在Windows 2000中实施远程访问安全策略

在基于 Windows 2000 的本机模式域中，您可以使用以下三个远程访问策略行为：

备注：这一实施远程访问安全策略的方法也适用于独立的基于 Windows 2000 的远程访问服务器。

•	显式允许：远程访问策略设置为“授予远程访问权限”，且连接尝试满足策略条件。
•	显式拒绝：远程访问策略设置为“拒绝远程访问权限”，且连接尝试满足策略条件。
•	隐式拒绝：连接尝试不满足任何远程访问策略条件。

要实施远程访问策略，请执行下列步骤：

1.	配置远程访问策略条件。
2.	配置用户帐户拨入设置。

如何配置远程访问策略

默认 Windows 2000 远程访问策略设置为“如果启用拨入许可，就允许访问”。要实施您的远程访问安全策略，请删除默认策略，然后创建新的远程访问策略：

1.

单击开始，指向程序，再指向管理工具，然后单击“路由和远程访问”。

2.

展开服务器名称（其中服务器名称 为该服务器的名称），然后单击远程访问策略。

备注：如果您还没有配置远程访问，请在操作菜单上单击“配置并启用路由和远程访问”，然后按照“路由和远程访问服务器安装向导”的步骤操作。

3.

在控制台窗格中，右键单击“如果启用拨入许可，就允许访问”，然后单击删除。在收到“删除策略”消息时，单击是。

4.

在操作菜单上，单击“新建远程访问策略”。

5.

创建一个新的远程访问策略。下面的示例阐释了一个远程访问策略，该策略在某些天内显式允许远程访问一个组，在其他时间隐式阻止对同一组的访问，并显式阻止对另一个组的远程访问。

示例：

a.	在“策略的好记的名称”框中，键入 test policy，然后单击下一步。
b.	单击添加，单击 Windows 组，单击添加，然后单击添加。
c.	单击域用户，依次单击添加、确定、确定，然后单击下一步。 备注：“域用户”组仅用于示例目的。创建特定组以用于控制远程访问权限具有一定的益处。
d.	单击“授予远程访问权限”，然后单击下一步。
e.	单击编辑配置文件，单击以选中“限制在这些天和时间访问”复选框，然后单击编辑。
f.	依次单击拒绝、“星期一到星期五上午 8:00 到下午 4:30”、允许，然后单击确定。
g.	单击确定，单击确定，然后单击完成。 “域用户”组的成员被显式 允许远程访问权限，时间是星期一到星期五上午 8:00 到下午 4:30，并且这些成员被隐式 拒绝在其他日期和时间进行远程访问。
h.	在操作菜单上，单击新建远程访问策略。
i.	在“策略的好记的名称”框中，键入 test block policy，然后单击下一步。
j.	单击添加，单击 Windows 组，单击添加，然后单击添加。
k.	单击域管理员，单击添加，单击确定，单击确定，然后单击下一步。
l.	单击以选中“拒绝远程访问权限”复选框（如果它尚未选中），单击下一步，然后单击完成。 “域管理员”组的成员被显式 拒绝远程访问。

6.

创建完远程访问策略后，请退出“路由和远程访问”管理单元。

如何配置用户帐户拨入设置

指定远程访问权限由远程访问策略控制：

1.

单击开始，指向设置，单击控制面板，双击管理工具，然后执行下列操作之一：

•	如果该计算机是一个 Active Directory 域控制器，请双击“Active Directory 用户和计算机”。 在控制台树中，单击域，其中域 是该域的名称，单击用户，然后单击用户。 - 或 -
•	如果该计算机是一个独立的 Windows 2000 服务器，请双击计算机管理。 在控制台树中，单击系统工具，单击“本地用户和组”，然后单击用户。

2.

右键单击所需的用户帐户，然后单击属性。

3.

在拨入选项卡上，单击“通过远程访问策略控制访问”，然后单击确定。

备注：如果“通过远程访问策略控制访问”选项不可用（灰显），则 Active Directory 可能正在混合模式下运行。有关 Active Directory 在混合模式下运行时拨入选项不可用的其他信息，请单击下面的文章编号，以查看 Microsoft 知识库中相应的文章：

193897 (http://support.microsoft.com/kb/193897/EN-US/) Dial-In Options Unavailable with Active Directory in Mixed Mode

4.

退出“计算机管理”或“Active Directory 用户和计算机”。

疑难解答

如果您没有使用组在策略配置中指定的远程访问权限，请确保禁用来宾帐户，并将其远程访问权限设置为“拒绝访问”：

1.

单击开始，指向设置，单击控制面板，双击管理工具，然后执行下列操作之一：

•	如果该计算机是一个 Active Directory 域控制器，请双击“Active Directory 用户和计算机”。 在控制台树中，单击域，其中域 是该域的名称，单击用户，然后单击用户。 - 或 -
•	如果该计算机是一个独立的 Windows 2000 服务器，请双击计算机管理。 在控制台树中，单击系统工具，单击“本地用户和组”，然后单击用户。

2.

右键单击 Guest 用户帐户，然后单击属性。

3.

在拨入选项卡上，单击“拒绝访问”，然后单击确定。

•	在域控制器上，右键单击 Guest，指向所有任务，然后单击禁用帐户。收到“对象来宾已被禁用”消息时，单击确定。
•	在独立的 Windows 2000 服务器上，右键单击 Guest，然后单击属性。单击选中“帐户已停用”复选框，然后单击确定。

4.

退出“计算机管理”或“Active Directory 用户和计算机”。