1. Appsec.exe （Application Security）
		

				Appsec.exe是一个基于GUI的应用程序，它允许管理员在一个多用户环境下限制普通用户访问一组网络上经预订的应用程序。启用这种应用程序安全性，将会导致系统拒绝普通用户执行或使用一个未经许可的应用程序。大家看这是不是一个很有用的工具呢？对某些特定的程序进行限制以后，可以减少一些Hacker入侵的可能，下面我们继续讨论
		

				对于2000来说一个显著的特点就是引入了GPO（Group Policy）这种东西，实际上就是一个界面化了的注册表编辑器，但是因为GPO的存在2000大大提高了他的安全性。一般来说，我们可以通过配置GPO从启动菜单和桌面上隐藏一个应用程序，但是不能禁止用户用其它手段访问它，Appsec增加了这种安全性，可以禁止用户执行应用程序甚至是从命令行模式或者使用其他的应用程序。Microsoft的建议是和GPO一起使用，放在Terminal Server上运行或者说是在应用程序运行的机器上使用。
		

				Appsec对于应用程序的限制还算严格，除了应用程序的名称以外还要包括该应用程序的全路径，只有二者都附和才能够运行。
		

				下面提几点注意：
		

				a. 只有管理员或管理员组的成员可以运行所有程序，用户（包括PowerUser组）只能运行列表中的应用程序。
		

				b. Appsec第一次启用时，Terminal Server的会话必须中断，否则Appsec将不能在本次会话中启用。
		

				c. 实际上Appsec只能限制调用CreateProcess方法的应用程序，不能限制使用NTCreateProcess方法的程序，但是这种程序非常的少见。
		

				d. Appsec只能限制32位的程序，但是在默认情况下，一旦启用appsec任何对16位程序的访问都是禁止的，但是可以添加ntvdm.exe来使16位程序可以被访问。
		

				e. 我想这个也是Appsec最大的缺点，Appsec并不对程序本身进行检查，也就是所如果将该有效程序进行替换的话，Appsec不会发现。所以说我们必须禁止用户替换和重命名应用程序，这可以用Security Template来做
		

				f. 还有Appsec只可限制可执行文件，不可以是DLLs。
		

				g. Appsec的使用是对于计算机的，也就是说一经启用使用本机的用户都要受到限制。
		

				另外，应该要提到的一点是，按照Microsoft的要求，Appsec的列表中至少应该有：
		

				\Wtsrv\explorer.exe
		

				\Wtsrv\system32\cmd.exe
		

				\Wtsrv\system32\net.exe
		

				\Wtsrv\system32\regini.exe
		

				\Wtsrv\system32\subst.exe
		

				\Wtsrv\system32\systray.exe
		

				\Wtsrv\system32\xcopy.exe
		

				这么几项。
		

				当然啦！你去掉也是可以的，但是会造成用户难以正常使用。嗯，以我个人的建议，如果你想防止Hacker入侵去掉net.exe会有意想不到的收获，呵呵！cmd.exe也是不错的选择，如果不想管理员以外的任何人访问就统统去掉就好，后果你们试试就知道了。
		

				p.s. 这个程序所需要的文件Appsec.exe（这个倒是在），Appsec.hlp（这个也在），但是Appsec.dll，
		

				psec.cnt，Instappsec.exe并没有包括在Resource Kit里面，要去网站上自己下载！！这简直是搞笑嘛！也
		

				只有Microsoft干得出来。你可以在这个地方下载这个hotfix:
		

				http://download.microsoft.com/download/win2000 ... 0/NT5/EN-US/appsec_hot
		

　　本人习惯与使用Users权限的用户登入windows（XP），需要使用管理员权限的时候SHIFT+鼠标右键，选择“运行方式...”来达到管理的目的。
　　不过，不知是用了Norton WinDoctor的缘故，所有的程序使用SHIFT+鼠标右键有没有“运行方式...”了，快捷方式里的高级属性中也没有“使用其他身份运行”了。

　　检查了一下注册表，发现[HKEY_CLASSES_ROOT\exefile\shell\runas]已经没有了，估计是被Norton WinDoctor删了。
　　既然没了就自己建吧。使用管理员权限编辑注册表，建立如下注册表值（假设计算机名为computer）：

----------------------------------------------------------------
Windows Registry Editor Version 5.00

[HKEY_CLASSES_ROOT\*\shell\Open as Administrator\Command]
@="runas /profile  /savecred /user:computer\\Administrator \"cmd.exe /c start \\\"管理员环境-请小心操作\\\" \\\"%1\\\"\""

