SEP客戶端部署方式及故障處理手冊

1、SEP客戶端部署方式及故障處理手冊目錄一 SEP客戶端部署方式概要4二 SEP遠(yuǎn)程推送條件4三 SEP遠(yuǎn)程推送工具61、SEP“查找非受管計(jì)算機(jī)”工具使用72、SEP遷移和遠(yuǎn)程部署工具8四 遠(yuǎn)程執(zhí)行工具使用介紹17五 WEB發(fā)布安裝17六 AD域組策略軟件分發(fā)181、準(zhǔn)備安裝文件包182、創(chuàng)建軟件分發(fā)點(diǎn)183、創(chuàng)建組策略對象194、軟件部署195 改變部署的軟件包選項(xiàng)216  刪除部署的程序包23七 AD域啟動腳本231、計(jì)算機(jī)啟動、關(guān)機(jī)腳本232、用戶登錄、注銷腳本26八 網(wǎng)絡(luò)共享安裝方式281、提升用戶安裝權(quán)限的SEP安裝腳本29九 桌面管理軟件30十 SEP客戶端批量安裝過程的

2、問題處理建議31（一） 相關(guān)問題31（二） 問題處理建議331、 安裝前的準(zhǔn)備工作332、 客戶端安裝方式選擇34十一 SEP客戶端安裝排錯(cuò)問題解答351.點(diǎn)擊安裝后沒有響應(yīng)，或者windows事件日志中有報(bào)windows installer 錯(cuò)誤。352.安裝SEP客戶端的時(shí)候，出現(xiàn)進(jìn)度條回滾或停止響應(yīng)363.安裝SEP客戶端出現(xiàn)回調(diào)或者安裝后右下角沒有圖標(biāo)出現(xiàn)364.SEP安裝意外中斷，再次安裝時(shí)無法繼續(xù)安裝365.SEP安裝時(shí)或安裝后出現(xiàn)Run Time C + Error錯(cuò)誤376.安裝SEP時(shí)提示無法加載某個(gè)組件或者無法找到*.dll文件377.安裝時(shí)回滾，并提示Live Updat

3、e注冊失敗388.安裝SEP后，主動式威脅防護(hù)定義顯示“正在等待更新”389.安裝完SEP重啟計(jì)算機(jī)發(fā)現(xiàn)主動型威脅防護(hù)不能正常更新3910.主動威脅防護(hù)在安裝后顯示已禁用并且不會更新定義3911.安裝SEP后，桌面右下角程序圖標(biāo)不顯示綠點(diǎn)4412.從SAV升級到SEP.0以后，Microsoft Outlook出現(xiàn)錯(cuò)誤4513.系統(tǒng)被掛起.需重啟后才能運(yùn)行.重啟后仍有該問題4514.HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRunOnce權(quán)限不夠4615.安裝SEP客戶端時(shí)提示請轉(zhuǎn)入控制面板或者安裝組件4816.無法再win

4、dows 7的操作系統(tǒng)上安裝SEP4817.安裝SEP客戶端時(shí)雙擊setup.exe沒有任何反應(yīng)，或者出現(xiàn)亂碼信息4918.SEP客戶端與Word軟件沖突4919.安裝SEP時(shí)提示” 無效驅(qū)動器 x:”5320.客戶端安裝后顯示“安全遵重性掃描失敗”5321.安裝SEPA后在“客戶端”目錄樹中顯示的狀態(tài)仍然是未安裝的圖標(biāo)5322.SEP安裝不完整，但又無法正常卸載5423.SEP客戶端在安裝時(shí)出現(xiàn)提示：無法終止“SavRom”，請確認(rèn)您有足夠的權(quán)限終止服務(wù)進(jìn)程。5424.提示“Windows Installer無法打開此安裝包”5425.提示“內(nèi)部錯(cuò)誤2203 c:windowsinstall

5、erXXX.IPI”5526.安裝時(shí)出現(xiàn)“讀取c:windowsinstallerSymantec Antivirus.msi時(shí)發(fā)生網(wǎng)絡(luò)錯(cuò)誤”的提示5527.安裝SEP時(shí)出現(xiàn)“讀取c:windowsinstallerRedistDriverssymredrv.sys時(shí)出錯(cuò)”5628.SEP在安裝過程中出現(xiàn)“此Windows Installer包有問題?！钡奶崾?629.sep安裝程序循環(huán)安裝且無法停止5730.天網(wǎng)防火墻沖突5731.卸載瑞星防火墻后，出現(xiàn)網(wǎng)絡(luò)不通現(xiàn)象5832.提示磁盤空間不足5833.無法保存word2007 SP2的文件的情況5834.控制面板中找不到原殺毒軟件的刪除選項(xiàng)6

6、035.無法登陸FTP服務(wù)器下載安裝文件6036.原symantec antivirus軟件客戶端無法卸載，6037.系統(tǒng)windows installer損壞，無法卸載或安裝程序6138.類似大蜘蛛殺毒軟件無法卸載63十二 如何將最新的病毒定義和入侵防護(hù)簽名添加到客戶端安裝包63十三 腳本示例651.一個(gè)提升用戶安裝權(quán)限的SEP安裝腳本652.修改XP客戶端安全配置的腳本67十四 附錄701.關(guān)于磁盤空間不足的處理7073一 SEP客戶端部署方式概要SEP客戶端軟件安裝包分為32位和64位系統(tǒng)兩種，您可以在安裝完SEPM管理服務(wù)器后，從SEPM控制臺導(dǎo)出需要的安裝包，并提前定義安裝包屬性，如

7、，安裝包選用哪些組件模塊、使用靜默方式還是無人參與模式安裝等。為了便于SEP大規(guī)模網(wǎng)絡(luò)批量部署，在客戶端具備一定條件的環(huán)境下，可使用遠(yuǎn)程軟件推送安裝等方法，可大大減少實(shí)施的時(shí)間和人力成本。本手冊中的各種安裝方法可以根據(jù)實(shí)際網(wǎng)絡(luò)情況進(jìn)行多種選擇使用，各種方式相互補(bǔ)充，以使部署效率達(dá)到最佳。使用SEP遠(yuǎn)程推送部署工具可以對網(wǎng)絡(luò)子網(wǎng)進(jìn)行掃描，找到未安裝或者安裝舊版本的客戶端，對其進(jìn)行遠(yuǎn)程安裝。使用WEB站點(diǎn)發(fā)布，可以把安裝權(quán)限提升后設(shè)置封裝在安裝包中，發(fā)布安裝包鏈接，由計(jì)算機(jī)操作者自己安裝，但可能需要用戶做基本的確認(rèn)操作，如，要求確認(rèn)關(guān)閉Lotus Notes，確認(rèn)是否保留隔離區(qū)內(nèi)容等。使用AD域組

