当前位置：文档之家 › windows server服务器配置文档

windows server服务器配置文档

  • 格式：doc
  • 大小：148.50 KB
  • 文档页数：25

一、操作系统的安装

我这里说的操作系统以Windows 2000为例，高版本的Windows也有类似功能。

格式化硬盘时候，必须格式化为NTFS的，绝对不要使用FAT32类型。

C盘为操作系统盘，D盘放常用软件，E盘网站，格式化完成后立刻设置磁盘权限，C盘默认，D盘的安全设置为Administrator和System完全控制，其他用户删除，E盘放网站，如果只有一个网站，就设置Administrator和System完全控制，Everyone读取，如果网站上某段代码必须完成写操作，这时再单独对那个文件所在的文件夹权限进行更改。

系统安装过程中一定本着最小服务原则，无用的服务一概不选择，达到系统的最小安装，在安装IIS的过程中，只安装最基本必要的功能，那些不必要的危险服务千万不要安装，例如：FrontPage 2000服务器扩展，Internet服务管理器（HTML），FTP服务，文档，索引服务等等。

二、网络安全配置

网络安全最基本的是端口设置，在“本地连接属性”，点“Internet协议（TCP/IP）”，点“高级”，再点“选项”-“TCP/IP筛选”。仅打开网站服务所需要使用的端口，配置界面如下图。

进行如下设置后，从你的服务器将不能使用域名解析，因此上网，但是外部的访问是正常的。这个设置主要为了防止一般规模的DDOS攻击。

三、安全模板设置

运行MMC，添加独立管理单元“安全配置与分析”，导入模板basicsv.inf或者securedc.inf，然后点“立刻配置计算机”，系统就会自动配置“帐户策略”、“本地策略”、“系统服务”等信息，一步到位，不过这些配置可能会导致某些软件无法运行或者运行出错。

四、WEB服务器的设置

以IIS为例，绝对不要使用IIS默认安装的WEB目录，而需要在E盘新建立一个目录。然后在IIS管理器中右击主机->属性->WWW服务 编辑->主目录配置->应用程序映射，只保留asp和asa，其余全部删除。 五、ASP的安全

在IIS系统上，大部分木马都是ASP写的，因此，ASP组件的安全是非常重要的。

ASP木马实际上大部分通过调用Shell.Application、WScript.Shell、work、FSO、Adodb.Stream组件来实现其功能，除了FSO之外，其他的大多可以直接禁用。

WScript.Shell组件使用这个命令删除：regsvr32 WSHom.ocx /u

work组件使用这个命令删除：regsvr32 wshom.ocx /u

Shell.Application可以使用禁止Guest用户使用shell32.dll来防止调用此组件。使用命令：cacls C：\WINNT\system32\shell32.dll /e /d guests

禁止guests用户执行cmd.exe的命令是： cacls C：\WINNT\system32\Cmd.exe /e /d guests

FSO组件的禁用比较麻烦，如果网站本身不需要用这个组件，那么就通过RegSrv32 scrrun.dll /u命令来禁用吧。如果网站本身也需要用到FSO，那么请参看这篇文章。

另外，使用微软提供的URLScan Tool这个过滤非法URL访问的工具，也可以起到一定防范作用。当然，每天备份也是一个好习惯

一:建立一个袖珍型的IIS,从而将风险隆到最低

针对一般用户来说,IIS一些额外组件根本没有多大用处,那我们就可以对IIS进行一次大瘦身,可以北朝鲜以下组件拉入黑名单:Internet服务器(HTML)是基于WEB的IIS服务器管理页面,一般情况下不应通过WEB进行管理,建议卸掉;样本页面和脚本有些是专门为显示IIS的强大功能设计的,但同样可被用来从Internet上执行应用程序和浏览服务器,这不是好事情'如果不打算使用服务器转发邮件和提供新闻组服务,就删除SMTP和NNTP这些项目,否则会因为它们的漏洞代来新的不安全,还有一个是INTERNET打印,INTERNET打印是WIN2K中的一个新特性,它提供通过INTERNET将打印作业题交给打印机的方式,但是由于网络上的打印机是通过一个WEB页面进行访问并管理的,所以也就使系统增加许多可以受到利用的可能性,还有一个就是要把IIS管理器中除必须之外的任何无用映射,一般性况下只保留.ASP就可以啦,其它的都可以删掉地.