[HKEY_CLASSES_ROOT\Folder\shell\Open as Administrator\Command]
@="runas /profile  /savecred /user:computer\\Administrator \"cmd.exe /c start \\\"管理员环境-请小心操作\\\" G:\\tools\\2xExplorer.exe \\\"%1\\\"\""
----------------------------------------------------------------

建好后，所有文件和目录的右键菜单就都会出现Open as Administrator的选择。
　　特别注意的是，runas 的/savecred 参数只有在XP PRO和2003上有，用用户以前保存的凭据来运行；WWindows XP Home Edition 上也没有这个选项，该选项会被忽略。所以如果是windows 2000的计算机，就不用加这个参数了。
　　至于G:\\tools\\2xExplorer.exe，个人喜好而已，可以使用"C:\Program Files\Internet Explorer\IEXPLORE.EXE"，来打开目录。但不能使用explorer.exe，该程序不能运行多个副本。

　　从此，电脑上所有的文件，就可以以简单的操作使用管理员权限运行了，而系统的“运行方式...”势能打开可执行程序；而且，只需要第一次使用的时候输密码，以后就不需要了。如果都想使用密码的话，取消/savecred 参数即可。

　　您是否正准备搭建自己的FTP网站？您知道FTP协议的工作机制吗？您知道什么是PORT方式？什么是PASV方式吗？如果您不知道，或没有完全掌握，请您坐下来，花一点点时间，细心读完这篇文章。所谓磨刀不误砍柴功，掌握这些基础知识，会令您事半功倍。否则，很可能折腾几天，最后一事无成。

　　FTP 是File Transfer Protocol（文件传输协议）的缩写，用来在两台计算机之间互相传送文件。相比于HTTP，FTP协议要复杂得多。复杂的原因，是因为FTP协议要用到两个TCP连接，一个是命令链路，用来在FTP客户端与服务器之间传递命令；另一个是数据链路，用来上传或下载数据。

　　FTP协议有两种工作方式：PORT方式和PASV方式，中文意思为主动式和被动式。

　　PORT（主动）方式 的连接过程是：客户端向服务器的FTP端口（默认是21）发送连接请求，服务器接受连接，建立一条命令链路。当需要传送数据时，客户端在命令链路上用PORT命令告诉服务器：“我打开了XXXX端口，你过来连接我”。于是服务器从20端口向客户端的XXXX端口发送连接请求，建立一条数据链路来传送数据。

　　PASV（被动）方式 的连接过程是：客户端向服务器的FTP端口（默认是21）发送连接请求，服务器接受连接，建立一条命令链路。当需要传送数据时，服务器在命令链路上用PASV命令告诉客户端：“我打开了XXXX端口，你过来连接我”。于是客户端向服务器的XXXX端口发送连接请求，建立一条数据链路来传送数据。

　　从上面可以看出，两种方式的命令链路连接方法是一样的，而数据链路的建立方法就完全不同。而FTP的复杂性就在于此。

 

一、FTP服务器是公网IP，用公网动态域名；或是内网IP，用内网专业版TrueHost

1、服务器如果安装了防火墙，请记住要在防火墙上打开FTP端口（默认是21）。

2、所有FTP服务器软件都支持PORT方式。至于PASV方式，大部分FTP服务器软件都支持。支持PASV方式的FTP服务器软件，也可以设置为只工作在PORT方式上。

3、为了PASV方式能正常工作，需要在FTP服务器软件上为PASV方式指定可用的端口范围（设置方法）。此外，还要在服务器的防火墙上打开这些端口。当客户端以PASV方式连接服务器的时候，服务器就会在这个端口范围里挑选一个端口出来，给客户端连接。

二、FTP服务器是内网IP，用内网动态域名标准版cmxnatproxy

   这种情况下，FTP服务器不需要做特殊设置，只要支持PASV方式就可以了。大部分FTP服务器软件都支持PASV方式。

 

   请注意：选择用PASV方式还是PORT方式登录FTP服务器，选择权在FTP客户端，而不是在FTP服务器。

一、客户端只有内网IP，没有公网IP

　　从上面的FTP基础知识可知，如果用PORT方式，因为客户端没有公网IP，FTP将无法连接客户端建立数据链路。因此，在这种情况下，客户端必须要用PASV方式，才能连接FTP服务器。大部分FTP站长发现自己的服务器有人能登录上，有人登录不上，典型的错误原因就是因为客户端没有公网IP，但用了IE作为FTP客户端来登录（IE默认使用PORT方式）。

　　作为FTP站长，有必要掌握FTP的基础知识，然后指导您的朋友如何正确登录您的FTP。

二、客户端有公网IP，但安装了防火墙

　　如果用PASV方式登录FTP服务器，因为建立数据链路的时候，是由客户端向服务器发送连接请求，没有问题。反过来，如果用PORT方式登录FTP服务器，因为建立数据链路的时候，是由服务器向客户端发送连接请求，此时连接请求会被防火墙拦截。如果要用PORT方式登录FTP服务器，请在防火墙上打开1024以上的高端端口。

