Windows Server 2008网络服务器配置与管理的序言

本书以Windows最新的服务器操作系统Windows Server 2008为平台，以网络管理和网络服务为中线，详细介绍网络管理员在日常工作中，对Windows Server 2008操作系统的配置和应用等知识，以帮助解决可能面临的各种问题及给出合理的解决方案。

本书具体内容包括Windows Server 2008规划与安装、Active Directory目录服务、用户和组账号管理、磁盘系统的管理、配置与管理文件服务器、配置与管理打印服务器、配置与管理DNS服务器、配置与管理DHCP服务器、远程管理和终端服务、电子证书服务、路由和远程策略等。

1．本书内容

通过本书的学习，不仅可以学到网络操作系统的基本操作，还可以了解一些常用服务器的配置及应用的相关知识。

本书共分4篇11章，每一篇都介绍不同操作系统应用的相关内容。

第一篇为服务器基本操作篇（包含第1～3章），介绍Windows Server 2008服务器的一些管理性内容。

第1章为Windows Server 2008规划与安装，详细介绍Windows Server 2008的安装、账户及权限管理、活动目录应用等。

第2章为Active Directory目录服务，详细介绍规则Active Directory实施、实现Active Directory、创建组织单位及其对象、控制对Active Directory对象的访问等。

第3章为用户和组账号管理，详细介绍规划新用户账号、创建用户账号、管理用户账号、组账号管理、组策略管理等。

第二篇为文件及打印服务篇（包含第4～6章），介绍服务器操作系统中的磁盘管理、文件服务器配置及管理、打印服务器的配置与管理等。

第4章为磁盘系统管理，详细介绍磁盘概述、基本卷的管理、动态磁盘的管理、镜像卷与RAID-5卷的修复等。

第5章为配置与管理文件服务器，详细介绍文件服务与资源共享、资源访问权限的控制、加密文件系统（EFS）与压缩、数据的备份和还原、分布式文件系统等。

第6章为配置与管理打印服务器，详细介绍打印概述、安装打印服务器、打印服务器的管理等。

第三篇为网络管理篇（包含第7、8章），介绍DNS服务器和DHCP服务器的配置及应用。

第7章为配置与管理DNS服务器，详细介绍DNS的基本概念与原理、安装和添加DNS服务器、创建和管理DNS区域等。

第8章为配置与管理DHCP服务器，详细介绍DHCP服务及其工作原理、DHCP服务的安装和配置、配置DHCP客户端、复杂网络的DHCP服务器的部署等。

第四篇为远程管理篇（包含第9～11章），介绍远程登录、远程桌面、电子证书服务、路由和远程访问等。

第9章为远程管理和终端服务，详细介绍配置和使用远程桌面、配置远程协助、Telnet服务等。

第10章为电子证书服务，详细介绍数字证书、CA的层次结构、企业CA的安装与证书申请、签名与加密的电子邮件、企业从属CA的安装等。

第11章为路由和远程访问，详细介绍软路由、远程访问、远程访问安全机制、虚拟专用网络、验证通信协议、远程访问策略等。

1、控制面板（将“查看方式”改成“大图标”）--管理工具---服务。

2、或者在桌面上“计算机”点右键“管理”--“计算机管理（本地）”--服务和应用程序--服务

win7 服务详解：

AppID Service

　　确定应用程序的身份。该服务的默认运行方式是手动，不建议更改。

　　目标路径：Windowssystem32svchostexe -k LocalServiceAndNoImpersonation

Application Experience

在应用程序启动时处理应用程序兼容型查询请求。该服务的默认运行方式是自动，不建 议更改。

　　目标路径：WINDOWSsystem32svchostexe -k netsvcs，估计使用该技术之后在运行老程序的时候系统会自动选择相应的兼容模式运行，以便取得最佳效果。

