幕上选中"启动新任务向导"复选框启动新任务向导。

4.2.2.4 向收藏夹列表添加项目
    可以使用收藏夹列表创建指向控制台树里的项目和任务板视图的快捷方式。然后可以从"树"选项卡和""收藏夹""选项卡访问这些项目。下面将"用户和组"管理单元添加到 MMC 控制台里的收藏夹列表中
    步骤1 通过执行以下的某项操作，按作者模式打开保存的控制台：
  §　右键单击Lusrmgr.msc 文件，然后单击"作者"。
  §　单击"开始"，再单击"运行"，键入 mmc e:\winnt\system32\lusrmrg.msc /a，然后单击"确定"。

    步骤2 在控制台树中，单击"用户和组"管理单元。
    步骤3 在详细资料窗格中，单击"常规"选项卡或者想添加任务板视图的选项卡。
    步骤4 在"收藏夹"菜单上，单击"添加到收藏夹"。如图4.11
    步骤5 在"创建于"中，请执行以下的某项操作：
  §　要将项目添加到已有的文件夹，单击想让项目出现的文件夹，然后单击"确定"。
  §　要将项目添加到新文件夹，单击作为父文件夹的文件夹，然后单击"新建文件夹"。在"文件夹名称"中键入名称，单击"确定"，然后再单击"确定"。

    4.2.2.5 配置控制台选项
    可以使用"选项"对话框，从"控制台"菜单中选择控制台图标、更改控制台标题，以及选择控制台的默认模式。图标可以从包括 shell32.dll 在内的许多资源中选用，它位于 Windows 2000 和 Windows NT 下的 %systemroot%\system32\shell32.dll。更改控制台的标题时，请记住在默认情况下，单击控制台树中的项目时，标题栏会显示所选项的路径。但是，如果更改控制台的标题，标题栏将不显示路径。然而，如果删除标题，将恢复默认操作。当考虑将哪种模式设为控制台的默认模式后，记住如果使用用户模式，可以在任何时候使用"作者"或"运行方式"命令打开控制台，不必使用作者模式运行大部分管理任务。
§　设置 MMC 控制台选项
    步骤1 通过执行以下的某项操作，按作者模式打开保存的控制台：
  §　右键单击该 .msc 文件，然后单击"作者"。
  §　单击"开始"，再单击"运行"，键入 mmc path\filename.msc /a，然后单击"确定"。

    步骤2 单击"控制台"菜单上的"选项"。
    步骤3 在"控制台"选项卡上，执行以下操作：
  §　要更改控制台图标，请单击"更改图标"，在"文件名"中键入包含图标文件的路径，单击"当前图标"下面的某个图标，然后单击"确定"。
  §　要更改控制台的标题，请在图标右边的框中键入新标题。
  §　要更改控制台的默认模式，请在"控制台模式"中，单击打开控制台的模式。
    步骤4 如果控制台的默认模式是用户模式中的一种，请执行以下操作：
  §　要允许用户右键单击任务板视图的内容时显示菜单，请选中"在此控制台中的任务板上启用上下文菜单"复选框。
  §　要防止用户编辑控制台，请选中"不要保存更改到此控制台"复选框。
  §　要让用户能访问"自定义视图"对话框，请选中"允许用户自定义视图"复选框。

4.2.3 管理控制台的组策略
    在 Windows 2000中，可以使用组策略限制访问特定管理单元或 MMC 的功能。可以对计算机用户或域的组织单元启用组策略。要为特定计算机的用户设置 MMC 或管理单元策略，必须首先将组策略管理单元添加到新建的控制台。要为域设置 MMC 或管理单元策略，必须使用配置为域控制器的计算机，而且必须是该域的管理员或有相等权力。可以为用户、组或组织单元设置策略来限制或允许访问指定的管理单元。还可以设置策略限制用户、组和组织单元使用未明确许可的管理单元（除了在允许列表以内的，限制所有的管理单元）。
§　限制访问 MMC 中的作者模式
    步骤1 打开 MMC。
    步骤2 在"控制台"菜单上，单击"添加/删除管理单元"，然后单击"添加"。
    步骤3 在"管理单元"下，单击"组策略"，然后单击"添加"。
    步骤4 在"选择组策略对象"对话框中，执行以下的一项操作：
  §　要编辑本地组策略对象，请单击"本地计算机"。
  §　要编辑不同的组策略对象，请单击"浏览"。
    步骤5 单击"完成"，再单击"关闭"，然后单击"确定"。

组策略管理单元将打开指定的组策略对象。
    步骤6在控制台树中，单击"Microsoft Management Console"。 如图4.12
    步骤7 在详细资料窗格中，双击"限制用户进入编辑模式"。

步骤8 在"策略"选项卡上，执行以下任一项操作： 如图4.13
  §　要允许用户在 MMC 中使用编辑模式，单击"未配置"或"禁用"。
  §　要限制用户在 MMC 中使用编辑模式，单击"启用"。
    注意：必要是管理员或具有相等权力才能配置组策略。必须使用 Windows 2000 来配置 MMC 的组策略，该功能在其他版本 Windows 上运行的 MMC 中不可用。

返回页首>>>

4.3 远程管理服务器
    使用 Windows 2000 Server 和 Windows 2000 Advance Server 安装光盘上的 Windows 2000 管理工具，用户可以从运行 Windows 2000 的任何计算机上远程管理服务器。Windows 2000 管理工具包含 Microsoft 管理控制台的管理单元和用于管理运行 Windows 2000 Server 的计算机的其他管理工具，这些管理工具在 Windows 2000 Professional 中是不提供的。
    要在本地计算机上安装 Windows 2000 管理工具，请打开相应的 Windows 2000 Server 光盘上的 "I386"（或 Alpha）文件夹，然后双击 Adminpak.msi 文件。按照 Windows 2000 管理工具安装向导中的指示安装, 如图4.14。安装 Windows 2000 管理工具之后，可通过单击"开始"，指向"程序"，然后指向"管理工具"来访问服务器管理。

在 Windows 2000 Server 上，可以使用软件安装管理单元以两种方式将 Windows 2000 管理工具配置给单位中的其他计算机：
§　将 Windows 2000 管理工具指派给其他计算机。它将自动安装在远程计算机上。
§　在 Active Directory 中发布 Windows 2000 管理工具。在完成之后，管理员可在需要时使用远程计算机控制面板中的"添加/删除程序"进行安装。
    在安装完毕后下列服务器管理工具将包含在 Windows 2000 管理工具中：
§　Active Directory 域和信任
§　Active Directory 架构
§　Active Directory 站点和服务
§　Active Directory 用户和计算机
§　证书授权机构
§　群集管理器
§　连接管理器管理工具包

§ DHCP
§　分布式文件系统
§　DNS
§　Internet 验证服务
§　Internet 服务管理器
§　QoS 许可控制
§　远程引导盘生成程序（远程安装服务的一部分）
§　远程存储
§　路由和远程访问
§　电话服务
§　终端服务管理器、许可证和客户端连接管理器
§　WINS
返回页首>>>

  相关内容：（本教程出自：www.365edu.com）
 第一章、windows2000Server新功能及安装
第二章、windows2000网络客户端的安装和配置
第三章、配置远程安装服务和设置用户配置文件
第四章、windows2000的基本管理
第五章、DNS服务器的配置与管理
第六章、活动目录服务的基本安装和配置
第七章、管理计算机和用户帐号
第八章、文件和打印系统的配置与管理
第九章、数据存储
第十章、安全管理


第五章 DNS 服务器的配置与管理

本章所介绍的内容：
1.DNS 的概念和原理
2.DNS 服务器的安装
3.DNS 服务器的配置与管理
4.DNS 和 WINS 的结合使用
5.客户机的 DNS设置

    5.1 DNS 服务器的概念和原理
    DNS 是域名系统的缩写, 它是嵌套在阶层式域结构中的主机名称解析和网络服务的系统。当用户提出利用计算机的主机名称查询相应的 IP 地址请求的时候， DNS 服务器从其数据库提供所需的数据。
§　DNS 域名称空间：指定了一个用于组织名称的结构化的阶层式域空间
§　资源记录：当在域名空间中注册或解析名称时，它将 DNS 域名称与指定的资源信息对应起来
§　DNS 名称服务器： 用于保存和回答对资源记录的名称查询
§　DNS 客户：向服务器提出查询请求，要求服务器查找并将名称解析为查询中指定的资源记录类型

5.1.1 DNS 域名空间
    DNS 域名空间是一种树状结构如图 5.1。
    目前由InterNIC管理全世界的 IP 地址，在 InterNIC 之下的 DNS 结构分为多个Domain,如图 5.1中 root domain下的七个 top-level domain 都归 InterNIC 管理，上图中还显示了由 InterNIC 分配给微软的域名空间。Top-level domain 可以再细分为 second-level domain 如 "Microsoft" 为公司名称,而 second-level domain 又可以分成多级的 subdomain 如 "example、www" ,在最下面一层被称为 hostname(主机名称)如 "host-a" ,一般用户使用完整的名称来表示 (FQDN)，如 "host-a.example.Microsoft.com"。

DNS 域名
    DNS 利用完整的名称方式来记录和说明 DNS 域名，就象用户在命令行显示一个文件或目录的路径，如 "C:\Winnt\System32\Drivers\Etc\Services.txt"。同样在在一个完整的 DNS 域名中包含着多级域名。
如 "host-a.example.microsoft.com." 其中 "host-a" 是最基本的信息(一台计算机的主机名称)"example"表示主机名称为host-a的计算机在这个子域中注册和使用它的主机名称 ，"microsoft" 是 "example" 的父域或相对的根域 (即 second-level domain)，"com"是用于表示商业机构的top-level domain，最后的句点表示域名空间的根 (root)。

区域(zone)
    区域 (zone) 是一个用于存储单个 DNS 域名的数据库，它是域名称空间树状结构的一部分， DNS 服务器是以 zone 为单位来管理域名空间的，zone 中的数据保存在管理它的 DNS 服务器中。当在现有的域中添加子域时，该子域既可以包含在现有的 zone 中，也可以为它创建一个新 zone 或包含在其它的 zone 中。一个 DNS 服务器可以管理一个或多个 zone ,同时一个 zone 可以由多个 DNS 服务器来管理。
    用户可以将一个 domain 划分成多个 zone 分别进行管理以减轻网络管理的负荷，如图 5.2 所示，microsoft.com 是一个域，用户可以将它划分为两个 zone：microsoft.com 和 example.Microsoft.com,zone 的数据分别保存在单独的 DNS 服务器中。因为zone"example.Microsoft.com" 是从

"domain" 延伸而来，所以用户可以将 domain"microsoft.com" 称为 zone"example.Microsoft.com" 的 zone root domain。

5.1.2 DNS 查询的工作方式
    当 DNS 客户机向 DNS 服务器提出查询请求时，每个查询信息都包括两部分信息：
§　一个指定的 DNS 域名，要求使用完整名称(FQDN)
§　指定查询类型，既可以指定资源记录类型又可以指定查询操作的类型
    如指定的名称为一台计算机的完整主机名称"host-a.example.microsoft.com.", 指定的查询类型为名称的A (address) 资源记录。可以理解为客户机询问服务器"你有关于计算机的主机名称为'hostname.example.microsoft.com.'的地址记录吗？当客户机收到服务器的回答信息时，它解读该信息，从中获得查询名称的 IP 地址。
    DNS 的查询解析可以通过多种方式实现。客户机利用缓存中记录的以前的查询信息直接回答查询请求， DNS 服务器利用缓存中的记录信息回答查询请求， DNS 服务器通过查询其它服务器获得查询信息并将它发送给客户机。这种查询方式称为递归查询。
    另外, 客户机通过 DNS 服务器提供的地址直接尝试向其它 DNS 服务器提出查询请求。这种查询方式称为反复查询。
    当 DNS 客户机利用 IP 地址查询其名称时，被称为反向查询。

本地查询：
    下图 5.3显示了 DNS 查询的完整过程：

当在客户机中 Web 浏览器中输入一个 DNS 域名，则客户机产生一个查询并将查询传给 DNS 客户服务利用本机的缓存信息进行解析，如果查询信息可以被解析则完成了查询。
    本机解析所用的缓存信息可以通过两种方式获得：
§　如果客户机配置了 host 文件，在客户机启动是 host 文件中的名称与地址映射将被加载到缓存中。
§　以前查询时 DNS 服务器的回答信息将在缓存中保存一段时间
    如果在本地无法获得查询信息，则将查询请求发送给 DNS 服务器。查询请求首先发送给主 DNS 服务器，当 DNS 服务器接到查询后，首选在服务器管理的区域的记录中查找，如果找到相应的记录，则利用此记录进行解析。如果没有区域信息可以满足查询请求，服务器在本地的缓存中查找，如果找到相应的记录则查询过程结束。
    如果在主 DNS 服务器中仍无法查找到答案，则利用递归查询进行名称的全面解析，这需要网络中的其它 DNS 服务器协助，默认情况下服务器支持递归查询。

为了 DNS 服务器可以正常的进行递归查询，首选需要一些关于在 DNS 域名空间中的其它 DNS 服务器的信息以便通信。信息以 root hints 的形式提供一个关于其它 DNS 服务器的列表。利用 root hints DNS 服务器可以进行完整的递归查询。
    如图5.4显示了利用递归查询来查询名称为 "host-b.example.microsoft.com." 的计算机的过程：
    首选，主DNS服务器解析这个完整名称，以确定它属于那个 top-level domain, 即 "com"。接着它利用转寄查询的方式向 "com" DNS 服务器查询以获得 "microsoft.com" 服务器的地址，然后以同样的方法它从 "microsoft.com" 服务器获得 "example.microsoft.com" 服务器的地址，最后它与名为

"example.microsoft.com." 的DNS服务器进行通信，由于用户所要查询的主机名称包含在该服务器管理的区域中，它向主 DNS 服务器方发送一个回答，主 DNS 服务器将这个回答转发给提出查询的客户机，到此递归查询过程结束。

返回多个查询响应
    在前面所描述的查询都假设在查询过程结束时只一个肯定回答信息返回给客户机，然而在实际查询时还可能返回其它回答信息：
§　授权回答 (authoritative answer)：在返回给客户机的肯定回答中加入了授权字节，指明信息是从查询名称的授权服务器获得的
§　肯定回答 (positive answer)：由被查询的RR (resource records)或一个RRs列表组成，与查询的DNS名称和查询信息中的记录类型相匹配。
§　提名回答 (referral answer ):包含未在查询中指定的附加资源记录，它返回给那些不支持递归查询的客户机，这些附加信息可以帮助客户机继续进行转寄查询
§　否定回答 (negative answer )：当遇到以下情况之一时，服务器发送否定回答
§　授权服务器报告所查询的名称不在 DNS 域名空间内
§　授权服务器报告所查询的名称在 DNS 域名空间内，但没有记录与查询指定的名称想匹配
缓存与 TTL
    当 DNS 服务器通过外界查询到 DNS 客户机所需的信息后，它会将此信息在缓存中保存一份，以便下次客户机再查询相同的记录时，利用缓存中信息直接回答客户机的查询。这份数据只会在缓存中保存一段时间，这段时间称为 TTL (Time-To-Live)。当记录保存到缓存中， TTL 计时启动，当 TTL 时间递减到 0 的时候，记录被从缓存中清除。TTL 默认值为 3600 秒 (1小时)。

    5.1.3. 区域的复制与传输
    由于区域 (zone) 在 DNS 中所处的重要地位，用户可以通过多个 DNS 服务器提高域名解析的可靠性和容错性。当一台 DNS 服务器发生问题时，可以用其它DNS服务器提供域名解析。这就需要利用区域复制和同步方法保证管理区域的所有DNS服务器中域的记录相同。在 Windows 2000 服务器中, DNS 服务支持增量区域传输 (incremental zone transfer)。所谓增量区域传输就是在更新区域中的记录时，DNS 服务器之间只传输发生改变的记录，因此提高了传输的效率。 在以下情况区域传输启动：
§　当管理区域的辅助 DNS 服务器启动的时候
§　当区域的刷新时间间隔过期后
§　当在主 DNS 服务器记录发生改变并设置了通告列表
    DNS 通告
    所谓 DNS 通告是利用"推"的机制，当 DNS 服务器中的区域记录发生改变时，它将通知选定的 DNS 服务器进行更新，被通知的服务器启动区域复制操作。

5.1.4. 在 Windows2000 Server 中的 DNS 服务的新特性
    与 Active Directory 的集成
    Active Directory 提供了一个企业级的工具，利用它在网络中组织、管理、定位资源。
    当DNS服务与 Active Directory 集成在一起，它发生了两个明显的变化：
§　DNS 需要安装在 Windows 2000 域控制器中 (domain controllers)。Net Logon 服务利用新的 DNS 服务器所支持的 SRV (service) 资源记录提供客户机注册的服务
§　用户可以利用 Active Directory 来存储、集成及复制区域
    DNS 服务在域控制器中是默认安装的，因为域控制器的定位和活动目录的应用都需要 DNS 服务器的支持。

一旦活动目录安装完成，用户可以有两种方式保存和复制区域：
§　利用文本文件存储标准区域信息
区域信息存储在 %SystemRoot%\System32\Dns 目录下的 *.dns 文件中。
§　利用活动目录存储完整目录区域信息
区域信息存储在活动目录树中的域对象容器中，每个目录集成区域存储在一个 dnsZone 的容器对象中。
    在网络中配置 DNS 服务器支持活动目录将具有以下优点：
§　基于活动目录的 Multi-master 信息更新和安全性的提高
    在标准区域存储模式中，DNS 的更新是基于一种被称为 single-master 更新模式，在这种模式中，单一的授权 DNS 服务器被指定为主信息源，如果服务器出现问题则 DNS 客户机的请求将无法进行处理。而使用 multi-master 更新模式，则任意一台 DNS 服务器都可以被指定为区域的主信息源，因为区域 (zone) 的全部信息记录是由活动目录数据库进行管理的，并且它将被复制到所有的域控制器中，任何域控制器都可以利用 DNS 服务更新区域信息，并处理 DNS 客户机的请求。

§　当在活动目录 domain 中加入新的域控制器时 Zones 的信息将自动复制到新的域控制器中
§　由于DNS域名空间信息存储在活动目录中，用户现在可以容易的规划和管理 DNS 和活动目录
§　与标准的 DNS 目录复制相比现在的目录复制更为快捷有效
    支持 Unicode 字符
    在以前的制定的 DNS 标准中规定只能使用 ASCII 字符编码和显示名称。在使用 DNS 进行 Internet 设置时，明显限制了在名称中使用扩展字符的使用。为了突破这种限制，在 Windows2000 中 DNS 服务提供对 UTF-8 的支持。
    在 Windows 2000 服务器启动时，DNS 服务采用 UTF-8 编码识别方式。即当服务器接收或使用的数据为 UTF-8 编码字符时，服务器可以在区域中加载或存储这些数据。当然 Windows2000 与使用传统 US-ASCII 字符的DNS服务器兼容。返回页首>>>

5.2. 安装DNS服务器
    步骤1 启动"添加/删除程序"，之后出现"添加/删除程序"对话框
    步骤2 单击"添加/删除 Windows 组件"，出现 "windows 组件向导"单击下一步"出现 "Windows组件" 对话框从列表中选择"网络服务"如图 5.5

步骤3 单击"详细内容"，从列表中选取"域名服务系统 (DNS)", 如图 5.6， 单击"确定"
    步骤4 单击"下一步"输入到 Windows2000 Server 的安装源文件的路径，单击"确定"开始安装 DNS 服务
    步骤5 单击"完成"，当回到"添加/删除程序"对话框后，单击"关闭"按钮
    步骤6 关闭"添加/删除程序"窗口。

    安装完毕后在管理工具中多了一个 "DNS" 控制台(安装结束后不用重新启动计算机)
    在安装 Active Directory 的同时也安装和配置了 DNS 服务器，所以就不用在重复上述的安装过程了，具内容详见 Active Directory 的安装于配置。
返回页首>>>

5.3. DNS 服务器的设置与管理
    5.3.1. DNS 的启动设置
    DNS 服务器在启动时，需要从相关配置文件中知道它所要管理的 zone 的信息，及文件的位置。对于符合 BIND (Berkeley Internet Name Domain) 规格的 DNS 服务器是利用 bootfile 来获得配置信息的。在 Windows2000 中可以利用下表中的方法启动 DNS 服务：

方式 | 描述
从注册表 (Registry) 引导 | 初始化 DNS 服务时从注册表中读取配置参数，DNS 服务的默认引导方式。
从文件引导 | 初始化 DNS 服务时从符合 BIND 规格的 bootfile 中读取配置参数，首选必须从其它 BIND 服务器拷贝一份 bootfile 文件，在启动后相关配置参数将保存在注册表中。
从 DS 引导 | 初始化 DNS 服务时从 Active Directory 中读取配置参数

在 DNS 服务器启动后，用户可以看到如图 5.7 DNS 服务所在的计算机已经添加到 DNS 控制台中，其中包括"正向搜索区域、反向搜索区域"目录。

5.3.2. 添加 DNS Zone
    因为 DNS 的数据是以 zone 为管理单位的，因此用户必须先建立 zone。添加 Zone 的具体步骤如下：
    步骤1 在 DNS 控制台中左侧窗体中选择服务器单击"操作"菜单选择"创建新区域"，启动"创建新区域"向导
    步骤2 在选择区域类型对话框中选择"标准主要区域"如图 5.8
    步骤3 在"选择区域搜索类型"中选择"正向搜索"则创建的新区域存放在正向搜索区域目录中

步骤4 在区域名对话框中输入新区域的域名如图 5.9，如果创建辅助区域则需要输入"主要区域"的域名
    步骤5 在文件名对话框中新文件文本框中自动输入了以域名为文件名的 DNS 文件，如果是创建"辅助区域"则选择"现存文件"并在文本框中输入文件名
    步骤6 在完成设置对话框中显示以上所设置的信息单击"完成"按钮

下面用户对添加区域中的记录类型加以说明
记录的格式：
    所有的资源记录(RRs) 都利用相同 top-level 子段组成其指定的格式

子段 | 描述
Owner | 在 DNS 管理器中说明记录的所有者的 DNS 域名，与记录属性中的父类域名是一样的
Time-To-Live (TTL) | 对于许多记录这项是可选，它表示该记录在其它 DNS 服务器的缓存中保存的时间长度
Class | 对于许多记录这项是可选的，它利用标准的记忆文本表示记录所属的类，如在某个记录中的类子段中设置为 "IN" 表示记录属于 Internet 类
Type | 用标准的记忆文本表示记录的类型
Record-specific data | 记录必须具备的子段，它根据不同的记录类型和类以不同长度的子段表示记录信息

常用记录类型的说明
主机[A]
描述: 主机地址记录。在 DNS 域名与 IP 地址之间建立映射关系
语法: owner class ttl A IP_v4_address
例子: host1.example.microsoft.com. IN A 127.0.0.1
别名[CNAME]
描述: 用来表示用在该区域中的其它资源记录类型中已指定名称的替补或别名 DNS 域名。
语法: owner ttl class AFSDB subtype server_host_name
例子: aliasname.example.microsoft.com. AFSDB 1 truename.example.microsoft.com.
主机信息[HINFO]
描述: 用来说明映射到特定 DNS 主机名的 CPU 类型和操作系统类型的 RFC-1700 保留字符串类型，这个信息可以被应用程序通信协议使用。
语法: owner ttl class HINFO cpu_type os_type
例子: my-computer-name.example.microsoft.com. HINFO INTEL-386 WIN32
邮箱[MB]
描述: 用来将指定的域邮箱名映射到这个邮箱的主机的当前区域中的主机地址记录
语法: owner ttl class MB mailbox_hostname
例子: mailbox.example.microsoft.com. MB mailhost1.example.microsoft.com

邮箱或通信信息 MINFO
描述: 用来指定负责维护该记录中特定通信名单或邮箱的联系域邮箱名称。同时，还被用来指定接收与该记录中特定通信名单或邮箱有关的错误信息的邮箱
语法: owner ttl class MINFO responsible_mailbox error_mailbox
例子: administrator.example.microsoft.com. MINFO resp-mbox.example.microsoft.com err-mbox.example.microsoft.com
邮件交换器 [MX]
描述: 用来向特定邮件交换器提供消息路由，该主机作为指定 DNS 域名的邮件交换器。MX 记录需要一个16-位整数来表示消息路由中的主机优先级，多个邮件交换在消息一中被指定。对于这个记录类型中的每个邮件交换主机，需要一个相应的主机地址类型记录。
语法: owner ttl class MX preference mail_exchanger_host
例子: example.microsoft.com. MX 10 mailserver1.example.microsoft.com
指针记录 [PTR]
描述:用来指向域名空间中的某个位置。PTR记录通常在特殊域中来执行地址到名称镜像的反向搜索。每个记录提供要指向域名称空间的某个其它位置的简单数据。
Syntax: owner ttl class PTR targeted_domain_name
例子: 1.0.0.10.in-addr.arpa. PTR host.example.microsoft.com.

服务记录 [SRV]
描述: SRV 资源记录允许管理员使用单一 DNS 域的多个服务器，容易的用管理功能将 TCP/IP 服务从一个主机移到另一个主机，并且将服务提供的程序主机分派为服务的主服务器，将其它的分派为辅助的
语法: service.protocol.name ttl class SRV preference weight port target
例子: ldap.tcp.ms-dcs SRV 0 0 389 dc1.example.microsoft.com SRV 10 0 389 dc2.example.microsoft.com
已知服务记录 [WKS]
描述: 用来描述一个特定 IP 地址上特定通讯协议支持的 TCP/IP 服务，它提供 TCP 和 UDP 可使用性信息。如果服务器同时支持 TCP 和 UDP 的已知服务，或者有多个支持服务的 IP 地址，多个 WKS 记录会被使用
语法: owner ttl class WKS address protocol service_list
例子: example.microsoft.com. WKS 10.0.0.1 TCP ( telnet smtp ftp )
    在"起始颁发机构" SOA 中，记录了这个 Zone 中 DNS 服务器是那一台主机，也记录着负责本 zone 的管理员的邮件地址，如果以后在安装邮件服务器需要修改该信息时，注意将邮件地址中的 "@" 符改为句点 "." ，因为 "@" 是保留字，代表 zone；另外，要使用域完整名称 FQDN，不要漏掉最后的句点。可以通过 "zone→属性→起始颁发机构"对管理员邮件地址进行修改。

5.3.3 添加 DNS Domain
    在一个区域中用户还可以按地域、职能等划分为多个子域便于管理，如用户可以在 NT2000.com 域中按部门划分为"sale","accounting","mis"等部门。下面用户举例说明在 nt2000.com 域中加入 accounting 子域：
    步骤1 单击 nt2000.com 后单击"操作"单击"新建"，选择域
    步骤2 在域对话框中输入域名
    步骤3 单击确定
    添加反向查询区域 (zone)
    反向查询可以让用户利用 IP 地址查询名称。添加反向查询的具体步骤如下：

    步骤1 在DNS控制台中选择"反向查询区域→操作→创建
新区域"
    步骤2 启动创建新区域向导→在选择区域类型对话框中选择标准主要区域
    步骤3 在网络 ID 对话框中输入反向搜索区域的网络标识 (假设提供反向查询的 zone 为198.188.188),向导会自动输入子网掩码并在文件名对话框中输入的新文件名称如图 5.10中的 255.255.255,188.188.198.in-addr.arpa.dns。

步骤4 单击"完成"按钮则在反向搜索区域中添加了一个新区域如图 5.11

5.3.4 设置 DNS 服务器的动态更新
    在以前版本的 DNS 服务器中的主机地址记录是手工添加的，当主机的 IP 地址发生变化时，需要管理员手工修改，在 Windows2000 中可以利用动态更新的方式，当 DHCP 主机 IP 地址发生变化时，会在 DNS 服务器中自动更新，这样减轻了管理员的负荷。具体设置如下：
    步骤1 首选用户需要对 DHCP 服务器的属性进行设置，选择 DHCP 服务器，显示属性单击动态DNS如图 5.12在其中选中"启动 DNS 客户信息动态更新"并选中选项中的"当租约过期时取消正向搜索、对非动态 DNS 客户更新"两个选项

步骤2 在 DNS 控制台中展开正向搜索区域，选择区域，单击"操作"，单击属性，在"常规"标签中在下方的动态更新下拉列表中选择"允许更新"→确定如图 5.13
    步骤3 展开反向搜索区域，选择反向区域单击操作单击属性并在"常规"标签中下方选择"允许更新"。
    这样在客户信息改变时，它在 DNS 服务器中的信息也会自动更新。
    服务器的转发程序的设置
    当 DNS 服务器无法提供 DNS 客户机需要查询的数据时，它可以通过一台有转发器功能的 DNS 服务器转发此查询到其它 DNS 服务器进行递归查询，但必须设置本服务器可以使用该转发器。通常在用户需要通过慢速连接访问远端DNS服务器时需要使用转发器。
    选择 DNS 服务器→操作→属性→转发程序标签→输入转发器的 IP 地址→如果要将此服务器作为转发器的辅助服务器可以选择"作为辅助服务器操作"选项，这样如果转发器无法提供所需信息时，则此服务器直接将结果发送给客户机，不再进行查询。

5.3.5. 修改区域传输的通知列表
    对"起始颁发机构（SOA）"参数的设置
    单击区域单击"操作"，单击属性进入起始颁发机构（SOA）标签如图 5.14
    序列号：当执行区域传输时，首选检查序列号，只有当主服务器的序列号比辅助服务器的序列号大的时候（表示辅助服务器中的数据已过时）复制操作才会执行。
    刷新间隔：设置辅助服务器隔多长时间需要检查其数据，执行区域传输
    重试间隔：当在刷新间隔到期时辅助服务器无法于主服务器通讯，需等多久再重试
    过期间隔：如果辅助服务器一直无法与主服务器建立通讯，在此时间间隔后辅助服务器不再执行查询服务，因为其包含的数据可能是错误的。

最小 TTL：服务器查询到的数据在缓存中的保存时间
    修改通知列表
    选择区域的属性中的区域传输标签中设置与那些服务器进行区域传输，默认情况下将与网络中的所有DNS服务器进行区域传输，也可以设置为只与名称服务器列表中的服务器进行区域传输或与指定的服务器进行区域传输。如图 5.15
    当 DNS 服务器启动时会自动执行区域传输，以便将主服务器中的数据复制到辅助服务器中，另外用户还可以设置在DNS服务器运行过程中定期执行区域传输操作，当主服务器的数据变化时，它会将更改通知发送给想应的服务器，则相应的服务器可以不必等到刷新间隔而立即执行传输操作。

    通过区域属性，进入区域传送标签，"通知"按钮出现如图 5.16
    永不发送区域通知：在主服务器的数据发生改变时不发送区域通知给其它服务器
    通知名称服务器页上的服务器：在主服务器的数据发生改变时向名称服务器列表中的服务器发送通知，只通知指定的服务器。

返回页首>>>

5.4 与 WINS 的结合使用
    当 DNS 服务器与 WINS 服务结合使用后，在DNS域名空间无法查询的名称可以利用 WINS 管理的 NetBIOS 名称空间进行查询。 当 DNS 服务器与 WINS 服务结合使用时，在区域中加入两个专门的 WINS 资源记录类型 (WINS 和 WINS-R 资源记录) ，当使用 WINS 记录时，如果 DNS 无法在域名空间中查找到相应的主机名称，则将记录转送到这个记录所设置的 WINS 服务器中，WINS-R 记录提供反向查询的功能。在一个区域中启动 WINS 查询功能具体步骤如下：
    步骤1 首选在 DNS 服务器中选择一个区域由简单击属性属性单击WINS标签
    步骤2 选择"使用 WINS 名称解析"选项，在下方的 WINS 服务器中添加 WINS 服务器的 IP 地址如图 5.17
    步骤3 如果在区域传输时 用户不想将这条记录复制给其它 DNS 服务器，则用户可以选中"不复制此记录"

设置完毕后，在数据库中将添加一个类型为WINS的记录。
    举例来说，如果将 nt2000.com 这个域设置为"使用 WINS 名称解析"，当客户机向服务器查询主机名为"one.nt2000.com"的 IP 地址时，如果 DNS 服务器无法在其管理的域名空间中解析此主机名称，则将此查询转发至设置的 WINS 服务器进行解析。注意DNS服务器并

不是将完整主机名称发送给 WINS 服务器，而是只发送主机名称"one"，然后由WINS服务器提供其解析的 IP 地址，DNS 服务器再将其发送给客户机。由于WINS数据库中保存的是计算机名（NETBIOS名），而不是主机名称，所以为了让 WINS 服务器正常发挥作用，则在设置计算机的主机名称时，将其设置的域主机名称相同。
    当 DNS 服务器在将查询结果发送给客户机的时候，它将结果保存到缓存中一份。下次再有相同查询时，可以利用缓存中的数据直接回答，提高了查询速度。利用高级设置其缓存中的数据保存时间 TTL。如图 5.18

超时值放入高速缓存：设置数据在缓存中的保存时间
    查找超时值：在 DNS 服务器将查询发送给 WINS 服务后，如果在此时间间隔内 WINS 服务器没有作出回答，则DNS服务器将此查询结果发送给客户机。
    设置 WINS 反向查询
    在DNS控制台中展开反向搜索区域，选择区域→属性→选择 WINS-R 标签，在其中选择"使用 WINS 反向搜索"选项如图 5.19，然后在"附加到反向搜索上的域名"文本框中输入DNS 域名称，DNS 服务器会将由 WINS 查询到的计算机名与域名合并后，再发送给客户机。如查询结果为 test , 而域名称为 nt2000.com 则返回给客户机的结果为 test.nt2000.com

返回页首>>>

5.5 客户机的 DNS 设置
    在成功安装 DNS 服务器后，就可以在 DNS 客户机启用 DNS 服务，下面具体说明如何在客户机上设置并启用 DNS 服务
    5.5.1 LAN Manager 的DNS设置
    在安装 TCP/IP 或执行 SETUP 程序时或修改 TCPUTILS.INI 文件中的 [NDR]session ，在 "TCP/IP Setting" 中选择 <Advanced…>，
    Username: 登录的用户名称
    Hostname: 客户机的主机名称
    选择 "use DNR for hostname resoluteion"
    在 "Primary Nameserver Ip Address" 处，输入主DNS服务器IP地址
    在 "Secondary Nameserver Ip Address" 处，输入辅助DNS服务器IP地址
    在 "Domain Name Suffix" 处，输入 DNS 域名称

5.5.2 Windows98 的 DNS 设置
    进入 TCP/IP 高级属性
    选择 DNS 配置标签，选择"启用 DNS"选项如图 5.20
    输入主机名称、域名称，添加 DNS 服务器 IP 地址

5.5.3 WindowsNT4.0 的 DNS 设置
    在 WindowsNT4.0 server/workstation 中， TCP/IP 通信协议单击"属性" 选择 "DNS" ，在 DNS 标签中如图 5.21 中
    主机名：输入计算机的主机名称
    域：主机所隶属的域名称
    DNS 服务器搜索顺序：添加 DNS 服务器的地址
    域后缀搜索顺序：添加主机名称的后缀

5.5.4 Windows 2000Professional 的 DNS 设置
    打开网络和拨号连接双击本地连接，单击属性选择 Internet 协议（TCP/IP）然后选择属性，如果在 DHCP 服务中设置了 DNS 的信息则在对话框中选择"自动获得 DNS 服务器地址"选项并分别在首选 DNS 服务器和备用 DNS 服务器中填写主 DNS 服务器和辅助 DNS 服务器的 IP 地址如图 5.22

如果需要进一步设置客户机的 DNS 属性，则单击"高级"按钮选择 DNS 标签如图 5.23，如果选择"搜索主 DNS 和每一个连接的 DNS 域"表示在搜索一个不标准的域名称时只能在父域中搜索，如果父域中搜索不到该域名则将此结果返回；如果选择"搜索这些 DNS 域"选项则在搜索域名称时首选在列表中的服务器上搜索，如果搜索不到结果则在其它域中进行搜索。
    "在 DNS 注册此连接的地址、在 DNS 中注册此连接的域名"这两个选项用于在 Win2000 环境中在登录时将客户机的 IP 地址及域名注册到 DNS 服务器中。
    在 DNS 服务器和客户机的设置完成后用户可以利用 IPCONFIG、PING、NSLOOKUP 三个命令测试 DNS 服务器的设置是否正确.具体使用，请参看 Windows 2000 Server 中相应文档。

返回页首>>>

  相关内容：（本教程出自：www.365edu.com）
第一章、windows2000Server新功能及安装
第二章、windows2000网络客户端的安装和配置
第三章、配置远程安装服务和设置用户配置文件
第四章、windows2000的基本管理
第五章、DNS服务器的配置与管理
第六章、活动目录服务的基本安装和配置
第七章、管理计算机和用户帐号
第八章、文件和打印系统的配置与管理
第九章、数据存储
第十章、安全管理


第六章 活动目录服务的基本安装和配置

    Active Directory 是用于 Windows 2000 Server 的目录服务。它存储着网络上各种对象的有关信息，并使该信息易于管理员和用户查找及使用。Active Directory 目录服务使用结构化的数据存储作为目录信息的逻辑层次结构的基础。Active Directory 的优点：信息安全性 、基于策略的管理 、可扩展性 、可伸缩性 、信息的复制 、与 DNS 集成 、与其他目录服务的互操作性、灵活的查询。
本章主要内容：
1、活动目录的基本概念及其作用
2、在安装活动目录前的目录规划
3、活动目录工具

    6.1 活动目录的概念
    6.1.1 域
    域提供了多项优点：
§　组织对象。
§　发布有关域对象的资源和信息。
§　将组策略对象应用到域可加强资源和安全性管理。
§　委派授权使用户不再需要大量的具有广泛管理权利的管理员。

要创建域，用户必须将一个或更多的运行 Windows 2000 Server 的计算机升级为域控制器。域控制器为网络用户和计算机提供 Active Directory 目录服务、存储目录数据并管理用户和域之间的交互作用，包括用户登录过程、验证和目录搜索。每个域至少必须包含一个域控制器。
    域树和域林
    活动目录中的每个域利用 DNS 域名加以标识，并且需要一个或多个域控制器。如果用户的网络需要一个以上的域，则用户可以创建多个域。共享相同的公用架构和全局目录的一个或多个域称为域林。如图 6.1 中所示，如果树林中的多个域有连续的 DNS 域名，则该结构称为域树。

如图6.2所示如果相关域树共享相同的 Active Directory 架构以及目录配置和复制信息，但不共享连续的 DNS 名称空间，则称之为域林。
    域树和域林的组合为用户提供了灵活的域命名选项。连续和非连续的 DNS 名称空间都可加入到用户的目录中。

6.1.2. 域和帐户命名
    Active Directory 域名通常是该域的完整 DNS 名称。但是，为确保向下兼容，每个域还有一个 Windows 2000 以前版本的名称，以便在运行 Windows 2000 以前版本的操作系统的计算机上使用。用户帐户
    在 Active Directory 中，每个用户帐户都有一个用户登录名、一个 Windows 2000 以前版本的用户登录名（安全帐户管理器的帐户名）和一个用户主要名称后缀。在创建用户帐户时，管理员输入其登录名并选择用户主要名称。Active Directory 建议 Windows 2000 以前版本的用户登录名使用此用户登录名的前 20 个字节。
    所谓用户主要名称是指由用户账户名称和表示用户账户所在的域的域名组成。这是登录到 Windows 2000 域的标准用法。表准格式为：user@domain.com (类似个人的电子邮件地址)。但不要在用户登录名或用户主要名称中加入 @ 号。Active Directory 在创建用户主要名称时自动添加此符号。包含多个 @ 号的用户主要名称是无效的。
    在 Active Directory 中，默认的用户主要名称后缀是域树中根域的 DNS 名。如果用户的单位使用由部门和区域组成的多层域树，则对于底层用户的域名可能很长。对于该域中的用户，默认的用户主要名称可能是 grandchild.child.root.com。该域中用户默认的登录名可能是 user@grandchild.child.root.com 。创建主要名称后缀 - "root" 使同一用户使用更简单的登录名 user@root.com 就可以登录。

6.1.3 域间信任关系
    对于 Windows 2000 计算机，通过基于 Kerberos V5 安全协议的双向、可传递信任关系启用域之间的帐户验证。
    在域树中创建域时，相邻域（父域和子域）之间自动建立信任关系。如图 6.2 中的 root.com 和 child.root.com 之间自动建立信任关系。在域林中，在树林根域和添加到树林的每个域树的根域之间自动建立信任关系。因为这些信任关系是可传递的，所以可以在域树或域林中的任何域之间进行用户和计算机的身份验证。
    如果将 Windows 2000 以前版本的 Windows 域升级为 Windows 2000 域时，Windows 2000 域将保留域和任何其他域之间现有的单向信任关系。包括 Windows 2000 以前版本的 Windows 域的所有信任关系。如果用户要安装新的 Windows 2000 域并且希望与任何 Windows 2000 以前版本的域建立信任关系，则必须创建与那些域的外部信任关系。
    所有域信任关系都只能有两个域：信任域和受信任域。域信任关系按以下特征进行描述：
§　单向
    单向信任是域 A 信任域 B 的单一信任关系。所有的单向关系都是不可传递的，并且所有的不可传递信任都是单向的。身份验证请求只能从信任域传到受信任域。Windows 2000 的域可与以下域建立单向信任：不同树林中的 Windows 2000 域 、Windows NT 4.0 域 、MIT Kerberos V5 领域。
§　双向
    Windows 2000 树林中的所有域信任都是双向可传递信任。建立新的子域时，双向可传递信任在新的子域和父域之间自动建立。

§　可传递
    Windows 2000 树林中的所有域信任都是可传递的。可传递信任始终为双向：此关系中的两个域相互信任。
    可传递信任不受信任关系中的两个域的约束。每次当用户建立新的子域时，在父域和新子域之间就隐含地（自动）建立起双向可传递信任关系。这样，可传递信任关系在域树中按其形成的方式向上流动，并在域树中的所有域之间建立起可传递信任。
    如图6.3中因为域 1 和域 2 有可传递信任关系，域 2 和域 3 有可传递信任关系，所以域 3 中的用户（在获得相应权限时）可访问域 1 中的资源。因为域 1 和域 A 具有可传递信任关系，

并且域 A 的域树中的其他域和域 A 具有可传递信任关系，所以域 B 中的用户（当授与适当权限时）可访问域 3 中的资源。

§　不可传递
    不可传递信任受信任关系中的两个域的约束，并不流向树林中的任何其他域。在大多数情况下，用户必须明确建立不可传递信任。在 Windows 2000 域和 Windows NT 域之间的所有信任关系都是不可传递的。从 Windows NT 升级至 Windows 2000 时，目前所有的 Windows NT 信任都保持不动。在混和模式环境中，所有的 Windows NT 信任都是不可传递的。不可传递信任默认为单向信任关系。
§　外部信任
    外部信任创建了与树林外部的域的信任关系。创建外部信任的优点在于使用户可以通过树林的信任路径不包含的域进行身份验证。所有的外部验证都是单向非转移的信任
§　快捷信任
    快捷信任是双向可传递的信任，使用户可以缩短复杂树林中的路径。Windows 2000 同一树林中域之间的快捷信任是明确创建的。快捷信任具有优化的性能，能缩短与 Windows 2000 安全机制有关的信任路径以便进行身份验证。在树林中的两个域树之间使用快捷信任是最有效的。

    6.1.4 站点
    站点是由一个或多个 IP 子网中的一组计算机，确保目录信息的有效交换，站点中的计算机需要很好地连接，尤其是子网内的计算机。站点和域名称空间之间没有必要的连接。站点反映网络的物理结构，而域通常反映用户单位的逻辑结构。逻辑结构和物理结构相互独立，所以网络的物理结构及其域结构之间没有必要的相关性，Active Directory 允许单个站点中有多个域，单个域中有多个站点。
    如果配置方案未组织成站点，则域和客户之间的信息交换可能非常混乱。站点能提高网络使用的效率。站点服务在以下两方面令网络操作更为有效：
§　服务请求
    当客户从域控制器请求服务时，只要相同域中的域控制器有一个可用，此请求就将会发给这个域控制器。选择与发出请求的客户连接良好的域控制器将使该请求的处理效率更高。
§　复制
    站点使目录信息以流水线的方式复制。目录架构和配置信息分布在整个树林中，而且域数据分布在域中的所有域控制器之间。通过有策略地减少复制，用户的网络拥塞也会同样减少。Active Directory 在一个站点内比在站点之间更频繁地复制目录信息。这样，连接最好的域控制器中，最可能需要特定目录信息的域控制器首先接收复制的内容。其他站点中的域控制器接收对目录所进行的更改，但不频繁，以降低网络带宽的消耗。

6.1.5 Active Directory 用户和计算机帐户
    Active Directory 用户和计算机帐户代表物理实体，诸如计算机或人。用户帐户和计算机帐户（以及组）称为安全主体。安全主体是自动分配安全标识符的目录对象。带安全标识符的对象可登录到网络并访问域资源。用户或计算机帐户用于：
§　验证用户或计算机的身份。
§　授权或拒绝访问域资源。
§　管理其他安全主体。
§　审计使用用户或计算机帐户执行的操作。
    Windows 2000 提供了可用于登录到运行 Windows 2000 的计算机的预定义用户帐户。这些预定义帐户为：
§　管理员帐户
§　来宾帐户
    预定义帐户就是允许用户登录到本地计算机并访问本地计算机上资源的默认用户帐户。设计这些帐户的主要目的是本地计算机的初始登录和配置。每个预定义帐户均有不同的权利和权限组合。管理员帐户有最广泛的权利和权限，同时来宾帐户有受限制的权利和权限。

6.1.6组策略
    组策略设置影响计算机或用户帐户并且可应用于站点、域或组织单位。它可用于配置安全选项、管理应用程序、管理桌面外观、指派脚本并将文件夹从本地计算机重新定向到网络位置。

    6.1.7集成DNS
    由于 Active Directory 与 DNS 集成而且共享相同的名称空间结构，因此注意两者之间的差异非常重要：
§　DNS 是一种名称解析服务。
    DNS 客户机向配置的 DNS 服务器发送 DNS 名称查询。DNS 服务器接收名称查询，然后通过本地存储的文件解析名称查询，或者查询其他 DNS 服务器进行名称解析。DNS 不需要 Active Directory 就能运行。
§　Active Directory 是一种目录服务

Active Directory 提供信息储存库以及让用户和应用程序访问信息的服务。Active Directory 客户使用"轻量级目录访问协议 (LDAP)"向 Active Directory 服务器发送查询。要定位 Active Directory 服务器，Active Directory 客户机将查询 DNS。Active Directory 需要 DNS 才能工作。
    即 Active Directory 用于组织资源，而 DNS 用于查找资源；只有它们共同工作才能为用户或其他请求类似信息的过程返回信息。DNS 是 Active Directory 的关键组件，如果没有 DNS，Active Directory 就无法将用户的请求解析成资源的IP地址，因此在安装和配置 Active Directory 之前，用户必须对 DNS 有深入的理解。

    6.1.8组织单位
    包含在域中的特别有用的目录对象类型就是组织单位。组织单位是可将用户、组、计算机和其他单位放入其中的 Active Directory 容器。组织单位不能包括来自其他域的对象。组织单位是可以指派组策略设置或委派管理权限的最小作用域或单位。使用组织单位，用户可在组织单位中代表逻辑层次结构的域中创建容器。这样用户就可以根据用户的组织模型管理帐户和资源的配置和使用。

返回页首>>>

6.2 安装活动目录(ADS)
    6.2.1 Active Directory 的规划
    在安装 Active Directory 之前，用户首先要对 Active Directory 的结构进行细致的规划设计，让用户和管理员在使用时更为轻松。
§　规划 DNS
    如果用户准备使用 Active Directory，则需要先规划名称空间。当 DNS 域名称空间可在 Windows 2000 中正确执行之前，需要有可用的 Active Directory 结构。所以，从 Active Directory 设计着手并用适当的 DNS 名称空间支持它。经过审阅，如果检测到任何规划中有不可预见的或不合要求的结果，则根据需要进行修改。
    在 Windows 2000 中，用 DNS 名称命名 Active Directory 域。选择 DNS 名称用于 Active Directory 域时，以单位保留在 Internet 上使用的已注册 DNS 域名后缀开始（如"root.com"），并将该名称和单位中使用的地理名称或部门名称结合起来，组成 Active Directory 域的全名。
    例如，root 的 sales 测试组可能称他们的域为"sales.child.root.com"。这种命名方法确保每个 Active Directory 域名是全球唯一的。而且，这种命名方法一旦被采用，使用现有名称作为创建其他子域的父名称以及进一步增大名称空间以供单位中的新部门使用的过程将变得非常简单。对于仅使用单个域或小型多域模式的小型企业，可以直接进行规划并按照与以前范例相似的方法操作。在规划 DNS 和 Active Directory 名称空间时，建议使用不同组而且不重叠的可分辨名称作为内部和外部 DNS 使用的基础。例如，假定单位的父域名是"example.root.com"。对于内部 DNS 名称的使用，用户可以使用诸如"internal.root.microsoft.com"的名称 对于外部 DNS 名称的使用，用户可以使用诸如"external.example.microsoft.com"的名称 保持内部和外部名称空间始终是分离的而且截然不同，这样用户可以简化某些配置的维护工作，如域名筛选器或排除列表。

