Windows Server 2008 限制遠端匿名存取：RestrictAnonymous 註冊表設定與三級防護模式

Windows Server 2008 預設允許匿名使用者列舉帳號名稱、共享資源等資訊，為駭客偵察提供便利。透過登錄表 RestrictAnonymous 可實施三級匿名存取限制，大幅提升伺服器防禦態勢。本文詳細說明三種模式差異、設定步驟、網域環境注意事項。

設定路徑與值

登錄表路徑：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA
值名稱：RestrictAnonymous (REG_DWORD)
三種模式：

設定步驟

1. Win+R → regedit。
2. 定位至 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA。
3. 右側找到 RestrictAnonymous (不存在則新建 DWORD 值)。
4. 雙擊修改數值為 1 (建議) 或 2 (高安全)。
5. 確定 → 重新開機生效。

圖：RestrictAnonymous 設為 1 禁止匿名列舉

網域控制站 (DC) 設為 2 的嚴重副作用

若 DC 設定 RestrictAnonymous = 2，將導致以下功能失效：

• 下層成員工作站/伺服器 無法建立 Netlogon 安全通道 (無法加入/維持網域)。
• 信任網域的下層 DC 無法建立 Netlogon 通道 (信任關係中斷)。
• Windows NT 4.0 用戶 密碼過期後無法變更密碼，Mac 用戶完全無法變更密碼。
• 瀏覽器服務 無法從備份/主/網域主瀏覽器取得網域/伺服器清單，所有依賴瀏覽服務的程式失效。

微軟建議： 混合環境 (含下層用戶端/NT 4.0) 嚴禁設為 2。僅限純 Windows 2000/2003/2008 環境、經完整品保測試確認服務正常後，才可考慮設為 2。

驗證成效

1. 異台電腦開啟 CMD → NET VIEW \\目標伺服器IP (應失敗/拒絕存取)。
2. NET USE \\目標伺服器IP\IPC$ /USER:"" "" (匿名連接 IPC$，模式 1 應成功、模式 2 應失敗)。
3. 使用 Enum.exe (Windows Resource Kit) 或 WMI 查詢嘗試列舉帳號/共享 (模式 1/2 均應失敗)。

設定 RestrictAnonymous = 1 是 Windows Server 2008 最基本的安全加固動作，零成本、零相容性風險 (現代環境)、高效阻擋匿名偵察。網域控制站務必維持 0 或 1，切勿設為 2 導致網域服務癱瘓。