Application Information

　　为应用程序的运行提供信息。该服务的默认运行方式是手动，不建议更改。

　　目标路径：WINDOWSsystem32svchostexe -k netsvcs

Application Layer Gateway Service

　　为 Internet 连接共享提供第三方协议插件的支持。该服务的默认运行方式是手动，如果你连接了网络，则该服务会自动启动，不建议更改。

　　目标路径：WINDOWSSystem32algexe

Background Intelligent Transfer Service

　　在后台传输客户端和服务器之间的数据。如果禁用了BITS，一些功能，如 Windows Update，就无法正常运行。该服务的默认运行方式是自动，这个服务的主要用途还是用于进行Windows Update或者自动更新，最好不要更改这个服务。

　　目标路径：WINDOWSSystem32svchostexe -k netsvcs

COM+ Event System

　　支持系统事件通知服务（SENS），此服务为订阅组件对象模型（COM）组件事件提供自动分布功能。如果停止此服务，SENS 将关闭，而且不能提供登录和注销通知。如果禁用此服务，显式依赖此服务的其他服务将无法启动。一个很原始的古老服务，该服务的默认运行方式为自动，这是一个重要的系统服务，设为手动也会自动运行，设为禁用好像也没什么影响，但是日志中会出现大量的错误。我们最好不要乱动。

　　目标路径：WINDOWSsystem32svchostexe -k netsvcs

Cryptographic Services

　　提供三种管理服务： 编录数据库服务，它确定 Windows 文件的签字； 受保护的根服务，它从此计算机添加和删除受信根证书机构的证书；和密钥（Key）服务，它帮助注册此计算机获取证书。如果此服务被终止，这些管理服务将无法正常运行。如果此服务被禁用，任何依赖它的服务将无法启动。维护和管理系统的所有证书，密钥以及安全数据库。另外访问一些网站所需要的服务，比如微软的网站，Windows Update，或者DRM的网站，很多时候它会提供和确认Windows文件的签名信息。强烈建议也是必须不能去动它，永远别想禁用这个服务。

　　目标路径： WINDOWSsystem32svchostexe -k netsvcs

DCOM Server Process Launcher

　　为 DCOM 服务提供加载功能。该服务的默认运行方式是自动，最好不要乱动。以前的DCOM服务，也就是远程服务，是比COM+更基本的服务，看看注册表就知道 Windows系统中有多少DCOM组件，虽然禁用也没什么问题，但是临时用到的设为手动的服务会无法自动启动，而且任务栏的图标也会消失不见，所以最好不要修改这个选项。

　　目标路径： WINDOWSsystem32svchostexe -k DcomLaunch

DNS Client

　　DNS 客户端服务（dnscache）缓存域名系统（DNS）名称并注册该计算机的完整计算机名称。如果该服务被停止，将继续解析 DNS 名称。然而，将不缓存 DNS 名称的查询结果，且不注册计算机名称。

　　如果你停止了此服务，你的电脑将不能解释DNS信息，不能用域名登录网站。

　　目标路径：Windowssystem32svchostexe -k LocalServiceNetworkRestricted

Group Policy Client

　　该服务负责通过组策略组件应用管理员为计算机和用户配置的设置。如果停止或禁用该服务，将无法应用设置，并且将无法通过组策略管理应用程序和组件。如果停止或禁用该服务，依赖于组策略的任何组件或应用程序都将无法正常运行。你无法关闭这个服务。

目标路径：Windowssystem32svchostexe -k GPSvcGroup

Multimedia Class Scheduler

　基于系统范围内的任务优先级启用工作的相对优先级。这主要适用于多媒体应用程序。如果此服务停止，个别任务将使用其默认的优先级。主要是针对一些多媒体应用的音／视频流设置优先级，禁用可能会导致声卡功能出现问题，建议打开这个服务，设成手动一般也会自动启动。