§　规划用户的域结构
    最容易管理的域结构就是单域。规划时，用户应从单域开始，并且只有在单域模式不能满足用户的要求时，才增加其他的域。一个域可跨越多个站点并且包含数百万个对象。站点结构和域结构互相独立而且非常灵活。单域可跨越多个地理站点，并且单个站点可包含属于多个域的用户和计算机。如果只是反映用户公司的部门组织结构，则不必创建独立的域树。在一个域中，可以使用组织单位来实现这个目标。然后，可以指定组策略设置并将用户、组和计算机放在组织单位中。
    创建多个域的原因有：
§　部门之间不同的密码要求
§　大量的对象
§　不同的 Internet 域名
§　对复制进行更多的控制
§　分散的网络管理
§　规划组织单位结构
    可以在域中创建组织单位的层次结构。组织单位可包含用户、组、计算机、打印机、共享文件夹以及其他组织单位。组织单位是目录容器对象。它们表现为"Active Directory 用户和计算机"中的文件夹。组织单位简化了域中目录对象的视图以及这些对象的管理。可将每个组织单位的管理控制权委派给特定的人。这样，用户就可以在管理员中分配域的管理工作，以更接近指派的单位职责的方式来管理这些管理性职责工作。

通常，应该创建能反映组织单位的职能或商务结构的单位。例如，用户可以创建顶级单位，例如人事关系、设备管理和营销等部门单位。在人事关系单位中，用户可以创建其他的嵌套组织单位，例如福利和招聘单位。在招聘单位中，也可以创建另一级的嵌套单位。例如，内部招聘和外部招聘单位。总之，组织单位可使用户以一种更有意义且易于管理的方式来模拟用户实际工作的单位，而且在任何一级指派一个适当的本地权利机构作为管理员。
    每个域都可实现自己的组织单位层次结构。如果用户的企业包含多个域，则可以独立于其他域中的结构在每个域中创建组织单位的结构。
§　何时创建域控制器
    将 Windows 2000 Server 计算机升级为域控制器会创建一个新域或者向现有的域添加其他域控制器。创建域控制器可以：
§　创建网络中的第一个域。
§　在树林中创建其他的域。
§　提高网络可用性和可靠性。
§　提高站点之间的网络性能。
    要创建 Windows 2000 域，必须在该域中至少创建一个域控制器。创建域控制器也将创建该域。不可能有没有域控制器的域。如果确定用户的单位需要一个以上的域，则必须为每个附加的域至少创建一个域控制器。树林中的附加域可以是：新的子域、新域树的根。

§　规划用户的委派模式
    用户可以将权利下派给单位中最底层部门，方法是在每个域中创建组织单位树，并将部分组织单位子树的权利委派给其他用户或组。通过委派管理权利，用户不再需要那些定期登录到特定帐户的人员，这些帐户具有对整个域的管理权。尽管用户还拥有带整个域的管理授权的管理员帐户和域管理员器组，可以仍保留这些帐户以备少数高度信任的管理员偶尔使用。
最后在规划 Active Directory 结构时，除了需要认真考虑以上各项外，用户还要注意以下几点：
1．使用的域越少越好，因为在 Windows 2000 中已经大大扩展了单个域的容量。
2．限制组织单位的层次，在 Active Directory 搜索事物的层次越深则运行效率越低
3．限制组织单位中的对象个数，这样便于高效的查找特定资源
4．用户可以将管理权限分配到组织单位级，这样提高了管理效率，降低了管理员的负荷。

6.2.2 安装 Active Directory
    运行 Active Directory 安装向导将 Windows 2000 Server 计算机升级为域控制器会创建一个新域或者向现有的域添加其他域控制器。创建域控制器可以：
§　创建网络中的第一个域。
§　在树林中创建其他的域。
§　提高网络可用性和可靠性。
§　提高站点之间的网络性能。
    要创建 Windows 2000 域，必须在该域中至少创建一个域控制器。创建域控制器也将创建该域。不可能有没有域控制器的域。如果确定用户的单位需要一个以上的域，则必须为每个附加的域至少创建一个域控制器。树林中的附加域可以是：新的子域、新域树的根。

在安装 Active Directory 前首先确定DNS服务正常工作，下面用户来安装根域为 nt2000.com 的域中第一台域控制器。
    步骤1 利用配置服务器启动位于 %Systemroot%\system32 中的 Active Directory 安装向导程序 DCPromo.exe。
    如图 6.4，单击"下一步"
    步骤2 由于用户所建立的是域中的第一台域控制器所以选择"新域的域控制器" 单击"下一步"

步骤3 选择"创建一个新域的域目录树" ,单击"下一步"
    步骤4 选择"创建一个新域的域目录林", 单击"下一步"
    步骤5 在"新域的 DNS 全名"中输入要创建得域名，nt2000.com
    如图 6.5,单击"下一步"

步骤6 安装向导自动将域控制器的 NetBIOS 名设置为 "nt2000" ,单击"下一步"
    步骤7 显示数据库、目录文件 及Sysvol 文件的保存位置，一般不必作修改。单击"下一步"
    步骤8 配置 DNS 服务,单击"下一步",（如果在安装 Active Directory 之前未配置 DNS 服务器可以在此让安装向导配置 DNS ，推荐使用这种方法。）
    步骤9 为用户和组选择默认权限，考虑到现在大多数单位中仍然需要使用 Windows 2000 的以前版本，所以选择"与 Windows 2000 服务器之前版本相兼容的权限"
    如图 6.6,单击"下一步"

步骤10 输入以目录恢复模式下的管理员密码,单击"下一步"
    步骤11 安装向导显示摘要信息,单击"下一步"开始安装如图6.7
    步骤12 安装完成之后，重新启动计算机。
    检验安装结果
    在安装完成后，可以通过以下方法检验 Active Directory 安装正确，在安装过程中一项最重要的工作是在 DNS 数据库中添加服务记录( SRV 记录)。
1．检查 DNS 文件的SRV记录
    用文本编辑器打开 %systemroot%/system32/config/ 中的 Netlogon.dns 文件，察看 LDAP 服务记录，在本例中为

_ldap._tcp.nt2000.com. 600 IN SRV 0 100 389 n2k_server.nt2000.com.
2.验证 SRV 记录在 NSLOOKUP 命令工具中运行正常
    步骤1 在命令提示行下，输入 NSLOOKUP
    步骤2 输入 set type=srv
    步骤3 输入 _ldap._tcp.nt2000.com
    如果返回了服务器名和 IP 地址，说明 SRV 记录工作正常

6.2.3 安装第二台域控制器
    在安装完第一台域控制器后其域名为 nt2000.com ,在上例中该服务器用于总公司，如果由于公司扩展的需要为其新建的工厂建立自己的域名和域控制器，则用户将工厂的域名定义为 man.nt2000.com ，由于此域名与 nt2000.com 是连续的域名，所以他们组成了一个目录树，今后随着工厂的发展用户还可以在这个目录树下继续逐级添加子域（如：accounting.man.nt2000.com），如果需要添加的域名与该目录树不连续（如：nt3000.com）则用户就需要建立一个新的目录树，这样由多个目录树组成了域目录林。
    在安装第二台域控制器之前，首先检验它的IP设置和DNS设置，以保证可以访问域控制器（n2k_server.nt2000.com）。
    步骤1 利用配置服务器启动位于 %Systemroot%\system32 中的 Active Directory 安装向导程序 DCPromo.exe 。如图6.4，单击"下一步"
    步骤2 由于用户所建立的是域中的一台域控制器所以选择"新域的域控制器" 单击"下一步"
    步骤3 选择"在现有域目录树中创建一个新的子域" ,单击"下一步"
    步骤4 在"网络凭据"对话框中输入上一级域的域名及具有管理员权限的用户名和密码, 单击"下一步"
    步骤5 在"子域安装"对话框中输入父域域名（nt2000.com）和子域域名（man）,在下方的子域完整域名中会自动显示 man.nt2000.com,单击"下一步"
    步骤6 安装向导自动将域控制器的 NetBIOS 名设置为"man",用户也可以进行修改 ,单击"下一步"
    步骤7 显示数据库、目录文件及 Sysvol 文件的保存位置，一般不必作修改。单击"下一步"

步骤8 为用户和组选择默认权限，考虑到现在大多数单位中仍然需要使用 Windows 2000 的以前版本，所以选择"与 Windows 2000 服务器之前版本相兼容的权限",单击"下一步"
    步骤9 单击"下一步"开始安装，在重新启动后，在 n2k_server.nt2000.com 的" Active Directory 域和信任关系"中将显示新建的子域 man.nt2000.com 如图6.8

  返回页首>>>

6.3 活动目录工具
    在安装完毕后，在管理工具中提供了三个工具

§　Active Directory 用户和计算机
如图 6.9

§　Active Directory 域和信任关系
如图 6.10

§　Active Directory 站点和服务
如图 6.11

系统还提供了 Active DirectorySchema 和 ADSI 主要用于 Active Direttory 开发的工具。Active Directory 域和信任关系、Active Directory 站点和服务工具主要用于管理多个服务器或多个域之间的关系，这不是本书的重点；Active Directory 用户和计算机工具是配置互动目录最常用的工具，在后续章节中用户将详细介绍它的使用方法。
    当用户登陆到网络上，用户可以看到活动目录，
如图 6.12
返回页首>>>

  相关内容：（本教程出自：www.365edu.com）
第一章、windows2000Server新功能及安装
第二章、windows2000网络客户端的安装和配置
第三章、配置远程安装服务和设置用户配置文件
第四章、windows2000的基本管理
第五章、DNS服务器的配置与管理
第六章、活动目录服务的基本安装和配置
第七章、管理计算机和用户帐号
第八章、文件和打印系统的配置与管理
第九章、数据存储
第十章、安全管理


第七章 管理计算机和用户帐号

    在Windows2000中用户可以在活动目录用户和计算机管理工具中实现建立用户帐号、计算机帐号、组、安全策略等项。它可以用于建立或编辑网络中的用户、计算机、组、组织单位、域、域控制器、以及发布网络共享资源。活动目录用户和计算机管理器是安装在域控制器上的目录管理工具，且用户可以在Windows2000 Professional 中安装它的管理工具，以便利用客户机对活动目录进行远程管理。
本章介绍了Active Directory用户和计算机的常用管理工具的使用：
1. 账户、组、组织机构相关的基本概念
2. 用户和计算机账户的配置与管理
3. 组的创建和管理
4. 组织机构的添加与管理
5. 资源的发布和搜索
6. 域和域间信任的管理

    7.1 基本概念
    活动目录用户和计算机管理器中的帐号标识的是一个物理实体如计算机或用户，计算机和用户的帐号在它们登录到网络或访问域中的资源时提供安全信任。帐号可以用于：
§　验证计算机或用户的身份
§　允许访问域中资源
§　审核用户或计算机帐号的活动

7.1.1 用户帐号
    用户帐号能够让用户以授权的身份登录到计算机和域中并访问其中资源。用户帐号也可以作为某些软件的服务帐号。

    7.1.2 计算机帐号
    每一个运行 Windows 2000 和 Windows NT 的计算机在加入到域时都需要一个计算机帐号，就象用户帐号一样，被用来验证和审核计算机的登录过程和访问域资源。

7.1.3 组
    组是可包含用户、联系人、计算机和其他组的 Active Directory 或本机对象。使用组可以：
§　管理用户和计算机对 Active Directory 对象及其属性、网络共享位置、文件、目录、打印机列队等共享资源的访问。
§　筛选器组策略设置
§　创建电子邮件通讯组
    有两种类型的组：
§　安全组
§　通讯组
    安全组用于将用户、计算机和其他组收集到可管理的单位中。为资源（文件共享、打印机等等）指派权限时，管理员应将那些权限指派给安全组而非个别用户。权限可一次分配给这个组，而不是多次分配给单独的用户。使用组而不是单独的用户可简化网络的维护和管理。
    通讯组只能用作电子邮件的通讯组。不能用于筛选组策略设置。通讯组无安全功能。
    任何时候，组都可以从安全组转换为通讯组，反之亦然，但仅限于域处于本机模式的情况下。域处于混合模式时不能转换组。下表总结了域模式对组的作用。

7.1.4 组作用域
    每个安全组和通讯组均具有作用域，该作用域标识组在域树或树林中所应用的范围。有三类不同的作用域通用、全局和域本地。

通用作用域 | 全局作用域 | 域本地作用域
在本机模式域中，可将其成员作为来自任何域的帐户、来自任何域的全局组和来自任何域的通用组。 | 在本机模式域中，可将其成员作为来自相同域的帐户和来自相同域的全局组。 | 在本机模式域中，可将其成员作为来自任何域的帐户、全局组和通用组，以及来自相同域的域本地组。
在本机模式域中，不能创建有通用作用域的安全组。 | 在本机模式域中，可将其成员作为来自相同域的帐户。 | 在本机模式域中，可将其成员作为来自任何域的帐户和全局组。
组可被放入其他组（当域处于本机模式时）并且在任何域中指派权限。 | 组可被放入其他组并且在任何域中指派权限。 | 组可被放入其他域本地组并且仅在相同域中指派权限。
不能转换为任何其他组作用域。 | 只要它不是有全局作用域的任何其他组的成员，则可以转换为通用作用域。 | 只要它不把具有域本地作用域的其他组作为其成员，则可转换为通用作用域。

7.1.5 内置和预定义组
    安装域控制器时，部分默认的组安装于 "Active Directory 用户和计算机"控制台的"内置"和"用户"文件夹中。这些组是安全组并且代表一些公用的权利和权限集合，可用于将某些角色、权利和权限授予用户放入默认组的帐户和组。
    有域本地作用域的默认组放在"内置"文件夹中。有全局作用域的预定义组放在"用户"文件夹中。可将内置和预定义组移动到域中的其他组或组织单位文件夹，但不能将它们移动至其他域。

内置组：
    放入"Active Directory 用户和计算机"的"内置"文件夹中的默认组为：帐户操作员 、管理员 、备份操作员 、来宾 、打印操作员 、复制器 、服务器操作员、用户 。下表显示了这些组拥有的默认权利：

用户权利 | 允许 | 在默认情况下分配有此权利的组
从网络访问该计算机 | 连接到网上的计算机。 | 管理员、每个人、超级用户
备份文件和文件夹 | 备份文件和文件夹该权利将取代文件和文件夹权限 | 管理员、备份操作员
旁路遍历检查 | 即使用户没有访问父文件夹的权限，也可在文件夹之间移动以访问文件。 | 每个人
更改系统时间 | 设置计算机内部时钟的时间。 | 管理员、超级用户
创建页面文件 | 该权利无效。 | 管理员
调试程序 | 调试各种底层对象，例如线程。 | 管理员
从远程系统强制关机 | 关闭远程计算机。 | 管理员
增加调度优先级 | 提高进程的执行优先级。 | 管理员、超级用户
加载和卸载设备驱动程序 | 安装和删除设备驱动程序。 | 管理员

内置组：(续表)

本地登录 | 通过计算机键盘在计算机上登录。 | 管理员、备份操作员、每个人、来宾、超级用户和用户
管理审计和安全日志 | 指定需要审计的资源访问（诸如文件访问）类型，并且查看和清除安全日志。该权利不允许用户设置系统审计策略。管理员组的成员始终可以查看和清除安全日志。 | 管理员
修改固件环境变量 | 修改存储于支持此类配置的计算机非易失内存中的系统环境变量。 | 管理员
图示单独的进程 | 用图表的形式显示某个进程的情况（性能数据采集） | 管理员、超级用户
图示文件系统性能 | 用图表的形式显示计算机的情况（性能数据采集） | 管理员

内置组：(续表)

还原文件和文件文件夹 | 恢复备份文件和文件文件夹该权利将取代文件和目录权限 | 管理员、备份操作员
关闭系统 | 关闭 Windows 2000 | 管理员、备份操作员、每个人、超级用户和用户
取得文件或其他对象的所有权 | 取得文件、文件夹、打印机和计算机上（或连接在计算机上）的其他对象的所有权。该权利将取代保护对象的权限。有关文件和文件夹权限的信息。 | 管理员

预定义组：
    放在"Active Directory 用户和计算机"的"用户"文件夹中的预定义组有：组名称 、证书发行者 、域管理器 、域计算机 、域控制器 、域来宾 、域用户 、企业管理员 、组策略管理员、架构管理员 。可使用这些有全局作用域的组将该域中各种类型的用户帐户（普通用户、管理员和来宾）收集到组中。然后这些组可以放入该域和其他域中有域本地作用域的组。

7.1.6 特殊身份
    除"内置"和"用户"文件夹中的组以外，Windows 2000 Server 还包括几种特殊身份：为方便起见，这些身份通称为组。这些特殊组没有用户可修改的特别成员身份，但是它们能根据环境在不同时间代表不同用户。这三个特殊组为：
§　每个人
  代表所有当前网络的用户，包括来自其他域的来宾和用户。无论用户何时登录到网络上，它们都将被自动添加到 Everyone 组。
§　网络
    代表当前通过网络访问给定资源的用户（不是通过从本地登录到资源所在的计算机来访问资源的用户）。无论用户何时通过网络访问给定的资源，它们都将自动添加到网络组。
§　交互
    代表当前登录到特定计算机上并且访问该计算机上给定资源的所有用户（不是通过网络访问资源的用户）。无论用户何时访问当前登录的计算机上所给的资源，它们都被自动添加到交互组。

7.1.7 组对网络性能影响
    用户登录到 Windows 2000 网络时，Windows 2000 域控制器决定用户属于哪个组。Windows 2000 创建安全令牌并将其指派给用户。安全令牌列出了用户帐户 ID 和用户所属的所有安全组的安全 ID。组成员身份可能影响网络性能，由于：
§　登录的影响
    建立安全令牌需要时间，所以用户所属的安全组越多，生成这个用户安全令牌的时间越长，并且该用户登录到网络的时间也越长。造成这一影响的程度将随着网络带宽以及处理登录过程的域控制器的配置而变化。
    有时，用户可能想创建只用于电子邮件的组，并不准备使用该组将权利和权限指派给它的成员。为提高登录性能，可创建类似通讯组的组而非安全组。

§　有通用作用域的组的复制
    对存储在全局编录中的数据的更改将复制到树林的每个全局编录中。有通用作用域的组及其成员列在全局编录中。有通用作用域的组的一个成员更改时，整个组成员身份都必须复制到域树或树林中的所有全局编录中。
    具有全局或域本地作用域的组也列在全局编录中，但未列出其成员。这将会减小全局编录的大小，并且明显减少需要随时更新全局编录的复制通信量。可通过为经常更改的目录对象使用具有全局或域本地作用域的组来提高网络性能。
§　网络带宽
    每个用户的安全令牌都被发送到用户访问的每台计算机，以使目标计算机能够对照该计算机上所有资源的权限列表比较包含在令牌内的所有安全 ID，从而决定用户在该计算机上是否有相应的权利或权限。目标计算机还检查令牌中的任何安全 ID 是否属于目标计算机上的任何本地组。
    用户所属的组越多，其安全令牌就越大。如果用户的网络有大量用户，这些大型安全令牌对网络带宽和域控制器处理能力的影响非常明显。

  返回页首>>>

7.2 用户账户的管理
    7.2.1 添加用户帐号
    在 Windows2000 Server 中，一个用户帐号包含了用户的名称、密码、所属组、个人信息、通讯方式等信息，在添加一个用户帐号后，它被自动分配一个安全标识 SID ,这个标识是唯一的，即使帐号被删除，它的 SID 仍然保留，如果在域中再添加一个相同名称的帐号，它将被分配一个新的 SID，在域中利用帐号的SID来决定用户的权限。
    添加用户帐号的步骤如下：
    步骤1 首选启动 Active Directry 用户和计算机管理器→单击 User 容器会看到在安装 Active Directry 时自动建立的用户帐号
    步骤2 单击操作→新建→用户→在创建新对象对话框中输入

用户的姓名、登录名，其中的下层登录名是指当用户从运行 WindowsNT/98 等以前版本的操作系统的计算机登录网络所使用的用户名 如图 7.1→下一步

步骤3 在密码对话框中输入密码或不填写密码并选择"用户下次登录时须更改密码"选项，以便让用户在第一次登录时修改密码
    步骤4 在完成对话框中会显示以上设置的信息，单击完成
    这时用户会在管理器中看到新添加的用户 如图 7.2。

7.2.2. 管理用户账户
§　输入用户的信息
    在用户属性对话框中的常规标签中可以输入有关用户的描述、办公室、电话、电子邮件地址及个人主页地址；在地址标签中输入用户的所在地区及通信地址；在电话/备注标签中输入有关用户的家庭电话、寻呼机、移动电话、传真、IP 电话及相关备注信息。这样便于用户以后在活动目录中查找用户并获得相关信息。
§　用户环境的设置
    用户可以设置每一个用户的环境，如用户配置文件、登录脚本、宿主目录等，这些设置根据实际情况而定，用

户将在以后章节加以详细说明。
§　设置用户登录时间
    在帐户标签中单击"登录时间"按钮，出现如图 7.3对话框所示，图中横轴每个方块代表一小时，纵轴每个方块代表一天，蓝色方块表示允许用户使用的时间，空白方块表示该时间不允许用户使用，默认为在所有时间均允许用户使用。在这个例子中用户设置允许用户在每星期的周一到周五的 7：00~19：00 之间使用。

步骤：在用户（Mark Lee）的登录时段对话框中，选择不允许登录的时间段单击"拒绝登录"
    当用户在允许登录的时间段内登录到网络中，并且一直持续到超过允许登录的时间时，用户可以继续连接使用，但不允许作新的连接，如果用户注销后，则无法再次登录。
§　限制用户由某台客户机登录
    在帐户并且中单击"登录到"按钮出现如图 7.4对话框所示，在默认情况下用户可以从所有的客户机登录，也可以设置让用户从某些工作站登录，设置时输入计算机的计算机名称（NetBIOS名），然后单击添加按钮，这些设置对于非 WindowsNT/2000 工作站是无效的，如用户可以不受限制的从任何一台 DOS、Windows 客户机登录。

§　设置帐户的有效期限
    在帐户并且的下方，用户可以选择帐户的使用期限，在默认情况下帐户是永久有效的，但对于临时员工来说，设置帐户的有效期限就非常有用，在有效期限到期后，该帐户被标记为失效，默认为一个月。
§　管理用户帐户
    在创建用户帐号后，可以根据需要对帐户进行密码重新设置、修改、重命名等操作。
重设密码：　选择用户帐户→操作→重设密码，在密码设置对话框中输入新的密码，如果要求用户在下次登录时修改密码则选中"用户下次登录时须更改密码"选项
帐户的移动：　选择用户帐号→操作→移动，在移动对话框中选择相应的容器或组织单位
重命名： 　选择帐户→操作→重命名，更改用户的名称，对内置的帐户也可以更改，（如更改系统管理员的帐户名称，这样有利于提高系统的安全性），在更改名称后，由于该帐户的安全标识 SID 并未被修改，所以，其帐户的属性、权限等设置均未发生改变。
删除帐户：　选择帐户→操作→删除，用户可以一次删除一个或多个帐户，在删除帐户后如再添加一个相同名称的帐户，由于 SID 的不同，它无法继承已被删除帐户的属性和权限。

§　计算机帐户的创建
    步骤1 首选启动 Active Directry 用户和计算机管理器→单击 Computer 容器→操作→计算机，则出现如图7.5所示
    步骤2 输入计算机名称，单击确定完成创建工作

返回页首>>>

7.3 组的管理
    用户可以利用将用户加入到组中的方式，简化网络的管理工作。当用户对组设置了权限后，则组中所有的用户就具有了该权限，这样避免用户对每一个用户设置权限，从而减轻了工作量。
1.添加组
    步骤1 打开 Active Directory 用户和计算机
    步骤2 在控制台树中，双击域节点
    步骤3 右键单击要添加组的文件夹，指向"新建"，然后单击"组"
    步骤4 键入新组的名称在默认情况下，用户输入的名称还将作为新组的 Windows 2000 以前版本的名称如图7.6。

    步骤5 单击所需的"组作用域"。
    步骤6 单击所需的"组类型"。
    注意：如果用户目前创建的组所属的域处于混合模式，则只能选择具有"域本地"或"全局"作用域的安全组。

2.指定用户隶属的组
    步骤： 在组属性对话框中单击成员属于标签如图 7.7,可以查看到当前用户隶属于那些组，如要将用户添加到其它的组中则单击添加按钮，出现如图 7.8所示的对话框，在上方的窗体中选择需要添加的组（可以按住 Shift 或 Ctrl 键，利用鼠标选择多个组），然后单击添加按钮则所选的组会出现在下方的窗体中，单击确定。

如果需要将用户从他所属的指定组中删除，则在成员属于窗体中选择该组，单击删除按钮。注意，用户帐号至少隶属于一个组，该组被称为主要组，这个主要组必须是一个全局组且它不可删除。

3.管理组
将组转换为另一种组类型
    步骤1 打开 Active Directory 用户和计算机
    步骤2 在控制台树中，双击域节点
    步骤3 单击包含该组的文件夹
    步骤4 在详细信息窗格中，右键单击组，然后单击"属性"
    步骤5 在"常规"选项卡的"组类型"中，单击"分布式"或"安全式 "
更改组作用域
    步骤1 打开 Active Directory 用户和计算机
    步骤2 在控制台树中，双击域节点。
    步骤3 单击包含组的文件夹
    步骤4 在详细信息窗格中，右键单击组，然后单击"属性"。
    步骤5 在"常规"选项卡的"组作用域"下，单击"本地域"、"全局"或"通用"。
删除组
    步骤1 打开 Active Directory 用户和计算机。
    步骤2 在控制台树中，双击域节点。
    步骤3 单击包含组的文件夹。
    步骤4 在详细信息窗格中，右键单击组，然后单击"删除"。

返回页首>>>

    7.4 组织单位的管理
1.创建组织单位
    步骤1 打开 Active Directory 用户和计算机
    步骤2 在控制台树中，双击域节点。
    步骤3 右键单击域节点或者要在其中添加组织单位的组织单位。
    步骤4 指向"新建"，然后单击"组织单位"。
    步骤5 键入组织单位的名称 如图 7.9。

2.组织单位的委派控制
    步骤1 打开 Active Directory 用户和计算机
    步骤2 在控制台树中，双击域节点
    步骤3 在详细信息窗格中，右键单击该组织单位，然后单击"委派控制"来启动控制委派向导
    步骤4 在用户和组对话框中，但击"添加"选择受委派的用户和组
    步骤5 在委派任务中，可以指定委派公用任务，也可以选择委派更为细化的自定义任务，如图 7.10
    步骤6 在摘要信息单击"完成"
    注：有关委派控制的概念，参见第六章的 6.2.1 Active Directory 的规划一节返回页首>>>

    7.5 资源发布的管理
1. 资源的发布
    公布共享文件夹
步骤1 打开 Active Directory 用户和计算机
步骤2 在控制台树中，双击域节点。
步骤3 右键单击想在其中添加共享文件夹的文件夹，指向"新建"并单击"共享文件夹"。
步骤4 键入文件夹的名称
步骤5 键入用户想在目录中公布的 UNC 名称
    公布 Windows NT 打印机
步骤1 打开 Active Directory 用户和计算机
步骤2 在控制台树中，双击域节点。
步骤3 在控制台树中，右键单击想在其中公布打印机的文件夹，指向"新建"，并单击"打印机"。
步骤4 键入用户想在目录中公布的 UNC 名称。

2.资源的查找
    执行自定义搜索
步骤1 打开 Active Directory 用户和计算机
步骤2 在控制台树中，右键单击域节点，然后单击"查找"。
步骤3 在"查找"中，单击"自定义搜索"。
步骤4 单击"字段"，指向要搜索的对象种类，然后单击要为其指定搜索值的对象的属性。
步骤5 在"条件"中，单击搜索的条件。
步骤6 在"值"中，键入要应用搜索条件的属性值。
步骤7 单击"添加"，将该搜索条件添加至自定义搜索。
步骤8 重复第 4 步至第 7 步，直到已添加所需的全部搜索条件为止。
步骤9 单击"开始查找"。返回页首>>>

7.6 域和域控制器的管理
§　更改域模式
    步骤1 打开 Active Directory 域和信任关系
    步骤2 右键单击用户想要管理的域的域节点，然后单击"属性"。
    步骤3 在"常规"选项卡上，单击"更改模式"，然后单击"是"。
    注意：如果已经有或将即将有 Windows NT 4.0 域控制器，请不要更改域模式。只能将模式从混合模式更改为本机模式。一旦域以本机模式运行后，就不能再改回到混合模式了
    如图 7.11。

§　创建明确域信任
    步骤1 打开 Active Directory 域和信任关系
    步骤2 在控制台树中，右键单击要管理的域的域节点，然后单击"属性"。
    步骤3 单击"信任"选项卡。
    步骤4 根据用户的需要，单击"受此域信任的域"或"信任此域的域"，然后单击"添加"。
    步骤5 如果要添加的域是 Windows 2000 域，则键入域的 DNS 全名。
    注意：密码必须是信任域和被信任域双方都接受的

§　验证信任关系
    步骤1 打开 Active Directory 域和信任关系
    步骤2 在控制台树中，用右键单击要验证的信任关系所涉及的一个域，然后单击"属性"。
    步骤3 单击"信任"选项卡。
    步骤4 在"受此域信任的域"或"信任此域的域"中，单击要验证的信任关系，然后单击"编辑"，如图 7.12。
    步骤5 单击"验证"。

§　撤消信任关系
    步骤1 打开 Active Directory 域和信任关系
    步骤2 在控制台树中，用右键单击要验证的信任关系所涉及的一个域节点，然后单击"属性"。
    步骤3 单击"信任"选项卡。
    步骤4 在"受此域信任的域"或"信任此域的域"中，单击要撤消的信任关系，然后单击"删除"。
    步骤5 对于此信任关系中涉及的其他域，重复该过程。
    注意：用户不可能撤消树林中不同域之间的默认双向可传递信任关系。但可删除明确创建的快捷信任关系。

返回页首>>>

相关内容：（本教程出自：www.365edu.com）
 第一章、windows2000Server新功能及安装
第二章、windows2000网络客户端的安装和配置
第三章、配置远程安装服务和设置用户配置文件
第四章、windows2000的基本管理
第五章、DNS服务器的配置与管理
第六章、活动目录服务的基本安装和配置
第七章、管理计算机和用户帐号
第八章、文件和打印系统的配置与管理
第九章、数据存储
第十章、安全管理


第八章 文件和打印系统的配置与管理

本章主要内容：
1. 分布式文件系统
2. 打印系统
3. 索引服务

    8.1 文件系统
    8.1.1 分布式文件系统的基本概念
    系统管理员可以利用分布式文件系统 (DFS)，使用户访问和管理那些物理上跨网络分布的文件更加容易。通过 DFS，可以使分布在多个服务器上的文件在用户面前显示时，就如同位于网络上的一个位置，用户在访问文件时不再需要知道和指定它们的实际物理位置。
§　DFS 类型
    通过 DFS 控制台，用户可以按独立的分布式文件系统或基于域的分布式文件系统来实施分布式文件系统。
§　DFS 体系结构
    除了 Windows 2000 中基于服务器的 DFS 组件外，还有基于客户的 DFS 组件。DFS 客户程序可以将对 DFS 根目录或 DFS 链接的引用缓存一段时间，该时间由管理员指定。运行 DFS 客户程序的计算机必须是 DFS 根目录域的成员。DFS 客户组件可以在许多不同 Windows 平台上运行。

    那么在什么时候需要使用DFS呢？
在以下情形下，用户应该考虑实施 DFS：
§　访问共享文件夹的用户分布在一个站点的多个位置或多个站点上。
§　大多数用户都需要访问多个共享文件夹。
§　通过重新分布共享文件夹可以改善服务器的负载平衡状况。
§　用户需要对共享文件夹的不间断访问。
§　用户的组织中有供内部或外部使用的 Web 站点。

8.1.2 分布式文件系统的特性
    分布式文件系统 (DFS) 提供了几个重要特性：
§　容易访问文件
    分布式文件系统使用户可以更容易地访问文件。即使文件可能在物理上跨越多个服务器，用户也只需要转到网络上的某个位置即可访问文件。而且，当更改共享文件夹的物理位置时，不会影响用户访问文件夹。用户不再需要多个驱动器映射来访问文件。 最后，计划文件服务器维护、软件升级和其他任务（一般需要服务器脱机）可以在不中断用户访问的情况下完成。通过选择 Web 站点的根目录作为 DFS 根目录，可以在分布式文件系统中移动资源，而不会断开任何 HTML 链接。
§　可用性
    基于域的 DFS 以两种方法确保用户保持对文件的访问：
1. Windows 2000 自动将 DFS 拓扑发布到 Active Directory。这确保 DFS 拓扑对域中所有服务器上的用户总是可见的。
2. 作为管理员，用户可以复制 DFS 根目录和 DFS 共享文件夹。复制意味着可以在域中的多个服务器上复制 DFS 根目录和 DFS 共享文件夹, 即使这些文件驻留的一个物理服务器不可用，用户将仍然可以访问文件。
§　服务器负载平衡
    DFS 根目录可以支持物理上通过网络分布的多个 DFS 共享文件夹。例如，当用户有一个知道用户将大量访问的文件时。并非所有的用户都在单个服务器上物理地访问此文件，这将会增加服务器的负担，DFS 确保访问文件的用户分布于多个服务器。然而，在用户看来，文件驻留在网络上的相同位置。

8.1.3 创建分布式文件系统的根目录
    分布式文件系统 (DFS) 拓扑由 DFS 根目录、一个或多个 DFS 链接、一个或多个 DFS 共享文件夹，或每个 DFS 所指的副本组成。
DFS 根目录所驻留的域服务器被称为"宿主服务器"。通过在域中的其他服务器上创建"根目录共享"，可以复制 DFS 根目录。确保在宿主服务器不可用时，文件仍可使用。
    对于用户，DFS 拓扑对所需网络资源提供统一和透明的访问。对于系统管理员，DFS 拓扑是单个 DNS 名称空间：使用基于域的 DFS，将 DFS 根目录共享的 DNS 名称解析到 DFS 根目录的宿主服务器。
    因为基于域的分布式文件系统的宿主服务器是域中的成员服务器，在默认情况下，会将 DFS 拓扑自动发布到 Active Directory 中，因而提供了跨越主服务器的 DFS 拓扑同步。这反过来又对 DFS 根目录提供了容错性，并支持 DFS 共享文件夹的可选复制。

下面让用户先为域 nt2000.com 创建一个分布式文件系统的根目录：
    步骤1 打开 DFS 管理器
    步骤2 在"操作"菜单上，单击"新建 DFS 根目录"，然后单击"下一步"
    步骤3 单击要创建的 DFS 根目录的类型（基于域或独立），在此用户选择"创建一个域DFS根目录" 如图 8.1，然后单击"下一步"

步骤4 如果要创建基于域的 DFS 根目录，请选择要创建根目录的域名 nt2000.com ，然后单击"下一步"。
    步骤5 输入 DFS 根目录的宿主计算机名称，或从可用服务器列表中单击名称 "n2k_server.nt2000.com" 如图 8.2。然后单击"下一步"。

步骤6 单击指定要创建的新共享文件夹的路径和名称 如图 8.3，然后单击"下一步"。
    步骤7 接受 DFS 根目录的默认名称，或指定新名称，然后单击"下一步"。

步骤8 单击"完成"，为 nt2000.com 创建了一个新 DFS 根目录如图8.4。

8.1.4 配置分布式文件系统
§　添加 DFS 根目录共享
    步骤1 打开 DFS
    步骤2 在"操作"菜单上，单击"新建根目录共享"。
    步骤3 输入根目录共享的宿主计算机的名称，或单击可用服务器列表中的名称，然后单击"下一步"。
    步骤4 单击现有共享文件夹或指定要创建的新共享文件夹的路径和名称，然后单击"下一步"。
    步骤5 接受根目录共享的默认名称，或指定新名称，然后单击"下一步"。
    步骤6 单击"完成"，创建新的根目录共享。

§　添加 DFS 链接
    步骤1 打开DFS
    步骤2 在控制台目录树中，右键单击 DFS 根目录。
    步骤3 单击"新建 DFS 链接"。
    步骤4 键入新 DFS 链接的名称和路径，或单击"浏览"，从可用共享文件夹的列表中选择。 如图 8.5
    步骤5 （可选）输入注释以进一步标识或描述 DFS 链接。
    步骤6 键入期限（在此期限内到 DFS 链接的引用将被缓存在 DFS 客户机上），然后单击"确定"。

§　设置复制策略
    步骤1 打开 DFS
    步骤2 右键单击 DFS 根目录或 DFS 链接，然后单击"复制策略"。
    步骤3 在共享文件夹列表中，单击要用作复制主文件夹的 DFS 共享文件夹。
    步骤4 单击列表中的每个共享文件夹，并单击"启用"或"禁用"，然后单击"确定"。
    注意：一旦设置了复制主文件夹，当以后显示该窗口时，"初始主文件夹"按扭将不再出现。这是因为只会设置一次主文件夹来初始化复制；从那时起，无论何时某个 DFS 共享文件夹中的数据发生更改，DFS 共享文件夹都会相互复制。返回页首>>>

    8.2 打印系统
    使用 Windows 2000，用户可以在整个网络上共享打印机资源。不同计算机和操作系统的客户，可以通过 Internet 将打印作业发送到直接连接 Windows 2000 打印服务器的打印机，或者使用内部或外部网卡连接到网络或其他服务器的打印机。
§　打印设置
    对于管理员，Windows 2000 提供了改进的通用网络配置工具。例如，新的标准端口（在本主题的稍后描述）简化了网络上大多数 TCP/IP 打印机的安装。此外，改进的打印机属性页用户界面，使得最终用户和管理员配置和支持其打印需要更为容易。
§　打印管理
    Windows 2000 通过添加远程端口管理提供改进的远程管理。用户可以从 Windows 2000 计算机上完全远程管理和配置（包括远程端口管理）打印机，而无需到打印服务器计算机上操作。
§　Internet 打印
    Windows 2000 打印体系结构现在已经与 Internet 集成在一起。对于最终用户，Windows 2000 提供跨 Internet 的打印。
  §　可以使用统一资源定位符 (URL)，从 Windows 2000 Server 和 Windows 2000 Professional 客户打印到 Windows 2000 打印服务器。
  §　可以使用浏览器管理打印机。可以暂停、继续、删除打印作业，查看打印机和打印作业的状态。

  §　可以使用 Web 即点即打功能（只需单击鼠标即可安装共享打印机）连接到网上的打印机。也可以从 Web 站点安装驱动程序。
§　目录服务
    默认情况下，Windows 2000 Server 将域中的所有共享打印机作为 Active Directory 中的对象。当列表（或"发布"）目录中的共享打印机时，可以使用搜索工具快速定位最方便的打印资源。例如，可根据特征（如彩色打印）或位置（如一座楼的指定楼层）搜索。
§　标准端口监视器
    新的标准端口监视器将 Windows 2000 打印服务器连接到使用了 TCP/IP 协议的网络接口打印机。它取代了用于直接或通过网卡连接到网络的 TCP/IP 打印机的 LPRMON。新的标准端口比 LPRMON 快 50%。连接到 UNIX 或 VAX 主机的打印机仍要求有 LPRMON。
§　打印队列监视
    现在可以使用"系统监视器"的新对象 Print Queue 来监视本地或远程打印机的性能。可以为诸如每秒打印的字节数、作业错误以及打印的总页数等性能标准设置计数器。
§　用户设置
    Windows 2000 Server 和 Windows 2000 Professional 客户现在也具有更改个人文档默认设置的能力。以前，在管理员初始设置了用户的文档之后，只有 Windows 95 和 Windows 98 用户可以修改其文档设置。
§　从应用程序打印
    在从应用程序打印时，屏幕上出现的标准打印对话框是已经得到增强和改进的对话框。现在不但可以在 Active Directory 中搜索打印机，甚至还可以添加打印机。

8.2.1 打印过程
    下面让用户先来了解一下，Windows 客户机是如何通过一台Windows 2000 Server 打印服务器，完成一个文档的打印处理过程的。如图 8.6
    1. Windows 2000 客户计算机上的用户选择打印文档。
    2. 如果此文档是从 Windows 应用程序提交的，则该应用程序将调用图形设备接口 (GDI)，而该接口将调用与目标打印机相关联的打印机驱动程序。GDI 和驱动程序通过使用该应用程序中的文档信息来互相交换数据，以便用该打印机的语言来提交打印作业，并将它传送到客户端后台打印程序。如果客户机使用的是非 Windows 操作系统，或非 Windows 应用程序，则其他组件将替代 GDI 执行相似任务。
    3. 客户计算机向打印服务器递交打印作业。对于 Windows NT 4.0 或 Windows 2000 客户，客户端后台打印程序都会向服务器端后台打印程序发出远程过程调用 (RPC)，该服务器端后台打印程序使用路由器轮询客户端的远程打印提供程序。然后远程打印提供程序向服务器后台打印程序发出另一个 RPC，服务器后台打印程序通过网络接收打印作业。

4. 在打印服务器上，来自 Windows NT 或 Windows 2000 客户的打印作业都是增强型图元文件 (EMF) 数据类型。多数非 Windows 应用程序都使用 RAW（打印就绪）数据类型。
    5. 服务器上的路由器将打印作业传送给服务器上的本地打印提供程序（后台打印程序的组件），后者将后台打印该作业（将其写入磁盘）。
    6. 本地打印提供程序将轮询打印处理器。打印处理器识别该作业的数据类型并接收打印作业。然后打印处理器根据其数据类型转换打印作业。
    7. 如果在客户计算机上定义了目标打印机，打印服务器服务将决定服务器的后台打印程序是转换该打印作业，还是分配另一种数据类型。然后将打印作业传送给本地打印提供程序，后者将其写入磁盘。
    8. 对打印作业的控制被传递给分隔页处理器，分隔页处理器将根据指定，在作业的前面添加分隔页。
    9. 作业交给给打印监视器。对于双向打印机，语言监视器将处理发送方和打印机之间的双向通讯，然后将打印作业传送到端口监视器。如果打印机不是双向打印机，打印作业将被直接传送到端口监视器，后者将它发送到目标打印机（或其他网络打印服务器）。
    10. 该打印机接收打印作业，然后将每一页转换成位图格式，再打印出来。

8.2.2 Internet 打印
    Internet 打印（Windows 2000 中的一个新功能）提供了通过 Internet 将打印作业提交给一台打印机的方法。例如，只要用户有出版商打印机的名称以及适当的权限，就可以将公司新的编目直接发送到出版商的打印机。如图 8.7
§　要从 Internet 或 Intranet 安装打印机，可使用打印机的 URL 作为打印机的名称。管理员也可以在 Intranet 内使用 URL 格式。
§　对于 Windows 2000 Server 而言，要处理包含 URL 的打印作业，必须运行"Microsoft Internet 信息服务"(IIS)。对于在 Windows 2000 Professional 上实施的打印服务器，必须运行"Microsoft 对等 Web 服务"(PWS)。

§　Internet 打印使用"Internet 打印协议"(IPP) 作为低层协议，该协议封装在被用作传输器的 HTTP 内。当通过浏览器访问打印机时，系统首先试图使用 RPC（在 Intranet 和 LAN 上）进行连接，因为 RPC 快速而且有效。
§　打印服务器的安全性由 IIS 或 PSW 提供，这取决于用户正在运行是 Windows 2000 Server 还是 Windows 2000 Professional。要支持所有的浏览器以及所有的 Internet 客户，管理员必须选择基本身份验证。作为可选项，管理员也可以使用 Microsoft 质询/响应或 Kerberos 身份验证，这两者都被 Microsoft Internet Explorer 所支持。
§　可以管理来自任何浏览器的打印机，但是必须使用 Internet Explorer 4.0 或更高版本才能使用浏览器连接打印机。

8.2.3 配置网络打印机
    在购买和安装打印机之前，作为 Windows 2000 Server 环境的管理员，首先应检查打印工作量和估计需要的容量,以满足各种条件下的需求。还需建立可简化打印环境的安装、使用和支持的命名约定。其次，还需确定网络所需的打印服务器的数量，以及分配给每台服务器的打印机的台数。最后，必需确定要购买的打印机、作为打印服务器的计算机、放置打印机的位置以及如何管理打印机的通信。

8.2.3.1 添加打印机
    安装本地打印机
§　安装并行端口（LPT 口）打印机
    步骤1 根据打印机说明书文档，将打印机连接到计算机上适当的端口，并验证打印就绪。
    步骤2 打开打印机。双击"添加打印机"，启动添加打印机向导，然后单击"下一步"
    步骤3 单击"本地打印机"，确保选中"自动检测并安装我的即插即用打印机"复选框，然后单击"下一步"，如图 8.8

步骤 4 根据正在安装的打印机，显示"查找新硬件"消息或"查找新硬件"向导，通知用户已经检测到打印机并且开始安装如图8.9

    步骤5 选择查找到的设备驱动如图8.10
    步骤6 执行安装
或者，在连接打印机后，启动或重新启动计算机以允许 Windows 2000 自动检测并启动"查找新硬件"向导。
§　安装通用串行总线 (USB) 或 IEEE 1394 打印机
    1.Windows 2000 会自动检测并启动"查找新硬件"向导。不需要关闭或重新启动计算机，只需按照屏幕上的说明即可完成安装。
    2.将打印机图标添加到"打印机"文件夹。
    注意：要添加和设置直接连接到计算机上的打印机，必须以 Administrators 组成员的身份登录。在 Windows 2000 Server 中，默认情况下，添加打印机向导会共享该打印机并在 Active Directory 中发布，除非在向导的"打印机共享"屏幕中选择了"不共

享此打印机"。在 Windows 2000 Professional 中，添加打印机向导不自动共享打印机；需要选择"共享为"来共享并发布该打印机。

添加直接连到网络的打印机
    步骤1 打开打印机
    步骤2 双击"添加打印机"，启动添加打印机向导，然后单击"下一步"。
    步骤3 单击"本地打印机"，清除"自动检测并安装我的即插即用打印机"复选框，然后单击"下一步"。
    步骤4 按照屏幕上的说明，选择打印机端口、选择打印机的制造商和型号、键入打印机的名称，完成打印机设置。
    步骤5 当添加打印机向导提示用户选择打印机端口时，单击"创建新端口"。
    步骤6 从列表中单击合适的端口类型并按照说明进行。（默认情况下，只有"Local Port"和"Standard TCP/IP Port"显示在列表中。）
    注意：因为打印机直接连接到网络上，而不是连接到 Windows 2000 计算机上，所以必须清除"自动检测打印机"复选框。下列组策略设置可以更改 Windows 2000 Server 添加打印机向导的默认操作：
  §　默认情况下启用"允许发布打印机"；可以禁用该选项，阻止发布打印机。
  §　默认情况下启用"在 Active Directory 中自动发布新打印机"；可以禁用该选项以防止添加打印机向导在添加新打印机时自动发布打印机。
  §　默认情况下启用"在添加打印机向导中显示下级页面"；可以禁用此选项以防止添加打印机向导浏览共享打印机的网络。

8.2.3.2 配置打印服务器
§　设置打印机属性
    步骤1 打开打印机
    步骤2 右键单击要更改设置的打印机，然后单击"属性"，
如图 8.11
    步骤3 单击每个可用选项卡，按需要更改选项，例如共享打印机、添加和配置端口、计划打印机的可用性、分配权限、指定指派给送纸器的格式。

§　设置打印首选项
    步骤1 打开打印机
    步骤2 右键单击要更改设置的打印机，然后单击"打印首选项"，如图8.12
    步骤3 单击每个可用选项卡，按需要更改选项，例如设置页面方向 、指定页面大小 、设置打印分辨率 、单面或双面打印 、每页纸打印多页内容 、设置打印份数
§　为打印机设置安装选项
    步骤1 打开打印机
    步骤2右键单击要为之设置选项的打印机，然后单击"属性"。
    步骤3 在"设备设置"选项卡的"可安装选项"下，单击要设置的所有选项。如设置打印机的可安装选项 、设置打印机的内存 、匹配打印机纸盒与纸张规格 、确保正确打印复杂页面 、安装和删除外部 PCL 软字体 、使用字体盒字体

8.2.3.3 查找打印机
    步骤1 打开查找打印机 如图 8.13
    步骤3 在"范围"框中，选择要搜索的域，或者单击"浏览"定位域。如果选择"整个目录"，也可以使用"高级"选项卡来缩小搜索范围。
    步骤3 在"打印机"、"功能"和"高级"选项卡上，输入要用的搜索参数。在"打印机"选项卡上，输入名称、位置和打印机型号。
  §　如果某个位置出现在"位置"中，网络管理员设置网络以便 Windows 将试图显示默认的离用户最近的打印机。也可以单击"浏览"按钮，搜索另一位置的打印机。如果"位置"是空的，Windows 将在整个目录中搜索打印机，但是如果用户知道位置的

