Asier的blog,欢迎志同道合之士前来拜访...
===========================================================
Oracle ERP数据转换论
===========================================================

Oracle ERP数据转换论

  Oracle ERP方法体系中属实施管理范畴的是AIMApplication Implementation Method),从下图AIM流程中我们可以看到系统时间轴上共分为六个阶段:

  ◆需求定义阶段(Definition

  ◆业务分析阶段(Operations Analysis

  ◆方案设计阶段(Solution Design

  ◆建立系统阶段(Build

  ◆系统切换阶段(Transition

  ◆正式运行阶段(Production)    

  

  注:图例来源于AIM 3.1.0官方文档。

  实施信息系统,计划为先,而计划制定,数据又得先行,全面、准确、及时的数据是系统正常运行的前提,高质量数据是推动上线的巨大动力。本文所要探讨的数据转换(Data Conversion)在时间轴上横跨了需求定义、方案设计、建立系统及系统切换四阶段。在传统AIM中,需求定义阶段中数据转换主要工作是定义数据转换需求及依据需求制定方案;方案设计阶段数据转换主要事务是定制转换标准,准备环境;建立系统阶段数据转换工作主要是设计和测试导入程序及验证脚本,为接下来导入做准备;而系统切换阶段数据转换主要工作是对导入程序、导入工具在正式环境中安装及最终导入收集数据,及最后数据验证。

  但方法论更多是从理论角度去考虑整体框架,各阶段各流程都是“可选”步骤,怎样去做,如何做,上面没有提到。而数据收集工作具有要求高,时间紧,难度大等特点,从定义开始,就应该按一定紧急、先后顺序开始收集。笔者在这总结一下自己经验,供同仁参考。由于水平有限,错漏之处在所难免,欢迎商讨及指正。

  一、数据

  首先我们来看数据。 通常企业在实施ERP时数据包含三部分内容,一部分我们称之为基础数据,基数数据是系统设置过程中需要用到数据,例如,会计科目、税率、库存组织、子库存、货位等;第二部分我们称之为静态数据,是系统上线后实际操作中需要用到数据,例如,客户/供应商、员工、银行账户、物料信息、工艺路线等,基础数据与静态数据我们也可以统一称为静态数据;另一部分我们称之为动态数据,动态数据是系统初始化时需要用到时点数据,例如,期初账户余额、供应商余额、客户余额、库存现有量,未结销售/采购订单,未结工单等。在制定ERP上线方案时需要综合考虑这三方面数据,按一定紧急、先后顺序进行收集。

  基础数据通常格式固定,对数据质量要求比较高,时效快,数据收集工作有可能需要提前到需求定义阶段就着手准备。基础数据完成后,我们可以通过系统自带诊断工具进行测试系统设置完整性。

  对于静态数据,通常也是相对比较简单,由于静态数据在录入系统后,基本上不会去改变,所以只要保证这些数据是完整并且准确就足够了。而事实上,静态数据往往存在于企业现时业务中,一方面收集比较方便,另一方面这些数据在整个企业内部已具有通用性,如果对原有物料编码进行改进或重编,必须考虑到唯一性、统一性、实用性及易用性。

  动态数据按时点来分,分为期初数据和日常数据,最为熟悉期初数据就是库存期初值和财务账户期初余额,有条件企业应该对期初数据进行盘点。而日常数据包括企业未结销售订单、未结采购订单、未结工单。要想准备这部分数据,企业应该在上线前界定搜集到哪一天未结单据, 这些单据只需要统计其未完成数量,也就是说订单总数减去已交货数量,工单总数减去已完工入库数量,而且可以按照一定条件来汇总,比如一个供应商可能存在多个未结采购订单,可以按供应商来汇总统计成一个未结采购订单表来导入系统。而这以后单据将作为系统日常操作,在上线过程中随时根据需要录入系统。未结单据应当在上线前尽可能结清,以减少手工和系统切换难度,同时也降低日后对账工作量。

二、数据收集过程

  在数据收集过程中,应当遵循一定先后顺序、一定收集方法来进行。有条件企业应该做几轮数据收集,并分析,尽可能避免在导入正式系统后进行数据修改。

  1) 了解及确认企业所属行业特点和数据量

  不同行业对数据要求不尽相同,例如医疗系统对供应商考核制度与普通企业考核就是不同,同样数据量大小也决定着你会使用什么方法处理导入数据,例如分销渠道较长企业客户可能只管理到代理商;而短渠道企业可能会管理到批发商、零售商。较少数据我们可以使用手工方法导入,但数据量一大了,我们得采取程序导入来协助我们。

