windows server 2008 r2 怎么配置才安全

　　针对一般中小企业型来说，如果希望对企业网络进行安全管理，不一定非得花高价钱购买专业的防火墙设置，直接借助操作系统本身自带的防火墙功能即可以满足一般企业的应用，今天我们就一起来探究一下Windows Server 2008 R2系统防火墙的强大功能。熟练的应用Windows 内置防火墙，首先需要了解网络位置。　网络位置第一次连接到网络时，必须选择网络位置。这将为所连接网络的类型自动设置适当的防火墙和安全设置。如果用户在不同的位置(例如，家庭、本地咖啡店或办公室)连接到网络，则选择一个网络位置可帮助确保始终将用户的计算机设置为适当的安全级别。在Windows Server 2008中，有四种网络位置：家庭网络：对于家庭网络或在用户认识并信任网络上的个人和设备时，请选择“家庭网络”。家庭网络中的计算机可以属于某个家庭组。对于家庭网络，“网络发现”处于启用状态，它允许用户查看网络上的其他计算机和设备并允许其他网络用户查看用户的计算机。工作网络：对于小型办公网络或其他工作区网络，请选择“工作网络”。默认情况下，“网络发现”处于启用状态，它允许用户查看网络上的其他计算机和设备并允许其他网络用户查看用户的计算机，但是，用户无法创建或加入家庭组。公用网络：为公共场所(例如，咖啡店或机场)中的网络选择“公用网络”。此位置旨在使用户的计算机对周围的计算机不可见，并且帮助保护计算机免受来自 Internet 的任何恶意软件的攻击。家庭组在公用网络中不可用，并且网络发现也是禁用的。如果用户没有使用路由器直接连接到 Internet，或者具有移动宽带连接，也应该选择此选项。域网络：“域”网络位置用于域网络(如在企业工作区的网络)。这种类型的网络位置由网络管理员控制，因此无法选择或更改。Windows 防火墙如何影响网络位置在公共场所连接网络时，“公用网络”位置会阻止某些程序和服务运行，这样有助于保护计算机免受未经授权的访问。如果连接到“公用网络”并且 Windows 防火墙处于打开状态，则某些程序或服务可能会要求用户允许它们通过防火墙进行通信，以便让这些程序或服务可以正常工作。　在用户允许某个程序通过防火墙进行通信后，对于具有的位置与当前所连接到的位置相同的每个网络，也会允许该程序进行通信。例如，如果用户在咖啡店连接到某个网络并选择“公用网络”作为位置，然后解除了对一个即时消息程序的阻止，则对于所连接到的所有公用网络，对该程序的阻止都将解除。如果在连接到公用网络时计划解除对多个程序的阻止，请考虑将网络位置更改为“家庭”网络或“工作”网络。从这点而言，相对于影响用户所连接到的每个公用网络，这一更改操作可能会更安全。但请记住，如果进行了此更改，用户的计算机将对网络上的其他人可见，这样存在安全风险。Windows防火域基本设置当我们安装好系统后，默认就已经启用了防火墙功能，此时，只要设置好网络位置，就会阻止其他计算机与此计算机的通信。查看防火墙工作状态的方法是，在控制面板中点击系统和安全，从中打开Windows防火墙即可，然后就可以看到下图所示的状态：　如果希望打开或关闭Windows防火墙的话，只需要点击左侧的“打开或关闭防火墙”即可，然后看到如下图所示的界面：　从此图可以看到针对专用网中的家庭网络和工作网络已经开启了防火墙功能，此时就会封锁所有的传入连接。但在实际应用中，不能把所有的传入连接都给封锁，在此用户可以根据需要设置相应的“白名单”来放开某些连接，方法是点击防火墙工作状态界面左侧中的“允许程序或功能通过Windows防火墙”，出现下图所示的界面：　将某个程序添加到防火墙中允许的程序列表或打开一个防火墙端口时，则允许特定程序通过防火墙与您的计算机之间发送或接收信息。允许程序通过防火墙进行通信(有时称为“解除阻止”)就像是在防火墙中打开了一个孔。每次打开一个端口或允许某个程序通过防火墙进行通信时，计算机的安全性也在随之降低。您的防火墙拥有允许的程序或打开的端口越多，黑客或恶意软件使用这些通道传播蠕虫、访问文件或使用计算机将恶意软件传播到其他计算机的机会也就越大。防火墙 的高级安全设置刚才的基本设置操作比较简单，但功能也单一，如果需要进一步设置Windows 防火墙规则，就需要通过“高级安全Windows 防火墙”功能。打开方法如下：管理工具中点击高级安全Windows防火墙，或者是在刚才的防火墙状态中点击高级设置。如下图所示，然后，可以看到右侧所示的界面。　什么是高级安全Windows防火墙：使用高级安全 Windows 防火墙可以帮助用户保护网络上的计算机。通过该防火墙您可以确定允许在计算机和网络之间传输的网络流量。它还包括使用 Internet 协议安全性 (IPsec) 保护在网络间传送的流量的连接安全规则。高级安全 Windows 防火墙是一种有状态的防火墙，它检查并筛选 IP 版本 4 (IPv4) 和 IP 版本 6 (IPv6) 流量的所有数据包。在此上下文中，筛选意味着通过管理员定义的规则对网络流量进行处理，进而允许或阻止网络流量。默认情况下阻止传入流量，除非是对主机请求(请求的流量)的响应，或者得到特别允许(即创建了允许该流量的防火墙规则)。