WINDOWS2003安全策略设置
windows Server 2003使用ip安全策略禁止ip访问服务器的方法
Windows下搭建Subversion 服务器一、准备工作1、获取Subversion 服务器程序到官方网站（/）下载最新的服务器安装程序。
目前最新的是1.5版本，具体下载地址在：/servlets/ProjectDocumentList?folderID=8100&expandFolder=8100&f olderID=912、获取TortoiseSVN 客户端程序从官方网站/downloads 获取最新的TortoiseSVN 。
TortoiseSVN 是一个客户端程序，用来与subvers 服务器端通讯。
Subversion 自带一个客户端程序svn.exe ,但TortoiseSVN 更好操作，提高效率。
二、安装服务器端和客户端安装Subversion（以下简称SVN）的服务器端和客户端。
下载下来的服务器端是个zip 压缩包，直接解压缩即可，比如我解压到E:\subversion 。
客户端安装文件是个exe 可执行文件，直接运行按提示安装即可，客户端安装完成后提示重启。
三、建立版本库（Repository）运行Subversion服务器需要首先要建立一个版本库（Repository）。
版本库可以看作是服务器上集中存放和管理数据的地方。
开始建立版本库。
首先建立e:\svn 空文件夹作为所有版本库的根目录。
然后，进入命令行并切换到subversion的bin目录。
输入如下命令：svnadmin create E:\svn\repos1此命令在E:\svn 下建立一个版本库repos1 。
repos1 下面会自动生成一些文件夹和文件。
我们也可以使用TortoiseSVN 图形化的完成这一步：先建立空目录E:\svn\repos1 ，注意一定是要空的。
然后在repos1 文件夹上“右键->TortoiseSVN->Create Repository here...”，然后可以选择版本库模式，这里使用默认的FSFS 即可，然后就创建了一系列文件夹和文件，同命令行建立的一样。
Win 2003 Server 服务器安全设置(六)本地安全策略
Win 2003 Server 服务器安全设置（七）服务器安全设置之--本地安全策略设置
安全策略自动更新命令：GPUpdate /force (应用组策略自动生效不需重新启动) 开始菜单—>管理工具—>本地安全策略
A、本地策略——>审核策略
审核策略更改成功失败
审核登录事件成功失败
审核对象访问失败
审核过程跟踪无审核
审核目录服务访问失败
审核特权使用失败
审核系统事件成功失败
审核账户登录事件成功失败
审核账户管理成功失败
B、本地策略——>用户权限分配
关闭系统：只有Administrators组、其它全部删除。
通过终端服务拒绝登陆：加入Guests、User组
通过终端服务允许登陆：只加入Administrators组，其他全部删除
C、本地策略——>安全选项
交互式登陆：不显示上次的用户名启用
网络访问：不允许SAM帐户和共享的匿名枚举启用
网络访问：不允许为网络身份验证储存凭证启用
网络访问：可匿名访问的共享全部删除
网络访问：可匿名访问的命全部删除
网络访问：可远程访问的注册表路径全部删除
网络访问：可远程访问的注册表路径和子路径全部删除
帐户：重命名来宾帐户重命名一个帐户
帐户：重命名系统管理员帐户重命名一个帐户。
Windows Server2003限制IP访问
windows Server 2003使用ip安全策略禁止某ip访问服务器的方法修改浏览权限|删除
windows Server 2003使用ip安全策略禁止某ip访问服务器的方法下面有文字与图片，请耐心观看......
控制面板—管理工具—本地安全策略或者命令 gpedit.msc
选择创建 IP 安全策略
点选下一步
我们就是要禁止他,不和他说话,那么,取消勾选
直接按完成.那个勾选是默认的
注意右下的”添加向导”,如果勾选了,取消他,然后点击”添加”
选中刚刚建立的禁止ip 点编辑
(@添加ip)
把”添加向导”的勾选取消 , 然后点添加
地址和目标别写反了,把自己给封了
// 然后切换到“协议” 面板
我这里是选择 tcp 到80端口 ,直接按确定,回到上层界面,继续确定,回到新规则属性面板
选择“筛选器操作”面板
这里的阻止是我先前做的添加的, 操作步骤为: 取消“添加向导” 的勾选点添加
在常规里面重命名为阻止就ok了
一路确定,回到
注意要禁止ip 前面的勾选
确定,完成此策略
最后需要指派策略
到此,刚才显示的ip 116.164.68.6 地址的用户就不能访问服务器了添加多ip 从 (@添加ip) 开始
--------------------------------------------
如果允许访问，也同样这样操作就可以，很简单！
有错误请及时提出,谢谢!