二:权限设置的问题

IIS是以NTFS文件系统为平台,FAT文件系统只能提供共享级安全,安装IIS时一定要注意不要安装在系统分区上,那样会使系统文件与IIS同样面临着非法访问,容易使黑客侵入系统分区,一般的方法是打开IIS管理器,选择:"主目录"选项卡-----选中虚拟目录的"目录属性"进行设置.一般性况下可以只在"脚本资源方问","日志访问","读取","索引此资源",在下面的应用程序设置:

应用程序名-----默认应用程序

执行许可-------纯脚本

应用程序保护---中(共用的)

三:关于ASP木马的防范

设置IUSR_MACHINE的用户权限.加强主机的IIS配置,ASP是IIS的默认脚本,使用的是IUSR_MACHINE的权限,所以我们只要这样设置:

cacls %systemroot%/system32/cmd.exe /E/D IUSR_MACHINE

cacls %systemroot%/system32/dllcache/cmd.exe /E/D IUSR_MACHINE

这样就可以成功限制IUSR_MACHINE的权限,限制其访问系统的CMD.EXE,那些调用CMD.EXE的ASP木马也就无能为力啦!!呵呵,还要这个就是你必须在注册表中查找

wscript.shell

shell.application

shell.application.1这三项键值来改名或者删除,这样就可以防来自ASP脚本木马的威胁啦哦

好啦 基本的都说完啦!!希望对大家有用哈!!

Win2003 Server的安全性较之Win2K确实有了很大的提高，但是用Win2003 Server作为服务器是否就真的安全了？如何才能打造一个安全的个人Web服务器？下面我们简单介绍一下……

一、Windows Server2003的安装

1、安装系统最少两需要个分区，分区格式都采用NTFS格式

2、在断开网络的情况安装好2003系统

3、安装IIS，仅安装必要的 IIS 组件（禁用不需要的如FTP 和 SMTP 服务）。默认情况下，IIS服务没有安装，在添加/删除Win组件中选择“应用程序服务器”，然后点击“详细信息”，双击Internet信息服务(iis)，勾选以下选项：

Internet 信息服务管理器；

公用文件；

后台智能传输服务 (BITS) 服务器扩展；

万维网服务。

如果你使用 FrontPage 扩展的 Web 站点再勾选：FrontPage 2002 Server Extensions

4、安装MSSQL及其它所需要的软件然后进行Update。

5、使用Microsoft 提供的 MBSA（Microsoft Baseline Security Analyzer） 工具分析计算机的安全配置，并标识缺少的修补程序和更新。下载地址：见页末的链接

二、设置和管理账户

1、系统管理员账户最好少建，更改默认的管理员帐户名（Administrator）和描述，密码最好采用数字加大小写字母加数字的上档键组合，长度最好不少于14位。

2、新建一个名为Administrator的陷阱帐号，为其设置最小的权限，然后随便输入组合的最好不低于20位的密码

3、将Guest账户禁用并更改名称和描述，然后输入一个复杂的密码，当然现在也有一个DelGuest的工具，也许你也可以利用它来删除Guest账户，但我没有试过。

4、在运行中输入gpedit.msc回车，打开组策略编辑器，选择计算机配置-Windows设置-安全设置-账户策略-账户锁定策略，将账户设为“三次登陆无效”，“锁定时间为30分钟”，“复位锁定计数设为30分钟”。