名称，仍可输入位置。
  §　在"功能"选项卡上，可以选择附加的搜索选项，例如打印机是否可以双面打印或者以特定分辨率打印。
  §　在"高级"选项卡上，可以使用自定义或附加字段指定标准（例如打印机是否支持排序或特定打印机语言）以进行搜索。
    步骤4 单击"开始查找"运行搜索，或者单击"全部清除"，清除标准字段并开始新的搜索。

8.2.4 管理网络打印机
    步骤1 打开打印机
    步骤2 在"文件"菜单上，单击"服务器属性"，如图 8.14
    步骤3 根据需要，执行如下各种管理操作
  §　为其他客户添加打印机驱动程序
  §　更新打印机驱动程序
  §　删除打印机驱动程序
  §　列出打印机驱动程序的所有文件
  §　更改后台打印文件夹的位置
  §　启用或禁用记录打印事件
  §　启用或禁用在完成打印后通知用户
  §　创建自定义打印机格式
  §　设置端口和协议

返回页首>>>

8.3 索引服务
    索引服务从一组文档中提取信息，并组织该信息，以便能够通过 Windows 2000 的"搜索"功能、索引服务查询表或 Web 浏览器快速容易地进行访问。该信息可以包含文档中的文字（内容）和文档的特征及参数（属性），例如作者姓名。一旦创建了索引，就可以查询包含关键字词或者属性的文档的索引。例如，可以查询所有包含单词"product"的文档，也可以查询特定作者写的所有 Microsoft Office 文档。索引服务返回符合搜索条件的所有文档的列表。通过一个称为"索引"的进程，索引服务使用文档筛选器来读取文档并提取文本和属性以传递给索引器。
    索引服务索引下列类型的文档：
§　HTML
§　文本
§　Microsoft Office 95 和更高版本
§　Internet 邮件和新闻（须安装"Internet 信息服务"）
§　可以使用文档过滤器的其他任何文档
    在使用索引服务之前，首先需要建立查询。使用查询，就可以通过在文档内容中搜索词或词组，或者查询其属性（例如文档名或作者）来搜索文档。最简单类型的查询是单个词的查询。例如，如果用户要查找"operation"，"索引服务"将返回所有其内容包含单词"operation"的文档。也可以查找其属性值与给定条件相匹配的文档。可以查询的属性包括基本文档信息，例如文档名称和文档大小。也可以查询 ActiveX 属性，例如文档摘要。ActiveX 属性存储在由支持 ActiveX 的程序创建的文档中，例如 Microsoft Office 应用程序。

    有五种查询：
§　自由文本查询
§　词组查询
§　模式匹配查询
§　相关查询
§　向量空间查询
    在计算机管理器中的索引服务有"System"和"WEB"两个编目，用户还可以根据自己的需要创建其它的编目。在编目下有"目录"、"属性"和"查询编录"。 "目录"用于保存进行索引的磁盘文件夹如图 8.15，用户可以增加或删除需要索引的文件夹同时还可以实现手工索引。

"属性"保存对应的建立索引的查询方式 如图 8.16，可以设置是否对未知的文件扩展名进行索引、是否建立查询文件摘要。

"查询编录"适用于用户进行条件查询 如图 8.17。

返回页首>>>

  相关内容：（本教程出自：www.365edu.com）
第一章、windows2000Server新功能及安装
第二章、windows2000网络客户端的安装和配置
第三章、配置远程安装服务和设置用户配置文件
第四章、windows2000的基本管理
第五章、DNS服务器的配置与管理
第六章、活动目录服务的基本安装和配置
第七章、管理计算机和用户帐号
第八章、文件和打印系统的配置与管理
第九章、数据存储
第十章、安全管理


第九章 数据存储

    随着 Internet 的迅猛发展，用户数量的不断增长，多媒体数据及基于内容的数据日趋普及，造成了对大型存储空间的需求，同时用户也希望管理一个具有快速存取，灵活增减存储设备的便于管理的网络系统。
本章主要介绍以下内容：
1、磁盘管理
2、磁盘配额管理
3、远程存储管理
4、可移动存储

    9.1 磁盘管理
    磁盘管理程序是用于管理它们所包含的硬磁盘和卷，或者分区的系统实用程序。通过磁盘管理，用户可使用文件系统创建卷、格式化卷、初始化磁盘以及创建容错磁盘系统。"磁盘管理"取代了 Windows NT 4.0 及更早版本中使用的"磁盘管理器"实用程序，它提供了许多新的功能，包括：
§　动态磁盘。使用动态磁盘，用户可在不关闭系统或中断用户操作情况下完成管理任务。例如，用户可在不重新启动的情况下添加新的磁盘。多数配置的更改几乎马上就能生效。
§　本地和网络驱动器管理。可从用户网络上的任何 Windows 2000 计算机上管理任何其他网络上运行 Windows 2000 或 Windows NT 4.0 并且用户是其管理员的计算机。
§　简化的任务和直观的用户界面。
§　装入的驱动器。可使用"磁盘管理"在本地 NTFS 卷上的任何空文件夹中连接或装入本地驱动器。装入驱动器使数据更易访问并根据用户的网络环境和系统使用情况为用户提供管理数据存储的灵活性。

9.1.1 Windows 2000 文件系统
    Windows 2000 支持 NTFS 文件系统、文件分配表 (FAT) 和 FAT32。NTFS 是推荐的 Windows 2000 文件系统。如果用户计划从其他操作系统（包含 MS-DOS）上访问这个卷或分区上的文件，必须将该卷或分区格式化为 FAT。如果用户只运行 Windows 2000 并且想使用 NTFS 功能，请选择 NTFS，因为只有使用NTFS文件系统，才能实现 Windows 2000 种的全部功能。
以下是 NTFS 特有的功能：

文件系统功能 | NTFS | FAT | FAT32
压缩 | X |  |
磁盘配额 | X |  |
加密 | X |  |
装入点 | X |  |
远程存储 | X |

9.1.2 基本和动态磁盘
    磁盘管理支持基本和动态 磁盘。安装 Windows 2000 时，用户的硬盘自动初始化为基本磁盘。安装完成后，用户可使用升级向导将它们转换为动态磁盘。可在同一个计算机系统上使用基本和动态磁盘，但在包含多个磁盘的卷（如镜像卷）中，只能使用一种类型的磁盘。
基本磁盘遵守 Windows NT Server 4.0 磁盘组织结构中面向分区的方案。对于升级，分区的磁盘自动初始化为基本磁盘，所以用户可以保持用 Windows NT Server 4.0 创建的分区和卷。新或空磁盘可在安装后初始化为基本或动态磁盘。但是，要安装新的容错磁盘系统，或在不重新启动计算机的情况下更改磁盘，则必须使用动态磁盘。

    只能在基本磁盘上执行以下任务：
§　创建和删除主分区 和扩展分区。
§　创建和删除扩展分区中的逻辑驱动器。
§　格式化分区并将其标记为活动状态。
§　删除卷集、带区集、镜像集和带有奇偶校验的带区集。
§　从镜像集中分割镜像。
§　修复镜像集或带有奇偶校验的带区集。

动态磁盘是一种包含使用"磁盘管理"创建的动态卷的物理磁盘。动态磁盘不包含分区或逻辑驱动器，也不能使用 MS-DOS 访问。

    只能在动态磁盘上执行以下任务：
§　创建和删除简单卷、跨区卷、带区卷、镜像卷和 RAID-5 卷。
§　扩展简单卷或跨区卷。
§　从镜像卷中删除镜像或将该卷分成两个卷。
§　修复镜像卷或 RAID-5 卷。
§　重新激活丢失的磁盘或脱机的磁盘。

    对于基本磁盘和动态磁盘，均可执行的任务：
§　检查磁盘属性，如容量、可用空间和当前状态。
§　查看卷和分区属性，如大小、驱动器号指派、卷标、类型和文件系统。
§　为磁盘卷或分区以及 CD-ROM 设备指派驱动器号。
§　为卷或分区建立磁盘共享和安全设置。
§　将基本磁盘更新为动态磁盘或将动态磁盘转换为基本磁盘。9.1.3 动态磁盘和动态卷的限制
    在便携机上不支持动态磁盘。如果使用便携机，则在"磁盘管理"的图形或列表视图中右键单击磁盘时，不会看到把磁盘升级到动态磁盘的选项。
    对动态磁盘的限制出现在下列情况中：
§　安装 Windows 2000
    如果动态卷是从动态磁盘上的未分配空间创建的，则不能在这个卷上安装 Windows 2000。但是可以扩展该卷（如果该卷是简单卷或跨区卷）。因为 Windows 2000 安装程只能识别包含分区表的动态卷，所以出现安装限制。分区表会出现在基本卷以及从基本卷升级的动态卷中。如果在动态卷上创建新的动态卷，则新的动态卷不包含分区表。§　扩展卷时
    如果磁盘是从基本卷升级为动态卷（通过把基本磁盘升级到动态磁盘），则可以在该卷上安装 Windows 2000，但是不能扩展该卷。因为包含 Windows 2000 文件的引导卷不能是跨区卷的一部分，所以才出现对扩展卷的限制。如果扩展包含分区表的简单卷（即从基本卷升级到动态卷的卷），则 Windows 2000 安装程序能够识别该跨区卷，但是由于引导卷不能是跨区卷的一部分，因此不能将 Windows 2000 安装到该卷上。可以安装 Windows 2000 的动态卷只能是简单卷和镜像卷，而且这些卷必须包含分区表（这意味着这些卷必须从基本卷升级到动态卷）。
    用户可以通过磁盘管理窗口以图形和列表方式显示磁盘和卷。通过更改显示在上下窗格中的内容以及选择用于显示卷和磁盘区域的颜色及图案，用户可以自定义查看磁盘和卷的方式。而且 Windows 2000 还支持连接至远程计算机的磁盘管理。要管理远程计算机上的磁盘，使用客户机的用户必须是远程计算机上的管理员或服务器操作员组的成员。同时，用户帐户和服务器计算机必须是相同的域或信任域中的成员。

9.1.4 磁盘管理控制台
    首先打开"计算机管理" 如图 9.1，单击"磁盘管理"进入磁盘管理控制台 如图 9.2。在磁盘管理控制台的右侧窗格中，分为上、下两个窗口，它们以不同的格式显示磁盘的有关信息。

单击"磁盘管理"进入磁盘管理控制台 如图 9.2。通过"查看"菜单中的"顶端"，"底端"的相应设置，控制显示磁盘的方式：此案列表、卷列表、图像视图。

通过 图 9.3 用户可以了解图形视图中所显示的内容的意义。通过"查看"菜单中的"设置"项，用户可以调整显示颜色和显示比例。

    9.1.5 磁盘管理
§　磁盘存储类型的选择
    在计算机上添加新的磁盘时，用户需要在创建卷或分区之前初始化磁盘。如果用户想在磁盘上创建简单卷或计划与其他磁盘共享磁盘以创建跨区卷、带区卷、镜像卷或 RAID-5 卷，请使用动态存储区。如果用户想在磁盘上创建分区和逻辑驱动器，请使用基本存储区。MS-DOS、Windows 98 和 Windows 95 只能访问基本磁盘。基本存储器是默认创建的。仅动态磁盘上的镜像卷和 RAID 卷具有容错能力。
§　创建分区或逻辑驱动器
    步骤1 打开磁盘管理

步骤2 右键单击基本磁盘的未分配区域，然后单击"创建分区"，或者右键单击扩展分区中的可用空间，然后单击"创建逻辑驱动器"。如图 9.4
    步骤3 在"创建分区向导"中，单击"下一步"，单击"主分区"、"扩展分区"或"逻辑驱动器"，然后按照屏幕上的指示操作。

§　将基本磁盘升级到动态磁盘
    步骤1 打开磁盘管理
    步骤2 右键单击需要升级的基本磁盘，单击"升级到动态磁盘"，然后按照屏幕上的指令操作。如图 9.5
    步骤3 如果没有看到这个命令，可以右键单击卷而不是磁盘，磁盘可能以前升级到动态磁盘，或者该计算机是便携机。（便携机不支持动态磁盘。）

    注意：
  §　必须以管理员或管理组成员的身份登录才能完成该过程。如果计算机与网络连接，则网络策略设置也可能阻止用户完成此步骤。
  §　要打开"磁盘管理"，请单击"开始"，指向"设置"，单击"控制面板"，双击"管理工具"，然后双击"计算机管理"。在控制台树中，双击"存储"，然后单击"磁盘管理"。
  §　有关将基本磁盘升级到动态磁盘的其他信息，请参阅相关主题。
  §　将基本磁盘升级到动态磁盘后，不能将动态卷改回到分区。相反，必须删除磁盘上的所有动态卷，然后使用"还原为基本磁盘"命令。
  §　在升级磁盘之前，关闭在那些磁盘上运行的程序。
  §　为使升级成功，任何要升级的磁盘都必须至少包含 1 MB 的未分配空间。在磁盘上创建分区或卷时，"磁盘管理"将自动保留这个空间，但是带有其他操作系统创建的分区或卷的磁盘上可能没有这个空间。（这个空间即使在"磁盘管理"中看不到也存在。）
  §　一旦升级，动态磁盘就不能包含分区或逻辑驱动器，也不能被 MS-DOS 或 Windows 2000 以外的其他 Windows 操作系统访问。
  §　将基本磁盘升级到动态磁盘时，基本磁盘上已有的全部分区都变为动态磁盘上的简单卷。已有的镜像卷（镜像集）、带区卷（带区集）、RAID-5 卷（具有奇偶校验的带区集）或跨区卷（卷集）分别变成动态镜像卷、动态带区卷、动态 RAID-5 卷或动态跨区卷。

§　将动态磁盘改为基本磁盘
    步骤1 打开磁盘管理
    步骤2 右键单击要改回基本磁盘的动态磁盘，然后单击"还原成基本卷"。
    注意：
  §　必须以管理员或管理组成员的身份登录才能完成该过程。如果计算机与网络连接，则网络策略设置也可能阻止用户完成此步骤。
  §　要打开"磁盘管理"，请单击"开始"，指向"设置"，单击"控制面板"，双击"管理工具"，然后双击"计算机管理"。在控制台树中，双击"存储"，然后单击"磁盘管理"。
  §　在把动态磁盘改回基本磁盘之前，必须从动态磁盘中删除所有卷。
  §　一旦把动态磁盘改回基本磁盘，就只能在该磁盘上创建分区和逻辑驱动器。

  返回页首>>>

    9.2 磁盘配额管理
    9.2.1 基本概念
    在 Windows 2000 种磁盘配额跟踪以及控制磁盘空间的使用，令系统管理员可将 Windows 配置为：
§　用户超过所指定的磁盘空间限额时，阻止进一步使用磁盘空间和记录事件。
§　当用户超过指定的磁盘空间警告级别时记录事件。
    启用磁盘配额时，可以设置两个值：磁盘配额限度和磁盘配额警告级别。该限制指定了允许用户使用的磁盘空间容量。警告级别指定了用户接近其配额限度的值。例如，可以把用户的磁盘配额限度设为 50 MB，并把磁盘配额警告级别设为 45 MB。这种情况下，用户可在卷上存储不超过 50 MB 的文件。如果用户在卷上存储的文件超过 45 MB，则把磁盘配额系统记录为系统事件。可以指定用户能超过其配额限度。如果不想拒绝用户访问卷但想跟踪每个用户的磁盘空间使用情况，启用配额但不限制磁盘空间使用将非常有用。也可指定不管用户超过配额警告级别还是超过配额限度时是否要记录事件。
    启用卷的磁盘配额时，系统从那个值起自动跟踪新用户卷使用。但是，磁盘配额不应用到现有的卷用户上。可以通过在"配额项目"窗口中添加新的配额项目将磁盘空间配额应用到现有的卷用户上。可以在本地卷和网络卷上启用配额，但是只能在从卷的根目录共享以及用 NTFS 文件系统格式化的卷上启用配额。

配额和用户
    由于磁盘配额监视单个用户的卷使用情况，因此每个用户对磁盘空间的利用都不会影响同一卷上的其他用户的磁盘配额。例如，如果用户把 50 兆字节 (MB) 的文件保存到 F 卷上，则那个用户必须从该卷删除或移动一些过时文件，才能把其他数据写到这个卷上。但是，其他用户在那个卷上可继续存储直到 50 MB 空间的文件。
    磁盘配额是以文件所有权为基础的，并且不受卷中用户文件的文件夹位置的限制。例如，如果用户把文件从一个文件夹移到相同卷上的其他文件夹，则卷空间用量不变。但是，如果用户将文件复制到相同卷上的不同文件夹中，则卷空间用量加倍。
    文件夹和磁盘
    磁盘配额只适用于卷，且不受卷的文件夹结构及物理磁盘上的布局的限制。
    如果卷有多个文件夹，则分配给该卷的配额将整个应用于所有文件夹。例如，如果 \\Production\QA 和 \\Production\Public 是 F 卷上的共享文件夹，则用户对这两个文件夹的使用不能超过已指派的 F 卷配额。
    如果单个物理磁盘包含多个卷，并把配额应用到每个卷，则每个卷配额只适于特定的卷。例如，如果用户共享两个不同的卷，分别是 F 卷和 G 卷，则即使这两个卷在相同的物理磁盘上，也分别对这两个卷的配额进行跟踪。

如果一个卷跨越多个物理磁盘，则整个跨区卷使用该卷的同一配额。例如，如果 F 卷有 50 MB 的配额限度，则不管 F 卷是在物理磁盘上还是跨越三个磁盘，都不能把超过 50 MB 的文件保存到 F 卷。
    配额详细信息的更新
    在 NTFS 文件系统中，卷使用信息按用户安全标识 (SID) 存储，而不是按用户帐户名称存储。第一次打开"配额项目"窗口时，磁盘配额必须从网络域控制器或本地用户管理器上获得用户帐户名称，将这些用户帐户名与当前卷用户的 SID 匹配，并组装带有用户名的"名称"列上的项目。从域控制器或本地用户管理器中获得这些名称时，名称将显示在该区域中。第一次查看配额项目时，这个过程立即开始。
获得这些名称之后，名称将保存在卷上的文件中，以便下次打开"配额项目"窗口时可立即使用。但是，因为此文件可能持续几天使用而没有被 Windows 更新，所以"配额项目"窗口可能不反映查看配额项目后对域用户帐户列表所做的更改。
    配额和转换的 NTFS 卷
    因为磁盘配额都是以文件所有权为基础的，所以对影响文件所有权状态的卷做任何更改，包括文件系统转换，都可能影响该卷的磁盘配额。因此，在现有的卷从一个文件系统卷转换到另一文件系统之前，用户应该了解这种转换可能引起所有权的变化。

    因为它们使用存储在 NTFS 文件系统字段的数据来识别文件所有者，所以磁盘配额可以在用于 Windows 2000 的 NTFS 版本和用于 Windows NT 4.0 及更早版本的 NTFS 中工作。但是，由于 FAT 和 FAT32 卷上的文件归该系统所有，因此从 FAT 或 FAT32 转换到 NTFS 的卷上的文件不是根据拥有文件的用户来计算的。在这种情况下，这些文件由管理员帐户负责。因为管理员拥有无限的卷使用权限，因此这几乎不是问题。
    本地和远程实现
    用户可在本地计算机和远程计算机的卷上启用磁盘配额。在本地计算机上，可以使用配额限制登录本地计算机的不同用户可使用的卷空间容量。在远程计算机上，可以使用配额限制远程用户的卷使用情况。
    可使用配额确保：
    登录到相同计算机的多个用户不干涉其他用户的工作能力。
    公用服务器上的磁盘空间不由一个或多个用户独占。
    在个人计算机的共享文件夹中，用户不使用过多的磁盘空间。
    要启用远程计算机卷上的配额，这些卷必须是通过在 Windows 2000 中使用的 NTFS 版本格式化的，并且是从卷的根目录共享的。同样，用户必须是远程计算机卷上的 Administrators 组的成员才能启用和管理配额。

9.2.2 磁盘配额管理
§　启用磁盘配额
    步骤1打开"我的电脑"
    步骤2 右键单击要启用磁盘配额的磁盘卷，然后单击"属性"
    步骤3 在"属性"对话框中，单击配额选项卡，如图9.6
    步骤4 在"配额"属性页上，单击"启用配额管理"复选框，然后单击"确定"。

通过属性项用户还可以执行以下任务
  §　禁用磁盘配额
  §　拒绝超过限制的用户使用磁盘空间
  §　指派默认配额值
  §　查看磁盘配额设置
§　添加新配额项目
    步骤1 打开"我的电脑"
    步骤2 右键单击要添加新磁盘配额项目的卷，然后单击"属性"
    步骤3 在"属性"对话框中，单击配额选项卡

步骤4 在"配额"属性页上，单击"配额项目"
    步骤5 在"配额项目"窗口中，单击"配额"菜单上的"新配额项目" 如图 9.7
    步骤6 在"选择用户"对话框的"搜索范围"列表框中，选择要从中选择用户名的域或工作组的名称。单击"添加"，然后单击"确定"

步骤7 在"添加新配额项目"对话框中 如图 9.8 ，指定下列选项之一，然后单击"确定"：
  §　不限制磁盘的使用。不限制磁盘空间而跟踪磁盘空间的使用。
  §　将磁盘空间限制在。激活限制磁盘空间以及设置警告级别的字段。在文本字段中键入一个数值，然后从下拉列表中选择磁盘空间限制单位。可使用十进制值（例如，20.5 MB）。输入的值不能超过卷的最大容量。

在"配额项目"窗口中，用户还可以实现以下任务：
§　查看卷用户的磁盘配额信息
§　删除配额项目
§　修改用户磁盘空间限制和警告级别
§　在"配额项目"窗口中查找配额项目
§　排序配额项目
§　更改"配额项目"窗口中的列顺序
§　创建配额报告
§　从其他卷导入配额设置
§　将配额设置导出到其他卷上

返回页首>>>

9.3 远程存储管理
    "远程存储"使您不需要添加更多硬盘就能轻松扩充服务器计算机的磁盘空间。"远程存储"将本地卷上的合格文件自动复制到磁带库。然后"远程存储"监视本地卷上的可用空间。文件数据缓存在本地，以便需要时可以快速访问。当被管理卷上的可用空间量下降到需要的级别以下时，"远程存储"将自动从缓存文件中删除内容，以提供您需要的磁盘空间。当从文件中删除数据时，文件所使用的磁盘空间将减少到零。直到需要更多的磁盘空间时，才删除缓冲文件中的数据。当需要打开其数据已经被删除的文件时，数据将自动从远程存储中撤回。由于库中的可移动磁带每兆字节 (MB) 的成本开销比硬盘少，所以这是提供最多数据存储量和最佳本地磁盘性能的经济方法。
§　数据存储的级别
    "远程存储"的数据存储具有层次结构，有两个经过定义的等级。上一级，称为本地存储器，包含在 Windows 2000 Server 上运行"远程存储"的计算机上的 NTFS 磁盘卷。下一级，称为远程存储，位于连接到服务器计算机的自动磁带库或独立磁带驱动器上。

"远程存储"支持所有 SCSI 类 4 毫米、8 毫米和 DLT 磁带库。不推荐使用 Exabyte 8200 磁带库的"远程存储"。"远程存储"不支持 QIC 磁带或光盘库。
§　检索存储的文件
    当需要访问"远程存储"所管理的卷上的文件时，只要简单地打开该文件。如果文件数据不再被缓存在本地卷中，"远程存储"将从磁带库中撤回数据。由于这样做要花费比通常更多的时间，"远程存储"将根据您设定的标准，仅从本地卷上最不可能需要的文件中删除数据。
§　与其他工具的配合
    "远程存储"使用"可移动存储"来访问包含在库中的可应用磁带。远程存储还能与 Windows 协作以便进行数据恢复。"远程存储"同时提供某些数据还原特性，包括在远程存储中生成多个副本的能力。

9.3.1 基本概念
    "远程存储"作为 Windows 2000 服务器的服务运行，并使用"可移动存储"来访问在被用于远程存储的库中的可应用磁带。您可以从 Microsoft 管理控制台 (MMC) 管理"远程存储"，使用"远程存储"管理单元执行所有任务。如图 9.9 说明了"远程存储"与服务器计算机之间的关系。

"远程存储"使用 Windows 2000 的安全性来授予或拒绝对存储管理的访问。只有有管理员权限的用户帐户才能管理"远程存储"；但是，有适当权限的用户可以打开"远程存储"所管理的卷中的文件。
    "远程存储"将"远程存储"选项卡添加到 Windows 资源管理器的卷"属性"对话框，以及本地计算机的"磁盘管理"管理单元中。该选项卡显示本地和远程的存储统计信息和设置。在从其他计算机远程管理卷时，"远程存储"选项卡只显示在运行"远程存储"服务的计算机中。
    "远程存储"操作不会影响使用文件大小的程序（如 Disk Quota）。当"远程存储"通过从已经被复制的缓存文件中删除数据来释放磁盘空间时，文件所使用的磁盘空间成为零。但是，文件的逻辑大小和日期/时间（创立、上次修改、上次访问）属性保持不变。
    在使用 Windows 文件管理器 (Winfile.exe) 时，不显示"远程存储"所管理的文件。这将影响运行 Windows 以前版本的客户端计算机。服务器计算机上只能存在一个"远程存储"安装。
    在"远程存储"控制之下的、服务器计算机上的本地磁盘卷被称为被管理卷。例如，可以将 D 盘配置为被管理卷。如果您在其他驱动器中有辅助硬盘，例如 E、F 等，您也可以将其配置为附加的被管理卷。

由"远程存储"管理的磁盘卷必须是不可移动的，同时也必须用 Windows 2000 所使用的 NTFS 版本格式化。"远程存储"按照您指定的计划和规则，自动从被管理卷将数据复制到远程存储。由您配置被管理卷上保留的可用磁盘空间大小，以及用于将特定文件复制到远程存储的标准。如图 9.10 中显示了"远程存储"如何从本地存储将文件复制到远程存储的过程

9.3.2 远程存储管理
§　安装"远程存储"
    步骤1 如果您的计算机中尚未安装"远程存储"，请执行下列步骤：
  §　打开"控制面板"中的添加/删除程序
  §　单击"添加/删除 Windows 组件"。
  §　选中"远程存储"复选框，然后单击"下一步"。
  §　当系统询问您现在是否想重新启动计算机时，请单

击"是"。
    步骤2 打开远程存储
    步骤3 请按照"远程存储安装向导"的指示操作，安装完毕 如图 9.11

注意：
  §　在安装远程存储后第一次打开它时，远程存储安装向导会指导您按照所需步骤全部完成配置以便进行操作。
  §　请对预先确定想用于远程存储的媒体类型，因为以后不能改变。
  §　不要在 Windows 服务器群集上安装"远程存储"。
    通过远程存储管理器您可以进行以下操作：
§　查看或设置"远程存储"的属性
§　监视"远程存储"的任务
§　查看"远程存储"的事件
§　管理本地磁盘卷
§　管理远程存储媒体

返回页首>>>

9.4 可移动存储
    "可移动存储"使您可以轻松地跟踪可移动存储媒体（磁带或磁/光盘），并管理硬件库，如更换器和自动光盘机。"可移动存储"标注、分类并跟踪媒体；控制库驱动器、插槽和门；并且提供驱动器清洗操作。"可移动存储"与数据管理程序（如"备份"）协同工作。使用数据管理程序可管理存储在媒体上的实际数据。"可移动存储"使多个程序可以共享相同的存储媒体资源，从而减少您的开销。"可移动存储"将库中的所有媒体组织到不同的媒体池中。"可移动存储"也会在媒体池之间移动媒体，以提供应用程序需要的数据存储空间。
    "可移动存储"不提供卷管理，如带区。可移动存储也不提供文件管理，例如数据备份或磁盘扩展器操作。这些服务由数据管理应用程序（例如"备份"或"远程存储"）完成。（"远程存储"在运行 Windows 2000 Professional 的计算机上不可用。）必须在连接到库的同一台计算机上运行所有数据管理程序。"可移动存储"不支持在连接到相同库的不同计算机上运行的多个数据管理程序。
    §　"可移动存储"组件
    "可移动存储"由管理接口，即 Microsoft 管理控制台 (MMC) 管理单元、带有 API 的 Windows 2000 服务以及数据库组成。"可移动存储"服务通过 API 向数据管理程序提供媒体服务。下图显示可移动存储、数据管理程序、库与 Windows 2000 之间的关系。

可以使用"可移动存储"管理单元执行下列任务：
  §　创建媒体池并设置媒体池属性
  §　插入和弹出自动库中的媒体
  §　装入和卸除媒体。
  §　查看媒体和库的运作状态。
  §　执行库的列出清单操作。
  §　为用户设置安全权限。
§ 库
    在其最简单的形式中，库是由数据存储媒体和用于读写该媒体的设备组成。由"可移动存储"安装管理的一组库及其相关媒体叫做"可移动存储系统"。库主要有两种类型：
  §　"自动库"是拥有多个磁带或磁/光盘的一些自动单元（有一些拥有多个驱动器）。这些库有时称为"更换器"或"自动光盘机"，并且一般使用自动子系统或驱动器机架以移动存储在库存储插槽中的媒体。驱动器机架定位所需的磁带或磁/光盘，将其装入可用驱动器中，在任务完成后将其返回分配的存储插槽。自动库也可以包括"可移动存储"所管理的其他硬件组件（例如门、插入/弹出端口、清洗磁带和条码阅读器）。
  §　"独立驱动器库"或"独立驱动器"都是单驱动器、非自动单元（如磁带机或 CD-ROM 驱动器），它们均具可装入单个的磁带或磁/光盘。对于这些驱动器单元，可手工插入磁带或磁/光盘。
    可移动存储不仅能够管理多个库，还能够跟踪库中当前不包含的脱机媒体。

§ 媒体池
    媒体池是应用相同管理属性的磁带或磁/光盘的集合。"可移动存储"系统中的所有媒体均属于媒体池，每个媒体池只包含一种类型的媒体。数据管理程序使用媒体池访问库中的指定磁带或磁/光盘。
    使用媒体池可以定义应用于一组媒体的属性。因为"可移动存储"允许多个程序共享单个库中的相同媒体，所以这一点十分有用。一个库可以包含不同媒体池中的媒体，每一个都具有不同的属性。单一的媒体池可以跨越多个库。也可以创建分层的媒体池，即包含其他媒体池的媒体池。例如，您可以为程序所需的每种特定媒体类型建立一个媒体池，然后创建另一个包含这些媒体池的媒体池。媒体池可以包含媒体或其他的媒体池，但不能同时包含这两者。
    可移动存储系统提供了两种类型的媒体池：系统和应用程序。
  §　系统媒体池包括可用媒体池、无法识别媒体池和导入媒体池。"可移动存储"在您的"可移动存储"系统中给每种媒体类型创建一个可用媒体池、一个无法识别媒体池和一个导入媒体池。系统媒体池用于管理应用程序当前未使用的媒体。
  §　应用程序媒体池由数据管理程序创建，例如"备份"和"远程存储"。

§　媒体标识
    "可移动存储"使用两种标识方法跟踪媒体和列出清单：媒体上的标识符和条码。
  §　媒体上的标识符
    当磁带或者磁/光盘第一次插入库的时候，媒体上的标识符以电子方式记录到媒体上。当下一次将媒体插入库中时，"远程存储"使用媒体上的标识符来识别并跟踪磁带或磁/光盘。
  §　条码
    如果库支持条码，则"可移动存储"可以使用它们来标识媒体。带条码的媒体也有位于媒体上的标识符，可移动存储可以使用其中的任意一个。使用条码跟踪媒体一般要快得多，原因是在读取媒体上的标识符时不必装入每个磁带或磁/光盘。

9.4.1 管理库
§　启用或禁用库
    步骤1 打开"可移动存储"，如图 9.12
    步骤2 在控制台树中，双击"物理位置"。
    步骤3 右键单击要启用或禁用的库，然后单击"属性"。

屏幕上出现该库的"属性"对话框，如图 9.13
    步骤4 在"常规"选项卡上，确认"启用库"复选框已被选中。
或者，要禁用库，请清除"启用库"复选框。
    在"属性"对话框中还可以执行以下任务：
  §　启用或禁用驱动器
  §　更改库媒体类型
  §　检查库的清单
  §　设置默认的库清单
  §　打开库门
  §　设置库门和端口超时
  §　清洗独立驱动器
  §　清洗自动库

9.4.2 管理媒体池
§ 创建新媒体池
    步骤1 打开"可移动存储"
    步骤2 在控制台树中，右键单击"媒体池"，再单击"创建媒体池"，如图 9.14
或者，要在另一个媒体池中创建新的媒体池，请右键单击适用的媒体池，然后单击"创建媒体池"。
    步骤3 在"常规"选项卡的"名称"中输入新媒体池的名称，然后在"描述"中输入相关说明。
    步骤4 在"媒体信息"下，单击"包含的媒体类型"，然后在列表中选择适当的媒体类型。
    步骤5 在"配置/解除分配策略"下，执行以下操作：
  §　要在需要时从可用媒体池中自动抽取未使用的媒体，请选中"从空闲媒体池中抽取媒体"复选框。
  §　要在不需要时将媒体自动返回到可用媒体池，请选中"将媒体返回到空闲媒体池"复选框。

  §　要设置该媒体池中媒体的分配限制，请选中"限制重新分配"复选框，然后根据需要更改默认值。

    对创建的媒体池您可以执行以下操作：
  §　删除应用程序媒体池
  §　从可用媒体池中自动抽取媒体
  §　将媒体自动返回可用媒体池
  §　设置媒体池的分配限制

9.4.3 管理磁带和磁/光盘
§ 启用或禁用磁带或磁/光盘
    步骤1 打开"可移动存储"
    步骤2 在控制台树中，单击"媒体"。
    步骤3 在详细信息窗格中，右键单击磁带或磁/光盘，再单击"属性"。
    步骤4 在"媒体"选项卡上，确认"启用媒体"复选框已被选中。
或者，要禁用磁带或者磁/光盘，请清除"启用媒体"复选框。
    您还可以对磁带和磁/光盘执行以下任务：
  §　将媒体移到另一个媒体池
  §　插入磁带或磁/光盘
  §　从独立驱动器中弹出磁带或磁/光盘
  §　从自动化库中弹出磁带或磁/光盘
  §　装入磁带或磁/光盘
  §　从独立驱动器上卸除磁带或磁/光盘
  §　从自动库中卸除磁带或磁/光盘

    9.4.4 管理操作员请求和排队工作
§ 响应操作员请求
    步骤1 打开"可移动存储"
    步骤2 在控制台树中，单击"操作员请求"。
    步骤3 在详细信息窗格中，右键单击适当的请求，然后执行下列操作之一：
  §　要完成该请求，请单击"完成"，然后在提示时执行该操作。
  §　要取消请求，请单击"拒绝"。
    您还可以对管理操作员请求和排队工作执行以下任务：
  §　更改操作员请求的显示方式
  §　删除操作员请求
  §　取消工作队列中的挂起操作
  §　更改工作队列中的装入顺序

    9.4.5 管理可移动存储的安全性
§ 更改"可移动存储"的用户权限
    步骤1 打开"可移动存储"
    步骤2 在控制台树中，右键单击要更改其用户权限的特定项目，再单击"属性"。
    步骤3 在"属性"对话框中，单击"安全"选项卡，如图 9.15
    步骤4 单击您想要更改权限的用户或组的名称，然后执行下列操作之一：
  §　要更改特定的权限，请选中或清除每个三级访问权限的"允许"或"拒绝"复选框："使用"、"修改"和"控制"。
  §　要拒绝所有权限，请单击"删除"。

§ 添加访问"可移动存储"的用户
    步骤1 打开"可移动存储"
    步骤2 在控制台树中，右键单击要添加访问用户的特定项目，然后单击"属性"，如图 9.16
    步骤3 在"安全"选项卡上，单击"添加"。
    步骤4 在"选择用户、计算机或组"对话框的"名称"中，单击适当的用户或组，再单击"添加"，然后单击"确定"。
    步骤5 单击刚刚添加的用户或组名，然后执行以下任一项操作：
  §　要更改特定的访问权限，请选中或清除每个三级访问权限的"允许"或"拒绝"复选框："使用"、"修改"和"控制"。
  §　要拒绝所有访问权限，请单击"删除"。

返回页首>>>

  相关内容：（本教程出自：www.365edu.com）
 第一章、windows2000Server新功能及安装
第二章、windows2000网络客户端的安装和配置
第三章、配置远程安装服务和设置用户配置文件
第四章、windows2000的基本管理
第五章、DNS服务器的配置与管理
第六章、活动目录服务的基本安装和配置
第七章、管理计算机和用户帐号
第八章、文件和打印系统的配置与管理
第九章、数据存储
第十章、安全管理


第十章 安全管理

    好的安全系统可确认试图访问计算环境的个人的身份，防止冒名顶替者的访问、盗窃或者破坏系统资源；保护环境中的特定资源免受用户的不正当访问；为设置和维护用户工作环境中的安全性提供了一种简单而有效的方法，同时防止信息和资源被损坏以及有人未授权访问。
本章主要内容有：
1、安全的基本概念
2、控制对象的访问
3、事件的审核
4、管理磁盘上的数据加密
5、管理安全模板
6、安全配置和分析

    10.1 安全的基本概念
    10.1.1 安全模型
    Windows 2000 安全模型的主要功能是用户身份验证和访问控制。
    用户身份验证: Windows 2000 安全模型包括用户身份验证的概念，这种身份验证赋予用户登录系统访问网络资源的能力。在这种身份验证模型中，安全性系统提供了两种类型的身份验证：交互式登录(根据用户的本地计算机或 Active Directory 帐户确认用户的身份)和网络身份验证（根据此用户试图访问的任何网络服务确认用户的身份）。为提供这种类型的身份验证，Windows 2000 安全系统包括了三种不同的身份验证机制：Kerberos V5、公钥证书和 NTLM（与 Windows NT 4.0 系统兼容）。

基于对象的访问控制：通过用户身份验证，Windows 2000 允许管理员控制对网上资源或对象的访问。Windows 2000 通过允许管理员为存储在 Active Directory 中的对象分配安全描述符实现访问控制。安全描述符列出了允许访问对象的用户和组，以及分配给这些用户和组的特殊权限。安全描述符还指定了需要为对象审核的不同访问事件。文件、打印机和服务都是对象的实例。通过管理对象的属性，管理员可以设置权限，分配所有权以及监视用户访问。
    管理员不仅可以控制对特殊对象的访问，也可以控制对该对象特定属性的访问。例如，通过适当配置对象的安全描述符，用户可以被允许访问一部分信息，如只访问员工姓名和电话号码而不能访问他们的家庭住址。
    Active Directory 和安全性：Active Directory 通过使用对象和用户凭据的访问控制提供了对用户帐户和组信息的保护存储。由于 Active Directory 不仅存储用户凭据还存储访问控制信息，因此登录到网络的用户将同时获得访问系统资源的身份验证和授权。例如，用户登录到网络时，Windows 2000 安全系统通过存储在 Active Directory 上的信息来验证用户。然后，当用户试图访问网络上的服务时，系统检查由任意访问控制列表为这一服务定义的属性。由于 Active Directory 允许管理员创建组帐户，因此管理员可以更有效地管理系统的安全性。例如，通过调节文件属性，管理员可以允许组中的所有用户读取文件。这样，访问 Active Directory 中的对象以组成员为基础。

10.1.2 域的体系结构
域和安全性
    域是网络对象的分组。例如：用户、组和计算机。域中所有的对象都存储在 Active Directory 下。Active Directory 可以常驻在某个域中的一个或多个域控制器下。每个域都是一个安全界限，这意味着安全策略和设置（例如系统管理权利、安全策略和访问控制表）不能跨越不同的域。特定域的系统管理员有权设置仅属于该域的策略。由于每个域都是一个安全壁垒，因此不同的系统管理员可以在单位中创建和管理不同的域。 理解域的关键是：
    安全策略可以贯穿整个域来实现。
    为保证数据库的同步，包括安全信息的 Active Directory 会定期复制到域中每个域控制器。
    Active Directory 中的对象可以按组织单位的不同级别进行组织和管理。
    可转移的信任关系可以建立在域树中的域之间。
单个域和多个域
    Windows NT 4.0 限制了目录可以存储的用户帐户的个数。因此，为了适应大计算环境的需要，创建和管理多个域而且每个都拥有自己的用户帐户目录对于单位来说就非常必要了。域通常按以下两种类型进行组织：主域（存储用户和组的帐户）和资源域（存储文件、打印机、应用程序服务等等）。

这种多域的计算环境被称为多主域模式。多主域模式意味着资源域需要与所有的主域具有多个信任关系。这些信任关系允许主域的用户访问资源域中的资源。
    通过扩大存储用户、组和计算机帐户的能力，Active Directory 可实现多个域的功能，因此取而代之。通过 Active Directory，系统管理员可以把跨越多个域的所有帐户（过去必须存储在主域中）和所有资源（过去必须存储在资源域中）合并到单个域中。出于管理目的，系统管理员可以在域中将对象分组到不同组织单位 (OU) 中以维持对象的逻辑分组。然而，在某些情况下，用户出于策略原因可能希望保留多个域。
    可转移的信任关系
    当用户将对象从多个域转到单个域时，会降低必须建立和保持的域信任关系的数量。同样，将域合并成单个域林时，这些域将自动建立可转移的信任关系，减少了在域之间手动建立信任关系所需的数量。要访问域林中所有其他域，每个域同域林中的另一个域只需要一个信任关系。
    服务器角色
    域中的服务器担当下面的其中一种角色：
    域控制器运行 Active Directory 并且提供身份验证和策略。
    成员服务器不提供 身份验证和策略，常作为文件、应用程序、数据库、Web服务器等使用。

10.1.3 身份验证
    身份验证是系统安全性的一个基本方面。它负责确认试图登录域或访问网络资源的任何用户的身份。Windows 2000 身份验证允许对整个网络资源进行单独登记。采用单独登记的方法，用户可以使用单个密码或智能卡一次登录到域，然后通过身份验证向域中的所有计算机表明身份。
    Windows 2000 支持几种工业标准的身份验证类型。验证用户身份时，Windows 2000 依据多种要素使用不同种类的身份验证。Windows 2000 支持的身份验证类型有：
Kerberos V5 身份验证
    安全套接字层 (SSL) 和传输层安全性 (TLS) 的身份验证
NTLM 身份验证
    在 Windows 2000 中，NTLM 被用作域中两台计算机之间事务的身份验证协议，其中一台或两台计算机运行 Windows NT 4.0 或更早版本。Windows 2000 在默认情况下以混合模式网络配置安装。混合模式的网络配置使用 Windows NT 4.0 和 Windows 2000 的任意组合系统。如果没有混合模式网络，可以在域控制器中转换为本地模式来禁用 NTLM 身份验证。

10.1.4 授权
    Windows 2000 的安全性建立在身份验证和授权之上。
    管理员可以指派特定权利组帐户或单个用户帐户。
    用户权利定义了本地级别上的功能。虽然用户权利可以应用于单个的用户帐户，但最好是在组帐户基础上管理。这样可以确保作为组成员登录的帐户将自动继承该组的相关权利。通过对组而不是对单个用户指派用户权利，可以简化用户帐户管理的任务。当组中的用户都需要相同的用户权利时，用户可以一次对该组指派用户权利，而不是重复地对每个单独的用户帐户指派相同的用户权利。
    对组指派的用户权利应用到该组的所有成员（在它们还是成员的时候）。如果用户是多个组的成员，则用户权利是累积的，这意味着用户有多组权利。指派给某个组的权利只有在特定登录权利的情况下才会与指派给其他组的权利发生冲突。然而，指派给某个组的用户权利通常不会与指派给其他组的权利冲突。要删除用户的权利，管理员只需简单地从组中删除用户。在这种情况下，用户不再拥有指派给这个组的权利。
    用户权利有两种类型：特权和登录权利。
§　特权。特权的一个典型范例就是备份文件和目录的权利。
§　登录权利。登录权利的一个典型范例就是登录本地系统的权利。

10.1.5 审核
    安全审核是 Windows 2000 的一项功能，负责监视各种与安全性有关的事件。监视系统事件对于检测入侵者以及危及系统数据安全性的尝试是非常必要的。
    应该被审核的最普通的事件类型包括：
§　访问对象，例如文件和文件夹
§　户和组帐户的管理
§　用户登录以及从系统注销时
    除了审核与安全性有关的事件，Windows 2000 还生成安全日志并提供了查看日志中所报告的安全事件的方法。

10.1.6 安全策略
    安全设置定义了系统的安全相关操作。通过对 Active Directory 中组策略对象的使用，系统管理员可以集中应用保护企业系统所要求的安全级别。
    确定包括多台计算机的组策略对象的设置时，必须考虑给定站点、域或单位的组织和功能特征。例如，销售部门的计算机和财务部门的计算机对安全级别的需要就大不一样。
安全设置
    安全设置包括安全策略（帐户和本地策略）、访问控制（服务、文件、注册表）、事件日志、组成员（受限的组）、网际协议 (IP) 的安全策略和公钥策略。
安全模板
    安全模板是安全配置的物理表现：一组安全设置应该存储于一个文件中。Windows 2000 包括一组以计算机的角色为基础的安全模板：从低安全域客户端的安全设置到非常安全的域控制器。这些模板可用于创建自定义安全模板，修改模板或者作为自定义安全模板的基础。
安全配置工具
    管理员可使用安全模板管理单元来定义和使用安全模板。
    管理员可使用安全配置和分析管理单元来配置和分析本地的安全性。
    管理员可使用组策略管理单元来配置 Active Directory 中的安全性。

10.1.7 数据保护
    数据的保密性和完整性开始于网络的身份验证。用户可以通过适当的凭据（安全的密码或者公钥凭据）在网络上登录，并在此过程中获得访问存储数据的权限。
    Windows 2000 支持两种数据保护方式：存储数据和网络数据。以下部分介绍这两种类型的保护方式。
    存储数据的保护
    保护存储的数据（联机或是脱机）可以通过：
    文件加密系统 (EFS)：EFS 使用公钥加密技术对本地的 NTFS 数据进行加密。
    数字签名:数字签名对软件组件进行签名以确保它们的合法性。
    网络数据的保护
    在用户的工作环境（局域网和子网）中的网络数据通过身份验证协议来保护它的安全。用户也可以选择其他的安全级对用户工作环境中的网络数据进行加密。使用网际协议 (IP) 的安全机制，用户可以为指定的客户端或某个域中的所有客户端的所有网络通讯数据进行加密。
传入及传出用户所在工作环境的网络数据（通过内部网、外部网或 Internet 网关）可以通过使用以下实用程序进行保护：
    网际协议安全。对客户端的所有 TCP/IP 通讯进行加密。
    路由和远程访问。配置远程访问协议和路由。
    代理服务器。为站点提供防火墙和代理服务器。
    另外，象 Microsoft Exchange、Microsoft Outlook 和 Microsoft Internet Explorer 这样的程序都提供了某个站点内或者整个网络上的信息和事务的公钥加密。

10.1.8 公钥基础结构
    在这个信息互连的时代，单位的网络可能包括内部网、Internet 站点和外部网这些都有可能被一些未经授权、蓄意盗阅或更改单位数字信息财产的个人访问。
    有许多潜在的机会可未经授权访问网络上的信息。个人可以尝试监视或更改类似于电子邮件、电子商务和文件传输这样的信息流。用户的单位可能与合作伙伴在限定的范围和时间内进行项目合作，有些雇员用户虽然一无所知，但却必须给他们一定的权限访问用户的部分信息资源。如果用户的用户为了访问不同安全系统需要记住许多密码，他们可以会选择一些防护性较差或很普通的密码，以便于记忆。这不仅给黑客提供一个容易破解的密码，而且还提供了众多安全系统和存储数据的访问。
    那么，系统管理员怎样才能确定正在访问信息的用户的身份而且利用身份对被访问的信息进行控制呢？另外，系统管理员怎样才能轻松而安全地分发和管理单位中的身份凭证呢？这些都是可以通过仔细规划的公钥基础结构解决的问题。
    通常缩写为 PKI 的公钥系统是由数字证书、证书颁发机构 (CA) 以及核实和验证通过公钥加密方法进行电子交易的每一方的合法性的其他注册颁发机构所构成的系统。尽管作为电子商务必要组成部分的公钥基础结构 (PKI) 已被广泛应用，但它仍然在发展之中。
返回页首>>>

10.2 控制对象的访问
1.设置、查看、更改或删除文件和文件夹权限
    步骤1 打开 "Windows 资源管理器"，然后定位到用户要设置权限的文件和文件夹。
    步骤2 右键单击该文件或文件夹，单击"属性"，然后单击"安全"选项卡，
如图 10.1

