jamesbond

一块坏网卡引起的风暴

jamesbond — Tue, 02 Feb 2010 09:49:00 GMT

昨天真的是一块臭肉坏了满锅汤，居然一块坏网卡造成全公司网络异常，无法上网，经过一天的排查终于找到了这台机器，折腾的够呛。从网上找到一篇文章，大家看一下吧！
http://www.studa.net/Electronic/090113/15074787.html

CENT os 5.2下安装CACTI

jamesbond — Wed, 27 Jan 2010 01:44:00 GMT

1.安装apache.
./configure --prefix=/usr/local/apache-cacti --enable-so
make && make install
/usr/local/apache-cacti/bin/apachtcl start
http://localhost 出现 It is OK。

2.安装MYSQL
#groupadd mysql
#useradd -g mysql mysql
#./configure --prefix=/usr/local/mysql
#make && make install
#./scripts/mysql_install_db (初始)
#/usr/local/mysql/bin/mysqld_safe --user=mysql &
#/usr/local/mysql/bin/mysqladmin -u root -p password "******"
我遇到了错误，无法进入，后来就用--skip-grant-table 启动MYSQL，并更改密码
#mysql -uroot -p
mysql>use mysql; //切换到mysql database
mysql> UPDATE user SET password=password('root') WHERE user='root';
把密码改为root.
ln -s /usr/local/mysql/bin/mysql /usr/bin/mysql
到此mysql安装完毕。

3.安装php
#./configure --prefix=/usr/local/php --with-mysql=/usr/local/mysql --with-apxs2=/usr/local/apache-cacti/bin/apxs --enable-sockets
#make && make install
#cp ./php.ini-dist /usr/local/lib/php.ini
#vi /usr/local/apache-cacti/conf/httpd.conf

AddType application/x-httpd-php .php
<IfModule dir_module>
    DirectoryIndex index.html index.php index.jsp
</IfModule>
#/usr/local/apache-cacti/bin/apachetl restart 重启APACHE
#vi /usr/local/apache-cacti/htdocs/index.php 测试PHP
<?
phpinfo();
?>

输入网页：http://localhost/inde.php

4.安装rrdtool
安装之前需要用yum把cairo-devel和pango-devel安装好了
yum -y install cairo-devel pango-devel
#./configure --prefix=/usr/local/rrdtool

5.创建cacti数据库
useradd cactiuser
mysql -u root -p root
mysql > create database cacti;

6.安装cacti和cacti-plugins
tar zxvf cacti-0.8.7e.tar.gz
cp -r cacti-0.8.7e /usr/local/apache-cacti/htdocs/cacti
mysql -uroot -p cacti < cacti.sql 导入
#password:*****

mysql > grant all on cacti.* to cactiuser@localhost identified by "cacti";
mysql > flush privileges;

chown -R cactiuser /usr/local/apache-cacti/htdocs/rra /log

vi ./include/config.php
修改密码等
让系统每5分钟收集,需要
crontab -u cactiuser -e
*/5 * * * * /usr/local/php/bin/php /usr/local/apache-cacti/htdocs/cacti/poller.php > /logs/crontab/cacti.log 2>&1

也可手工跑一次: /usr/local/php/bin/php /usr/local/apache-cacti/htdocs/cacti/poller.php
(以cactiuser用户运行, 不要用root用户运行)
然后通过HTTP访问安装。

7.安装NET-SNMP
yum -y install net-snmpd 安装完成后修改
vi /etc/snmp/snmp.conf
#       sec.name source          community
com2sec notConfigUser default      **

#       group          context sec.model sec.level prefix read   write notif
access notConfigGroup ""      any       noauth    exact   systemview    none none
把systemview改为all。

##           incl/excl subtree                          mask
view all    included .1                               80         把这行注释去掉
启动/etc/ini.d/snmpd start
chkconfgi --add snmpd
chkconfig --level 2345 snmpd on 加入系统启动

8.安装CACTI-PLUGINS
unzip cacti-plugin-0.8.7e-PA-v2.6.zip -d cacti-plugins
cp -r cacti-plugins/* /usr/local/apache-cacti/htdocs/cacti/
patch -p1 -< cacti-plugin-0.8.7e-PA-v2.6.diff
mysql -uroot -p cacti < pa.sql
修改 $PATH/htdocs/cacti/include/global.conf中url_path的值为对应目录名
$config['url_path'] = ‘/cacti/’;

今天又被BOss问了措手不及啊

jamesbond — Fri, 22 Jan 2010 06:15:00 GMT

无奈啊，老板只关注数据数据啊，真是难侍候啊，今天有一台机器无法远程连接了，但是其他的用户可以连，后和相关人员联系重启后，可以连接了，但具体的问题还不知道出在哪里，过去告诉他好了可以连接了，问了一连串的为什么，问都问傻眼了。

唉。。。。。。好好的机器，不管什么机器怎么一到他手里就出现这个问题，他写的些什么垃圾程序，给他哪台、哪台机器就挂，还不能说，真是无奈了。

cacti 出图但是显示nan解决方法

jamesbond — Tue, 12 Jan 2010 06:10:00 GMT

这几天在配置cacti时，有其中2台主机始终无法绘图，经过查找了一些资料，并且做更改，现在图已经出来了。

更改被监控机器的snmp.conf
更改如下：
#(1)
com2sec notConfigUser default public

####
# Second, map the security name into a group name:

# groupName securityModel securityName
#(2)
group notConfigGroup v1 notConfigUser
group notConfigGroup v2c notConfigUser

####
# Third, create a view for us to let the group have rights to:

# Make at least snmpwalk -v 1 localhost -c public system fast again.
# name incl/excl subtree mask(optional)
#(3)
view systemview included .1.3.6.1.2.1.1
view systemview included .1.3.6.1.2.1.25.1.1
把如上两行中其中一行改为
view all include .1 80

####
# Finally, grant the group read-only access to the systemview view.

# group context sec.model sec.level prefix read write notif
#(4)
access notConfigGroup "" any noauth exact systemview none none
把systemview改为all

问题出在 public community 被定义 notConfigGroup 这个群組,
而 access 定义notConifgGroup 被限制只能读取systemview 这个 view
而 systemview 被定义成只能看子树.1.3.6.1.2.1.1 and .1.3.6.1.2.1.25.1.1
所以会出現之前貼出來的因為 MIB 樹被限制在上面兩個範圍, 所以一下下就"走"完了

解决Exchange Server 2003 邮件服务器(解决邮箱存储占用空间过大问题)

jamesbond — Mon, 04 Jan 2010 08:43:00 GMT

由于随着时间的增长，存储无法释放磁盘的空间，导致磁盘空间越来越大，今天进行了一下整理。

1.在网上看了一些帖子，说使用exchange自带的整理工具进行整理，但是测试过后发现整理的效果不是很好。
可根据如下文章：http://www.5dmail.net/bbs/viewthread.php?tid=161633&extra=page%3D1%26amp%3Bfilter%3Ddigest&page=1