三、连接用内网标准版cmxnatproxy搭建的FTP服务，必须要用PASV方式。连接任何公网FTP服务器、或用内网专业版TrueHost搭建的FTP服务器，PORT方式和PASV方式都可以使用。

    当然，使用PORT方式的时候，还要满足上面的两个条件。

四、常见的FTP客户端软件PORT方式与PASV方式的切换方法。

　　大部分FTP客户端默认使用PASV方式。IE默认使用PORT方式。

　　在大部分FTP客户端的设置里，常见到的字眼都是“PASV”或“被动模式”，极少见到“PORT”或“主动模式”等字眼。因为FTP的登录方式只有两种：PORT和PASV，取消PASV方式，就意味着使用PORT方式。

IE：
工具 -> Internet选项 -> 高级 -> “使用被动FTP”（需要IE6.0以上才支持）。如果找不到这个选项，请看 图片。

CuteFTP：
Edit -> Setting -> Connection -> Firewall -> PASV Mode
或
File -> Site Manager，在左边选中站点 -> Edit -> Use PASV mode

FlashGet：
工具 -> 选项 -> 代理服务器 -> 直接连接 -> 编辑 -> PASV模式

FlashFXP：
选项 -> 参数选择 -> 代理/防火墙/标识 -> 使用被动模式
或
站点管理 -> 对应站点 -> 选项 -> 使用被动模式
或
快速连接 -> 切换 -> 使用被动模式

LeapFTP：
Options -> Preferences -> General -> Proxy -> Use PASV mode

 

五、请尽量不要用IE作为FTP客户端

  　IE只是个很粗糙的FTP客户端工具。首先，IE6.0以下的版本不支持PASV方式；其次，IE在登录FTP的时候，看不到登录信息。在登录出错的时候，无法找到错误的原因。在测试自己的FTP网站的时候，强烈建议不要使用IE。

请参考这个网页的说明来配置：使用Serv-U建立FTP网站

一、为什么没有公网IP，也能使用PORT方式登录FTP？

　　NAT网关的工作方式是在TCP/IP数据包的包头里找局域网的源地址和源端口，替换成网关的地址和端口。对数据包里的内容，是不会改变的。而使用PORT方式登录FTP的时候，IP地址与端口信息是在数据包里面的，而不是在包头。因此，没有公网IP，使用PORT方式是无法从internet上的ftp服务器下载数据的。

　　但是，极少数的NAT网关也支持PORT方式。这些NAT网关连数据包里面的内容都扫描，扫描到PORT指令后会替换PORT方式的IP和端口。在这种NAT网关下面，用PORT方式就没问题了。不过，这些网关也只扫描21端口的数据包，如果FTP服务器不是用默认的21端口，也无法使用PORT方式。

二、内网可以用PORT访问其他FTP，为什么不能用PORT访问自己的TrueHost FTP？

　　下面要讨论的问题，只是为了说明一些原理，是不影响实际使用的。如果您没有兴趣深究这些原理，不必花时间看。

　　内网用户通过支持PORT方式的NAT网关，访问自己本机利用TrueHost建立的FTP服务器，FTP命令链路的建立过程如下：

　　FTP客户端通过ISP的NAT网关、科迈TrueHost服务器、TrueHost客户端，连接用户本机的FTP服务器的21端口。

　　当需要下载数据的时候，FTP客户端通过这条命令链路，向FTP服务器发送PORT命令。假设命令为：

　　　　PORT 10,10,0,1,30,4 （即IP=10.10.0.1 端口=30*256+4=7684）

　　当命令通过ISP的NAT网关的时候，NAT网关判断目的端口是21，并且是PORT命令，于是，修改命令里的IP和端口，替换为自己的IP和端口，比如：

　　　　PORT 61,144,1,2,50,6 （即IP=61.144.1.2 端口=50*256+6=12806）

　　用户的FTP服务器最终收到的是上面这个PORT命令。于是，FTP服务器向这个IP和端口发送连接请求，建立数据链路。图示：

　　但是，因为NAT网关的公网IP只能接收外来的连接请求。就是说，61.144.1.2:12806只能接收其他公网IP的连接请求，对于从NAT内部（10.10.0.1:20）发起的连接请求，是无法建立连接的。为什么？原因很简单，因为内网IP要访问外网，必须要通过NAT建立映射。于是FTP数据链路无法建立。于是，用户无法在自己的机器上通过21端口访问自己的TrueHost FTP。