5、在安全设置-本地策略-安全选项中将“不显示上次的用户名”设为启用

6、在安全设置-本地策略-用户权利分配中将“从网络访问此计算机”中只保留Internet来宾账户、启动IIS进程账户。如果你使用了还要保留Aspnet账户。

7、创建一个User账户，运行系统，如果要运行特权命令使用Runas命令。

三、网络服务安全管理

1、禁止C$、D$、ADMIN$一类的缺省共享

打开注册表，HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters，在右边的窗口中新建Dword值，名称设为AutoShareServer值设为0

2、 解除NetBios与TCP/IP协议的绑定

右击网上邻居-属性-右击本地连接-属性-双击Internet协议-高级-Wins-禁用TCP/IP上的NETBIOS

3、关闭不需要的服务，以下为建议选项

Computer Browser:维护网络计算机更新，禁用

Distributed File System: 局域网管理共享文件，不需要禁用

Distributed linktracking client：用于局域网更新连接信息，不需要禁用

Error reporting service：禁止发送错误报告

Microsoft Serch：提供快速的单词搜索，不需要可禁用

NTLMSecuritysupportprovide：telnet服务和Microsoft Serch用的，不需要禁用

PrintSpooler：如果没有打印机可禁用

Remote Registry：禁止远程修改注册表

Remote Desktop Help Session Manager：禁止远程协助

四、打开相应的审核策略

在运行中输入gpedit.msc回车，打开组策略编辑器，选择计算机配置-Windows设置-安全设置-审核策略在创建审核项目时需要注意的是如果审核的项目太多，生成的事件也就越多，那么要想发现严重的事件也越难当然如果审核的太少也会影响你发现严重的事件，你需要根据情况在这二者之间做出选择。

合集下载

Windows Server 2008R2 DataCenter操作系统上安装配置Exchange Server 2007

Windows Server 2008R2 DataCenter操作系统上安装配置Exchange Server 2007

Windows Server 2008R2 DataCenter操作系统上安装配置Exchange Server 2007

目录

Windows Server 2008R2 DataCenter操作系统上安装配置Exchange Server 2007 .............. 1

1 简介................................................................................................................................ 2

2 安装环境和前提条件 .................................................................................................... 2

3 配置网络环境 ................................................................................................................ 2

4 安装Active Directory域服务 ........................................................................................ 8

5 安装Web服务器（IIS） ............................................................................................ 26

6 安装Windows PowerShell集成脚本环境和.NET Framework 3.5.1功能 ................. 34

windows server 2021 vpn 服务器 的安装 与 配置

windows server 2021 vpn 服务器 的安装 与 配置

windows server 2021 vpn 服务器 的安装 与 配置

一、什么是vpn？

vpn（Virtual Private Network，虚拟专用网）是一种利用公共网络（广域网）来构建的私人专用网络技术，vpn并不是真实的专用网络（与DDN专线不同），但却能够实现专用网络的功能。虚拟专用网指的是依靠ISP(Internet服务提供商)和其它NSP(网络服务提供商)，在公用网络中建立专用的数据通信网络的技术，在虚拟专用网中，任意两个节点之间的连接并没有传统专网所需的端到端的物理链路，而是利用某种公众网的资源动态组成的。IETF草案理解基于IP的VPN为：”使用IP机制仿真出一个私有的广域网”是通过私有的隧道技术在公共数据网络上仿真一条点到点的专线技术。所谓虚拟，是指用户不再需要拥有实际的长途数据线路，而是使用Internet公众数据网络的长途数据线路。所谓专用网络，是指用户可以为自己制定一个最符合自己需求的网络。 二、vpn的安全保证。

目前VPN主要采用四项技术来保证安全，这四项技术分别是隧道技术(Tunneling)、加解密技术(Encryption & Decryption)、密钥管理技术(Key Management)、使用者与设备身份认证技术(Authentication)。 1、隧道技术