8、策略“軟件安裝”方式，需要用戶重啟電腦才能生效，時(shí)間周期可能較長?？赡苄枰崆跋朕k法給客戶端安裝Windows Installer 3.1。使用AD域組策略的計(jì)算機(jī)啟動、關(guān)機(jī)腳本來安裝，需要用戶重啟電腦才能生效，可能等待用戶關(guān)機(jī)、開機(jī)時(shí)間較長。使用AD域組策略登錄、注銷腳本來安裝，需要用戶登錄域、注銷登錄時(shí)生效。網(wǎng)絡(luò)共享安裝方式，可以把安裝權(quán)限提升后設(shè)置封裝在安裝包中，發(fā)布安裝包下載位置鏈接，由計(jì)算機(jī)操作者自己安裝，但可能需要用戶做基本的確認(rèn)操作，如，要求確認(rèn)關(guān)閉Lotus Notes，確認(rèn)是否保留隔離區(qū)內(nèi)容等。使用桌面管理工具，則需要目標(biāo)上都有相應(yīng)桌面管理軟件客戶端。綜上所訴，推薦優(yōu)先使用域

9、策略腳本來使客戶端盡可能滿足推送安裝的環(huán)境要求，然后使用SEP推送工具進(jìn)行遠(yuǎn)程安裝，同時(shí)把重新封裝好的安裝程序發(fā)布在WEB站點(diǎn)中，并且通知用戶自行進(jìn)行安裝。使用SEP推送工具和通知用戶自行安裝能起到較好的互補(bǔ)作用。而對于其他方法，根據(jù)具體網(wǎng)絡(luò)情況也可選擇使用。二 SEP遠(yuǎn)程推送條件1. 客戶端加入域。（如未加入域，防病毒管理員需知道其本地管理員賬號密碼）。2. windows 防火墻關(guān)閉。(若不關(guān)閉則需要開放SEP管理服務(wù)器端和客戶端上的 TCP139、 445和2967， UDP137 和 138端口，管理服務(wù)器端的TCP 8014；將 Windows 防火墻配置為“允許文件和打印機(jī)共享”

10、；同時(shí)注意IDC防火墻也要開放響應(yīng)的端口策略；ICMP狀態(tài)檢查允許自動返回通信)。3. 組策略設(shè)置：計(jì)算機(jī)配置-Windows設(shè)置-安全設(shè)置-本地策略-安全選項(xiàng)-網(wǎng)絡(luò)訪問：本地帳號的共享和安全模式-改為“經(jīng)典-本地用戶以自己的身份驗(yàn)證”?！氨镜夭呗栽O(shè)置”>“安全設(shè)置”>“本地策略”>“安全選項(xiàng)”>“網(wǎng)絡(luò)安全 LAN Manager 身份驗(yàn)證級別”-建議使用“僅發(fā)送NTLM 2 響應(yīng)”級別。4. 開啟默認(rèn)共享（C$、Admin$、IPC$）。5. 開啟Server和Remote Registry服務(wù)。6. 工作組中的 Windows XP-禁用簡單文件共享。7. Wind

11、ows Vista、Windows Server 2008 和 Windows 7，Windows 的“用戶訪問控制”會禁止本地管理帳戶遠(yuǎn)程訪問遠(yuǎn)程管理共享，如 C$ 和 Admin$。若要將客戶端軟件推送到計(jì)算機(jī)，如果客戶端計(jì)算機(jī)屬于 Active Directory 域，應(yīng)使用域管理帳戶。遠(yuǎn)程部署也需要更高的權(quán)限才能進(jìn)行安裝。請執(zhí)行下列任務(wù)：l 禁用文件共享向?qū)А?l 使用網(wǎng)絡(luò)和共享中心啟用“網(wǎng)絡(luò)搜索”。 l 啟用內(nèi)置管理員帳戶并為此帳戶分配一個(gè)密碼。l 確認(rèn)您的帳戶擁有更高的用戶權(quán)限。 8. Windows Vista、Windows Server 2008 和 Windows 7（位于

12、 Active Directory 域中）：l 用來部署客戶端軟件的帳戶必須是域管理員，并在客戶端計(jì)算機(jī)上有更高的權(quán)限。啟用內(nèi)置管理員帳戶并為此帳戶分配一個(gè)密碼。9. 如客戶端安裝有其他殺毒軟件，則需要先手動卸載，否則可能存在沖突，例如，瑞星、Mcafee等。以上這些條件可以通過腳本實(shí)現(xiàn): 在組策略計(jì)算機(jī)配置/Windows 設(shè)置/腳本，雙擊啟動，單擊添加,將腳本文件“開啟.bat”與“開啟.reg”文件復(fù)制進(jìn)去,選擇開啟.bat文件為起動腳本即可“開啟.bat”腳本文件內(nèi)容如下：echo offrem 關(guān)閉XP防火墻echo onnet stop SharedAccessecho offre

13、m 在組策略計(jì)算機(jī)配置/Windows 設(shè)置/腳本，雙擊啟動，單擊添加,將如上“開啟.bat”文件與“開啟.reg”文件復(fù)制進(jìn)去,選擇開啟.bat文件為起動腳本即可rem 執(zhí)行“開啟.reg”，打開默認(rèn)共享和經(jīng)典訪問模式echo onregedit.exe /s 開啟.regecho offrem 啟動server服務(wù),打開ipc$;啟動RemoteRegistry服務(wù)echo onnet start lanmanservernet start RemoteRegistryecho offrem 建立默認(rèn)共享echo onnet share ipc$net share admin$net sh