　　我们再来看看，如果FTP端口不是21，比如是22，会发生什么情况呢？在FTP客户端发送PORT命令的时候，NAT网关检测到目标端口是22，因为支持PORT的NAT网关只监视目的端口是21的数据包，发现目的端口是22的数据包，不做任何处理，完全放行。于是FTP服务器收到的PORT命令依然是PORT 10,10,0,1,30,4。于是FTP服务器向这个IP和端口发送连接请求。图示：

　　这种情况下命令链路就可以建立起来了。而且是等于本机连接本机，速度飞快。

　　综上所述，内网用户无法用PORT方式通过21端口访问自己的TrueHost FTP服务器。如果FTP端口不是21，则可以访问，而且实际上是本机连接本机。

　　上面的文字，仅仅是为了说明一些原理，不影响实际使用。如果本机访问本机，还要通过FTP的话，就有画蛇添足之嫌了。

数据库程序安装后出现错误：“ ActiveX 无法创建对象，错误号 429 ”

缺少组件或组件未注册

当您在分发 Visual Basic 程序后尝试运行它时，该程序引发以下运行时错误 429：

如果您没有包括程序需要或使用的一个或多个组件，通常会出现运行时错误 429。一个常见的示例就是以下 Microsoft 知识库文章中所述的 File System 对象。

如果您没有分发程序可执行文件 (.exe) 所需的正确 Visual Basic 运行库文件，也可能会出现运行时错误 429。确保您通过用打包和部署向导 (PDW) 为程序创建安装程序软件包来分发正确的运行库文件。

出现运行时错误 429 的另一种情况是没有正确注册程序所需的组件之一。要确定哪一行代码导致此错误，最佳的方法是添加跟踪代码。这里建议的方法将写入文件（或事件日志），而不是生成消息框。当您确定哪一行代码引发此错误后，确保有问题的组件已注册。例如，您将错误范围缩小到以下代码行：

Dim fs as Scripting.FileSystemObject
Set fs = New Scripting.FileSystemObject      ' this line throws error 429

File System 对象包含在 Scrrun.dll 文件中。确保此 DLL 文件安装在目标计算机上并且已成功注册。

　　实际上，Windows却要经常使用它，因为“我的文档”是存放文档、图表以及其他个人数据的默认文件夹，这里经常会保存着你的重要数据，即使有些朋友经常使用它，也无非就是在这里保存一下常用文件，打开时方便一些。

　　难道“我的文档”就仅仅是这些用途吗？不，今天我们将告诉大家关于“我的文档”的更多的秘密和应用。

　　一、“我的文档”应该在哪里？

　　桌面上的图标只是“我的文档”的一个表现形式，实际上它对应于磁盘分区中的特定文件夹。在Windows 98中，“我的文档”默认指向的文件夹是C:\My Documents（这里假设系统盘为C盘）；而对于Windows XP来说，默认指向的文件夹则是C:\Documents and Settings\用户名\My Documents，当有多个用户时，操作系统会为每个用户创建一个单独的“我的文档”文件夹。　　　　

　　你知道吗

　　在开始菜单中查看“我的文档”内容

　　Windows XP有XP样式和经典样式两种开始菜单，这两种样式对于“我的文档”显示是有影响的。经典样式“我的文档”显示在桌面上，XP样式时，桌面上已经没有“我的文档”图标，而是和“图片收藏”、“我的音乐”一起直接显示在开始菜单中。

　　默认情况下，点击这个菜单，同样可以打开“我的文档”文件夹，不过简单设置一下，则可以在开始菜单中直接查看“我的文档”中的内容。在开始菜单上单击右键，选择“属性”，单击上面的“自定义”按钮，打开“高级”选项卡，在“开始菜单项目”列表中找到“我的文档”，并设置为“显示为菜单”即可（见图1）。

　　实例一：让“我的文档”跟我走

　　其实系统默认的“我的文档”路径对于我们来说并不合适，由于默认指向的路径都在系统分区，当系统分区数据损坏，或当你重装系统时都会导致“我的文档”中的数据丢失，我们只要转移一下“我的文档”路径，让它指向一个非系统分区的文件夹，例如E:\DOC，这样就可以避免系统崩溃或重装时的文档数据丢失了。转移“我的文档”路径设置的方法有三种。

　　1.简单设置法

　　在桌面“我的文档”图标上单击鼠标右键，选择“属性”，在“目标文件夹”选项卡中单击“移动”按钮选择E:\DOC目录即可，如果以后想恢复为默认路径，单击“还原默认值”按钮即可。

　　2.不必复制的挪移大法

　　上面的方法虽然简单，但移动时要复制文件到新的位置，如果文件巨大，就会很费时间。如果想改变保存位置，不想移动文件，有什么办法呢？打开注册表编辑器，找到[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders]，修改右边的“Personal”键值的数据为E:\DOC即可。