2.最好还是使用另外一种方法进行整理，最简单的：新建一个存储，把需要删除的存储组中的邮箱都MOVE到新的里边，然后删除存储组，后会提示需要手动删除数据库。

3.在删除后，我又新建了一个存储组，在exchange2003好像只支持建4个存储组，再多就不行了，建好好，需要装载一下，不过得等一段时间，它需要加载域的信息，这时候装载存储会报错，“由于尚未复制Active Directory 信息，因此无法装入存储”，所以需要等一段时间再装载就OK了。

4.附图：
选好后对整个存储组进行完全备份，并设定好增量备份等。

利用Ext2Fsd-0.48在WIN下读取LINUX分区

jamesbond — Thu, 31 Dec 2009 06:35:00 GMT

从网上找了这个工具还挺好使的，加载后就解决了WIN下不能读LINUX分区的问题了。

问题描述：这台机器原先是LINUX机器，其中有2块硬盘，一块数据盘，一块系统盘，之后由于开发人员必须得在win下工作，本来想安装个双系统，但是难度大、比较麻烦，干脆格掉LINUX，安装WIN,现在已经都好了。

1.安装Ext2Fsd-0.48软件。
2.启动并且加载。

apache和多tomcat负载日记

jamesbond — Fri, 18 Dec 2009 09:41:00 GMT

今天做了一下APACHE和多TOMCAT的负载均衡，现已完成，但是后面还有一些优化的还没做完，先写下一些日记。

1.安装JDK
我是从其他机器上直接COPY过来的，所以没有下载，我是用的jdk1.6
2.安装TOMCAT
COPY到/usr/local/tomcat
设置环境变量，我是直接在tomcat/bin下设置的脚步,setenv.sh
内容：JRE_HOME=/usr/java/jdk1.6.0_10
3.启动/bin/start.sh，不报错就OK了，
访问http://localhost:8080，一切OK。
4.安装apache，我用的版本是apache2.2.11
安装过程不再叙述了，但一定要安装上代理。因为我是通过AJP来做的。
安装完成后可以试试，http://localhost/,打开就OK了

5.前面的都顺利的完成了，下面做的是APACHE和tomcat的整合了。
首先修改APACHE的配置文件，httpd.conf
加入：
ProxyRequests Off
ProxyPass / balancer://myCluster/
<Proxy balancer://myCluster/>
BalancerMember ajp://localhost:8009 route=Tomcat6_new1
BalancerMember ajp://localhost:9009 route=Tomcat6_new2
</Proxy>
6.我是用两个TOMCAT来做的测试，所以需要把连个TOMCAT的端口改成不一样的。
我AJP端口分别是8009和9009.
7.修改conf/service.xml
修改：过修改 Engine 配置选项，配置集群中每个 Tomcat 实例的名称。修改前内容如下： <!-- You should set jvmRoute to support load-balancing via AJP ie :
<Engine name = "Standalone" defaultHost = "localhost" jvmRoute = "jvm1">
<Engine name = "Catalina" defaultHost = "localhost">

tomcat1 中修改后内容如下：

<Engine name = "Standalone" defaultHost = "localhost" jvmRoute = " Tomcat1">
tomcat2 中修改后内容如下：

<Engine name = "Standalone" defaultHost = "localhost" jvmRoute = " Tomcat2">

以上都完成后，重启apache和tomcat服务，然后在浏览器中输入
http://localhost/test.jsp看看是否能直接跳转到TOMCAT上，如果能的话就OK了，我测试的时候两个TOMCAT中TEST.JSP写的内容不一样，这样我不断的访问就可以看到，一会这个TOMCAT，一下又是另一个了，只是为了测试所以内容不一样了。

Exchange Server 2003 反垃圾邮件经验谈

jamesbond — Thu, 17 Dec 2009 09:39:00 GMT

转自：
http://www.5dmail.net/bbs/viewthread.php?tid=178347&extra=page%3D1%26amp%3Bfilter%3Ddigest
众所周知,当前网络安全环境及SMTP协议本身的弱点,导致了大量的垃圾邮件产生，在过去几年中甚至愈演愈烈，没有人会否认垃圾邮件已经是当今电子邮件系统中最令人头痛的问题,垃圾邮件足以让企业和用户蒙受巨大损失,更为严重的是,垃圾邮件的危害已不再局限于电子邮件内容本身，如果无法有效控制这些威胁，就可能使整个企业网络陷入遭受安全攻击的危险之中，所以当前每个企业都必须采取预防措施来防范垃圾邮件。

作为市场占有率极高邮件系统―― Exchange Server同样面临这些挑战。早在Exchange Server 2000之前的版本中，基本上没有考虑防范垃圾邮件的功能,当然那个年代也许根本就不需要.随着Exchange Server 2003的发布,更多反垃圾邮件功能内置在了系统中。特别是在Exchange Server 2003 SP2推出时同步推出了智能邮件筛选器(IMF),这样微软通过Exchange Server服务器端实现从连接级――保护分析 SMTP 主机连接，协议级――保护分析邮件发件人和收件人，内容级――保护评估邮件内容等三个方面的保护，并与客户端（Outlook，OWA）有效的结合实现全方位的保护。

本文将以目前企业使用的最多版本－Exchange Server 2003 SP2为例，为大家更好的使用用Exchange Server内置的功能防范垃圾邮件提供建议。

{Exchange Server服务器端}

一．连接级保护
连接级保护主要是分析SMTP连接的主机（如：IP地址）是否为发送垃圾邮件的主机或或是拒绝连接的主机，如果确定为垃圾邮件主机或是拒绝连接的IP地址，将会直接拒绝当前的连接，所以说它是最直接的一层，也是最简单的一层。在Exchange 2003连接级保护使用的是――“连接筛选”，它主要实现方式包括以下两个：

1.接受和拒绝IP地址列表
通过手动的维护“接受”或“拒绝”IP地址列表可以明确的哪些IP地址是允许连接的，哪些IP地址是不允许直接连接的。通过它我们可以对已知的垃圾邮件主机进行过滤。

配置方法如下：
1）在 Exchange 系统管理器中展开“全局设置”。
2）右键单击“邮件传递”并单击“属性”。
3）单击“连接筛选”选项卡。
4）选择“接受”或“拒绝”，如“拒绝”。
5）在“添加”时选择“单个 IP 地址”或“IP 地址组”，如下面的屏幕截图所示。

