第06章配置网络安全_P_V1.0.docVIP

配置网络安全 教学目标: 配置网络和共享中心 配置Windows防火墙属性 管理入站规则 管理出站规则 创建自定义的入站规则 创建基于端口的出站规则 创建基于应用程序的出站规则 使用IPSec实现网络安全 创建和管理IP筛选器列表 创建筛选器操作 创建IP安全策略 分配和验证创建的IP安全策略 如果你的服务器放置到Internet，将会面临全球无数的黑客攻击，除了配置系统安全，还要确保网络安全。水平再高的黑客，如果网络不通，他也没法攻击你的服务器。本章将会使用两个方法配置服务器网络安全，Windows防火墙和IPSec。 Windows Server 2008 系统中高级防火墙比以前版本有很大改进，不但能够防御主动入侵还能严格控制出服务区的网络流量，用户还可以创建自定义的出站规则和入站规则。 使用IPSec实现网络安全和Windows高级防火墙实现的功能一样，能够严格的控制出入服务器的流量，来增加服务器的安全。比如对于Web服务器，你可以定义IPSec只允许TCP协议目标端口是80的数据包进入服务器，TCP协议源端口是80的数据包出服务器。这样就是服务器中了木马，木马的流量也会被IPSec拦截。  高级安全性的 Windows 防火墙 Windows 2000、Windows 2003和Windows XP的Windows防火墙，只能控制主动入侵的流量，对于出去的流量不做拦截。这样如果计算机中了木马，Windows高级防火墙不能连接木马程序出去的流量。 Windows Server 2008 和Windows 7高级安全Windows防火墙能够拦截严格控制出去和进入计算机的网络流量。 本节所有涉及两个安装了Windows Server 2008企业版的个虚拟机中实现，WINServer和FileServer。 配置网络和共享中心 Windows Server 2008高级安全Windows防火墙，可以通过网络和共享中心进行常规配置。通过修改网络所处的“位置”，还可以快速切换防火墙的设置。这个“位置”大家可以理解为配置文件。 比如你的服务器平时需要对外共享文件夹的服务，维护时需防关闭防火墙的所有端口。如何设置网络和共享中心呢？ 以管理员的身份登录FileServer，点击“开始”?“设置”?“控制面板”。 在打开的控制面板对话框，双击“网络和共享中心”。 如图6-1所示，在出现的网络和共享中心对话框，可以看到现在是“公用网络”，将???共享和发现”下的所有设置均设置为“关闭”，点击“自定义”。 图6-1 查看网络和共享中心 如图6-2所示，在出现的设置网络位置对话框，将位置类型设置为“专用”，点击“下一步”，完成网络位置的更改。 如图6-3所示，可以看到现在网络位置为“专有”，“共享和发现”按着下图所示配置，这实质上是打开了高级安全Windows防火墙的相应端口。 图6-2 设置网络位置 图6-3 再次查看网络位置及共享发现 更改网络位置为“公用网络”，可以看到“共享和发现”下的所有设置都是关闭状态。可以看到，通过更改网络位置就可以快速设置“共享和发现”下面的设置。 高级安全Windows防火墙 具有高级安全性的 Windows 防火墙结合了主机防火墙和IPSec。与边界防火墙不同，具有高级安全性的 Windows 防火墙在每台运行此版本 Windows 的计算机上运行，并对可能穿越外围网络或源于组织内部的网络攻击提供本地保护。它还提供计算机到计算机的连接安全，使您可以对通信要求身份验证和数据保护。 具有高级安全性的 Windows 防火墙是一种状态防火墙，检查并筛选 IP 版本 4 (IPv4) 和 IP 版本 6 (IPv6) 流量的所有数据包。默认情况下阻止传入流量，除非是对主机请求（请求的流量）的响应，或者被特别允许（即创建了防火墙规则允许该流量）。通过配置具有高级安全性的 Windows 防火墙设置（指定端口号、应用程序名称、服务名称或其他标准）可以显式允许流量。 使用具有高级安全性的 Windows 防火墙还可以请求或要求计算机在通信之前互相进行身份验证，并在通信时使用数据完整性或数据加密。 要求计算机在通信之前互相进行身份验证，并在通信时使用数据完整性或数据加密。 具有高级安全性的 Windows 防火墙使用两组规则配置其如何响应传入和传出流量。防火墙规则确定允许或阻止哪种流量。连接安全规则确定如何保护此计算机和其他计算机之间的流量。通过使用防火墙配置文件（根据计算机连接的位置应用），可以应用这些规则以及其他设置。还可以监视防火墙活动和规则。 防火墙规则 配置防火墙规则以确定阻止还是允许流量通过具有高级安全性的 Windows 防火墙。传入数据包到达计算机时，具有高级安全性的 Win