14、are c$=c:rem pauseexit“開啟.reg”文件內(nèi)容：Windows Registry Editor Version 5.00 HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServiceslanmanserverparameters "AutoShareWks"=dword:00000001"AutoShareServer"=dword:00000001HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlLsa"forceguest"=d

15、word:00000000HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlLsa"lmcompatibilitylevel"=dword:00000003三 SEP遠(yuǎn)程推送工具如客戶端滿足推送條件，可使用SEP推送工具“查找非受管計(jì)算機(jī)”或者“遷移和部署向?qū)А惫ぞ邅磉M(jìn)行遠(yuǎn)程安裝。SEP推送的原理是取得遠(yuǎn)程機(jī)器的權(quán)限并直接下達(dá)遠(yuǎn)程運(yùn)行程序的命令。這個(gè)過程也可以直接使用psexec工具實(shí)現(xiàn)，但SEP“查找非受管計(jì)算機(jī)”工具可以根據(jù)端口掃描確定未安裝SEP的客戶端，可以針對這些客戶端來遠(yuǎn)程推送安裝SEP，這是一般遠(yuǎn)程執(zhí)行工具無法做到

16、的，所以推薦使用。1、 SEP“查找非受管計(jì)算機(jī)”工具使用1 打開SEP管理控制臺，在客戶端選項(xiàng)卡中，找到“查找非受管計(jì)算機(jī)”2 填寫搜索的地址范圍，填寫具有安裝權(quán)限（本地管理員權(quán)限）的用戶帳號和密碼，然后開始搜索3 查找完畢后，鉤選要安裝的客戶端，在下面選擇要安裝的sep客戶端軟件包的安裝設(shè)置和功能模塊，選擇要安裝到哪個(gè)客戶端組，然后點(diǎn)“開始安裝”即可。建議安裝設(shè)置選用“靜默安裝”或“無人參與”的默認(rèn)安裝模式；注意：如果 LAN Manager 的身份驗(yàn)證級別與六個(gè)定義的身份驗(yàn)證級別不兼容，這個(gè)實(shí)用程序就會將非受管計(jì)算機(jī)歸為“未知的計(jì)算機(jī)”類別。Symantec 建議使用“僅發(fā)送NTLM 2

17、 響應(yīng)”級別?？删庉嫷牟呗晕挥凇氨镜夭呗栽O(shè)置”>“安全設(shè)置”>“本地策略”>“安全選項(xiàng)”>“網(wǎng)絡(luò)安全 LAN Manager 身份驗(yàn)證級別”下。此外，從默認(rèn)的 Windows Server 2003 安裝運(yùn)行此實(shí)用程序時(shí)，此實(shí)用程序不能正確識別Windows 2000 操作系統(tǒng)。若要避開此限制，請?jiān)凇胺?wù)”面板中，以“管理員”而非“系統(tǒng)”的身份運(yùn)行 Symantec Endpoint Protection Manager 服務(wù)。警告：此實(shí)用程序會檢測各種網(wǎng)絡(luò)設(shè)備（如，交換機(jī)、路由器、網(wǎng)絡(luò)打印機(jī)等具有IP地址的設(shè)備），并將其顯示在未知計(jì)算機(jī)選項(xiàng)卡上。例如，此實(shí)用程序檢測到

18、路由器接口，并會將這些接口放置在未知計(jì)算機(jī)選項(xiàng)卡上。在將客戶端軟件部署至出現(xiàn)在“未知的計(jì)算機(jī)”選項(xiàng)卡上的設(shè)備時(shí)，應(yīng)格外謹(jǐn)慎。請確認(rèn)這些設(shè)備都是客戶端軟件部署的有效目標(biāo)。2、 SEP遷移和遠(yuǎn)程部署工具如客戶端滿足前述的推送條件，也可使用SEP “遷移和部署向?qū)А惫ぞ邅磉M(jìn)行遠(yuǎn)程安裝。原理一樣，取得遠(yuǎn)程機(jī)器的權(quán)限并直接下達(dá)遠(yuǎn)程運(yùn)行程序的命令。如果管理員已知道哪些計(jì)算機(jī)尚未安裝sep，能獲取到這部分計(jì)算機(jī)清單列表的情況下可以使用這種方式安裝。啟動SEP的“遷移和部署向?qū)А惫ぞ?，點(diǎn)“下一步”；選“部署客戶端”“選擇現(xiàn)有客戶端安裝包進(jìn)行部署”之前安裝好SEPM服務(wù)器時(shí)，我們已經(jīng)按照需要導(dǎo)出了客戶端安裝包，

19、現(xiàn)在可以從這里選擇一個(gè)用于推送安裝。建議選壓縮打包的“靜默安裝方式”的安裝包，這樣可以避免安裝過程提問一些問題要求確認(rèn)，并且在客戶端windows installer版本不夠時(shí)可以自動安裝windows installer3.1（這需要重啟動操作系統(tǒng)后才能使用。不過我們可以在幾天后再推送一次，也許那時(shí)候用戶已經(jīng)重啟動了操作系統(tǒng)了）。點(diǎn)“瀏覽”選擇一個(gè)之前已經(jīng)從SEPM導(dǎo)出的安裝包用于推送安裝。接下來需要瀏覽“windows網(wǎng)絡(luò)”，以便選擇要安裝的客戶端計(jì)算機(jī)。見下圖提示：為了確?？焖贉?zhǔn)確瀏覽到網(wǎng)絡(luò)中的計(jì)算機(jī)，建議將SEPM服務(wù)器加入到域中。逐個(gè)選擇尚未安裝sep的計(jì)算機(jī)，點(diǎn)“添加”加入到右側(cè)待

20、安裝欄，接下來會提示連接遠(yuǎn)程計(jì)算機(jī)使用的帳號和密碼，請使用其本地管理員或域管理員權(quán)限的賬號密碼來連接。（如果這里輸入的賬號密碼對之后添加的計(jì)算機(jī)有效，則不會重復(fù)提示輸入；如果權(quán)限不足則會再次提示輸入有效賬號密碼）。您還可以使用“添加和導(dǎo)入計(jì)算機(jī)”按鈕來添加計(jì)算機(jī)，可以手工輸入ip或主機(jī)名，也可以通過一個(gè)逐行列有要添加的計(jì)算機(jī)的ip地址的文本文件來導(dǎo)入。也可以通過一個(gè)逐行列有要添加的計(jì)算機(jī)的ip地址的文本文件來導(dǎo)入預(yù)安裝列表。點(diǎn)瀏覽導(dǎo)入import.txt文件列表在導(dǎo)入列表過程中仍然可能會提示輸入有效的賬號密碼以連接遠(yuǎn)程計(jì)算機(jī)。選擇預(yù)安裝sep的計(jì)算機(jī)之后，點(diǎn)“完成”，開始分批推送安裝SEP。如

