win2003域服务器密码安全策略是灰色，不能修改

不能用gpeditmsc进入修改，是改不了的，看到的是灰色的,不能更改。

要这样进入才可更改：

依次单击“开始”→“管理工具”→“域安全策略”，打开“默认域安全设置”窗口。在左窗格中依次展开“安全设置/账户策略”目录，并单击选中“密码策略”选项。然后在右窗格列表中双击“密码必须符合复杂性要求”选项，在打开的“密码必须符合复杂性要求 属性”对话框中选中“已禁用”单选框，并单击“确定”按钮

为了使域策略设置马上生效，可使用gpupdate命令进行刷新

　　什么是EAD　　EAD英文全称为Encoded Archival Description，中文译为编码档案著录（或档案置标著录）,EAD由档案工作者参与制定，为档案工作者所使用，是真正属于档案工作者的编码标准。因此，它是档案工作者编制检索工具最合适的方法。目前，EAD以XML（eXtensible Markup Language，可扩展标识语言）做为编码标准，它能够支持档案工作者惯用检索工具的一般结构，而且不依赖于某些特定平台、对万维网有良好的适应性、并且具有足够的灵活性而可以适用于多种类型的馆藏。EAD受到了广泛的欢迎，具有在世界范围的档案保管机构普及应用的趋势，它必将成为网络环境下档案馆、图书馆、博物馆处理档案与手稿资料最常用的元数据(Metadata)。

1、安装网络访问保护功能;打开Win2008系统的“开始”菜单，从中依次选择“程序”/“管理工具”/“服务器管理器”命令，从其后出现的服务器管理器窗口左侧区域单击“角色”节点选项，并在对应该节点的右侧显示区域单击“添加角色”功能，打开角色添加向导窗口，依照提示将“网络策略和访问服务”项目选中，之后点击“安装”按钮，再按向导默认设置完成网络访问保护功能的安装任务; 2、创建健康安全标准;在进行这种操作时，我们可以先单击系统任务栏中的“服务器管理器”按钮，从弹出的服务器管理器窗口左侧区域处逐一点选“角色”、“网络策略和访问服务”、“NPS”、“网络访问保护”、“系统健康验证器”节点选项，再单击目标选项右侧区域中的“属性”按钮，打开安全健康验证对话框，点选“配置”按钮，选中常规的“防病毒应用程序已启用”、“已为所有网络连接启用防火墙”、“防病毒程序为最新的”等几种健康安全标准，以后任何需要连接到局域网中的计算机必须同时符合上面的健康标准，Win2008系统才会认为它是健康、安全的计算机; 3、创建安全验证策略;在创建健康的安全验证策略时，我们可以先将鼠标定位于服务器管理器窗口左侧区域中的“网络策略服务器”节点选项，再从目标节点下面逐一“策略”、“健康策略”分支，在目标分支下面再点选“新建”按钮，从弹出的安全验证策略对话框中将新的“策略名称”设置为“健康计算机”，将“客户端SHV检查”参数设置为“客户端通过了所有SHV检查”，将“此健康策略中使用的SHV”参数选择为“Windows安全健康验证程序”，最后单击“确定”按钮结束健康的安全验证策略创建操作;按照同样的操作步骤，我们还可以创建一个不健康的安全验证策略，只是在创建这种策略时，我们必须将“客户端SHV检查”参数选择为“客户端未能通过一个或多个SHV检查”，其余参数都和上面相同就可以了; 4、创建新的网络连接策略;将鼠标先定位于服务器管理器窗口左侧区域处“网络策略和访问服务”节点上，并从该节点下面依次点选“NPS”、“策略”、“网络策略”选项，从目标选项下面点选“新建”按钮，此时系统屏幕上会出现一个创建网络连接策略向导窗口;在这里将“策略名称”参数设置为“健康连接”，将“网络访问服务器类型”选项选择为“DHCP Server”，再从其后界面中单击“添加”按钮，同时将“选择条件”选择为先前创建好的“健康计算机”策略，再根据向导默认提示逐一点选“已授予访问权限”、“仅执行计算机健康检查”设置选项，最后再将“策略设置”参数设置为“NAP强制允许完全网络访问”，同时单击“完成”按钮结束网络连接策略创建工作。再按照相同的操作步骤，我们创建一个“不健康连接”的网络策略，只是在进行这种操作时，我们必须将“选择条件”参数选择为“不健康计算机”策略，并且将“策略设置”参数设置为“拒绝访问”选项，其余参数跟上面一模一样; 5、对DHCP服务功能进行设置;考虑到普通计算机在访问网络时，首先需要联系局域网中的DHCP服务器，因此我们还必须设置好合适的DHCP服务参数，保证所有计算机的上网连接请求通过DHCP功能转交给Win2008系统的网络访问保护功能进行处理。依次单击服务器系统桌面中的“开始”/“程序”/“管理工具”/“服务器管理器”/“DHCP”选项，进入DHCP服务器控制台界面，打开目标作用域的属性界面，点选该界面中的“网络访问保护”选项卡，在对应选项设置页面中选中“对此作用域启用”选项，同时选中“使用默认网络访问保护配置文件”，最后单击”确定“按钮执行设置保存操作。 通过上述五个步骤的操作之后，用户就可以轻松地在windows2008系统下开启网络访问功能，只要有存在威胁的计算机要连接入网时，就会受到win2008网络访问保护功能的控制，以免将病毒传染给其他计算机，保证了局域网内的网络安全。

