前言:最近剛到網絡公司擔當系統管理員，下面就依照自己的經驗和環境做一下Windows2000服務器的安全配置和優化。

　　以下是虛擬主機的操作系統和服務器軟件:
　　OS:Win2k Advancd Server
　　ftp server:Serv-u 6.0.2
　　www server: IIS
　　mail server: WebEasyMail 3.5.3.1 企業版
　　防火墻:天網防火墻個人版
　　殺毒軟件:McAfee VirusScan Enterprise 8.0.i版
　　遠程管理軟件:Terminal Services終端服務

　　下面我來說一下從安裝系統、安裝服務器應用程序、安全設置和優化的過程。

　　1.硬盤分區和安裝系統
　　關于分區我強烈建議大家選擇NTFS文件格式，不僅NTFS文件系統可以給我們帶來很高的安全性，而且對于做WEB服務的虛擬主機來說磁盤配額很最要.還有文件和文件夾的壓縮都給我們這些系統管理員提供了很高便利性。

　　在分區之前和大家說一下，一定要合理的設置分區。合理的分區不僅可以給我們帶來工作的方便，還可以提高系統的安全和穩定性。我的硬盤一共分了5個區(120G)。

　　C盤用來裝操作系統的文件。D盤用來存儲各個WEB站點的文件。E盤用來保存IIS日志文件、Internet臨時文件夾和頁面文件。F盤用來裝應用程序。就是說所有的應用程序都安裝在F盤里。G盤用來保存備份文件和一些常用的工具。大家可以根據自己的情況合理的設置分區，而不必一一對應。下面就是安裝系統了，在安裝系統的時候組件的選擇一定要僅僅安裝自己需要的組件，而一些用不到的組件我們不要安裝。那些用不到的組件會給我們帶來一些意想不到的“驚喜”。在安裝IIS的時候把FrontPage2000服務器擴展、Ineternet服務管理器(HTML)、NNTP Server、SMTP Server、文件傳輸協議(FTP)服務器的復選框去掉。以保證這些用不到的服務不會給我們帶來安全隱患。

　　把Internet臨時文件夾移動到非系統分區中,如我的設置是E盤: Internet Explorer-右擊-屬性-Ineternet臨時文件-設置-移動文件夾，選擇相應的分區。把虛擬內存頁面文件移動到到非系統分區中,,如我的設置是E盤:我的電腦-右擊-屬性-高級選項卡-性能選項-更改,設置初始大小和最大值，重啟計算機。注意:以上兩項操作都必需重啟后生效。

　　2.為用戶提供正常的服務。

　　在D盤里面為各個WEB站點建立相應的文件夾,以保證各個站點的文件存儲在相應的文件夾中。在IIS里面建立相應的WEB站點、設置和相應的主機頭、主目錄、端口、IP地址。對應的在Serv-u里面建立相應的用戶，以指向各自的WEB文件夾中，以便日后維護上傳、下載的需要。在WebEasyMail里面設置相應的各個域的郵件用戶、和容量等。關于服務器軟件的安裝問題，請您自己參考相應的文章。

　　3.服務的配置

　　在Windows里面有很多服務，這些服務都是為了不同的需求而提供的。在這里我們要根據自己的環境來配置服務，禁用那些不要的服務.老生常談的一句話:"最少的服務+最小權限=最大的安全".

　　禁用那些用不到的服務:Alerter、ClipBook、Computer Browser、 Distributed File System、Indexing Service、Internet Connection Sharing、Messenger、NetMeeting Remote Desktop Sharing、Print Spooler、Remote Registry Service、Smart Card、Task Scheduler、TCP/IP NetBIOS Helper Service、Telnet、Windows Time、Workstation.關于為什么禁用Workstation服務我會在下面說到。

　　4.端口的配置

　　下面我來說一下怎樣關閉常見的危險端口和一些無用的共享,如:默認共享。

　　在本地連接-屬性中，把"Microsoft網絡的文件和打印機共享"卸載掉。在選定的組件中之留下TCP/IP協議和Microsoft網絡客戶端.大家可能會說為什么要留Microsoft網絡客戶端,根據前幾天的調試，如果不裝它的話，重新啟動IIS的時候會提示“服務不能啟動，無法驗證的服務”。選中TCP/IP協議-屬性-高級-WINS-禁用TCP/IP上的Netbios選項。