来
自:/mxf521/blog/item/9328da5439930f49d109069e.html。
在WindowsServer2003域控制器中打开和使用组策略
在Windows Server 2003 域控制器中打开和使用组策略Windows 2000/XP/2003系统默认已经安装了组策略组件，以一台运行Windows Server 2003 (SP^D系统的域控制器为例,在开始菜单中单击“运行”菜单项，然后在“打开”编辑框中输入gpedit.msc命令并按回车键，打开“组策略编辑器”窗口。
打开“组策略编辑器”窗口后，其默认的编辑对象是本地计算机。
用户如果想在本地计算机中将其他计算机作为组策略编辑对象，则需要将组策略作为独立的控制台管理程序来打开，具体操作步骤如下所述：第1步，在开始菜单中单击“运行”菜单项，然后在“打开”编辑框中输入MMC 命令并按回车键。
第2步，打开“控制台1”窗口，依次单击“文件” t “添加/删除管理单元” 菜单命令，打开“添加/删除管理单元”对话框。
在“独立”选项卡中单击“添加”按钮，如图2008112619所示。
施|扩麻1使用此京采宿坦或孙除控飘向的菩FF草无.I言珑尊芯燧is PJ ISW SSS A图2008112619 “添加/删除管理单元”对话框第3步，打开“添加独立管理单元”对话框，在“可用的独立管理单元”列表中选中“组策略对象编辑器”选项，并单击“添加”按钮，如图2008112620所示可用的独立管理知元:图2008112620 “添加独立管理单元”对话框第4步，在打开的“选择组策略对象”对话框中单击“浏览”按钮， 打开“浏览 组策略”对象对话框。
切换到“计算机”选项卡并选中“另一台计算机”单选 框，单击“浏览”按钮，如图 2008112621所示管理单元 Y 元携监祝器 屈性能日志箱警报 ，希远程息面 句证书 密j 证书跌机构 闻征书模模 梁拦端熊务配置静担伸服务供应商Microsoft Ccrpwra... F5i craioft Cflrp&rA .. Microsoft Corpora..Murotftft Carport... Microsoft Cflrp&ra... Mi erasoftCflrpar*...Mi cr»io£t Ccrp&r * Mierasof tCorpora..Mierotfift Cflrpftr*..."Sji此管理单元允许摩疆辑貌策Directory 中的站点、主域览对象可同Active招梃疆或Hf 存在计算机上-曜器配■困g美闭©图2008112621 “选择组策略对象”对话框第5步，打开“选择计算机”对话框，通过高级查找功能在域中找到并选中目标计算机。
Win 2003 组策略禁止某端口
本文档以window server 2003 详细说明组策略禁止端口连接的方法。
本文档以禁止windows远程端口3389为例。
(类似于linux的iptable策略)
1. 开始运行gpedit. Msc打开组策略。
2.在IP安全策略中，右键选择“管理IP筛选器和筛选器操作”
3.在筛选器列表上点击“添加”：
4 在添加界面，编辑名称和描述等，点“添加”进入添加筛选器向导
5.点击“下一步”，在“源地址”类别中选择“所有IP地址”，在“目标地址”类别中选择“我的IP地址”，下一步协议类型(S): 把"任意"选改为"tcp" 下一步，
，添加完成后，确定。
6。
在“管理筛选器操作”中，点击“添加”。
按照向导，填写“名称描述”，点击“下一步”，选择“阻止”。
完成后关闭窗口。
7.回到“IP安全策略”，右键点击“创建IP安全策略”，并点击下一步，填写“描述信息”。
8. 按照向导完成，并编辑属性。
点击“下一步”，并“完成”向导。
9.在右边安全策略列表中，选择刚建好的策略，点击右键“指派”使该安全策略生效。
win2003server组策略设计方案 -回复
win2003server组策略设计方案-回复Win2003Server组策略设计方案引言组策略是Windows操作系统中一种非常强大的管理工具，它可以通过统一的方式集中管理网络中的计算机和用户。
在Win2003Server中，组策略可以应用于域中所有计算机和用户，通过定义和配置适当的组策略对象（GPO），管理员可以实现对不同用户、计算机和组织单元（OU）的灵活控制。
本文将详细介绍Win2003Server组策略设计方案，并提供一步一步的指导。
一、环境设计在开始组策略设计之前，我们需要考虑和了解现有的环境和需求。
以下是一些需要考虑的方面：1.1 网络拓扑了解网络拓扑对组策略设计非常重要。
网络拓扑可以包括域林的结构、域的数量和位置、域之间的信任关系等。
1.2 用户需求根据不同用户的角色和需求，我们可以对他们应用不同的组策略。
例如，可以设置某些用户只能使用特定的应用程序，而其他用户则可以使用更多的应用程序。
1.3 安全需求了解安全需求可以让我们根据实际需要设计合适的组策略。
例如，对于具有更高权限的管理员账户，可以设置更严格的安全策略，如密码复杂度要求和账户锁定策略。
二、设计和配置组策略在了解环境和需求之后，我们可以开始设计和配置组策略。