2.阻止名单服务
阻止名单服务就是我们平常所说的实时IP黑名单（RBL），Exchange Server提供管理员增加可信的RBL，从而可以有效的过滤已知的垃圾邮件发送者的IP。我们建议使用以下三个RBL。

配置方法如下：
1）在 Exchange 系统管理器中展开“全局设置”。
2）右键单击 “邮件传递”，然后单击“属性”。
3）单击“连接筛选”选项卡。
4）“阻止名单服务配置”中单击“添加”（如下面的屏幕截图所示）。

5）在“显示名”中，键入连接筛选器的名称。
6）在“提供商的 DNS 后缀”中，输入RBL的服务器地址（如：cblless.anti-spam.org.cn）。7）在“自定义要返回的错误消息”中，您可以键入希望返回到发送人的自定义错误消息，例如：
Your IP address %0 is blacklisted by %2.
（参数说明： %0表示连接 IP 地址，%2表示RBL 地址）

8）.单击“返回状态代码”，并输入正确的“返回状态代码”地址。

3.建议

名称	服务器地址	返回状态码
Anti-spam org.cn CBL-	cblless.anti-spam.org.cn	127.0.8.5
SPAMHAUS SBL+ XBL	sbl-xbl.spamhaus.org	127.0.0.2/3/4/6
Spamcop RBL	bl.spamcop.net	127.0.0.2

1）建议使用以下三个RBL

2）配置阻止名单服务的“例外”列表
这个列表是用来增加本服务器不需要经过过滤的收件人地址，比如我们可以这里专门开通一个用于对方申诉的邮箱，把它加入到例外列表中。从而实现与发件方的申诉沟通。

3）利用“全部接收和拒绝列表”
当RBL把你重要的合作伙伴服务器的IP被RBL列入，可以在“全部接收和拒绝列表”的“接受”中增加对方的IP地址，从而实现直接的放行。

4）尽量友好“自定义要返回的错误信息”
建议尽量优化“自定义要返回的错误信息”，让被拒绝的发件方可以明确是因为什么原历被拒绝，比如增加一些申诉的邮箱或是查询网址信息等。

5）更多连接级保护的操作建议查看微软KB823866文章，地址如下：
http://support.microsoft.com/kb/823866

2楼大中小发表于 2008-9-12 01:00 只看该作者

二．议级保护
在连接级保护后，下一层防御就是 SMTP 协议级保护。将对发送 SMTP 主机与接收 SMPT 主机之间的会话进行分析，以检验发件人地址与收件人地址是否经允许，并确定发件人的域名的有效性。在Exchange 2003主要提供以下三种过滤手段：

1.发件人筛选
使用发件人筛选功能可以阻止手动维护的特定发件人邮件地址，并可以对这类邮件进行多种操作。

配置方法：
1）在 Exchange 系统管理器中展开“全局设置”。
2）右键单击 “邮件传递”，然后单击“属性”。
3）单击“发件人筛选”选项卡。
4）在“发件人”中可以手动增加需要过滤的发件人邮件地址。
5）根据需要你可以选择勾选“存档筛选邮件”、“筛选发件人为空的邮件”等等。

2.收件人筛选
使用收件人筛选功能可以阻止发送到手动维护的特定收件人地址的电子邮件，并可以实现对发往服务器不存在的邮件地址的电子邮件进行过滤。

配置方法：
1）启动 Exchange 系统管理器。
2）展开“全局设置”。
3）单击“邮件传递”并选择“属性”。
4）单击“收件人筛选”选项卡。
5）根据需要选择“筛选不在目录中的收件人”。
6）如果需要增加特定的收件人，单击“添加”后输入完全的收件人的地址即可。

3.发件人ID筛选
发件人ID筛选是根据发件方的IP地址来验证，所发的电子邮件是否为发件人邮件地址所在域的指定邮件发送服务器的IP相符（SPF记录）的一种手段，如果IP与SPF记录声明的IP不相符规不通过发件人ID筛选（而没有建立SPF记录的域名的邮件将直接通过发件人ID筛选）从而防止冒用它人域名发送邮件的情况。

配置方法：
1）启动 Exchange 系统管理器。
2）展开“全局设置”。
3）用鼠标右键单击“邮件传递”并选择“属性”。
4）单击“发件人 ID 筛选”选项卡。
5）选择所需的发件人 ID 筛选选项，比如：接收，删除，拒绝。

4.建议
1）如果要启用发件人ID筛选，必须要“全局设置”－“常规”－“外围IP列表及内部IP范围配置”中指定网关或是内部网络中服务器的 IP 地址，否则将有可能出现7518事件日志。
2）建议为自己的公司使用的域名人创建SPF记录。
3）当选择在“收件人筛选”中勾选了“筛选不在目录中的收件人”后，为防止字典攻击（DHA）请启用Tar Pit 功能，详情查看微软KB84285文章，地址如下：http://support.microsoft.com/kb/842851

三．内容级保护

Exchange Server 2003 SP2 中的内容过滤，主要依靠Microsoft Research 已申请专利的机器学习技术SmartScreen为基础，集成到―― “智能邮件筛选器(IMF)”中，利用启发式分析的方法，对来自外部的电子邮件进行是合法邮件还是垃圾邮件作出一个正确的概率评估，给邮件SCL（SPAM Confidence Level）值，以区分可能是垃圾邮件的等级，等级越高，邮件是垃圾邮件的可能性就越大。此外，利用PCL（Phishing Confidence Level）值，IMF还能对钓鱼邮件进行防范。

1. “智能邮件筛选”配置方法：
1）启动 Exchange 系统管理器。
2）展开“全局设置”。
3）用鼠标右键单击“邮件传递”，然后选择“属性”。
4）单击“智能消息筛选”选项卡。
5）在“网关阻止配置”中设定需要阻止的邮件SCL值，并选择所需阻止操作。

6）在垃圾邮件存储配置中设定设定需要阻止的邮件SCL值

2.建议：
1）SCL 等级的范围是从 0 到 9。等级越高，邮件是垃圾邮件的可能性就越大。建议的保守的SCL值组合为8和6，笔者认为较有效的SCL值组合为6和4.

