Зачем нужны NETLOGON и SYSVOL? Как их скрыть?
Как-то у нас со студентами возник вопрос, а можно ли как-то скрыть папки Netlogon и Sysvol, которые являются общедоступными на контроллере домена? Так вот в данном видео, давайте попробуем разобраться с данным вопросом.
Но, для начала давайте разберемся, зачем вообще нужны эти самые общедоступные ресурсы Netlogon и Sysvol на контроллере домена?
Если мы войдем в оснастку «Управление компьютером» на контроллере домена и раздел «Общие ресурсы» то мы увидим, что помимо скрытых административных ресурсов здесь есть общедоступные папки Netlogon и Sysvol, которые имеют следующий путь:
Так вот, эти ресурсы создаются автоматически, когда вы поднимаете контроллер домена, так как с помощью них вы можете применять сценарии входа и групповые политики для различных пользователей и компьютеров.
В частности, в папку Netlogon складываются скрипты, которые можно применять как сценарии входа, для определенных пользователей в настройках его профиля (Диспетчер серверов \ Средства \ Пользователи и компьютеры Active Directory \ User \ Менеджер \ Профиль \ Сценарий входа)
Чтобы не расшаривать какую-то отдельную папку и указывать здесь сетевой путь, мы просто можем положить скрипт на сетевой ресурс NETLOGON а в этом поле просто указать его название Hello.bat и он будет автоматически отрабатывать при входе пользователя на любой компьютер в нашем домене.
Sysvol – предназначена для использования групповых политик. Но, в ней же, как вы видите присутствует папка SCRIPTS, которая и является фактическим размещением ресурса NETLOGON, т.е. в папке SYSVOL у нас находится все, что связанно с автоматизацией через скрипты и групповые политики.
К примеру, мы можем попробовать отследить сетевой путь какой-нибудь групповой политики (Диспетчер серверов \ Средства \ Групповые политики \ Групповая политика для контроллеров домена по умолчанию Default Domain Controller Policy \ ПКМ \ Изменить \ Конфигурация компьютера \ Политики \ Конфигурация Windows \ Сценарии \ Автозагрузка \ Показать файлы). Мы увидим, что путь к скриптам данной политики как раз находится на общедоступном ресурсе SYSVOL, а значит так мы видим сетевой путь данной групповой политики.
Так вот, вернемся к сути вопроса, можно ли отключить доступ к этим общедоступным ресурсам?
И ответ, конечно же нет, так как именно через них работает вся автоматизация.
Один из студентов попробовал убрать у них доступ, и крайне не рекомендует это делать, так как глюки вам 100% обеспечены!
Что по поводу того, чтобы их скрыть от лишних глаз? Чтобы у пользователя не возникало желание лишний раз полазить по серверу, здесь тоже ничего не получится сделать, ну, по крайней мере я не нашел такого варианта.
Да, у нас есть спец значок знак доллара $ который скрывает любой общедоступный ресурс и вы сможете обратиться к нему только с указанием конкретного пути, однако ресурс со знаком $, это уже другой сетевой путь, а значит это аналогично отключению вообще общего доступ к папкам SYSVOL и NETLOGON.
Как вариант, мы можем просто скрыть сервер из сетевого окружения, делается это через команду:
net config server /hidden:yes
Не стоит размещать какие-то сетевые ресурсы на контроллере домена, ну просто таким образом какие-нибудь пользователи смогут лишний раз попасть на сервер и попытаться полазить по различным сетевым папкам, таким как NETLOGON или SYSVOL.
Да, они там не сделают ничего серьезного, так как данные папки открыты только для чтения, но может кому-то станет интересно, что за скрипты вы используете или скопировать какие-нибудь программы, лежащие в папках с групповыми политиками.
Но, если у человека есть такая задача, то он и так зайдет на ваш контроллер домена через сетевой путь самого домена
Where's the netlogon folder stored?
Where will I find the netlogon diretory on a Window 2003 domain controller?
3 Answers 3
the scripts folder is shared with the name NETLOGON
- this is by default installation
- yourdomain is the name of your domain
if you have DFS it is C:\Windows\SYSVOL_DFSR\domain\scripts .
You must log in to answer this question.
-
The Overflow Blog
Related
Hot Network Questions
Subscribe to RSS
To subscribe to this RSS feed, copy and paste this URL into your RSS reader.