以下是一些重要的步骤和注意事项。
2.1 基于角色和需求的策略设计根据用户角色和需求，我们可以将用户分组，并为每个组应用适当的组策略。
例如，可以创建一个"销售"组，为该组用户应用一组与销售相关的策略，如设置销售软件的访问权限和设置销售人员的桌面背景。
2.2 配置组策略可以通过组策略管理工具（GPMC）来配置组策略。
打开GPMC，展开"域"节点，右键单击"组策略对象"，并选择"新建"。
根据需要，可以创建多个组策略对象，并将它们链接到相应的域、OU或站点。
2.3 设置组策略设置对于每个组策略对象，可以设置多个组策略设置。
windows 2003 域密码策略设置
windows 2003 域密码策略设置在域控制器上的开始菜单中打开“运行”，输入DSA.MSC后回车，即打开活动目录的用户和计算机管理控制台。
在域节点右键，进入属性，打开组策略选项卡，在里边找到Default Domain policy这个GPO选中他，点击下面的编辑，现在就会打开组策略编辑器，在这个组策略编辑器中找到一下路径：计算机配置-WINDOWS设置-安全设置-帐户策略-密码策略。
在这个路径下找到“密码必须符合复杂性要求”设置为禁用，“密码长度最小值”设置为0。
这样你就可以创建空密码的用户帐户了（当然在这里你也可以为你的域设置你自己需要的密码策略），完成了以上设置后并没有完，还有最后一步，就是在开始菜单的运行中输入“GPUPDATE /FORCE”这个命令。
另：1、如何在WIN2003中添加用户？每次添加用户时总是提示我不符合密码策略，怎么办？问：如何在WIN2003中添加用户？我将公司的主域服务器改成win2003，但是win2003却不让我添加用户，每次添加用户是总是提示我不符合密码策略，怎么办？答：对于2003域，默认域的安全策略与2000域不同。
要求域用户的口令必须符合复杂性要求，且密码最小长度为7。
口令的复杂性包括三条：一是大写字母、小写字母、数字、符号四种中必须有3种，二是密码最小长度为6，三是口令中不得包括全部或部分用户名。
当然也可以重新设默认域的安全策略来解决。
操作如下：开始/程序/管理工具/域安全策略/帐户策略/密码策略：密码必须符合复杂性要求：由“已启用”改为“已禁用”；密码长度最小值：由“7个字符”改为“0个字符”。
使此策略修改生效有如下方法：1、等待系统自动刷新组策略，约5分钟~15分钟2、重启域控制器（若是修改的用户策略，注销即可）3、使用gpupdate命令。
（推荐使用这个）说明：2000中使用的刷新组策略命令secedit /refreshpolicy machine(或user)_policy /enforce 命令在03中已由gpupdate取代。
Windows 2003服务器安全配置终极技巧
Windows 2003服务器安全配置终极技巧1、安装系统补丁。
扫描漏洞全面杀毒2、3、NTFS系统权限设置在使用之前将每个硬盘根加上 Administrators 用户为全部权限(可选加入SYSTEM用户)删除其它用户，进入系统盘:权限如下∙C:\WINDOWS Administrators SYSTEM用户全部权限, Users 用户默认权限不作修改,否则ASP和ASPX 等应用程序就无法运行。
∙其它目录删除Everyone用户，切记C:\Documents and Settings下All Users\Default User目录及其子目录如C:\Documents and Settings\All Users\Application Data 目录默认配置保留了Everyone用户权限C:\WINDOWS 目录下面的权限也得注意,如 C:\WINDOWS\PCHealth、C:\windows\Installer也是保留了Everyone权限.∙删除C:\WINDOWS\Web\printers目录，此目录的存在会造成IIS里加入一个.printers的扩展名，可溢出攻击∙默认IIS错误页面已基本上没多少人使用了。
建议删除C:\WINDOWS\Help\iisHelp目录∙删除C:\WINDOWS\system32\inetsrv\iisadmpwd，此目录为管理IIS密码之用，如一些因密码不同步造成500 错误的时候使用 OWA 或 Iisadmpwd 修改同步密码，但在这里可以删掉，下面讲到的设置将会杜绝因系统设置造成的密码不同步问题。
打开C:\Windows 搜索net.exe;cmd.exe;tftp.exe;netstat.exe;regedit.exe;at.exe;attrib.exe;cacls.exe;;re gsvr32.exe;xcopy.exe;wscript.exe;cscript.exe;ftp.exe;telnet.exe;arp.exe;edlin.exe;ping.exe ;route.exe;finger.exe;posix.exe;rsh.exe;atsvc.exe;qbasic.exe;runonce.exe;syskey.exe修改权限，删除所有的用户只保存Administrators 和SYSTEM为所有权限其它盘，有安装程序运行的(我的sql server 2000 在D盘)给Administrators 和SYSTEM 权限，无只给Administrators 权限。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