2）IMF是基于内容过滤的技术，所以会出现误判的情况，所以建议在阻止邮件时使用“存档”的操作。以方便对误判的正常邮件进行提取，存档后的邮件存放在\Exchsrvr\mailroot\vsi n\UCEArchive 中存档，其中 n 是 SMTP 虚拟服务器实例编号。此目录可以修改，注册表键值为
HKEY_LOCAL_MACHINE\Software\Microsoft\Exchange\ContentFilter\ ArchiveDir
（类型为STRING，值为所需目录的全路径，如"E:\Archive"）

3）当发现 7515事件日志时请注意微软鉴于成本考量,认为垃圾邮件的大小不可能超过3M，IMF不扫描超过3M的邮件。

4）当IMF网关阻止配置操作设定为“拒绝”时，垃圾邮件的发送方会更到类似“5.7.1 Requested action not taken: Message Refused”这样的NDR信息，为了便于对方了解拒绝的原因，建议修改这个默认信息为更为详细的信息，注册表键值为：HKLM\Software\Microsoft\Exchange\ContentFilter\CustomRejectResponse

5）微软在每个月的第一个星期三和第三个星期三通过 Microsoft Update 和自动更新技术提供智更新IMF，请增加以下注册表键值：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Exchange\ ContentFilterState (类型为DWORD , 值为1)
建议第一次升级时直接访问Microsoft Update网站并手动手动IMF。

6）IMF根据设定SCL值对所有收到的邮件进行过滤，但有一些企业因为种种原因需要对特殊收件人的邮件地址，进行排除操作，也就是所有发向某个地址的邮件都经过IMF过滤，要实现这个功能，查看微软KB912587文章，地址如下：（http://support.microsoft.com/kb/912587）。

7）IMF还允许用户制作一个名为MSExchange.UceContentFilter.xml的文件来对IMF过滤的内容进行微调，制完成后将文件保存为ANSI格式，并存放在\Program Files\Exchsrvr\bin\MSCFV2目录下。查看微软KB907747，地址如下：
http://support.microsoft.com/kb/907747

四．启用上述的筛选功能
当我们设定完所需要的筛选功能后，最重要的一点是我们必须要SMTP虚拟服务器中启用所需的筛选功能。过程如下：

1）启动 Exchange 系统管理器。
2）展开“服务器”。
3）展开“协议”。
4）展开“SMTP”。
5）单击“默认 SMTP 虚拟服务器”，然后选择“属性”。
6）在“默认 SMTP 虚拟服务器属性”中，单击“高级”。
7）在“高级”中，单击“编辑”。
8）在“标识”中，选择需要应用的各种筛选器，如下图：

9）重启当前的SMTP 虚拟服务器

{ 客户端 }

除了在Exchange Server的服务器端进行垃圾邮件的过滤，微软在客户端也同样提供了不同的过滤功能，以期与发挥用户的主动性，更好的提高垃圾邮件过滤的效果。与此同时，微软还将定期的为Outlook用户制定垃圾邮件更新，用户可以与同 Office 更新时一起更新垃圾邮件筛选。

一、配置 Outlook反垃圾邮件选项[b
1）在 Outlook 中，单击“动作”菜单栏。
2）选择“垃圾邮件”，然后选择“垃圾邮件选项”
3）在“选项”中你要吧设置Outlook的垃圾邮件保护级别。
4）在“安全发件人”，“安全收件人”，“阻止发件人”中可以进行列表的操作。

二．配置 Outlook Web Access (OWA) 中反垃圾邮件选项
1）登录到 Outlook Web Access。
2）单击“选项”。
3）确认是否启用“筛选垃圾邮件”
4）单击“管理垃圾邮件列表”。

5）
从“查看或修改列表”中选择相应的功能进行操作，如下图：

三．建议

1.要与Exchange Server 2003配合使用，实现较好的反垃圾邮件效果。必须是Outlook 2003以上版本。

2.因为阻止列表和安全列表都存储在用户的邮箱中，所以Outlook 与OWA是使用的是同一个列表。用户不需要重复维护。

3.用户收件箱的垃圾邮件规则大小限制为不超过 510 KB，安全发件人列表和阻止发件人列表中包含大约 2,000 个条目。如果需要增加或是减少这个默认值，需要增加以下注册表值：
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\MSExchangeIS\ParametersSystem\ Max Extended Rule Size （类型DWORD，值为允许的用户垃圾邮件规则的最大字节数）

{ Exchange Server 2003 邮件过滤流程 }

在讨论了实际的部署之后，我们再回头来了解一下Exchange Server 2003中邮件过滤的流程。如下图：

Exchange Server在接收到外部SMTP连接后，首先使用“连接筛选”，检查对方IP，如果IP在“拒绝”列表中，将拒绝连接。如果IP 地址出现在“接受”列表中，则将邮件交给实时“阻止名单服务”过滤，如果在阻止列表中找到发送方服务器的 IP 地址，邮件将被拒绝。如果不在阻止列表中，则通过“连接筛选”。

应用连接筛选后，Exchange根据在“发件人筛选”中的发件人列表匹配发件人地址。如果找到匹配项，Exchange 将拒绝该邮件。如果通过“发件人筛选”，Exchange 根据已在“收件人筛选”中的收件人列表匹配收件人地址。如果发现收件人地址与筛选掉的某个电子邮件地址匹配，Exchange 将拒绝邮件。然后，Exchange 检查并筛选收件人是否在AD中。

应用收件人筛选后，Exchange 将检查发件人是否为空，如果符合Exchange 会根据您配置的选项筛选邮件。

在应用智能邮件筛选器之前应用发件人 ID 筛选器（如果已启用）。

如果邮件未被“连接筛选”、“收件人筛选”或“发件人筛选”筛选掉，将应用“智能邮件筛选”，对符合的SCL 分级阈值的邮件做相应的处理。

最后将邮件存储在用户的邮箱中，如果用户使用的是 Outlook 2003 或 OWA，Exchange将根据事先用户的邮箱存储会将邮件的 SCL 分级或是安全发件人列表的设置，将邮件存放在收件箱或是垃圾邮件文件夹中。

{ 结语 }

通过上述的讨论，我们对Exchange Server 2003 SP2在垃圾邮件过滤方面有了大概的了解，当然，我们同样建议用户在使用Exchange Server 自身的垃圾邮件过滤的功能同时，有条件的话选择一些第三方的专业的反垃圾邮软、硬件（比如市面上的GFI、ORF反垃圾邮件系统及梭子鱼等反垃圾网关）来实现更好的过滤效果。另外，新版的Exchange Server 2007 SP1已经发布，升级到Exchange Server2007也将反垃圾邮件性能方面有较大的提升。

windows辅助域控如何提升为GC

jamesbond — Thu, 17 Dec 2009 09:28:00 GMT

前几天由于域控突然死机，造成了公司邮件无法收发，但是想来想去也不对劲，毕竟有辅助域控啊，它为什么不管用呢，为什么域控死机后，而辅助域控确不接管，也不支持EXCHANGE呢，后来通过网络上的查找和发帖，最后终于得知一个消息就是辅助域控是否是一台GC呢，默认安装的话，DC和GC都是在域控上，所以后来只能手动启用了。

打开AD 站点和服务
附图：

secureCRT设置彩色和显示中文

jamesbond — Thu, 17 Dec 2009 09:23:00 GMT

options--session options--Emulation-xterm-复选框也勾上。

域抢夺角色问题

jamesbond — Tue, 08 Dec 2009 02:36:00 GMT

把5个FSMO 角色移到另一台服务器即可.
Schema owner
Domain role owner
PDC role
RID pool manager
Infrastructure owner