　　Just Do It

　　在这个主键下你还可以修改其他的系统文件夹路径，例如收藏夹、网络缓存目录等，你能找到它们的位置吗？

　　实例二：右键一点 我的文档就能“飞来飞去”

　　大多数用户把“我的文档”放在本地电脑上，但有时因为要在局域网中的不同电脑上工作，会把它放在一个网络共享文件夹中，这样用起来比较方便。但是，如果回到自己的电脑，还要在“我的文档→属性”中重新改回本地，修改起来不方便。利用INF文件，我们可以简化这一步骤。

　　这里提供了一个为移动My Documents（我的文档）、My Pictures（我的图片）和Favorites（收藏夹）等文件夹而对注册表进行编辑的脚本。先将以下脚本保存成名为Redirect.inf的文本文件（使用记事本进行编辑）,再将其中“PERSONAL”,“PICTURES”和“FAVORITES”后面的内容修改成你希望为它们保存的位置。

　　[Version]

　　Signature=$CHICAGO$

　　[DefaultInstall]

　　AddReg=Reg.Settings

　　[Reg.Settings] HKCU,Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders,Personal,0x20000,"%PERSONAL%"

　　HKCU,Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders,My Pictures,0x20000,"%PICTURES%" HKCU,Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders,favorites,0x20000,"%FAVORITES%"

　　[Strings]

　　PERSONAL = "\\Server\Share\%USERNAME%\My Documents"

　　PICTURES = "\\Server\Share\%USERNAME%\My Documents\My Pictures"

　　FAVORITES = "\\Server\Share\%USERNAME%\Favorites"

　　（以上代码可以到http://www.newhua.com/cfan/200411/doc1.txt下载）

　　右击Redirect.inf文件, 并在随后弹出的快捷菜单上选择Install（安装）命令，就可以把“我的文档”等文件夹定位到网络路径。把这个文件复制一份，改名为local.inf，将其中的“PERSONAL”,“PICTURES”和“FAVORITES”后面的内容改为本地路径，如"c:\My Documents"。

　　这样，当需要将这些文档位置恢复时，只需要在local.inf文件上点右键，选择Install（安装）命令即可恢复。

　　小提示

　　★禁止修改“我的文档”位置

　　如果你不希望别人随意修改你的系统中的“我的文档”路径设置，则可以在注册表编辑器中找到[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]，在右边新建DWORD类型键值“DisablePersonalDirChange”，并将其值设置为“1”即可。

　　★在Windows XP中，“我的文档”是显示在桌面上的第一个图标，如果你习惯于像Windows 98那样把“我的电脑”作为第一图标的话，则可以打开TweakUI中的“桌面→图标顺序”，选中“我的电脑”作为第一个图标即可。另外，你也可以直接打开注册表[HKEY_CLASSES_ROOT\CLSID\{450D8FBA-AD25-11D0-98A8-0800361B1103}]，在右边新建Dword类型键值“SortOrderIndex”，并修改其值为“54”即可（16进制）。

概要
本文分步介绍了如何还原用户配置文件以及以下用户配置文件项： ? 文档
? 桌面设置
? 收藏夹
? Cookie
默认情况下，当您首次登录基于 Windows 2000 的计算机时，Windows 会在 %SystemDrive%\Documents and Settings 文件夹中创建一个用户配置文件文件夹，并赋予您“完全控制”权限。如果您失去该文件夹的“完全控制”权限，Windows 将在您下次登录时创建新的用户配置文件文件夹，而且您将无法再访问原来的用户配置文件文件夹，除非您拥有该计算机的本地管理权限。

如果您失去配置文件文件夹的访问权限，Windows 会为您创建新的配置文件文件夹，默认情况下将其放在 Documents and Settings 文件夹中。Windows 会尝试将您的用户名用作新配置文件文件夹的名称。但是，如果以前的配置文件文件夹仍然存在，Windows 将修改新文件夹的名称，以避免与原配置文件文件夹的名称重复。在这种情况下，您的用户配置文件可能会有多个配置文件文件夹。以下信息介绍 Windows 2000 为用户配置文件使用的默认命名方案： ? 如果 username 文件夹不存在，则新的配置文件文件夹将被命名为：
username
? 如果 username 文件夹已存在，则新的配置文件文件夹将被命名为：
username.computername
? 如果 username.computername 文件夹已存在，则新的配置文件文件夹将被命名为：
username.computername.000 
? 如果 username.computername.000 文件夹已存在，则 Windows 将使用 username.computername.000 命名方案的下一个可用增量。