　　目标路径：Windowssystem32svchostexe -k netsvcs

Network Connections

　　管理“网络和拨号连接”文件夹中对象，在其中您可以查看局域网和远程连接。

　　如果你停止了此服务，不能配置网路，不能创建网络链接，不能上网了。

　　目标路径：WindowsSystem32svchostexe -k LocalSystemNetworkRestricted

不用维护，混就好，没事祈求上天保佑别出事。出了事情就推卸责任，怪杀毒软件，怪360，怪自动维护软件，怪机房环境等等。

如果你不想这样，那就从头开始重视，当然自动维护软件不是不好，他能减轻你很多工作负担，特别是要维护大量服务器的时候也是必须的，但是，你要从根本上了解一台服务器维护要做的内容。

如果你对windows系统不熟悉，你必须要在干净的系统做好后留一个备份，同时对系统的各项指标留下文档报备，没事的时候定期做巡检对比找出可疑之处。在出事的时候能对照报备找出原因。其中包括系统的概况（磁盘,cpu,内存，I/O,中断请求等），系统网络活动程序，防火墙出入站规则，本地安全策略，系统日志，注册表完整备份，DLL 注入程序情况，远程登入的程序，影像劫持情况，系统驱动，计划任务，系统额外服务，系统引导项，安装的程序，等等，除此如果按装了数据库还要对数据库的情报做一个报备文档。详细的系统和数据库文档报备你可以参考一下大神的工作报告。工作报告可以通过自动维护软件去做，但如果服务器不多或者有空的情况下，还是需要自己手动去看看，微软官网有许多这样的维护工具，你可以看到系统的详细信息。总比啥也不清楚。当你熟悉了系统以后基本不需要完整的报备就能发现可以的问题了。

1 从基本做起

从基本做起是最保险的方式。你必须将服务器上含有机密数据的区域通通转换成NTFS格式；同理，防毒程序也必须按时更新。建议同时在服务器和桌面电脑上安装防毒软件。服务器安全维护中这些软件还应该设定成每天自动下载最新的病毒定义文件。服务器安全维护中另外，Exchange

Server（邮件服务器）也应该安装防毒软件，服务器安全维护中这类软件可扫描所有寄进来的电子邮件，寻找被病毒感染的附件，若发现病毒，邮件马上会被隔离，减低使用者被感染的机会。

另一个保护网络的好方法是依员工上班时间来限定使用者登录网络的权限。例如，上白天班的员工不该有权限在三更半夜登录网络。

最后，服务器安全维护中存取网络上的任何数据皆须通过密码登录。服务器安全维护中强迫大家在设定密码时，必须混用大小写字母、数字和特殊字符。在Windows NT Server Resource

Kit里就有这样的工具软件。你还应该设定定期更新密码，且密码长度不得少于八个字符。若你已经做了这些措施，但还是担心密码不安全，你可以试试从网络下载一些黑客工具，然后测试一下这些密码到底有多安全。

2 保护备份

大多数人都没有意识到，备份本身就是一个巨大的安全漏洞，怎么说呢？试想，大多数的备份工作多在晚上10点或11点开始，依数据多寡，备份完成后大概也是夜半时分了。现在，想像一下，现在是凌晨四点，备份工作已经结束。有心人士正好可趁此时偷走备份磁盘，并在自己家中或是你竞争对手办公室里的服务器上恢复。不过，你可以阻止这种事情发生。首先，你可利用密码保护你的磁盘，若你的备份程序支持加密功能，你还可以将数据进行加密。其次，你可以将备份完成的时间定在你早上进办公室的时间，这样的话，即使有人半夜想溜进来偷走磁盘的话也无法了，因为磁盘正在使用中；如果窃贼强行把磁盘拿走，他一样无法读取那些损毁的数据。

3使用RAS的回拨功能

Windows

NT最酷的功能之一就是支持服务器远端存取(RAS)，不幸的是，RAS服务器对黑客来说实在太方便了，他们只需要一个电话号码、一点耐心，然后就能通过RAS进入主机。不过你可以采取一些方法来保护RAS服务器的安全。

你所采用的技术主要端赖于远端存取者的工作方式。如果远端用户经常是从家里或是固定的地方上网，建议你使用回拨功能，它允许远端用户登录后即挂断，然后RAS服务器会拨出预设的电话号码接通用户，因为此一电话号码已经预先在程序中了，黑客也就没有机会指定服务器回拨的号码了。