Windows server 2008发布于08年2月份，是微软网络接入保护(NAP)计划的组成部分，它拥有微软期待已久的专有网络访问控制架构。本文将讲解NAP在安装过程中需要配置的内容。但是，考虑到微软的Forefront软件或第三方NAP相关附加产品本身有很多的特性和功能，因此我们所讲解的只是一个简单的配置，以及部分NAP功能。

　　我们先打开Network Policy Server然后在下拉框里面配置NAP：

　　注意到它支持各种不同的网络连接方法，包括DHCP，8021x和***。可以选择任何一种连接方法，它们都可以使端点连接到受保护的网络，然后给予该选择一个名称。在配置界面底部提供了帮助文件，这些文件说明了一些在安装过程中的需求。它们不同于一般的帮助文件，不仅非常好的描述了该网络基础架构中需要的元素，而且指出了哪些元素是系统不支持的。

　　例如，有线8021X就可以使该向导建立连接请求策略以及健康配置NAP网络系统。

　　8021x使用的NAP enforcement

　　基于端口的网络访问控制8021x使用的NAP enforcement客户端的部署是基于运行在网络策略服务器(NPS)和EAP enforcement主客户端组件之上的。使用基于8021x的NAP enforcement客户端，NPS服务器可以指示一个8021X认证交换机和兼容8021X的无线接入点,从而调整不符合8021x网络的客户端。NPS服务器通过运用IP过滤器和虚拟局域网连接标识符，可以限制客户端的网络接入。 8021x的enforcement客户端通过访问8021x的服务器，对所有访问网络的计算机提供强大的网络访问限制。

　　有线8021x的需求

　　要部署基于有线8021x的NAP，你必须作以下配置：

　　需要配置NPS连接请求策略，网络策略，和NAP健康策略。你可以使用NPS控制台来配置这些策略，也可以使用新的网络访问保护(NNAP)向导。

　　安装和配置8021x的认证交换机。

　　保证可以使用NAP,并且客户端使用EAP enforcement验证机制，并且保证客户端的NAP服务开启。

　　根据你的NAP部署来配置Windows安全健康验证器(WSHV)或安装和配置其他健康系统(SHAs)。

　　如果你使用了智能卡或证书来进行PEAP-TLS或EAP-TLS与TLS验证的，需要使用活动目录的证书服务(AD CS)来部署一个公共密钥基础设施(PKI)。

　　如果你使用PEAP-MS-CHAP第二版，需要使用AD CS来进行服务器端的认证或者从其它受信的根证书颁发机构购买服务器认证。

　　无线8021x的需求

　　要部署基于无线8021x的NAP，你必须作以下配置：

　　需要配置NPS连接请求策略，网络策略，和NAP健康策略。你可以使用NPS控制台来配置这些策略，也可以使用新的网络访问保护(NNAP)向导。

　　安装和配置8021x的无线访问接入点。

　　保证可以使用NAP,并且客户端使用EAP enforcement验证机制。

　　根据你的NAP部署来配置Windows安全健康验证器(WSHV)或安装和配置其他健康系统(SHAs)。

　　在这一点上，如果为了达到测试目的，我建议你选择DHCP。配置一个独立的Windows Server 2008服务器并选择了8021x的连接可能会带来很多问题。微软的网站上支持页面有关于PEAP-TLS身份验证和Windows Server 2008的更多信息。