使用 Ntdsutil.exe 占用 FSMO 角色或将其转移到域控制器
察看本文应用于的产品
文章编号 : 255504
最后修改 : 2005年6月3日
修订 : 6.0

本页
概要
更多信息
转移 FSMO 角色
占用 FSMO 角色
这篇文章中的信息适用于:

概要
本文介绍如何使用 Ntdsutil.exe 实用程序转移或占用 Flexible Single Master Operations (FSMO) 角色。
回到顶端

更多信息
不适合多主机更新的某些域和企业范围的操作由 Active Directory 域或林中的一台域控制器完成。为执行这些特殊操作而指定的域控制器称为操作主机或 FSMO 角色担任者。

以下列表描述了 Active Directory 林中五种唯一的 FSMO 角色类型，以及这些角色执行的相关操作： • 架构主机 (Schema master) －架构主机角色是林范围的角色，每个林一个。此角色用于扩展 Active Directory 林的架构或运行 adprep /forestprep 命令。
• 域命名主机 (Domain naming master) －域命名主机角色是林范围的角色，每个林一个。此角色用于向林中添加或从林中删除域或应用程序分区。
• RID 主机 (RID master) － RID 主机角色是域范围的角色，每个域一个。此角色用于分配 RID 池，以便新的或现有的域控制器能够创建用户帐户、计算机帐户或安全组。
• PDC 模拟器 (PDC emulator) － PDC 模拟器角色是域范围的角色，每个域一个。将数据库更新发送到 Windows NT 备份域控制器的域控制器需要具备这个角色。此外，拥有此角色的域控制器也是某些管理工具的目标，它还可以更新用户帐户密码和计算机帐户密码。
• 结构主机 (Infrastructure master) －结构主机角色是域范围的角色，每个域一个。此角色供域控制器使用，用于成功运行 adprep /forestprep 命令，以及更新跨域引用的对象的 SID 属性和可分辨名称属性。
Active Directory 安装向导 (Dcpromo.exe) 将这五种 FSMO 角色全部分配给林根域中的第一台域控制器。每个新子域或树域中的第一台域控制器将获得三个域范围的角色。在使用以下某种方法重新分配 FSMO 角色之前，域控制器将一直担任 FSMO 角色： • 管理员使用 GUI 管理工具重新分配角色。
• 管理员使用 ntdsutil /roles 命令重新分配角色。
• 管理员使用 Active Directory 安装向导正常降级担任某个角色的域控制器。该向导将任何本地担任的角色重新分配给林中的现有域控制器。使用 dcpromo /forceremoval 命令执行降级会使 FSMO 角色处于无效状态，直到管理员重新分配为止。
我们建议您在以下情况下转移 FSMO 角色： • 当前角色担任者可以运行，并且新的 FSMO 所有者可以通过网络访问它。
• 您正在正常降级一台域控制器，它目前担任着您要分配给 Active Directory 林中某个特定域控制器的 FSMO 角色。
• 由于要进行定期维护，您需要使目前担任 FSMO 角色的域控制器脱机，并且您需要将特定的 FSMO 角色分配给一台“活的”域控制器。这可能是执行连接到 FSMO 所有者执行操作所必需的。对于 PDC 模拟器角色来说，尤其如此，但对于 RID 主机角色、域命名主机角色和架构主机角色来说，则不尽然。
我们建议您在遇到以下情况时占用 FSMO 角色： • 当前角色担任者遇到一个操作错误，导致 FSMO 相关操作无法成功完成，并且无法转移该角色。
• 使用 dcpromo /forceremoval 命令强制降级担任 FSMO 角色的域控制器。
• 原来担任某个特定角色的计算机上的操作系统不再存在或者已被重新安装。
在进行复制时，域或林中的非 FSMO 域控制器可完全了解担任 FSMO 角色的域控制器所做的更改。如果必须转移角色，则最佳的候选域控制器应该是以下域中的域控制器：该域通过最后一次或最近的入站复制从现有角色担任者那里复制了“FSMO 分区”的可写副本。例如，架构主机角色担任者具有可分辨名称路径 CN=schema,CN=configuration,dc=<林根域>，这意味着角色位于 CN=schema 分区中并且作为该分区的一部分被复制。如果担任架构主机角色的域控制器遇到硬件或软件故障，则较合适的候选角色担任者应当是根域中的域控制器，并且与当前所有者位于同一 Active Directory 站点中。同一 Active Directory 站点中的域控制器每隔 5 分钟或 15 秒执行一次入站复制。

每个 FSMO 角色的分区如列表所示：

FSMO 角色分区
架构 CN=Schema,CN=configuration,DC=<林根域>
域命名主机 CN=configuration,DC=<林根域>
PDC DC=<域>
RID DC=<域>
结构 DC=<域>

应禁止其 FSMO 角色已被占用的域控制器与林中的现有域控制器通信。在这个情况下，您应格式化这类域控制器上的硬盘并重新安装操作系统，或者强制降级专用网络上的这类域控制器，然后使用 ntdsutil /metadata cleanup 命令删除它们在林中剩余域控制器上的元数据。将其角色已被占用的前任 FSMO 角色担任者引入林中的风险在于，原来的角色担任者可能会像以前那样继续运行，直到它通过入站复制了解到角色占用信息。两个域控制器担任相同 FSMO 角色的已知风险在于，这样会创建具有重叠 RID 池的安全主体，同时还会引发其他问题。
回到顶端

转移 FSMO 角色
要使用 Ntdsutil 实用程序转移 FSMO 角色，请按照下列步骤操作： 1. 登录到基于 Windows 2000 Server 或基于 Windows Server 2003 的成员服务器，或登录到转移 FSMO 角色时所在林中的域控制器。我们建议您登录到要为其分配 FSMO 角色的域控制器。登录用户应该是企业管理员组的成员，才能转移架构主机角色或域命名主机角色，或者是转移 PDC 模拟器、RID 主机和结构主机角色时所在域中的域管理员组的成员。
2. 单击“开始”，单击“运行”，在“打开”框中键入 ntdsutil，然后单击“确定”。
3. 键入 roles，然后按 Enter 键。