2) 讨论及确认数据收集项目及来源、详细计划

  收集项目通常结合系统对数据要求及企业行业特殊性来确定哪些数据需要收集,同样要决定数据来源于何处,是从旧信息系统移植还是从档案数据获取,详细计划包括评估数据收集工作量、提前期、责任人等。

  3) 整理数据收集方案和数据收集表

  收集方案是企业对数据要求及对这些需求做出收集策略,是数据收集过程中指导方针;根据数据收集方案合理设计数据收集表格,应对数据表格进行详细数据收集说明。

  4) 客户收集数据

  数据从开始收集到结束往往会占用比较多时间及资源,为了保证数据准确性,我们除了实时解答任何疑问外,通常要对客户收集过程分阶段取样分析,从一开始就监控数据朝着我们目方向迈进。

5) 对于导入系统数据进行格式整理

  根据完成数据收集表,映射系统需求进行格式变换及调整。以便能够按照不同方式导入或者输入系统。

  6) 确认数据

多方对输入数据确认。

三、数据导入方法

  按着数据方案,确定了收集职责及收集期限,最后收集数据、整理(验证)提交,在各方确认数据后,那就要开始着手导入数据。Oracle 系统从数据库、应用两个层面提供多种方案给您选择数据导入方式。下面以资产数据为例举例说明。

  固定资产数据有两种导入方法,一种是通过成批增加接口,另一种是手工在系统录入。

  1)手工录入数据

  如果选择手工录入系统,你除了全手工通过应用界面一条条录入外,你还可以选用一些工具,诸如dataloadloadrunner 协助你快速完成导入工作。

  你选择手工导入数据处是你可以直观输入数据,可以在输入同时检查错误,也很方便修改一些默认数据,例如根据资产类别自动弹出折旧方法及剩余使用寿命(这些在通过接口表方法中,如果导入是旧资产,也必需在界面上修改)。当然手工录入数据只建议数据量相对较小数据项目上进行,例如税率数据,如果数据量在千级别以上,还是建议使用通过成批增加接口导入数据。

  2)成批增加接口导入

  Oracle 一个很重要功能是在每一个模块中都预备了一个或者数个接口表,以方便模块与模块之间、系统与系统之前进行数据移植操作。例如,资产一个很重要接口表是“成批增加”(FA_MASS_ADDITIONS);同样Oracle 提供了很多方法导入数据到接口表中。SQL*Loader就是其中数据库层次一个软件,其外还有ADIAPI

  a) ADI

  应用桌面集成 (ADI) 是一个第三方工具,可用于于实际帐务处理及报表输出。但我们可以使用他来导入一些财务数据。例如日记帐、资产明细及会计科目,通常我们会先创建一个基于EXCEL模板,如下图,然后按这些模板格式收集数据,然后直接联接系统一步完成资产接口及添加动作。ADI简单易用,安全性高,有很好的数据验证功能。 ADI导入功能通常仅用于财务模块中总帐及资产模块。

  b) SQL*Loader

  SQL*Loader 是个直接把外部数据文件插入数据库表工具,速度非常快,仅需要少量编程就可以进行数据导入,他包含数据文件、控制文件及命令语法三部分内容。

  命令举例:sqlldr userid=internal/oracle control=test.ctl

  splldr 是命令提示符,userid后面需要输入数据库存取用户名及密码,control 是你控制文件名,详细参数信息请查阅相关文档。

  数据文件举例:

  2003-09-23 | 1 | 04490896 | 347.76 | -

  2003-09-28 | 2 | 10256837 | 349.40 | -

  2003-09-12 | 3 | 09956875 | 532.30 | -

  2003-09-26 | 4 | 10256871 | 581.30 | -

  数据仅需要简单通过特定分隔符(|)告诉系统哪些是数据。

  Ctl控制文件:

LOAD DATA

INFILE '/prod/prodappl/fa/11.5.0/bin/数据文件名.txt'

INTO TABLE FA. FA_MASS_ADDITIONS

FIELDS TERMINATED BY "|"

