虚拟主机安全配置与优化1.docVIP

虚拟主机安全配置与优化1 虚拟主机安全配置与优化 [Hack-Yu 发表于 2006-9-22 7:56:00] 前言：最近刚到网络公司担当系统管理员，下面就依照自己的经验和环境做一下Win2000服务器的安全配置和优化。以下是我虚拟主机的操作系统和服务器软件： OS：Win2k Advancd Server ftp server:Serv-u 6.0.2 www server: IISUHB mail server: WebEasyMail 企业版 防火墙：天网防火墙个人破解版 杀毒软件：McAfee VirusScan Enterprise 8.0.i版 远程管理软件：Terminal Services终端服务 下面我来说一下从安装系统、安装服务器应用程序、安全设置和优化的过程。 虚拟主机安全配置与优化正文： 1.硬盘分区和安装系统 关于分区我强烈建议大家选择NTFS文件格式，不仅NTFS文件系统可以给我们带来很高的安全性，而且对于做WEB服务的虚拟主机来说磁盘配额很最要.还有文件和文件夹的压缩都给我们这些系统管理员提供了很高便利性。在分区之前和大家说一下，一定要合理的设置分区。合理的分区不仅可以给我们带来工作的方便，还可以提高系统的安全和稳定性。我的硬盘一共分了5个区(120G)。C盘用来装操作系统的文件。D盘用来存储各个WEB站点的文件。E盘用来保存IIS日志文件、Internet临时文件夹和页面文件。F盘用来装应用程序。就是说所有的应用程序都安装在F盘里。G盘用来保存备份文件和一些常用的工具。大家可以根据自己的情况合理的设置分区，而不必一一对应。下面就是安装系统了，在安装系统的时候组件的选择一定要仅仅安装自己需要的组件，而一些用不到的组件我们不要安装。那些用不到的组件会给我们带来一些意想不到的惊喜。在安装IIS的时候把FrontPage2000服务器扩展、Ineternet服务管理器(HTML)、NNTP Server、SMTP Server、文件传输协议(FTP)服务器的复选框去掉。以保证这些用不到的服务不会给我们带来安全隐患。把Internet临时文件夹移动到非系统分区中,如我的设置是E盘: Internet Explorer-右击- 属性-Ineternet临时文件-设置-移动文件夹，选择相应的分区。把虚拟内存页面文件移动到到非系统分区中,,如我的设置是E盘:我的电脑-右击-属性-高级选项卡-性能选项-更改,设置初始大小和最大值，重启计算机。注意：以上两项操作都必需重启后生效。 2.为用户提供正常的服务。 在D盘里面为各个WEB站点建立相应的文件夹,以保证各个站点的文件存储在相应的文件夹中。在IIS里面建立相应的WEB站点、设置和相应的主机头、主目录、端口、IP地址。对应的在Serv-u里面建立相应的用户，以指向各自的WEB文件夹中，以便日后维护上传、下载的需要。在WebEasyMail里面设置相应的各个域的邮件用户、和容量等。关于服务器软件的安装问题，请您自己参考相应的文章 3.服务的配置\ 　 在Windows里面有很多服务，这些服务都是为了不同的需求而提供的。在这里我们要根据自己的环境来配置服务，禁用那些不要的服务.老生常谈的一句话：最少的服务 最小权限=最大的安全.禁用那些用不到的服务：Alerter、ClipBook、Computer Browser、 Distributed File System、Indexing Service、Internet Connection Sharing、Messenger、NetMeeting Remote Desktop Sharing、Print Spooler、Remote Registry Service、Smart Card、Task Scheduler、TCP/IP NetBIOS Helper Service、Telnet、Windows Time、Workstation.关于为什么禁用Workstation服务我会在下面说到。 　 3.端口的配置 　 下面我来说一下怎样关闭常见的危险端口和一些无用的共享,如：默认共享。在本地连接-属性中，把Microsoft网络的文件和打印机共享卸载掉。在选定的组件中之留下TCP/IP协议和Microsoft网络客户端.大家可能会说为什么要留Microsoft网络客户端,根据前几天的调试，如果不装它的话，重新启动IIS的时候会提示服务不能启动，无法验证的服务。选中TCP/IP协议-属性-高级-WINS-禁用TCP/IP上的Netbios选项。 把HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\GraphicsDrivers\DCI,Timeout双字节值