Site design / logo © 2023 Stack Exchange Inc; user contributions licensed under CC BY-SA . rev 2023.8.2.43557
By clicking “Accept all cookies”, you agree Stack Exchange can store cookies on your device and disclose information in accordance with our Cookie Policy.
Netlogon где находится папка
Где я найду адрес netlogon на контроллере домена Window 2003?
3 ответа
C: WINDOWS SYSVOL домен скрипты
папка сценариев используется совместно с именем NETLOGON
- это по умолчанию установка
- yourdomain — это имя вашего домена.
, если у вас есть DFS, это C:WindowsSYSVOL_DFSRdomainscripts .
Где я найду адрес netlogon на контроллере домена Window 2003?
3 ответа
C: WINDOWS SYSVOL домен скрипты
папка сценариев используется совместно с именем NETLOGON
- это по умолчанию установка
- yourdomain — это имя вашего домена.
, если у вас есть DFS, это C:WindowsSYSVOL_DFSRdomainscripts .
vampoit
Обнаружил, что на главном контроллере домена отсутствуют шары SYSVOL и NETLOGON.
И хорошо что они были на резервном контроллере домена и все пользователи логинились через него.
Видимо какой-то косяк был еще тогда, когда мы восстанавливали погибший контроллер одной из ночей.
На обоих контроллерах Windows Server 2008.
А вчера я менял режим работы леса и домена на 2008, пытаясь решить другую проблему и проблема вскрылась — в "Управлении групповыми политиками" при наведении на любую из политик в "Объекте групповых политик" появлялась ошибка "Не найдено сетевое имя". Новые политики не создавались, отчеты не показывались.
Нашел инструкцию по восстановлению, которая мне и помогла.
Найдена здесь: http://liond.livejournal.com/4293.html
Правда в статье случаи с 2000 и 2003, но вариант для 2003 подходит и для 2008
Копирую сюда авторский текст в немного сокращенном виде и с моими ремарками для моего случая (оригинальный текст можете посмотреть по ссылке):
Итак, чтобы восстановить SYSVOL службы NTFRS я делал следующие шаги:
1. Останавливаем службу ntfrs на всех контроллерах домена.
net stop ntfrs
2. Проверяем наличие папок на всех контроллерах домена.
Если этих папок нет, то создайте их вручную.
На рабочем, резервном контроллере у меня все папки были, а у того у которого отвалились шары отстутствовали вот эти:
SYSVOLdomainPolicies
SYSVOLdomainscripts
Проверка первой ссылки:
linkd “%systemroot%SYSVOLSYSVOLdomain.local”
где domain.local нужно заменить именем своего домена.
Если команда выполнится успешно, то будет выдано сообщение:
Source C:WINDOWSSYSVOLSYSVOLdomain.local is linked to С:WINDOWSSYSVOLdomain
Проверка второй ссылки:
linkd “%systemroot%SYSVOLstaging areasdomain.local”
Если команда выполнится успешно, то будет выдано сообщение:
C:WINDOWSSYSVOLstagingdomain
Если проверка обоих ссылок прошла успешно, то переходим к пункту 5, иначе производим восстановление ссылок на пункте 4.
На "сбойном" контроллере обе ссылки были кривые. У одной доп. буква а в конце, у второй символ -.
На "рабочем" была также с доп.символом одна из ссылок, вторая была нормальная.
Тем не менее внимательно выполнил пункт 4 для обоих контроллеров
4. Восстанавливаем ссылки с помощью утилиты linkd.
linkd “C:WINDOWSsysvolsysvoldomain.local” %systemroot%sysvoldomain
linkd “C:WINDOWSsysvolstaging areasdomain.local” %systemroot%sysvolstagingdomain
и снова повторяем пункт 3.
5. Редактируем ключи в реестре контроллеров домена.
Для корневого контроллера домена:
создаём параметры типа DWord с именем BurFlags и со значением D4 в разделах:
HKEY_LOCAL_MACHINESYSTEMCurrentControl SetServicesNtFrsParametersCumulative Replica SetsGUID
HKEY_LOCAL_MACHINESYSTEMCurrentControl SetServicesNtFrsParametersReplica SetsGUID
где вместо GUID у вас имеется своя последовательность букв и цифр, разделённых дефисами.
