搜索
域安全通道实用工具nltest.exe的使用简介工具：此工具在MicrosoftWindowsNT4.0资源工具包中可以找到，另外如果你有Windows2003安装盘的话，在安装盘的SupportTools目录下有安装SupportTools的一个工具包安装程序，你安装此工具包后同样也有nltest.exe工具。简介：nltest.exe是一个非常强大的命令行工具，它能用来在WindowsNT域中测试信任关系和域控制器复制的状态。一个域由一个独立主域控制器（PDC）和零个或者更多备份域控制器（BDC）组成。当在WindowsNT上下文关系中使用信任时，它描述两个WindowsNT域之间的关系。每个包含的域或者是等待信任域角色，也或者是已信任域角色。对于任何已给出的信任关系，在等待信任域的每个域控制器和已信任域的每个域控制器之间只有唯一的一个连续的通信通道。举例，如果域A信任域B，那么B就是已信任域，A就是等待信任域。另外一个例子，假设域C信任域D，同时域D也信任域C，这种情况下，在域控制器之间有两个截然不同的信任关系，通常我们把它叫作完全信任模式，或者双路线模式。然而，为了诊断安全通道，最好是认为在等待信任域的每个域控制器和已信任域的域控制器之间存在两个独立的安全通道。信任关系并不是可传递的，举例，假设域E信任域F，域F信任域G，这并不表示域E就信任域G。这是因为每个域的管理员必须为发生信任关系的两个域之间明确地授权。信任关系的另一种形式是它有时被引用成一个隐式的信任。在一个独立域模式中，或者在任何两个域之间没有清楚的信任关系的环境中，隐式信任关系是活动的和功能上需要的。这种隐式信任关系存在于一个域的域控制器和域中所有成员计算机之间。清楚的信任关系在域用户管理中建立。隐式信任关系在成为域成员时建立。Nltest.exe能够用来测试一个域中的域控制器和运行WindowsNT的域成员之间的信任关系。Nltest.exe也可以用来在主域控制器（PDC）和备份域控制器（BDC）之间效验信任关系。在一个明确指定信任关系的域中，nltest.exe能够用来测试在等待信任域中的所有域控制器和已信任域中的一个域控制器之间的信任关系。这些通讯会议被叫作安全通道并用来验证WindowsNT计算机账号。也用来验证当一个远程用户连接到网络资源并且这个用户帐号存在于一个已信任的域中的用户帐号，这被叫作通行证验证，并允许加入到域中的运行WindowsNT的计算机拥有访问域中或已信任域中的用户帐号的数据。Nltest.exe能使用浏览器服务来枚举域控制器。因此，如果浏览器服务没有正确地工作，nltest.exe将返回不协调的结果。运行nltest.exe和提供浏览器服务的计算机将共享域控制器承载域活动记录的同一协议。特别地，指定计算机和域名称的枚举依赖命名决定的状态，比如WIN服务器复制，IPX路由配置或者NetBEUI桥接。所有的信任关系和域同步，都可以在nltest.exe下监视、测试和检验。在命令行下输入带/?参数的nltest.exe后的样本输出：/SERVER:ServerName指定ServerName/QUERY-QueryServerNamenetlogonservice查询ServerName的netlogon服务/REPL-ForcepartialsynconServerNameBDC强制ServerName的备份域控制器BDC局部同步/SYNC-ForcefullsynconServerNameBDC强制ServerName的备份域控制器BDC全部同步/PDC_REPL-ForceUASchangemessagefromServerNamePDC强制UAS从ServerName主域控制器PDC改变消息/SC_QUERY:DomainName-QuerysecurechannelforDomainonServerName为ServerName上的域查询安全通道/SC_RESET:DomainName[\DcName]-ResetsecurechannelforDomainonServerNametoDcName重设ServerName上域到DcName的安全通道/SC_VERIFY:DomainName-VerifysecurechannelforDomainonServerName检验ServerName上域的安全通道/SC_CHANGE_PWD:DomainName-ChangeasecurechannelpasswordforDomainonServerName改变ServerName上域的安全通道口令/DCLIST:DomainName-GetlistofDC'sforDomainName得到DomainName的域控制器清单/DCNAME:DomainName-GetthePDCnameforDomainName得到DomainName的主域控制器名称/DSGETDC:DomainName-Call调用DsGetDcNameDsGetDcName/PDC/DS/DSP/GC/KDC/TIMESERV/GTIMESERV/NETBIOS/DNS/IP/FORCE/WRITABLE/AVOIDSELF/LDAPONLY/BACKG/SITE:SiteName/ACCOUNT:AccountName/RET_DNS/RET_NETBIOS/DNSGETDC:DomainName-CallDsGetDcOpen/Next/Close/PDC/GC/KDC/WRITABLE/LDAPONLY/FORCE/SITESPEC调用DsGetDcOpen、DsGetDcNext或者DsGetDcClose/DSGETFTI:DomainName-CallDsGetForestTrustInformation/UPDATE_TDO调用DsGetForestTrustInformation/DSGETSITE-CallDsGetSiteName调用DsGetSiteName/DSGETSITECOV-CallDsGetDcSiteCoverage调用DsGetDcSiteCoverage/PARENTDOMAIN-Getthenameoftheparentdomainofthismachine得到本机的父域名称/WHOWILL:Domain*User[Iteration]-SeeifDomainwilllogonUser查看域是否愿意登陆用户/FINDUSER:User-SeewhichtrusteddomainwilllogonUser查看哪个域愿意登陆用户/TRANSPORT_NOTIFY-Notifynetlogonofnewtransport通报新传输的netlogon事件/DBFLAG:HexFlags-Newdebugflag新调试标记/USER:UserName-QueryUserinfoon查询ServerName的用户信息ServerName/TIME:HexLSLHexMSL-ConvertNTGMTtimetoascii转换NTGMT时间为ascii码/LOGON_QUERY-Querynumberofcumulativelogonattempts查询试图登陆的累计数字/DOMAIN_TRUSTS-QuerydomaintrustsonServerName/PRIMARY/FOREST/DIRECT_OUT/DIRECT_IN/ALL_TRUSTS/V查询ServerName上的域信任/DSREGDNS-ForceregistrationofallDC-specificDNSrecords强制注册所有DC指定的DNS记录/DSDEREGDNS:DnsHostName-DeregisterDC-specificDNSrecordsforspecifiedDC/DOM:DnsDomainName/DOMGUID:DomainGuid/DSAGUID:DsaGuid取消DC指定的DNS记录的注册/DSQUERYDNS-QuerythestatusofthelastupdateforallDC-specificDNSrecords查询所有DC指定的DNS记录最后更新的状态/BDC_QUERY:DomainName-QueryreplicationstatusofBDCsforDomainName查询备份域控制器BDCs的复制状态/SIM_SYNC:DomainNameMachineName-Simulatefullsyncreplication模拟完全同步复制/LIST_DELTAS:FileName-displaythe显示给定变化日志文件的内容contentofgivenchangelogfile/CDIGEST:Message/DOMAIN:DomainName-Getclientdigest得到客户端的摘要信息/SDIGEST:Message/RID:RIDinhex-Getserverdigest得到服务器的摘要信息/SHUTDOWN:Reason[Seconds]-ShutdownServerNameforReason关闭ServerName/SHUTDOWN_ABORT-Abortasystemshutdown中断系统关闭下面是一些额外参数说明/DSGETDC:DomainName/PDC只返回主域控制器/DS只返回Windows2000或者WindowsServer2003域控制器/DSP请求Windows2000或者WindowsServer2003域控制器，如果没有，返回NT与控制器/GC只返回指派为全局编录的域控制器/KDC只返回指派为Kerberos密钥分配中心的域控制器/TIMESERV只返回指派为时间服务的域控制器/GTIMESERV只返回指派为主要的时间服务的域控制器/NETBIOS指定计算机名称为NetBIOS名称/DNS指定计算机名称为FQDNs/IP返回指定IP地址的域控制器/FORCE强制计算机在DNS服务器上运行命令，而不是在缓存中查找信息/WRITABLE所有的活动目录域控制器将会返回，而NT4.0备份域控制器BDCs将不会返回/AVOIDSELF确保可以定位到域中另外的域控制器上/LDAPONLY返回运行LDAP应用程序的服务器/BACKG返回备份域控制器/SITE:SiteName排序使得SiteName位于列表的第一个/ACCOUNT:AccountName返回包含账户AccountName的域控制器信息/RET_DNS返回DNS域的域控制器/RET_NETBIOS返回NetBIOS域控制器/DNSGETDC:DomainName/PDC只返回主域控制器/GC只返回指派为全局编录的域控制器/KDC只返回指派为Kerberos密钥分配中心的域控制器/WRITABLE所有的活动目录域控制器将会返回，而NT4.0备份域控制器BDCs将不会返回/LDAPONLY返回运行LDAP应用程序的服务器/FORCE强制计算机在DNS服务器上运行命令，而不是在缓存中查找信息/SITESPEC仅返回包含站点SiteName的记录，此参数要和/SITE一起使用/DSGETFTI:DomainName/UPDATE_TDO更新帧间信任上本地存储信息/DOMAIN_TRUSTS/PRIMARY仅返回计算机账户属于的域/FOREST仅返回主域同一森林下的域/DIRECT_OUT返回被主域明确信任的域/DIRECT_IN返回明确信任主域的域/ALL_TRUSTS返回所有已信任的域/V显示详细