TRAILING NULLCOLS

(mass_addition_id RECNUM,

Asset_number NULLIF rec_id_no =BLANKS ,

Tag_number NULLIF column1 =BLANKS,

Description NULLIF column2 =BLANKS,

Asset_category_id NULLIF column3 =BLANKS,

……

Asset_id NULLIF columnX =BLANKS)

  控制文件包括了数据文件路径和文件名,还定义了导入表名,分隔符及数据文件各列如何正确导入系统表各段。SQL*Loader 通常用于有临时表数据导入工作,对数据准确性需要其他手段进一步校验。

  c) API

  Oracel还提供了部分接口程序(Application Programming Interface ,API)API允许你通过PL/SQL直接导入数据,而对用户透明化接口表。在新版本资产系统中,Oracel 提供了标准Additions API 允许用户直接调用FA_ADDITION_PUB.DO_ADDITION产生资产数据。有兴趣可以上metalink查找文档:Note:206473.1 进行研究。

  以上几种方法,由上往下,技术要求越高,由下往上,越容易操作。但不代表一定要选用这种或者说选择简易操作,显然要ORACLE对所有数据表去做API接口是不可能。应根据数据整体情况进行选择合适方法进行处理。 

  四、数据验证

  即使我们在数据导入前经过仔细核对,并在导入测试中进行严格设计,但仍旧不能够保证所导入数据是完全正确,这就要求我们对导入数据进行验证。常用输入数据复核校验方法有打印输出核对法、屏幕核对法和二次输入核对法等。

  在实施处理中,利用打印输出进行数据验证是一种常用方法,通过系统“导出”功能,把导入到系统数据,打印成纸质文档,然后分发给相关人员核对,并可做为档案永久保存。

  屏幕核对法主要是对于数量量小,数据存储相对分散数据进行对累加合计数,核对余额,核对借、贷方金额,核对凭证和帐簿等来发现错误。

  二次输入法是采用相应软件进行测试,录入过程分三个步骤:一次录入,两次录入,每次录入数据后保存退出;最后就是对碰,目就是检测前两次录入数据是否一致,如果一致,就通过;如果不一致,会提示出错地方,工作看上去是繁复了,却可以省略了人工检查这一步,这通常需要特殊条件,例如临时表、严格程序逻辑。

选用什么方法验证也要因数据而异,但只要做到能够核对数据准确无误,能够让你放心数据导入确认报告中放心签下您名字,那就是可以了。

本文来自: 我要研发网(http://www.51dev.com) 详细出处参考:http://51dev.com/html/web/database/oracle/20070818/13841.html


Asier 发表于:2008.05.13 10:24 ::分类: ( 技术探讨 ) ::阅读:(105次) :: Permanent link
===========================================================
IPSec策略实施方法
===========================================================

Rem 禁止所有通讯
ipsecpol -w REG -p "safety policy" -r "All Inbound Traffic" -f *+0 -n BLOCK -x

Rem 开通本机访问其他地址
ipsecpol -w REG -p "safety policy" -r "All outbound Traffic" -f 0+*::TCP -n PASS -x

Rem 开通镜像远程桌面访问
ipsecpol -w REG -p "safety policy" -r "Remote connection" -f *+0:3389:TCP -f 0+*:3389:TCP -n PASS -x

Rem 开通镜像ping
ipsecpol -w REG -p "safety policy" -r "ICMP ping" -f 0+*::ICMP -f *+0::ICMP -n PASS -x

Rem 开通文件共享访问
ipsecpol -w REG -p "safety policy" -r "File share" -f 0+*:445:TCP -f *+0:445:TCP -n PASS -x

Rem 开通访问web服务
ipsecpol -w REG -p "safety policy" -r "Apache web" -f *+0:80:TCP -n PASS -x

Rem 开通访问本机web-6666服务
ipsecpol -w REG -p "safety policy" -r "IIS web" -f *+0:6666:TCP -n PASS -x

Rem 开通和所有域控制器的连接
ipsecpol -w REG -p "safety policy" -r "Domain Control" -f 192.168.x.x+0 -f 192.168.x.x+0 -n PASS -x

Rem 允许特定地址访问DNS端口
ipsecpol -w REG -p "safety policy" -r "DNS ACCESS" -f 192.168.x.x+0:53:TCP -f 192.168.x.x+0:53:UDP -n PASS -x