步骤3 执行以下任一项操作： 要设置新组或用户的权限，请单击"添加"。按照域名\名称的格式键入要设置权限的组或用户的名称，然后单击"确定"关闭对话框。
    要更改或删除现有的组或用户的权限，请单击该组或用户的名称。
    步骤4 如果必要，请在"权限"中单击每个要允许或拒绝的权限的"允许"或"拒绝"。 或者，若要从权限列表中删除组或用户，请单击"删除"。
注意：
    只能在格式化为使用 NTFS 的驱动器上设置文件和文件夹权限。
    要更改访问权限，用户必须是所有者或已经由所有者授权执行该操作。
    无论保护文件和子文件夹的权限如何，被准许对文件夹进行完全控制的组或用户都可以删除该文件夹内的任何文件和子文件夹。
    如果"权限"下的复选框为灰色，或者没有"删除"按钮，则文件或文件夹已经继承了父文件夹的权限。

2.设置、查看或删除共享文件夹或驱动器的权限
    步骤1 打开 "Windows 资源管理器"，然后定位到要设置权限的共享文件夹或驱动器。
    步骤2 右键单击共享文件夹或驱动器，然后单击"共享"。
    步骤3 在"共享"选项卡上，单击"权限"。
    步骤4 要设置共享文件夹权限，请单击"添加"。键入要设置权限的组或用户的名称，然后单击"确定"关闭对话框。
要删除权限，请在"名称"中选择组或用户，然后单击"删除"。
    步骤5 在"权限"中，如果需要，请对每个权限单击"允许"或"拒绝"。如图

3.取得文件或文件夹的所有权
    步骤1 打开 "Windows 资源管理器"，然后定位到要取得其所有权的文件或文件夹
    步骤2 右键单击该文件或文件夹，单击"属性"，然后单击"安全"选项卡
    步骤3 单击"高级"，然后单击"所有者"选项卡 ，如图10.2
    步骤4 单击新的所有者，然后单击"确定"

注意
    选中"替换子容器和对象的所有者"复选框，可以更改目录树中所有子容器和对象的所有者。
可以两种方式转让所有权：
    当前所有者可以授予其他人"取得所有权"权限，允许这些用户在任何时候取得所有权。
    管理员可以获得计算机中任何文件的所有权。但是，管理员不能将所有权转让给其他人。该限制可以保持管理员的责任。
对子域或组织单位委派控制
    步骤1 打开 Active Directory 用户和计算机。
    步骤2 在控制台树中，展开域对象以显示子域或组织单位。
    步骤3 右键单击要委派管理的子域或组织单位，然后单击"委派控制"。
    步骤4 完成控制委派向导中的步骤。
返回页首>>>

10.3 事件的审核
1.设置、查看、更改或删除文件或文件夹的审核
    步骤1 打开 "Windows 资源管理器"，然后定位到想要审核的文件和文件夹
    步骤2 右键单击该文件或文件夹，单击"属性"，然后单击"安全"选项卡
    步骤3 单击"高级"，然后单击"审核"选项卡 ，如图10.3
    步骤4 执行以下任一项操作：
    要设置新组或用户的审核，请单击"添加"。在"名称"中，键入新的用户名，然后单击"确定"，自动打开"审核项"对话框。
    要查看或更改现有组或用户的审核，请单击相应的名称，然后单击"查看/编辑"。
    要删除现有组或用户的审核，请单击相应的名称，然后单击"删除"。跳过步骤 5、6、7。

    步骤5 如果有必要，请在"审核项"对话框中的"应用到"列表中选择要进行审核的位置"应用到"列表只能用于文件夹
    步骤6 在"访问"下，单击要审核的访问的"成功"或"失败"，或这两项
    步骤7 如果要阻止目录树中的文件和子文件夹继承这些审核项，请选中"仅对此容器内的对象和/或容器应用这些审核项"复选框
注意：
    在 Windows 2000 审核对文件和文件夹的访问之前，用户必须使用"组策略"管理单元来启用"审核策略"中的"审核对象访问"设置。否则，在设置文件和文件夹的审核时，将收到错误信息且不会审核任何文件或文件夹。启用了"组策略"中的审核之后，请查看"事件查看器"中的安全日志，以检查试图访问审核的文件和文件夹是成功还是失败。
    只能在格式化为使用 NTFS 的驱动器上设置文件和文件夹审核。
    因为安全日志有大小限制，用户应当仔细选择要审核的文件和文件夹。还应该考虑到用于安全日志的磁盘空间的大小。其最大空间是在"事件查看器"中定义的。

2.查看安全日志
    步骤1 打开"事件查看器"
    步骤2 双击"安全日志"，如图 10.4
    步骤3 在详细信息窗格中，检查审核事件列表。

  返回页首>>>

10.4 管理磁盘上的数据加密
1.指定用于文件加密的远程服务器
    步骤1 打开Active Directory 用户和计算机
    步骤2 找到远程服务器的名称。
    步骤3 右键单击远程服务器名称，然后单击"属性"
    步骤4 选中"信任委派"复选框
2.加密文件或文件夹
    步骤1 在"Windows 资源管理器"中，右键单击想要加密的文件或文件夹，再单击"属性"
    步骤2 单击"常规"选项卡上的"高级" ，如图 10.5
    步骤3 选中"加密内容以便保护数据"复选框

注意：
    只可以加密 NTFS 文件系统卷上的文件和文件夹。
    不能加密压缩的文件或文件夹。如果选中了"压缩内容以便节省磁盘空间"复选框，请清除该复选框，然后选择"加密内容以便保护数据"。
    无法加密系统文件。
    当在远程计算机上加密时，请通过返回文件夹或文件属性确认该文件夹或文件已经加密，方法是单击"高级"，然后检查是否选中了"加密内容以便保护数据"复选框。
    在加密文件夹时，系统将询问是否要同时加密文件夹内的所有文件和子文件夹。如果选择这么做，那么文件夹中当前的和将来要添加的所有文件或子文件夹都将被加密。如果选择仅加密文件夹，则文件夹中当前所有文件和子文件夹将不加密。然而，任何将来被加入文件夹的文件和子文件夹在加入时均被加密。
    在加密单个文件时，系统将询问是否要同时加密包含它的文件夹。如果选择这么做，所有将来添加进文件夹中的文件和子文件夹都将在添加时自动加密。
    创建临时工作文件的程序会损害文件加密的安全性。如果使用这样的程序工作，请在文件夹级别加密，而不要加密单独的文件。

3.将加密的文件或文件夹移动或还原到另一台计算机
    使用 Windows 2000 中的"备份"或任何为 Windows 2000 设计的备份程序将加密文件或文件夹移动或还原到与加密该文件或文件夹不同的计算机上。如果用户已经通过漫游用户配置文件访问到第二台计算机，就不必导入和导出加密证书和私钥，因为它们在用户登录的每台计算机上都可用。
    如果没有通过漫游用户配置文件访问第二台计算机，用户可以使用第一台计算机将加密证书和私钥以 .pfx 文件格式导出到软盘上。为此，在 Microsoft 管理控制台 (MMC) 中使用"证书"中的"导出"命令。然后，在第二台计算机（在此还原加密的文件或文件夹）上，从 MMC 的"证书"中使用"导入"命令从软盘将 .pfx 文件导入到"个人"存储区。

  返回页首>>>

10.5 管理安全模板
    10.5.1 启动安全模板
    步骤1 决定是否将安全模板添加到现有的控制台，或创建新控制台。
§　要创建控制台，请单击"开始"，单击"运行"，然后键入"mmc"，然后单击"确定"。
§　要将安全模板添加到现有的控制台中，打开控制台，然后进行下一步。
    步骤2 在"控制台"菜单上，请单击"添加/删除管理单元"，然后单击"添加"。
    步骤3 选择"安全模板"，单击"添加"，单击"关闭"，然后单击"确定"。 如图 10. 8
    步骤4 在"控制台"菜单上，单击"保存"。
    步骤5 输入指派给此控制台的名称，然后单击"保存"。

在安全模板启动后，用户可以执行以下操作：
§　要自定义预定义安全模板
§　定义安全模板
§　删除安全模板
§　刷新安全模板列表
§　设置安全模板说明
§　将安全模板应用到本地计算机
§　将安全模板导入到"组策略"对象
§　查看有效的安全设置

返回页首>>>

10.6 安全配置和分析
1.开始安全配置和分析
    步骤1 进行以下某项操作：
要将安全配置和分析添加到新的控制台，请单击"开始"，单击"运行"，然后键入"mmc"并单击"确定"。
要将安全配置和分析添加到现有的控制台中，请直接进行下一步。
    步骤2 在"控制台"菜单上，请单击"添加/删除管理单元"，然后单击"添加"。
    步骤3 选中"安全配置和分析"，然后单击"添加"。
    步骤4 单击"关闭"，然后单击"确定"。
    步骤5 在"控制台"菜单上，单击"保存"。
    步骤6 输入指派给此控制台的名称，然后单击"保存"。控制台将出现在"我的文档"中，可以在桌面上或从"开始"菜单访问。

2.设置工作的安全数据库
    步骤1 在安全配置和分析管理单元中，请右键单击"安全配置和分析"。详细信息，请参阅相关主题。
    步骤2 请单击"打开数据库"。
    步骤3 选择现有的个人数据库，或键入文件名创建新的个人数据库，如图10.7。
    步骤4 单击"打开"。
    步骤5 如果这不是当前配置使用的数据库，系统将提示用户选择要加载到数据库的安全模板。
    步骤6 如果选择可能已包含模板的现有个人数据库，并且

要替换此模板，而不是将它合并到已存储的模板，请选中"覆盖数据库中现有的配置"。
    步骤7 单击"打开"。
    此数据库现在可以用于配置系统。

3.分析系统的安全性
    步骤1 在安全配置和分析中，设置工作数据库（如果当前没有设置的话）。
    步骤2 右键单击"安全配置和分析"，然后单击"立即分析系统"。
    步骤3 单击"确定"使用默认的分析日志，或输入日志的文件名和有效路径
    当分析它们时，将显示不同的安全区域，如图10.8。一旦完成操作，就可以检查日志文件或复查结果，如图 10.9。

利用"安全配置和分析"用户还可以执行以下任务：
    设置工作的安全数据库
    导入安全模板
    检查安全性分析结果
    配置系统安全性
    编辑基本安全配置
    查看有效的安全设置
    导出安全模板

          图　10. 12分析结果

当需要进行自动的任务分析时，自动的建立和应用模板、分析系统安全性，可以使用Secedit.exe 命令工具，当对多台机器进行分析时，Secedit.exe 工具十分有用。
    Secedit.exe 命令语法如下：
    secedit /analyze

此命令分析系统的安全性。
secedit /analyze [/DB filename ] [/CFG filename ] [/log logpath] [/verbose] [/quiet]
参数
    /DB filename
提供到数据库的路径，此数据库包含执行分析的存储配置。该参数是必需的。如果 filename 指定了新数据库，也必须指定 CFGfilename 参数。
    /CFG filename
该参数只有与 /DB 参数一起使用才有效。它是到安全模板的路径，此安全模板将被导入到数据库中以用于分析。如果没有指定此参数，则根据已存储在数据库中的配置执行分析。
    /log logpath
此过程的日志文件的路径。如果不提供该参数，则使用默认文件。
    /verbose
在分析过程中需要更详细的进度信息。
    /quiet
不使用屏幕和日志文件的输出。使用安全配置和分析将仍然可以查看分析结果。

返回页首>>>

相关内容：（本教程出自：www.365edu.com）
第一章、windows2000Server新功能及安装
第二章、windows2000网络客户端的安装和配置
第三章、配置远程安装服务和设置用户配置文件
第四章、windows2000的基本管理
第五章、DNS服务器的配置与管理
第六章、活动目录服务的基本安装和配置
第七章、管理计算机和用户帐号
第八章、文件和打印系统的配置与管理
第九章、数据存储
第十章、安全管理


第十一章 DHCP 服务器的安装和配置

本章主要内容：
1、DHCP的基本概念
2、DHCP服务器的新特性
3、Microsoft DHCP 客户机支持的选项类型
4、DHCP的运行方式
5、DHCP/BOOTP Relay Agents
6、DHCP服务器的安装与配置
7、维护DHCP的数据库文件
8、DHCP客户机的设置

    11.1 DHCP的基本概念
    11.1.1 DHCP是什么?
    动态主机分配协议（DHCP）是一个简化主机IP地址分配管理的TCP/IP 标准协议。用户可以利用DHCP服务器管理动态的IP地址分配及其他相关的环境配置工作（如：DNS、WINS、Gateway的设置）。

在使用TCP/IP协议的网络上，每一台计算机都拥有唯一的计算机名和IP地址。IP地址（及其子网掩码）使用与鉴别它所连接的主机和子网，当用户将计算机从一个子网移动到另一个子网的时候，一定要改变该计算机的IP地址。如采用静态IP 地址的分配方法将增加网络管理员的负担，而DHCP可以让用户将DHCP服务器中的IP 地址数据库中的IP 地址动态的分配给局域网中的客户机，从而减轻了网络管理员的负担。用户可以利用Windows 2000 服务器提供的DHCP服务在网络上自动的分配IP地址及相关环境的配工作。
    在使用DHCP时，整个网络至少有一台NT 服务器上安装了DHCP服务，其他要使用DHCP功能的工作站也必须设置成利用DHCP获得IP地址。如图 11.1所示是一个支持DHCP的网络实例

11.1.2 使用 DHCP的好处：
安全而可靠的设置
    DHCP 避免了因手工设置IP地址及子网掩码所产生的错误，同时也避免了把一个IP地址分配给多台工作站所造成的地址冲突。
降低了管理IP地址设置的负担
    使用DHCP 服务器大大缩短了配置或重新配置网络中工作站所花费的时间，同时通过对DHCP服务器的设置可灵活的设置地址的租期。同时，DHCP 地址租约的更新过程将有助于用户确定那个客户的设置需要经常更新（如：使用便携机的客户经常更换地点），且这些变更由客户机与DHCP服务器自动完成，无需网络管理员干涉。

11.1.3 DHCP 的常用术语

术 语 | 描 述
作用域 | 作用域是一个网络中的所有可分配的 IP 地址的连续范围。作用域主要用来定义网络中单一的物理子网的 IP 地址范围。作用域是服务器用来管理分配给网络客户的 IP 地址的主要手段。
超级作用域 | 超级作用域是一组作用域的集合，它用来实现同一个物理子网中包含多个逻辑 IP 子网。在超级作用域中只包含一个成员作用域或子作用域的列表。然而超级作用域并不用于设置具体的范围。子作用域的各种属性需要单独设置。
排除范围 | 排除范围是不用于分配的 IP 地址序列。它保证在这个序列中的 IP 地址不会被 DHCP 服务器分配给客户机。
地址池 | 在用户定义了 DHCP 范围及排除范围后，剩余的地址欧成了一个地址池，地址池中的地址可以动态的分配给网络中的客户机使用
租约 | 租约是 DHCP 服务器指定的时间长度，在这个时间范围内客户机可以使用所获得的 IP 地址。当客户机获得 IP 地址时租约被激活。在租约到期前客户机需要更新 IP 地址的租约，当租约过期或从服务器上删除则租约停止。

（续表）

保留地址 | 用户可以利用保留地址创建一个永久的地址租约。保留地址保证子网中的指定硬件设备始终使用同一个 IP 地址。
选项类型 | 选项类型是 DHCP 服务器给 DHCP 工作站分配服务租约时分配的其它客户配置参数。经常使用的选项包括：默认网关的 IP 地址(routers), WINS 服务器, 及 DNS 服务器。一般在设置每个范围是这些选项都被激活。DHCP 管理器允许设置应用于服务器上所有范围的默认选项。大多数选项都是通过 RFC 2132 预先设定好的，但用户可以根据需要利用 DHCP 管理器定义及添加自定义选项类型
选项类 | 选项类是服务器进一步分级管理提供给客户的选项类型的一种手段。当在服务器上添加一个选项类，该选项类的客户可以在配置是使用特殊的选项类型。在 Windows 2000 中，客户机在于服务器对话时也能够声明类 ID 。而对于早期的 DHCP 客户机不支持类 ID 。选项类包括两种类型：服务商类、客户类

11.1.4 DHCP工具
    DHCP 控制台是管理 DHCP 服务器的主要工具，在安装 DHCP 服务时加入到管理工具中。在 Windows 2000 服务器中，DHCP 控制台被设计成微软管理控制台(MMC)的一个插件，它与其它网络管理工具结合的更为紧密。在下面章节中用户会具体学习它的使用。
    在安装 DHCP 服务器后，用户可以用 DHCP 控制台执行以下一些基本的服务器管理功能：
    创建范围、添加及设置主范围和多个范围、查看和修改范围的属性、激活范围或主范围、监视范围租约的活动、
    为需要固定 IP 的客户创建保留地址
    添加自定义默认选项类型
    添加和配制由用户或服务商定义的选项类
    另外 DHCP 控制台还有新增的功能，如：增强了性能监视器、更多的预定意 DHCP 选项类型、支持下层用户的 DNS 动态更新、监测网络上为授权的 DHCP 服务器等。

11.2 DHCP 服务器的新特性
自动分配 IP 地址
    Windows2000 DHCP 工作站 DHCP 服务器无法提供租约的时候能够为自己分配一个临时的 IP 地址，DHCP 工作站在后台每隔 5 分钟继续尝试与服务器进行通信，以获得有效的租约。
增强的性能监视器和服务器报告能力
    新的性能监视计数器令用户更为清晰的观察 DHCP 服务器在网络上的性能状况。并且 DHCP 管理器利用图形显示服务器、范围和客户的当前状态增强了服务器的报告能力，如：利用不同的图标表示服务器或范围是否链接，利用警告符号表示已经有 90% 的租约被使用。
作用域的扩展：多址广播域、超级作用域
    新的多址广播域让 DHCP 工作站可以使用D类IP地址 (224.0.0.0 to 239.255.255.255) 。
超级作用域：对创建成员范围的管理组非常有用；当用户想重新定义范围或扩展范围时不会干扰正在活动的范围。
支持用户定义和服务商定义的选项类
    用户可以利用这一特性为类似的用户分别分配合适的选项。如：用户可以将同一楼层的用户设为相同的选项类（具有相同的类ID值），年可以利用这个类在租约过程中分配其它的选项数据，并覆盖任何范围或全局默认选项。通过它可以让在同一网络中的类成员客户使用更为合适的选项。

返回页首>>>

11.2 DHCP 服务器的新特性
自动分配 IP 地址
    Windows2000 DHCP 工作站 DHCP 服务器无法提供租约的时候能够为自己分配一个临时的 IP 地址，DHCP 工作站在后台每隔 5 分钟继续尝试与服务器进行通信，以获得有效的租约。
增强的性能监视器和服务器报告能力
    新的性能监视计数器令用户更为清晰的观察 DHCP 服务器在网络上的性能状况。并且 DHCP 管理器利用图形显示服务器、范围和客户的当前状态增强了服务器的报告能力，如：利用不同的图标表示服务器或范围是否链接，利用警告符号表示已经有 90% 的租约被使用。
作用域的扩展：多址广播域、超级作用域
    新的多址广播域让 DHCP 工作站可以使用D类IP地址 (224.0.0.0 to 239.255.255.255) 。
超级作用域：对创建成员范围的管理组非常有用；当用户想重新定义范围或扩展范围时不会干扰正在活动的范围。
支持用户定义和服务商定义的选项类
    用户可以利用这一特性为类似的用户分别分配合适的选项。如：用户可以将同一楼层的用户设为相同的选项类（具有相同的类ID值），年可以利用这个类在租约过程中分配其它的选项数据，并覆盖任何范围或全局默认选项。通过它可以让在同一网络中的类成员客户使用更为合适的选项。

DHCP与DNS的集成
    使用Windows2000,DHCP服务器能够动态更新客户机在DNS中的名字空间，范围客户可以利用动态DNS 更新它们在DNS中主机名---IP地址的映射信息。 未授权DHCP服务器侦测
因为DHCP 客户机在登录时采用网络有限广播的形式来查找DHCP服务器，这样有效的阻止了未授权DHCP服务器加入到已存在Windows2000 DHCP服务器的网络中。
非法DHCP服务器检测
    因为DHCP客户机在启动时是通过有限的网络广播来发现DHCP服务器的，利用这一特性有效的阻止了未经授权的DHCP服务器加入到基于活动目录架构的Windows 2000网络中，在非法的DHCP服务器引起网络问题之前，它被自动关闭。
动态支持BOOTP 客户
    DHCP服务器通过附加的动态BOOTP对大型企业网中的BOOTP用户提供更好的支持。动态BOOTP是BOOTP协议的扩展，他允许不必使用固定地址配制，它可以想DHCP一样动态的分配IP地址。
利用只读控制台访问DHCP管理器
    在安装DHCP服务时自动添加了一个具有特殊目的的本地组-DHCP用户组，这个组的成员可以在管理员不在的情况下通过只读方式访问服务器上DHCP管理器查看DHCP服务的相关信息。

返回页首>>>

11.3 Microsoft DHCP 客户机支持的选项类型
    运行以下操作系统的计算机都支持DHCP服务：
Windows NT Workstation (all released versions)
Windows NT Server (all released versions)
Windows 98
Windows 95
Windows for Workgroups version 3.11
Microsoft-Network Client version 3.0 for MS-DOS
LAN Manager version 2.2c
    默认情况下，运行Microsoft操作系统的DHCP客户机能够识别以下两种选项设置：

11.3.1 信息选项
    用户可以利用 DHCP 管理器明确的设置这些提供给客户机使用的选项类型及相关参数
    下表列出了用于配制及支持 Microsoft DHCP 客户机的常用DHCP选项：

代码 | 选项
3 | Router
6 | DNS server
15 | DNS domain name
44 | WINS server (NetBIOS name server)
45 | NetBIOS datagram distribution server (NBDD)
46 | WINS/NetBIOS node type
47 | NetBIOS scope ID
当 DHCP 服务被激活后提供这些信息选项类型的设置信息，客户机收到这些设置信息后，利用它们设置本地的 TCP/IP 中相应的配制项默认情况下服务器上的所有服务均可激活并设置这些选项类型

11.3.2 内部协议选项
    这类选项类型参数是通过服务器的 DHCP 服务和服务属性做的隐含设置
    下表列出 DHCP 客户机在与 DHCP 服务器通信以便更新租约时所使用的内部协议选项：

代码 | 选项
51 | Lease Time
53 | NetBIOS scope ID DHCP Message Type
58 | NetBIOS scope ID Renewal Time
59 | NetBIOS scope ID Rebind Time 返回页首>>>

11.4 DHCP 的运行方式

    11.4.1 客户机的 IP 自动设置
    对使用 Windows 2000 操作系统的 DHCP 客户机在启动登录网络时无法与 DHCP 服务器通信，它将自动给自己分配一个 IP 地址和子网掩码，客户机的这种特点被称作：IP auto-configuration
    如果客户机被设置成从 DHCP 服务器获得IP地址，使用 Windows 2000 操作系统的客户机利用其上的 DHCP 客户服务通过两步来配制它的 IP 地址和其它配制信息：
    1. DHCP 客户机试图与DHCP服务器建立通信以获得配制信息
    2. 如客户机无法找到DHCP服务器则它从微软保留的 B 类网段 169.254.0.0 中挑选一个 IP 地址作为自己的 IP 地址，子网掩码为 255.255.0.0 DHCP 客户机利用 ARP 广播来确定自己所挑选的 IP 地址是否已被网络上的其它设备使用，如该 IP 地址已被使用则客户机再挑选另一个 IP 从新进行测试，最多可以重试十个 IP 地址。

    3. 如客户机挑选的 169.254.0.0 网段中的 IP 地址未被其它设备使用则它将这个地址分配给网卡使用。
    4. 客户机在后台继续每隔 5 分钟尝试与DHCP服务器进行通信，一旦与服务器取得联络，则客户机放弃自动设置的 IP 地址，而使用服务器分配的 IP 地址和其它配制信息。
    如果 DHCP 客户机已经从服务器上获得了一个租约，在其重新启动登录网络时将进行以下操作：
    1． 如果在启动是客户机的租约仍然有效，它将尝试与 DHCP 服务器进行通信更新它的租约。
    2． 如果在试图更新租约时无法找到 DHCP 服务器，则客户机尝试 PING 在租约中设置的默认网关
§　如果成功的 PING 到默认网关，则客户机认为它仍然在同一个网络中，它将继续使用现有的租约，在租期达到 50% 时它在后台继续尝试更新租约。
§　如果无法成功的 PING 到默认网关，则客户机认为它已被移动到一个没有 DHCP 服务的网络中。客户机则利用前面所说的自动分配 IP 的功能给自己分配一个 IP 地址。

11.4.2 客户机如何获得配制信息
    DHCP 客户机使用两种不同的方法与服务器进行通信并获得配制信息。
第一次启动登录网络时的初始化租约过程
    当DHCP客户机启动登录网络时通过以下步骤从 DHCP 服务器获得租约：
    1. DHCP 客户机在本地子网中先发送 DHCP discover 信息，此信息以广播的形式发送，因为客户机现在不知道DHCP服务器的IP地址。
    2. 在 DHCP 服务器收到DHCP客户机广播的 DHCP discover 信息后，它向DHCP客户机发送 DHCP offer 信息，其中包括一个可租用的 IP 地址
    3. 如果没有 DHCP 服务器对客户机的请求作出反应，可能发生以下两种情况：
§　如果客户使用的是 Windows 2000 操作系统且自动设置IP地址的功能处于激活状态，那么客户机自动给自己分配一个 IP 地址。
§　如果使用其它的操作系统或自动设置 IP 地址的功能被禁止，则客户机无法获得 IP 地址，初始化失败。但客户机在后台每隔 5 分钟发送四次 DHCP discover 信息直到它收到 DHCP offer 信息。
    4. 一旦客户机收到 DHCP offer 信息，它发送 DHCP request 信息到服务器表示它将使用服务器所提供的 IP 地

    5. DHCP 服务器在收到 DHCP request 信息后，即发送 DHCP positive 确认信息，以确定此租约成立，且此信息中还包含其它 DHCP 选项信息。
    6. 客户机收到确认信息后，利用其中的信息配制它的 TCP/IP 属性并加入到网络中。
    如图 11.2所示是 DHCP 客户机从 DHCP 服务器获得租约的过程
    7. 当客户机请求的是一个无效的或重复的 IP 地址，则 DHCP 服务器在第五步发送 DHCP negative 确认信息，客户机收到 DHCP negative 确认信息初始化失败。

DHCP 客户机更新租约的过程：
    在客户机重新启动或租期达到 50% 时，客户机都需要更新租约
    1. 客户机直接向提供租约的电位器发送请求，要求更新及延长现有地址的租约。
    2. 如果 DHCP 服务器收到请求，它发送 DHCP 确认信息给客户机，更新客户机的租约。
    3. 如果客户机无法于提供租约的服务器取得联系，则客户机一直等到租期达到 87.5% 时，客户机进入到一种重新申请的状态，它向网络上所有的 DHCP 服务器广播 DHCP discover 请求以更新现有的地址租约。
    4. 如有服务器响应客户机的请求，那么客户机使用该服务器提供的地址信息更新现有的租约。
    5. 如果租约过期或无法与其它服务器通信，客户机将无法使用现有的地址租约。
    6. 客户机返回到初始启动状态，利用前面所述的步骤重新获取 IP 地址租约。
返回页首>>>

11.5 DHCP/BOOTP Relay Agents
    如果用户需要建立多台 DHCP 服务器，但 DHCP 服务器与客户机分别位于不同的网段上，则用户的 IP Router 必须符合 RFC1542 的规定，即必须具备 DHCP/ BOOTP Relay Agent 的功能。
    relay agent 是一个把某种类型的信息从一个网段转播到另一个网段的小程序。DHCP relay agent 是一个硬件或程序，它能够把 DHCP/BOOTP 广播信息从一个网段转播到另一个网段上。
    Relay Agents 是如何工作的？

用户用一个实例来说明 Relay Agent 是如何工作的：
    如图 11.3 在子网 2 中的客户机 C 从子网 1 中的 DHCP Server1 上获得 IP 地址租约。
    DHCP 客户机 C 在子网 2 上广播 DHCP/BOOTP discover 消息 (DHCPDISCOVER),广播是将消息以 UDP (User Datagram Protocol)数据包的形式通过 67 端口发出的。

当 relay agent（在本例中是一个具有 DHCP/BOOTP relayAgent 功能的路由器）接收到这个消息后,它检查包含在这个消息报头中的网关 IP 地址，如果 IP 地址为 0.0.0.0 ,则用 relay agent 或路由器的 IP 地址替换它，然后将其转发到 DHCP 服务器所在的子网 1 上。
    当在子网 1 中的 DHCPServer1 收到这个消息后，它开始检查消息中的网关IP地址是否包含在 DHCP 范围内，从而决定它是否可以提供 IP 地址租约。
    如果 DHCP Server1 含义多个 DHCP 范围，消息中的网关 IP 地址 (GIADDR) 是用来确定从那个 DHCP 范围中挑选 IP 地址并提供给客户。
    DHCP Server1 将它所提供的 IP 地址租约 (DHCPOFFER) 直接发送到 relay agent
    路由器将这个租约利用广播的形式转发给 DHCP 客户机。
    注意：如果要配制多台 DHCP 服务器，最好将它们分别放在不同的网段中，且每个 DHCP 服务器上都应建立独立的地址池，在地址池中应包含各个网段的 IP 地址。

  返回页首>>>

    11.6 DHCP 服务器的安装与配置
    11.6.1 安装前的注意事项:
    DHCP 服务器本身必须采用固定的IP地址
    规划 DHCP 服务器的可用IP地址
下面首先介绍如何规划 DHCP 的地址池在规划 DHCP 服务器是需要考虑以下三方面的问题：
    1．需要建立多少个 DHCP 服务器
    通常认为每 10000 个客户需要两台 DHCP 服务器，一台作为主服务器另一台作为备份服务器。但在实际工作中用户要考虑到路由器在网络中的位置，是否在每个子网中都建立 DHCP 服务器，以及网段之间的传输速度。如果两个网段间是用慢速拨号连接在一起，那么用户就需要在每个网段设立一个 DHCP 服务器。
    对于一台 DHCP 服务器没有客户数的限制，在实际中受用户所使用的 IP 地址所在的地址分类及服务器的配制（如：磁盘的容量、CPU 的处理速度等）的限制

2．如何支持其它子网
    如果需要 DHCP 服务器支持网络中的其它子网，首先要确定网段间是否用路由器连接在一起，路由器是否支持 DHCP/BOOTP relay agent ,如果路由器不支持 relay agent ,那么使用以下方案来解决：
§　一台安装了 Windows 2000 Server 或 Windows NT Server 4.0 计算机并将其设置为使用 DHCP Relay Agent 组件
§　一台安装了 Windows 2000 Server 并被设置为本地的DHCP服务器的计算机
    3.规划企业网所须考虑的问题
§　DHCP 服务器于网络中位置，将通过路由器的广播降至最低
§　为每个范围的 DHCP 客户机指定相应的选项类型并设置相应的数值
§　充分认识到慢速广域网连接所带来的影响。

11.6.2 安装 DHCP 服务器的步骤如下：
    步骤1 启动 "添加/删除程序"对话框
    步骤2 单击"添加/删除 Windows 组件"出现 "windows 组件向导单击下一步"出现 "Windows 组件"对话框从列表中选择"网络服务" 如图 11.4

步骤3 单击"详细内容"，从列表中选取"动态主机配置协议（DHCP）" 如图 11.5单击"确定"
    步骤4 单击"下一步" 输入到 Windows2000 Server 的安装源文件的路径，单击"确定"开始安装 DHCP 服务
    步骤5 单击"完成"，当回到"添加/删除程序"对话框后，单击"关闭"按钮
    安装完毕后在管理工具中多了一个 "DHCP" 管理器

11.6.3 添加 DHCP 服务器
    在安装 DHCP 服务后，用户必须首先添加一个授权的 DHCP 服务器，并在服务器中添加作用域设置相应的 IP 地址范围及选项类型，以便 DHCP 客户机在登录到网络时，能够获得 IP 地址租约和相关选项的设置参数。
    添加 DHCP 服务器的步骤如下：
    步骤1 启动 DHCP 管理控制台，如图 11.6

步骤2 选择"操作"菜单中的"添加服务器"，启动添加服务器向导单击"下一步"出现"指定 DHCP 服务器"对话框如，单击"浏览"按钮后出现"目录中授权的服务器"对话框，在此用户可用给DHCP服务器添加授权，单击"添加"按钮，出现"授权 DHCP 服务器"窗体 如图 11.7，填写用户要建立 DHCP 服务的服务器名或 IP 地址。

步骤3 在"目录中授权的服务器"对话框中选择上一步添加的服务器，单击"管理"→下一步→完成
在 "DHCP" 管理控制台中出现刚才添加的服务器
    如图 11.8

    11.6.4 在 DHCP 服务器中添加作用域
    步骤1 在 DHCP 控制台中单击要添加作用域的服务器→操作→新建→作用域→出现"创建作用域向导"
    步骤2 单击"下一步"然后"输入作用域名"对话框在此输入本域的域名
    步骤3 单击"下一步"输入作用域将分配的地址服务几子网掩码 如图 11.9，

步骤4 单击"下一步"在"添加排除"对话框中输入需要排除的地址服务
    如图 11.10
    步骤5 单击"下一步"选择租约期限（默认为 8 天）

步骤6 单击"下一步"选择配置 DHCP 选项
    如图 11.11，
    步骤7 单击"下一步"输入默认网关 IP 地址，

步骤8 输入域名称和 DNS 服务器的 IP 地址
    如图 11.12，
    步骤9 单击"下一步"添加 WINS 服务器的地址，
    步骤10 单击"下一步"选择激活作用域

    步骤11 在 DHCP 控制台中出现新添加的作用域 如图 11.13，在 DHCP 控制台右侧窗体中的状态条中显示"运行中"表示作用域已启用。
设置完毕，当 DHCP 客户机启动是可以从 DHCP 服务器获得 IP 地址租约及选项设置。在 DHCP 控制台中作用域下多了四项：
    地址池：用于查看、管理现在的有效地址范围和排除范围
    地址租约：用于查看、管理当前的地址租用情况
    保留：用于添加、删除特定保留的 IP 地址
    作用域选项：用于查看、管理当前作用域提供的选项类型及其设置值

注意：如果为提高容错性而在同一个网段上使用两台 DHCP 服务器，在分配 IP 地址范围是要注意考虑到 DHCP 服务器的平衡使用的因素，一般采用 80/20 的规则，即将所有可用的 IP 地址范围按 8：2 的比率分开，一台 DHCP 服务器提供 80% 的 IP 地址租约，另一台提供其它 20% 的 IP 地址租约。具体设置方法如下：假设要在某个网段上提供的 IP 地址范围是 198.188.188.1~198.188.188.254 ,把两台服务器的作用域将分配的地址范围都设置为 198.188.188.1~198.188.188.254 ,只是在设置排除范围是加以区分，见下表：
    服务器 　分配的地址范围 　　　　　　　　　排除的地址范围
    服务器1 198.188.188.1 - 198.188.188.254 198.188.188.201 - 198.188.188.254
    服务器2 198.188.188.1 - 198.188.188.254 198.188.188.1 - 198.188.188.200

    11.6.5 添加授权服务器
    如果在添加作用域后出现 如图 11.14警告对话框表示作用域所在的服务器未经授权，这时作用域不能启用，服务器图标上是一个红色向下的图标，需要对服务器授权后才能启动
    步骤1 单击左侧窗体的 DHCP 选择"操作"菜单选择"浏览授权的服务器"

步骤2 单击"添加"按钮，输入服务器的 IP 地址后单击"确定"后出现 如图 11.15 提示框表示服务器已被添加到授权列表中→关闭
    步骤3 在 DHCP 控制台中单击"刷新"按钮会发现服务器图标上是一个红色向上的箭头表示服务器被激活，DHCP 服务启用

11.6.6 添加超级作用域
    如果需要在局域网中的每一个子网中都设立 DHCP 服务器，那么就一定要使用超级作用域。
    因为每一台 DHCP 客户机在初始启动是都需要在子网中以有限广播的形式发送 DHCP discover 消息，如果网络中有多台 DHCP 服务器用户将无法预知是那一台服务器响应客户机的请求。假设网络上有两台服务器：服务器 1 和服务器 2 分别提供不同的地址范围，如果服务器 1 为客户机通过地址租约，在租期达到 50% 时客户机要与服务器 1 取得通信以便更新租约，如果无法与服务器 1 进行通信，在租期达到 87.5% 的时候，客户机进入重新申请状态，客户机在子网上发送广播，如果服务器 2 首先响应，由于服务器 2 提供的是不同 IP 地址范围，它不知道客户机现在所使用的是有效的 IP 地址，因此它将发送 DHCPNAK (negative acknowledgement) 给客户机，客户机无法获得有效的地址租约。在服务器 1 处于激活状态这种情况也可能发生。
    所以需要在每个服务器上都配置超级作用域防止上述问题的发生。超级作用域要包括子网中所有的有效地址范围作为它的成员范围，在设置成员范围时把子网中其它服务器所提供的地址范围设置成排除地址。
    步骤1 单击服务器→操作超级作用域→填写超级作用域的域名→选择要添加到超级作用域的作用域→完成
    步骤2 在每个作用域的地址池中将其它作用域的地址范围设为排除

11.6.7 保留特定的 IP 地址
    如果用户想保留特定的 IP 地址给指定的客户机（如：WINS Server、IIS Server 等），以便客户机在每次启动是都获得相同的 IP 地址，设置步骤如下所示：
    步骤1 启动 "DHCP 控制台"
    步骤2 在出现 "DHCP 控制台"窗体后，在左侧窗格中选择作用域中的保留项
    步骤3 选择"操作"单击"添加"，之后出现"添加保留"对话框，如图 11.16
    步骤4 在图 11.16 中 "IP 地址"文本框中输入要保留的 IP 地址，如本例中的 198.188.188.18

    步骤5 在图 11.16 中 "MAC 地址"文本框中输入上述IP地址要保留给哪一个网卡号，每一块网卡都有一个唯一的号码，可利用网卡附带的软件进行查看，在 Windows NT 或 Windows 2000 计算机中可利用 net config wkstation 命令得知。在 Windows95/98 计算机中可利用 Winipcfg.exe 程序查看网卡号。
    注意：如果网卡号未满 12 个字符，则在输入时前面补 0 。

    步骤6 在"名称"文本框中输入客户名称，如：dick。注意此名称只是一般的说明文字，并不是用户帐号的名称，但此处不能为空白。
    步骤7 如果需要在"注释"文本框内输入一些描述此客户的说明性文字。
    步骤8 选择"允许类型"
    步骤9 单击"添加"按钮
    步骤10 如果需要添加其它保留位置，则重复上述步骤4~9
    步骤11 单击"关闭"按钮结束
添加完成后，用户可用利用"作用域→地址租约"项进行查看，如果客户机客户机使用的仍然是以前的地址可用利用以下方法进行更新：
    在 Windows NT 或 Windows 2000 计算机中可利用命令 ipconfig /release 释放现有 IP 和 ipconfig /renew 更新 IP
    在 Windows95/98 计算机中可利用 Winipcfg.exe 程序中的释放、更新选项进行更新。
    改变保留客户的信息："作用域→保留→在右侧窗口中选择保留客户→操作→属性→作相应的改变→确定"
    改变保留客户的 DHCP 选项设置："作用域→保留→在右侧窗口中选择保留客户→操作→选项设置→选择选项→在"数据输入"输入相应的信息→确定"
    注意：如果在设置保留地址时，网络上有多台 DHCP 服务器存在，用户需要在其它服务器中将此保留地址排除，以便客户机可用获得正确的保留地址。

11.6.8 DHCP 选项设置
    DHCP 服务器除了可用为 DHCP 客户机提供 IP 地址外，还可用设置 DHCP 客户机启动时的工作环境，如可用设置客户机登录的域名称、DNS 服务器、WINS 服务器、路由器、默认网关等。在客户机启动或更新租约时，DHCP 服务器可用自动设置客户机启动后的 TCP/IP 环境。
    DHCP 服务器提供了许多的选项类型，但其中只有几项用户非常关心，如：默认网关、域名、DNS、WINS、路由器；这些选项在上面添加作用域时用户已经设置过了，在 DHCP 控制台中的作用域中有一项"作用域选项"中显示了用户所作的设置。为了进一步了解选项设置，用户以在作用域中添加 DNS 选项为例，说明 DHCP 的选项设置：
    步骤1 启动 "DHCP 控制台"
    步骤2 在左侧窗口中展开服务器，选择作用域选择"操作"单击"配置选项"
    步骤3 出现"配置 DHCP 选项"对话框 如图 11.17，在"基本选项"标签中的"可用选项"列表中选择"006 DNS 服务器"→在数据输入中的"新 IP 地址"文本框中输入 DNS 服务器的地址或在"服务器名"对话框中输入 DNS 服务器名称单击"解析"按钮服务器的 IP 地址也会出现在"新 IP 地址"文本框中→单击"添加"按钮
    步骤4 单击"确定"按钮结束

    当用户在客户机上利用 IPCONFIG/renew 命令更新 IP 地址租约时，用户会发现 DHCP 客户机的 DNS 服务器地址将立即被设为 如图 11.17 中的 198.188.188.1 。同时 DHCP 客户机的 IP 地址租约也被重新更新了。
    在 Windows 2000DHCP 服务器中用户可用针对不同的对相设置选项，上面用户是针对作用域所设置的选项，用户针对的对象包括：默认服务器选项、作用域选项、类选项、保留客户选项，下面说明它们之间的关系

    默认服务器选项（Default server options）
这些选项的设置，影响DHCP控制台窗口下该服务器下所有的作用域中的客户和类选项。
    作用域选项（Scope options）
这些选项的设置，只影响该作用域下的地址租约
    类选项（Class options）
这些选项的设置，只影响被指定使用该DHCP类ID的客户机。
    保留客户选项（Reserved client options）
这些选项的设置只影响指定的保留客户。
如果在服务器选项与作用域选项中设置了相同的选项，则作用域的选项起作用，即在应用时在作用域选项将覆盖服务器选项，同理类选项会覆盖作用域选项、保留客户选项覆盖以上三种选项，它们的优先级表示如下：
    保留客户选项 > 类选项 > 作用域的选项 > 服务器选项
返回页首>>>

11.7 维护 DHCP 的数据库文件
    Windows 2000 的 DHCP 服务器数据库使用的是增强性能的交互服务器存储机制。在安装DHCP服务时会在 %Systenroot%\Systen32\Dhcp 目录中自动创建下表中的文件。
    如图 11.18

    DHCP 服务数据库文件

文件 | 描述
Dhcp.mdb | DHCP 服务器数据库文件
Dhcptmp.mdb | DHCP数据库在运行时所使用的临时文件
J50.log J50#####.log | 记录全部数据库事件的日志文件。在DHCP数据库恢复数据时 需要使用它
Res#.log | 为急救所保留的日志文件
J50.chk | 这是一个审核点（checkpoint）文件

    注意： J50.log 、 J50#####.log 、 Dhcp.mdb、Dhcptmp.mdb、Res#.log 这些文件不能以任何方式移动或修改。

DHCP 服务器数据库是一个动态数据库，在向客户机提供租约或客户机释放租约时它会自动更新。
    从图 11.18 中还可以发现另一个文件夹：backup，这个文件夹中保存着DHCP数据库及注册表中相关参数，可供修复时使用。DHCP 默认设置是每隔 15 分钟自动将它们备份到 backup 文件夹中。
    如果用户想更改这个时间间隔，可用通过修改 BackupInterval 这个注册表参数，它位于下列 registry key 中:
    HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\DHCPServer \Parameters.
    如果发现 DHCP 数据库中的设置与注册表中的相应设置不一致时，用户可用利用协调（Reconcile）的功能让两者的数据一致。协调的方法："选择作用域→操作→协调"，用户应该定期执行协调操作，以确保DHCP数据库的正确性。
    如果 DHCP 数据库发生错误或丢失，可以通过以下方法来恢复 ：
    步骤1 利用命令 net stop dhcpserver 停止 DHCP 服务
    步骤2 将现有的 DHCP 文件夹移动到其它目录中，命令如下：
md c:\Olddhcp
move %SystemRoot%\system32\DHCP\*.* C:\Olddhcp
    步骤3 删除错误的 DHCP 数据库
del %SystemRoot%\system32\DHCP\Dhcp.mdb
    步骤4 将备份的数据库拷贝到 DHCP 文件夹中
copy %SystemRoot%\system32\dhcp\backup\jet\new\dhcp.mdb %SystemRoot%\system32\dhcp\dhcp.mdb
    步骤5 重新启动 DHCP 服务
net start dhcpserver

返回页首>>>

    11.8 DHCP 客户机的设置
DHCP 服务器安装设置完成后，客户机就可用开始启用 DHCP 功能，以下列出任何在各种客户机上启用 DHCP 功能：
    11.8.1 启用 DOS 客户机的 DHCP 功能
如果 TCP/IP 尚未安装，则在安装时设置：Disable Automatic Configuration=0
如果 TCP/IP 已安装完成，可修改 Protocol.ini 文件中的 [TCP/IP] session，将 DisableDHCP 设为：DisableDHCP=0
    11.8.2 启用 LAN Manager 客户机的 DHCP 功能
如果 TCP/IP 尚未安装，则在安装 TCP/IP 时,在 "TCP/IP Setting "对话框中选择："Ensable Automatic DHCP Configuration"
如果 TCP/IP 已安装完成，可修改 Protocol.ini 文件中的 [TCPIP_XIF] session，将 DisableDHCP 设为：DisableDHCP=0

    11.8.3 启用 Windows for Workgroups 客户机的 DHCP 功能
    在安装或设置 TCP/IP 时，"单击 Network→Network Setup→Drivers…→Microsoft TCP/IP-32 →Setup…→ 选择 "Ensable Automatic DHCP Configuration "选项"→完成
    11.8.4 启用 Windows95/98 客户机的 DHCP 功能
    在安装或设置 TCP/IP 时，[单击控制面板双击"网络"选择 "TCP/IP" 单击"属性" ，选择 "IP 地址" 选项卡然后选择"自动获取 IP 地址" ] 如图 11.19

11.8.5 启用 Windows2000 客户机的 DHCP 功能
    在安装或设置 TCP/IP 时，[单击控制面板选择网络和拨号连接双击本地连接单击"属性" 选择 Internet 协议（TCP/IP）属性单击"常规"选项卡然后选择"自动获得 IP 地址"] 如图 11.20

11.8.6 启用 WindowsNT4.0 客户机的 DHCP 功能
    以 WindowsNT4.0Server 为例加以说明，同样适用于 Workstation 。[打开"控制面板" 选择"网络"选择"协议"选项卡单击 "TCP/IP 通信协议"，然后单击"属性"选择"从 DHCP 服务器中获得 IP 地址"，如图 11.21所示。

返回页首>>>

相关内容：（本教程出自：www.365edu.com）
第一章、windows2000Server新功能及安装
第二章、windows2000网络客户端的安装和配置
第三章、配置远程安装服务和设置用户配置文件
第四章、windows2000的基本管理
第五章、DNS服务器的配置与管理
第六章、活动目录服务的基本安装和配置
第七章、管理计算机和用户帐号
第八章、文件和打印系统的配置与管理
第九章、数据存储
第十章、安全管理


第十二章 WINS 服务器的安装与设置

本章主要内容：
1. WINS 服务的基本概念
2. WINS的运行方式
3. WINS 服务的新特性
4. 安装 WINS 服务器
5. 配置 WINS 服务器
6. WINS 数据库的复制
7. 静态映射的管理
8. WINS数据管理
9. 将WINS移植到 DNS
10.启动客户机的WINS

    12.1 WINS 服务的基本概念
    在 TCP/I P网络中，为解决计算机名称于IP地址的对应问题，用户可以利用 HOST 文件、DNS 等方式，但使用这些方法都存在着一个最大的问题，就是网络管理员需要以手工方式将计算机名称 (NetBIOS名) 及其 IP 地址一一输入到计算机中，一旦某台计算机的名称或 IP 地址发生变化，管理员又需要修改相应的设置。这对于管理员来说是一项繁重的工作。而微软提供的网际名称服务 WINS 解决了这个问题。利用它可以让客户机在启动时主动的将它的计算机名称 (NetBIOS名) 及IP地址注册到 WINS 服务器的数据库中，在 WINS 客户机之间通信的时候它们可以通过 WINS 服务器的解析功能获得对方的 IP 地址。由于以上工作全部由 WINS 客户机与服务器自动完成的所以大大降低了管理员的工作负荷，同时也减少了网络中的广播。在理解及使用 WINS 之前用户首先应该了解计算机名称 (NetBIOS名) 的一些知识。