　　接下来，添加一个RADIUS客户端节点，比如身份验证交换机。它们不是客户端PC，但其他任何用户的身份验证过程都需要与RADIUS服务器对话。

　　其次，建立一个有相同策略要求的组，比如客户工作人员或者人力资源工作人员。这些群体必须已经建立在Active Directory(活动目录)中。可以到Manager/Configuration/Groups部分然后增加这些组。

　　下一步是建立一个修复服务器组来存储更新软件和修复不符合策略要求客户端电脑。也可以包括一个URL，为没过通过评估用户提供相关信息，使其到达评价标准，如下图所示：

　　下一步是建立一个健康策略，使用的是NAP服务器的健康验证器。在此屏幕上，有一个选项，用于确定PC不通过审核后将会怎样：它可以只能访问受限网站，或者被获准进入所有网络。(注意这两个选项在下面的屏幕截图屏幕底部的复选框)。

　　这就是健康策略定义。点击完成，回到网络策略服务器管理器，在NAP菜单树上，右键系统健康验证器其属性表，如下所示：

　　这里两个标签，分别对应XP客户端和Vista客户端，另外，Vista的标签有更多的项目配置项。那么对于老版本的Windows和非Windows操作系统客户端怎么办呢其实，他们不包括在NAP中。对这些机器进行网络访问管理，必须有额外的第三方软件。

　　在这里，告诉验证器检查每台电脑，确认他们是否打开了防火墙，安装防病毒更新，等等。一旦完成，再次回到策略服务器的策略菜单树，并确保所有的各项策略得到正确设置。这里显示了由向导已经配置的各项网络策略：

　　单击确定，这时你已成功的设置你的第一个NAP服务器!有些服务可能需要调整，以便在开机时它们能正常启动，如果不使用这些服务则不必进行调整。

　　同样，请记住，这只是一个基础的配置。杀毒软件供应商及

　　代理等将需要挂接到该服务器，接下来，你就可以开始体验NAP和Windows Server 2008了。

1 安装NWlink IPX/SPX/NetBIOS Compatible Transport Protocol协议。

2 开启Guest账号：右击我的电脑\管理\用户有个Guest，双击之去掉“账户已停用”前面的勾。

3 右击我的电脑\属性\计算机名，查看该选项卡中出现的局域网工作组名称名称一致

4 使用winxp防火墙的例外：winxp防火墙在默认状态下是全面启用的，这意味着运行计算机的所有网络连接，难于实现网上邻居共享。同时，由于windows防火墙默认状态下是禁止“文件与打印机共享的”，所以，启用了防火墙，往往不能共享打印，解决办法是：进入“本地连接”窗口，点“高级”\“设置”\“例外”\在程序与服务下勾选“文件和打印机共享”。

5 删除“拒绝从网络上访问这台计算机”项中的guest账户：运行组策略（gpeditmsc）\本地计算机\计算机配置\windows设置\安全设置\本地策略\用户权利指派\拒绝从网络访问这台计算机。如果其中有guest，则将其删除。（原因是：有时xp的guest是不允许访问共享的）

禁用“帐户：使用空白密码的本地帐户只允许进行控制台登录”

6 取消“使用简单文件共享”方式：资源管理器\工具 --文件夹选项FONT face=Times New Roman>\查看\去掉“使用简单文件共享（推荐）”前面的勾。

7 检查注册表：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa右边窗口RestrictAnonymous的值是否为0。（默认是0，你可跳过去。如果不行在回到这里；如没有这一项，不管它。）

8 勾选“本地连接\属性\Microsoft网络的文件和打印机共享”。

9 运行服务策略“Servicesmsc”。启动其中的“Clipbook Server”(文件夹服务器)：这个服务允许你们网络上的其他用户看到你的文件夹。当然有时你可把它改为手动启动，然后再使用其他程序在你的网络上发布信息。

10 无法启动Clipbook服务。错误1068：依存服务或组无法启动。需要这样的步骤（你可以看他们的依存关系）：首先开启 Network DDE DSDM （如果已开启，进入第二步），其次开启 Network DDE，然后开启 Clipbook。

