Windows安全策略深度解析：如何使用bat reg add命令控制网络访问权限

1次阅读

没有评论

共计 2000 个字符，预计需要花费 5 分钟才能阅读完成。

在 Windows 服务器管理中，控制网络访问权限是基础安全措施之一。默认情况下，Windows 允许所有用户通过网络访问共享资源，但某些场景下我们需要限制特定用户或组的访问权限。例如：

防止未经授权的用户通过 SMB 协议访问文件服务器
限制某些高危账户（如 Guest）的网络访问能力
符合等保 2.0 等安全规范中对访问控制的要求

拒绝从网络访问这台计算机 策略位于 本地安全策略 -> 本地策略 -> 用户权限分配 中，传统通过 GUI 配置的方式效率低下，特别是在需要批量部署时。

Windows 提供两种主要配置途径：

组策略编辑器(gpedit.msc)
优点：可视化操作，策略继承清晰
缺点：批量部署效率低，需要交互操作
注册表直接修改
优点：可通过脚本批量执行，适合自动化部署
缺点：需要精确知道键值位置，操作风险较高

关键注册表路径：
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa下的 restrictanonymous 和EveryoneIncludesAnonymous等值会影响网络访问控制效果。

以下是一个完整的配置脚本示例（建议以管理员身份运行）：

@echo off
:: 网络访问限制配置脚本 v1.2
:: 作者：Windows 安全运维团队
:: 最后更新：2023-08-20

setlocal enabledelayedexpansion

:: 1. 定义要拒绝的网络访问账户
set "DENY_ACCOUNTS=Guest,Anonymous Logon"

:: 2. 备份当前注册表配置
reg export "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" %TEMP%\Lsa_backup.reg /y

:: 3. 修改拒绝从网络访问的账户列表
reg add "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" /v "RestrictAnonymous" /t REG_DWORD /d 1 /f
reg add "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" /v "EveryoneIncludesAnonymous" /t REG_DWORD /d 0 /f
reg add "HKLM\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0" /v "RestrictSendingNTLMTraffic" /t REG_DWORD /d 2 /f

:: 4. 更新拒绝从网络访问的账户
for %%a in (%DENY_ACCOUNTS%) do (reg add "HKLM\SYSTEM\CurrentControlSet\Control\Lsa\SeDenyNetworkLogonRight" /v "%%a" /t REG_SZ /d "" /f)

:: 5. 刷新策略
gpupdate /force

echo [INFO] 配置完成，建议重启计算机使设置完全生效
pause

现象：ERROR: 拒绝访问
解决：
1. 使用管理员身份运行 CMD
2. 检查组策略是否限制了注册表编辑权限

现象：策略不生效
解决：
– 使用完整的 SID 或标准账户名（如NT AUTHORITY\ANONYMOUS LOGON）
– 可通过 whoami /all 查看账户准确名称

现象：部分用户意外被拒绝访问
解决：
1. 检查 SeDenyNetworkLogonRight 和SeAllowNetworkLogonRight的冲突
2. 使用 rsop.msc 查看最终生效策略

仅添加必须限制的账户，避免使用 Everyone 等通配符
定期审计 SeDenyNetworkLogonRight 中的账户列表

:: 启用安全审计
reg add "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" /v "SCENoApplyLegacyAuditPolicy" /t REG_DWORD /d 1 /f
auditpol /set /category:"Logon/Logoff" /success:enable /failure:enable