21、下圖。全部推送完成后，可以查看日志，確定哪些計(jì)算機(jī)推送失敗，以便作后續(xù)處理。四 遠(yuǎn)程執(zhí)行工具使用介紹使用的工具為psexec，其他工具類似Usage: psexec computer,computer2,. | file-u user -p psswd-n s-l-s|-e-x-i session-c -f|-v-w directory-d-<priority>-a n,n,. cmd arguments詳細(xì)用法可看命令說明，以下實(shí)例為基本用法：psexec -u admin -p 123456 ipconfig這個(gè)命令為在 的機(jī)器上使

22、用admin用戶（密碼為123456）執(zhí)行ipconfig這個(gè)命令實(shí)際使用中，還需要先把安裝程序先傳到目標(biāo)機(jī)器上，再調(diào)用執(zhí)行。如 net use 123456 /user:adminxcopy c:tempsetup.exe c$psexec -u admin -p 123456 c:setup.exe五 WEB發(fā)布安裝發(fā)布相關(guān)WEB站點(diǎn)，通知用戶自行進(jìn)行安裝。（Web站點(diǎn)建立方法略過）如域用戶沒有權(quán)限進(jìn)行安裝，則可通過工具提升安裝權(quán)限來執(zhí)行sep安裝包。可使用CPAU.exe工具進(jìn)行安裝權(quán)限的提升，用法如下：CPAU -u

23、 username -p password -ex setup.exe -lwpCPAU -u username -p password -ex "msiexec /i softwareName.msi /qb REBOOT=SUPPRESS /promptrestart" lwp注意：1 CPAU一行中的用戶名如果是域用戶帳號，則請使用domain/username的格式，并刪除最后的參數(shù)“-lwp”；2 命令行中的路徑如果中間有空格或使用長文件名，請給絕對路徑加雙引號?？墒褂眉用躡at文件實(shí)行密碼的隱藏，然后使用winrar壓縮為獨(dú)立運(yùn)行的exe安裝包提供給web安裝使

24、用。詳細(xì)的腳本內(nèi)容可以參考第八章。六 AD域組策略軟件分發(fā)您可以使用 Windows 2000/2003 Active Directory 組策略對象安裝客戶端軟件。使用 Active Directory 組策略對象安裝客戶端軟件的過程假定您已安裝此軟件，且使用 Windows 2003 Active Directory。安裝軟件要求客戶端計(jì)算機(jī)包含且可運(yùn)行 Windows Installer 3.1 或以上版本。如果客戶端計(jì)算機(jī)不滿足此項(xiàng)要求，所有其他安裝方式會從SEP安裝包文件引導(dǎo) Windows Installer 3.1 以自動安裝該軟件?；诎踩紤]，Windows 組策略對象不允許

25、從安裝文件引導(dǎo)至可執(zhí)行文件WindowsInstaller*.exe。因此，在安裝 Symantec 客戶端軟件之前，您必須在沒有且未運(yùn)行 Windows Installer 3.1 的計(jì)算機(jī)上運(yùn)行此文件。您可以使用計(jì)算機(jī)啟動腳本來運(yùn)行此文件。如果使用 GPO 作為安裝方法，必須先決定如何更新未運(yùn)行Windows Installer 3.1 的客戶端計(jì)算機(jī)。注意：受限用戶不能運(yùn)行 Windows Installer 3.1，即使提高權(quán)限也不能運(yùn)行 Windows Installer 3.1。受限用戶是使用本地安全策略設(shè)置的。安裝 Windows Installer 3.1 的一種方式是使用 G

26、PO 計(jì)算機(jī)啟動腳本。啟動腳本會在計(jì)算機(jī)重新啟動時(shí)在 GPO .msi 安裝文件之前運(yùn)行。如果采用這種方式，請注意，每次重新啟動計(jì)算機(jī)，啟動腳本都會運(yùn)行并重新安裝 Windows Installer。不過，如果采用靜默方式安裝，用戶要晚一點(diǎn)才能看到登錄屏幕。使用 GPO 只會安裝一次Symantec 客戶端軟件。1、準(zhǔn)備安裝文件包    實(shí)現(xiàn)組策略軟件部署的第一步是獲取以ZAP或MSI為擴(kuò)展名的安裝文件包。MSI安裝文件包是微軟專門為軟件部署而開發(fā)的。這兩個(gè)文件有些軟件的安裝程序會直接提供，有些軟件的安裝程序是不提供的。對于不提供MSI文件的軟件我們可以使 用一個(gè)

27、叫WinINSTALL LE的打包工具來創(chuàng)建，通過使用它可以將一些沒有提供MSI文件的軟件打包生成MSI文件以便于實(shí)現(xiàn)組策略軟件布署。 2、創(chuàng)建軟件分發(fā)點(diǎn)    實(shí)現(xiàn)組策略軟件部署的第二步是必須在網(wǎng)絡(luò)上創(chuàng)建一個(gè)軟件分發(fā)點(diǎn)。    軟件分發(fā)點(diǎn)就是包含MSI包文件的共享文件夾。即在文件服務(wù)器上創(chuàng)建一個(gè)共享的文件夾，在這個(gè)文件夾的下面，再創(chuàng)建要部署軟件的子目錄，然后將MSI包文 件及所有需要的安裝源文件放于其中。再給共享文件夾設(shè)置相應(yīng)的權(quán)限，使用戶具有只讀的權(quán)限即可。如果擔(dān)心某些用戶非法瀏覽分發(fā)點(diǎn)中的的內(nèi)容，可以使用隱藏 共享文件夾，即在共