12.1.1 定义计算机名(NetBIOS名)
    NetBIOS 是 80 年代末为了利用 IBM Pc 构建局域网而出现的一种 MS-DOS 程序的高级语言接口。为了利用网络硬件和软件将这些计算机连接在一起组成局域网，微软和其它供应商利用 NetBIOS 接口来设计它们的网络组件和程序。NetBIOS 接口利用最多为 16 个字符的名称来标识每一个网络资源。
    在一个网络中 NetBIOS 名是唯一的。在计算机启动、服务被激活、用户登录到网络时， NetBIOS 名将被动态的注册到数据库中。NetBIOS 可以以独立名称的形式注册，也可以以组名称的形式注册。以单机名注册时要有一个 IP 地址与其相对应，如以组名称注册时会有多个 IP 地址与其对应。
    在 Windows 2000 发布前的所有基于 MS-DOS 和 Windows 的操作系统都需要使用 NetBIOS 名称接口以便网络可以正常工作。伴随着 Windows 2000 的发布,网络中的计算机不再需要 NetBIOS 名称接口的支持。如在 Windows 2000 和一些 UNIX 版本的网络中它们只要求客户机支持 DNS 使用就可以了，不再需要 NetBIOS 名。但为了与以前版本的网络操作系统结合使用，微软在 Windows 2000 中仍然支持 NetBIOS 名，以便与以前版本的操作系统协同使用，微软通过两方面实现对 NetBIOS 名的支持：
§　所有使用 Windows 2000 的客户机在默认情况下都支持利用客户端的 WINS 服务注册和解析 NetBIOS 名。
§　Windows 2000 服务器继续提供一个高效的WINS服务器，用它来管理网络中的 NetBIOS 名。

定义 NetBIOS 名称
NetBIOS 名称包含 16 字节。前 15 个字节是由用户指定的，用它来表示：
§　网络上的单个用户或计算机
§　网络上的一组用户或计算机
    在 NetBIOS 名中的第 16 个字符作为名称的后缀，用于识别名称及显示注册名称的信息。NetBIOS 名可以被设置为独立名称或组名称。
    在使用独立名称时，是将网络信息发送给一台计算机，而使用组名称是将网络信息同时发送给多台计算机。
    在 Windows NT 早期版本中,所有的网络服务都是利用 NetBIOS 名注册的。而在 Windows 2000 中,登录网络及其它的网络服务都是在 DNS 中进行注册的。

    12.1.2 NetBIOS 名的解析
    NetBIOS 名的解析就是将计算机的 NetBIOS 名成功的与IP地址进行映射的过程。从上面用户已经知道 NetBIOS 名是用来识别网络上NetBIOS 资源由 16 个字符组成的地址。让用户通过下面这个例子了解 NetBIOS 名是如何解析的。
    一台 Windows 2000 的计算机（CORPSERVER）中运行的文件与打印共享服务的 NetBIOS 名的解析过程。当计算机启动时文件与打印共享服务利用计算机名在网络上注册一个独立 NetBIOS 名。这个 NetBIOS 名前 15 位字符是计算机名，第 16 位字符为 0x20。如果计算机名不够 15 个字符，那么利用空格补齐。(即：CORPSERVER [20])。当用户试图与这台计算机的共享文件夹建立通信时必须指明它的文件与打印共享的 NetBIOS 名。在建立文件与打印共享连接前，首先要建立 TCP 连接，为了建立 TCP 连接首先要将 NetBIOS 名(即：CORPSERVER [20])解析成 IP 地址。

    WINS 客户机主要利用广播、LMHOSTS 文件、WINS 服务器三种方式的组合解决 NetBIOS 名解析的问题，根据组合方式的不同分成了四种 NetBIOS node 模式，见下表：

Node 模式 | 描述
B-node(broadcast) | B-node 用户利用广播 NetBIOS 名查询的方法实现名称的注册和解析；在广播失败后，查询Lmhosts文件，寻找相应的地址
P-node (peer-peer) | 利用点对点的方式直接向 WINS 服务器查询相应 NetBIOS 名的 IP 地址。
M-node(mixed) | M-node 是把 B-node 和 P-node组合在一起。默认情况下使用广播的方式，如果失败，再向 WINS 服务器进行查询。
H-node(hybrid) | H-node 是把 B-node 和 P-node 组合在一起。默认情况下向 WINS 服务器进行查询，如果失败，再使用广播的方式。如果 两种方法都失败，则查询 Lmhosts 文件,寻找相应的地址。
运行 Windows 2000 的计算机默认使用 B-node 模式，当为它们设置了 WINS 服务器后，改用 H-node 模式。Windows 2000 也能使用本地数据库文件 Lmhosts 解析 NetBIOS 名。此文件存放在： SystemRoot\System32\Drivers\Etc 文件夹中。 用户一定要为基于活动目录的 Windows 2000 计算机设置一个WINS服务器的 IP 地址，以便它们可以与无法使用活动目录的 Windows NT 、 Windows 2000, Windows 95、 Windows 98 计算机进行通信。

返回页首>>>

    12.2 WINS 的运行方式
    WINS 为注册及查询计算机和组的动态映射 NetBIOS 名提供了一个分布式数据库，WINS 在 NetBIOS 名与 IP 地址之间建立映射，他是基于 TCP/IP 网络中 NetBIOS 名解析的最佳选择。
    12.2.1 WINS 客户机与服务器的通信目的：
§　在 WINS 客户机启动时它将计算机名、IP 地址、DNS 域名等数据注册到 WINS 服务器的数据库中。

§　当客户机需要与其它客户机通信时，它可以从 WINS 服务器取得所须的计算机名称、IP 地址、DNS 域名。
    12.2.2 WINS 客户机的名称注册
    让用户通过一个例子来了解名称注册的过程
    如图 12.1 WINS 客户机(HOST-C) 直接向 WINS 服务器（WINS-A）发送名称注册请求。
    WINS-A 可以通过向 HOST-C "接收"或"拒绝"的回答表示它对注册请求的接受或拒绝。服务器是通过以下因素来作出回答的：
§　在 WINS-A 的数据库中是否已存在此名称
§　请求的名称是独立名称还是组名称

如果名称不在数据库中，则接受这个新注册，并进行以下操作：
    1. 将 HOST-C 名输入到数据库中，并添加一个时间戳及标记上WINS服务器所有者的 ID。
时间戳是用来计算更新间隔的（默认为：6天）
    2. 向 HOST-C 发送接受注册的回答，在回答信息中还包含客户机可以使用此名称的时间 (TTL)
如果 HOST-C 的名称已经存在于数据库中且与请求的IP地址相同，那么就由已存在名称的情况和所有权决定：
    1. 如果数据库中的记录标记为"活动"切归服务器 (WINS-A)所有, 则服务器更新该记录的时间戳并向客户机发送"接受"回答。
    2. 如果数据库中的记录被标记为"释放、过期"或记录归另一个 WINS 服务器所有，则当前注册被作为新注册来处理，时间戳、所有者、版本 ID 等全部更新，并向客户机发送"接受"回答。
如果 HOST-C 的名称已经存在于数据库中但与请求的 IP 地址不同，WINS 服务器必须避免重名的发生，如果数据库中的记录已被标记为过期或释放，那么可以接受注册请求。但当记录仍为活动状态时，WINS 服务器(WINS-A)需要向网络上注册该名称的客户机咨询（challenge）,以便确定它是否还在网络上，具体操作如下：
    1. WINS-A 首先向客户机(HOST-C)发送一个等待确认的回答(WACK)，并利用TTL指定等待时间。
    2. WINS-A 接着向注册此名称的客户机发送一个名称查询请求。
    3. 如果客户机仍然在网络上，它会给服务器WINS-A 发送一个确认回答。
    4. WINS-A, 向客户机(HOST-C)发送拒绝名称注册的回答，以拒绝客户机的名称注册请求。
    5. 如果服务器 WINS-A 的查询请求没有得到相应的回答，它再同时发出两个查询请求，如果三次查询均未得到回答，那么查询过程结束，服务器 WINS-A 向客户机(HOST-C) 发送确认回答，接受客户机的名称请求，并更新数据库中的记录。

12.2.3 WINS 客户机释放（Release）名称
当 WINS 客户机(HOST-C)关机时，它将通知服务器它将不再使用它的注册名，具体操作如下：
    1. 当客户机（HOST-C）关机后用户在命令行输入 nbtstat -RR 命令时，客户机将向服务器（WINS-A）发送一个释放请求。
    2. 服务器（WINS-A）将数据库中有关客户机（HOST-C）的记录标记为释放。
    3. WINS-A 向客户机（HOST-C）发送一个释放确认消息。r
如果名称记录被标记为释放，当其它客户机以相同名称但不同IP地址注册时，服务器可以立即更新记录。
    12.2.4 WINS 客户机更新名称注册
    为确保 WINS 客户机的注册名称在 WINS 服务器的数据库中为"活动"状态，客户机必须定期更新它的注册名称。
    当客户机第一次在向服务器中注册名称时，从服务器返回的确认信息中的 TTL（Time-To-Live）值指定了客户机何时相应更新注册。如果在指定时间内客户机没有更新它的注册，服务器将从它数据库中删除客户机的记录。WINS 数据库中的默认更新时间为 6 天，当更新时间（TTL）达到一半时客户机相应向服务器更新它的注册名称。返回页首>>>

12.3 WINS 服务的新特性
微软在 Windows 2000 中, 对 WINS 服务的以下特点进行了改进：
    持续而稳固的连接
配置 WINS 服务器与一个或多个复制伙伴保持持续连接，从而加快了复制速度，消除了由于每次建立和断开连接所带来的开销。
    手工设置记录为"过期"
可以利用手工将记录状态设置为"过期"，避免了服务器间复制记录时继续传播服务器中未被删除的记录副本。
    增强的管理工具
WINS 管理器集成在微软管理控制台中，功能更为强大，操作更加简便，易学易用。
    记录查找和筛选功能的增强
对筛选功能的加强以及新增的记录查找功能，让用户能够更为快速准确的查看符合条件的记录，对分析大型的 WINS 数据库非常有益。

动态的选择多个记录及记录删除
通过 WINS 插件，现在可以快捷的选定和删除单个或多个静态或动态类型的 WINS 项。
    数据库导出功能
现在可以将 WINS 数据库以文本的形式导出到相应的程序（如：EXCEL、报告工具、教本程序等）中进行分析及生成统计报表。
    增强客户的容错性
Windows 2000 or Windows 98 客户机最多可以指定 12 个 WINS 服务器，在主辅 WINS 服务器均不响应时，使用附加的 WINS 服务器，从而增强了容错性。
    客户机动态的更新 NetBIOS 名
WINS 客户机在 WINS 服务器中重新注册 NetBIOS 名后，无需重新启动，在 Windows 2000 中利用 NBTSTAT 命令中的新增选项－ RR 可以动态更新 NetBIOS 名，Windows NT 4.0 的 Service Pack4 及以上版本也提供了此功能。
    利用只读控制台访问 WINS 管理器
在安装 WINS 服务时自动添加了一个具有特殊目的的本地组- WINS 用户组，这个组的成员可以在管理员不在的情况下通过只读方式访问服务器上 WINS 管理器查看 WINS 服务的相关信息。返回页首>>>

12.4 安装 WINS 服务器
    注意：在安装 WINS 服务器之前，首先要确定 WINS 服务器本身的 IP 地址是固定的 IP 地址。
    12.4.1 安装 WINS 服务器
    步骤1 启动"开始→设置→控制面板→添加/删除程序"，之后出现"添加/删除程序"对话框
    步骤2单击"添加/删除 Windows 组件→组件"，出现"windows 组件向导→下一步"出现" Windows 组件"对话框从列表中选择"网络服务" 如图 12.2

步骤3 单击"详细内容"，从列表中选取"Windows Internet 命名访问（WINS）" 如图 12.3单击"确定"
    步骤4 单击"下一步"，输入到 Windows2000 Server 的安装源文件的路径，单击"确定"开始安装 WINS 服务
    步骤5 单击"完成"，当回到"添加/删除程序"对话框后，单击"关闭"按钮
    安装完毕后在管理工具中多了一个 "WINS" 控制台

12.4.2 启动和停止 WINS 服务
    步骤：启动 "计算机管理"单击"系统工具"选择"服务"，然后在右侧窗体中右击 "Windows Internet 命名服务"选择启动/停止
    用户也可以利用如下命令完成上述操作：
net start wins
net stop wins
net pause wins
net continue wins

12.4.3 在 WINS 控制台种添加 WINS 服务器
    步骤：启动"WINS 控制台然后单击 "WINS"，单击"操作"菜单选择"添加服务器"，在"添加服务器"对话框中填写服务器名或 IP 地址单击"确定"
    这样在 WINS 管理控制台中添加了一台 WINS 服务器，如图 12.4 所示
    从上图用户可以看到在添加的服务器中包含两个组件：活动注册、复制伙伴

    利用"显示统计信息"查看服务器的状态
    步骤：单击服务器，单击"操作"菜单选择"显示服务器统计信息"
    用户就可以看到有关当前服务器的详细统计报表 如图 12.5除信息直接单击报表下的"清除"按钮，如果要刷新报表则直接单击"刷新"按钮

返回页首>>>

12.5 配置 WINS 服务器
    利用服务器的属性对服务器进行设置，在服务器列表中选择服务器，然后在操作中单击属性，之后出现服务器的属性对话框
    如图 12.6

12.5.1 名称记录的设置与检查
    对于WINS 数据库中的动态记录都需要进行周期性的更新，以便验证记录的有效性，清除无效的记录，用户可以通过以下规则的设置对记录的更新和检查进行管理。
    更新间隔：用来设置WINS客户机必须重新向WINS服务器更新其注册名称的时间间隔，如果在该时间间隔内客户机未更新它的注册名称则此名称被标记为"释放"，一般客户机在时间间隔过半时向服务器提出更新请求。如果客户机经常向服务器更新注册，会增加网络流量，所有"更新间隔"不要设的过短。

默认 | 5 小时（indows NT Server 3.5） 4 天/6 小时（indows NT Server 3.51） 6 天/4小时(Windows 2000 Server 和Windows NT Server 4.0)
最大 | 999小时（indows NT Server 3.5, 3.51, and 4.0 ） 365 天(Windows 2000 Server)
最小 | 40 分钟(Windows 2000 Server、早期版本的Windows NT Server)

注意：的任何改变都会直接影响到"废止间隔"、"废止超时"的设置。如图12.7

废止间隔：一个被设置为"释放"的计算机名称在经过"废止间隔"后被标记为"废弃不用"。

默认 | 依赖于"更新间隔"的设置
最大 | 999小时（indows NT Server 3.5, 3.51, and 4.0 ） 365 天(Windows 2000 Server)
最小 | 40 分钟(Windows 2000 Server、早期版本的Windows NT Server) 1小时（Windows NT4.0）

废止超时：一个已被标记为"废弃不用"的计算机名称，在经过"废止超时"后，将被从服务器的数据库中删除。

默认 | 依赖于"更新间隔"的设置
最大 | 999小时（indows NT Server 3.5, 3.51, and 4.0 ） 365 天(Windows 2000 Server)
最小 | 24 小时(Windows 2000 Server、早期版本的Windows NT Server)

    验证间隔：经过此间隔后，WINS服务器必须验证那些不属于此服务器的名称是否仍然活动。

默认 | 依赖于"更新间隔"的设置
最大 | 999小时（indows NT Server 3.5, 3.51, and 4.0 ） 365 天(Windows 2000 Server)
最小 | 24天（所有版本)

周期性数据库一致性检查：用来检查本地服务器的数据库与其它 WINS 服务器的数据库的一致性，由于启动一致性检查会影响服务器的性能，所以在默认情况下，它被设为不启动。如果启动了一致性检查，在默认情况下，每天将检查至多 30000 个纪录，检查从 2:00AM 开始，在每次检查时，将检查本地数据库中的纪录与其它服务器中属于此所有者的数据库中的相应纪录是否一致。

每阶段纪录检查的最多次数：在一致性检查时所能检查的最大纪录数

检查：设置是检查同一所有者还是检查任选一个合作伙伴在其它 WINS 服务器中的数据库的纪录的一致性。

间隔：设置每次检查之间的时间间隔，默认为 24 小时。

起始：检查的启动时间,默认为 2：00AM。

12.5.2 事件的记录与处理
    WINS 服务对于事件的记录为用户及时查找和更正错误提供了准确的依据，同时 Windows 2000 Server 的 WINS 服务新增了突发事件的处理功能，为 Windows 2000 Server 在大型企业中应用的稳定性提供了可靠的保证。如图 12.8
    WINS 记录：指定是否将数据库中的变化记录到 %Systemroot%\System32\wins\jet.log 中,以便在 WINS 服务器出现故障时查看。
    将详细事件记录到日志中：设置是否以详细的方式记录事件，由于这种方式占用过多的系统资源，会影响服务器的性能，所以不推荐使用这种方式。
    启动突发处理：现在 WINS 服务器支持处理大量的突发性的 WINS 服务器负荷。当大量的 WINS 客户机开机同时向 WINS 服务器支持名称时就会产生突发性负荷，如一个新的WINS服务器启动、大量的客户机第一次登录到网络，会造成网络上的 WINS 通信增大。

突发处理模式使用突发队列规模（burst-queue size）作为其启动值，默认为 500。这个值指定了在该值范围内客户机的名称注册请求及名称更新请求均为正常情况。当客户机的正常或更新请求数大于这个值的时候，突发处理启动，服务器对于那些超过启动值的客户机请求立即发送一个肯定回答，在肯定回答中利用 TTL 的值的不同从而控制客户机请求所产生的负荷。
    假设服务器的突发队列规模设置为 500，这时客户机的请求数大于 500，则服务器立刻对多出的 100 个请求（500-600）发送肯定回答并将TTL设置为 5 分钟，对于 600-700 之间的客户机请求设置一个更大的 TTL 值，依此类推，TTL 最大值为 50 分钟。服务器的突发队列规模最大为 25000，当请求数大于这个数值时服务器将多出的请求清除。
    在设置突发处理有四种选择：
低：突发队列规模设置为 300
中：突发队列规模设置为 500
高：突发队列规模设置为 1000
自定义：突发队列规模设置最大为 25000
    数据库路径：指定数据库存放的路径
    起始版本计数：用十六进制数设置 WINS 服务器数据库的起始版本 ID 值，最大值为 231-1（7FFFFFFF）。当此服务器的复制伙伴从此服务器复制数据库时，如果发现此版本号比现有的数据库版本号低，则不需要复制。返回页首>>>

    12.6 数据库的复制
    为了避免在网络中单台WINS服务器发生故障时导致无法提供服务的危险，在网络中最好设置两台（或以上）WINS 服务器(主 WINS 服务器、辅助 WINS 服务器)，这两台服务器的数据库互为备份，也就是相互复制数据库，以保持两台服务器上的数据库中的数据是相同的，提高了可靠性和容错性。WINS 数据库的复制采用的是一种增量型的复制，即在复制过程中只复制数据库中变化的记录，并不是复制整个数据库。
    在进行数据库复制之前，首先用户要设置 WINS 服务器之间的关系，从而确定那些服务器之间可以进行数据库复制，也就是设置 WINS 服务器的"复制伙伴"。一个WINS服务器可以有以下两种复制伙伴：
接收伙伴（Pull Partner）：
    接收伙伴是一台 WINS 服务器，它接收由其发送伙伴所发送来的在一定时间间隔内数据库的更新数据。这是通过接收伙伴要求复制的数据的版本 ID 比现有的数据的版本ID更高来实现的。可以通过以下三种方式通知发送伙伴将数据复制过来：
§　当 WINS 服务器启动的时候
§　达到管理员设定的复制时间（Replication interval）
§　由管理员执行立即复制的操作

发送伙伴（Push Partner）：
    它会将其数据库中喜爱一定时间间隔内变化的时间发送给其接收伙伴。可以通过以下四种方式将时间发送给接收伙伴：
§　当WINS服务器启动的时候
§　数据库中IP地址与名称映射中的IP地址发生改变的时候
§　当数据库中的记录变化数达到所设置的更新计数（Update count）值的时候
§　由管理员执行立即复制的操作
设置复制伙伴的步骤如下：

    步骤1 启动"WINS控制台，选择一个WINS服务器，然后选择其中的复制伙伴组件
    步骤2单击"操作"菜单选择"新建"选择复制伙伴会出现如图12.9所示的"新的复制伙伴"对话框中填写该WINS服务器的服务器名称或IP地址→确定

步骤3 这时在复制伙伴组件中添加了一个 WINS 服务器，用户可以对所有的复制伙伴统一设置属性，也可以分别对每一个复制伙伴设置属性，下面以对单个复制伙伴设置属性为例来说明如何设置
    步骤4 在控制台右侧窗体中选择服务器单击"操作"菜单选择"属性"
    步骤5 选择"高级"标签 如图 12.10
    步骤6 在默认情况下，复制伙伴既是接收伙伴（Pull Partner）又是发送伙伴（Push Partner），如果要将它设置为接收伙伴则在复制伙伴及类型中选择"拉"，并在"拉"参数下设置开始时间：每天开始进行复制的时间，复制间隔：每隔多长时间复制一次。输入完成后单击"确定"按钮。
    步骤7 如果要将其设置为发送伙伴则在复制伙伴及类型中选择"推"，并在"推"参数下设置更新计数：只有当数据库中的改变记录数达到此计数值的时候才可以开始数据库复制。输入完成后单击"确定"按钮。

    由于复制伙伴是相对的，所以如果用户将 WINS 服务器 A 设为服务器B的发送伙伴，那么用户必须将服务器B设置为服务器 A 的接收伙伴。

立即复制数据库：
    如果用户不想等到发送伙伴达到更新计数或接收伙伴到达复制间隔时才进行复制动作，用户还可以采用发送复制触发器(Replication Trigger)或立即复制(Replicate now)的方式
    如果要给接收伙伴发送复制触发信号：
步骤1 从 WINS 服务器中的复制伙伴组件中选择相应的接收伙伴。

步骤2 选择操作菜单中的所有任务→单击"发送"推"复制触发器"如果用户在发送触发信号时，希望接收触发信号的接收伙伴在接受到从发送伙伴传来的数据后，向其所有的接收伙伴发送一个复制触发信号，则用户可以在确认对话框中选择"传播"推"复制触发器" 如图 12.11，也就是进行连续复制。

    如果要给发送伙伴发送复制触发信号：
步骤1 从WINS服务器中的复制伙伴组件中选择相应的发送伙伴。
步骤2 选择操作菜单中的所有任务→单击"发送"拉"复制触发器"→在确认对话框重单击确定
    如果用户需要立即对所有的复制伙伴开始复制数据
步骤1 从WINS服务器中的选择复制伙伴组件
步骤2 选择操作菜单中的所有任务→单击"立即复制"
    用户还可以利用复制伙伴的属性对服务器所以的复制伙伴进行设置，如图 12.12下面让用户来看一下其中一些新增的功能：

    在复制伙伴的常规标签中：
"仅用伙伴复制"：如选中则复制操作只能在伙伴之间进行，如未选中则可以将数据发送给一台不在或列表中的 WINS 服务器
"移植"：指定在数据库中的唯一或多宿主静态映射记录是否可以被新注册的或复制来的更新名称所覆盖，选中表示可以覆盖，未选中表示不可以。
    "推、拉"参数"用于设置发送和接收的起始设置，其中计数阈值表示的就是前面在发送参数中的计数值。
    如图 12.13，在复制伙伴的高级标签中：
保持连接方式：在以前版本的 WINS 服务器之间在复制操作完成后连接断开，在下一次复制操作时它们又需要重新连接，这样会造成复制操作的延迟，从而造成数据的不一致，为了避免上述问题的发生，可以利用这一选项，持续的保持复制伙伴之间的连接，便于复制操作的进行。

阻塞服务器拥有的记录：当将一台 WINS 服务器从网络上移走的时候，这台服务器数据库中的记录仍然分布在其它复制伙伴服务器中。在某些情况下 WINS 并不将这些记录删除，或在默认情况下它们将被保存一段时间。造成这种情况的原因包括：
§　由被移走的 WINS 服务器所创建的静态映射随机的复制到其它 WINS 服务器上，除非管理员手工将它们删除。
§　在被移走的 WINS 服务器上动态映射不会立刻从数据库中清除。
    在 Windows 2000 Server 中,利用"阻塞服务器拥有的记录"这一功能阻止被移走的 WINS 服务器上的记录继续被复制。用户可以指定被移走的服务器的 IP 地址，从而在一定时间内把它的记录从其它活动的 WINS 数据库中删除掉。这项功能对从网络上移去 WINS 服务器非常有用。
    启动自动伙伴配置：设置 WINS 服务器将在网络上发现的其它 WINS 服务器设置为自己的复制伙伴。由于 WINS 服务器在加入到网络后会利用多点传输方式定期向网络发送通告，声明自己，所以用户可以使用自动伙伴配置功能。它通过以下步骤实现：
§　将发现的 WINS 服务器的 IP 地址添加到复制伙伴中
§　将该服务器设置为接收伙伴和发送伙伴
§　将"拉"参数中的时间间隔设置为 2 小时

返回页首>>>

12.7 静态映射（Static Mapping）的管理
    当 WIND 客户机开机的时候，客户机会将其 IP 地址和计算机名注册到 WINS 服务器的数据库中，并定期的更新名称注册，所以在 WINS 服务器的数据库中客户机的计算机名称和 IP 地址的映射是动态的。
    用户也可以利用静态映射的方式，在数据库中手工创建计算机名称与 IP 地址的映射关系，这种映射关系是没有时间限制的，它可以长期保存在数据库中，除非管理员手工的将其删除。
    但静态映射只能用于不具有 WINS 功能的客户机，以便其它的 WINS 客户机能与其通信。对于 NON-WINS 客户机要通过 WONS Proxy 与查询其它 WINS 客户机的 IP 地址。另外，当 DHCP 和 WINS 服务器同时存在的时候，DHCP 保留的 IP 地址设置要优先于 WINS 的静态映射的设置。
    添加静态映射的步骤：
    步骤1 　启动 WINS 控制台在其中选择相应的服务器，选择活动注册组件
    步骤2　单击"操作"菜单选择"新建"然后选择"静态映射"

步骤3　在设置静态映射对话框中(如图12.14),输入计算机名称、其所在的域的域名
    步骤4　从"类型"中选择一个适当的映射类型：
§　唯一（Unique）
    计算机名与 IP地址是一一对应的关系

§　组（group）
    一般的组，在 WINS 服务器上组中成员的具体 IP 地址，当客户机向服务器查询此组时， WINS 服务器将答复一个广播地址即 255.255.255.255，则客户机利用这一地址进行广播
§　域名(Domain name)
    为使用 WindowsNT4.0 的域创建静态映射的域名 domain_name [1c],它最多可以保存 25 个成员的 IP 地址（包括主域控制器及备份域控制器）
§　Internet 组(Internet Group)
    用户自定义的组，利用它将网络上的资源组成一个组，以便查找网上资源，组中最多可以包含 25 个成员，组的名称表示为： group_name [20]
§　多宿主（multihomed）
    同一个计算机名与多个 IP 地址进行映射，最多为 25 个 IP 地址，这种情况发生在一台计算机有多个网卡，一块网卡有一个或多个 IP 地址，但计算机名称相同。
    步骤5　输入 IP 地址
    步骤6　单击"确定"按钮返回页首>>>

    12.8 WINS 数据库的管理
    WINS数据库文件位于 ％Systenroot%\System32\Wins 目录中，如图12.15

下表列出了 WINS 数据库相关的文件：

文件 | 描述
J50.log 和 J50#####.log | 记录WINS 数据库所有事务的文件，可以利用它恢复数据库的数据。
J50.chk | 审核点文件，指明最后一次把事务记录成功的写入到数据库中的位置。每当在数据库(Wins.mdb)中写入数据时此文件将被更新。
Wins.mdb | WINS 数据库文件，它包括两张表： IP 地址与所有者 ID的映射表、注册名称与 IP地址的映射表。
Winstmp.mdb | WINS 服务器在运行时所使用的临时交换文件。
Res#.log | 保留的记录文件。
注意：不要移动或删除 J50.log, J50#####.log, Wins.mdb, Winstmp.mdb, Res#.log 这些文件。

12.8.1 备份数据库：
    WINS 管理器提供了 WINS 数据库的备份功能，在用户指定了备份数据的路径后，默认情况下管理器每 3 小时对数据库进行一次完整的备份。
    具体步骤如下：
    步骤1　首先选择服务器单击"操作"菜单选择"属性"，在服务器属性的常规标签中设置备份数据库的路径 如图 12.6　所示，单击"确定"
    步骤2　选择需要备份的 WINS 服务器单击"操作"菜单选择"所有任务"选择"备份 WINS 数据库"，在确认对话框中单击"是"按钮，在备份结束后单击确定
    注意：不要将备份路径设置到网络驱动器上，在备份完成后会在用户指定的路径中创建一个新目录 \Wins_bak\。

12.8.2 恢复数据库：
    步骤1　停止 WINS 服务
    步骤2　删除 %SystemRoot%\System32\Wins 目录中的所有文件
    步骤3　自 WINS 控制台中新选择需要恢复的服务器
    步骤4　单击"操作"菜单选择"所有任务"选择"恢复 WINS 数据库，在浏览文件夹对话框中选择备份数据库的路径→确定
    注意： 只有在 WINS 服务停止时，才可以在"所有任务"中看到"恢复 WINS 数据库"选项，

    12.8.3 清除（Scavenge）数据库
    数据库的清除就是将更新后仍然存在于数据库中的过时信息清除掉。
    本地服务器的数据库中时常保留一些已经被释放的记录和从其它服务器复制过来的过时的记录。自动清理的时间间隔由用户设定的更新间隔和废弃间隔决定，当然用户也可以手工清理数据库。
    下表将对比清除前后数据库记录的变化情况：

清理前记录的状态 | 清理后记录的状态
属于此 WINS 服务器的计算机名称，目前处于活动状态，但更新间隔（Renew Interval）时间已过 | 标记为释放（Released）.
属于此 WINS 服务器的计算机名称，目前处于释放状态，但废弃间隔（Extinction Interval）时间已过 | 标记为废弃（Tombstoned.）
属于此 WINS 服务器的计算机名称，目前处于废弃状态，但废弃超时间隔（Extinction timeou）时间已过 | 从数据库中删除
属于其它 WINS 服务器的计算机名称，目前处于废弃状态，但废弃超时间隔（Extinction timeou）时间已过 | 从数据库中删除
属于其它 WINS 服务器的计算机名称，目前处于活动状态，但确认间隔（Renew Interval）时间已过 | 重新生效.
从其它数据库复制来的废弃的或已被删除的名称 | 从数据库中删除
手工清除数据库的方法：选择服务器→操作→所有任务→清除 WINS 数据库

12.8.4 数据库的一致性检查
    通过数据库的一致性检查可以帮助用户维护大型网络中的 WINS 数据库的完整性。当一致性检查启动的时候，服务器会接收其数据库中包含的每个人所有者服务器中的记录，包括那些虽然不是复制伙伴但保存着本地记录的服务器。
    所有接收来的记录将与本地的记录进行对比，利用以下方式检查数据库的一致性：
§　如果本地记录与接收来的记录一致则更新它的时间戳（timestamp）
§　如果本地记录的版本 ID 比接收来的记录的版本 ID 低，则将接收的记录加入数据库并将本地记录标记为已删除。
§　如果接收来的记录与本地记录版本 ID 相同但名称不同，则用接收来的记录覆盖本地记录。
    自动检查数据库一致性的设置 如图 12.7
    手工检查数据库的一致性：选择服务器单击"操作"菜单选择"所有任务"选择"检查 WINS 数据库一致性"

    12.8.5 显示 WINS 数据库的记录
    显示所有记录：在 WINS 控制台中选择服务器然后选择"活动注册" 单击"操作"菜单选择"查看数据库"选择"显示所有记录" 如图12.16

    设置过滤器：在 WINS 控制台中选择服务器，选择"活动注册" 单击"操作"菜单选择选择"查看数据库"，选择记录类型标签 如图 12.17，然后在记录类型标签中选择要显示的记录类型单击"确定"。

返回页首>>>

    12.9 将 WINS 移植到 DNS
    对于纯 Windows 2000 环境，用户可以考虑在网络中不使用 WINS 服务器，即让 WINS 服务器退役（decommissioning），在用户决定让用户的服务器退役之前用户需要考虑以下问题：
§　在用户的网络中是否仍有计算机使用早期版本的Windows 或 Windows NT?
§　在用户的网络中是否仍有使用早期版本的Windows或 MS-DOS操作系统的计算机需要使用NetBIOS 名称服务？
    如果其中有一个答案为是则用户仍然需要使用 WINS 服务，如果两个答案均为否，那么用户可以让 WINS 服务退役。
    通过以下步骤完成从 WINS 服务迁移到 DNS:
    步骤1 重新设置客户机不使用WINS服务
§　对于利用手工设置使用TCP/IP的用户, 将TCP/IP属性中的主WINS 服务器和第二WINS 服务器中的 IP 地址清除。
§　对于利用 DHCP服务进行TCP/IP 设置的客户机，设置 DHCP服务器不提供 WINS 服务的相应设置。

    步骤2 在重新设置客户机的时候，检查是否为客户机设置了 DNS 服务。
§　对于利用手工设置使用 TCP/IP 的用户, 设置TCP/IP属性中的主 DNS 服务器和第二 DNS 服务器中的 IP 地址。
§　对于利用 DHCP 服务进行 TCP/IP 设置的客户机，设置 DHCP 服务器提供DNS服务的相应设置。
    步骤3 开始让单独的 WINS 服务器执行退役任务
    在将客户机设置为使用 DNS 服务并停用 WINS 服务后，可以开始让单独的 WINS 服务器退役。WINS 管理器将以本地服务器为所有者的记录全部标记为"释放"。记录的这种"废弃"状态将被复制给其它 WINS 服务器，当这些记录在其它服务器上保存时间超过废弃超时的时间间隔后，其它服务器将从数据库中清除这些记录。
    步骤4 通过相应的选择设置降低并重定向 WINS 的通信量。
    在 Windows 2000 网络环境中,有时仍相应继续使用 WINS 服务。用户可以利用发附加的设置选项限制网络中的 WINS 服务器及降低 WINS 的通信量。在 DNS 服务器中设置使用 WINS 进行域名解析。

12.10.7 设置 WINS Proxy
    在 Microsoft 网络中，只有 WINS-enabled 客户机可以直接与 WINS 服务器通信，即有 WINS 服务器解析计算机名称和 IP地址的映射关系。对于NON-WINS客户机虽然可以利用广播方式获得客户机的 IP 地址，但广播无法跨越网段，这时用户跨越利用 WINS Proxy 解决这一问题。
    默认情况下，WINS Proxy 监听网络上NON-WINS客户机的广播，当其收到广播后，它就会转向WINS服务器查询，并将由WINS服务器传来的 IP 地址再传给客户机。同时 WINS Proxy 将由 WINS 服务器传来的 IP 地址保留一份在它的内存中（Cache）,默认情况下只会保存 6 分钟。当下一次再有客户机查询相同数据时，它直接利用内存中的数据响应。
    设置 WINS Proxy的具体步骤：
    在 WindowsNT4.0中设置WINS Proxy
    将 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Netbt\Parameters中的
    Registry参数EnableProxy设置为 1。返回页首>>>

    12.10. 启用客户机的 WINS 功能
    在 WINS 服务器安装设置完后，用户只要将客户机设置为 WINS －enabled 就可以启用客户机的功能了。下面具体说明如何设置各种客户机：
    12.10.1. DOS 的 WINS 设置
    修改 PROTOCOL.ini 文件，假设用户的网络中有两台 WINS 服务器，使用以下方法将它们加入到[TCPIP]Session 中：
    WINS_SERVER0=198 188 188 1
    WINS_SERVER1=198 188 188 2
    12.10.2. LAN Manager 的 WINS 设置
    修改 PROTOCOL.ini 文件，假设用户的网络中有两台 WINS 服务器，使用以下方法将它们加入到 [TCPIP_XIF] Session 中：
    WINS_SERVER0=198 188 188 1
    WINS_SERVER1=198 188 188 2

    12.10.3 Windows98 的 WINS 设置
    在"控制面板"选择"网络" "TCP/IP" "属性"在 " WINS 配置"选项卡中单击"启动 WINS 解析"，然后添加服务器的 IP地址单击"确定" 如图 12.18。
    如果使用 DHCP 服务进行自动设置则选择"使用 DHCP 进行 WINS 解析"

12.10.4 Windows 2000 Professional 的 WINS 设置
    在"控制面板"中双击"网络和拨号连接"，在出现的"本地连接"中弹击"属性" 然后单击 "Internet 协议（TCP/IP）"单击"属性"，在"高级"选项卡中选择 "WINS" ,然后添加 WINS 地址并选择"启用 TCP/IP 上的 NetBIOS"，单击"确定"
    如果利用 DHCP 服务进行自动设置则选"使用来自 DHCP 服务器的 NetBIOS 设置，如图 12.19。

12.10.5 WindowsNT4.0 的 WINS 设置
    开始→设置→控制面板→网络→协议→ TCP/Ip 通信协议→属性→ WINS 地址，然后输入主 WINS 服务器及二级 WINS 服务器的 IP 地址→ 确定 如图 12.20。

12.10.6 利用 DHCP 自动设置客户机的 WINS 功能
    当客户机启动 DHCP 功能时，用户可以利用 DHCP 服务器自动设置客户机的 WINS 功能：
    在 WindowsNT4.0 服务器上设置由 DHCP 服务器自动设置并启动客户机的 WINS 功能，具体步骤如下：
    步骤1 启动 DHCP 管理器然后选择一个 IP 范围
    步骤2 在 DHCP 选项中选择作用域
    步骤3 在 DHCP 选项领域对话框中添加 044WINS/NBNS 服务器和 046 WINS/NBT 节点类型选项，并在在编辑数组中分别输入 WINS 服务器的 IP 地址和节点类型 "0X8 h-node"如图 12.21

    在 Windows2000 服务器上设置 DHCP 选项，用户已在第三章第二节中作了详细的说明，在此就不重复了。
    在以上设置完成后，用户可以通过路由器 PING 另一个网段中的客户机的计算机名，看该客户机能否正确响应，如果可以正常响应表示设置正确。

12.10.7 设置WINS Proxy
    在 Microsoft 网络中，只有 WINS-enabled 客户机可以直接与 WINS 服务器通信，即有 WINS 服务器解析计算机名称和 IP 地址的映射关系。对于 NON-WINS客户机虽然可以利用广播方式获得客户机的 IP 地址，但广播无法跨越网段，这时用户跨越利用 WINS Proxy 解决这一问题。
    默认情况下，WINS Proxy 监听网络上 NON-WINS 客户机的广播，当其收到广播后，它就会转向 WINS 服务器查询，并将由 WINS 服务器传来的 IP 地址再传给客户机。同时 WINS Proxy 将由 WINS 服务器传来的 IP 地址保留一份在它的内存中（Cache）,默认情况下只会保存 6 分钟。当下一次再有客户机查询相同数据时，它直接利用内存中的数据响应。
    设置 WINS Proxy 的具体步骤：
    在 WindowsNT4.0 中设置 WINS Proxy
    将 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Netbt\Parameters 中的
    Registry 参数 EnableProxy 设置为 1。返回页首>>>

相关内容：（本教程出自：www.365edu.com）
第一章、windows2000Server新功能及安装
第二章、windows2000网络客户端的安装和配置
第三章、配置远程安装服务和设置用户配置文件
第四章、windows2000的基本管理
第五章、DNS服务器的配置与管理
第六章、活动目录服务的基本安装和配置
第七章、管理计算机和用户帐号
第八章、文件和打印系统的配置与管理
第九章、数据存储
第十章、安全管理


第十三章 Windows 2000 Server 的高级管理

本章主要内容：
1、利用智能镜像技术管理用户和计算机
2、数据备份和设备容错
3、设备容错
4、Windows 2000 虚拟专用网络

    13.1 利用智能镜像技术管理用户和计算机
    13.1.1 智能镜像的概述
    智能镜像（IntelliMirror） 将集中计算的优点和分布式计算的性能及灵活性结合起来。通过在服务器和客户端同时使用 IntelliMirror，用户的数据、应用程序和设置在所有的环境中都跟随用户。管理员也可以使用这些功能来执行 Windows 2000 操作系统的远程安装。
    Windows 2000 IntelliMirror 功能：
§　用户数据管理：支持将用户数据镜像到网络和所选网络数据的本地副本中。
通过将数据从计算机镜像到网络来保护重要的工作，除了有受到完全保护的数据之外，用户还可以使用网络上的任意 Windows 2000 计算机，而且总可以访问自己的数据。

IntelliMirror 用户数据管理功能使用以下技术：
  §　Active Directory
  §　组策略
  §　脱机文件
  §　同步管理器
  §　磁盘配额
  §　漫游用户配置文件
§　软件安装和维护：允许管理员集中管理软件的安装、修复、更新和删除。
    管理员可以使用 IntelliMirror 的软件安装和维护功能来安装和维护计算机上的应用程序。如果有任意应用程序需要更新，网络管理员都可以从服务器上对其进行更新。
§　用户设置管理：允许管理员集中定义用户和计算机的计算环境设置。还包括将用户设置镜像到网络中。

IntelliMirror 用户设置管理功能规定用户首选项和设置--与用户文档管理及软件安装和维护相同的基本功能。无论用户登录到网络上的哪台计算机，用户的首选项和设置仍然有效。这也允许管理员代表单位定义设置，并强制执行这些设置。
    IntelliMirror 用户设置管理功能使用以下技术：
  §　Active Directory
  §　组策略
  §　脱机文件
  §　漫游用户配置文件
§　远程安装服务：支持更简便的安装和配置，并允许将操作系统远程安装到整个企业的所有计算机上。

    13.1.2 脱机文件
    使用脱机文件，即使没有连接到网络也可以继续处理网络文件和程序。
    如果断开与网络的连接或移除便携式计算机，指定为可以脱机使用的共享网络条目与连接到网络时完全相同。可以象通常一样继续处理。对这些文件和文件夹的访问权限与连接到网络时相同。当连接状态变化时，"脱机文件"图标将出现在状态区中，状态区上会显示提示信息，通知用户这一变化。当网络连接恢复或插接便携式计算机时，所有脱机时所作的更改均将更新到网络上。用户和网络上的其他人对同一文件作出更改时，用户可以选择将用户的文件版本保存到网络、保留其他版本或两个版本均保存。
    用户可以手动启动同步，也可以将"同步管理器"设置为在脱机文件与网络同步时控制同步。"同步管理器"还控制执行完全同步还是快速同步。完全同步可以确保获得每个指定为允许脱机使用的网络文件的最新版本。快速同步比完全同步速度快得多，但是可能不提供每个指定为可以脱机使用的网络文件的最新版本。
    Microsoft 网络上的任何共享文件或文件夹均可以指定为允许脱机使用。用户可以允许脱机使用来自任何支持基于"服务器消息块"(SMB) 文件和打印机共享的计算机（包括 Windows 95、Windows 98 和 Windows NT 4.0）上的文件。但在 Novell NetWare 网络上不能使用"脱机文件"。
    系统管理员可以设置共享文件夹，使在该共享文件夹中打开的每个网络文件均自动指定为可以脱机使用，或仅指定允许脱机使用所选的网络文件。
    如果文件的快捷方式被允许脱机使用，该文件即可脱机使用，但是如果文件夹的快捷方式被允许脱机使用，该文件夹的内容将无法脱机使用。

    13.1.2.1 脱机工作原理
    "脱机文件"通知用户网络连接的状态是否变化。当网络连接的状态变化时，"脱机文件"图标将出现在状态区，状态区上会显示信息提示，通知用户这一变化。如果信息提示通知用户处于脱机状态，用户可以继续象通常一样使用文件，也可以单击状态区中的"脱机文件"图标，获得有关连接状态的详细信息。
    即使脱机工作断开网络或便携式计算机出坞，仍可以在"我的电脑"或"网上邻居"中浏览网络驱动器或共享文件夹。断开的网络驱动器上将出现红叉。网络连接断开后，用户将只能看到可以脱机使用的文件和创建的文件。
无论是连接到网络还是脱机工作，对网络文件和文件夹的权限均保持不变。例如，如果用户断开网络，映射网络驱动器上的只读文档仍保持只读。
    断开网络后，可以打印到本地打印机，但无法打印到网络上的共享打印机。取而代之，该文件被后台处理，并在重新连接网络时打印到网络打印机。
    重新连接网络后，"同步管理器"将使用脱机工作时所作的更改来更新网络文件。

13.1.2.2 设置计算机以便使用"脱机文件"
    步骤1 打开"我的电脑"
    步骤2 在"工具"菜单上，单击"文件夹选项"。
    步骤3 在"脱机文件"选项卡上，确保选中了"启用脱机文件"复选框，如图 13.1。
    步骤4 选中"注销前同步所有脱机文件"以便进行完全同步。清除该选项则进行快速同步。

13.1.2.3 使文件或文件夹可以脱机使用
    步骤1 在"我的电脑"或"网上邻居"中，单击要指定为可以脱机使用的共享网络文件或文件夹。
    步骤2 在"文件"菜单上，单击"允许脱机使用"，如图13.2。

注意
§　只有将计算机设置为使用"脱机文件"，"允许脱机使用"才会出现在"文件"菜单上。有关将计算机设置为使用"脱机文件"的信息，请参阅相关主题。
§　第一次允许脱机使用条目时，"脱机文件"向导会引导用户完成该过程。"正在同步"对话框消失后，该条目即可脱机使用。
可允许脱机使用共享网络文件夹中的单个文件或整个共享网络文件夹。如果允许脱机使用整个文件夹，该共享文件夹中的所有文件在下一次计算机同步时，将自动可以脱机使用。
§　如果文件的快捷方式被允许脱机使用，该文件即可脱机使用，但是如果文件夹的快捷方式被允许脱机使用，该文件夹的内容将无法脱机使用。
§　当网络连接的状态变化时，"脱机文件"图标将出现在状态区，状态区上会显示提示信息，通知用户这一变化。如果提示信息通知用户处于脱机状态，用户可以继续象通常一样使用文件，也可以单击状态区中的"脱机文件"图标，获得有关连接状态的详细信息。
§　要取消文件或文件夹的脱机使用许可，请右键单击该条目并再次单击"允许脱机使用"，清除复选标记。

13.1.2.4 更改"脱机文件"对网络断开的响应方式
    步骤1 打开 "我的电脑"。
    步骤2 在"工具"菜单上，单击"文件夹选项"。
    步骤3 在"脱机文件"选项卡上，单击"高级"。
    步骤4 在"网络连接丢失时"下，执行下列操作之一：
§　单击"通知我，然后开始脱机工作"，接收已断开连接的通知并继续使用脱机文件和文件夹。
§　单击"不允许计算机脱机工作"，使用户断开网络连接时无法使用脱机文件和文件夹。 如图13.3

13.1.3 软件安装和维护
    软件安装帮助管理员在企业中在服务器上完成客户机中应用程序安装和维护。
§　如果用组策略以指派的方式安装应用程序，将在用户登录的客户机的"开始"菜单中创建一个应用程序的快捷方式，并在注册表中创建相应的文件关联，当用户使用该程序的时候它才被完整安装。这与以前的安装方式有了很大的区别，应用程序采用了Windows安装服务，应用程序的安装过程由Windows 2000 系统管理和执行，提高了应用程序的可操作性和可管理性。
§　如果用组策略发布应用程序，发布的应用程序将出现在客户机的"控制面板"中的"添加/删除程序"项中，发布的应用程序是否安装由用户自己决定。当用户或应用程序需要打开某个文件时，在注册表中该文件与要安装的应用程序关联，这时才显示安装界面，用户称之为"文档激活"，同时发布的应用程序还支持传统的程序安装方法。
§　对客户机上应用程序的修复是由Windows 安装服务来完成的每当激活一个由授权的Windows 服务管理的应用程序时，Windows服务将定时检查应用程序的有效性，在程序损坏时自动完成丢失文件或错误设置的修复工作。
用户可以利用两种方式管理应用程序的安装：指派（Assign）和发布（Published）

13.1.3.1 指派
    指派：当希望所选组策略对象中的每个用户均可以在计算机上安装该应用程序，可采用指派应用程序
    步骤1 从"Active Directory 用户和计算机"、"Active Directory 站点和服务"或作为独立的 Microsoft 管理控制台管理单元打开组策略。
    步骤2 要对计算机分配软件，请双击"计算机配置"。要对用户分配或发布软件，请双击"用户配置"。
    步骤3 双击"软件设置"。
    步骤4 在控制台树中，单击"软件安装"，然后单击"操作"菜单，选择"新建"，选择"程序包…" 如图 13.4

步骤5 选择 Windows 安装程序包，选择部署方式"已指派"如图 13.5。

完成程序包的添加 如图 13.6
    用户可以利用运行程序和文件激活的方式安装程序，但用户不能删除指派的应用程序，如果用户删除了它，在用户下次登录到客户机时将被再次通知指派的应用程序
    发布：

13.1.3.2 发布程序
    如果希望用户决定是否安装应用程序则可以利用发布的方式，操作步骤同上，只是在选择部署类型的时候选择"已发布"。
    计算机或用户的"软件安装"属性的设置在安装程序属性中的"部署" 标签中常用选项如图13.7。
    当这个组策略对象不再适用于某个计算机或用户时，自动删除相应的应用程序。