注意,需要安装一个ipsec的安装包。


Asier 发表于:2004.10.20 10:31 ::分类: ( 技术探讨 ) ::阅读:(952次) :: Permanent link
===========================================================
如何使用 IPSec 阻止特定网络协议和端口
===========================================================

如何使用 IPSec 阻止特定网络协议和端口

适用于

概要

Internet 协议安全 (IPSec) 筛选规则可用于帮助保护基于 Windows 2000 的计算机免遭病毒及蠕虫等威胁带来的、基于网络的攻击。本文介绍如何为入站和出站网络通信筛选特定的协议和端口组合。本文还包括用于确定当前是否为基于 Windows 2000 的计算机指定了 IPSec 策略的步骤、用于创建和指定新的 IPSec 策略的步骤以及用于取消指定和删除 IPSec 策略的步骤。

更多信息

IPSec 策略可以在本地应用,也可以作为域的组策略的一部分应用于该域的成员。本地 IPSec 策略可以是静态的(重新启动后一直有效),也可以是动态的(易失效)。静态 IPSec 策略被写入本地注册表并在操作系统重新启动后一直有效。动态 IPSec 策略没有被永久性地写入注册表,并且在操作系统或 IPSec Policy Agent 服务重新启动后被删除。

重要说明:本文包含有关使用 Ipsecpol.exe 编辑注册表的信息。编辑注册表之前,一定要知道在发生问题时如何还原注册表。有关如何备份、还原和编辑注册表的信息,请单击下面的文章编号,以查看 Microsoft 知识库中相应的文章:

256986 Microsoft Windows 注册表说明

注意:IPSec 筛选规则会导致网络程序丢失数据和停止响应网络请求,包括无法对用户进行身份验证。只有当您清楚地了解阻止特定端口对您的环境具有的影响之后,才应将 IPSec 筛选规则作为一种迫不得已的防护措施加以采用。如果您按照本文列出的步骤创建的 IPSec 策略对您的网络程序有不利影响,请参阅本文稍后的“取消指定和删除 IPSec 策略”一节,了解有关如何立即禁用和删除该策略的说明。

确定是否已指定 IPSec 策略

在为基于 Windows 2000 的计算机创建或指定任何新的 IPSec 策略之前,请确定是否有通过本地注册表或组策略对象 (GPO) 应用的任何 IPSec 策略。为此,您需要:
  1. 从 Windows 2000 CD 上的 SupportTools 文件夹中运行 Setup.exe,安装 Netdiag.exe。
  2. 打开命令提示窗口,然后将工作文件夹设置为 C:Program FilesSupport Tools。
  3. 运行以下命令以验证“尚未”为该计算机指定现有 IPSec 策略:

    netdiag /test:ipsec

    如果没有指定策略,您将收到以下消息:
    IP Security test .. . . . . . . . : Passed IPSec policy service is active, but no policy is assigned.

创建一个用于阻止通信的静态策略

对于没有启用本地定义的 IPSec 策略的系统,请按照下列步骤创建一个新的本地静态策略,以阻止发送到基于 Windows 2000 的、没有指定现有 IPSec 策略的计算机上的特定协议和端口的通信:
  1. 验证 IPSec Policy Agent 服务是否已在“服务 MMC”管理单元中启用并启动。
  2. 访问下面的 Microsoft Web 站点以下载并安装 Ipsecpol.exe: http://www.microsoft.com/windows2000/techinfo/reskit/tools/existing/ipsecpol-o.asp
  3. 打开命令提示窗口,然后将工作文件夹设置为您在其中安装了 Ipsecpol.exe 的文件夹。

    注意:Ipsecpol.exe 的默认文件夹为 C:Program FilesResource Kit。
  4. 要创建一个新的本地 IPSec 策略和筛选规则,并将其应用于从任何 IP 地址发送到您要配置的、基于 Windows 2000 的计算机的 IP 地址的网络通信,请使用以下语法(其中协议端口号 是变量):

    ipsecpol -w REG -p "Block 协议端口号 Filter" -r "Block Inbound 协议端口号 Rule" -f *=0:端口号:协议 -n BLOCK –x