28、享名字后加$符號。 3、創(chuàng)建組策略對象    實(shí)現(xiàn)組策略軟件部署第三步是要?jiǎng)?chuàng)建相對應(yīng)的組策略對象。    軟件部署是依靠AD中的組策略來設(shè)置的，所以我們必須要?jiǎng)?chuàng)建一個(gè)用以分發(fā)軟件程序包的組策略對象 (GPO)，或者是修改一個(gè)已經(jīng)存在的GPO并在其中添加軟件部署的設(shè)置。在配置GPO時(shí)我們需要考慮分析網(wǎng)絡(luò)中哪些人需要的軟件是一樣的，哪些人需要的 軟件是不一樣的，或者是哪些部門需要什么軟件，然后做一個(gè)規(guī)劃，從而決定GPO的創(chuàng)建位置，一般情況下我們是在容器OU上創(chuàng)建或者修改GPO。配置如下：1. 在管理工具中啟動“Active Directo

29、ry 用戶和計(jì)算機(jī)”管理單元。 2. 在控制臺樹中，右鍵單擊要分發(fā)軟件的OU，然后單擊“屬性”選擇“組策略”選項(xiàng)卡，然后單擊新建來創(chuàng)建一個(gè)組策略。3. 鍵入希望使用的組策略名稱，例如“Office2000分發(fā)”，然后回車。 4. 選中剛才新建的組策略，單擊下面“編輯”進(jìn)入組策略編輯狀態(tài)。5. 根據(jù)軟件是部署給用戶還是計(jì)算機(jī)，在相應(yīng)的“用戶配置”或“計(jì)算機(jī)配置”中進(jìn)行設(shè)置。4、軟件部署    經(jīng)過上面的三步后，我們就可以對軟件部署本身進(jìn)行設(shè)置。    軟件部署有兩種類型，分別為已發(fā)行和已指派。這兩種部署類型的區(qū)別在于：

30、0;   4.1 已發(fā)行軟件部署方法    需要注意的是已發(fā)行的方法只能部署到用戶，不能部署到計(jì)算機(jī)上，也就是說只有組策略中的用戶配置可以使用這種部署方法。已發(fā)行軟件部署方法可以保證：     1. 當(dāng)用戶登錄計(jì)算機(jī)時(shí)，軟件并不會自動安裝，只有當(dāng)用戶雙擊與應(yīng)用程序關(guān)聯(lián)的文件時(shí)，軟件才會自動安裝。如我們雙擊一個(gè)ppt文檔或doc文檔時(shí)，會自動安裝OFFICE。     2. 對于發(fā)行的軟件，用戶可以在控制面板中的“添加/刪除”中安裝或者刪除，也就是說用戶自己可以安裝，

31、也可以卸載。    這種部署方法的好處在于，對于一些不能確定使用用戶的軟件，可以以發(fā)行方法部署，是否安裝由用戶自已決定。    配置方法如下：     1. 右擊“用戶配置”中的“軟件安裝”，選擇“新建”，然后單擊“程序包”。在“打開對話框”中選定”軟件分發(fā)點(diǎn)”中的MSI包文件，然后單擊“打開”。     2. 在選擇部署方法中，選定“已發(fā)行”。    4.2 已指派軟件部署方法    已指派的方

32、法可以將軟件部署給用戶和計(jì)算機(jī)，也就是說組策略中的用戶策略與計(jì)算機(jī)策略都可以使用這種部署方法。這一點(diǎn)需要與發(fā)行方法區(qū)別開。    當(dāng)我們使用此方法將軟件指派給用戶時(shí)可以保證：     1.軟件對用戶總是可用的，不管用戶從哪一臺計(jì)算機(jī)登陸，軟件都將會在開始菜單或桌面上出現(xiàn)，但這時(shí)軟件并沒有被安裝，只有在用戶雙擊應(yīng)用程序圖標(biāo)或與應(yīng)用程序關(guān)聯(lián)的文件時(shí)，軟件才會被安裝。     2. 如果用戶刪除了安裝的軟件，哪么當(dāng)用戶下次登錄時(shí)軟件還會出現(xiàn)在開始菜單或是桌面上，并在用戶雙擊關(guān)聯(lián)文件時(shí)被激活安

33、裝。    這種部署的好處在于，對于一些不常用的，但某些人卻必須要使用的軟件我們沒有必要在每臺計(jì)算機(jī)都安裝，只要指派給需要的用戶，不管這個(gè)用戶在哪臺計(jì)算機(jī)上操作，都能保證要使用的軟件是可用的。    方法如下：     1. 右擊“用戶配置”中的“軟件安裝”，選擇“新建”，然后單擊“程序包”。在“打開對話框”中選定”軟件分發(fā)點(diǎn)”中的MSI包文件，然后單擊“打開”。     2. 在選擇部署方法中，選定“已指派”。    當(dāng)我們

34、使用此方法將軟件指派給用戶時(shí)可以保證：   1. 對于被指派的計(jì)算機(jī)，軟件總是可用的，無論哪個(gè)用戶登錄都可以使用被指派的軟件。   2. 軟件不會通過文件關(guān)聯(lián)安裝，而是在計(jì)算機(jī)啟動時(shí)被安裝。   3. 用戶不能刪除被指派安裝的軟件，只有管理員才可以。    這種部署方法的好處在于，可以將一些大家都要用到的軟件指派給計(jì)算機(jī)，被指派安裝在計(jì)算機(jī)上的軟件對于所有用戶都是可用的。    配置方法如指派給用戶的步驟，只是將“用戶配置”改為“計(jì)算機(jī)配置”即可。5 改變部署的軟件包選項(xiàng)&#

35、160;   在用組策略部署一個(gè)軟件后，可以修改待部署的軟件包的選項(xiàng)以適應(yīng)我們的需要：1. 點(diǎn)擊軟件安裝，在右邊找到待部署的軟件包，點(diǎn)擊右鍵選擇屬性，在出現(xiàn)的對話框中選擇部署。   2. 部署類型在之前已經(jīng)介紹過了，不再復(fù)述。在部署選項(xiàng)中“通過擴(kuò)展名激活自動安裝應(yīng)用程序”選項(xiàng)能通過文檔激活來安裝部署的軟件。圖4中該選項(xiàng)為灰色是因?yàn)椴渴痤愋褪恰耙阎概伞?，在這個(gè)部署類型下該選項(xiàng)是默認(rèn)已選擇的。   3. “當(dāng)這個(gè)應(yīng)用程序不再處于管理范圍內(nèi)時(shí)，將其卸載”意為當(dāng)某一用戶或計(jì)算機(jī)從所部署OU中移走時(shí)，部署的軟件將會被卸載。  