例如：
username.computername.001 
跟踪这些重复的配置文件文件夹的另一种方法是创建日期或时间，前提是您尚未修改创建日期或时间。

 回到顶端

要求
要还原用户配置文件，Documents and Settings\username 配置文件文件夹必须仍然存在，而且您必须对该文件夹拥有“完全控制”权限。如果您没有用户配置文件文件夹的正确权限，您（或其他人）必须以管理员身份登录计算机，并还原您的用户配置文件必需的权限级别。

 回到顶端

将文档从当前配置文件文件夹复制到相应的用户配置文件文件夹
如果您在失去原配置文件文件夹的访问权限之后已经登录 Windows，则至少有两个用户配置文件文件夹具有您的用户名。要使这些文件可以从您所还原的用户配置文件中访问，请按照下列步骤操作： 1. 以管理员身份登录到计算机。
2. 将当前“我的文档”文件夹中的所有文档复制到您所还原的配置文件的“我的文档”文件夹。

注意：如果您已经将“我的文档”文件夹移动到 Documents and Settings 文件夹之外的位置，则第 2 步不是必需的；但是，还原用户配置文件后，可能需要重新指定“我的文档”文件夹的目标文件夹位置。
3. 要保留 Internet 收藏夹链接，请将当前 Favorites 文件夹中的所有 Internet 快捷方式文件复制到所还原的用户配置文件的 Favorites 文件夹。

注意：不要复制 Desktop.ini 文件。

 回到顶端

为用户配置文件文件夹授予“完全控制”权限
1. 右键单击以前的用户配置文件，然后单击属性。默认情况下，该文件夹为 %SystemDrive%\Documents and Settings\username。
2. 在安全选项卡上，单击名称列表中您的用户配置文件，然后对“完全控制”权限单击以选中允许。

注意：如果名称列表中没有显示您的用户配置文件，请添加您的配置文件：单击添加，单击列表中您的用户名，然后单击确定。
3. 单击确定以关闭该对话框。

 回到顶端

编辑用户配置文件注册表项
警告：注册表编辑器使用不当可能导致严重问题，可能需要重新安装操作系统。Microsoft 不能保证您可以解决因注册表编辑器使用不当而导致的问题。使用注册表编辑器需要您自担风险。

编辑注册表，以便配置文件图像路径指向您在本文的“为用户配置文件文件夹授予‘完全控制’权限”一节中使用的用户配置文件文件夹： 1. 用要还原的用户配置文件登录计算机。
2. 单击开始，然后单击运行。
3. 键入 regedit，然后单击确定。
4. 在注册表编辑器中，导航到以下注册表项：
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\ProfileList
5. 找到您的用户配置文件文件夹。

注意：当打开 ProfileList 文件夹时，您将看到多个文件夹，每个文件夹属于一个不同的用户。这些文件夹按照用户安全 ID (SID) 而非用户名来命名。

要找到您的用户配置文件文件夹，请使用以下选项之一：? 对于每个文件夹，单击该文件夹，然后查找包含您的用户配置文件路径（如 %SystemDrive%\Documents and Settings\username）的 ProfileImagePath 值。

- 或 -
? 在注册表编辑器中按 Ctrl+F 键以启动“查找”工具。在“查找目标”框中键入您的用户名，单击以选中“查看”下的数据复选框，然后单击查找。
 
6. 找到您的用户配置文件的子项文件夹后，双击 ProfileImagePath 值。
7. 在数值数据框中更改路径，使其指向您所还原的配置文件文件夹，然后单击确定。
8. 退出注册表编辑器。
当您下次登录计算机时，Windows 将使用还原的用户配置文件。

在你的系统管理员的工作中，可能需要阻止邮箱用户通过 Internet收发邮件, 以下这篇文章的描述将帮助你达成这个任务。  
限制用户将邮件发送到Internet
    为了限制用户发送邮件到Internet，我们需要创建一个SMTP Connector（ 连接器），因为你不能在SMTP Virtual Server上设置这种限制。
    1、在Activery Directory Users and Computers管理程序里，创建一个邮件支持组，给一个有意义的组名，我们就取组名叫 No Intenert Mail 吧。
    2、将不许发送邮件到Internet的用户增加到这个刚创建的组。
现在我们需要创建一个SMTP Connector（ 连接器）。
    1、打开 Exchange System Manager （ESM），定位到Connectors。

2、右击Connectors，选择 新建->SMTP Connector，在弹出来的属性对话框中的General选项卡中，写上新建的SMTP Connector的名称，在本例我们就写 Default SMTP Connector。

3、我们现在把新建的SMTP Connector 和SMTP Virtual Server关联起来，在General选项卡的Local bridgeheads（本地桥头服务器）中按"Add..."按钮，在展现出来的SMTP Virtual Server列表里选择本地的SMTP Virtual Server，增加到本地桥头服务器列表。