WINDOWS2003安全策略设置在windows2003下进行安全策略设置，是很有必要的，可以阻挡大部分初级黑客的入侵和破坏。
一．本地安全策略设置开始菜单—>管理工具—>本地安全策略本地策略——>审核策略审核策略更改成功失败审核登录事件成功失败审核对象访问失败审核过程跟踪失败审核目录服务访问失败审核特权使用失败审核系统事件成功失败审核账户登录事件成功失败审核账户管理成功失败我的电脑-右键-管理-事件查看器-右边的每一个事件鼠标右键-属性调整日至文件大小：1048576KB=1G 覆盖时间超过30天的事件帐户策略——>帐户锁定策略设置为3次无效登陆本地策略——>用户权限分配关闭系统：只有Administrators组、其它全部删除。
通过终端服务允许登陆：只加入Administrators,Remote Desktop Users组用户权利分配：将“从网络访问此计算机”中只保留(Administrators)、使用还要保留Aspnet账户。
(ASPNET)、启动IIS进程账户(IUSR)、(IWAM)(Everyone) (Administrators)(ASPNET)(IUSR)(IW AM)(Everyone)本地策略——>安全选项交互式登陆：不显示上次的用户名启用网络访问：不允许SAM帐户和共享的匿名枚举启用网络访问：不允许为网络身份验证储存凭证启用网络访问：可匿名访问的共享全部删除网络访问：可匿名访问的命名通道全部删除网络访问：可远程访问的注册表路径全部删除网络访问：可远程访问的注册表路径和子路径全部删除帐户：重命名来宾帐户重命名一个帐户（例如Gu2#edst@1）请找到c盘的这些文件，把安全性设置只有特定的管理员有完全操作权限下列这些文件只允许Administrators和SYSTEM访问net.exenet1.execmd.exeftp.exetftp.exetelnet.exenetstat.exeregedit.exeat.exeattrib.execacls.exe另外将系统盘C:\WINDOWS\system32下cmd.exe、、ftp.exe转移到其他目录或更名快捷方式：在搜索框里输入"net.exe","net1.exe","cmd.exe","tftp.exe","netstat.exe","regedit.exe","at.exe","attrib.exe","cacls.ex e","","c.exe"点击搜索然后全选右键属性安全磁盘权限磁盘（C、D、E、F盘全部）Administrators和SYSTEM完全控制权限<不是继承的>该文件夹，子文件夹及文件C:\WINDOWSAdministrators和SYSTEM完全控制权限Users （用户默认权限不作修改“读取和运行、列出文件夹目录、读取”）<不是继承的>该文件夹，子文件夹及文件CREA TOR OWNER完全控制<不是继承的>只有子文件夹及文件C:\Program FilesAdministrators和SYSTEM完全控制权限<不是继承的>该文件夹，子文件夹及文件CREA TOR OWNER完全控制权限<不是继承的>只有子文件夹及文件Users读取和运行<不是继承的>该文件夹，子文件夹及文件C:\Documents and SettingsAdministrators和SYSTEM完全控制权限<不是继承的>该文件夹，子文件夹及文件C:\Documents and Settings\All UsersAdministrators和SYSTEM 完全控制权限<不是继承的>该文件夹，子文件夹及文件Users组的权限仅仅限制于读取和运行，绝对不能加上写入权限（默认为“读取和运行、列出文件夹目录、读取”）C:\Documents and Settings\All Users\Application DataAdministrators和SYSTEM完全控制权限<不是继承的>该文件夹，子文件夹及文件CREA TOR OWNER完全控制<不是继承的>只有子文件夹及文件Users读取和运行<不是继承的>该文件夹，子文件夹及文件Users写入<不是继承的>该文件夹及子文件夹两个并列权限同用户组需要在高级里分开添加，分开列权限Users读取和运行的权限：选择2345项和倒数第3项Users写入的权限：选择6789项C:\Program Files\Microsoft SQL Server\MSSQL(程序部分默认装在C：盘)D:\Program Files\Microsoft SQL Server\MSSQL(本人的在D盘)Administrators完全控制权限<不是继承的>该文件夹，子文件夹及文件D:\Program Files\Microsoft SQL Server (数据库部分装在D：盘的情况) Administrators和SYSTEM完全控制权限<不是继承的>该文件夹，子文件夹及文件CREA