在客户机的"控制面板"中的"添加/删除程序"项中显示该程序包，安装方式有两种：
    基本选项：安装程序的常用选项
    最大选项：安装程序的所以选项（默认设置）
    用户可以利Windows 2000 server 安装盘中附带的veritas software中的Winstall制作工具如图13.8，制作需要发布的程序包。
    通过以上介绍用户可以看到利用组策略中的软件安装功能提高了工作效率，减轻了工作负担，使得软件的安装、维护和管理更为灵活和简便。

13.1.4 组策略
    组策略设置定义了系统管理员需要管理的用户桌面环境的多种组件，例如，用户可用的程序、用户桌面上出现的程序以及"开始"菜单选项。使用组策略管理单元，可以为特定用户组创建特定的桌面配置。所指定的组策略设置包含在组策略对象中，而组策略对象又和所选择的站点、域或组织单位的 Active Directory 对象相关联。组策略包括影响用户的"用户配置"和影响计算机的"计算机配置"。利用组策略及其扩展，可以：
§　通过管理模板管理基于注册表的策略。组策略创建包含注册表设置的文件，这些注册表设置被写入到注册表数据库的"用户或本地计算机"部分。登录到给定的工作站或服务器用户特定的用户配置文件写在注册表的 HKEY_CURRENT_USER (HKCU) 下，而计算机特定设置写在 HKEY_LOCAL_MACHINE (HKLM) 下。
§　"指派脚本"（例如启动或关机，登录和注销）。
§　重定向文件夹从本地计算机上的"Documents and Settings"文件夹到网络位置。
§　管理应用程序（分配、发布、更新或者修复）。为此，用户可以使用软件安装扩展。
§　指定安全选项有关安全组选项的设置，请参阅安全设置联机帮助。

13.1.4.1 如何以及何时应用组策略
    用户及计算机策略：
    用户策略（位于组策略中"用户配置"节点下的设置），在用户登录时获得。计算机策略设置位于"计算机配置"下，在计算机启动时获得。"用户和计算机"是接收策略的唯一 Active Directory 对象类型。具体地说，安全组没有他们要应用的策略。由于性能方面的原因，安全组可以通过"应用组策略"的访问控制项 (ACE) 来筛选该策略，该访问控制项可以设置为"允许"或"拒绝"或保留为不配置。
    应用顺序：
    策略按如下顺序应用：
    唯一的本地组策略对象。
    站点组策略对象，按照行政管理指定的顺序。
    域组策略对象，按照行政管理指定的顺序。

对于组织单位组策略对象，按照从大组织单位到小的组织单位顺序（从父组织单位到子组织单位），而在每个组织单位级别中，则按照行政管理指定的顺序。
    默认情况下，这些策略不一致时，后应用的策略将覆盖以前应用的策略。但是，如果这些设置不一致，前后的策略都将作为有效策略。
    用安全组成员身份筛选策略：
    组策略对象的安全组 ACE 可以设置为"未配置"（没有优先级）、"允许"或"已拒绝"。"已拒绝"的优先级高于"允许"。
    阻止策略继承：
    从更高级站点、域或组织单位继承的策略可以在该站点、域或组织单位级别被拒绝。
    从更高级别执行策略：
    可以在组策略对象级别将某些策略设置为"禁止替代"，否则该策略将被子组织单位策略覆盖。

13.1.4.2 配置及管理组策略
    编辑组策略对象：
    步骤1 打开要编辑的组策略对象。
    步骤2 双击详细信息窗格中的项目更改其设置
    创建新的组策略对象：
    步骤1 打开 Active Directory 用户和计算机，创建链接到域或组织单位的组策略对象。
    或打开 Active Directory 站点和服务，创建链接到站点的组策略对象。
    步骤2 在控制台中，右键单击新建的组策略对象要链接到的站点、域或组织单位。（保存在当前域中。）
    步骤3 单击"属性"，然后单击"组策略"选项卡, 如图 13.9。
    步骤4 单击"新建"，键入组策略对象的名称，然后单击"关闭"。

    将组策略对象链接到站点、域或组织单位：
    步骤1 打开 Active Directory 用户和计算机，创建链接到域或组织单位的组策略对象。
    或打开 Active Directory 站点和服务，创建链接到站点的组策略对象。
    步骤2 在控制台中，右键单击组策略对象应该链接到的站点、域或组织单位。
    步骤3 单击"属性"，然后单击"组策略"选项卡。
    步骤4 要将组策略对象添加到"组策略对象链接"列表中，请单击"添加"。出现"添加组策略对象链接"对话框。
    步骤5 单击"全部"选项卡如图13.10，单击所需的组策略对象，然后再单击"确定"。
    步骤6 在站点、域或组织单位的"属性"对话框中，单击"确定"。
返回页首>>>

    13.2 数据备份
    13.2.1 数据备份
    如果系统遭受硬件或存储媒体故障，则"备份"工具可以帮助用户保护数据免受意外的损失。例如，可以使用"备份"在硬盘上创建数据的副本，然后在其他存储设备（例如硬盘或磁带）上存档该数据。如果硬盘上的原始数据被意外删除或覆盖，或因为硬盘故障而不能访问该数据，那么用户可以十分方便的从存档副本中还原该数据。
    使用"备份"，可以：
§　在硬盘上存档选择的文件和文件夹。
§　将存档文件和文件夹还原到硬盘或其他任何可以访问的磁盘上。
§　创建紧急修复磁盘 (ERD)，如果系统文件损坏或意外被擦除，该磁盘可以帮助用户修复它们。
§　备份任何远程存储数据和存储在已装入驱动器的任何数据。
§　备份系统状态，它包含注册表、Active Directory 数据库，和"证书服务"数据库。
§计划常定期份以保持存档数据是最新的。
    可以使用"备份"来备份和还原文件分区表 (FAT) 或 NTFS 文件系统卷上的数据。然而，如果从 Windows 2000 中使用的 NTFS 卷上备份了数据，则推荐用户也将该数据还原到 Windows 2000 中使用的 NTFS 卷中去，否则，用户可能会丢失一些数据以及文件和文件夹特性，例如权限、加密文件系统 (EFS) 设置、磁盘配额信息、已安装驱动器信息和"远程存储"信息。

    "备份"实用程序支持五种方法备份计算机或网络上的数据，它们是：
§　副本备份
    副本备份复制所有选中的文件，但不将这些文件标记为已经备份。如果用户想在正常和增量备份之间备份文件，复制是很有用的，因为复制不影响其他备份操作。
§　每日备份
    每日备份复制执行每日备份的当天中修改的所有选中的文件。已备份文件在备份后不做标记（换言之，不清除存档属性）。
§　差异备份
    从上次正常或增量备份后，创建或修改的差异备份副本文件。备份后不标记为已备份文件（换言之，不清除存档属性）。如果执行了正常和差异备份的组合，还原文件和文件夹要求用户执行了上一次正常和差异备份。
§　增量备份
    增量备份只备份上一次正常或增量备份后，创建或改变的文件。备份后标记文件（换言之，清除存档属性）。如果使用正常和增量备份的组合，用户需要具有上一次普通备份集和所有增量备份集，以便还原数据。
§　普通备份
    普通备份复制所有选中文件，并且备份后标记每个文件（换言之，清除存档属性）。使用普通备份，用户只需要最近备份的文件或磁带的副本来还原所有文件。第一次创建备份集时，通常执行普通备份。

    13.2.2 备份文件和文件夹
    "备份"使用户可以将数据备份到文件或磁带。将数据备份到文件时，必须指定文件要保存的名称和位置。备份文件的扩展名通常为 .bkf，但是用户可以将该扩展名更改为用户喜欢的扩展名。备份文件可以保存到硬盘、软盘或任何其他可以保存文件的可移动或不可移动媒体。
    将数据备份到磁带时，计算机必须接有磁带设备。同样，磁带也由可移动存储管理。尽管"备份"与"可移动存储"一同工作，但可能须使用"可移动存储"来执行某些维护任务，例如准备和弹出磁带。
    下列四个步骤描述了一个简单的备份操作：
    步骤1 选择要备份的文件、文件夹和驱动器
    "备份"为用户提供了计算机中驱动器、文件和文件夹的目录树视图，可以使用该视图来选择要备份的文件和文件夹。用户可以象使用 Windows 资源管理器一样使用此目录树视图来打开驱动器和文件夹并选择文件。
    步骤2 为备份数据选择存储媒体或文件位置
    备份程序为选择存储媒体提供了两个选项：
    可以将数据备份到存储设备上的一个文件。存储设备可以是硬盘、Zip 磁盘或任何类型的可以保存文件的可移动或不可移动媒体。该选项始终是可用的。可以将数据备份到磁带设备。该选项只有在用户的计算机安装了磁带设备后才可以使用。如果将数据备份到磁带设备，该媒体将由"可移动存储"管理。

步骤3 设置备份选项
    "备份"提供了一个"选项"对话框，可以使用该对话框自定义备份操作。使用"选项"对话框可以：
    选择备份类型。备份类型包括：副本、每日、差异、增量和普通。
    选择是否需要日志文件记录备份操作。如果选择了该选项，还可以选择需要完整的日志文件还是摘要日志文件。选择是否需要备份存储在已装入驱动器中的数据。
    指定要排除在备份操作之外的文件类型。选择是否需要验证数据备份的正确性。
    步骤4 开始备份如图 13.11

开始备份操作时，"备份"会提示用户输入有关该备份作业的信息，并允许用户设置高级备份选项。在提供了信息或更改了备份选项之后，备份程序将开始备份选定的文件和文件夹。
    即使用户已计划该备份操作在无人参与的情况下运行，程序仍会提示用户输入有关备份作业的信息。不过，在用户提供了信息后，"备份"不会立即开始备份文件，而是将计划好的备份加入任务计划程序。

    注意：用户可以使用"备份"在 FAT 或 NTFS 卷上备份和还原数据。但是，如果已经备份的数据来自 Windows 2000 使用的 NTFS 卷，建议用户仍将数据还原到 Windows 2000 使用的 NTFS 卷，否则会丢失数据以及部分文件和文件夹特性。例如，如果从 Windows 2000 中使用的 NTFS 卷中备份数据，然后还原到 Windows NT 4.0 下的 FAT 卷或 NTFS 卷中，将可能丢失权限、加密文件系统 (EFS) 设置、磁盘配额信息、已装入驱动器信息和远程存储信息。

13.2.3 使用批处理文件备份数据
    可以使用带有各种命令行参数的 "ntbackup" 命令从批处理文件中执行备份操作。然而，在使用批处理文件备份数据时有两个重要的限制条件：
§　使用 "ntbackup" 命令只能备份整个文件夹。不能指派单个文件进行备份。但是，用户可以从命令行中指派备份选项文件 (.bks file)，命令行中包含要备份的文件的列表。要创建备份选项文件，必须使用备份实用程序的 GUI 版本。
§　"ntbackup" 命令不支持使用通配符。例如，键入 "*.txt" 将不会备份扩展名为 .txt 的文件。

13.2.4 还原文件和文件夹
    以下四个步骤描述了简单的还原操作：
    步骤1 选择要还原的文件和文件夹
    "备份"为用户提供了已备份文件和文件夹的树状视图，可以通过该树状视图选择要还原的文件和文件夹。用户可以像使用 Windows 资源管理器一样使用此树状视图来打开驱动器和文件夹并选择文件。
    步骤2 选择备份文件和文件夹要还原到的位置。
    "备份"允许为被还原的文件选择三个目的地中的一个：
    将备份数据还原到数据的原始文件或文件夹。如果还原已损坏或丢失的文件和文件夹，可以使用该选项。
    将备份数据还原到备用文件夹。如果选择该选项，则备份文件夹和文件的结构将保留在备用文件夹中。如果将来可能需要一些旧文件，但是不希望覆盖或更改磁盘上的任何当前文件或文件夹，可以使用该选项。
    将备份文件还原到单个文件夹。该选项不保留备份文件夹和文件的结构。备份文件位被放在一个文件夹中。如果在搜索文件时不知道它的位置，可以使用该选项。

步骤3 设置还原选项
    "备份"在"选项"对话框中提供了"还原"选项卡，在此处可以选择文件和文件夹的还原方式。必须在三个选项中选择一个：
§　"不要替换本机上的文件"。这就可以避免覆盖硬盘上的文件。它是还原文件最安全的方法。
§　"仅当磁盘上的文件是旧的情况下，替换文件"。如果自从上次备份数据以来做了任何更改，这将确保对文件所做的更改不会丢失。
§　"无条件替换本机上的文件"。这将用备份集中的文件替换硬盘上的所有文件。如果自从上次备份数据以来做了任何更改，该选项将删除这些更改。
    步骤4 开始还原操作如图 13.12

开始还原操作后，"备份"将要求用户确认已准备好还原数据。还可以设置高级还原选项，包括：是否要还原安全设置、可移动存储数据库和交接点数据。
    注意：
    用户可以使用"备份"在 FAT 或 NTFS 卷上备份和还原数据。但是，如果已经备份的数据来自 Windows 2000 使用的 NTFS 卷，建议用户仍将数据还原到 Windows 2000 使用的 NTFS 卷，否则会丢失数据以及部分文件和文件夹特性。例如，如果从 Windows 2000 中使用的 NTFS 卷中备份数据，然后还原到 Windows NT 4.0 下的 FAT 卷或 NTFS 卷中，将可能丢失权限、加密文件系统 (EFS) 设置、磁盘配额信息、已装入驱动器信息和远程存储信息。返回页首>>>

    13.3 设备容错
    13.3.1 使用 RAID
§　创建镜像卷
    步骤1 打开磁盘管理。
    步骤2 右键单击要创建镜像卷的动态磁盘上的未分配空间，然后单击"创建卷"。
    步骤3 在创建卷向导中，单击"下一步"，单击"镜像卷"，然后按屏幕上的指令操作。
    注意：
§　至少需要两个动态磁盘才能创建镜像卷。
§　镜像卷具备容错能力。
§　镜像卷不能扩展或者分成带区。
§　镜像卷的两个副本（镜像）使用相同的驱动器号。

§　创建 RAID-5 卷
    步骤1 打开磁盘管理。
    步骤2 右键单击要创建 RAID-5 卷的动态磁盘上的未分配空间，然后单击"创建卷"。
    步骤3 在创建卷向导中，单击"下一步"，单击"RAID-5 卷"，然后按屏幕上的指令操作。

13.3.2 UPS 设备的使用

    应该将以下 Windows 服务与为计算机所选择的不间断电源 (UPS) 设备相结合使用：UPS、报警器、信使和事件日志。其他建议，请参阅最佳操作。要配置 UPS 设备，请在"控制面板"中，单击"UPS"。应该根据所使用的 UPS 设备支持的特性来进行配置。Windows 2000 支持的三种特性是：
§　主电源故障检测。
§　电量不足检测。
§　UPS 关闭功能。
    要确定正确的设置，请仔细阅读 UPS 设备的用户手册或与制造商联系。根据 UPS 支持特性的不同，可能需要在"UPS"对话框中的"UPS 特征"下输入其他设置。可以以几种方法控制 UPS 服务。一种方法是在"UPS"对话框中配置设置。显示消息并询问是否需要启动 UPS 设备。另一种启动设备的方法是单击"控制面板"中的"服务"。返回页首>>>

    13.4 Windows 2000 虚拟专用网络
    13.4.1 什么是虚拟专用网络 (VPN)？
    虚拟专用网络 (VPN) 是专用网络的延伸，它包含了类似 Internet 的共享或公共网络链接。通过 VPN 可以以模拟点对点专用链接的方式通过共享或公共网络在两台计算机之间发送数据。虚拟专用联网是创建和配置虚拟专用网络的行为。
    要模拟点对点链路，应压缩或包装数据，并加上一个提供路由信息的报头，该报头使数据能够通过共享或公用网络到达其终点。要模拟专用链路，为保密起见应加密数据。不用密钥，从共享或者公共网络截取的数据包是很难解密的。封装和加密专用数据之处的链接是虚拟专用网络 (VPN) 连接。
    通过远程访问和路由连接，组织可以使用 VPN 连接将长途拨号或租用线路换成本地拨号或者到 Internet 服务提供者（ISP）的租用线路。
    在 Windows 2000 中有两种类型的 VPN 技术：
1. 点对点隧道协议 (PPTP)
对于数据加密，PPTP 使用用户级的点到点协议 (PPP) 身份验证方法及 Microsoft 点到点加密 (MPPE)。
2. 带有 IP 协议安全 (IPSec) 的第二层隧道协议 (L2TP)
L2TP 使用用户级 PPP 身份验证方法和带有 IPSec 数据加密的机器级证书。

13.4.2 Windows 2000 中虚拟专用网络的新特性
    Windows 2000 为虚拟专用网络提供下列新功能：
§　第二层隧道协议
    除了点对点隧道协议 (PPTP) 之外，Windows 2000 包含行业标准"第二层隧道协议 (L2TP)"，该协议用于与 Windows 2000 网际协议安全 (IPSec) 连接以创建安全的虚拟专用网络连接。
§　远程访问策略
    远程访问策略是一套条件和连接设置，可在设置远程访问权限和连接属性方面向网络管理员提供更大的灵活性。通过远程访问策略，可以强制对 VPN 用户使用强大的身份验证和加密，以及对拨号用户使用一组不同的身份验证和加密约束。

§　MS-CHAP 版本 2
    Microsoft Challenge Handshake Authentication Protocol (MS-CHAP) 版本 2 在远程访问连接的协商过程中主要加强传递安全凭证的安全性和加密关键字生成。MS-CHAP 特别设计版本 2 来身份验证虚拟专用网络连接。
§　可扩展的身份验证协议
    可扩展身份验证协议 (EAP) 允许将新的身份验证方法用于远程访问，远程访问特性对基于智能卡的安全部署尤其重要。EAP 是允许其他身份验证模块插入 Windows 2000 远程访问 PPP 设备的接口。Windows 2000 支持 EAP-MD5 CHAP, EAP-TLS（用于智能卡和基于证书的身份验证），以及将 EAP 消息传送到 RADIUS 服务器。
§　帐户锁定
    帐户锁定是一项安全的性能，它在配置号码对身份验证失败后拒绝访问。帐户锁定用于防止那种借助词典进行的攻击。借助词典进行攻击是指非法用户企图使用已知的用户名，再用词典里的常用单词列表作为密码尝试登录。帐户锁定在默认情况下是禁用的。

13.4.3 虚拟专用网络组件
    Windows 2000 VPN 的连接包括下列组件：
§　VPN 服务器
    接受 VPN 客户 VPN 连接的计算机。
§　VPN 客户
    将 VPN 连接初始化为 VPN 服务器的计算机。VPN 客户可能是一台单独的计算机，也可能是路由器。
§　隧道
    连接中封装数据的部分。
§　VPN 连接
    连接中加密数据的部分。对典型的安全 VPN 连接，数据沿连接的相同部分进行加密和压缩。
§　隧道协议
    用来管理隧道及压缩专用数据的协议。要成为 VPN 连接，隧道传输的数据也必须加密。Windows 2000 包括 PPTP 和 L2TP 信道协议。

§　隧道数据
数据经常在专用点对点的链接间发送。
§　传输互联网络
压缩数据所通过的、共享的或公共的网络。对 Windows 2000，传输互联网络通常是 IP 网络。传输互联网络可以是 Internet 或基于 IP 的专用 intranet。
  如图 13.13显示虚拟专用网络的组成。

13.4.4 VPN 服务器的通用配置
    下面让用户举例说明如何配置VPN服务器。假设要为 Electronic, Inc. 部署 VPN，网络管理员将进行分析并作出相关的设计决定：
§　网络配置
§　远程访问策略配置
§　域配置
§　安全配置

13.4.4.1 网络配置
    网络配置的关键要点是：
    Electronic, Inc. intranet 使用带有 255.240.0.0 子网掩码的 172.16.0.0 和带有 255.255.0.0 子网掩码的 192.168.0.0 的专用网络。企业校园网段使用子网 172.16.0.0 而分支办公室使用子网 192.168.0.0。
    VPN 服务器计算机通过使用 T3（也叫 DS-3）专用 WAN 链接可以直接连接到 Internet。
    Internet 上 WAN 适配器的 IP 地址是 207.46.130.1，由 Electronic, Inc. 公司的 Internet 服务提供商 (ISP)

分配。WAN 适配器的 IP 地址是指 Internet 上域名为 vpn.electronic.nt2000.com。VPN 服务器计算机直接与 intranet 网段连接，此网段包含 RADIUS 服务器、商业伙伴访问的文件和 Web 服务器以及连接到 Electronic, Inc. 公司企业园 intranet 其余部分的路由器。intranet 网络节段的 IP 网络 ID 是 172.31.0.0，子网掩码是 255.255.0.0。 使用 IP 地址静态池配置 VPN 服务器计算机以分配远程访问客户端和呼叫路由器。
    如图13.14显示 Electronic, Inc. VPN 服务器的网络配置。

根据 Electronic, Inc. 的企业校园 intranet 网络配置，VPN 服务器计算机如下配置。
    1. 在 VPN 服务器中安装硬件
    根据适配器制造商的说明，将安装用于连接 intranet 段的网卡和用于连接 Internet 的 WAN 适配器。安装并运行驱动程序后，则适配器将作为本地连接显示在 Network 和 Dial-up Connections 文件夹中。
    2. 配置 LAN 和 WAN 适配器上的 TCP/IP
    对于 LAN 适配器，配置子网掩码为 255.255.0.0 的 IP 地址 172.31.0.1。对 WAN 适配器，配置子网掩码为 255.255.255.255 的 IP 地址 207.46.130.1。对于每个适配器来说，不配置默认网关。DNS 和 WINS 服务器地址也同时被配置。
    3. 安装路由和远程访问服务
    运行"路由选择和远程访问安装"向导。在向导内启用远程访问和 LAN 以及 WAN 路由，所有端口都可以进行路由和远程访问，并且 L2TP 连接需要 IPSec 加密。
    在向导内将配置 IP 地址从 172.31.255.1 到 172.31.255.254 的静态 IP 地址池。这将创建最多 253 个 VPN 客户端的静态地址池。
    4. 启用 EAP 身份验证方法
    如果允许使用基于智能卡的远程访问 VPN 客户和基于证书的呼叫路由器，网络管理员应该启用 VPN 上的"可扩展身份验证协议"。
    5. 配置静态路由以访问 intranet 和 Internet 站点
    要到达 intranet 位置，请用以下设置配置静态路由：

接口：连接到 intranet 的 LAN 适配器
目标： 172.16.0.0
子网掩码： 255.240.0.0
网关： 172.31.0.2
跃点数： 1
    要到达 Internet 位置，请用以下设置配置静态路由：
接口：WAN 适配器与 Internet 连接
目标： 0.0.0.0
子网掩码： 0.0.0.0
网关： 0.0.0.0
跃点数： 1
    注意：因为 WAN 适配器创建了与 ISP 的点对点连接，任何地址都可以输入到网关中。例如网关地址 0.0.0.0。0.0.0.0 是未指定的 IP 地址。
    6. 增加 PPTP 和 L2TP 端口的数目
    默认情况下，只有 5 个 L2TP 端口和 5 个 PPTP 端口可启用 VPN 连接。将 L2TP 和 PPTP 端口数增加到 253。
    7. 在 IPSec 数据包筛选器上配置 PPTP 和 L2TP
    IPSec 数据包筛选器上的 PPTP 和 L2TP 都配置在连接到 Internet 的 WAN 适配器上。

13.4.4.2 远程访问策略配置
    为了从 Windows NT 4.0 环境中轻松过渡过来，Electronic, Inc. 的网络管理员决定采用由用户访问的管理模型。远程访问通过将单个用户帐户的拨入权限设置为"允许访问"或"禁止访问"来控制。远程访问策略被用于应用基于组成员关系的不同的 VPN 连接设置，而名为"如果拨入权限启用就允许访问"的默认远程访问策略将被删除。
    13.4.4.3 域配置
    要利用对不同类型地 VNP 连接应用不同的连接设置的功能，请创建以下 Windows 2000 组：
§　VPN_ 用户
    用于远程访问 VPN 连接
§　VPN_ 路由器
    用于从 Electronic 公司分支机构的路由器-路由器 VPN 连接
§　VPN_ 合作者
    用于从 Electronic 公司业务伙伴的路由器-路由器 VPN 连接
    Electronic, Inc. 拥有一个混合模式的域。
    13.4.4.4 安全性配置
    要启用通过 IPSec 的 L2TP 连接、远程客户使用智能卡以及路由器使用 EAP-TLS，请将 Electronic, Inc. 域配置为自动注册所有域成员的机器证书。返回页首>>>

  相关内容：（本教程出自：www.365edu.com）
第一章、windows2000Server新功能及安装
第二章、windows2000网络客户端的安装和配置
第三章、配置远程安装服务和设置用户配置文件
第四章、windows2000的基本管理
第五章、DNS服务器的配置与管理
第六章、活动目录服务的基本安装和配置
第七章、管理计算机和用户帐号
第八章、文件和打印系统的配置与管理
第九章、数据存储
第十章、安全管理


第十四章 管理Internet 信息服务器

本章内容包括：
1、IIS5.0 的新特性
2、WEB站点和 FTP 站点的配置与管理
3、设置 WEB 和 FTP 属性
4、SMTP 的配置
5、NNTP 的配置

    14.1 IIS5.0 的新特性
    在 Windows 2000 中微软更新了 IIS 的版本，推出了 Internet Information Server 5.0 , 与 IIS4.0 相比 IIS5.0 提供了方便的安装和管理，增强的应用环境，基于标准的发布协议，在性能和扩展性方面有了很大的改进，为客户提供更佳的稳定性和可靠性。

14.1.1 安全性
§　摘要式身份验证：摘要式身份验证允许跨代理服务器和防火墙对用户进行安全和严格的身份验证。另外，还可进行匿名、HTTP 基本以及集成 Windows 身份验证（以前称为 Windows NT 质询/响应身份验证和 NTLM 身份验证）。
§　安全通讯：安全套接字协议层 (SSL) 3.0 和传输协议层安全 (TLS) 提供了一种客户端与服务器之间进行信息交换的安全方式。另外，SSL 3.0 和 TLS 还为服务器提供了一种在用户登录服务器之前对客户端进行验证的方法。在 IIS 5.0中，ISAPI 和 Active Server Pages 都可以访问客户证书，以便编程人员通过其站点跟踪用户。同时，IIS 5.0 还可以将客户证书映射为 Windows 用户帐户，以便管理员可以根据客户证书控制对系统资源的访问。
§　服务器网关加密：服务器网关加密 (SGC) 是 SSL 的扩展，允许使用 IIS 出口版的金融系统采取加密性能更高的 128 位加密。虽然 IIS 5.0 中已内置了 SGC 功能，但使用 SGC 时仍然需要特殊的 SGC 证书。

§　安全向导：安全向导简化了服务器管理任务。
  §　"Web 服务器证书向导"简化了证书管理任务，如创建证书请求以及管理证书生存期。
  §　"权限向导"通过向虚拟目录和文件分配访问策略的方式，从而简化了配置 Web 站点访问的任务。"权限向导"还可以更新 NTFS 文件权限来反映 Web 访问策略。
  §　CTL 向导可帮助用户配置证书信任列表 (CTL)。CTL 是特定目录的可信证书颁发机构列表 (CA)。CTL 对于那些在服务器上有几个 Web 站点、并且要求每个站点拥有不同可信证书颁发机构列表的 Internet 服务提供商 (ISP) 尤其有用。
§　IP 地址及 Internet 域限制：可以授予或拒绝单台计算机、计算机组或者整个域对 Web 的访问。
§　Kerberos 5 身份验证协议相容性：IIS 已完全集成了 Microsoft? Windows 2000 中实现的 Kerberos 5 验证协议，从而允许用户在运行 Windows 的计算机之间传递验证凭据。
§　证书存储：IIS 证书存储目前已与 Windows CryptoAPI 存储集成在一起。Windows Certificate Manager 提供单一入口，允许用户存储、备份和配置服务器证书。
§　Fortezza：IIS 5.0 支持通常称为 Fortezza 的美国政府安全标准。这一标准通过一种加密机制保证消息的安全性、完整性、验证以及对消息、组件和系统的访问控制，从而能满足美国国防部消息系统安全性结构的要求。可以通过服务器和浏览器软件或者 PCMCIA 卡硬件来实现这些功能。

14.1.2 可管理性
§　重新启动 IIS：现在不用重新启动计算机就可以重新启动 Internet 服务。
§　备份和还原 IIS：可以备份和存储 metabase 设置，以便更容易的返回已知的安全状态。
§　进程帐户：提供关于单个 Web 站点如何使用服务器中 CPU 资源的信息。此信息在判断哪些站点正在不成比例地使用 CPU 资源或者具有不正常的脚本和 CGI 进程时非常有用。
§　进程限制：可以限制 CPU 在处理单个 Web 站点的进程外 ASP、ISAPI 以及 CGI 应用程序的时间百分比。另外，还可以终止和重新启动运行失常的进程。
§　改进的自定义错误消息：当 Web 站点出现 HTTP 错误时，目前管理员可以向用户发送消息。同时，通过使用 500-100.asp 自定义错误消息，还可以包含详细的 ASP 错误进程功能。可以使用 IIS 5.0 提供的自定义错误，也可创建自己的错误。
§　配置选项： 可以在站点、目录或文件级别设置"读取"、"写入"、"执行"、"脚本"以及 FrontPage Web 操作的权限。

§　远程管理：IIS 5.0 已经包含一些基于 Web 的管理工具，可以从任何平台的几乎所有浏览器上远程管理用户的服务器。利用 IIS 5.0，可以设置称为操作员的管理帐户，使之具备一定的 Web 站点管理权限，帮助分担一部分管理任务。
§　终端服务：终端服务属于 Windows 2000 的一种功能，允许用户在终端以及在个人计算机和其它计算机桌面上运行的终端模拟程序上运行 32 位的 Windows 应用程序。终端服务事实上允许任何桌面运行服务器上的应用程序。这样，用户就可以远程管理 IIS 等 Windows 2000 服务，包括从旧的 PC、甚至从非 PC 设备（如安装了兼容客户软件的 UNIX 工作站 - 非 Windows 客户端设备要求第三方组件软件）进行管理，好象用户就在服务器控制台前一样。
§　集中管理：IIS 使用 Microsoft Management Console (MMC) 时的管理工具。MMC 支持管理员用于管理服务器的程序，称为管理单元。可以从运行 Windows 2000 Professional 的计算机上使用 IIS 管理单元，管理在 Windows 2000 Server 上运行 Internet 信息服务的 Intranet 上的计算机。

14.1.3 可编程性
§　Active Server Pages：可以使用服务器端的脚本和组件创建动态内容，从而创建与浏览器无关的动态内容。
§　新的 ASP 功能：Active Server Pages 新增和改进了一些功能，这样有助于改善性能以及简化服务器端的脚本。
§　应用程序保护：IIS 5.0 为 Web 应用程序提供更大的保护以及更强的可靠性。默认情况下，IIS 在公共或"共用"进程（即与核心 IIS 进程隔离的进程）中运行应用程序。而且还可以隔离执行关键任务的应用程序，这些程序应该在核心 IIS 以及共用进程之外运行。
§　ADSI 2.0：在 IIS 5.0 中，管理员和应用程序开发者可以向现有的 ADSI 提供者添加自定义对象、属性和方法，从而进一步增大了管理员配置站点的灵活性。

    14.1.4 ASP的新功能
§　各种标准的基础：Microsoft Internet 信息服务 5.0 版符合 HTTP 1.1 标准，包括 PUT 和 DELETE 等功能以及自定义 HTTP 错误消息的能力，并支持自定义的 HTTP 头。
§　多个站点，一个 IP 地址：由于支持主机头，因此，可以用一个 IP 地址在运行 Microsoft Windows 2000 Server 的单台计算机上维护多个 Web 站点。这对于 Internet 服务提供商以及维护多个站点的公司 Intranet 非常有用。
§　Web 分布式创作与版本管理 (WebDAV) ：允许远程作者通过 HTTP 连接创建、移动或删除服务器上的文件、文件属性、目录和目录属性。
§　新闻和邮件：可以使用 SMTP 服务以及 NNTP 服务设置与 IIS 一同工作的 Intranet 邮件和新闻服务。
§　PICS 分级：可以将 Platform for Internet Content Selection (PICS) 分级应用于内容仅适合于成人的站点。
§　FTP 重新启动：如果在数据传输中出现中断，现在可以恢复"文件传输协议"文件下载，而不必再次下载整个文件。
§　HTTP 压缩：可以更快地在 Web 服务器与启用了压缩的客户之间进行页面传输。压缩和缓存静态文件并对动态生成的文件按需进行压缩。

返回页首>>>

    14.2 WEB站点和FTP站点的配置与管理
    14.2.1 安装 IIS
    步骤1 单击"开始"，指向"设置"，单击"控制面板"，然后启动"添加/删除程序"应用程序。
    步骤2 选择"配置 Windows"，单击"组件"按钮，然后按照屏幕提示安装、删除或添加 IIS 组件，安装完毕后 如图 14.1。
    注意 ：如果升级到 Windows 2000，那么只有在以前版本的 Windows 中安装了 IIS，IIS 5.0 才被默认安装。

14.2.2 WEB站点和FTP站点的介绍
    Web 和 FTP 站点
    无论是在 Intranet 还是在 Internet 上，都可以按三种方式在运行 Windows 2000 的单个计算机上创建多个 Web 和 FTP 站点：
§　将端口号附加到 IP 地址。
§　使用多个 IP 地址，每个都有自己的网络适配卡。
§　通过使用主机头名将多个域名和 IP 地址指派给一个网络适配卡。
    以下示例说明了 Intranet 方案如图 14.2，此处系统管理员已将 Windows 2000 Server 和 IIS 一并安装在公司服务器上，这将导致产生一个默认的 Web 站点，即 http://CompanyServer。然后系统管理员将创建两个"额外的"Web 站点，分别对应于两个部门：市场部和人力资源部。

虽然位于同一计算机上，但"CompanyServer"、"市场部"和"人力资源部"看起来都象是唯一的 Web 站点。这些部门站点具有相同的安全选项，就好象它们存在于独立的计算机上那样，这是因为每个站点均有其自己的访问和管理权限设置。此外，管理任务可以分配给每个部门的成员。关于维护多个站点的详细信息，请参阅"关于名称解析"中的将主机头名、地址和端口分配给 Web 站点。
当创建大量站点时，请一定考虑硬件的限制并根据需要进行升级。
    站点的属性和属性继承
    属性是可以在 Web 站点上设置的值。例如，可以使用 Internet 信息服务管理单元将指派到默认 Web 站点的 TCP 端口号从默认值 80 更改为另一个号。在属性页中显示站点属性并将其存储在称为"metabase"的数据库中。
    在 IIS 的安装过程中，将默认值指派给属性页中的各种属性。可以在 IIS 中使用默认设置，也可以自定义这些设置以适应自己 Web 发布的需要。通过调整默认设置，可以提供附加值、更好的性能以及更高的安全性。
    可以在站点级、目录级或文件级设置属性。将自动使用高级别（如站点级）设置，或由低级别（如目录级）设置"继承"但仍可以在低级别单独编辑。一旦在单独站点、目录或文件中更改了属性，日后对主默认值的更改将不会自动覆盖单独设置。相反，用户将接收到询问是否要更改单独站点、目录或文件以使其与新默认值匹配的警告信息。

    某些属性具有采用列表形式的值。例如，当用户未在 URL 中指定文件时，默认文档值可以是要加载的文档列表。自定义错误消息、TCP/IP 访问控制、脚本映射和 MIME 映射是以列表格式存储的属性的其他实例。虽然这些列表有很多项，但 IIS 仍将整个列表作为一个单个属性来处理。如果在目录中编辑列表并在站点级进行了全局更改，则目录级的列表将被来自站点级的新列表所替换；列表不会合并。同样，具有列表值的属性只在主级别或默认值已更改的站点或目录显示其列表。如果列表值是继承的默认值，则将不显示。
    筛选器以列表格式显示，但不作为列表处理。如果在站点级添加筛选器，则新筛选器将与主级别的筛选器列表合并。如果两个筛选器具有相同的优先级设置，则主级别的筛选器将在站点级筛选器之前进行加载。
    如果需要修改默认属性并且正在创建几个 Web 或 FTP 站点，则可以编辑默认值以便所创建的每个站点都将继承自定义值。有关更改所有 Web 或 FTP 站点默认值的详细信息，请参阅更改继承的默认值。
    如图 14.3说明了用于设置所有 Web 站点属性的属性页。

Web 站点操作员
    Web 站点操作员是一组在单独 Web 站点上具有有限管理特权的特殊用户。操作员可以管理只影响其各自站点的属性。他们无权访问影响 IIS、维护 IIS 的 Windows 服务器计算机或网络的属性。
例如，托管大量不同公司站点的 ISP 可以将每个公司的代表指派为每个单独公司 Web 站点的操作员。这种分布式服务器管理方法具有以下优点：
§　每个操作员可以作为站点管理员并根据需要更改或重新配置 Web 站点。例如，操作员可以设置 Web 站点访问权限，启用记录，更改默认文档或页脚， 设置内容截止日期和启用内容分级特性。
§　不允许 Web 站点操作员更改 Web 站点的标识、配置匿名用户名或密码、限制带宽、创建虚拟目录或更改其路径或更改应用程序隔离。
§　由于操作员较 Web 站点管理员具有更多受限制的特权，故他们无法远程浏览文件系统，因此也就不能设置目录和文件中的属性，除非使用 UNC 路径。
    远程管理站点
    由于不是总可以方便地在运行 IIS 的计算机上执行管理任务，因此可使用两个远程管理选项。如果通过 Internet 或代理服务器与用户的服务器连接，就可以使用基于浏览器的 Internet 服务管理器 (HTML) 更改站点上的属性。如果处于"Intranet"上，就可以使用 Internet 服务管理器 (HTML) 或宿于 Microsoft 管理控制台 (MMC)上的 Internet 信息服务管理单元。 虽然 Internet 服务管理器 (HTML) 提供很多与管理单元相同的特性，但却不能使用 Internet 服务管理器 (HTML) 对要求与 Windows 实用程序（如证书映射）协调的属性进行更改。

注意： 在以前的版本中，Internet 信息服务管理单元称为 Internet 服务管理器。
    Internet 服务管理器 (HTML) 使用作为管理 Web 站点列出的 Web 站点访问 IIS 属性。但安装了 IIS 后，将随机选择一个介于 2,000 和 9,999 之间的端口号并将其指派给该 Web 站点。只要端口号附加到地址，站点将对安装在计算机上的所有域名的 Web 浏览器请求作出响应。如果使用基本验证，则将在到达站点时要求管理员提供用户名和密码。只有 Windows Administrators 组成员才可以使用该站点。Web 站点操作员还可以远程管理 Web 站点。有关如何使用 Internet 服务管理器 (HTML) 或 Internet 信息服务管理单元的详细信息，请参阅远程管理。
    注意：虽然 Internet 服务管理器的 HTML 版本与其管理单元版本具有很多相同的功能，HTML 版本是沿着 Web 页的线路设计的。不支持鼠标右键单击。很多熟悉的工具栏按钮或选项卡头将作为链接显示在左边的窗格中。由于这些差异，文档中的指示不可能总是准确地描述 Internet 服务管理器 (HTML) 中执行的步骤。
    当执行远程管理任务时，联机文档同样有效。要访问该文档，请启动浏览器并键入 http://servername/iishelp/iis/misc/default.asp，其中，servername 代表运行 IIS 的计算机的名称。
    可使用网络连接上（如LAN、PPTP 或拨号）的 Microsoft 终端服务远程管理 IIS。终端服务不要求在远程计算机上安装 Microsoft 管理控制台 (MMC) 或 IIS 管理单元。默认情况下，终端服务文档安装在 C:\Winnt\Help\TermSrv.chm 和 C:\Winnt\Help\TermCli.chm 下。

FTP 重新启动
    FTP 重新启动说明下载文件时出现断开网络连接的问题。支持 FTP 重新启动的客户端只需使用 REST 命令重新建立其 FTP 连接，文件传输便能自动找到断点。
    注意：当使用 FTP 来下载通配符请求 (MGET)、将文件上载到服务器 (PUT) 或下载大于 4G 字节的文件时，将不启用 IIS 5.0 的 FTP 重新启动执行。
    MIME 映射
    多用途网际邮件扩充协议 (MIME) 是一个 Internet 标准，它给 Web 浏览器提供查阅多格式文件的方法。把在 Windows 2000 上默认安装的注册文件类型列于 Internet 信息服务属性页的"文件类型"对话框中。
    可以在计算机、Web 站点、虚拟目录、目录或文件级别配置 MIME 映射。要在计算机级别配置 MIME 映射，请使用 Internet 信息服务属性页。要在其他级别配置 MIME 映射，请使用 HTTP 头属性页。
    注意： 在计算机级配置的 MIME 映射不会自动覆盖在低级别设置的映射。

14.2.3 建立 WEB 和 FTP 站点
    14.2.3.1 在 Web 站点上发布内容
    步骤1 为 Web 站点创建主页。
    步骤2 将主页文件命名为 Default.htm 或 Default.asp。
    步骤3 将主页复制到 IIS 的默认 或指定的Web 发布目录中。默认 Web 发布目录也称为主目录，安装程序提供的位置是 \Inetpub\Wwwroot。
    步骤4 在 Internet 信息服务管理单元中选择计算机或站点，然后单击"动作"按钮。
    步骤5 单击"新建"，然后单击"Web 站点"启动站点向导 如图 14.4。

    步骤6 首先输入 Web 新站点的标识信息，然后单击"下一步"，在此输入 Web 站点的 IP 地址和 TCP 端口地址。如果通过主机头文件将其他站点添加到单一 IP 地址，必须指定主机头文件名称，
    如图 14.5。

    然后单击"下一步"输入站点的主目录路径。
    如图 14.6。

步骤7 单击"下一步"选择 Web 站点的访问权限 如图 14.7，单击"下一步"完成设置。
    步骤8 如果网络具有名称解析系统（通常为 DNS），那么访问者可以简单地在其浏览器地址栏中键入计算机名到达站点。如果网络没有名称解析系统，那么访问者必须键入计算机的数字 IP 地址。
    注意： 在站点向导中，"全部未指定"表示指派给计算机但并未指派给特定站点的 IP 地址。默认的 Web 站点使用尚未指派给其他站点的所有 IP 地址。只能设置一个站点使用未指派的 IP 地址。如果允许匿名用户访问则需要选中"允许匿名用户访问 Web 站点"附选项。

14.2.4 在 FTP 站点上发布内容
    步骤1 将文件复制或移动到默认的 FTP 发布目录。安装程序提供的默认目录是 \Inetpub\Ftproot。
    步骤2 在 Internet 信息服务管理单元中选择计算机或站点，然后单击"动作"按钮。
    步骤3 单击"新建"，然后单击 "FTP 站点"启动站点向导类似图 14.4。
    步骤4 首先输入 FTP 新站点的标识信息，然后单击"下一步"，在此输入 FTP 站点的 IP 地址和 TCP 端

口地址。，类似图 14.5。然后单击"下一步"输入FTP站点的主目录路径，类似图 14.6。
    步骤5 单击"下一步"选择 FTP 站点的访问权限类似图 14.7，单击"下一步"完成设置。
    步骤6 如果网络具有名称解析系统（通常为DNS），那么访问者可以在其浏览器地址栏中键入后面跟有计算机名的 ftp:// 到达站点。如果没有，那么访问者必须键入 ftp:// 和计算机的数字 IP 地址。
    在 Web 和 FTP 站点建立完毕后，它们自动开始运行，如图 14.8。

14.2.5 启动和停止站点
    默认情况下，站点将在计算机重新启动时自动启动。停止站点将停止 Internet 服务，并从计算机内存中卸载 Internet 服务。暂停站点将禁止 Internet 服务接受新的连接，但不影响正在进行处理的请求。启动站点将重新启动或恢复 Internet 服务。
    步骤1 在 Internet 信息服务管理单元中，选择要开始、停止或暂停的站点。
    步骤2 单击工具栏中的"开始"、"停止"或"暂停"按钮。
    注意：如果站点意外停止，Internet 信息服务管理单元将无法正确显示服务器的状态。重新启动之前，请单击"停止"，而后单击"开始"重新启动站点。

14.2.6 重新启动 IIS
    在 IIS 5.0 中，可以停止并重新启动所有 IIS 管理单元中的 Internet 服务，这使得在应用程序运行不正常或变得不可用时无需重新启动计算机。
    步骤1 在 Internet 信息服务管理单元中，选择内容窗格中的"计算机"图标，然后单击"动作"按钮。
    步骤2 单击"动作"按钮并选择"重新启动 IIS"。
    步骤3 从下拉菜单中，选择"重新启动 Internet 服务"、"停止 Internet 服务"、"启动 Internet 服务"或"重新启动 计算机名称"。
注意
§　重新启动 Internet 服务必须使用上述方法，而不用 Windows 2000 服务管理单元。由于多个 Internet 服务在一个进程中运行，因此 Internet 服务的关闭和重新启动与其他 Windows 服务有所不同。为了按计划重启，或与第三方或自定义工具集成，这里提供了命令行方式的 IIS 管理单元 重新启动功能：Iisreset.exe。请参阅以下命令行用法和参数。
§　重新启动将停止所有的 Drwtsn32.exe、Mtx.exe 和 Dllhost.exe 进程，目的是重新启动 Internet 服务。 无法使用基于浏览器的 Internet 服务管理器 (HTML) 来重新启动 IIS。返回页首>>>

    14.3 设置 WEB 和 FTP 属性
    14.3.1 Web 站点属性
    14.3.1.1 Web 站点属性页
    如图 14.9 在 Web 站点的主属性页用于设置 Web 站点的标识参数、连接、启用日志纪录。

    1. Web站点标识
    单击"高级"按钮配置 IP 地址、TCP 端口号和主机头名称。
    IP 地址
    对于要在该框中显示的地址，必须已经在"控制面板"中定义为在该计算机上使用。详细信息，请参阅 Windows 文档。如果不指定特定的 IP 地址，该站点将响应所有指定到该计算机并且没有指定到其他站点的 IP 地址，这将使该站点成为默认 Web 站点。
    TCP 端口
    确定正在运行服务的端口。默认情况下为端口 80。可以将该端口更改为任意唯一的 TCP 端口号，但是，客户必须事先知道请求该端口号，否则其请求将无法连接到用户的服务器。端口号是必需的，而且该文本框不能置空，详细信息，请参阅命名 Web 站点。
    SSL 端口
    要指定安全套接字层 (SSL) 加密使用的端口，请在该框中键入端口号。可以将该端口号更改为任意唯一的端口号，但是，客户必须事先知道请求该端口号，否则其请求将无法连接到用户的服务器。必须有 SSL 端口号，该文本框不能置空，详细信息，请参阅加密。

    2. 连接
    无限
    选择该选项允许同时发生的连接数不受限制。
    限制到
    选择该选项限制同时连接到该站点的连接数。
    在该对话框中，键入允许连接的最大数目。
    连接超时
    设置服务器断开未活动用户的时间（以秒为单位）。这将确保 HTTP 协议在关闭连接失败时可关闭所有连接。
    启用保持 HTTP 激活
    允许客户保持与服务器的开放连接，而不是使用新请求逐个重新打开客户连接。禁用保持 HTTP 激活会降低服务器性能。默认情况下启用保持 HTTP 激活。详细信息，请参阅启用保持 HTTP 激活。

    3. 启用日志记录
    选择该选项将启用 Web 站点的日志记录功能，该功能可记录用户活动的细节并以用户选择的格式创建日志。启用日志记录后，请在"活动日志格式"列表中选择格式。
    活动日志格式：
    Microsoft IIS 日志格式 固定 ASCII 格式。
    ODBC 日志（仅在 Windows 2000 Server 中提供）
    记录到数据库的固定格式。
    W3C 扩充日志文件格式 可自定义的 ASCII 格式，默认情况下选择该格式。必须选择该格式才能使用"进程帐号"。
    要配置日志文件创建选项（如每周，或按文件大小），或者配置 W3C 扩充日志记录或 ODBC 日志记录的属性，请单击"属性"。

14.3.1.2 Web 站点操作员
    使用该属性表可指定拥有该站点操作员权限的 Windows用户帐户。
    添加
    要将用户帐户添加到操作员列表中，请单击"添加"。
    删除
    要删除目前选择的用户帐户，请单击"删除"。要选择多个帐户，请在选择单个帐户时按住 CTRL 键，或者选择一系列帐户时按住 SHIFT 键。