注意：要在 Ntdsutil 实用程序中的任一提示符处查看可用命令的列表，请键入 ?，然后按 Enter 键。
4. 键入 connections，然后按 Enter 键。
5. 键入 connect to server servername，然后按 Enter 键，其中 servername 是要赋予其 FSMO 角色的域控制器的名称。
6. 在“server connections”提示符处，键入 q，然后按 Enter 键。
7. 键入 transfer role，其中 role 是要转移的角色。要查看可转移角色的列表，请在“fsmo maintenance”提示符处键入 ?，然后按 Enter 键，或者查看本文开头的角色列表。例如，要转移 RID 主机角色，键入 transfer rid master。PDC 模拟器角色的转移是一个例外，其语法是 transfer pdc 而非 transfer pdc emulator。
8. 在“fsmo maintenance”提示符处，键入 q，然后按 Enter 键，以进入“ntdsutil”提示符。键入 q，然后按 Enter 键，退出 Ntdsutil 实用程序。

回到顶端

占用 FSMO 角色
要使用 Ntdsutil 实用程序占用 FSMO 角色，请按照下列步骤操作： 1. 登录到基于 Windows 2000 Server 或 Windows Server 2003 的成员计算机，或者登录到占用 FSMO 角色时所在林中的域控制器。我们建议您登录要赋予其 FSMO 角色的域控制器。登录的用户应当是企业管理员组的成员（以便转移架构主机角色或域命名主机角色），或登录到转移 PDC 模拟器角色、RID 主机角色和结构主机角色时所在域中的域管理员组成员。
2. 单击“开始”，单击“运行”，在“打开”框中键入 ntdsutil，然后单击“确定”。
3. 键入 roles，然后按 Enter 键。
4. 键入 connections，然后按 Enter 键。
5. 键入 connect to server servername，然后按 Enter 键，其中 servername 是要为其分配 FSMO 角色的域控制器的名称。
6. 在“server connections”提示符处，键入 q，然后按 Enter 键。
7. 键入 seize role，其中 role 是您要占用的角色。要查看可占用角色的列表，请在“fsmo maintenance”提示符处键入 ?，然后按 Enter 键，或者查看本文开头的角色列表。例如，要占用 RID 主机角色，可键入 seize rid master。PDC 模拟器角色的占用是一个例外，它的语法是 seize pdc 而非 seize pdc emulator。
8. 在“fsmo maintenance”提示符处，键入 q，然后按 Enter 键，以进入“ntdsutil”提示符。键入 q，然后按 Enter 键，退出 Ntdsutil 实用程序。

注意： • 通常情况下，必须将这五个角色全部分配给林中“活的”域控制器。如果担任 FSMO 角色的域控制器在其角色转移之前被停止服务，则您必须占用所有角色并将之分配给一个合适的、状态良好的域控制器。我们建议您只有在其他域控制器没有返回到域时才占用所有角色。如有可能，请修复分配了 FSMO 角色的已停工的域控制器。应确定日后会将各种角色赋予哪些其余的域控制器，以便将五个角色全部分配给一台域控制器。有关 FSMO 角色放置的其他信息，请单击下面的文章编号，以查看 Microsoft 知识库中相应的文章：
223346 (http://support.microsoft.com/kb/223346/) 在 Windows 2000 域控制器上放置和优化 FSMO
• 如果原来拥有任何 FSMO 角色的域控制器已不在域中，并且您已经按照本文所述的步骤占用了它的角色，请按照以下 Microsoft 知识库文章中概括的步骤将其从 Active Directory 中删除：
216498 (http://support.microsoft.com/kb/216498/) 域控制器降级失败后如何删除 Active Directory 中的数据
• 使用 Windows 2000 或 Windows Server 2003 内部版本 3790 的 ntdsutil /metadata cleanup 命令删除域控制器元数据时，不会重定位已分配给活动域控制器的 FSMO 角色。Windows Server 2003 Service Pack 1 (SP1) 的 Ntdsutil 实用程序会自动完成此任务，删除域控制器元数据的其他元素。
• 由于备份后 FSMO 角色可能曾被重新分配过，有些客户不愿恢复 FSMO 角色担任者的系统状态备份。
• 不要将结构主机角色放置在同时也是全局编录服务器的域控制器上。如果结构主机在全局编录服务器上运行，它将会停止更新对象信息，因为它不包含对它不保存的对象的任何引用。而全局编录服务器持有林中每个对象的部分副本。

要测试域控制器是否也是全局编录服务器，请按照下列步骤操作： 1. 单击“开始”，指向“程序”，指向“管理工具”，然后单击“Active Directory 站点和服务”。
2. 双击左侧窗格中的“站点”，然后找到合适的站点，如果没有其他站点可用，则单击“Default-first-site-name”。
3. 打开“服务器”文件夹，然后单击域控制器。
4. 在域控制器的文件夹中，双击“NTDS 设置”。
5. 在“操作”菜单上，单击“属性”。
6. 在“常规”选项卡上，查看“全局编录”复选框是否选中。
有关 FSMO 角色的其他信息，请单击下面的文章编号，以查看 Microsoft 知识库中相应的文章：
197132 (http://support.microsoft.com/kb/197132/) Windows 2000 Active Directory FSMO 角色
223787 (http://support.microsoft.com/kb/223787/) Flexible Single Master Operation 转移和占用过程

C:\tools>netdom query fsmo
Schema owner             dcsvr.domain.com
Domain role owner          dcsvr.domain.com
PDC role                   dcsvr.domain.com
RID pool manager          dcsvr.domain.com
Infrastructure owner       dcsvr.domain.com
The command completed successfully.

搭建TOMCAT的一些问题

jamesbond — Fri, 04 Dec 2009 07:06:00 GMT

1.刚刚从另外一台机器上COPY了一个TOMCAT过来，更改了CONF/SERVER.XML中的目录，并更改了路径。

2.把另一台机器上的APACHE中的虚拟主机配置文件也弄过来一份，并且更改了相关的IP地址，

以为上述两步做完了就OK了，执行tomcat_**/bin/run.sh ，结果报了个错误，

提示 /usr/lib/jdk1.5.0_13/jre/bin/java: 没有那个文件或目录.