    例如,要阻止从任何 IP 地址和任何源端口发往基于 Windows 2000 的计算机上的目标端口 UDP 1434 的网络通信,请键入以下命令。此策略可以有效地保护运行 Microsoft SQL Server 2000 的计算机免遭“Slammer”蠕虫的攻击。

    ipsecpol -w REG -p "Block UDP 1434 Filter" -r "Block Inbound UDP 1434 Rule" -f *=0:1434:UDP -n BLOCK -x

    以下示例可阻止对 TCP 端口 80 进行的入站访问,但是仍然允许进行出站 TCP 80 访问。此策略可以有效地保护运行 Microsoft Internet 信息服务 (IIS) 5.0 的计算机免遭“Code Red”和“Nimda”蠕虫的攻击。

    ipsecpol -w REG -p "Block TCP 80 Filter" -r "Block Inbound TCP 80 Rule" -f *=0:80:TCP -n BLOCK -x

    注意-x 开关可以立即指定该策略。如果您输入此命令,将取消指定“Block UDP 1434 Filter”策略,并指定“Block TCP 80 Filter”。要添加但不指定该策略,请在键入该命令时不在结尾带 -x 开关。
  5. 要向阻止特定网络通信( 基于 Windows 2000 的计算机发往任何 IP 地址)的现有“Block UDP 1434 Filter”策略中添加其他筛选规则,请使用以下语法(其中协议端口号 是变量):

    ipsecpol -w REG -p "Block 协议端口号 Filter" -r "Block Outbound 协议端口号 Rule" -f *0=:端口号:协议 -n BLOCK

    例如,要阻止从基于 Windows 2000 的计算机发往任何其他主机上的 UDP 1434 的任何网络通信,请键入以下命令。此策略可以有效地阻止运行 SQL Server 2000 的计算机传播“Slammer”蠕虫。

    ipsecpol -w REG -p "Block UDP 1434 Filter" -r "Block Outbound UDP 1434 Rule" -f 0=*:1434:UDP -n BLOCK

    注意:您可以使用此语法向策略中添加所需数量的筛选规则(例如,使用同一策略阻止多个端口)。
  6. 步骤 5 中的策略现在将生效,并将在每次重新启动计算机后一直存在。但是,如果以后为计算机指定了基于域的 IPSec 策略,此本地策略将被覆盖并将不再适用。要验证您的筛选规则是否已成功指定,请在命令提示符处,将工作文件夹设置为 C:Program FilesSupport Tools,然后键入以下命令:

    netdiag /test:ipsec /debug

    如这些示例所示,如果同时指定了用于入站通信和出站通信的策略,您将收到以下消息:
    IP Security test .. . . . . . . . :
    Passed Local IPSec Policy Active:'Block UDP 1434 Filter' IP Security Policy Path:SOFTWAREPoliciesMicrosoftWindowsIPSecPolicyLocalipsecPolicy{D239C599-F945-47A3-A4E3-B37BC12826B9}

    There are 2 filters
    No Name
    Filter Id:{5EC1FD53-EA98-4C1B-A99F-6D2A0FF94592}
    Policy Id:{509492EA-1214-4F50-BF43-9CAC2B538518}
    Src Addr :0.0.0.0 Src Mask :0.0.0.0
    Dest Addr :192.168.1.1 Dest Mask :255.255.255.255
    Tunnel Addr :0.0.0.0 Src Port :0 Dest Port :1434
    Protocol:17 TunnelFilter:No
    Flags :Inbound Block
    No Name
    Filter Id:{9B4144A6-774F-4AE5-B23A-51331E67BAB2}
    Policy Id:{2DEB01BD-9830-4067-B58A-AADFC8659BE5}
    Src Addr :192.168.1.1 Src Mask :255.255.255.255
    Dest Addr :0.0.0.0 Dest Mask :0.0.0.0
    Tunnel Addr :0.0.0.0 Src Port :0 Dest Port :1434
    Protocol:17 TunnelFilter:No
    Flags :Outbound Block
    注意:IP 地址和图形用户界面 (GUID) 号将不同。它们将反映基于 Windows 2000 的计算机的相应内容。