36、; 4. “不要在“添加/刪除程序”控制面板中顯示這個(gè)程序包”該選項(xiàng)可以使部署的軟件不出現(xiàn)在“添加/刪除程序”當(dāng)中 ，避免用戶對軟件進(jìn)行操作。   5. “安裝用戶界面選項(xiàng)”中“基本選項(xiàng)”的安裝界面是用默認(rèn)值來進(jìn)行安裝的，“最大選項(xiàng)”允許用戶在安裝過程中有所選擇，可以輸入信息。6  刪除部署的程序包    要?jiǎng)h除已發(fā)行或已指派的程序包，可以在軟件包上右擊選擇“所有任務(wù)”，“刪除”。在彈出的對話框中選擇“立即從用戶和計(jì)算機(jī)卸載軟件”或是“允許用戶繼續(xù)使用軟件，但禁止新的安裝”，然后單擊確定。 七 AD域啟動腳本1、 計(jì)算機(jī)啟動、關(guān)機(jī)腳本

37、在組策略中，把安裝程序作為客戶端的開機(jī)啟動腳本，則可讓客戶端啟動或關(guān)機(jī)時(shí)運(yùn)行指定的程序或腳本。在組策略中選擇計(jì)算機(jī)配置-windows設(shè)置-腳本(啟動/關(guān)機(jī))-啟動 選擇添加，直接選擇填寫腳本名和參數(shù)，或者點(diǎn)“瀏覽”，把這個(gè)腳本文件復(fù)制到打開的窗口中去，選擇這個(gè)文件，點(diǎn)打開確定。建議把腳本復(fù)制到默認(rèn)打開的窗口位置中。通常位于如下目錄domainnameSysVoldomainnamePoliciesIDMachineScriptsStartup策略更新以后，客戶端將在下一次重啟動時(shí)即可運(yùn)行相應(yīng)腳本（不需要登錄也會執(zhí)行）。腳本內(nèi)容可以參照第八章的腳本來修改，現(xiàn)舉列如下：下面的腳本中，10.150

38、.228.2installWEBinstallsepinstallsep32 是某客戶SEP32位客戶端安裝包共享存放位置，setup_32bit.exe是壓縮后的sep導(dǎo)出安裝包文件名。將腳本保存為sepinst.bat。    CPAU.exe是用來提升用戶安裝權(quán)限的工具軟件，請和客戶端安裝包存放于同一共享位置。username是具有客戶端計(jì)算基本地管理員權(quán)限的帳號（可以用域管理員賬號），password是其密碼。為了避免用戶看到此帳號密碼，也可以用bat2exe的工具軟件QuickBFC將此腳本編譯成一個(gè)exe腳本文件，讓管理員在啟動、關(guān)機(jī)腳本策略

39、中使用這個(gè)sepinst.exe腳本文件即可。 ECHO Offrem 判斷是否已裝SEP,如果裝過就刪除上次安裝時(shí)拷貝的臨時(shí)文件，并退出；沒裝過就進(jìn)行安裝。if exist "%ProgramFiles%SymantecSymantec Endpoint ProtectionSmcGui.exe" goto DELtempif exist "%ProgramFiles%Symantec AntivirusSmcGui.exe" goto DELtempif exist "%ProgramFiles%Symantec_Client_Securi

40、tySmcGui.exe" goto DELtempgoto SETUP : DELtempECHO Onrem 系統(tǒng)已安裝了sep，這一步刪除上次拷貝的安裝包文件，并退出腳本Del /Q %temp%sepinst*.*rd %temp%sepinst rem pausegoto EXIT:SETUPECHO Onrem 系統(tǒng)還沒有安裝sep，下面開始安裝seprem 將舊版隔離區(qū)移到別處，避免安裝SEP時(shí)要求確認(rèn)是否保留隔離區(qū)。Move /Y "C:Documents and SettingsAll UsersApplication DataSymantecSymant

41、ec AntiVirus Corporate Edition7.5Quarantine" "C:Documents and SettingsAll UsersApplication DataSavQuarantine" ECHO Offrem 將s：臨時(shí)映射到存放sep 32位全功能安裝包的共享文件夾中，然后拷貝文件到本地%temp%sepinst下，并執(zhí)行安裝。ECHO Onnet use s: installWEBinstallsepinstallsep32 /PERSISTENT:NOs:MD %temp%sepinstcopy /Y s

42、:*.* %temp%sepinst*.*c:cd %temp%sepinst ECHO OffRem 下面使用CPAU提升安裝權(quán)限來執(zhí)行sep安裝包 CPAU -u username -p password -ex "setup_32bit.exe" -lwp rem pause :EXIT 注意：1 CPAU一行中的用戶名如果是域用戶帳號，則請?jiān)谟脩裘凹由嫌蛎?如，domainusername)，并刪除最后的參數(shù)“-lwp”2 net use一行命令中的路徑如果中間有空格或使用長文件名，請給全路徑使用雙引號引起來。2、 用戶登錄、注銷腳本類似的，在組策略中，

43、把安裝程序作為客戶端的登錄或注銷腳本，則可讓客戶端在域用戶登錄或注銷時(shí)運(yùn)行指定的程序或腳本，從而安裝sep軟件。在組策略中選擇用戶配置-windows設(shè)置-腳本(登錄/注銷)登錄。 選擇“添加”， 直接選擇填寫腳本名和參數(shù)，或者點(diǎn)“瀏覽”，把這個(gè)腳本文件復(fù)制到打開的窗口中去，選擇這個(gè)文件，點(diǎn)打開確定。八 網(wǎng)絡(luò)共享安裝方式可以將SEP客戶端軟件安裝包存放到一臺或幾臺網(wǎng)絡(luò)中的文件共享服務(wù)器上去，將安裝包的路徑告訴計(jì)算機(jī)使用者，由其自行進(jìn)行安裝。安裝前請驗(yàn)證用戶是否具有訪問服務(wù)器上sep客戶端安裝包的訪問權(quán)限，確保每個(gè)用戶都有讀取、執(zhí)行權(quán)限。在域環(huán)境下，通常普通用戶的登錄賬號不具有本地安裝防病毒軟件