隧道技术是VPN的基本技术类似于点对点连接技术，它在公用网建立一条数据通道(隧道)，让数据包通过这条隧道传输。隧道是由隧道协议形成的，分为第二、三层隧道协议。第二层隧道协议是先把各种网络协议封装到PPP中，再把整个数据包装入隧道协议中。这种双层封装方法形成的数据包靠第二层协议进行传输。第二层隧道协议有L2F、PPTP、L2TP等。L2TP协议是目前IETF的标准，由IETF融合PPTP与L2F而形成。 第三层隧道协议是把各种网络协议直接装入隧道协议中，形成的数据包依靠第三层协议进行传输。第三层隧道协议有VTP、IPSec等。IPSec(IP Security)是由一组RFC文档组成，定义了一个系统来提供安全协议选择、安全算法，确定服务所使用密钥等服务，从而在IP层提供安全保障。 2、加解密技术

Windows Server 2008详细配置

Windows Server 2008详细配置

1。如何安装Windows Server 2008 ？

可以采取两种方式：一是硬盘安装，二是光盘安装。无论采取哪种方式，都建议遵循从低版本到高版本的安装顺序，即：Windows XP——Windows VISTA——Windows Server 2008 。否则会相当麻烦的。具体安装办法，与安装VISTA相似，本博客有详细介绍。

2。安装到最后一步提示输入密码，我怎么输了N次都过不去呢？

输入错误。Windows Server 2008要求采取比较复杂的密码方式，如果简单输入12345678或者abcdefgh，那是绝对不行的。正确输入应当是：8位以上包括英文大小写字母的密码，比如：Windows2008，绝对一次顺利通过。

3。目前激活Windows Server 2008有几种方式？你认为哪种方法更好一些？

目前，Windows sever 2008的激活方法主要有三种：1。自动激活。毫无疑问这是最正规的，当属首选。2。电话激活。也在微软允许范围之内，无非就是费点事。3。替换激活。替换文件虽可激活，但个别之处因有“Vista”痕迹终觉不爽。

4。听说激活之后要备份什么文件？有什么用处吗？

是的。备份的目的是为了免去以后重装系统时候的麻烦。具体方法是——

1。备份以下两个文件，同时保存好激活CD-KEY（注意：appdata是隐藏的文件夹）

\Windows\System32\licensing\pkeyconfig\pkeyconfig.xrm-ms

\Windows\ServiceProfiles\NetworkService\AppData\Roaming\Microsoft\SoftwareLicensing\tokens.dat

2。以后再重装系统，不必输入CD-KEY，也不要连网，找到上面的两个文件，右键点属性— —安全——高级——所有者，修改为administrator，关闭窗口，再重新选择高级——权限,修改amdinistator为完全控制，这样就可以删除了。

Windows Server 2012设置

Windows Server 2012设置

Windows Server 2012设置

0.评估与激活

Windows Server 2012试用版安装后，有一个180天的试用期。在180天试用期即将结束时，用“Rearm”后,重启电脑,剩余时间又恢复到180天。微软官方文档中声明该命令只能重复使用5次,这样Windows Server 2012至少用900天。

1.允许在未登录前关机

手动配置：

运行Gpedit.msc[打开组策略编辑器]-计算机配置-Windows 设置-安全设置-本地策略-安全选项-关机:允许系统在未登陆的情况下关闭-已启用

脚本配置：

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\system]

"shutdownwithoutlogon"=dword:00000001

2.禁用Ctrl+Alt+Del

手动配置：

运行Gpedit.msc[打开组策略编辑器]-计算机配置-Windows 设置-安全设置-本地策略-安全选项-交互式登录：无需按Ctrl+Alt+Del-已启用

脚本配置：

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System]

"DisableCAD"=dword:00000001

3.关闭事件跟踪程序

手动配置：

运行Gpedit.msc[打开组策略编辑器]-计算机配置-管理模板-系统-显示“关闭事件跟踪程序”-已禁用

脚本配置：

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows NT\Reliability]

"ShutdownreasonOn"=dword:00000000

4.启用自动登录

手动配置：

运行 Control UserPasswords2-用户账号-勾选“要使用本计算机,用户必须输入用户名和密码”-输入您当前系统的密码即可登录