Для вспомогательных контроллеров домена заходим в разделы:
создаём параметры типа DWord с именем BurFlags и со значением D2 в разделах:
HKEY_LOCAL_MACHINESYSTEMCurrentControl SetServicesNtFrsParametersCumulative Replica SetsGUID
HKEY_LOCAL_MACHINESYSTEMCurrentControl SetServicesNtFrsParametersReplica SetsGUID
HKEY_LOCAL_MACHINESYSTEMCurrentControl SetServicesNtFrsParametersBackup/Res toreProcess atStartup
где вместо GUID у вас имеется своя последовательность букв и цифр, разделённых дефисами.
В некоторых разделах ключи уже присутствовали, но с нулевым значением, там просто меняем, в остальных создавал.
6. Переносим содержимое папок в любое другое место.
Здесь у меня было немного по-другому чем у автора.
У рабочего контроллера была куча подпапок в
C:WINDOWSSYSVOLdomainpolicies
каждая из подпапок отвечала за свою групповую политику. В нерабочем контроллере никаких подпапок не было.
А еще копировал свои драгоценные скрипты из:
SYSVOLdomainscripts
7. Запускаем службы ntfrs на всех контроллерах.
Запуск служб нужно начинать сначала на корневом контроллере домена, а затем на дополнительных контроллерах домена.
net start ntfrs
8. Копируем обратно содержимое папок.
Здесь я тоже схитрил — спасенные политики из 6-го пункта я копирнул на главный контроллер и они потом реплицировались на резервный.
Ну и спасенные скрипты копирнул тоже на главный, они тоже потом среплицировались
9. Проверяем результат на всех контроллерах домена.
net share
Если в результате выполнения команды net share видно наличие расшаренных папок Netlogon и Sysvol, значит восстановление NTFRS успешно завершено.
__
Спасибо liond за статью.
Всё реплицровалось, шары появились. Единственное в "Управлении групповыми политиками" все политики прежде чем подгрузиться требовали согласиться с новыми разрешениями.
What is Netlogon folder in Active Directory?
Today we are going to explain about netlogon folder, what does it contain and what is the purpose of netlogon folder.
Netlogon folder is a shared folder that contains the group policy login script files as well other executable files.
Logon scripts are generally stored on the domain controller in the Netlogon share, which is located at %systemroot%\System32\Repl\Imports\Scripts folder. Once this script is placed in the Netlogon share, it will automatically replicate to all domain controllers in the domain.
Netlogon
Netlogon Share is not a Folder named Netlogon on Domain controller .
if you go through the sysvol folder and search the netlogon folder, you will not find this under sysvol because there is no folder in name of netlogon folder in sysvol. As we already stated that its not a folder named Netlogon but if you open the property of scripts folder and go to sharing tab, you will find the share name as Netlogon.
Always remember, Script folder under sysvol folder will act as Netlogon share .
You can also check the netlogon folder by following below steps:
- Log on to the console of the domain controller.
- Open a CMD.EXE prompt.
- Type net share and press Enter.
- You will receive a display similar to the following:
The default location of the NETLOGON share on a domain controller is:
%SystemRoot%\sysvol\sysvol\\scripts
You can view your Netlogon process related activities by entering the following command in the ‘Run’ Dialog box.
The following codes can be used to understand the LOGON activity logged in a user’s log file.
| Log Code | Description |
|---|---|
| 0x0 | Successful login |
| 0xC000006D | Unsuccessful attempt to login due to bad username |
| 0xC0000072 | Disabled user account |
| 0xC000006F | Unsuccessful login attempt due to time restrictions |
| 0xC0000071 | An account’s password has expired |
| 0xC000006A | Incorrect password entered |
| 0xC000006C | Password policy has not been followed |
| 0xC0000224 | Password must be changed before the first login attempt |
| 0xC000006E | Login has failed due to user account restrictions |
| 0xC0000193 | User account has expired |
| 0xC0000234 | User account has been automatically locked |
| 0xC0000064 | User does not exist |
Also check this.
What is SYSVOL and what it contains.
SYSVOL is an important component of Active Directory.
The SYSVOL folder is shared on an NTFS volume on all the domain controllers within a particular domain.
SYSVOL is used to deliver the policy and logon scripts to domain members.
By default, SYSVOL includes 2 folders:
-
Policies
Default location: %SystemRoot%\SYSVOL\SYSVOL\<domain_name>\Policies
So, that’s all in this blog. I will meet you soon with some other stuff. Have a nice day .