为特定协议和端口添加阻止规则

要为基于 Windows 2000 的、具有现有本地指定的静态 IPSec 策略的计算机上的特定协议和端口添加阻止规则,请按照下列步骤操作:
  1. 访问下面的 Microsoft Web 站点以下载和安装 Ipsecpol.exe: http://www.microsoft.com/windows2000/techinfo/reskit/tools/existing/ipsecpol-o.asp
  2. 识别当前指定的 IPSec 策略的名称。为此,请在命令提示符处键入以下命令:

    netdiag /test:ipsec

    如果已指定策略,您将收到类似于以下内容的消息:
    IP Security test .. . . . . . . . : Passed
    Local IPSec Policy Active:'Block UDP 1434 Filter'
  3. 如果已为计算机(本地或域)指定了 IPSec 策略,请使用以下语法将其他 BLOCK 筛选规则添加到现有 IPSec 策略中(其中现有 IPSec 策略名称协议端口号 是变量):

    ipsecpol -p "现有 IPSec 策略名称" -w REG -r "Block 协议端口号 Rule" -f *=0:端口号:协议 -n BLOCK

    例如,要将用于阻止对 TCP 端口 80 进行入站访问的筛选规则添加到现有的“Block UDP 1434 Filter”中,请键入以下命令:

    ipsecpol -p "Block UDP 1434 Filter" -w REG -r "Block Inbound TCP 80 Rule" -f *=0:80:TCP -n BLOCK


为特定协议和端口添加动态阻止策略


在有些情况下,您可能希望暂时阻止特定的端口(例如,在可以安装修复程序之前,或者在已经为计算机指定了基于域的 IPSec 策略时)。要使用 IPSec 策略暂时阻止对基于 Windows 2000 的计算机上的某个端口进行的访问,请按照下列步骤操作:
  1. 访问下面的 Microsoft Web 站点以下载并安装 Ipsecpol.exe: http://www.microsoft.com/windows2000/techinfo/reskit/tools/existing/ipsecpol-o.asp
  2. 要添加一个动态 BLOCK 筛选以阻止从任何 IP 地址发往您系统的 IP 地址和目标端口的所有数据包,请在命令提示符处键入以下命令(其中协议端口号 是变量):

    ipsecpol -f [*=0:端口号:协议]

    注意:此命令可动态创建该阻止筛选,并且只要 IPSec Policy Agent 服务运行,该策略就会保持指定状态。如果重新启动 IPSec 服务或计算机,该设置将丢失。如果要在每次重新启动系统后动态地重新指定 IPSec 筛选规则,请创建一个启动脚本以重新应用该筛选规则。如果您要永久性地应用此筛选,请将该筛选配置为静态 IPSec 策略。“IPSec 策略管理 MMC”管理单元提供图形用户界面以便管理 IPSec 策略配置。如果已应用基于域的 IPSec 策略,netdiag /test:ipsec /debug 命令仅在由具有域管理员凭据的用户执行时才会显示筛选详细信息。Netdiag.exe 的更新版本将在 Windows 2000 Service Pack 4 中提供,本地管理员可以使用它来查看基于域的 IPSec 策略。

IPSec 筛选规则和组策略

对于通过组策略设置来指定 IPSec 策略的环境,您必须更新整个域的策略以阻止特定的协议和端口。在您成功配置组策略 IPSec 设置后,您必须强制刷新域中所有基于 Windows 2000 的计算机上的组策略设置。为此,请使用以下命令:

secedit /refreshpolicy machine_policy

该 IPSec 策略更改将在两个不同轮询间隔中的其中一个间隔内检测到。对于一个刚指定的、应用于 GPO 的 IPSec 策略,该 IPSec 策略将在为组策略轮询间隔设置的时间内应用于客户端,或者当在客户机上运行 secedit /refreshpolicy machine_policy 命令时应用于客户端。如果已为 GPO 指定了 IPSec 策略并且正在将新的 IPSec 筛选或规则添加到现有策略中,secedit 命令将不会使 IPSec 识别更改。在这种情况下,对基于 GPO 的现有 IPSec 策略的修改将在该 IPSec 策略自己的轮询间隔内检测到。此时间间隔是在该 IPSec 策略的常规选项卡上指定的。您还可以通过重新启动 IPSec Policy Agent 服务来强制刷新 IPSec 策略设置。如果 IPSec 服务停止或重新启动,由 IPSec 保护的通讯将中断并将需要几秒钟的时间才能恢复。这可能导致程序连接被断开,对于主动传输大量数据的连接而言更是如此。当 IPSec 策略只应用于本地计算机时,您不必重新启动该服务。