可以通过指定端口号、应用程序名称、服务名称或其他标准将高级安全 Windows 防火墙配置为显式允许流量。创建防火墙规则：可以创建防火墙规则以允许此计算机向程序、系统服务、计算机或用户发送流量，或者从程序、系统服务、计算机或用户接收流量。当用户的连接匹配该规则标准的所有连接执行以下三个操作之一：允许连接、只允许通过使用 Internet 协议安全 (IPSec) 保护的连接、阻止连接。可以为入站通信或出站通信创建规则。可配置规则以指定计算机或用户、程序、服务或者端口和协议。可以指定要应用规则的网络适配器类型：局域网 (LAN)、无线、远程访问，例如虚拟专用网络 (***) 连接或者所有类型。还可以将规则配置为使用任意配置文件或仅使用指定配置文件时应用，当 IT 环境更改时，可能必须更改、创建、禁用或删除规则。连接安全的实现：连接安全包括在两台计算机开始通信之前对它们进行身份验证，并确保在两台计算机之间发送的信息的安全性。高级安全 Windows 防火墙使用 Internet 协议安全 (IPsec) 实现连接安全，方法是使用密钥交换、身份验证、数据完整性和数据加密(可选)。连接安全规则使用 IPsec 确保其通过网络时的流量安全。使用连接安全规则指定必须对两台计算机之间的连接进行身份验证或加密。可能还要必须创建防火墙规则以允许由连接安全规则保护的网络流量。什么是防火墙配置文件：防火墙配置文件是一种分组设置的方法，如防火墙规则和连接安全规则，根据计算机连接到的位置将其应用于该计算机。在运行此版本 Windows 的计算机上，高级安全 Windows 防火墙有三个配置文件：　每个网络适配器也就是网卡，分配匹配所检测网络类型的防火墙配置文件。例如，如果将网络适配器连接到公用网络，则到达或来自该网络的所有流量会由与公用配置文件关联的防火墙规则筛选。Windows Server 2008 R2 和 Windows 7 为每个活动网络适配器配置文件提供支持。在 Windows Vista 和 Windows Server 2008 中，每次计算机上只能有一个配置文件处于活动状态。如果存在多个连接到不同网络的网络适配器，则具有最严格配置文件设置的配置文件应用于计算机上的所有适配器。公用配置文件被认为是最为严格的，然后是专用配置文件;域配置文件被认为是最不严格的。如果不更改配置文件的设置，则只要高级安全 Windows 防火墙使用配置文件，就应用其默认值。建议为所有三个配置文件启用高级安全 Windows 防火墙。若要配置这些配置文件，请在高级安全 Windows 防火墙 MMC 管理单元中，右键单击“高级安全 Windows 防火墙”，然后单击“属性”。　如果需要使用的服务或应用程序在列表中没有出现的，用户可以通过新建规则的方式来创建，如现在操作的计算机是一台WEB服务器，而需要开放给其他用户连接此网站，可以通过新建规划来开放一个80端口的规则。本地 IP 地址由本地计算机用于确定规则是否适用。规则仅适用于通过配置为使用一个指定本地 IP 地址的网络适配器的网络流量。任何 IP 地址，选择此选项可以指定匹配具有指定为本地 IP 地址的任意地址的网络数据包的规则。选中此选项时本地计算机始终匹配规则。下列 IP 地址，选择此选项可以指定规则匹配具有“本地 IP 地址”中指定的一个地址的网络流量。如果本地计算机没有使用一个指定 IP 地址配置的网络适配器，则规则不适用。在“IP 地址”对话框上，单击“添加”可以在列表中创建新条目，或单击“编辑”可以更改列表中的现有条目。还可以通过选择项目然后单击“删除”从列表中删除某个条目。远程 IP 地址：指定应用规则的远程 IP 地址。如果目标 IP 地址是列表中的地址之一，则网络流量匹配规则。任何 IP 地址，此选项可以指定规则匹配发自(对于入站规则)或发往(对于出站规则)包含在列表中的任意 IP 地址的网络数据包。下列 IP 地址，选择此选项可以指定规则仅匹配具有“远程 IP 地址”中指定的一个地址的网络流量。在“IP 地址”对话此外还需要将此防火墙规则应用到相应的配置文件和接口类型上，因此需要指定此规则所使用的配置文件，Windows 确定每个网络适配器的网络位置类型，然后对该网络适配器应用相应的配置文件。接口类型指的是单击“自定义”可以指定应用连接安全规则的接口类型。通过“自定义接口类型”对话框，可以选择“所有接口类型”或“局域网”、“远程访问”或“无线”类型的任意组合。最后一个需要介绍的就是边缘遍历。边缘遍历允许指的是计算机接受未经请求的入站数据包，这些数据包已通过诸如网络地址转换 (NAT) 路由器或防火墙之类的边缘设备。系统默认是阻止应用程序通过 NAT 边缘设备从 Internet 接收主动提供的流量。也可以设置为遵从用户或者是遵从应用程序，所谓遵从用户指的是让用户决定当应用程序请求通过 NAT 边缘设备从 Internet 接收主动提供的流量时是否允许该流量。遵从应用程序指的是让每个应用程序确定是否允许通过 NAT 边缘设备从 Internet 接收主动提供的流量。

