|
在一個(gè)大型的網(wǎng)絡(luò)，出于安全的考慮，網(wǎng)絡(luò)管理員可能不允許用戶(hù)隨意修改自己的IP地址、不允許用戶(hù)使用撥號(hào)連接，初一看好像沒(méi)有什么好辦法，前段時(shí)間剛好有客戶(hù)提出了不想讓用戶(hù)撥號(hào)的要求（技術(shù)部門(mén)無(wú)法對(duì)電話交換機(jī)無(wú)法進(jìn)行管理），于是想了想，今天作一個(gè)總結(jié)。
客戶(hù)使用了Windows 2000的AD結(jié)構(gòu)，而且Clinet基本都是Win2K Pro，分區(qū)類(lèi)型有NTFS和FAT，本來(lái)如果都是用的NTFS的話，對(duì)一些DLL文件進(jìn)行權(quán)限設(shè)置也可以滿(mǎn)足，我這里選擇的是raschap.dll，當(dāng)然，類(lèi)似的DLL也有一些（俺也懶得整理了），在CMD窗口執(zhí)行下面的命令：
cacls %systemroot%\system32\raschap.dll /e /d everyone
然后重新啟動(dòng)機(jī)器，你會(huì)發(fā)現(xiàn)你已經(jīng)建立好的撥號(hào)連接都看不到了，而且在你新建連接的時(shí)候會(huì)出錯(cuò)，報(bào)告權(quán)限不足。如果需要用的時(shí)候，把該dll的權(quán)限改回來(lái)即可（需要重新啟動(dòng)機(jī)器喔）
cacls %systemroot%\system32\raschap.dll /e /g everyone:r
由于客戶(hù)使用的是AD結(jié)構(gòu)，設(shè)置權(quán)限可以在組策略里面來(lái)實(shí)現(xiàn)，把下面內(nèi)容加到你的安全模板文件的"File Security"段，然后應(yīng)用該模板即可。
"%systemroot%\system32\raschap.dll",1,"D:PAR(D;OICI;FA;;;WD)"
當(dāng)然，在這里出現(xiàn)了一個(gè)這樣的問(wèn)題，如果磁盤(pán)是FAT或者FAT32就無(wú)法應(yīng)用NTFS權(quán)限來(lái)解決了，我們就只能在注冊(cè)表里面想辦法了，打開(kāi)你的Regedt32，轉(zhuǎn)到
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\
Parameters\Interfaces
然后在菜單上的“安全”－“權(quán)限”
uncheck “允許繼承...”，并設(shè)置為Everyone只讀，一切OK；
如果需要應(yīng)用在AD中我們可以在組策略的inf文件中的“Registry Keys”段里添加以下一行
"machine\system\currentcontrolset\services\tcpip\parameters\interfaces", 0,"D:AR(A;CI;KR;;;WD)"
設(shè)置了注冊(cè)表的權(quán)限后，系統(tǒng)無(wú)法從 DHCP 服務(wù)器上獲取IP，無(wú)法自己修改IP，很多與網(wǎng)絡(luò)相關(guān)的修改都無(wú)法成功，當(dāng)然，如果你公司內(nèi)部使用了DHCP就會(huì)出問(wèn)題喔...
其實(shí)我今天說(shuō)的這2個(gè)都只是一些方法而已（這2種只是比較另類(lèi)的方法而已），還有很多種方法，只要你自己愿意去想愿意去試，還可以找到的，也許你認(rèn)為用戶(hù)可以自己去修改這些權(quán)限從而繞過(guò)限制，想一想，如果你不告訴用戶(hù)修改的辦法，你自己去多找一些dll文件，多找一些注冊(cè)表項(xiàng)，用戶(hù)要找到這些頭會(huì)大得不行的，你說(shuō)呢？
授人與魚(yú)不如授人與漁啊，呵呵，自己繼續(xù)研究吧...
出處：
責(zé)任編輯：killua
|