、下一步是设置新建 SMTP Connector的Address Space地址空间，这Address Space就是SMTP Connector发送邮件能到达位置的列表，选择Address Space选项卡，按"Add..."按钮，在弹出的“Add Address Space”选择框中选择SMTP。

5、接下来的“Internet Address Space Properties”对话框中，E-mail Domain的值保留为"*"，这确保SMTP Connector能发送邮件到任何SMTP域。

 我们现在来限制已经建立的 No Intenert Mail 组不能发送邮件到Internet。
6、选择Delivery Restrictions选项卡，增加 No Intenert Mail 组到Reject messages from列表，如下图所示：

7、点击确定退出Default SMTP Connector属性框。
如此设置后，当在No Intenert Mail 组里的某个用户试图发送邮件到Internet时，将反馈如下信息：
Your message did not reach some or all of the intended recipients.[/center]
Subject:
Sent:    18/10/2003 10:29 PM
The following recipient(s) could not be reached:
'test@yupai.net' on 18/10/2003 10:29 PM
You do not have permission to send to this recipient.  For assistance, 

contact your system administrator.

所以，如果我们要限制某个用户发送邮件到Internet，只需要把该用户放到No Intenert Mail 组里即可。
现在我们来看看怎样限制用户从Internet接收邮件，这种限制的设定比限制用户将邮件发送到Internet的设定要复杂些。 
我们将继续以已创建的No Intenert Mail 组来操作。
 
为了阻止用户接收来自Internet的邮件，需要给用户一个虚假的SMTP地址，这样，经由SMTP发来的邮件不知道将把它发到什么邮箱，邮件将被返回给发送者。
我们对此设定有两个方法，一、手工具体定制某个用户的SMTP地址，二、用收件人策略来应用SMTP地址，我们在本例用第二个方法来设定。
 
当你创建一个基于组成员的收件人策略时，收件人策略筛选器要求写入组成员的Distinguished Name(DN)属性值。所以我们首先要知道组成员 No Intenert Mail 的DN属性值。
我们可以使用ADSIEDIT工具来获的组成员 No Intenert Mail 的DN，ADSIEDIT工具是Windows 2000 支持工具集里的其中一个工具，能在Windows 2000 安装CD盘的SUPPORT\TOOLS目录里找到。
 
注意：请小心使用 ADSIEDIT ，稍有不慎，将会带来严重的灾难。
    1、 打开ADSIEDIT。
    2、找到  No Intenert Mail 所在的组织单元，在本例中，它是在Users单元里，如下图所示：

图片如下：

3、在右边的列表中找到 CN=No Intenert Mail 的组，右击选择属性。
    4、在属性框，从Select a property to view下拉列表中选择distinguishedName，在value(s)字段显示的就是组成员No Intenert Mail 的DN属性值。
    5、记下value(s)字段显示的No Intenert Mail 的DN值。
    6、关闭ADSIEDIT
 
现在，我们准备创建基于组成员的接收人策略，这个策略将提供虚假的SMTP地址给No Intenert Mail 组里的所有用户。 
    1、打开Exchange System Manager(ESM)。
    2、找到Recipient -〉Recipient Policy。

3、选中Recipient Policies ，右击选择新建-〉 Recipient Policy...
    4、在New Policy对话框里仅选择E-Mail Addresses复选框。
    5、命名你的策略名，在本例我们命名为 No Intenert Mail policy。
    6、现在来指定筛选条件，要仅应用策略给属于No Intenert Mail 组的用户成员，我们点击“Modify”按钮做以下操作：
    7、在弹出的“查找Exchange Recipients”对话框的General选项卡里，清除所有的复选框，除了Users with Exchange Mailboxes保持选择。

 8、选择“高级”选项卡，点击“字段”按钮，选择用户-〉组成员。
    此主题相关图片如下：

9、在“条件”下拉列表，选择为（完全一致） 。
10、在“值”字段里，填写之前通过ADSIEDIT获得的No Intenert Mail 组的DN，点击“添加”按钮此主题相关图片如下：

 11、你可以点击“开始查找”按钮去测试是否正确显示
组里的用户成员，如果每件事都OK了，点击“确定”退出“查找Exchange Recipients”对话框。
    12、返回到No Intenert Mail policy属性框，选择E-Mail Addresses (Policy)选项卡。
    13、点击“New...”，在提供的列表里选择SMTP Address。
    14、在SMTP Address Properties对话框里的Address字段，输入包括@符号、带虚假域名的邮件地址后缀。在本例我们输入：@fakedomain.local