Windows Server 2008 R2是微软推出的一款服务器操作系统，它和win2008还是有很大的差别的，在内核方面它与windows7系统一样使用了NT61内核。如果我们需要，那么该如何用U盘安装win2008r2服务器系统呢？那就来看看小编接下来所介绍的u盘装系统教程吧。

将u深度U盘启动盘连接电脑USB接口，重启电脑，当屏幕出现开机画面时按下启动快捷键进入u深度主菜单，选择02运行u深度win8PE装机维护版（新机器），如图所示：

进入到win8pe系统后会自动弹出u深度pe装机工具，此时我们点击“浏览”，找到并选择U盘中原版win2008r2镜像，然后点击“打开”，如图所示：

选完后回到u深度pe装机工具界面，此时可以点击浏览旁边的小箭头，选择需要安装的版本，然后点击安装的盘，最后点击“确定”，如图所示：

弹出的窗口点击“确定”，如图所示：

还原需要3-5分钟，完成后提示重启，我们点击“是”即可，如图所示：

重启后系统开始进行安装，在弹出的安装向导中我们点击“下一步”，直至最终安装完成，如图所示：

我们跟随系统的引导设置自己个人信息，值得一提的是，首次进入必须设置管理员密码，而且密码必须足够复杂，包含字母、数字和符号，这样设置才能成功，完成后便可进入到桌面，

相对于软件，硬件一直扮演一个相对次要的角色，毕竟，软件才真正决定哪些人能在IT世界里取得举世瞩目的成就。但是，部署新技术时，选择合适的硬件也许是最关键的因素。以微软Windows Server 2008 R2为例，该软件用于大多数的局域和万维网络。如

要在运行Windows Server 2008 R2的计算机上安装和配置DHCP服务器，首先应在需要提供寻址的物理子网上部署服务器，必须为该服务器分配静态IP地址，且该地址要在为局域网计划分配的地址范围内。在为该服务器分配静态地址之后，可以从“初始配置任务”或“服务器管理器”窗口中使用“添加角色向导”，选中“DHCP服务器”角色复选框，为这台计算机添加“DHCP服务器”角色。

单击“下一步”按钮进入DHCP服务器简介页面。下面将逐一介绍“添加角色向导”页面中的配置选项。

1、选择网络连接绑定

在“添加角色向导”的“选择网络连接绑定”页面中，可以指定DHCP服务器为客户端服务所选用一个或多个网络适配器。如果DHCP服务器是多连接的，那么在该页面中可以选择将DHCP服务限制在一个网络中。