03系统例举

01首先打开控制面板，进入“管理工具”，然后双击打开“本地安全策略”

02使用鼠标右键单击左方的“ip

安全策略，在

本地计算机”选项，并选择“创建

ip

安全策略”选项

03点击“下一步”按钮

04设置一个ip策略名称，例如设置为“端口限制策略”，使用其它名称也可以

05点击“下一步”按钮

06去掉“激活默认响应规则”选项的勾

07点击“下一步”按钮

08点击“完成”按钮

09去掉右导”选项的勾

10现在先开始添止所有机器访问服务器，点击“添加”按钮

11点击“添加”按钮

12设置ip筛选器的名称，例如设置为“禁止所有机器访问服务器”，使用其它名称也可以

13点击“添加”按钮

14如果该服务器不打算上网，则可以将“源地址”设置为“任何

ip

地址”。如果需要上网，建议设置为“一个特定的

ip

子网”，并设置ip地址为与该服务器ip地址相同的网段，例如服务器ip地址是192168110，则可以设置为19216810，也就是前面3个数字是相同的，后面最后一位填1即可，并设置子网掩码，这个设置和服务器子网掩码一致即可（具体请自行查看服务器的子网掩码），如果局域网都是在1921681的范围，则直接设置为2552552550即可

15将“目标地址”设置为“我的

ip

地址”

16点击“确定”按钮

17点击“确定”按钮

18选择刚创建的ip筛选器（即12步中设置的名称）

19切换到“筛选器操作”选项页

20去掉“使用添加向导”选项的勾

21点击“添加”按钮

22选择“阻止”选项

23切换到“常规”选项页

24设置筛选器操作名称，建议设置为“禁止”或“阻止”，使用其它名称也可以

25点击“确定”按钮

26选择刚创建的筛选器操作（即24步设置的名称）

27点击“应用”按钮

28点击“确定”按钮

29现在开始添加允许访问该服务器的机器，点击“添加”按钮

30点击“添加”按钮

31设置ip筛选器名称，建议设置为“允许访问的机器”，使用其它名称也可以

32点击“添加”按钮

33将“源地址”设置为“一个特定的

ip

地址”，并设置下方的ip地址为允许访问该服务器的ip中的一个（每次只能添加一个，所以需要慢慢添加）

34设置“目标地址”为“我的

ip

地址”

35点击“确定”按钮

36重复32至35步将要允许访问该服务器的ip全部添加

37点击“确定”按钮

38选择刚创建的“ip

筛选器”（即31步设置的名称）

39切换到“筛选器操作”选项页

40选择“许可”选项

41点击“应用”按钮

42点击“确定”按钮

43点击“确定”按钮

44使用鼠标右键单击刚创建的ip策略（即第4步设置的名称），并选择“指派”即可

45以后需要添加、修改、删除允许访问的ip时，可以编辑该ip策略的ip筛选器进行设置

注意：需要注意的是并非设置了ip策略后就能100%保证其它机器无法访问服务器，因为如果他人知道您允许哪个ip访问该服务器，对方可以修改自己的ip地址，以获得访问权限ip，这样您的策略就失效了。因此您可能还需要在服务器上绑定允许访问该服务器的ip地址的mac地址（可以使用arp

-s命令来绑定），并在路由器中对这些ip绑定mac地址。不过对方也可以修改mac地址来获取访问权限，因此使用ip安全策略并非绝对安全。

1在“网络策略服务器”窗口中，展开左侧窗中节点树，右击“网络策略”，选择“新建”。

2在“指定网络策略名称和连接类型”窗口，输入策略名称，选择访问服务器的类型为“远程访问服务器”，单击“下一步”。

3在“指定条件”窗口中，设定的条件与连接请求策略的条件相同。单击“下一步”。

4在“指定访问权限”，窗口，选择“以授予访问权限”，单击“下一步”。

5在“配置身份验证方法”窗口，确保选择了“Microsoft 加密身份验证版本 2 ”，单击“下一步”

6在“配置约束”窗口，使用默认配置，单击“下一步”。

7在“配置设置”窗口，使用默认配置，单击“下一步”。

8在“正在完成新建网络策略”窗口，单击“完成”完成网络策略的建立。

9在“网络策略服务器”窗口中，右击新建的网络策略。选择“上移”。