15、点击确定接受新的SMTP地址，返回E-Mail Addresses (Policy)选项卡。
    16、在Generation rules列表中选择刚建的虚假SMTP地址，然后点击“Set as Primary”按钮，这虚假SMTP地址将以粗体字显示。
    17、选择剩下的其他SMTP地址，点击“Remove”按钮移除它们。
    注意：不要移除 X.400 地址。

18、点击确定退出Recipient Policy框，你将被提示应用这个新建的策略，点击是。
我建议你现在强制应用新建的收件人策略，右击新建的策略，选择“Apply this policy now...”。
 
如果在创建新收件人策略之前，No Intenert Mail 组里已经有用户，这些用户将仍然有一个有效的SMTP地址，

   所以在 Active Directory Users and Computers，选择你希望不接收来自Internet邮件的用户，移除他们在创建策略之前就有了的SMTP地址。在创建策略后新建并且立即放入
No Intenert Mail 组里的用户，不会产生有效的SMTP地址。

---------------
附件：
一.请注意执行以下个修注册表操作：
1.Start Registry Editor (Regedt32.exe).
2.Locate and click the following registry key:
 HKEY_LOCAL_MACHINE/System/CurrentControlSet/Services/Resvc/Parameters/ 
3.On the Edit menu, click Add value, and then add the following registry value:
 value Name: CheckConnectorRestrictions
 Data Type: REG_DWORD
 Radix: Hexadecimal
 value: 1 
4.Quit Registry Editor.
5.Restart the Microsoft Exchange Routing Engine service and the Simple 
Mail Transfer Protocol (SMTP) services for this change 

阻止Exchange 2003用户发送和接收因特网邮件

Exchange Server 2003有强大的功能来容易地阻止用户接收来自网络的邮件。一旦这样设置，用户将只能从同一企业中的其他Exchange用户处接收邮件。

　　要想这样做，首先你需要阻止Exchange用户向因特网发送电子邮件:

　　1.在Exchange中建立新的能够发送邮件的组，用它来鉴别受限制的用户。

　　2.向该组中添加限制接收邮件的用户。

　　3.在Exchange服务器上建立新的SMTP连接器，并且把它与适当的Exchange服务器发生联系。

　　4.在连接器属性的发送限制标签下，把已经建立的组添加到“Reject messages from:”部分中

　　现在，你需要把Exchange设置成禁止用户接收基于因特网的电子邮件:

　　1.在活动目录用户和计算机中，进入你想要禁止电子邮件通过的组(或单独用户)的属性页面。

　　2.在Exchange的一般标签下，点击发送禁止。

　　3.检查标签为“接受信息:仅来自认证的用户”对话框。

　　4.点击OK关闭对话框。

“认证的用户”检查栏是Exchange Server 2003中的新功能，为那些能够成功通过服务器验证的用户(也就是其他的Exchange用户)很好的限制了邮件通信量。

XCON: Connector Delivery Restrictions May Not Work Correctly

View products that this article applies to.

This article was previously published under Q277872

IMPORTANT : This article contains information about modifying the registry. Before you modify the registry, make sure to back it up and make sure that you understand how to restore the registry if a problem occurs. For information about how to back up, restore, and edit the registry, click the following article number to view the article in the Microsoft Knowledge Base:

256986 (http://support.microsoft.com/kb/256986/EN-US/) Description of the Microsoft Windows Registry

SYMPTOMS

After you configure the delivery restrictions on a connector by using Microsoft Exchange 2000 Server or Microsoft Exchange Server 2003, the restriction settings may not be applied. In Exchange 2000, the following event ID will also be generated:

Type: Warning
Event ID: 957
Source: MSExchangeTransport
Category: Routing Engine/Service

Description:
Connector restrictions (by the group or by the user) are present in the organization. However, restriction checking is disabled. Set the registry value HKLM\SYSTEM\CurrentControlSet\Services\RESvc\Parameters\CheckConnectorRestrictions to 1 (DWORD) and restart resvc and smtpsvc to enable restriction checking on local machine

CAUSE

If you need to apply a distribution list-based restriction to a connector, you must manually enable the checking process for these restrictions. Restriction checking is controlled by a registry key that must be set on the Exchange bridgehead that is the source for the connector that is being checked. If you specify a restriction, but do not create the registry key, the restriction is not checked.

Connector restriction checking is turned off by default because it can significantly affect performance to expand distribution groups and check the restrictions for each message that passes through the system. If possible, turn on this setting on where it is necessary (for example, on the bridgehead server for the restricted connector).

RESOLUTION

WARNING : If you use Registry Editor incorrectly, you may cause serious problems that may require you to reinstall your operating system. Microsoft cannot guarantee that you can solve problems that result from using Registry Editor incorrectly. Use Registry Editor at your own risk.

To resolve this issue:

MORE INFORMATION

This information can also be found in the Release Notes that are included with the Exchange CD-ROM