此外还需要注意的是，与适配器关联的IP地址必须是手动分配的地址，从服务器分配给客户端的地址与这个静态分配的地址必须都属于同一个逻辑子网（除非使用“DHCP中继代理”为远程子网提供服务）。

2、指定IPv4 DNS服务器设置

在“添加角色向导”的“指定IPv4 DNS服务器 选”页面。我们可以对“015 DNS域名”和“006 DNS服务器”选项进行配置，这些选项应用于DHCP服务器上创建的所有作用域。

对于那些从DHCP服务器获取地址租约的客户端连接，“015 DNS域名”选项使管理员能够为其设置DNS后缀。这个DNS后缀就是“指定IPv4 DNS服务器设置”页面的“父域”文本框中的值。

对于那些从DHCP服务器获取地址租约的客户端连接，“006 DNS服务器”选项使管理员能够为其配置DNS服务器地址列表。虽然该选项没有限制可以指定的地址数，但“指定IPv4 DNS服务器设置”页面只允许配置两个地址的在分配给每个DHCP客户端的DNS服务器列表中，“首选DNS服务器IPv4地址”中指定的值对应于列表中的第一个地址，“备用DNS服务器IPv4地址”中指定的值对应于列表中的第二个地址。

3、指定IPv4 WINS务器设置

在“指定IPv4 WINS服务器设置”页面中，能够配置“044 WINS/NBNS服务器”选项，以指定分配给客户端的WINS服务器列表。选择“此网络上的应用程序需要WINS”，然后指定首选的WINS服务器地址，备用地址是可选的。

4、添加DHCP作用域

在“添加或编辑DHCP作用域”页而中，能够定义或编辑DHCP服务器上的作用域。

作用域是IP地址的管理组，针对的是子网上使用DHCP服务的计算机。每个子网只能配置一个具有连续IP地址范围的DHCP作用域。要添加新的作用域，须单击“添加”按钮，将打开“添加作用域”对话框。

创建作用域是配置DHCP服务器最重要的步骤。下面将详细介绍通过该对话框来配置作用域涉及的选项。

（1）作用域名称。这个值不会影响DHCP客户端。它只用标记作用域，以便将其显示在DHCP控制台中。

（2）起始IP地址和结束IP地址。在定义作用域的地址范时，可根据DHCP服务器所针对的子网选择，一段连续的地址。然而，对于为网络上现有或己计划的服务器静态分配的地址，应从这个范围中排除。

例如，在同一子网上，需要为本地DHCP服务器、路由器（默认网关）、DNS服务器、WINS服务器和域控制器分配静态伊地址。要排除这些地址，只须限制作用域的范围，使其不包含分配给服务器的静态地址即可。

（3）子网类型。该设置主要用于为当前作用域选择租用期限，共有两个可选项。在默认情况下作用域会被设置为“有线”型子网，其租用期限为8天。另一个设置为“无线”，对应的租用期限为8h。

（4）激活此作用域。仅当作用域处于激活状态时，它才会向外出租地址。在默认情况下，新作用域的激活设置是开启的。

（5）子网掩码·这里选择的子网掩码是将要分配给作用域内接收地址租约的DHCP客户端的子网掩码。应确保这里选择的子网掩码与DHCP服务器本身配置的值相同。

（6）默认网关（可选）。此项使管理员能够快速配置“003路由器”选项，该选项将默认网关地分配给该作用域内接收地址租约的DHCP客户端。

5、配置DHCPv6无状态模式

DHCPv6指的是针对IPv6的DHCP，而无状态模式指的是IPv6主机的默认寻址模式。

在无状态模式下，不需要使用DHCP服务器，即可自动配置IPv6客户端。若IPv6主机自动获取地址，向不使用DHCP服务器，那么无状态模式下的主机会与相邻的IPv6路由器交换“路由器请求”和“路由器通告”消息，从而自行配置与本地了网兼容的地址。

在“配置DHCPv6无状态模式”页面中，可以禁用DHCP服务器上的无状态模式，使其能够响应启用有状态寻的IPv6主机。若IPv6主机启用有状态寻址，那么它们会通过DHCPv6协议向DHCP服务器请求IPv6地址，但可能还会请求其他IPv6配置选项。

如果在“配置DHCPv6无状态模式”页面中选择对此DHCP服务器启用无状态寻址，则需要在下一步指定IPv6DNS服务器设置，如果禁用无状态DHCPv6模式，则跳过此步。