TOR OWNER完全控制权限<不是继承的>只有子文件夹及文件C:\Program Files\Internet Explorer\iexplore.exeAdministrators完全控制权限<不是继承的>该文件夹，子文件夹及文件C:\Program Files\Serv-U (如果装了Serv-U服务器的话)D:\Program Files\Serv-U (本人的在D盘)这里常是提权入侵的一个比较大的漏洞点一定要按这个方法设置目录名字根据Serv-U版本也可能是C:\Program Files\\Serv-UAdministrators和SYSTEM完全控制权限<不是继承的>该文件夹，子文件夹及文件CREA TOR OWNER完全控制权限<不是继承的>只有子文件夹及文件删除c:\inetpub目录如果服务器上有.NET网站运行，aspnet_client文件夹的权限设置为Administrators、SYSTEM<完全控制><不是继承的><该文件夹，子文件夹及文件>Users <读取><不是继承的><该文件夹，子文件夹及文件>最后：C\WINDOWS\TEMP设置添加Everyone的读写属性，NetWork Service完全控制属性。
（不然ASP网站链接数据库会出错，.NET网站也会出错。
）禁用Guest账号运行compmgmt.msc打开计算机管理，用户里面把Guest账号改名并禁用，为了保险起见，最好给Guest加一个复杂的密码。
禁用TCP/IP上的NetBIOS网上邻居-属性-本地连接-属性-Internet协议（TCP/IP）属性-高级-WINS面板-NetBIOS设置-禁用TCP/IP上的NetBIOS。
这样cracker就无法用nbtstat命令来读取你的NetBIOS信息和网卡MAC地址了services.msc禁用不必要的服务，提高安全性和系统效率开始菜单—>管理工具—>服务Application Layer Gateway Service 为应用程序级协议插件提供支持并启用网络/协议连接。
如果此服务被禁用，任何依赖它的服务将无法启动。
Background Intelligent Transfer Service 利用空闲的网络带宽在后台传输文件。
如果服务被停用，例如Windows Update 和MSN Explorer 的功能将无法自动下载程序和其他信息。
Routing and Remote Access 在局域网以及广域网环境中为企业提供路由服务Computer Browser 维护网络上计算机的更新列表，并将列表提供给计算机指定浏览。
如果服务停止，列表不会被更新或维护。
Distributed File System 将分散的文件共享合并成一个逻辑名称空间并在局域网或广域网上管理这些逻辑卷。
Distributed Link Tracking Client 用于局域网更新连接信息Error reporting service 发送错误报告Remote Procedure Call (RPC) Locator RpcNs*远程过程调用(RPC)Remote Desktop Help Session Manager 远程协助Net Logon 域控制器通道管理NT LM Security Support Provider 为使用传输协议而不是命名管道的远程过程调用(RPC)程序提供安全机制。
Microsoft Serch 基于结构化和半结构化数据的内容以及属性生成全文索引，以便可以对数据进行快速的单词搜索。
Help and Support 启用在此计算机上运行帮助和支持中心。
如果停止服务，帮助和支持中心将不可用。
Messenger 传输客户端和服务器之间的NET SEND 和警报器服务消息。
此服务与Windows Messenger 无关。
NetMeeting Remote Desktop Sharing 允许经过授权的用户用NetMeeting 在公司intranet 上远程访问这台计算机。
如果服务被停止，远程桌面共享将不可用。
Workstation 创建和维护到远程服务的客户端网络连接。
Removable storage 管理可移动媒体、驱动程序和库Print Spooler 管理所有本地和网络打印队列及控制所有打印工作。
如果此服务被停用，本地计算机上的打印将不可用Remote Registry 使远程用户能修改此计算机上的注册表设置。
如果此服务被终止，只有此计算机上的用户才能修改注册表TCP/IP NetBIOS Helper 提供TCP/IP (NetBT) 服务上的NetBIOS 和网络上客户端的NetBIOS 名称解析的支持，从而使用户能够共享文件、打印和登录到网络Server 支持此计算机通过网络的文件、打印、和命名管道共享Com+ Event System 提供事件的自动发布到订阅COM组件Alerter 通知选定的用户和计算机管理警报Telnet 允许远程用户登录到此计算机并运行程序，并支持多种TCP/IP Telnet 客户端，包括基于UNIX 和Windows 的计算机。