另一个办法是限定远端用户只能存取单一服务器。你可以将用户经常使用到的数据复制到RAS服务器的一个特殊共用点上，再将远端用户的登录限制在一台服务器上，而非整个网络。如此一来，即使黑客入侵主机，他们也只能在单一机器上作怪，间接达到减少破坏的程度。

最后还有一个技巧就是在RAS服务器上使用“另类”网络协议。很都以TCP/IP协议当作RAS协议。利用TCP/IP协议本身的性质与接受程度，如此选择相当合理，但是RAS还支持IPX/SPX和NetBEUI协议，如果你使用NetBEUI当作RAS协议，黑客若一时不察铁定会被搞得晕头转向。

考虑工作站的安全问题

在服务器安全的文章里提及工作站安全感觉似乎不太搭边，但是，工作站正是进入服务器的大门，加强工作站的安全能够提高整体网络的安全性。对于初学者，建议在所有工作站上使用Windows

2000。Windows 2000是一个非常安全的操作系统，如果你没有Windows 2000，那至少使用Windows

NT。如此你便能将工作站锁定，若没有权限，一般人将很难取得网络配置信息。

另一个技巧是限制使用者只能从特定工作站登录。还有一招是将工作站当作简易型的终端机（dumb

terminal）或者说，智慧型的简易终端机。换言之，工作站上不会存有任何数据或软件，当你将电脑当作dumb

terminal使用时，服务器必须执行Windows NT

终端服务程序，而且所有应用程序都只在服务器上运作，工作站只能被动接收并显示数据而已。这意味着工作站上只有安装最少的Windows版本，和一份微软Terminal

Server Client。这种方法应该是最安全的网络设计方案。

执行最新修补程序

微软内部有一组人力专门检查并修补安全漏洞，这些修补程序（补丁）有时会被收集成service

pack（服务包）发布。服务包通常有两种不同版本：一个任何人都可以使用的40位的版本，另一个是只能在美国和加拿大发行的128位版本。128位的版本使用128位的加密算法，比40位的版本要安全得多。

一个服务包有时得等上好几个月才发行一次，但要是有严重点的漏洞被发现，你当然希望立即进行修补，不想苦等姗姗来迟的服务包。好在你并不需要等待，微软会定期将重要的修补程序发布在它的FTP站上，这些最新修补程序都尚未收录到最新一版的服务包里，我建议你经常去看看最新修补程序，记住，修补程序一定要按时间顺序来使用，若使用错乱的话，可能导致一些文件的版本错误，也可能造成Windows当机。

颁布严格的安全政策

另一个提高安全性的方式就是制定一强有力的安全策略，确保每一个人都了解，并强制执行。若你使用Windows 2000

Server，你可以将部分权限授权给特定代理人，而无须将全部的网管权利交出。即使你核定代理人某些权限，你依然可县制其权限大小，例如无法开设新的使用者帐号，或改变权限等。

防火墙，检查，再检查

最后一个技巧是仔细检查防火墙的设置。防火墙是网络规划中很重要的一部份，因为它能使公司电脑不受外界恶意破坏。

首先，不要公布非必要的IP地址。你至少要有一个对外的IP地址，所有的网络通讯都必须经由此地址。如果你还有DNS注册的Web服务器或是电子邮件服务器，这些IP地址也要穿过防火墙对外公布。但是，工作站和其他服务器的IP地址则必须隐藏。