后来经过查找才发现原来两台机器上配置的TOMCAT环境都不一样，不过今天也总算是又学到了一招。

注：一般如果配置开发环境的时候，需要不同的JDK版本，这时候就需要在

TOMCAT/BIN/下自己建立一个SETENV.SH的脚本，并在脚本中申明$JAVA_HOME的变量，这样每个TOMCAT都可以使用不同的JAVA环境。

另一种是直接在/etc/profile中添加JAVA_HOME和JAVA_JRE等环境变量，设置好后使用source /etc/profile,使其生效。不过这样更改后，所有的环境变量都会使用此JAVA环境。

linux下各种格式的压缩包的压缩、解压方法

jamesbond — Fri, 04 Dec 2009 03:48:00 GMT

.tar
解包：tar xvf FileName.tar
打包：tar cvf FileName.tar DirName
（注：tar是打包，不是压缩！）
---------------------------------------------
.gz
解压1：gunzip FileName.gz
解压2：gzip -d FileName.gz
压缩：gzip FileName
.tar.gz
解压：tar zxvf FileName.tar.gz
压缩：tar zcvf FileName.tar.gz DirName
---------------------------------------------
.bz2
解压1：bzip2 -d FileName.bz2
解压2：bunzip2 FileName.bz2
压缩： bzip2 -z FileName
.tar.bz2
解压：tar jxvf FileName.tar.bz2
压缩：tar jcvf FileName.tar.bz2 DirName
---------------------------------------------
.bz
解压1：bzip2 -d FileName.bz
解压2：bunzip2 FileName.bz
压缩：未知
.tar.bz
解压：tar jxvf FileName.tar.bz
压缩：未知
---------------------------------------------
.Z
解压：uncompress FileName.Z
压缩：compress FileName
.tar.Z
解压：tar Zxvf FileName.tar.Z
压缩：tar Zcvf FileName.tar.Z DirName
---------------------------------------------
.tgz
解压：tar zxvf FileName.tgz
压缩：未知
.tar.tgz
解压：tar zxvf FileName.tar.tgz
压缩：tar zcvf FileName.tar.tgz FileName
---------------------------------------------
.zip
解压：unzip FileName.zip
压缩：zip FileName.zip DirName
---------------------------------------------
.rar
解压：rar a FileName.rar
压缩：rar e FileName.rar

rar请到：http://www.rarsoft.com/download.htm 下载！
解压后请将rar_static拷贝到/usr/bin目录（其他由$PATH环境变量指定的目录也可以）：
[root@www2 tmp]# cp rar_static /usr/bin/rar
---------------------------------------------
.lha
解压：lha -e FileName.lha
压缩：lha -a FileName.lha FileName

lha请到：http://www.infor.kanazawa-it.ac.jp/~ishii/lhaunix/下载！
解压后请将lha拷贝到/usr/bin目录（其他由$PATH环境变量指定的目录也可以）：

linux repair filesystem

jamesbond — Wed, 25 Nov 2009 03:28:00 GMT

前一段时间挂载了一个新硬盘，将该硬盘分区，其中一个分区在开机时候自动挂载。有一天把后加的硬盘格式化掉了。重新启动以后提示：fsck 没有发现/dev/sdb1 不能执行下去。然后让我进入一个文件修复过程：

An error occurred during the file system check ... 输入登陆密码就可以进入filesystem repair

修改fstab：以前由于fstab是readonly的，所以需要执行下面的
#mount -n -o remount,rw /
下面就可以修改fstab了：
把挂载的sdb 有关的 fstab LABEL=/dev/sdb1 /mnt/sdb1 ext3 defaults 1 1去掉

就可以正常开机了

转LINUX机器上挂载新硬盘

jamesbond — Fri, 06 Nov 2009 03:23:00 GMT

转：http://blog.csdn.net/zhouyin1988/archive/2009/07/05/4322993.aspx

挂载好新硬盘后输入fdisk -l命令看当前磁盘信息

可以看到除了当前的第一块硬盘外还有一块sdb的第二块硬盘，然后用fdisk /dev/sdb 进行分区

进入fdisk命令，输入h可以看到该命令的帮助，按n进行分区

这里输入e即分为逻辑分区，按p即分为主分区，我们要将这块盘分为主分区即输入p

到这里输入该主分区为第几个主分区，由于是新盘我们输入1来分第一个主分区

First Cylinder是选择该分区的起始磁盘数，这里可自定义也可不做选择，默认是1，如无特殊需求强烈建议选择默认，也就是1来分区（直接按回车）

接下来是定义该分区的大小，如果按默认（按回车）即是使用全部可用存储额，也可以是用M或m单位结尾的数字(大写M是大B的意思，如果输入1M实际上是X8也就是8m的空间)，这里我们先分一个1G的空间，所以输入+1024m

之后输入w写入分区，等待结束皆可

再输入fdisk -l 可以看到我们刚才分的一个分区，之后用mkfs -t ext3 -c /dev/sdb1进行格式化，如有多个分区可把sdb1改成sdb2 sdb3...以此类推，具体可用fdisk -l看到每个分区的名字

上图蓝色部分是写硬盘卷标的，如不想要卷标可直接按回车，现在分区好了我们用mount 挂载一下该分区即可使用了，这里我把它挂载到mnt目录下，也可以自建一个目录挂载

来看一下分区大小是否和预定的一样，使用df -TH命令看一下当前挂载的分区和大小，看到我们刚分的分区了吧 ^_^

如果想每次系统重启都能自动挂载该分区可修改/etc/fstab文件，在最后加一段 /dev/sdb1 /www ext3 defaults 1 2 (格式说明：/dev/sdb1 代表哪个分区 ext3是该分区的格式 defaults 是挂载时所要设定的参数(只读，读写，启用quota等)，输入defaults包括的参数有(rw、dev、exec、auto、nouser、async) ，1是使用dump是否要记录，0是不要。 2是开机时检查的顺序，是boot系统文件就为1，其他文件系统都为2，如不要检查就为0)

犯了一个错误 make a mistake

jamesbond — Thu, 05 Nov 2009 06:41:00 GMT

今天解决了一个问题，但在其中也犯了一个更重要的问题。

由今天事情，深刻的感觉到对一台机器的不了解就像娶了一个不认识的老婆一样，陌生、出错是必然的。今后一定得多多注意了，

作为一个技术人必须要细心、慎重。。。。。。

LINUX本机环境变量丢失

jamesbond — Mon, 12 Oct 2009 01:34:00 GMT

昨天不小心把本机的环境变量给丢失了，导致很多命令无法输入

1.vi .bashrc
2.insert export PATH=$PATH:/sbin:/bin:/usr/sbin:/usr/bin:/usr/local/bin:/usr/local/sbin

Linux中source命令的用法

jamesbond — Mon, 12 Oct 2009 01:25:00 GMT

Linux中source命令的用法

原文地址：http://blog.csdn.net/simon_dong618/archive/2007/04/24/1581132.aspx

source命令也称为“点命令”，也就是一个点符号（.）。source命令通常用于重新执行刚修改的初始化文件，使之立即生效，而不必注销并重新登录。

用法：

source filename 或 . filename

source命令除了上述的用途之外，还有一个另外一个用途。在对编译系统核心时常常需要输入一长串的命令，如：

make mrproper

make menuconfig

make dep

make clean

make bzImage

…………

如果把这些命令做成一个文件，让它自动顺序执行，对于需要多次反复编译系统核心的用户来说会很方便，而用source命令就可以做到这一点，它的作用就是把一个文件的内容当成shell来执行，先在linux的源代码目录下（如/usr/src/linux-2.4.20）建立一个文件，如 make_command，在其中输入一下内容：

