在基于 Windows 2000 的本机模式域中,您可以使用以下三个远程访问策略行为:
备注:这一实施远程访问安全策略的方法也适用于独立的基于 Windows 2000 的远程访问服务器。
• | 显式允许:远程访问策略设置为“授予远程访问权限”,且连接尝试满足策略条件。 |
• | 显式拒绝:远程访问策略设置为“拒绝远程访问权限”,且连接尝试满足策略条件。 |
• | 隐式拒绝:连接尝试不满足任何远程访问策略条件。 |
要实施远程访问策略,请执行下列步骤:
1. | 配置远程访问策略条件。 |
2. | 配置用户帐户拨入设置。 |
如何配置远程访问策略
默认 Windows 2000 远程访问策略设置为“如果启用拨入许可,就允许访问”。要实施您的远程访问安全策略,请删除默认策略,然后创建新的远程访问策略:
1. | 单击开始,指向程序,再指向管理工具,然后单击“路由和远程访问”。 |
2. | 展开服务器名称(其中服务器名称 为该服务器的名称),然后单击远程访问策略。
备注:如果您还没有配置远程访问,请在操作菜单上单击“配置并启用路由和远程访问”,然后按照“路由和远程访问服务器安装向导”的步骤操作。 |
3. | 在控制台窗格中,右键单击“如果启用拨入许可,就允许访问”,然后单击删除。在收到“删除策略”消息时,单击是。 |
4. | 在操作菜单上,单击“新建远程访问策略”。 |
5. | 创建一个新的远程访问策略。下面的示例阐释了一个远程访问策略,该策略在某些天内显式允许远程访问一个组,在其他时间隐式阻止对同一组的访问,并显式阻止对另一个组的远程访问。
示例: a. | 在“策略的好记的名称”框中,键入 test policy,然后单击下一步。 | b. | 单击添加,单击 Windows 组,单击添加,然后单击添加。 | c. | 单击域用户,依次单击添加、确定、确定,然后单击下一步。
备注:“域用户”组仅用于示例目的。创建特定组以用于控制远程访问权限具有一定的益处。 | d. | 单击“授予远程访问权限”,然后单击下一步。 | e. | 单击编辑配置文件,单击以选中“限制在这些天和时间访问”复选框,然后单击编辑。 | f. | 依次单击拒绝、“星期一到星期五上午 8:00 到下午 4:30”、允许,然后单击确定。 | g. | 单击确定,单击确定,然后单击完成。
“域用户”组的成员被显式 允许远程访问权限,时间是星期一到星期五上午 8:00 到下午 4:30,并且这些成员被隐式 拒绝在其他日期和时间进行远程访问。 | h. | 在操作菜单上,单击新建远程访问策略。 | i. | 在“策略的好记的名称”框中,键入 test block policy,然后单击下一步。 | j. | 单击添加,单击 Windows 组,单击添加,然后单击添加。 | k. | 单击域管理员,单击添加,单击确定,单击确定,然后单击下一步。 | l. | 单击以选中“拒绝远程访问权限”复选框(如果它尚未选中),单击下一步,然后单击完成。
“域管理员”组的成员被显式 拒绝远程访问。 |
|
6. | 创建完远程访问策略后,请退出“路由和远程访问”管理单元。 |
如何配置用户帐户拨入设置
指定远程访问权限由远程访问策略控制:
1. | 单击开始,指向设置,单击控制面板,双击管理工具,然后执行下列操作之一: • | 如果该计算机是一个 Active Directory 域控制器,请双击“Active Directory 用户和计算机”。
在控制台树中,单击域,其中域 是该域的名称,单击用户,然后单击用户。
- 或 - | • | 如果该计算机是一个独立的 Windows 2000 服务器,请双击计算机管理。
在控制台树中,单击系统工具,单击“本地用户和组”,然后单击用户。 |
|
2. | 右键单击所需的用户帐户,然后单击属性。 |
3. | 在拨入选项卡上,单击“通过远程访问策略控制访问”,然后单击确定。
备注:如果“通过远程访问策略控制访问”选项不可用(灰显),则 Active Directory 可能正在混合模式下运行。有关 Active Directory 在混合模式下运行时拨入选项不可用的其他信息,请单击下面的文章编号,以查看 Microsoft 知识库中相应的文章: 193897 (http://support.microsoft.com/kb/193897/EN-US/) Dial-In Options Unavailable with Active Directory in Mixed Mode |
4. | 退出“计算机管理”或“Active Directory 用户和计算机”。 |
疑难解答
如果您没有使用组在策略配置中指定的远程访问权限,请确保禁用来宾帐户,并将其远程访问权限设置为“拒绝访问”:
1. | 单击开始,指向设置,单击控制面板,双击管理工具,然后执行下列操作之一: • | 如果该计算机是一个 Active Directory 域控制器,请双击“Active Directory 用户和计算机”。
在控制台树中,单击域,其中域 是该域的名称,单击用户,然后单击用户。
- 或 - | • | 如果该计算机是一个独立的 Windows 2000 服务器,请双击计算机管理。
在控制台树中,单击系统工具,单击“本地用户和组”,然后单击用户。 |
|
2. | 右键单击 Guest 用户帐户,然后单击属性。 |
3. | 在拨入选项卡上,单击“拒绝访问”,然后单击确定。 • | 在域控制器上,右键单击 Guest,指向所有任务,然后单击禁用帐户。收到“对象来宾已被禁用”消息时,单击确定。 | • | 在独立的 Windows 2000 服务器上,右键单击 Guest,然后单击属性。单击选中“帐户已停用”复选框,然后单击确定。 |
|
4. | 退出“计算机管理”或“Active Directory 用户和计算机”。 |