Windows Server 2003 核心服務部署實戰指南：DNS、SMTP、VPN、SNMP 與終端服務授權

概覽

本指南彙整 Windows Server 2003 企業級核心服務的標準部署流程，涵蓋 DNS 網域名稱解析、SMTP 郵件中繼、PPTP VPN 封包篩選、SNMP 安全強化、終端服務授權伺服器啟用、監視器重新整理率調整、IP 位址管理、LPT 連接埠擴充、工作群組 DNS 架設、登入指令碼指派、NAT 伺服器配置、列印伺服器管理、Sysprep 映像檔優化、元件安裝與 ACL 升級等實務操作，供系統管理員快速查閱與實作參考。

一、DNS 伺服器部署與 Internet 存取配置

1. 靜態 IP 設定（必要前置）

DNS 伺服器必須使用靜態 IP。於「網路連線 → 區域連線 → 內容 → TCP/IP 內容」指定 IP、子網路遮罩、預設閘道；「進階 → DNS」勾選「附加主要及連線特定 DNS 尾碼」、「附加父尾碼」、「在 DNS 中登記此連線位址」；並將 DNS 伺服器指向自身（127.0.0.1 或實體 IP）。

2. 安裝 DNS 服務

「控制台 → 新增/移除程式 → 新增/移除 Windows 元件 → 網路服務 → 詳細資料 → 勾選 DNS」→ 插入光碟完成安裝。

3. 建立正向查詢區域並啟用動態更新

1. 開啟 DNS 管理主控台（dnsmgmt.msc），右鍵「正向查詢區域 → 新增區域」。
2. 選「主要區域」，區域名稱與 AD 網域同名（如 corp.example.com）。
3. 接受預設區域檔名，完成精靈。
4. 右鍵該區域 →「內容 → 一般 → 動態更新 → 僅安全」或「是」（非 AD 整合區域）。

4. 移除根區域（讓伺服器能遞迴查詢）

展開「正向查詢區域」，右鍵「.」根區域 →「刪除」。否則伺服器會自視為根伺服器而不轉送查詢。

5. 設定轉送器（解析外部網域）

右鍵伺服器名稱 →「屬性 → 轉送器」，新增 ISP DNS 伺服器 IP，啟用遞迴查詢。

6. 根提示維護

「屬性 → 根提示」索引標籤顯示根伺服器清單，Windows 會自動更新；亦可手動匯入 Cache.dns。

二、SMTP 虛擬伺服器：遠端網域與本機網域配置

1. 獨立 SMTP 伺服器中繼至遠端網域（智慧主機架構）

1. 開啟 IIS 管理員，展開「預設 SMTP 虛擬伺服器 → 網域 → 新增 → 網域 → 遠端」。
2. 名稱可用萬用字元（如 *.partner.com）。
3. 右鍵新網域 →「內容 → 一般 → 允許輸入郵件中繼到此網域」；「路由 → 將所有郵件轉送至智慧主機」，輸入內部郵件伺服器 FQDN 或 [IP] 格式。
4. 重新啟動 SMTP 虛擬伺服器生效。

無法投遞郵件將存放於 Inetpub\Mailroot\Badmail。

2. 本機網域管理：重新命名、別名與 Drop 目錄

• 重新命名預設網域：右鍵預設網域 →「重新命名」，輸入新網域名稱。
• 建立別名網域：新增網域 → 選「別名」，指向預設網域，共用 Drop 目錄。
• 變更 Drop 目錄：右鍵預設網域 →「內容 → 瀏覽」指定本機資料夾（不可與 Pickup 目錄相同）。

三、PPTP VPN 封包篩選器：最小權限原則

於「路由和遠端存取 → IP 路由 → 一般 → 外部介面 → 內容」分別配置輸入/輸出篩選：

方向	協定	連接埠/編號	動作
輸入	TCP	目的地連接埠 1723	允許
輸入	其他 (47/GRE)	協定編號 47	允許
輸出	TCP	來源連接埠 1723	允許
輸出	其他 (47/GRE)	協定編號 47	允許

其餘封包一律丟棄，僅允許 PPTP 流量通過外部介面。

四、SNMP 服務 IPSec 強化

1. secpol.msc →「IP 安全性原則 → 管理 IP 篩選器清單與篩選器 → 新增」，建立 SNMP 訊息 (161/162) 篩選器清單，包含 UDP/TCP 161、162 連接埠雙向規則（勾選「鏡像」）。
2. 建立 IPSec 原則 Secure SNMP：關閉預設回應規則，新增規則 → 選擇上述篩選器清單 → 篩選器動作「要求安全性」 → 驗證方式預設 Kerberos 或預先共用金鑰。
3. 右鍵原則 →「指派」，並於所有 SNMP 代理程式與管理主機套用相同原則。