make mrproper &&

make menuconfig &&

make dep &&

make clean &&

make bzImage &&

make modules &&

make modules_install &&

cp arch/i386/boot/bzImage /boot/vmlinuz_new &&

cp System.map /boot &&

vi /etc/lilo.conf &&

lilo -v

文件建立好之后，每次编译核心的时候，只需要在/usr/src/linux-2.4.20下输入：

source make_command

即可，如果你用的不是lilo来引导系统，可以把最后两行去掉，配置自己的引导程序来引导内核。

顺便补充一点，&&命令表示顺序执行由它连接的命令，但是只有它之前的命令成功执行完成了之后才可以继续执行它后面的命令。

tomcat install for linux

jamesbond — Mon, 12 Oct 2009 01:10:00 GMT

今天安装了一下tomcat,记录一下以免忘记。

1.先安装JDK。

jdk-1_5_0_12-linux-i586-rpm.bin

执行，chmod 755 jdk-1_5_0_12-linux-i586-rpm.bin

#./jdk-1_5_0_12-linux-i586-rpm.bin

这时会有一段Sun的协议，敲几次空格键，当询问是否同意的时候，敲yes就可以了。
Sun Microsystems, Inc.
Binary Code License Agreement
for the
JAVATM 2 SOFTWARE DEVELOPMENT KIT (J2SDK), STANDARD
EDITION, VERSION 1.4.2_X
…
Do you agree to the above license terms? [yes or no]yes
Unpacking…
Checksumming…
0
0
Extracting…
UnZipSFX 5.40 of 28 November 1998, by Info-ZIP (Zip-Bugs@lists.wku.edu).
inflating: jdk-1_5_0_12-linux-i586-rpm
Done.

3. . 程序会自动生成一个jdk-1_5_0_12-linux-i586-rpm文件，这是主程序包，下面来安装；

#rpm -ivh jdk-1_5_0_12-linux-i586-rpm
安装完成。

4.设置环境变量

#vi /etc/profile

在最后加入以下

JAVA_HOME=/usr/java/jdk1.5.0_12
JRE_HOME=/usr/java/jdk1.5.0_12/jre
CLASSPATH=/usr/java/jdk1.5.0_12/lib/dt.jar:/usr/java/jdk1.5.0_12/lib/tools.jar
PATH=/usr/java/jdk1.5.0_12/bin
export PATH JAVA_HOME CLASSPATH

6. 至此，Linux上JDK的安装完毕。

安装Tomcat

1）下载jakarta-tomcat-5.0.28.tar.gz

2） tar -jakarta-tomcat-5.0.28.tar.gz //解压

3） cp -R jakarta-tomcat-5.0.28 /usr/local/tomcat //拷贝jakarta-tomcat-5.0.28到/usr/local/下并重命名为tomcat

4) /usr/local/tomcat/bin/startup.sh //启动tomcat

显示 Using CATALINA_BASE: /usr/local/tomcat

Using CATALINA_HOME: /usr/local/tomcat

Using CATALINA_TEMDIR: /usr/local/tomcat/temp

Using JAVA_HOME: /usr/java/jdk1.6.0_01

到此tomcat已经安装完成，现在使用浏览器访问 http://localhost:8080，出现tomcat默认页面，说明已经安装成功

exchange owa 更改密码

jamesbond — Thu, 27 Aug 2009 00:29:00 GMT

1.安装证书服务，启用SSL;

a.在控制面板中选择添加组件。

b.选择证书服务

++选择好后，会提示“安装证书服务后计算机名和域成员身份不能更改”，选择“是”

++点击下一步，进入安装界面，
++这里选择企业根CA,下一步，

++输入CA的公用名称，最好是输入一个容易记的，其他保持不便。

++直接点击下一步即可完成。

2.直接转到EX上，依次点击“开始—设置—控制面板—管理工具—Internet信息服务(IIS)管理器”

a.再依次展开“EX1—网站”，在默“默认网站”上击右键:

++.选“属性”:

++.进入之后选择“选“目录安全性”:”

++ 选“服务器证书”:

++　点“下一步”:

++选择“新建证书”:点“下一步”:

++选中“立即将证书请求发送到联机证书颁发机构”，然后点“下一步”:

++保持默认，选“下一步”:

++单位信息和部门信息，大家可以自行输入，完成后点“下一步”

++“公用名称”就是“EX”，再点“下一步”:

++省/自治区和市县大家也可以随便输入，我这里输入分别是“北京”和“北京”

++端口默认是443，建议大家保持默认就好，当然你一定要修改的话也是可以的：

++ 证书颁发机构我们要选择刚刚在BDC上建立的“tryca”，如果你的网络上有多个证书服务器的话，这里可以选择:

++点击“完成”:

b. 大家可以看到，刚刚呈灰色的“查看证书”按钮已经呈可选状态了。最后点“确定”退出。好了，现在我们到客户端上去验证一下，打开IE，输入:https://mail.mapbar.com/exchange。请注意这里用的是HTTPS，不是HTTP:

++出来上图所示的“安全警报”，点“确定”

++对于这个“安全警报”我们还是得点“是”，如果选“否”的话，那么将不会下载证书，也就是你将无法访问

3.添加虚拟目录;

a.服务器EX上，点击“开始—设置—控制面板—管理工具—Intelnet 信息服务(IIS)管理器”:

b.依次展开“EX—网站—默认网站”，并且在默认网站上击“右键”:

c.选择“新建—虚拟目录”:

d .在别名处输入:“IISADMPWD”，然后再点“下一步”:

e.点击上图中箭头所示的“浏览”按钮:

f.定位到“c:\windows\system32\inetsrv\iisadmpwd”:

g.虚拟目录访问权限选择“读取和运行脚步”

h.此部分已经完成。

4.修改注册表

a.点击“开始—运行—regedit”，然后回车:

b. 定位到“HKEY_LOCAL_MACHINE—SYSTEM—CurrentControlSet—Services—MSExchangeWEB—OWA”: "此步骤需要在EX服务器上做"

c.找到一个名称为“DisablePassword”的键，双击这个键:

d.默认情况下这个键值是“1”，我们现在要修改它为“0”

e.然后点“确定”，并退出注册表编辑器

注：1。如在更改密码时提示不满足密码长度，需要在AD中策略把“密码最短使用期限和强制密码历史更改为“0””。

a.进入AD-点击“AD名字”-右键属性--选择“组策略”--计算机设置-安全设置-账户策略-密码策略即可。

2。如在更改密码时提示“缺少对象”，请执行以下：

regsvr32 c:\winnt\system32\inetsrv\iisadmpwd\iispwchg.dll

3.如执行完上步骤后提示出现“错误号5”

请在IIS-默认网站中-点击右键选择属性-选择目录安全性-身份验证和访问控制-集成WINDOWS身份验证即可。