14.3.1.3 性能属性页
    使用该属性页如图 14.10设置影响内存和带宽使用的属性。
    性能调整
    将该设置调整为期望站点每日连接的数目。如果该数目设置得略小于实际连接数，则连接速度会更快并且服务器性能也将提高。如果该数目设置得远远大于实际连接数，则将浪费服务器内存并降低服务器的整体性能。
    启用带宽限制
    选择该选项以限制 Web 站点使用的带宽。仅对该 Web 站点而言，此处键入的带宽值将覆盖在计算机级设置的值，尽管该值大于计算机级设置的值。
    启用进程限制
    选择该选项以限制该 Web 站点可用于处理应用程序之外的 CPU 处理时间的百分比。如果选择了该框但未选择"强制性限制"，则唯一的后果将是在超过指定限制时把事件写入事件记录中。

14.3.1.4 ISAPI 过滤器属性页
    使用该属性页设置 ISAPI 过滤器的选项。ISAPI filter 是在处理 HTTP 请求过程中响应事件的一个程序。
    要添加 ISAPI 过滤器，请单击"添加"按钮。
    要删除 ISAPI 过滤器，请选择它并单击"删除"按钮。
    要更改 ISAPI 过滤器的属性，请选择它并单击"编辑"按钮。
    要启用 ISAPI 过滤器，请选择它并单击"启用"按钮。
    要禁用 ISAPI 过滤器，请选择它并单击"禁用"按钮。
    要更改 ISAPI 过滤器的执行顺序，请选择它并单击向上或向下箭头。只能更改具有相同优先级的过滤器的装载顺序。

    14.3.1.5 主目录属性页
    使用该属性页如图14.11可以更改 Web 服务器主目录的位置（默认为 /Wwwroot）
    1.此计算机上的目录或另一计算机上的共享位置
    脚本资源访问
    若要允许用户访问已经设置了"读取"或"写入"权限的资源代码，请选中该选项。资源代码包括 ASP 应用程序中的脚本。详细信息，请参阅设置 Web 服务器权限。
    读取
    若要允许用户读取或下载文件（目录）及其相关属性，请选中该选项。
    写入
    若要允许用户将文件及其相关属性上载到服务器上已启用的目录，或者更改可写文件的内容，请选中该选项。"写入"操作只能在支持 HTTP 1.1 协议标准的 PUT 功能的浏览器中进行。

目录浏览
    若要允许用户查看该虚拟目录中文件和子目录的超文本列表，请选中该选项。虚拟目录不会显示在目录列表中，用户必须知道虚拟目录的别名。
    注意：如果用户试图访问文件或目录并且满足以下两个条件，Web 服务器将在用户 Web 浏览器中显示"禁止访问"错误消息。
    禁用目录浏览。
    用户未指定文件名，如 Filename.htm。
    日志访问
    若要在日志文件中记录对该目录的访问，请选中该选项。只有启用了该 Web 站点的日志才会记录访问。详细信息，请参阅记录站点活动。
    索引此资源
    若允许 Microsoft Indexing Service 将该目录包含在 Web
    站点的全文本索引中，请选中该选项。

应用程序设置
    基于 Web 的 IIS 应用程序由其所在的目录结构定义。详细信息，请参阅关于应用程序。若要创建应用程序，请参阅创建应用程序。
    执行许可
    此项权限可以决定对该站点或虚拟目录资源进行何种级别的程序执行。详细信息，请参阅设置 Web 权限。
    无只允许访问静态文件，如 HTML 或图像文件。
    纯脚本只允许运行脚本，如 ASP 脚本。
    脚本和可执行程序 可以访问或执行各种文件类型。
    应用程序保护
    选择运行应用程序的保护方式：与 Web 服务在同一进程中运行（低）、与其他应用程序在独立的共用进程中运行（中）、或者在与其他进程不同的独立进程中运行（高）。

2. 重定向到 URL
    选中"重定向到 URL"后将出现这些属性。
    客户将被送到
    上面输入的准确 URL
    将虚拟目录重定向到目标 URL，但不会添加原始 URL
    的任何其他部分。使用该选项可以将整个虚拟目录重定向到一个文件。例如，若要将对"/scripts"虚拟目录的所有请求都重定向到主目录中的文件 Default.htm，请在"重定向到"文本框中键入"/Default.htm，然后选中该选项。
    在这之下的目录
    将父目录重定向到子目录。例如，若要将主目录（由 /
    指定）重定向到子目录"/newhome"，请在"重定向到"文本框中键入"/newhome"，然后选中该选项。如果不选中该选项，Web 服务器会继续将父目录映射为其自身。
    此资源的永久重定向
    将以下消息发送到客户："301 永久重定向"。重定向被认为是临时的，而且客户浏览器收到以下消息："302
临时重定向"。某些浏览器会将"301 永久重定向"消息作为信号来永久地更改 URL，如书签。
    重定向变量
    使用重定向变量可以传递部分原始 URL 到目标 URL。详细信息，请参阅重定向引用。
    重定向通配符
    使用重定向通配符可以匹配原始 URL 中任意数量的字符。

14.3.1.6 文档属性页
    使用该属性页定义站点的默认 Web 页和将页脚附加到站点的文档中。
    启用默认文档
§　要在浏览器请求指定文档名的任何时候提供一默认文档，请选择该复选框。默认文档可以是目录的主页或包含站点文档目录列表的索引页。
§　要添加一个新的默认文档，请单击"添加"。可以使用该特性指定多个默认文档。按出现在列表中的名称顺序提供默认文档。服务器将返回所找到的第一个文档。
§　要更改搜索顺序，请选择一个文档并单击箭头按钮。
§　要从列表中删除默认文档，请单击"删除"。
    启用文档页脚
    要自动将一个 HTML 格式的页脚附加到 Web 服务器所发送的每个文档中，请选择该选项。
    页脚文件不应是一个完整的 HTML 文档。而应该只包括需用于格式化页脚内容外观和功能的 HTML 标签。
    要指定页脚文件的完整路径和文件名，请单击"浏览"。

14.3.1.7 目录/文件安全属性表
    使用该属性表如图 14.12设置 Web 服务器的安全特性。
    匿名访问和验证控制
    要配置 Web 服务器的验证和匿名访问功能，请单击"编辑"。使用该功能可配置 Web 服务器在授权访问受限制内容之前确认用户的身份。
    但是，首先必须创建有效的 Windows 用户帐户然后配置这些帐户的 Windows 文件系统 (NTFS) 目录和文件访问权限后，服务器才能验证用户的身份。详细信息，请参阅关于验证。
    IP 地址及域名限制
    （该功能仅在安装有 Windows 2000 Server 的设备中可用。）
    要允许或阻止特定用户、计算机、计算机组或域访问该 Web 站点、目录或文件，请单击"编辑"。详细信息，请参阅关于访问控制。

14-012.gif (14896 字节)

安全通信
    要使用新证书向导创建服务器证书请求，请单击"服务器证书"。安装有效服务器证书后才能使用 Web 服务器的安全通信功能。详细信息，请参阅证书。
    要配置 Web 服务器的安全套接字层 (SSL) 安全通信功能，请单击"编辑"。可以执行以下操作：
§　要求用户建立安全（加密）链接以便连接到用户的目录或文件。
§　配置 Web 服务器的客户证书映射和验证功能。
§　创建和配置证书信任列表 (CTL)。
    启用 Windows 目录服务匹配器
    （该选项只在主属性级并且服务器是 Windows 2000 域的成员时才可用。）
要使用目录服务 (DS) 客户证书映射而不是一对一或多对一映射，请选择该选项。有关客户证书映射的详细信息，请参阅将客户证书映射到用户帐户。

14.3.1.8 HTTP 头属性页
    使用 HTTP 头属性页 如图 14.13以设置返回到浏览器 HTML 页头部中的值。
    启动内容失效
    选择该复选框以包括失效信息。在对时间敏感的资料中包括日期，诸如专门报价或事件公告。浏览器将当前日期与失效日期进行比较，以便确定是显示高速缓存页还是从服务器请求一更新过的页面。

    自定义 HTTP 头
    使用该属性将自定义 HTTP 头从 Web 服务器发送到客户浏览器。自定义 HTTP 头可用来发送当前 HTML 规范中尚不支持的指令，诸如产品发布时 IIS 尚不支持的更新的 HTML 标签。例如，可以使用自定义 HTTP 头允许客户浏览器高速缓存页但却防止代理服务器高速缓存该页。
    要使 Web 服务器发送自定义 HTTP 头，请单击"添加"，然后在"添加自定义 HTTP 头"对话框中键入头的名称和值。
    要编辑现存的自定义 HTTP 头，请选择自定义 HTTP 头并单击"编辑"。
    要终止发送自定义 HTTP 头，请选择自定义 HTTP 头并单击"删除"。
    内容分级
    使用内容分级在 Web 页的 HTTP 头中嵌入描述性标签。诸如 Microsoft Internet Explorer 3.0 版本或更高版本的浏览器将检测内容分级以帮助用户识别可能有异议的 Web 内容。
    要为 Web 站点、目录或文件设置内容分级，请单击"编辑分级"。

    MIME 映射
    选择"文件类型"按钮配置多用途网际邮件扩充 (MIME) 映射。
    这些映射设置各种 Web 服务返回到浏览器的文件类型。将在"文件类型"对话框中列出以默认方式安装在 Windows 中的注册文件类型。在"文件类型详细信息"框中将列出所选文件类型的文件类型扩展名和 MIME 映射。
    要配置其他 MIME 映射，请单击"文件类型"对话框中的"新类型"按钮。
    1. 在"文件类型"对话框中，键入与"关联扩展名"框中相关联的扩展名。
    2. 在"内容类型 (MIME)"框中，以"mime 类型/文件扩展名"形式输入后面跟有文件名扩展名的 MIME 类型。

    要删除 MIME 映射，请在"已注册的文件的类型"框中选择文件类型并单击"删除"。

    要编辑现存的 MIME 映射，请在"已注册的文件类型"框中选择文件类型，而后单击"编辑"按钮并按要求修改"关联扩展名"和"内容类型 (MIME)"框中的内容。

    如果在主属性页中设置计算机的 MIME 映射，则计算机中的 Web 站点和目录将使用相同的映射。可以修改 Web 站点或目录的 MIME 映射，然而，如果又重新应用主属性，主属性将完全取代 Web 站点或目录已修改的属性。也就是说，属性未得到合并。

14.3.1.9 自定义错误信息属性页
    当 Web 服务器出现错误时，使用"自定义错误信息"属性页自定义发送给客户的 HTTP 错误。管理员可使用 IIS 提供的常规 HTTP 1.1 错误或详细自定义错误文件，或创建自己的自定义错误文件。
    要更改自定义错误信息的属性，请单击"编辑属性"按钮。如果输出类型是 URL，则该 URL 必须存在于本地服务器上。
    要配置自定义错误以便使用默认 HTTP 1.1 错误返回，请单击"设为默认值"按钮。要选择多个自定义错误，请在选择时按住 CTRL 键。

    14.3.1.10 FrontPage 服务器扩展
    主要由三个程序组成，分别固定执行管理、创建和查看等有用的任务。

    14.3.2 FTP 站点属性
    14.3.2.1 FTP 站点属性页
    使用此属性页如图 14.14 设置服务器的标识参数。服务器名称、域名以及 IP 地址是可选的。
    标识说明
    可以随意选取服务器的名称。此名称主要用来标识个人和组织身份。
    IP 地址
    对于显示在此框中的地址，必须先在"控制面板"中定义为可使用。详细信息，请参阅 Windows 文档。
    TCP 端口
    确定运行服务所在的端口。
    默认值是端口 21。可以将此端口更改为任意的唯一 TCP 端口号。但是，客户在请求端口号之前，必须知道这个端口号，否则，请求将无法连接到服务器。

    连接无限
    同时连接到服务器的连接数不受限制。
    限制到
    设置允许同时连接到服务器的最大连接数。
    连接超时
    设置服务器断开不活动用户前的时间。如果 HTTP 协议关闭连接失败，此选项可确保关闭所有连接。
    启用日志记录
    选择此复选框以启用 FTP 站点日志记录，它可以记录有关用户活动的详细资料，并可以创建多种格式的日志文件。启用日志之后，请在"活动的日志格式"列表中选择一种格式。格式如下所示：
§　Microsoft IIS 日志格式： 固定的 ASCII 格式。
§　W3C 扩充日志文件格式： 自定义的 ASCII 格式，默认情况下选择此格式。
§　ODBC 记录：（仅用于 Windows 2000 Server） 记录到数据库的固定格式。
    要配置创建日志文件的选项（例如，每周或按文件大小），或配置 W3C 扩充日志或 ODBC 日志的属性，请单击"属性"。
    当前会话
    单击该按钮以查看目前连接到站点的用户列表。Internet 服务管理器 (HTML) 中不提供该功能。

14.3.2.2 安全帐号属性页
    使用此属性页来控制可使用服务器的用户，并指定用于登录到计算机的匿名客户请求的帐号。
    允许匿名连接
    选择此选项以允许使用"匿名"用户名的用户登录到 FTP 服务器。详细信息，请参阅关于验证。
    用户名
    键入在匿名连接时使用的用户名。
    要查找特定 Windows 用户帐号，请单击"浏览"。
    密码
    键入匿名连接帐号使用的密码。如果选中了"允许 IIS 控制密码"选项，密码将不能更改。
    只允许匿名连接
    只允许匿名连接。选中此复选框之后，用户就不能使用用户名和密码登录。此选项可避免具有管理权限的帐号访问，而仅允许指定为匿名的帐号访问。
    允许 IIS 控制密码
    选择此选项，可以使 FPT 站点能够自动将匿名密码设置与 Windows 中的设置相同。

FTP 站点操作员
    FTP 站点操作员是一组特殊的用户，他们在各自的 FTP 站点具有有限的权限。操作员可以管理只影响自己站点的属性。操作员不能访问涉及 IIS、Windows 服务器计算机宿主 IIS 或网络的属性。详细信息，请参阅关于 Web 和 FTP 站点。
    添加
    要向操作员列表中添加用户帐号，请单击"添加"。
    删除
    要删除当前选定的用户帐号，请单击"删除"。如果想同时选定多个帐号，可以在选择每一帐号的同时按住 CTRL 键，也可以按住 SHIFT 键同时选择一个范围的帐号。

14.3.2.3 消息属性页
    使用该属性页创建自己的消息，当用户访问用户的站点时会将这些消息显示给用户。
    欢迎
    首次连接到 FTP 服务器时，将显示此文本。默认情况下此消息为空。
    退出
    客户从 FTP 服务器注销时，将显示此文本。默认情况下此消息为空。
    最大连接数
    当 FTP 服务的连接数已达到所允许的最大值时，如果客户仍试图进行连接，则显示此文本。默认情况下此消息为空。

14.3.2.4 FTP主目录属性页
    使用此属性页更改 FTP 站点的主目录或修改其属性。主目录是 FTP 站点中用于已发布文件的中心位置。在安装 FTP 服务时，会创建了一个名为 \Ftproot 的默认主目录。可以将主目录的位置更改为下列某位置：
§　此计算机上的目录。
§　另一计算机上的共享位置。出现提示时，请键入访问那台计算机所需的用户名和密码。如果要更改用户名和密码，请单击"连接为"。
    FTP 站点目录
    在此文本框中键入目录路径或目标 URL。语法必须与所选的路径类型相匹配：
    对于本地目录，请使用完整路径；如 C:\Catalog\Shoes。也可以单击"浏览"按钮选择本地路径而不用键入路径。
    对于网络共享目录，使用 Universal Naming Convention (UNC) 服务器和共享名；如 \\Webserver\Htmlfiles。
    浏览
    通过单击"浏览"选择本地的目录而不用在"路径"文本框中键入路径。

读取
    选择此选项，允许用户阅读或下载存储在主目录或虚拟目录中的文件。
    写入
    允许用户向服务器中已启用的目录上载文件。仅对那些可能接收用户文件的目录选择该选项。
    日志访问
    如果需要将对目录的访问活动记录在日志文件中，请选中该复选框。只有对此 FTP 站点启用了日志记录，才能记录访问活动。默认情况下日志是被启用的。要关闭日志，请选择该 FTP 站点，打开其属性页，单击"FTP 站点"选项卡，然后清除"启用日志"复选框。
    目录列表风格
    MS-DOS :默认情况下 MS-DOS 目录列表风格以 2 位数格式显示年份。也可以更改这种显示年份的设置，方式是启用 FtpDirBrowseShowLongDate。
    UNIX :UNIX目录列表风格在文件日期与 FTP 服务器的年份有区别时以 4 位数格式显示年份。如果文件日期与 FTP 服务器相同，则不会返回年份。

14.3.2.5 目录安全性属性页
    使用此属性页设置特定 IP 地址的访问权限，来阻止某些个人或群组访问服务器。
    TCP/IP 访问限制
    通过指定允许或禁止访问的 IP 地址、子网掩码、一台或多台计算机的域名，就可以控制对 FTP 资源（如站点、虚拟目录或文件）的访问。
    授权访问
    要列出被拒绝访问的计算机，请选择该选项。
    拒绝访问
    要列出允许访问的计算机，请选择该选项。
    添加
    要添加拒绝访问的计算机，请选择"授权访问"按钮，然后单击"添加"。相反，要添加允许访问的计算机，请选择"拒绝访问"按钮，然后单击"添加"。
    注意: 通过代理服务器访问用户服务器的计算机将显示代理服务器的 IP 地址。返回页首>>>

14.4. SMTP 的配置
    SMTP 简单邮件传输协议，由于在 LAN 或 Internet 上传送邮件。下面以为 nt2000.com 域建立 SMTP 虚拟服务器为例，说明如何配置 SMTP 服务器。
    步骤1 在 Internet 信息服务管理器中选择需要建立虚拟服务器的域控制器，单击"操作"，然后选择"新建"，选择 "SMTP 虚拟服务器"，启动配置向导
    步骤2 输入虚拟 SMTP 服务器的描述，如图 14.15

    步骤3 选择服务器的 IP 地址
    步骤4 为虚拟服务器选择主目录 如图 14.16，默认目录为 \Inetpub\mailroot

    步骤5 输入虚拟服务器的默认域 如图 14.17，单击"完成"
    在安装完成后，可以通过 SMTP 虚拟服务器的属性页配置本服务器与其它服务器的连接方式、邮件的传送和接收方式。

返回页首>>>

14.5 NNTP 的配置
    通过配置 NNTP（网络新闻传输协议）服务器可以让客户通过 OutLook 等应用程序阅读新闻组。配置 NNTP 虚拟服务器的具体步骤：
    步骤1 在 Internet 信息服务管理器中选择需要建立虚拟服务器的域控制器，单击"操作"，然后选择"新建"，选择 "NNTP 虚拟服务器"，启动配置向导
    步骤2 输入虚拟 NNTP 服务器的描述，
    步骤3 选择服务器的 IP 地址和 TCP 端口地址，缺省的端口地址为 119，如果使用 SSL 则端口地址变为 563 如图 14.18

步骤4 为虚拟服务器选择主目录 如图 14.19，默认目录为 \Inetpub\nntpfile

返回页首>>>

步骤5 选择存储 NNTP 的媒体，如图 14.20
    步骤6 选择存储 NNTP 的路径，单击"完成"

在安装完毕后，利用 NNTP 虚拟服务器的属性设置可以修改相关参数，如限制新闻客户的同时连接数，修改客户机的张贴参数。如图 14.21

  相关内容：（本教程出自：www.365edu.com）
第一章、windows2000Server新功能及安装
第二章、windows2000网络客户端的安装和配置
第三章、配置远程安装服务和设置用户配置文件
第四章、windows2000的基本管理
第五章、DNS服务器的配置与管理
第六章、活动目录服务的基本安装和配置
第七章、管理计算机和用户帐号
第八章、文件和打印系统的配置与管理
第九章、数据存储
第十章、安全管理


第十五章 系统的诊断与修复

本章内容包括：
1. 系统环境的保护概述
2. 事件查看器
3. 事故恢复
4. 故障恢复控制台
5. 紧急修复磁盘
6. 性能监视器
7. 任务管理器
8. 计划任务

    15.1 系统环境的保护概述
    保护系统的安全稳定的运行，当系统发生故障时能够及时的发现故障并排除，是系统管理员的一项重要职责。在 Windows 2000 Server 中提供了一系列的工具以保证管理员便捷的完成管理维护工作。

首先，管理员利用 Active Directory 、组策略及 Kerberos 验证等工具，建立一整套完善的安全策略，保证系统的安全可靠性，将人为造成破坏的可能降到最低。
    其次，利用系统备份、配置容错能力（如磁盘镜像、RAID）、病毒检查、磁盘碎片整理等工具保证将由硬件问题引起的系统故障降低到最低。
    第三，在实施以上步骤后，管理员还要利用事件查看器、网络监视器、系统信息实时监视系统，从而实现及时发现问题解决问题，保证系统的安全稳定。
    管理员可以通过设定系统异常的反应措施、制作紧急修复盘、安全模式启动、故障恢复控制台、自动系统恢复等措施，保证当系统发生问题的时候及时的排除问题。
    管理员还可以通过任务管理器和性能监视器监测系统的运行性能，发现系统的瓶颈，提高系统的性能。返回页首>>>

    15.2 事件查看器
    通过使用事件查看器 如图 15.1和事件日志，用户可以收集有关硬件、软件、系统问题的信息并监视 Windows 2000 安全事件。

15.2.1 Windows 2000 以三种日志方式记录事件：
    应用程序日志
    应用程序日志包含程序所记录的事件。例如，数据库程序可记录程序日志中的文件错误。程序开发人员决定监视哪个事件。
    安全日志
    安全日志包括有效和无效的登录尝试以及与资源使用相关的事件，如创建、打开或删除文件或其他对象。例如，如果用户已经启用登录和注销审核，则登录到系统的尝试将记录在安全日志中。
    系统日志
    系统日志包含 Windows 2000 的系统组件记录的事件。例如，在启动过程将加载的驱动程序或其他系统组件的失败记录在系统日志中。Windows 2000 预先确定由系统组件记录的事件类型。
注意：
§　启动 Windows 2000 时事件日志服务会自动启动。
§　所有用户都可查看应用程序和系统日志。只有系统管理员才能访问安全日志。
§　在默认情况下，安全日志是关闭的。要启用安全日志，请使用组策略来设置审核策略。管理员也可在注册表中设置审核策略，以便当安全日志满出时使系统停止响应。

15.2.2 事件查看器显示这些事件的五种类型：
    错误
    重要的问题，如数据丢失或功能丧失。例如，如果在启动过程中某个服务加载失败，这个错误将会被记录下来。
    警告
    并不是非常重要，但有可能说明将来的潜在问题的事件。例如，当磁盘空间不足时，将会记录警告。
    信息
    描述了应用程序、驱动程序或服务的成功操作的事件。例如，当网络驱动程序加载成功时，将会记录一个信息事件。
    成功审核
    成功的审核安全访问尝试。例如，用户试图登录系统成功会被作为成功审核事件记录下来。
    失败审核
    失败的审核安全登录尝试。例如，如果用户试图访问网络驱动器并失败了，则该尝试将会作为失败审核事件记录下来。
    启动 Windows 2000 时，EventLog 服务会自动启动。所有用户都可以查看应用程序和系统日志。只有管理员才能访问安全日志。
    在默认情况下，安全日志是关闭的。可以使用组策略来启用安全日志。管理员也可在注册表中设置审核策略，以便当安全日志满出时使系统停止响应。返回页首>>>

15.3 事故恢复
    计算机故障就是任何导致计算机无法启动或继续运行的事件。计算机出现故障的原因小到一个硬件损坏，大到整个系统丢失（例如在发生火灾或类似事件）。Windows 2000 在遇到此类事件时，会报告一个"停止"错误消息，并显示一些必要的信息，用户和 Microsoft 产品支持服务工程师可利用这些信息确定并识别问题所在。
    故障恢复就是在发生故障后恢复计算机，使用户能够登录并访问系统资源。Windows 2000 提供以下选项可帮助用户识别计算机故障并进行恢复：
    安全模式
    用户可以使用安全模式启动选项来启动系统，在该模式下只启动最少的必要的服务。安全模式选项包括最后一次的正确配置，如果新安装的设备驱动程序在启动系统时出现问题，该选项尤其有用。
    故障恢复控制台
    如果安全模式不起作用，用户可以考虑使用故障恢复控制台选项。建议只有高级用户和管理员才使用该选项。使用安装光盘或从光盘创建的软盘来启动系统。然后，就可以访问"故障恢复控制台"，这是一个命令行界面，可从该处执行诸如启动或停止服务、访问本地驱动器（包括格式化成 NTFS 文件系统的驱动器）等任务。详细信息，请参阅故障恢复控制台。
    紧急修复盘
    如果安全模式和故障恢复控制台不起作用，而且事先已做了适当的高级准备，则可以试着用紧急修复磁盘来修复系统。紧急修复磁盘可以帮助修复内核系统文件。

    15.3.1 安全模式
    安全模式允许用最少的设备驱动程序和服务设置启动系统。安全模式选项包括"最后一次的正确配置"，如果新安装的设备驱动程序在启动系统时出现问题，该选项尤其有用。以安全模式启动 Windows 2000：
    步骤1 单击"开始"，然后单击"关闭系统"。
    步骤2 单击"重新启动"，然后单击"确定"。
    步骤3 在看到消息"请选择要启动的操作系统"后，请按 F8。
    步骤4 使用箭头键高亮显示适当的安全模式选项，然后按 ENTER。
    必须关闭 NUM LOCK，数字键盘上的箭头键才能工作。
    步骤5 使用箭头键高亮显示操作系统，然后按 ENTER。
注意：
§　在安全模式下，Windows 2000 只使用基本文件和驱动程序（鼠标、监视器、键盘、大容量存储器、基本视频、默认系统服务，并且不连接网络）。可以选择"网络安全模式"选项（该选项加载上面所有的文件和驱动程序，加上启动网络所必要的服务和驱动程序），或者"命令提示符安全模式"选项（该选项除了是启动命令提示符而不是启动 Windows 2000 以外，与安全模式完全相同）。也可以选择"最近一次的正确配置"，它使用 Windows 2000 在上次关闭时保存的注册表信息启动计算机。

§　安全模式可帮助用户诊断问题。如果以安全模式启动时没有再出现故障现象，用户可以将默认设置和最小设备驱动程序排除在可能的原因之外。如果新添加的设备或已更改的驱动程序产生了问题，用户可以使用安全模式删除该设备或还原更改。
§　某些情况下安全模式不能帮助用户解决问题，例如当启动系统所必需的 Windows 系统文件已经毁坏或损坏时。在此情况下，紧急修复磁盘 (ERD) 能够提供帮助。
    安全模式选项包括：
    安全模式
    只使用基本文件和驱动程序（鼠标 - 串行鼠标除外、监视器、键盘、大容量存储器、基本视频、默认系统服务并且无网络连接）启动 Windows 2000。如果计算机没有使用安全模式成功启动，则可能需要使用紧急修复磁盘 (ERD) 功能以修复用户的系统。
    网络安全模式
    只使用基本文件和驱动程序以及网络连接来启动 Windows 2000。
    命令提示符的安全模式
    使用基本的文件和驱动程序启动 Windows 2000。登录后，屏幕出现命令提示符，而不是 Windows 桌面、"开始"菜单和任务栏。

    启用启动记录
    启动 Windows 2000，同时将由系统加载（或没有加载）的所有驱动程序和服务记录到文件。该文件称为 ntbtlog.txt，它位于 %windir% 目录中。安全模式、网络安全模式和命令提示符的安全模式，会将一个加载的所有驱动程序和服务的列表添加到启动日志。启动日志对于确定系统启动问题的准确原因很有用。
    启用 VGA 模式
    使用基本 VGA 驱动程序启动 Windows 2000。当安装了使 Windows 2000 不能正常启动的新视频卡驱动程序时，这种模式十分有用。当用户在安全模式（安全模式、网络安全模式或命令提示符安全模式）下启动 Windows 2000 时，总是使用基本的视频驱动程序。
    最近一次的正确配置
    使用 Windows 上一次关闭时所保存的注册表信息来启动 Windows 2000。只在配置不正确时使用。最近一次的正确配置不解决损坏或缺少驱动程序或文件所导致的问题。最后一次成功启动以来所作的任何更改也将丢失。

目录服务恢复模式
    不适用于 Windows 2000 Professional。这是针对 Windows 2000 Server 操作系统的，并只用于还原域控制器上的 SYSVOL 目录和 Active Directory 目录服务。
    调试模式
    启动 Windows 2000，同时将调试信息通过串行电缆发送到其他计算机。
    使用"最后一次正确的配置"启动 Windows 2000
    步骤1 单击"开始"，然后单击"关闭系统"。
    步骤2 单击"重新启动"，然后单击"确定"。
    步骤3 在看到消息"请选择要启动的操作系统"后，请按 F8。
    步骤4 使用箭头键高亮显示"最近一次的正确配置"，然后按 ENTER。
    必须关闭 NUM LOCK，数字键盘上的箭头键才能工作。
    步骤5 使用箭头键高亮显示操作系统，然后按 ENTER。返回页首>>>

15.4 故障恢复控制台
    如果安全模式 和其他启动选项不能工作，则可以考虑使用"恢复控制台"；然而，只有用户是高级用户或管理员（可以使用基本命令标识和定位有问题的驱动程序和文件）时，才推荐用户使用该方法。"恢复控制台"是命令行控制台，在使用计算机 CD 驱动器中的启动光盘或使用从创建的软盘启动计算机后即可使用。有关如何从启动光盘中创建软盘的详细信息，
    要使用"恢复控制台"，用户需要以 Administrator 帐户登录。该控制台提供了可用于执行简单操作的命令（例如转到不同的目录中或查看目录）和功能更强大的操作命令（例如修复启动扇区）。通过在"恢复控制台"的命令提示符下，键入 help，可以获得这些命令的帮助信息。
    使用"恢复控制台"，可以启动和停止服务，在本地驱动器（包括用 NTFS 文件系统格式化的驱动器）上读、写数据，从软盘或 CD 上复制数据，修复启动扇区或主引导记录，并执行其他管理任务。如果需要通过从软盘或 CD-ROM 上复制文件来修复系统，或需要重新配置使计算机无法正常启动的服务，则"恢复控制台"特别有用。例如，可以使用"恢复控制台"用软盘中的正确副本替换被覆盖或损坏的驱动程序文件。

1.启动计算机并使用"恢复控制台"
    步骤1 在适当的驱动器中，插入"Windows 2000 安装"光盘或用该光盘创建的第一张软盘。
    对于不能从 CD 驱动器中启动的系统，必须使用软盘。
    对于可从 CD 驱动器中启动的系统，可以使用 CD 或软盘。
    步骤2 重新启动计算机，如果使用软盘，要在系统提示下依次插入每张软盘。
    步骤3 当开始基于文本部分的安装时，请根据提示，按 R 键选择修复或恢复选项。
    步骤4 当系统提示时，按 C 键选择"修复控制台"。
    步骤5 按照屏幕上的说明，重新插入为启动系统而创建的一张或多张软盘。
    步骤6 如果有双启动或多启动系统，请选择需要从"恢复控制台"中访问的 Windows 2000 安装。
    步骤7 系统提示时，键入 Administrator 的密码。
    步骤8 在系统提示处，键入"恢复控制台"命令，键入 help 可获得一系列命令的帮助信息，或者键入 help commandname 获得特定命令的帮助信息。
    步骤9 要退出"恢复控制台"并重新启动计算机，请键入 exit。

2.从运行 Windows 2000 的计算机上使用"恢复控制台"
    步骤1 将 Windows 2000 光盘插入到光盘驱动器中。
    步骤2 单击"文件"，然后单击"运行"。
    步骤3 在"打开"框中，键入命令：
    d:\i386\winnt32 /cmdcons （d 是指派给 CD-ROM 驱动器的驱动器号）
    步骤4 重新启动计算机并从可用操作系统列表中选择故障恢复控制台选项。
    步骤5 系统提示时，键入 Administrator 的密码。
    步骤6 在系统提示处，键入"恢复控制台"命令，键入 help 可获得一系列命令的帮助信息，或者键入 help commandname 获得特定命令的帮助信息。
    步骤7 要退出"恢复控制台"并重新启动计算机，请键入 exit。返回页首>>>

    15.5 紧急修复磁盘
    步骤1 准备一张空白的、已格式化的 1.44 (MB) 的软盘。
    步骤2 打开"备份" 如图 15.2。
    步骤3 在"欢迎"选项卡上，单击"紧急修复磁盘"。
    步骤4 根据屏幕上显示的说明进行。
    当完成安装之后，将原始系统设置的信息保存在系统分区的 systemroot\Repair 文件夹中。如果使用"紧急修复磁盘"来修复用户的系统，那么可以访问该文件夹中的信息。一定不要更改或删除该文件夹。

返回页首>>>

    15.6 性能监视器
    使用"系统监视器" 如图 15.3可以衡量自己计算机或网络中其他计算机的性能：
§　收集并查看本地计算机或多台远程计算机上的实时性能数据。
§　查看计数器日志中当前或以前搜集的数据。
§　在可打印的图形、直方图或报表视图中表示数据。
§　利用自动操作将"系统监视器"的功能并入 Microsoft Word 或 Microsoft Office 套件中的其他应用程序。
§　在性能视图下创建 HTML 页。
§　创建可使用 Microsoft 管理控制台在其他计算机上安装的可重新使用的监视配置。

使用"系统监视器"可以收集和查看大量有关管理的计算机中硬件资源使用和系统服务活动的数据。可以通过下列方式定义要求图形搜集的数据：
§　数据类型。要选择搜集的数据，请指定性能对象、性能计数器和对象实例。
    一些对象提供有关系统资源（例如内存）的数据，而其他对象则提供有关应用程序运行的数据（例如计算机中正在运行的系统服务或 Microsoft BackOffice 应用程序）。
§　数据源。"系统监视器"可以从本地计算机或网络上用户拥有权限的其他计算机中搜集数据。（默认情况下，应该拥有管理权限。）此外，可以包含实时数据和以前使用计数器日志搜集的数据。
§　采样参数。"系统监视器"支持根据需要手动采样或根据指定的时间间隔自动采样。查看记录的数据时，还可以选择开始和停止时间，以便查看跨越特定时间范围的数据。返回页首>>>

    15.7 任务管理器
    "Windows 任务管理器" 如图 15.4 提供了有关计算机性能、计算机上运行的程序和进程的信息。要打开" Windows 任务管理器"，请用右键单击 任务栏 上的空白处，然后单击"任务管理器"。任务管理器提供正在用户的计算上运行的程序和进程的相关信息。也显示最常用的度量进程性能的单位。
    使用任务管理器可以监视计算机性能的关键指示器。可以快速查看正在运行的程序的状态，或者终止已停止响应的程序。也可以使用多达 15 个参数评估正在运行的进程的活动，以及查看 CPU 和内存使用情况的图形和数据。

正在运行的程序
    "应用程序"选项卡显示计算机上正在运行的程序的状态。
    在此选项卡中，用户能够结束、切换或者启动程序。
    正在运行的进程
    "进程"选项卡显示关于计算机上正在运行的进程的信息。
    例如，用户可以显示关于 CPU 和内存使用情况、页面错误、句柄计数以及许多其他参数的信息。
    性能度量单位
    "性能"选项卡显示计算机性能的动态概述，其中包括：
    CPU 和内存使用情况的图表。
    计算机上正在运行的句柄、线程和进程的总数。
    物理、核心和认可的内存总数（KB）。返回页首>>>

    15.8 任务计划
    使用任务计划程序，用户可以安排任何脚本、程序或文档在最方便的时候运行。每次启动 Windows 2000 时，任务计划程序也会启动，并在后台运行。
    使用任务计划程序可以完成以下任务：
§　计划让任务在每天、每星期、每月或某些时刻（如系统启动时）运行。
§　更改任务的计划。
§　停止计划的任务。
§　自定义任务如何在计划的时间运行。
    Windows 2000 自动安装任务计划程序。要使用计划服务，请在"控制面板"中双击"任务计划"文件夹。
    通过双击"添加任务计划"启动"任务计划向导"，可以计划新任务。通过将脚本、程序或文档从 Windows 资源管理器或桌面拖到"任务计划"窗口中可以进行任务添加。
    也可以使用任务计划程序来修改、删除、禁用或停止已经计划的任务，查看已计划任务的日志，或者查看在远程计算机上计划的任务。
    网络管理员可以创建用于维护目的的任务文件，并在需要时将其添加到用户的计算机。可以在电子邮件中发送和接收任务文件，并且可以共享计算机上的"任务计划"文件夹以便通过"网上邻居"远程访问它。返回页首>>>

  相关内容：（本教程出自：www.365edu.com）
第一章、windows2000Server新功能及安装
第二章、windows2000网络客户端的安装和配置
第三章、配置远程安装服务和设置用户配置文件
第四章、windows2000的基本管理
第五章、DNS服务器的配置与管理
第六章、活动目录服务的基本安装和配置
第七章、管理计算机和用户帐号
第八章、文件和打印系统的配置与管理
第九章、数据存储
第十章、安全管理
第十一章、DHCP服务器的安装和配置
第十二章、WINS服务器的安装与配置
第十三章、高级管理
第十四章、管理Internet信息服务器
第十五章、系统的诊断与修复
第十六章、将WinNT4.0升级为windows2000
附录 ：Windows 2000 的一些基本概念


附录

附录：Windows 2000 的一些基本概念

本章主要内容：
1、　网络目录
2、　X.500 推荐标准
3、　Kerberos
4、　ADS 的引入及其相关概念
5、　DNS、DHCP、WINS 服务在 Windows 2000 Server 中的新变化
6、　账号与安全

    1. 什么是网络目录
    在目录服务出现之前，大多数的网络操作系统都是"基于服务器"的操作系统，即多数的帐户管理工作都是由网络中的各个服务器独立完成的，每台服务器都维护着一个用户列表，它记录了用户是否可以访问它的资源（帐户数据库）及相应用户访问资源的权限（访问控制列表），即资源的分散管理。
    网络目录的引入解决了上面的问题，网络目录是一个存储着用于访问、管理或配置网络的信息的数据库。

它们可以存储多种不同类型的信息，包括：
§　用户帐户信息（登录名、口令、权限）
§　用户个人信息（电话号码、地址、雇员ID、部门、职位、工资等）
§　外围设备配置信息（打印机、扫描仪、传真、调制解调器）
§　应用程序配置信息（桌面系统参数、缺省目录）
§　安全信息
§　网络设备配置信息
    只要用户能够想到的信息，都可以存储在目录中；当把这些信息都存储在一个统一的标准数据库中，用户可以利用它们完成许多工作。最为普遍地就是网络管理员利用这些信息完成网络访问控制和网络资源访问控制，从而使目录成为对大多数网络活动的集中控制中心。许多在早期网络中最难于解决的配置问题，在网络目录服务应用后都变得非常简单。目前一些成熟的网络目录有：
    域名系统（Domain Name System）
    Windows 因特网名称服务（Windows Internet Name Service）
    NOVELL 目录服务（NOVELL Directory Service）
    这些目录服务虽然工作方式和应用环境不同，但是它们都存储着用于访问或管理网络的信息，从实现集中化的网络管理。它们为在 Windows 2000 中新推出的 Active Directory Services 提供了有益的经验。

    2. 什么是 X.500
    由于网络目录需要存储信息的多样性，数据库中的相关数据文件的增长的快速性，可能导致现有计算机的处理能力无法满足它的需求，在 Active Directory Services 中就采用了 X.500这个推荐标准。X.500 技术规范提供了一个供开发商建立自己产品的模型，使不同的开发商开发的产品能够彼此访问共享信息，它规定了信息组织、命名和访问的一般性方法，即规定了目录技术为了实现互操作性而遵守的格式。如微软开发的 ADS 与 NOVELL 公司开发的 NDS 在实现形式上截然不同，但由于两者的名字空间一致，所以两种产品均可以访问目录中存储的信息。从某种意义上讲，它类似于 OSI 的七层网络结构模型，OSI 网络模型简单定义了网络软件在各层必须完成的功能，而没有直接规定具体的实现方法。对于符合 X.500 的网络目录（如：ADS），其数据库在设计时均遵循以下两个原则：
    使用目的---存储网络资源信息
    整体结构---采用层次结构

3. 什么是简化目录访问协议（LDAP）
    在向目录中填入对象后，用户需要考虑的问题是如何提供一整套完善的数据访问功能用于向用户显示信息，以便用户查找和使用。利用 X.500 技术规范提供的目录访问协议 DAP 可以完成这一功能。DAP 定义了用于读取目录数据库信息和修改目录数据库的方法，DAP 在安全性上的可扩展性满足了 X.500 允许采用多种安全保护方法的需求，并且 DAP 利用将工作转移到客户机上的方法有效的降低了目录服务器的工作负荷。但是由于现有的客户机的无法提供足够资源以满足 DAP 软件得需要及 DAP 的兼容性差的原因，它并未得到广泛的应用，人们针对 DAP 的以上缺陷开发了一个新协议：简化目录访问协议 LDAP。LDAP 是 DAP 的一个子集，它能够实现 DAP 的大部分功能，它不是基于客户的服务，客户的许多处理工作还转移到了支持 LDAP 服务的服务器上，所以它对客户设备的要求很低，掌上型笔记本能够对目录进行远程服务就是得益于此；LDAP 客户软件包能够访问多家厂商提供的目录信息，由于以上优点大多数目录技术都将 LDAP 服务作为基本功能的一部分，ADS 也采用它作为其基本功能。LDAP 实际上是一个机制，用来与 Active Directory 通信，完成基本的读写和修改操作。

4. 什么是 kerberos V5 验证
    Windows 2000 支持两个内核确认协议：Windows NT LAN 管理器（NTLM）和 Kerberos，Kerberos 是首选的确认协议。当与 NT3.x－NT4.0 网络共存时，Windows 2000 利用 NTLM 实现安全访问确认，使访问共享资源生效。由于 Windows 2000 对多确认协议的透明支持，使得用户可以实现阶段性的将桌面系统迁移到 Windows 2000 如只将服务器升级到 Windows 2000 Server 而桌面操作系统仍为 Win95/98，对于这些用户 Windows 2000 采用 NTLM 确认模式。
    在 Windows NT 3.x-4.0 中确认关系是不可传递的，即域 1 信任域 2，域 2 信任域 3，并不说明域 1 信任域 3。当采用 Kerberos 确认协议时，Windows 2000 支持传递信任。Kerberos 确认协议通过以下优点实现了在 Windows 2000 的精密级存取控制，大大提高了 Windows 2000 的安全性和访问控制的灵活性，这些是 NTLM 所无法比拟的：
    Kerberos 是一个独立的平台，能广泛的实现安全协议
    Kerberos 能更快的与其它计算机建立会话
    Kerberos 的信任关系是完全可传递的
    Kerberos 支持对确认的授权
    Kerberos 使用对称加密技术

5. 什么是活动目录(Active Directory)
    5.1 没有 ADS 的 Windows NT 系统
    在 ADS 出现之前，WindowsNT（4.0及以前的版本）使用基于域的方式管理网络，它解决了"基于服务器"的操作系统中存在地许多问题，推动了网络的发展，基于域结构的网络地优点在于：
§　用户一次性登录，访问域内所有资源
§　集中管理用户、工作组和网络资源
§　对资源的一般性访问
    而 Windows NT 在大型网络中使用时，由于其平面式的域间结构，域与域之间的资源共享需要通过域间信任来完成，且这种信任是无法传递的，所以增加了结构的复杂性和管理难度，它只能满足工作组级网络的需求，无法满足大型网络的需求。
    5.2 什么是域
    域：由用户和计算机组成的一个逻辑组。
    在一个域中由域控制器统一的管理帐户数据库，管理所有的用户登录、资源访问认证及其它管理任务。用户的登录认证过程是一次性的认证过程，即用户只有在登录时才会访问域控制器，在以后访问网络的过程中即使它访问资源的权限发生变化，也不影响现有对网络资源的访问权限，只有重新登录才能使改变生效。

    5.3 主域控制器和备份域控制器
    在 Windows NT 中有三种服务器类型：
    主域控制器 PDC
    备份域控制器 BDC
    成员服务器
    每一类服务器都对应着网络整体设计中的一方面功能，在安装 NT Server 时需要选择计算机的类型，在每个域中只能有一台 PDC 和多台 BDC。在 PDC 中存储着域帐户数据库用于对用户的认证，在每个 BDC 中都保存着一个帐户数据库的复本，BDC 通过定期的数据库同步过程保证数据库副本与 PDC 中的主数据库保持一致。用户只能在 PDC 中对帐户数据库进行修改，在 BDC 中只能对用户进行认证，无法修改帐户数据库。成员服务器中不存储帐户数据库的复本，它主要用于处理各种专项的工作任务如打印服务器、文件服务器、邮件服务器等。
    5.4 域间的委托
    NT 在缺省状态下，每个域是一个独立的实体，域与域之间不共享信息。如果需要访问其它域中的资源，则需要在两个域之间建立委托关系，委托关系定义了连接两个域的通信链路，在委托关系中包含两个对象：在一个域中包含需要访问其它域资源的用户帐户或组（受托域Trusted）、在另一个域中包含着需要被访问的资源（委托域Trusting），在确定委托关系时要注意这两个对象的定义区别。当 A 域委托 B 域而 B 域并未作反向委托 A 域时，称为单向委托（one-way trust），即B域用户访问A域资源反之则不行；当A域委托B域同时B域也反向委托A域时，称为双向委托（two-way trust），即B域用户访问A域资源反之亦然。

5.5 四种域模型
    针对不同的网络应用环境，用户可以采用不同的域模型，域模型定义了用户环境中目录服务的结构。在 NT 环境中有四种基本的域模型，下面说明了它们的优缺点：
    单域 所有用户和计算机都定义在一个域中，适用于需要进行集中管理的少于 40000 个对象的环境。其优缺点如下：
    1. 单域模型的实现和管理简单，但随着资源的增加，系统性能会降低
    2. 用户帐户的集中管理，但所有用户帐户存储在一个数据库中，无法按功能或位置进行分类
    3. 域内资源的集中控制，与用户管理一样也无法按功能或位置进行分类
    4. 不需要委托关系，随着服务器数量的增加，浏览器的性能会降低
    单主域模型 至少包含两个域，在主域中定义了所有的用户帐户，在另一个域中管理所有的资源。在模型中，系统为域中的每项资源都建立了对主域的单向委托关系。它适用于成员对象大于 40000，集中的管理用户帐户，而且需要控制不同部门或位置的物理资源的用户环境。其优缺点如下：
    1. 方便的集中控制多个工作组的资源，但随着用户数量的增加，系统性能会降低
    2. 用户帐户的集中管理，但必须在每个资源域中定义本地工作组
    3. 可以对资源进行逻辑分类（按部门、地理位置），资源域必须委托主域以便正确的设置全局工作组。
    4. 全局工作组只能生成一次

多主域模型
    在四种模型中缩放性最好的一种。它在单主域模型的基础上允许有多个域定义用户帐户。在这种模型中主域与主域之间具有双向委托关系，且每个资源域都与所有包含可能访问其资源的用户的主域保持单向委托关系。其优缺点如下：
    1. 为具有中心信息部门的大型应用环境而设计，但必须在多个域中定义本地工作组和全局工作组
    2. 可以灵活的缩放以适应不同规模的网络，但必须管理数量众多的委托关系
    3. 每个域都可以进行独立的管理，但用户帐户分散存储在各个域的数据库中，会造成管理的混乱
    完全委托模型
    它充分利用了目录服务，每个域都具有用户帐户和资源帐户，每个域必须委托所有的其它域，这种模型适合于企业的各个部门或地方分支机构都需要控制自己的用户帐户和资源。其优缺点如下：
    1. 适合于没有中心信息部门的企业应用，但需要管理数量众多的委托关系
    2. 灵活的缩放以适合任何数量级的用户环境，随着域的增加管理负荷也相应增加
    3. 每个域都可以进行独立的管理，但必须与其它管理员之间有清楚的职责划分
    4. 用户和资源帐户被划分成多个便于管理的单位
    以上用户回顾了不带 ADS 的 NT 操作系统的特点和优缺点，下面用户来讨论一些关于带有 ADS 的 NT 操作系统的基本概念。

5.6 带有 ADS 的 Windows 2000 系统
    正如 Windows NT 的出现克服了"基于服务器"的网络操作系统在管理用户和资源时的缺点，而 Windows 2000 Server 和 Active Directory Services 的出现是用于解决基于域的网络环境对大型网络的应用过于复杂，无法满足扩展的需要。
    体系结构。当使用活动目录时，网络和网络中的对象通过域、树、森林、信任关系、组织单元（OU）和站点的结构来进行组织。
    内部交流。因为活动目录是基于标准的目录访问协议，因此它可以和其他的目录服务相互操作，并且可以被遵守协议的第三方应用程序进行访问。最后的部分描述活动目录如何与其他更广泛的技术相互交流的。
    Windows 2000 操作系统中活动目录可以提供一下的优点：
    与 DNS 集成。活动目录使用域名系统（DNS）。DNS 是一种 Internent 标准服务，它可以进行用户可读的计算机名称（例如 mycomputer.microsoft.com）和计算机可读的数值 Internet（IP）地址（由句号分隔的四位数）之间的转换。这使得运行在 TCP/IP 网络上的计算机可以识别和连接另一台计算机。
    灵活的查询。用户和管理员可以使用"开始"菜单上的"查询"命令、桌面上的"我的网络"图标或者"活动目录用户和计算机连接"插件来根据对象的属性快速的查找网络上的对象。例如，可以使用一个人的姓、名、E-mail 名称、办公室地址或者其他属性来进行查找。查找信息的功能已经用全局目录进行了优化了。
    可扩展性。活动目录是可扩展的，就是说管理员可以向模式中添加新的对象类，也可以向已经存在的对象类添加新的属性。模式包括每一个对象类和对象类属性的定义，它们可以存储在目录中。例如，可以向用户对象添加购买机构属性，然后可以将用户的购买机构范围做为用户帐号的一部分进行存储。