五、終端服務授權伺服器啟用三法

啟動 tscc.msc（終端服務授權），右鍵授權伺服器 →「啟用伺服器」：

• 自動連線（建議）：直接連線 Microsoft 啟用伺服器，輸入公司資訊完成。
• Web 瀏覽器：連結啟用網頁，輸入產品 ID 取得授權伺服器 ID，回填完成。
• 電話啟用：撥打顯示號碼，提供產品 ID 予客服，取得授權伺服器 ID 回填。

啟用後 120 天寬限期內需安裝用戶端授權金鑰包（CAL）。

六、監視器重新整理率調整與疑難排解

「控制台 → 顯示 → 設定 → 進階 → 監視器」調整重新整理率。若畫面模糊無法操作，可：

1. 開機按 F8 → 選「啟用 VGA 模式」進入低解析度環境修正。
2. 或編輯 Boot.ini 加入 /basevideo 開關強制 VGA 模式啟動。

七、網路介面卡 IP 位址變更（靜態/DHCP）

「網路連線 → 區域連線 → 內容 → TCP/IP 內容」：

• DHCP：選「自動取得 IP 位址/DNS」，命令提示字元執行 ipconfig /release && ipconfig /renew。
• 靜態：填入 IP、子網路遮罩、預設閘道、慣用/備用 DNS。錯誤子網路遮罩會導致跨網段無法通訊；錯誤 DNS 會無法解析主機名稱（可暫時編輯 hosts 檔案繞過）。

八、擴充 LPT 連接埠至 LPT9

1. regedit 定位 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Ports。
2. 新增字串值，名稱 LPT4~LPT9，值留空。
3. 命令提示字元執行 net stop spooler && net start spooler 重啟列印佇列服務。

九、工作群組環境部署 DNS 伺服器

1. 安裝 DNS 服務（同步驟一）。
2. 啟動「設定 DNS 伺服器精靈」：小型網路選「建立正向查詢區域」；大型網路選「正向與反向區域」並指定轉送器、動態更新範圍。
3. 區域內容 →「一般 → 動態更新 → 是」允許用戶端自動註冊。

十、指派本機使用者登入指令碼

1. compmgmt.msc →「本機使用者和群組 → 使用者」右鍵目標帳號 →「內容 → 設定檔」。
2. 「登入指令碼」欄輸入檔名（如 logon.bat 或 scripts\logon.bat）。
3. 指令碼須置於 %SystemRoot%\System32\Repl\Imports\Scripts 並共享為 NetLogon，或自建共享資料夾。

十一、NAT 伺服器配置與 DHCP/DNS Proxy

1. 「路由和遠端存取 → IP 路由 → 一般 → 新增路由協定 → NAT/基本防火牆」。
2. 新增介面：內部網路選「私人介面」；外部網路選「公用介面連接到 Internet」並勾選「在此介面上啟用 NAT」。
3. 「位址指派」啟用 DHCP 配置器，指定網段與遮罩；「名稱解析」勾選「使用 DNS 的用戶端」與「需要解析時撥號」。
4. 用戶端預設閘道指向 NAT 伺服器內部 IP 即可上網。

十二、列印伺服器與列印機進階管理

• 列印機屬性 → 進階：分隔頁檔案路徑、列印處理器資料類型、其他作業系統驅動程式、安全性權限（允許/拒絕列印/管理）。
• 伺服器屬性 → 連接埠：傳輸重試秒數、新增/刪除連接埠。
• 驅動程式：新增/移除/重新安裝驅動程式。
• 進階 → 遠端文件列印完成通知、後台列印事件記錄勾選依需求啟用。

十三、Sysprep 映像檔優化：清除分頁檔縮減體積

兩種方法達成關機時刪除 pagefile.sys：

1. 登錄檔直接修改：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management\PagingFiles 改為 C:\pagefile.sys 0 0 → 執行 Sysprep。
2. 匯出 .reg 檔 + 批次檔自動化：建立 Zeropage.reg 匯入，Sysprep.cmd 內容 regedit /s a:\zeropage.reg && a:\sysprep -noreboot -pnp，部署後目標機首次開機自動依實體記憶體重建分頁檔。