44、的權(quán)限。不過我們可以通過工具軟件提升安裝權(quán)限來允許普通用戶的登錄賬號執(zhí)行sep安裝?？墒褂肅PAU工具進(jìn)行安裝權(quán)限的提升，用法舉例如下：CPAU -u username -p password -ex setup.exe -lwp或者CPAU -u username -p password -ex "msiexec /i softwareName.msi /qb REBOOT=SUPPRESS /promptrestart" lwp注意：1 CPAU一行中的用戶名如果是域用戶帳號，則請刪除最后的參數(shù)“-lwp”；2 命令行中的路徑如果中間有空格或使用長文件名，請給絕對路徑加

45、雙引號?？墒褂眉用躡at文件實(shí)行密碼的隱藏，然后使用winrar壓縮為獨(dú)立運(yùn)行的exe安裝包提供給安裝使用。1、 提升用戶安裝權(quán)限的SEP安裝腳本下面的腳本中，installWEBinstallsepinstallsep32 是某客戶SEP32位客戶端安裝包共享存放位置，setup_32bit.exe是壓縮后的sep導(dǎo)出安裝包文件名。將腳本保存為sepinst.bat。    CPAU.exe是用來提升用戶安裝權(quán)限的工具軟件，請和客戶端安裝包存放于同一共享位置。username是具有客戶端計(jì)算基本地管理員權(quán)限的帳號（可以用域管理員

46、賬號），password是其密碼。為了避免用戶看到此帳號密碼，我用bat2exe的工具軟件QuickBFC將此腳本編譯成一個(gè)exe腳本文件，讓管理員把這個(gè)sepinst.exe腳本文件發(fā)布給所有使用者，執(zhí)行一下即可安裝SEP客戶端了。 ECHO Offrem 判斷是否已裝SEP,如果裝過就刪除上次安裝時(shí)拷貝的臨時(shí)文件，并退出；沒裝過就進(jìn)行安裝。if exist "%ProgramFiles%SymantecSymantec Endpoint ProtectionSmcGui.exe" goto DELtempif exist "%ProgramFiles%Syma

47、ntec AntivirusSmcGui.exe" goto DELtempif exist "%ProgramFiles%Symantec_Client_SecuritySmcGui.exe" goto DELtempgoto SETUP : DELtempECHO Onrem 系統(tǒng)已安裝了sep，這一步刪除上次拷貝的安裝包文件，并退出腳本Del /Q %temp%sepinst*.*rd %temp%sepinst rem pausegoto EXIT:SETUPECHO Onrem 系統(tǒng)還沒有安裝sep，下面開始安裝seprem 將舊版隔離區(qū)移到別處，避免安

48、裝SEP時(shí)要求確認(rèn)是否保留隔離區(qū)。Move /Y "C:Documents and SettingsAll UsersApplication DataSymantecSymantec AntiVirus Corporate Edition7.5Quarantine" "C:Documents and SettingsAll UsersApplication DataSavQuarantine" ECHO Offrem 將s：臨時(shí)映射到存放sep 32位全功能安裝包的共享文件夾中，然后拷貝文件到本地%temp%sepinst下，并執(zhí)行安裝。ECHO Onn

49、et use s: installWEBinstallsepinstallsep32 /PERSISTENT:NOs:MD %temp%sepinstcopy /Y s:*.* %temp%sepinst*.*c:cd %temp%sepinst ECHO OffRem 下面使用CPAU提升安裝權(quán)限來執(zhí)行sep安裝包 CPAU -u username -p password -ex "setup_32bit.exe" -lwp rem pause :EXIT 注意：1 CPAU一行中的用戶名如果是域用戶帳號，則請?jiān)谟脩裘凹由嫌蛎?如，doma

50、inusername)，并刪除最后的參數(shù)“-lwp”2 net use一行命令中的路徑如果中間有空格或使用長文件名，請給全路徑使用雙引號引起來。九 桌面管理軟件使用桌面管理軟件，如SCCM ,LANDESK也可進(jìn)行遠(yuǎn)程推送，具體方法看相關(guān)產(chǎn)品使用手冊。十 SEP客戶端批量安裝過程的問題處理建議（一） 相關(guān)問題1. 推送安裝時(shí)提示關(guān)閉Lotus Notes；提示liveupdate正在運(yùn)行不能安裝；提示隔離區(qū)文件是否保留，能否加參數(shù)直接安裝下去？答：Symantec800工程師說，不裝Lotus Notes防護(hù)組件就不會提示關(guān)閉notes；可以考慮不裝Lotus Notes防護(hù)組件，在導(dǎo)出SEP

51、客戶端安裝包時(shí)不選Lotus Notes防護(hù)組件。但是我實(shí)際測試的結(jié)果是這個(gè)辦法沒有效果。可以嘗試用“靜默方式”安裝包來裝，應(yīng)該可以完成安裝。liveupdate：等待其退出，或者從任務(wù)管理器進(jìn)程查看窗口中手工結(jié)束LUCOMS1.exe，LUALL.EXE，LuCaLLBackProxy.EXE，然后繼續(xù)安裝；也可以提前一天從舊的SAV系統(tǒng)SSC控制臺上將SAV客戶端的liveupdate禁用，來防止出現(xiàn)此問題。隔離區(qū)文件：提前從SSC控制臺上將SAV的隔離區(qū)文件保留時(shí)間改為1天，來減少出現(xiàn)此類問題?；蛘哂媚_本安裝客戶端時(shí)先用move命令將隔離區(qū)移動或改名。2. 安裝完后能否不要立即全盤掃描？