　　把HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\GraphicsDrivers\DCI,Timeout雙字節值改為0 。建議大家設為0.這個鍵值對玩游戲有用，做虛擬主機我們用不到。
　　把HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa項下的數值restrictanonymous,由0改為1。
　　在HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters項下新建雙字節值AutoShareServer值為0。
　　在HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NetBT\Parameters項下新建雙字節值SMBDeviceEnabled值為0。

　　在防火墻中添加IP規則，允許21、25、80、110。禁止135端口。最后啟動禁止所有別的端口的通過。

　　我們也可以通過系統自帶的本地安全策略和TCP/IP篩選來設置相應打開和關閉的端口。

　　5.IIS和權限設置

　　為了使IIS運行的更穩定和安全我們需要修改它，如:刪除一些不用的映射、日志的設置等。

　　下面是我的IIS的設置情況:

　　Internet信息服務-計算機名稱-屬性-WWW服務(編輯)-主目錄-配置-應用程序映射，刪除下面的應用程序映射:.htr、.idc、.printer、.cer、.shtm、.stm 、.cdx 。只保留.asp和.asa映射。對一般的應用比如運行ASP，已經夠用了。多出那些無用的安全映射會給系統帶來不必要的麻煩。

　　在進程選項卡的腳本文件高速緩存中把放入高速緩存的最多ASP文件數設成300，以改善ASP文件的執行效率。在應用程序調試選項卡中選中"發送文本錯誤消息給客戶"以防止通過錯誤消息來取得系統、網絡、數據庫的信息。

　　在Internet信息服務-計算機名稱-屬性-WWW服務(編輯)-服務選項卡選中HTTP壓縮的壓縮靜態文件,提高執行效率。在一個非系統分區中建立日志文件夾，來保存各個站點的日志。如我設置的分區是E，在分區中建立IISlog目錄,用它來保存各個站點的日志文件，而不用系統默認的路徑。把各個站點的日志指向IISlog文件夾中。

　　設置如下:Internet服務管理器-Web站點-屬性-Web站點選項卡-活動日志格式-屬性-日志文件目錄，把日志指向IISlog文件夾中。以便于以后我們查看日志的方便。為了保證系統的安全和各個站點FSO,在本地用戶和組中為各個站點用戶創建相應的用戶，設置相應的密碼,并把所屬的默認組User刪去，加入到guests組中。在各個Web站點的屬性-目錄安全性-匿名訪問和驗證控制-編輯-匿名訪問使用帳號的對話框中選中自己站點相對應的用戶帳戶.我們在D盤各個站點文件夾的屬性-安全選項卡去掉父系繼承來的權限，把這個文件夾的訪問權限設成redblood(這個用戶是我改名后的管理員，我會在后面提到的)完全控制(FC)、SYSTEM(FC)、和Web站點對應用戶的修改、讀取及運行、列出文件夾目錄、讀取、寫入權限。這樣當其中的一個WEB站點被上傳ASP木馬，就不會危害其它的站點，因為他只有這個Web站點的權限而沒有其它站點權限。

　　把各個分區的權限設成只有redblood和system完全控制.但是要注意一點，如果你的頁面文件通過設置而放到其它的分區中，比如我放到了E盤中，你除了給這個分區redblood、system的完全控制權限外還必須給這個分區everyone的讀權限,否則重啟的時候會報錯!

　　在C:\Program Files\Common Files文件夾屬性對話框安全選項卡中，取消"允許將來自父系的可繼承權限傳播給該對象"，訪問權限設成redblood、system完全控制，everyone讀取及運行、列出文件夾目錄、讀取。因為ASP連接數據庫的時候會用到這個目錄。然后把WINNT目錄也按照同樣的方法來設置成和Common Files文件夾同樣的權限。

　　我們還要特殊設置一個目錄那就是C:\WINNT\Temp，這個目錄的訪問權限是everyone修改、讀取及運行、列出文件夾目錄、讀取、寫入。