警告：勿在網域控制站使用 Sysprep；修改登錄檔風險自負。

十四、新增/移除 Windows 元件與程式

「控制台 → 新增/移除程式 → 新增/移除 Windows 元件」，核取所需元件（如聯網服務下的 DHCP）、插入光碟安裝。外部程式安裝支援 CD/軟碟/網路來源；Windows Installer 會在檔案遺失時提示插入原始媒體。

十五、從 Windows NT 4.0 升級後套用 Windows Server 2003 ACL

1. mmc → 加入「安全性設定與分析」嵌入式管理單元。
2. 開啟資料庫 → 匯入 Setup Security.inf 範本 →「立即分析電腦」。
3. 檢視紅色「X」項目（不符合範本），視需求修改資料庫設定。
4. 右鍵 →「立即設定電腦」套用新 ACL，衝突項將覆寫既有設定。

十六、工作群組環境下對非管理員套用本機原則

1. gpedit.msc →「使用者設定 → 系統管理範本」啟用所需限制原則（如隱藏網路鄰居、IE 圖示）。
2. 登出，以每位受限使用者登入一次使原則生效（Registry.pol 產生）。
3. 備份 %SystemRoot%\System32\GroupPolicy\User\Registry.pol。
4. 再次開啟原則，將先前啟用的項目改回「未設定」，產生新 Registry.pol（管理員不受限）。
5. 以管理員身分登入，將備份的 Registry.pol 覆寫回原位置。
6. 登出重新登入驗證：管理員無限制，一般使用者受限。

還原：刪除/重命名 Registry.pol 並重開機，再於原則編輯器將所有項目設為「未設定」。

十七、使用 NetShell 重設 TCP/IP 協定堆疊

TCP/IP 為核心元件無法解除安裝，若網路異常可重設：

netsh int ip reset resetlog.txt

命令會重寫 SYSTEM\CurrentControlSet\Services\Tcpip\Parameters 及 DHCP\Parameters 登錄機碼，效果等同重裝 TCP/IP。日誌記錄變更細節供審計。

十八、Sysprep 執行前植入自訂使用者設定

1. 建立測試帳號 Testuser 並加入 Administrators 群組。
2. 以 Testuser 登入，自訂電源選項、桌面圖示大小等使用者層級設定。
3. 登出，以管理員登入 →「系統內容 → 進階 → 使用者設定檔 → 設定」，將 Testuser 設定檔複製到 Default User，允許「Everyone」使用。
4. 刪除 Testuser 帳號，啟動 Sysprep。

十九、停用傳入 RAS/VPN 連線的 NetBT Proxy

1. regedit 定位 HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Remoteaccess\Parameters\Ip\EnableNebtBcastFwd。
2. 值改為 0，重開機生效。

二十、部署匿名存取的 IIS Web 伺服器

1. 安裝 IIS：元件精靈 →「Web 應用程式伺服器 → 詳細資料 → IIS → World Wide Web 服務 → 詳細資料」選擇 ASP、遠端管理工具等子元件。
2. IIS 管理員 →「Web 網站 → 內容 → 目錄安全性 → 編輯」，勾選「啟用匿名存取」（預設帳號 IUSR_機器名）與「整合式 Windows 驗證」。
3. 「Web 網站 → 內容 → Web 網站/效能/主目錄」設定 IP、頻寬限制、連線數、實體路徑（建議非根目錄）、重新導向 URL 等。

二十一、系統效能監視與警示基準計數器

「系統監視器」加入計數器，「效能記錄與警示」建立警示規則。建議最小監視集合：

元件	面向	關鍵計數器
磁碟	使用率	PhysicalDisk\Disk Reads/sec、Disk Writes/sec、LogicalDisk\% Free Space
磁碟	瓶頸	PhysicalDisk\Avg. Disk Queue Length（所有實例）
記憶體	使用率	Memory\Available Bytes、Cache Bytes
記憶體	瓶頸/漏洞	Pages/sec、Page Reads/sec、Transition Faults/sec、Pool Paged/Nonpaged Bytes
網路	輸送量	Network Interface\Bytes Total/sec、Packets/sec；Server\Bytes Total/sec、Received/sec
處理器	使用率	Processor\% Processor Time（所有實例）
處理器	瓶頸	System\Processor Queue Length、Processor\Interrupts/sec、Context Switches/sec

警示動作可記錄應用程式事件、發送網路訊息、啟動效能記錄或執行指定程式。