取消指定和删除 IPSec 策略

  • 对于使用本地定义的静态策略的计算机
    1. 打开命令提示窗口,然后将工作文件夹设置为您在其中安装了 Ipsecpol.exe 的文件夹。
    2. 要取消指定您以前创建的筛选,请使用以下语法:

      ipsecpol -w REG -p "Block 协议端口号 Filter" –y

      例如,要取消指定您以前创建的“Block UDP 1434 Filter”,请使用以下命令:

      ipsecpol -w REG -p "Block UDP 1434 Filter" -y

    3. 要删除您创建的筛选,请使用以下语法:

      ipsecpol -w REG -p "Block 协议端口号 Filter" -r "Block 协议端口号 Rule" –o

      例如,要删除“Block UDP 1434 Filter”筛选和您以前创建的两个规则,请使用以下命令:

      ipsecpol -w REG -p "Block UDP 1434 Filter" -r "Block Inbound UDP 1434 Rule" -r "Block Outbound UDP 1434 Rule" -o

  • 对于使用本地定义的动态策略的计算机

    如果通过使用 net stop policyagent 命令停止 IPSec Policy Agent 服务,动态 IPSec 策略将被取消应用。但是,要删除以前使用的特定命令而不停止 IPSec Policy Agent 服务,请按照下列步骤操作:
    1. 打开命令提示窗口,然后将工作文件夹设置为您在其中安装了 Ipsecpol.exe 的文件夹。
    2. 键入下面的命令:

      Ipsecpol –u

      注意:您还可能需要重新启动 IPSec Policy Agent 服务以清除所有动态指定的策略。

将您的新筛选规则应用到所有协议和端口

默认情况下,在 Microsoft Windows 2000 和 Microsoft Windows XP 中,IPSec 使得广播、多路广播、RSVP、IKE 和 Kerberos 通信免于受到任何筛选和身份验证的限制。有关这些豁免的其他信息,请单击下面的文章编号,以查看 Microsoft 知识库中相应的文章:

253169 Traffic That Can--and Cannot--Be Secured by IPSec

当 IPSec 只用于允许和阻止通信时,可以通过更改注册表值来删除对 Kerberos 和 RSVP 协议的豁免。有关如何执行此操作的完整说明,请单击下面的文章编号,以查看 Microsoft 知识库中相应的文章:

254728 IPSec Does Not Secure Kerberos Traffic Between Domain Controllers

通过按照这些说明进行操作,即使攻击者将他们的源端口设置为 Kerberos 端口 TCP/UDP 88,您也可以保护 UDP 1434。通过删除 Kerberos 豁免,现在可以将 Kerberos 数据包与 IPSec 策略中的所有筛选进行匹配。因此,可以在 IPSec 内部对 Kerberos 进行保护(阻止或允许)。这样,如果 IPSec 筛选与发往域控制器 IP 地址的 Kerberos 通信匹配,您可能需要更改 IPSec 策略设计来添加新的筛选,以便允许发往各个域控制器 IP 地址的 Kerberos 通信(如果您没有按照知识库文章 254728 的说明使用 IPSec 来保护域控制器之间的所有通信)。

在计算机重新启动时应用 IPSec 筛选规则

所有 IPSec 策略均依赖于要指定的 IPSec Policy Agent 服务。当基于 Windows 2000 的计算机正在启动时,IPSec Policy Agent 服务未必是第一个启动的服务。结果,可能存在一个短暂的瞬间,这时计算机的网络连接容易受到病毒或蠕虫的攻击。仅当在 IPSec Policy Agent 服务完全启动并指定了所有策略之前,存在潜在漏洞的服务便成功启动并开始接受连接时,才会发生这种情况。

这篇文章中的信息适用于:

  • Microsoft Windows 2000 Professional
  • Microsoft Windows 2000 Server
  • Microsoft Windows 2000 Advanced Server
 查看全文
Asier 发表于:2004.10.20 10:28 ::分类: ( 技术探讨 ) ::阅读:(1405次) :: 评论 (13)
自我介绍
切换风格
新闻聚合
博客日历
文章归档...
最新发表...
博客统计...
Blog信息
网站链接...