基于策略的管理。组策略是在初始化时对计算机或者用户进行的配置。所有的小组策略设置都包含在组策略对象（GPO）中，它可以应用与活动目录站点、域或组织单元中。GPO 设置确定对目录对象和域资源的访问、哪些资源域是用户可以访问的以及这些资源域应该如何使用。
    可伸缩性。活动目录包括一个或多个域，其中每一个都有一个或多个域控制器，这些控制器使用户可以对目录进行改变来任何满足网络的需求。多个域可以结合成为一个域树，而多个域树又可以结合成为一个森林。最简单的结构就是只有一个域、一个树和一个森林的网络。
信息复制。用户可以在任何域控制器中更新目录。在一个域中配置多个域控制器可以提供容错功能和平衡网络负荷的功能。如果域中一个域控制器变慢、停止或出现故障，那么此时由于相同域中的其他的域控制器包含与它相同的数据，它们就可以提供必要的目录访问。
    信息安全。用户授权和访问控制的管理与活动目录完全的集成，它们是 Windows 2000 操作系统的重要安全特性。活动目录集中管理用户授权。访问控制不仅可以作用于目录中的每一个对象，还可以作用于每一个对象的任何属性上。此外，活动目录提供应用程序的安全存储和安全策略范围。
    互操作性。因为活动目录是基于标准的目录访问协议，例如轻型目录访问协议（LDAP），因此它可以和其他使用这些协议的目录服务进行互操作。一些应用程序编程接口（API）--例如活动目录服务接口（ADSI）--使得开发者可以访问这些协议。
    ADS 的目标
    ADS 的总目标是为了减少用户和管理员在网络相关工作上的工作负荷。为了达到这一目的，ADS 通过提供通用的网络资源接口和直观的网络资源访问界面，使用户能够以一致性的方式管理自己的整个网络。

什么是域
    Windows 2000 Server 中的域的概念与 NT 中域的概念并没有区别，只是将它的范围扩大到了整个网络。域是 ADS 树状结构的基石，最先建立的域用户称之为根域，它位于整个树状结构的顶级，并决定了 ADS 名字空间的起始点。如用户建立了一个根域为 NT2000.COM,可以在其下建立相应的子域如 ADS.NT2000.COM ,以后在根域下所建立的域均为其的子域。
    在NT中用户利用建立域间委托实现域间的资源互访，在 Windows 2000 中这种委托关系仍然存在，但它们是缺省设置，与在 NT 中的委托关系的工作方式有所不同。在 Windows 2000 的树状结构中所有的子域都会自动与其父域建立双向委托关系，并且这种委托关系已经变为具有传递性。
    什么是 OU(Organizational Units)
    OU 对象是用于组织目录中资源的容器对象，它可以保含下列类型的对象：用户、计算机、工作组、打印机、应用程序、安全策略、文件共享、其它 OU,但只有一种对象不能包含在 OU 中，即其它域中的任何对象。组织机构给域带来了层次化的结构，就象是将多个域连接在一起形成了一个完整的目录，每个 OU 都象是一个子目录一样用于组织目录中的指定的不同资源。微软为了适应企业对目录结构的不同需求，提出了七种不同的基本 OU 结构模型：地理模型、对象模型、以成本为中心的模型、项目模型、业务单位模型、管理模型、及混合模型；用户可以根据企业自身业务的需要选择相应的模型。

什么是域树
    当在域中用户创建了根域并在其下创建子域，这样由根域及其子域就组成了一个域树，一个域树必须有一个相邻的名字空间，并把根域名作为域名。按树结构主枝目录为用户带来了许多好处，在树结构中所有子域与父域之间都具有双向委托关系，并且这种委托关系具有可传递性，由此说明域树中的用户和组均可被授权访问树中的任何对象。
    什么是域森林
    在一个机构中如果包含多个域树并且希望在多个域树间共享资源，用户可以通过在域树间建立双向委托关系将它们联合在一起，即形成了所谓的域森林。这些树没有形成一个相邻的名字空间。在建立域森林后，所有树拥有一个公共的全局目录，包含森林中每个对象的特定信息。
    什么是站点
    站点反映网络的物理结构,站点为域树和域森林中的域控制器及其它计算机提供信息以识别连通性好的网络区域，以便域控制器间以最快速度复制变更信息。活动目录中每个站点可以包含多个域，并且一个域可以作为多个站点的成员。
    什么是全局目录
    全局目录是有活动目录自动创建，包含域树和域森林中的每个对象的多个属性，可以利用这些属性在目录中搜索整个域森林。而在域树中可以搜索对象的任何属性。在每个域中包含一个全局目录已经足够，过多的全局目录会造成网络带宽的浪费。

6. TCP/IP基础
TCP/IP的背景
    传输控制协议/网际协议 (TCP/IP) 是业界标准的协议组，为跨越局域网和广域网环境的大规模互联网络设计，TCP/IP 始于 1969 年。
§　1974 年，传输控制协议 (TCP) 作为规范草案引入，描述了如何在网络上建立可靠的、主机对主机的数据传输服务。
§　1981 年，网际协议 (IP) 以草案形式引入，描述了如何在互连的网络之间实现寻址的标准以及如何进行数据包的路由。
    1983 年 1 月 1 日，ARPANET 开始对所有的网络通讯和基本通讯都要求标准使用 TCP 和 IP 协议。
    TCP/IP 协议组在各种 TCP/IP 软件中实现，可用于多种计算平台。今天，TCP/IP 在 Internet 上广泛使用，并经常用于建立大的路由专用互联网络。

TCP/IP参考模型
    TCP/IP 基于四层参考模型。属于 TCP/IP 协议组的所有协议都位于该模型的上面三层。
    如图 1 所示，TCP/IP 模型的每一层都对应于国际标准组织 (ISO) 提议的七层"开放系统互连 (OSI)"参考模型的一层或多层。

TCP/IP 模型中每一层所执行的服务类型和所使用的协议在下表中详细描述。

层 | 描述 | 协议
应用 | 定义了 TCP/IP 应用协议以及主机程序与要使用网络的传输层服务之间的接口。 | HTTP、Telnet、FTP、TFTP、SNMP、DN、SMTP、X-Window 以及其他应用协议
传输 | 提供主机之间的通讯会话管理。定义了传输数据时的服务级别和连接状态。 | TCP、UDP、RTP
Internet | 将数据装入 IP 数据报，包括用于在主机间以及经过网络转发数据报时所用的源和目标的地址信息。实现 IP 数据报的路由。 | IP、ICMP、ARP、RARP
网络接口 | 指定如何通过网络物理地发送数据，包括直接与网络媒体（如同轴电缆、光纤或双绞铜线）接触的硬件设备如何将比特流转换成电信号。 | 以太网、令牌环、FDDI、X.25、帧中继、RS-232、v.35

IP地址
    Internet 团体定义了五种类型的地址。A 类、B 类 和 C 类地址用于指派 TCP/IP 节点。
    地址类定义了每个地址的网络 ID 和主机 ID 使用哪些位。地址类还定义了每个网络能支持多少网络和主机。
    下表用 w.x.y.z 指定任意给定 IP 地址中的四个八位字节数。这个表用于显示：
§　 任意给定 IP 地址的第一个八位字节数 (w) 如何有效地表示地址类。
§　地址中的八位字节数如何分成网络 ID 和主机 ID。
§　每个网络可用于每个类的可能网络和主机数量。

类别 | w 的值 | 网络 ID | 主机 ID | 网络数量 | 每个网络的主机数量
A | 1-126 | w | x.y.z | 126 | 16,777,214
B | 128-191 | w.x | y.z | 16,384 | 65,534
C | 192-223 | w.x.y | z | 2,097,152 | 254
D | 224-239 | 为多播寻址保留 | N/A | N/A | N/A
E | 240-254 | 为实验性应用保留 | N/A | N/A | N/A

    对于不是直接或间接连接到 Internet 的专用 TCP/IP 网络，用户可以使用 A 类、B 类或 C 类的有效 IP 地址范围。
    对于通过网络地址转换器 (NAT) 或代理服务器之类的应用层网关间接连接到 Internet 的专用 TCP/IP 网络，指定的网络编号机构 (IANA) 推荐用户使用下表中的专用 IP 地址。

专用网络 ID | 子网掩码 | IP 地址的范围
10.0.0.0 | 255.0.0.0 | 10.0.0.1 - 10.255.255.254
172.16.0.0 | 255.240.0.0 | 172.16.0.1 - 172.31.255.254
192.168.0.0 | 255.255.0.0 | 192.168.0.1 - 192.168.255.254
这些范围中的数字是 IANA 为 TCP/IP 网络上的私有使用而保留的，并且不用于 Internet。

Windows 2000 TCP/IP的新增功能
    Windows 2000 TCP/IP 是：
§　基于工业标准网络协议的网络软件。
§　支持 Windows 计算机与局域网和广域网环境连接的可选择路由的企业网络协议。
§　用于 Windows 计算机和不同系统进行连接并共享信息的核心技术和实用程序。
§　访问全局 Internet 服务，如 World Wide Web 和文件传输协议 (FTP) 服务器的基础。
§　强健的、可缩放的、跨平台的客户/服务器框架。
    Windows 2000 的 TCP/IP 已经更新，包括简化单个子网的配置、在高带宽的网络环境中优化 TCP 性能的许多功能。这些新功能包括支持：
§　自动专用地址配置。
§　大 TCP 窗口。
§　选择性确认。
§　更好的往返时间 (RTT) 估计。
§　ICMP 路由器发现。
§　DNS 缓存。
§　禁用 TCP/IP 上的 NetBIOS。

自动专用地址配置
    使用"自动专用 IP 寻址 (APIPA)"为不包含 DHCP 服务器的单个子网网络自动执行 TCP/IP 地址配置。
    默认情况下，运行 Windows 2000 的计算机首先尝试与网络上的 DHCP 服务器联系，以便为每个已安装的网络连接动态获得配置。
§　如果访问了 DHCP 服务器并且租约配置成功，则 TCP/IP 配置完成。
§　如果不能访问 DHCP 服务器，则计算机改为使用 APIPA 自动配置 TCP/IP。使用 APIPA 时，Windows 2000 在 169.254.0.1 到 169.254.255.254 的保留 IP 地址范围内确定地址。这个地址用作临时的 IP 地址配置，直至找到 DHCP 服务器为止。将设置子网掩码为 255.255.0.0。
    IP 地址的 APIPA 范围是指定的网络编号机构 (IANA) 所保留的。这个范围内的任何 IP 地址都不用于 Internet。
    APIPA 为不连接到 Internet 的单个网络的小型公司或家庭公司网络免去 IP 地址配置。
    大 TCP 窗口
    窗口大小反映不需要等候正确认就能发送的数据报的最大数量。当大量数据在发送者和接收者之间传输时，大 TCP 窗口能提高 TCP/IP 的性能。在典型的基于 TCP 的通讯中，窗口的最大尺寸通常在连接开始时固定并且最大限额为 64 KB。
    通过支持大窗口，用户可以在较长的会话过程中使用 TCP 选项动态地重新计算和调整实际窗口大小。使用该选项，每次可以在网络上传输更多的数据包，以此增加吞吐量。

选择性确认
    在典型的基于 TCP 的通讯中，确认是累积的。TCP 只确认与以前获得确认的数据段相邻的接收段。非相邻段，即不按顺序接收的段，不能明确确认。TCP 要求在很短的时间内接收并确认段，而丢失的段及所有跟随其后的段都必需重新传输。
    选择性确认是最新的 TCP 选项，它允许接收者有选择地通知和请求发送者只重新发送实际丢失的数据。这样可以减少需要重新传输的数据量，更好地利用网络带宽。
    更好的 RTT 估计
    TCP 用往返时间 (RTT) 估计在发送者和接收者之间往返通讯所需要的时间。Windows 2000 支持"TCP 往返时间测量"选项来改进估计 RTT。通过经常计算更精确的 RTT 信息，TCP 能更好地估计时间来设置重新传输计时器，这有助于提高整个 IP 速度和性能。
    对估计 RTT 的改进明显有助于长时间的往返网络链路，如跨洲的广域网或使用无线或卫星通讯的链路。
    ICMP 路由器发现
    Internet 控制消息协议 (ICMP) 路由器发现是在默认网关不是手动配置或用 DHCP 指派时用 ICMP 消息发现网段上的默认网关。ICMP 路由器发现由两个 ICMP 消息组成：路由器请求和路由器公布。路由器请求由主机发送以发现网络上的路由器。路由器公布由路由器发送响应路由器请求，并且周期性地通知网络上的主机该路由器仍然可用。默认情况下，ICMP 路由器发现在 Windows 2000 主机的 TCP/IP 上是启用的。
    可以将运行"路由和远程访问"服务的 Windows 2000 Server 计算机配置成支持 ICMP 路由器发现的路由器。

    DNS 缓存
    Windows 2000 TCP/IP 中的域名系统 (DNS) 解析器将 DNS 名称查询进行缓存。使用 Ipconfig 实用程序，可以查看并刷新 DNS 缓存的内容。
    禁用 TCP/IP 上的 NetBIOS
    使用 Windows 2000，用户可以对每个网络连接禁用 TCP/IP (NetBT) 上的 NetBT。此功能是为仅使用 DNS 名称注册和解析技术的计算机使用"Microsoft 网络客户端"和"Microsoft 网络的文件和打印共享"组件与其他禁用 NetBT 的计算机通讯而准备的。禁用 NetBT 的范例包括网络的特定或安全角色的计算机，如边缘代理服务器或防火墙中的安全防护主机，此时不要求或不需要 NetBT 支持。
    以下是运行 Windows 2000 的计算机上禁用 NetBT 应该考虑的：
§　计算机不再对通信监听"用户数据报协议 (UDP)"端口 138 上的 NetBIOS 数据报服务、UDP 端口 137 上的 NetBIOS 名称服务，以及"传输控制协议 (TCP)"端口 139 上的 NetBIOS 会话服务。
§　使用"Microsoft 网络客户端"和"Microsoft 网络的文件及打印共享"组件的基于 TCP/IP 的连接只能用于其他禁用 NetBT 的计算机。这样会影响查看网络上的计算机以及连接文件共享和网络打印机的能力。
§　诸如 WINS、本地子网广播和 Lmhosts 文件之类的 NetBIOS 名称解析技术将不再使用。所有名称解析都通过 DNS 查询和主机文件进行。
§　如果计算机需要作为客户机加入 WINS，则必须在至少一个网络连接上启用 NetBT。
§　如果 Windows 2000 Server 计算机需要运行 WINS 服务，则必须在至少一个网络连接上启用 NetBT。

禁用 NetBT 的一个很好的范例就是连接专用网络和外部网络（如 Internet）的服务器。在这种情况下，Internet 连接不要求 NetBT。通过只对 Internet 连接禁用 NetBT，双重宿主的计算机可以继续用作 WINS 服务器或内部网络的客户机，并且 WINS 客户机仍然为计算机上安装的其他物理网卡产生的连接提供服务。
    可以在 TCP/IP 协议属性中的"WINS"选项卡上禁用 NetBT。
    Windows 2000 TCP/IP 的安全功能
    Windows 2000 TCP/IP 合并了在网络上发送 TCP/IP 数据时提供保护以及处理各种本地主机通讯配置的安全功能。
    网际协议安全
    网际协议安全 (IPSec) 是一组 Internet 标准，使用加密安全服务提供：
§　机密
    IPSec 通信是经过加密的。如果不知道加密密钥，捕获的 IPSec 通信也是无法知道的。
§　身份验证
    IPSec 通信是经过数字签名的，带有共享的加密钥匙，因此接收者可以验证它是由 IPSec 端发送的。
§　数据完整性
    IPSec 通信包含合并到加密钥匙中的加密求校验和。接收方可以确认数据包在传输中是否没有被修改。

    TCP/IP 筛选
    使用 TCP/IP 筛选，在 Windows NT 4.0 中叫做"TCP/IP 安全"的功能，用户可以为每个 IP 接口严格指定所处理的传入 TCP/IP 通讯类型。这个功能设计用于隔离 Internet 或 Intranet 服务器所处理的通信，在没有"路由和远程访问"服务或其他 TCP/IP 应用程序或服务提供 TCP/IP 筛选的情况下。TCP/IP 筛选默认是禁用的。
    TCP/IP 筛选是用于入站本地主机 TCP/IP 通讯的一组筛选器。因为入站 TCP/IP 通讯的目标 IP 地址编成指定的端口地址、适当的子网广播地址或多播地址，因此本地主机通讯是由主机处理的通讯。TCP/IP 筛选不适用于接口之间转发的路由通讯。
    使用 TCP/IP 筛选，用户可以限制本地主机的入站 TCP/IP 通讯，根据：
§　目标 TCP 端口
§　目标 UDP 端口
§　IP 协议

7. 动态主机配置协议（DHCP）
    动态主机配置协议 (DHCP) 是一种简化主机 IP 配置管理的 TCP/IP 标准。DHCP 标准为 DHCP 服务器的使用提供了一种有效的方法：即管理 IP 地址的动态分配以及网络上启用 DHCP 客户机的其他相关配置信息。TCP/IP 网络上的每台计算机都必须有唯一的计算机名称和 IP 地址。IP 地址（以及与之相关的子网掩码）标识主计算机及其连接的子网。将计算机移动到不同的子网时，必须更改 IP 地址。DHCP 允许用户从本地网络上的 DHCP 服务器 IP 地址数据库中为客户机动态指派 IP 地址。对于基于 TCP/IP 的网络，DHCP 减少了重新配置计算机所涉及的管理员的工作量和复杂性。Windows 2000 Server 中的 DHCP 提供以下新功能：
§　为 DHCP 管理员和用户提供有限的服务器和控制台访问的新本地组。
§　IP 地址的自动指派
§　增强的性能监视和服务器报告能力
§　多播作用域和超级作用域的扩展作用域支持
§　对用户指定和供应商指定选项类别的支持
§　DHCP 与 DNS 的集成
§　通过使用 Active Directory 集成来检测未授权的 DHCP 服务器。
§　BOOTP 客户机的动态支持。
    在第十一章中用户还要深入的学习DHCP服务器的安装、配置与管理。

8. Windows 网际名称服务（WINS）
    Windows Internet 命名服务 (WINS) 为注册和查询网络上计算机和用户组 NetBIOS 名称的动态映射提供分布式数据库。WINS 将 NetBIOS 名称映射为 IP 地址，并设计以解决路由环境的 NetBIOS 名称解析中所出现的问题。WINS 对于使用 TCP/IP 上的 NetBIOS 路由网络中的 NetBIOS 名称解析是最佳选择。在Windows 2000 网络中仍然保留了WINS服务并且进行了改进，这主要是为了与非Windows 2000环境的客户机共同使用。Windows 2000 提供了以下 WINS 增强特性：
§　持续连接
§　手动逻辑删除
§　增强的管理实用程序
§　使用和管理高级 WINS 特性更加容易
§　增强的筛选及记录搜索功能

§　动态记录删除和多选
§　记录验证和版本号有效性
§　导出功能
§　对客户增强的容错能力
§　客户端名的动态重新插入
§　只读控制台访问 WINS 控制台。
§　WINS 服务器的命令行管理。
§　增强的数据库引擎。
    而在纯 Windows 2000 的环境中使用 DNS 作为名字确认方案，每个域都由一个 DNS 域名来代表，所以可以不使用 WINS 服务。用户将在第十二章中深入的学习 WINS 的安装与配置。

9. 动态域名服务器（DDNS）
    DNS 是域名系统 (Domain Name System) 的缩写，是一种组织成域层次结构的计算机和网络服务命名系统。DNS 命名用于 TCP/IP 网络，如 Internet，用来通过用户友好的名称定位计算机和服务。当用户在应用程序中输入 DNS 名称时，DNS 服务可以将此名称解析为与此名称相关的其他信息，如 IP 地址。动态更新允许 DNS 客户机在发生更改的任何时候使用 DNS 服务器注册和动态地更新其资源记录。它减少了对区域记录进行手动管理的需要，特别对于频繁移动或改变位置并使用 DHCP 获得 IP 地址的客户机更是如此。对于 Windows 2000 Server，DNS 服务器的服务已经集成到 Active Directory 的设计和实现中，它是由 Microsoft 为使用 Windows NT 技术的网络所设计的下一代目录服务。由于它们的结合为用户带来了以下好处：
§　以 Active Directory 的能力为基础的多主机更新和增强的安全性
§　只要将新的区域添加到 Active Directory，区域就会自动复制并同步至新的 DC
§　通过将 DNS 区域数据库的存储集成到 Active Directory 中，可以简化针为网络规划的数据库复制过程。
§　与标准 DNS 复制相比，目录复制更快捷、更有效
    用户将在第五章中深入的学习 DDNS 的安装与配置。

    10. 帐号与计算机安全
    用户帐号
    用户帐号能够让用户以授权的身份登录到计算机和域中并访问其中资源。用户帐号也可以作为某些软件的服务帐号。Windows 2000 在安装时提供了两个预定义用户帐号：
§　Administrator
    系统管理员帐号，拥有最高的权限，用户可以利用它来管理Windows2000Server 的资源，但Administrator并不是自动对Server中的所有目录和文件都拥有访问权限，管理员帐号的名称可以更改，但不可以删除。
§　Guest account
    为来客临时使用而设立的帐号，它只有很少的权限，它的名称可以更改，但也不能删除，在默认状态下它是不可用的。
    计算机帐号
    每一个运行Windows 2000和Windows NT的计算机在加入到域时都需要一个计算机帐号，就象用户帐号一样，被用来验证和审核计算机的登录过程和访问域资源。

    组
    组是可包含用户、联系人、计算机和其他组的 Active Directory 或本机对象。使用组可以：
§　管理用户和计算机对 Active Directory 对象及其属性、网络共享位置、文件、目录、打印机列队等共享资源的访问。
§　筛选器组策略设置
§　创建电子邮件通讯组
    有两种类型的组：
§　安全组
§　通讯组
    安全组用于将用户、计算机和其他组收集到可管理的单位中。为资源（文件共享、打印机等等）指派权限时，管理员应将那些权限指派给安全组而非个别用户。权限可一次分配给这个组，而不是多次分配给单独的用户。使用组而不是单独的用户可简化网络的维护和管理。
    通讯组只能用作电子邮件的通讯组。不能用于筛选组策略设置。通讯组无安全功能。
    任何时候，组都可以从安全组转换为通讯组，反之亦然，但仅限于域处于本机模式的情况下。域处于混合模式时不能转换组。

下表总结了域模式对组的作用。

本机模式域 | 混合模式域
安全组和通讯组均可具有通用作用域。 | 只有通讯组才能有通用作用域。
允许整组嵌套。 | 对于安全组，组嵌套限于具有域本地作用域的组，该组将其成员作为有全局作用域的组（Windows NT 4.0 规则）。对于通讯组，允许整组嵌套。
组可在安全组和通讯组之间自由转换。有全局或域本地作用域的组可转换为具有通用作用域的组。 | 不允许组转换。

组作用域
    每个安全组和通讯组均具有作用域，该作用域标识组在域树或树林中所应用的范围。有三类不同的作用域通用、全局和域本地。
§　有通用作用域的组可将其成员作为来自域树或树林中任何 Windows 2000 域的组和帐户，并且在域树或树林的任何域中都可获得权限。有通用作用域的组称为通用组。
§　有全局作用域的组可将其成员作为仅来自组所定义的域的组和帐户，并且在树林的任何域中都可获得权限。有全局作用域的组称作全局组。
§　具有域本地作用域的组可将其成员作为来自 Windows 2000 或 Windows NT 域的组和帐户，并且可用于仅在域中授予权限。具有域本地作用域的组称作域本地组。

    如果具有多个树林，仅在一个树林中定义的用户不能放入在另一个树林中定义的组，并且仅在一个树林中定义的组不能指派另一个树林中的权限。

通用作用域 | 全局作用域 | 域本地作用域
在本机模式域中，可将其成员作为来自任何域的帐户、来自任何域的全局组和来自任何域的通用组。 | 在本机模式域中，可将其成员作为来自相同域的帐户和来自相同域的全局组。 | 在本机模式域中，可将其成员作为来自任何域的帐户、全局组和通用组，以及来自相同域的域本地组。
在本机模式域中，不能创建有通用作用域的安全组。 | 在本机模式域中，可将其成员作为来自相同域的帐户。 | 在本机模式域中，可将其成员作为来自任何域的帐户和全局组。
组可被放入其他组（当域处于本机模式时）并且在任何域中指派权限。 | 组可被放入其他组并且在任何域中指派权限。 | 组可被放入其他域本地组并且仅在相同域中指派权限。
不能转换为任何其他组作用域。 | 只要它不是有全局作用域的任何其他组的成员，则可以转换为通用作用域。 | 只要它不把具有域本地作用域的其他组作为其成员，则可转换为通用作用域。

    内置和预定义组
    安装域控制器时，部分默认的组安装于"Active Directory 用户和计算机"控制台的"内置"和"用户"文件夹中。这些组是安全组并且代表一些公用的权利和权限集合，可用于将某些角色、权利和权限授予用户放入默认组的帐户和组。
    有域本地作用域的默认组放在"内置"文件夹中。有全局作用域的预定义组放在"用户"文件夹中。可将内置和预定义组移动到域中的其他组或组织单位文件夹，但不能将它们移动至其他域。
    内置组
    放入"Active Directory 用户和计算机"的"内置"文件夹中的默认组为：
§　帐户操作员
§　管理员
§　备份操作员
§　来宾
§　打印操作员
§　复制器
§　服务器操作员
§　用户

下表显示了这些组拥有的默认权利：

用户权利 | 允许 | 在默认情况下分配有此权利的组
从网络访问该计算机 | 连接到网上的计算机。 | 管理员、每个人、超级用户
备份文件和文件夹 | 备份文件和文件夹该权利将取代文件和文件夹权限 | 管理员、备份操作员
旁路遍历检查 | 即使用户没有访问父文件夹的权限，也可在文件夹之间移动以访问文件。 | 每个人
更改系统时间 | 设置计算机内部时钟的时间。 | 管理员、超级用户
创建页面文件 | 该权利无效。 | 管理员

（续表）

用户权利 | 允许 | 在默认情况下分配有此权利的组
调试程序 | 调试各种底层对象，例如线程。 | 管理员
从远程系统强制关机 | 关闭远程计算机。 | 管理员
增加调度优先级 | 提高进程的执行优先级。 | 管理员、超级用户
加载和卸载设备驱动程序 | 安装和删除设备驱动程序。 | 管理员
本地登录 | 通过计算机键盘在计算机上登录。 | 管理员、备份操作员、每个人、来宾、超级用户和用户

（续表）

用户权利 | 允许 | 在默认情况下分配有此权利的组
管理审计和安全日志 | 指定需要审计的资源访问（诸如文件访问）类型，并且查看和清除安全日志。该权利不允许用户设置系统审计策略。管理员组的成员始终可以查看和清除安全日志。 | 管理员
修改固件环境变量 | 修改存储于支持此类配置的计算机非易失内存中的系统环境变量。 | 管理员
图示单独的进程 | 用图表的形式显示某个进程的情况（性能数据采集） | 管理员、超级用户
图示文件系统性能 | 用图表的形式显示计算机的情况（性能数据采集） | 管理员
还原文件和文件文件夹 | 恢复备份文件和文件文件夹该权利将取代文件和目录权限 | 管理员、备份操作员

（续表）

用户权利 | 允许 | 在默认情况下分配有此权利的组
关闭系统 | 关闭 Windows 2000 | 管理员、备份操作员、每个人、超级用户和用户
取得文件或其他对象的所有权 | 取得文件、文件夹、打印机和计算机上（或连接在计算机上）的其他对象的所有权。该权利将取代保护对象的权限。有关文件和文件夹权限的信息。 | 管理员

    这些具有域本地作用域的内置组主要用于将默认权限集合指派给在该域中具有某些管理控制权的用户。例如，域中的管理员组对域中的所有帐户和资源具有广泛的管理权限。
    预定义组
    放在"Active Directory 用户和计算机"的"用户"文件夹中的预定义组有：
§　组名称
§　证书发行者
§　域管理器
§　域计算机
§　域控制器
§　域来宾
§　域用户
§　企业管理员
§　组策略管理员
§　架构管理员
    可使用这些有全局作用域的组将该域中各种类型的用户帐户（普通用户、管理员和来宾）收集到组中。然后这些组可以放入该域和其他域中有域本地作用域的组。

在默认情况下，用户创建的任何用户帐户都将自动添加到域用户组中，并且用户创建的任何计算机帐户都将自动添加到域计算机组。可使用域用户和域计算机组来表示域中创建的全部帐户。例如，如果用户希望本域中所有用户有访问打印机的权限，可将打印机的权限指派给域用户组（或将域用户组放入具有打印机权限的域本地组中）。
    特殊身份
    除"内置"和"用户"文件夹中的组以外，Windows 2000 Server 还包括几种特殊身份：为方便起见，这些身份通称为组。这些特殊组没有用户可修改的特别成员身份，但是它们能根据环境在不同时间代表不同用户。这三个特殊组为：
§　每个人
    代表所有当前网络的用户，包括来自其他域的来宾和用户。无论用户何时登录到网络上，它们都将被自动添加到 Everyone 组。
§　网络
    代表当前通过网络访问给定资源的用户（不是通过从本地登录到资源所在的计算机来访问资源的用户）。无论用户何时通过网络访问给定的资源，它们都将自动添加到网络组。
§　交互
    代表当前登录到特定计算机上并且访问该计算机上给定资源的所有用户（不是通过网络访问资源的用户）。无论用户何时访问当前登录的计算机上所给的资源，它们都被自动添加到交互组。

    组对网络性能影响
    用户登录到 Windows 2000 网络时，Windows 2000 域控制器决定用户属于哪个组。Windows 2000 创建安全令牌并将其指派给用户。安全令牌列出了用户帐户 ID 和用户所属的所有安全组的安全 ID。组成员身份可能影响网络性能，由于：
§　登录的影响
    建立安全令牌需要时间，所以用户所属的安全组越多，生成这个用户安全令牌的时间越长，并且该用户登录到网络的时间也越长。造成这一影响的程度将随着网络带宽以及处理登录过程的域控制器的配置而变化。
    有时，用户可能想创建只用于电子邮件的组，并不准备使用该组将权利和权限指派给它的成员。为提高登录性能，可创建类似通讯组的组而非安全组。因为 Windows 2000 在登录过程中生成用户安全令牌时忽略了通讯组，所以这将减少令牌的大小以及生成令牌所需的时间。

§　有通用作用域的组的复制
    对存储在全局编录中的数据的更改将复制到树林的每个全局编录中。有通用作用域的组及其成员列在全局编录中。有通用作用域的组的一个成员更改时，整个组成员身份都必须复制到域树或树林中的所有全局编录中。
    具有全局或域本地作用域的组也列在全局编录中，但未列出其成员。这将会减小全局编录的大小，并且明显减少需要随时更新全局编录的复制通信量。可通过为经常更改的目录对象使用具有全局或域本地作用域的组来提高网络性能。
§　网络带宽
    每个用户的安全令牌都被发送到用户访问的每台计算机，以使目标计算机能够对照该计算机上所有资源的权限列表比较包含在令牌内的所有安全 ID，从而决定用户在该计算机上是否有相应的权利或权限。目标计算机还检查令牌中的任何安全 ID 是否属于目标计算机上的任何本地组。
    用户所属的组越多，其安全令牌就越大。如果用户的网络有大量用户，这些大型安全令牌对网络带宽和域控制器处理能力的影响非常明显。

安全模型
    Windows 2000 安全模型的主要功能是用户身份验证和访问控制。
    用户身份验证: Windows 2000 安全模型包括用户身份验证的概念，这种身份验证赋予用户登录系统访问网络资源的能力。在这种身份验证模型中，安全性系统提供了两种类型的身份验证：交互式登录(根据用户的本地计算机或 Active Directory 帐户确认用户的身份)和网络身份验证（根据此用户试图访问的任何网络服务确认用户的身份）。为提供这种类型的身份验证，Windows 2000 安全系统包括了三种不同的身份验证机制：Kerberos V5、公钥证书和 NTLM（与 Windows NT 4.0 系统兼容）。
    基于对象的访问控制：通过用户身份验证，Windows 2000 允许管理员控制对网上资源或对象的访问。Windows 2000 通过允许管理员为存储在 Active Directory 中的对象分配安全描述符实现访问控制。安全描述符列出了允许访问对象的用户和组，以及分配给这些用户和组的特殊权限。安全描述符还指定了需要为对象审核的不同访问事件。文件、打印机和服务都是对象的实例。通过管理对象的属性，管理员可以设置权限，分配所有权以及监视用户访问。

    管理员不仅可以控制对特殊对象的访问，也可以控制对该对象特定属性的访问。例如，通过适当配置对象的安全描述符，用户可以被允许访问一部分信息，如只访问员工姓名和电话号码而不能访问他们的家庭住址。
    Active Directory 和安全性：Active Directory 通过使用对象和用户凭据的访问控制提供了对用户帐户和组信息的保护存储。由于 Active Directory 不仅存储用户凭据还存储访问控制信息，因此登录到网络的用户将同时获得访问系统资源的身份验证和授权。例如，用户登录到网络时，Windows 2000 安全系统通过存储在 Active Directory 上的信息来验证用户。然后，当用户试图访问网络上的服务时，系统检查由任意访问控制列表为这一服务定义的属性。由于 Active Directory 允许管理员创建组帐户，因此管理员可以更有效地管理系统的安全性。例如，通过调节文件属性，管理员可以允许组中的所有用户读取文件。这样，访问 Active Directory 中的对象以组成员为基础。

域的体系结构
    域和安全性
    域是网络对象的分组。例如：用户、组和计算机。域中所有的对象都存储在 Active Directory 下。Active Directory 可以常驻在某个域中的一个或多个域控制器下。每个域都是一个安全界限，这意味着安全策略和设置（例如系统管理权利、安全策略和访问控制表）不能跨越不同的域。特定域的系统管理员有权设置仅属于该域的策略。由于每个域都是一个安全壁垒，因此不同的系统管理员可以在单位中创建和管理不同的域。 理解域的关键是：
    安全策略可以贯穿整个域来实现。
    为保证数据库的同步，包括安全信息的 Active Directory 会定期复制到域中每个域控制器。
    Active Directory 中的对象可以按组织单位的不同级别进行组织和管理。
    可转移的信任关系可以建立在域树中的域之间。
    单个域和多个域
    Windows NT 4.0 限制了目录可以存储的用户帐户的个数。因此，为了适应大计算环境的需要，创建和管理多个域而且每个都拥有自己的用户帐户目录对于单位来说就非常必要了。域通常按以下两种类型进行组织：主域（存储用户和组的帐户）和资源域（存储文件、打印机、应用程序服务等等）。
    这种多域的计算环境被称为多主域模式。多主域模式意味着资源域需要与所有的主域具有多个信任关系。这些信任关系允许主域的用户访问资源域中的资源。

身份验证
    身份验证是系统安全性的一个基本方面。它负责确认试图登录域或访问网络资源的任何用户的身份。Windows 2000 身份验证允许对整个网络资源进行单独登记。采用单独登记的方法，用户可以使用单个密码或智能卡一次登录到域，然后通过身份验证向域中的所有计算机表明身份。
    身份验证过程
    在 Windows 2000 计算环境中成功的用户身份验证包括两个独立的过程：
    交互式登录向域帐户或本地计算机确定用户的身份
    网络身份验证对该用户试图访问的任何网络服务确定用户身份
    身份验证类型
    Windows 2000 支持几种工业标准的身份验证类型。验证用户身份时，Windows 2000 依据多种要素使用不同种类的身份验证。Windows 2000 支持的身份验证类型有：
    Kerberos V5 身份验证
    Kerberos V5 是在域中进行身份验证的主要安全协议。Kerberos V5 协议校验了用户的身份和网络服务。这种双重验证被称为相互身份验证。这也是为系统服务提供的默认网络身份验证方法。
    Kerberos V5 的工作原理
    Kerberos V5 身份验证机制颁发用于访问网络服务的票证。这些票证包含加密的数据，包括加密的密码，用于向请求的服务确定用户的身份。除了输入密码或智能卡凭据，整个身份验证过程对用户都是不可见的。Kerberos V5 中的一项重要服务是密钥分发中心 (KDC)。KDC 作为 Active Directory 的一部分在每个域控制器上运行，它存储了所有客户密码和其他帐户信息。

Kerberos V5 身份验证过程按如下方式工作：
    客户端系统上的用户使用密码或智能卡对 KDC 进行身份验证。
    KDC 向此客户颁发了一个特别的授权票证。客户系统使用 TGT 访问授票服务 (TGS)，这是域控制器上的Kerberos V5 身份验证机制的一部分。
    TGS 接着向客户颁发服务票证。
    客户向请求的网络服务出示服务票证。服务票证向此服务证明用户的身份，同时也向该用户证明服务的身份。
    Kerberos V5 和域控制器
    Kerberos V5 服务安装在每个域控制器上，并且 Kerberos 客户端安装在每个 Windows 2000 工作站和服务器上。 每个域控制器作为 KDC 使用。Windows 2000 系统使用域名服务器 (DNS) 查找最近的可用域控制器的位置。域控制器在用户登录会话中作为该用户的首选 KDC 运行。如果首选 KDC 不可用，Windows 2000 系统查找预备的 KDC 来提供身份验证。
    身份验证的委派
    身份验证的委派是管理员授予用户或计算机帐户的一种特权。在默认情况下，只有域管理员才被授予这一特权。这一特权必须有选择性地指派给可信任的服务。在 N 层的应用程序中，用户向中层服务验证身份。中层服务代表用户向后端数据服务器验证身份。委派取决于信任委派的中层服务。信任委派意味着这一服务可以模拟用户使用其他的网络服务。
    Kerberos V5 互操作性
    Windows 2000 支持两种类型的 Kerberos V5 互操作性：
    信任关系必须建立在域和基于 MIT 的 Kerberos 领域之间。这意味着 Kerberos 领域的客户可对 Active Directory 域验证身份，以访问该域上的网络资源。
    在某个域中，UNIX 客户和服务器可以拥有 Active Directory 帐户，并因此从域控制器获得身份验证。
    安全套接字层 (SSL) 和传输层安全性 (TLS) 的身份验证
    在用户试图访问安全的 Web 服务器时使用。
    NTLM 身份验证
    在 Windows 2000 中，NTLM 被用作域中两台计算机之间事务的身份验证协议，其中一台或两台计算机运行 Windows NT 4.0 或更早版本。Windows 2000 在默认情况下以混合模式网络配置安装。混合模式的网络配置使用 Windows NT 4.0 和 Windows 2000 的任意组合系统。如果没有混合模式网络，可以在域控制器中转换为本地模式来禁用 NTLM 身份验证。

    授权
    Windows 2000 的安全性建立在身份验证和授权之上。
    管理员可以指派特定权利组帐户或单个用户帐户。
    用户权利定义了本地级别上的功能。虽然用户权利可以应用于单个的用户帐户，但最好是在组帐户基础上管理。这样可以确保作为组成员登录的帐户将自动继承该组的相关权利。通过对组而不是对单个用户指派用户权利，可以简化用户帐户管理的任务。当组中的用户都需要相同的用户权利时，用户可以一次对该组指派用户权利，而不是重复地对每个单独的用户帐户指派相同的用户权利。
    对组指派的用户权利应用到该组的所有成员（在它们还是成员的时候）。如果用户是多个组的成员，则用户权利是累积的，这意味着用户有多组权利。指派给某个组的权利只有在特定登录权利的情况下才会与指派给其他组的权利发生冲突。然而，指派给某个组的用户权利通常不会与指派给其他组的权利冲突。要删除用户的权利，管理员只需简单地从组中删除用户。在这种情况下，用户不再拥有指派给这个组的权利。
    用户权利有两种类型：特权和登录权利。
§　特权。特权的一个典型范例就是备份文件和目录的权利。
§　登录权利。登录权利的一个典型范例就是登录本地系统的权利。

    审核
    安全审核是 Windows 2000 的一项功能，负责监视各种与安全性有关的事件。监视系统事件对于检测入侵者以及危及系统数据安全性的尝试是非常必要的。
    应该被审核的最普通的事件类型包括：
§　访问对象，例如文件和文件夹
§　户和组帐户的管理
§　用户登录以及从系统注销时
    除了审核与安全性有关的事件，Windows 2000 还生成安全日志并提供了查看日志中所报告的安全事件的方法。

安全策略
    安全设置定义了系统的安全相关操作。通过对 Active Directory 中组策略对象的使用，系统管理员可以集中应用保护企业系统所要求的安全级别。
    确定包括多台计算机的组策略对象的设置时，必须考虑给定站点、域或单位的组织和功能特征。例如，销售部门的计算机和财务部门的计算机对安全级别的需要就大不一样。
    安全设置
    安全设置包括安全策略（帐户和本地策略）、访问控制（服务、文件、注册表）、事件日志、组成员（受限的组）、网际协议 (IP) 的安全策略和公钥策略。
    安全模板
    安全模板是安全配置的物理表现：一组安全设置应该存储于一个文件中。Windows 2000 包括一组以计算机的角色为基础的安全模板：从低安全域客户端的安全设置到非常安全的域控制器。这些模板可用于创建自定义安全模板，修改模板或者作为自定义安全模板的基础。
    安全配置工具
    管理员可使用安全模板管理单元来定义和使用安全模板。
    管理员可使用安全配置和分析管理单元来配置和分析本地的安全性。
    管理员可使用组策略管理单元来配置 Active Directory 中的安全性。

    数据保护
    数据的保密性和完整性开始于网络的身份验证。用户可以通过适当的凭据（安全的密码或者公钥凭据）在网络上登录，并在此过程中获得访问存储数据的权限。
    Windows 2000 支持两种数据保护方式：存储数据和网络数据。以下部分介绍这两种类型的保护方式。
    存储数据的保护
    保护存储的数据（联机或是脱机）可以通过：
    文件加密系统 (EFS)：EFS 使用公钥加密技术对本地的 NTFS 数据进行加密。
    数字签名:数字签名对软件组件进行签名以确保它们的合法性。
    网络数据的保护
    在用户的工作环境（局域网和子网）中的网络数据通过身份验证协议来保护它的安全。用户也可以选择其他的安全级对用户工作环境中的网络数据进行加密。使用网际协议 (IP) 的安全机制，用户可以为指定的客户端或某个域中的所有客户端的所有网络通讯数据进行加密。
    传入及传出用户所在工作环境的网络数据（通过内部网、外部网或 Internet 网关）可以通过使用以下实用程序进行保护：
    网际协议安全。对客户端的所有 TCP/IP 通讯进行加密。
    路由和远程访问。配置远程访问协议和路由。
    代理服务器。为站点提供防火墙和代理服务器。
    另外，象 Microsoft Exchange、Microsoft Outlook 和 Microsoft Internet Explorer 这样的程序都提供了某个站点内或者整个网络上的信息和事务的公钥加密。

公钥基础结构
    在这个信息互连的时代，单位的网络可能包括内部网、Internet 站点和外部网这些都有可能被一些未经授权、蓄意盗阅或更改单位数字信息财产的个人访问。
    有许多潜在的机会可未经授权访问网络上的信息。个人可以尝试监视或更改类似于电子邮件、电子商务和文件传输这样的信息流。用户的单位可能与合作伙伴在限定的范围和时间内进行项目合作，有些雇员用户虽然一无所知，但却必须给他们一定的权限访问用户的部分信息资源。如果用户的用户为了访问不同安全系统需要记住许多密码，他们可以会选择一些防护性较差或很普通的密码，以便于记忆。这不仅给黑客提供一个容易破解的密码，而且还提供了众多安全系统和存储数据的访问。
    那么，系统管理员怎样才能确定正在访问信息的用户的身份而且利用身份对被访问的信息进行控制呢？另外，系统管理员怎样才能轻松而安全地分发和管理单位中的身份凭证呢？这些都是可以通过仔细规划的公钥基础结构解决的问题。
    通常缩写为 PKI 的公钥系统是由数字证书、证书颁发机构 (CA) 以及核实和验证通过公钥加密方法进行电子交易的每一方的合法性的其他注册颁发机构所构成的系统。尽管作为电子商务必要组成部分的公钥基础结构 (PKI) 已被广泛应用，但它仍然在发展之中。有关规划 PKI 和使用公钥加密的详细信息，请参考资源：公钥基础结构

一个单位选择使用 Windows 2000 配置 PKI 的原因有很多：
§　强大的安全性。通过智能卡获得强大的身份验证。也可以通过使用网际协议 (IP) 的安全机制来维护传输在公网上的数据保密性和完整性，并使用 EFS（文件加密系统）维护已存储数据的保密性。此外，管理员可以使用 Windows 2000 安全权限来确定何种证书可以颁发到哪个用户。
§　简化管理。用户的单位可以颁发证书以取代密码。必要时可以吊销证书并公布证书吊销清单 (CRL)。管理整个企业的信任关系也有极大的灵活性。也可以利用与 Active Directory 和组策略结合的证书服务。在 Windows 2000 中还提供了将证书映射为 Active Directory 中的或通过 Internet 信息服务 (IIS) 得到的用户帐户的功能。
§　新的机遇。可以在 Internet 这样的公网上安全地交换文件和数据。用户可以通过使用 S/MIME（安全的多用途 Internet 邮件扩展)实现安全的电子邮件传输，使用安全套接字层 (SSL) 或传输层安全性(TLS) 实现安全的 Web 连接。
    而且，作为电子商务的重要组成部分，用户可以使用数字签名建立相互信任。

Windows 2000 特性可以帮助用户的组织执行公钥基础结构，包括：
§　证书。证书主要是证明证书持有人的身份颁发机构所颁发的数字声明。证书将公钥与拥有相应私钥的个人、计算机或服务绑在一起。证书由各种公钥安全服务和提供身份验证的应用程序、数据完整性和通过网络的安全通讯（例如 Internet）使用。
    Windows 2000 中基于证书的进程所使用的标准证书格式是 X.50d0av3。X.50d0a 证书包括接受证书的个人或实体的有关信息、证书的有关信息以及有关证书颁发机构的可选信息。主题信息可能包括实体名称、公钥、公钥算法以及可选择的唯一主题标识。版本 3 证书的标准扩展部分则包含与密钥标识、密码用法、证书策略、候选名称和属性、证书路径约束相关的信息，以及用于吊销证书的增强部分，其中包括吊销的原因和由 CA 更新的 CRL 部分。

§　Windows 2000 Server 上的证书服务。证书服务是 Windows 2000 用来创建和管理证书颁发机构 (CA) 的组件。CA 负责建立和确定证件持有者的身份。如果证书不再有效，CA 会吊销证书并公布由证书核对者使用的证书吊销列表 (CRL)。最简单的 PKI 设计只有一个根 CA。然而实际上，部署 PKI 的大部分组织会使用多个 CA，这些 CA 被组织成称为证书层次结构的信任组。
    证书服务的个别组件是 CA Web 登记页面。这些 Web 页是在用户安装 CA 时默认安装的，并允许证书申请者使用 Web 浏览器递交证书申请。另外，也可以在未安装证书颁发机构的 Windows 2000 服务器上安装 CA Web 页面。在这种情况下，系统使用 Web 页直接将证书申请递交给 CA，而不管是什么原因，用户都不希望申请者直接访问。如果用户选择为单位创建自定义的 Web 页以访问 CA，那么在 Windows 2000 中提供的页面可作为范例。
§　智能卡支持。Windows 2000 支持通过智能卡上的证书登录，以及使用智能卡存储用于 Web 身份验证、安全的电子邮件以及与公钥加密相关的其他活动的证书。
    公钥策略。在 Windows 2000 中可以使用组策略自动给计算机指派证书、建立证书信任表和公用的信任证书颁发机构，以及为 EFS（文件加密系统）管理恢复策略。

  相关内容：（本教程出自：www.365edu.com）
第一章、windows2000Server新功能及安装
第二章、windows2000网络客户端的安装和配置
第三章、配置远程安装服务和设置用户配置文件
第四章、windows2000的基本管理
第五章、DNS服务器的配置与管理
第六章、活动目录服务的基本安装和配置
第七章、管理计算机和用户帐号
第八章、文件和打印系统的配置与管理
第九章、数据存储
第十章、安全管理