52、答：是調(diào)度掃描任務(wù)引起的，不配調(diào)度掃描就不會掃了?？梢詫AV、SEP的調(diào)度掃描暫時(shí)不啟用。3. 使用SEP自帶的遠(yuǎn)程推送安裝功能來裝sep客戶端，要求客戶端做哪些配置？答：需要啟用默認(rèn)共享C$,admin$；使用經(jīng)典訪問模式；必須將 Windows 防火墻配置為允許文件和打印機(jī)共享；server服務(wù)必須啟動?？梢杂媒M策略發(fā)送一個(gè)腳本到客戶端來修改這些配置。腳本請聯(lián)系中軟工程師獲得。工作組中的 Windows XP：Windows XP系統(tǒng)必須禁用簡單文件共享（或者說，啟用“經(jīng)典”網(wǎng)絡(luò)訪問模式）。簡單文件共享可能會使客戶端軟件無法部署。上述這些配置可以通過域組策略來統(tǒng)一配置。Windows V

53、ista、Windows Server 2008 和Windows 7： 禁用文件共享向?qū)А?使用網(wǎng)絡(luò)和共享中心啟用網(wǎng)絡(luò)搜索。 確認(rèn)您的帳戶擁有更高的用戶權(quán)限。 Windows Vista、Windows Server 2008 和Windows 7（位于 Active Directory 域中）：用來部署客戶端軟件的帳戶必須是域管理員，并在客戶端計(jì)算機(jī)上有更高的權(quán)限。確定您的計(jì)算機(jī)上是否安裝了第三方安全軟件，如有，建議卸載它。第三方安全軟件包括其他防病毒或防廣告軟件以及防間諜軟件。這些程序可能影響客戶端軟件的性能及有效性。Symantec 建議您不要在同一臺電腦上運(yùn)行兩種防病毒程序。同樣地，

54、運(yùn)行兩種防廣告軟件或防間諜軟件程序，或者運(yùn)行兩種防火墻程序，都可能出現(xiàn)問題。如果兩種程序都提供實(shí)時(shí)防護(hù)，則務(wù)必遵循這項(xiàng)建議。兩種程序可能會導(dǎo)致資源沖突，并且在程序嘗試掃描或修復(fù)相同文件時(shí)，可能耗盡計(jì)算機(jī)資源。4. 安裝完后默認(rèn)卸載密碼是什么：答：SEP安裝完后沒有默認(rèn)卸載密碼。需要的話可以在SEPM上配置密碼。建議提前從SSC控制臺上將SAV的卸載密碼去掉，方便安裝和卸載過程。5. 防火墻模塊已安裝，能否從策略里禁用（類似于禁用自動防護(hù)那樣）：答：Symantec800工程師說，不鉤選防火墻策略的“啟用”就會禁用防火墻（但防火墻模塊并沒有被卸載）。6. 為什麼更改模塊不選防火墻、主動防御，卻卸

55、載了整個(gè)sep？答：在XP上測試，沒發(fā)現(xiàn)這種情況，只正常卸載了防火墻、主動防御。7. 為什么安裝后要求重啟動系統(tǒng)？ 答：以下情況下安裝或遷移時(shí)需要重新啟動計(jì)算機(jī)：在某些狀況下，安裝 Symantec Endpoint Protection 軟件的計(jì)算機(jī)必須重新啟動，才能完成安裝過程。在下列任何情況下，都需要重新啟動計(jì)算機(jī)： 未運(yùn)行 windows installer(簡稱MSI )3.1 的所有客戶端計(jì)算機(jī)?？蛻舳税惭b時(shí)，如果客戶端計(jì)算機(jī)上未運(yùn)行MSI 3.1，就會將 MSI 升級為 3.1，此項(xiàng)升級需要重新啟動。 如果選擇安裝“網(wǎng)絡(luò)威脅防護(hù)和防火墻”模塊的 Symantec Endpoint

56、 Protection 客戶端安裝。有時(shí)候在使用Landesk等第三方軟件（或組策略）進(jìn)行遠(yuǎn)程批量安裝時(shí)，會發(fā)現(xiàn)一部分客戶端顯示安裝失敗，究其原因，很多是因?yàn)閣indows installer版本不夠所致。而安裝 windows installer后又需要操作系統(tǒng)重新啟動后才能生效。因此建議先通過桌面管理軟件或組策略發(fā)布安裝Windows Installer（3.1或4.5版），幾天后再來遠(yuǎn)程部署SEP，這樣成功率會高很多。另外還有一種常見原因，就是操作系統(tǒng)或個(gè)別應(yīng)用軟件更新了補(bǔ)丁包，要求操作系統(tǒng)重啟動（見下圖），之后才允許再安裝其它軟件。8. 服務(wù)器上防火墻、主動防御能用嗎？ 答：Windo

57、ws server上的SEP沒有主動防御模塊，但防火墻是可以安裝使用的。（二） 問題處理建議綜上所述，建議在遠(yuǎn)程批量安裝前作如下環(huán)境準(zhǔn)備工作，以達(dá)到事半功倍的效果。1、 安裝前的準(zhǔn)備工作1) 在客戶端防火墻，或IDC等網(wǎng)絡(luò)中間隔離防火墻，或交換路由設(shè)備上開啟如下端口訪問策略：用于客戶端和服務(wù)器安裝和通信的端口功能組件協(xié)議和端口客戶端遠(yuǎn)程部署（如不使用sep的遠(yuǎn)程推送部署安裝方式則可以跳過這一行）管理服務(wù)器和目標(biāo)客戶端Manager 和客戶端上的 TCP139和445， UDP137 和 138，管理服務(wù)器和客戶端上的 TCP臨時(shí)端口常規(guī)通信（必需的）管理服務(wù)器和客戶端Manager 上的端口Tcp 8014客戶端上的 TCP 臨時(shí)端口；服務(wù)器和客戶端上的TCP2967常規(guī)通信（如不使用遠(yuǎn)程控制臺則可以跳過這一行）本地Symantec 系統(tǒng)中心和遠(yuǎn)程控制臺TCP8443（本地訪問）和 9090（遠(yuǎn)程訪問）搜索服務(wù)管理服務(wù)器端TCP 139和445，2967SEPM病毒定義下載Liveupdate到symantec病毒定義更新網(wǎng)站TCP 80或21，必須允許多線程下載方式2) 在舊版SAV控制臺上配置取消“隔離”；不能“清除”的病毒第二步操作選“立即刪除”；或設(shè)定1天后清理隔離區(qū)，減少或避免隔離區(qū)里有文