20CN网络安全小组论坛 - 菜鸟乐园

论坛: 菜鸟乐园标题: 有关域控制的问题

作者: greenwater [greenwater]

论坛用户

条件：
有一台服务器A（WINDOWS 2000 SERVER），并配置成域（123.com）；有两台工作站B 和 C （WINDOWS 2000 PRO）；在域（123。COM）中，设立了四个用户B1、B2、C1、C2；在网络连通的情况下，四个用户分别能在B 和登录到域中。我已设立禁止本地登录。

问题1：
1、如果是在域中设立锁定用户B1，在网线通的情况下，我不能登录到电脑中。
2、但在网线不通的情况下，我还是能用B1登录到电脑中主问如何控制它不能登录。

问题2；
我如何控制在B电脑中只能让B1和登录，而C1和C2不行。

（都是在知道密码的情况下）

地主发表时间: 11/27 23:41

回复: syshunter [syshunter]

版主

首先明确下：域帐号和本地帐号是两个概念。因为不大明白你的意思，所以只能和你讨论前两个问题：（

引用:

1、如果是在域中设立锁定用户B1，在网线通的情况下，我不能登录到电脑中。

锁定是什么概念？B1是域用户的话，你在控制器上锁定了，选择登陆到*域的话，很明显，肯定是不行了。

引用:

2、但在网线不通的情况下，我还是能用B1登录到电脑中主问如何控制它不能登录

还是没明白你的意思，网线不通了还能登陆，说明B1用户属于本地用户，但不属于域用户。

[此贴被 §溶(syshunter) 在 11月28日0时54分编辑过]

B1层发表时间: 11/28 0:7

回复: NetDemon [netdemon]

ADMIN

//四个用户分别能在B 和登录到域中。我已设立禁止本地登录//

你要明确。域服务器的所谓本地，指的是域服务器这台电脑本身
这里的禁止本地登陆是禁止在服务器这台电脑上登录

如果B机本身没有B1这个账号，在网箱不通的情况下，B1绝对没办法登陆

2.在域用户管理中设置，请认真看，有的
我现在手头没有控制器没法给你具体设置

B2层发表时间: 11/28 00:19

回复: greenwater [greenwater]

论坛用户

你好，

我所说的是域用户名和密码，在网线不通的情况下，那一定是登录到本地电脑的。现在我想让用这个用户名和密码无法登录到本地，要如何办！请问我在本地工作站要如何设置。

greenwater

B3层发表时间: 11/28 17:25

回复: syshunter [syshunter]

版主

网线不通了，你的域用户就一点不起作用了，本地用户才可以选择登陆到本地。

B4层发表时间: 11/28 17:30

回复: SANKKING [sankking]

论坛用户

  “四个用户分别能在B 和登录到域中” 请问“登录到域中”是什么概念？

    是从B机子登陆到服务器A吗～？

－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－
  但在网线不通的情况下，我还是能用B1登录到电脑中主问如何控制它不能登录
－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－
  这句中的“还是能用B1登录到电脑中”是指登陆到哪台电脑？是登陆B吗？

而前面说的网络通的话不能登陆又是指不能登陆哪台呢～？

B5层发表时间: 11/28 18:49

回复: greenwater [greenwater]

论坛用户

你们好，

服务器是A（域为123.COM）
工作站分别为B1、B2、B3、B4
在服务器有四个域用户a1\a2\a3\a4 ；密码为a1p\a2p\a3p\a4p

在网络相通的时候，可以用四个域用户分别在每台工作站上登录到域（123.COM）。这正确吧？

如果a1在工作站B1中成功地登录过域，然后关闭工作站，而后在服务器A中设定a1为锁定。分别有两种情况了：

1），如果网络是相通的那么a1不能在任何工作站登录到服务器A即域（123.com)中，对吧？也就是说无法使用这台电脑（因为根本进不到工作站B1的桌面）。
2）如果B1工作站到服务器A的网线拔掉后，那么a1可以在工作站B1上进入这台电脑。（我实验了好多次了）。

我要问的是：

如何控制第二种情况让a1不能在工作站B1中进入到这台电脑中，（首先有没有可能实现这种情况，如有？）请问在服务器中还是在工作站中，做如何设置？

greenwater

20002022202

B6层发表时间: 11/29 11:44

回复: syshunter [syshunter]

版主

引用:

2）如果B1工作站到服务器A的网线拔掉后，那么a1可以在工作站B1上进入这台电脑。（我实验了好多次了）。

比较怪，等有机会我实验下。

B7层发表时间: 11/29 11:51

回复: greenwater [greenwater]

论坛用户

因为a1得不到来自服务器Ａ的验证呀！

B8层发表时间: 11/29 11:59

回复: lwai [lwai]

在2k的域中（AD)，一般用户是不能从本地（或telminial)登陆服务器的（默认情况，正常手段）。
2）如果B1工作站到服务器A的网线拔掉后，那么a1可以在工作站B1上进入这台电脑。（我实验了好多次了）。
这种情况的原因有二种：一是你在工作站上登陆的只是登陆工作站本身；
二是你的工作站本身就没有在服务器的域下（与拨网线无关），
二种情况都是你在工作站上有a1这个用户。你只要把a1这个user 删除（从工作站上），它怎么还能在网线拨了的情况下登陆服务器。
要达到你想做的目的，可以这样做：
所有的工作站加入域中；
在你的AD中设定相应的用户，并且每个用户只能登陆所允许的工作站；（在用户属性中可直接设置）
在工作站中不建立任何用户，并自己管理工作站的密码；（一定要这样，要不你的用户在你将他的帐户锁定后，他还能直接用本地帐号登陆工作站本身）

B9层发表时间: 11/29 13:23

回复: greenwater [greenwater]

论坛用户

曾经：
你好，
工作站不就是域中的计算机吗？当你用户一登录到服务器中，不就会到域中吗？我还要如何添加呢？而我在工作站上根本就没有设立用户。我要如何删除呢？当工作站添加到域中后，本地安全策略根本就没有用呀！

greenwater

B10层发表时间: 11/29 16:36

回复: lwai [lwai]

你可能有一些概念上的误区。建议你去看一下有关AD方面的文章。
从你文字上描述的看，应该是我说的那二种情况！
域中计算机在登陆域时，如没有找到服务器时，在98中会提示你无法找到。
在2k中，你根本无法登陆的。
你所说的disable a1是指禁到a1用户还是a1电脑名。如是a1用户的话，它肯定会提示你用户名被禁掉的。（电脑名的话，我没有多方试过，98中有一种情况是不让你登陆的）
设置域策略后，本地策略并非一定不能用！

（我以上的都是（默认情况，正常手段））。

另外你的工作站是什么系统？

B11层发表时间: 11/30 15:49

回复: greenwater [greenwater]

论坛用户

你好，
我用的工作站是windows 2000 pro，我知道window 98是根本进不入电脑的，但是是windows 2000 pro 的话，那一定可以进入电脑（我的意思也就是能够打开这台电脑来使用）。对这个，我实验了几十次了。我也做了好多的实验。

greenwater

B12层发表时间: 12/01 10:13

回复: lwai [lwai]

这样的话，你把你的工作站的电脑属性截图及登陆时的截图发到我的EM中来。

B13层发表时间: 12/02 09:24

回复: sunping [sunping]

论坛用户

你是否在本地计算机上设置了和dm相同的账号a1？

B14层发表时间: 12/21 14:37

论坛: 菜鸟乐园