6、确认安装

在完成所有配置后，可在“确认安装选择页面”中显示所有配置信息。

如果设置顺利完成，即可单击“安装”按钮开始安装“DHCP服务器角色”。安装完成后，“安装结果”页面将打开。

如果没有安装错误，页面将显示“安装成功”消息。

在添加“DHCP服务器”角色之后，管理员就可以使用DHCP控制台来完成进一步的配置任务了。

相信很多用户在安装配置的时候都遇到过各种各样的问题。如：安装Windows Server 2008 R2系统，并且建了域环境，在添加新用户的时候，发现用简单的密码时域安全策略提示密码复杂度不够，于是就想在域安全策略里面把密码复杂度降低一点，但发现，在Windows Server 2008域的默认“管理工具”中，根本没有域安全策略这个选项（注：“域安全策略”在Windows Server 2003以前的系统默认在“管理工具”里面），只有一个本地安全策略，

　　当用户打开本地安全策略时，会发现无论是账户策略还是本地策略，里面的项目都是灰色不可修改。

　　解决方法是，用户需将Windows Server 2008 R2系统升级为域控制器，那么域会自动把本地安全策略的某些功能锁定。现在，Windows Server 2008 R2的域安全策略应如何启动和打开呢？

一、方法步骤如下：

　　1、点击“开始”-“程序”-“管理工具”-点击“组策略管理”。

　　2、在打开的组策略管理，一次展开“林”-“域”-“saymscom（域名）”-“组策略对象”-右击“Default Domain Policy”，选择“编辑”。

　　3、在打开的“组策略管理编辑器”，依次展开“计算机配置”-“策略”，这个策略里面包含的就是Windows Server 2008的域安全策略啦。

　　注：如用户需修改账户密码的复杂度，应继续展开“Windows设置”-“安全设置”-“账户策略”-“密码策略”。

　　当一台服务器被提升为域控制器后，本地策略不再有效，取而代之的是默认域策略。

　　二、本地组策略

本地组策略是指应用于本机，且设定后只会在本机起作用的策略，运行的方法为点‘开始’-‘运行’-然后键入‘gpeditmsc’，在弹出本地组策略编辑器中即可进行设置。

三、域组策略

域组策略是指应用于站点，域或者组织单元(OUs)的策略，它的最终作用对象通常是多个用户或者计算机，可以在DC上点开始 运行 然后键入gpmcmsc来运行。

密码策略是属于域级别的策略，必须在默认域策略或链接到根域的新策略中定义。所以虽然您可以在Default domain controller policy 中定义密码策略，但是因为Default domain controller policy只应用到了domain controllers OU而不是整个域，所以在Default domain controller policy 中定义密码策略是无效的。 另外由于域组策略的优先级高于本地组策略的优先级，在域密码策略应用并生效后，所有已经加入域的电脑（包括DC）的本地策略中，密码相关设置都会变成灰色不可修改状态。

在本地策略中的，密码策略就应该是灰色的，无法编辑。当点击开始-运行， 然后键入gpeditmsc回车后，本地策略编辑器就会被打开。而由于域组策略的优先级高于本地组策略的优先级，所有在域组策略中已经设定过的策略都将变为灰色不可修改状态（比如密码策略）。

如果您要修改密码策略，可以使用以下方法：

1、点击‘开始’-‘运行’-然后键入‘gpmcmsc’，回车后打开“组策略管理”控制台。

2、展开到 “域-Domaincom-组策略对象（Domaincom是指您的域名）”。

3、右键点击Default Domain Policy然后选择“编辑”。

4、展开到“计算机配置-策略-Windows 设置- 安全设置-账户策略- 密码策略”。

5、您可以在右边的窗口中定义密码相关的策略，此策略会应用于整个域中的所有账户。

SQLServer2008安装服务器配置时出现`此页上有验证错误。是设置错误造成的，解决方法如下；

1、首先在开始---所有程序菜单中依次找到sqlserver 2008 R2----SQLSERVER配置管理器。

2、在弹出的对话框中找到MSSQLSERVER协议，并且找到右边的tcp/ip，可以看到它现在的状态是禁用状态。

3、右键单击tcp/ip，点击启用。

4、启用后会弹出一个重启服务对话框，不用管它，确认即可。

5、接着在sqlserver服务中，重启sqlserver服务。到现在启用tcp/ip就已经完成，再从客户端进行链接，会发现刚刚的报错已经不见了。