你还可以查看所有的通讯端口，确定不常用的已经全数关闭。例如，TCP/IP port 80是用于HTTP流量，因此不能堵掉这个端口，也许port

81应该永远都用不着吧，所以就应该关掉。你可以在网络上查到每个端口的详细用途。

服务器安全问题是个大议题，你总不希望重要数据遭病毒/黑客损毁，或被人偷走做为不利你的用途，本文介绍了7个重要的安全检查关卡，你不妨试试看。

计算机网络管理、虚拟化支持。

1、计算机网络管理：WindowsServer提供了丰富的计算机网络管理功能，包括DHCP、DNS、AD等，可以帮助管理员更好地管理和维护企业的计算机网络。

2、虚拟化支持：WindowsServer支持虚拟化技术，可以让管理员轻松地部署、配置和管理虚拟机，从而提高服务器资源的利用率和效率。

《Windows Server 2008服务器架设与网络配置》以Windows最新的服务器操作系统Windows Server 2008为平台，以网络管理和网络服务为中线，详细介绍网络管理员在日常工作中，对Windows Server 2008操作系统的配置和应用等知识，以帮助解决可能面临的各种问题及给出合理的解决方案。《Windows Server 2008服务器架设与网络配置》具体内容包括Windows Server 2008规划与安装、Active Directory目录服务、用户和组账号管理、磁盘系统的管理、配置与管理文件服务器、配置与管理打印服务器、配置与管理DNS服务器、配置与管理DHCP服务器、远程管理和终端服务、电子证书服务、路由和远程策略等。

《Windows Server 2008服务器架设与网络配置》由浅入深，通俗易懂，注重实践，适用于中小企业网络管理人员和需要为今后的择业储备更多就业技能的读者，也可作为专业网络技术人员的参考手册。

首先，这些恶意的攻击行为，旨在消耗服务器资源，影响服务器的正常运作，甚至攻击到服务器所在网络瘫痪。还有一方面，就是入侵行为，这种大多与某些利益有关联，有的涉及到企业的敏感信息，有的是同行相煎。

　　第一，做好硬件维护

　　当处理数据越来越多，占用资源也随之增多时，服务器就需要更多的内存和硬盘容量来储存这些资源，因此，每隔段时间后服务器需要升级，可是需要注意的增加内存或者硬盘时，要考虑到兼容性、稳定性，否则不同型号的内存有可能会引起系统出错。

　　还有对设备进行卸载和更换时，需要仔细阅读说明书，不要强行拆卸，而且必须在完全断电，服务器接地良好的情况下进行，防止静电对设备造成损坏。

　　同样，服务器的最大杀手尘土，因此需要定期给服务器除尘。特别要注意电源的除尘。

　　第二，做好数据的备份

　　对企业来说，服务器上的数据是非常宝贵，如果数据库丢失了，损失是非常巨大的，因此，企业需对数据进行定期备份，以防万一。一般企业都需要每天对服务器上的数据进行备份，而且要将备份数据放置在不同服务器上，

　　数据需要备份，同样需要防盗。可以通过密码保护好磁带并且如果你的备份程序支持加密功能，你还可以加密这些数据。同时，要定好备份时间，通常备份的过程会选择在晚上10点以后进行，到半夜结束。

　　第三，定期做好网络检查

　　第四，关闭不必要的服务，只开该开的端口

　　对于初学者，建议在所有的工作站上使用Windows 2000。Windows 2000是一个非常安全的操作系统。如果你并不想这样做，那么至少使用Windows NT。你可以锁定工作站，使得一些没有安全访问权的人想要获得网络配置信息变得困难或是不可能。

　　或者关闭那些不必要开的服务，做好本地管理和组管理。Windows系统有很多默认的服务其实没必要开的，甚至可以说是危险的，比如：默认的共享远程注册表访问(Remote Registry Service)，系统很多敏感的信息都是写在注册表里的，如pcanywhere的加密密码等。

　　关闭那些不必要的端口。一些看似不必要的端口，确可以向黑客透露许多操作系统的敏感信息，如windows 2000 server默认开启的IIS服务就告诉对方你的操作系统是windows 2000。69端口告诉黑客你的操作系统极有可能是linux或者unix系统，因为69是这些操作系统下默认的tftp服务使用的端口。对端口的进一步访问，还可以返回该服务器上软件及其版本的一些信息，这些对黑客的入侵都提供了很大的帮助。此外，开启的端口更有可能成为黑客进入服务器的门户。

　　以上是服务器日常操作安全维护的一些技巧。