IIS信息安全

（9） 在经过排序的限制列表中，选择想要移动的限制条目，并单击“上移” 或“下移”链接，即可调整执行顺序。


对于IIS服务，无论是Web、FTP， 还是NNPT、SMPY服务等都有各 自侦听和接收浏览器请求的TCP 端口号。一般常用的端口号为： Web是80，FPT是21，SMPT是 25，SSL是443。通过修改端口 号也可以提高IIS服务器的安全性。 如果修改了端口设置，用户必须 知道该服务的端口才能访问，不 过用户在访问时需要指定端口号。 （1） 在“Internet信息服务 （IIS）管理器”窗口中，右击 “Default Web Site”并选择快捷 菜单中的“编辑绑定”选项，显 示如图10-15所示“网站绑定” 对话框。
访问权限限制

如果使用用户验证的方式，每次访问站点都需要键入用户名和密码，对于授 权用户而言比较麻烦。由于IIS会检查每个来访者的IP地址，通过IP地址的访 问来防止或允许某些特定的计算机、域甚至整个网络访问站点。因此，通过 IP地址限制来在Internet上排除未知用户是非常有效的方法。同时，IIS 7.0 还提供了基于Windows域的访问限制，管理员可以禁止或允许来自指定域的 用户，访问站点或目录，该功能默认是未启用的。
Internet信息服务安全

IIS即Internet信息服务，是一个用于配置应用程序池或网站、FTP 站点、 SMTP或NNTP站点的工具，功能十分强大。利用IIS管理器，管理员可以配 置IIS安全、性能和可靠性功能，可添加或删除站点，启动、停止和暂停站点， 备份和还原服务器配置，创建虚拟目录以改善内容管理等。正是因为IIS具有 如此强大的功能，它的安全问题也更加受到人们的重视，需要设置IIS的安全 来保护系统中的数据。






用户访问安全
由于FTP站点中往往存储着非常重要的文件或应用程序，甚至是Web网站的 全部内容，所以，FTP站点的访问安全显得尤其重要。因此，对于一些比较 特殊的FTP站点，必须进行用户身份验证，并限制允许访问该FTP服务的IP地 址，从而确保FTP站点的安全。


禁止匿名访问
默认状态下，FTP站点是允许用户 进行匿名连接的，也就是说，所有 用户都无需经过身份认证就可查看、 读取并下载FTP站点上的所有内容。 如果FTP站点中存储有重要的或比 较敏感的信息，只允许授权用户访 问，那么就应当禁用匿名访问。 （1） 打开FTP站点属性对话框， 切换至“安全账户”选项卡，取消 “允许匿名连接”复选框，显示如 图10-50所示“IIS6 管理器”对 话框。

（1） 在“Internet信息服 务（IIS）管理器”的 “Default Web Site主页” 窗口中，双击“IPv4地址 和域限制”图标，显示如图 10-10所示“IPv4地址和 域限制”窗口。

（2） 单击“添加允许条目”链接， 打开“添加允许限制规则”对话框。 系统默认选择“特定IPv4地址”单 选按钮，在对应文本框中，输入想 要允许访问的单个IP地址即可。建 议选择“IPv4地址范围”单选按钮， 并输入相应的主机IP地址和“掩 码”，如图10-11所示，可以同时 添加多个被允许访问的主机IP地址。




FTP服务的默认TCP端口为“21”。由于FTP站点不能像Web站点那样采用主 机头名来标识不同的站点，因此，当多个FTP站点只拥有一个IP地址时，只 能采用修改TCP端口的方式，实现同一IP地址的多站点共存。 如果修改了默认的FTP端口，应当告知FTP客户，否则，访问请求将无法连接 到该FTP服务器。例如，FTP服务器的IP地址为192.161.100.10，TCP端口 默认值“21”，此时用户只需通过客户端访问ftp://192.161.100.10即可访 问该FTP网站，而如果指定了非“21”的端口号，如1080，则只有访问 ftp://192.161.100.10:1080时，才能实现对该网站的访问。 必须为FTP服务器指定一个端口号，也就是说“TCP端口”文本框不能为空。 当然，在指定FTP服务端口时，应当避免使用常用服务的TCP端口。

（6） 单击“是”按钮，即可启用 域限制设置，此时再次添加限制条 件时，将自动增加“域名”选项， 如图10-所示。

（7） 在“操作”栏中单击“恢复 为继承的项”链接，显示如图1013所示“IPv4地址和域限制”对 话框，恢复功能以从父配置中继承 设置，该操作将为当前功能删除本 地配置设置（包括列表中的项目）， 应慎重使用。



（2） 单击“是”按 钮，关闭“IIS6 管理 器”对话框。在“安 全账户”选项卡中， 单击“确定”按钮， 即可禁止用户匿名访 问该FTP站点，如图 10-51所示。


当禁止用户匿名连接后，只有服务 器或活动目录中有效的账户，才能 通过身份认证，并实现对该FTP站 点的访问。 除禁止匿名连接外，还可以在本地 计算机或域控制器上，创建专用于 FTP连接的匿名用户账户（区别于 系统默认的IUSR_服务器名账户）， 对其在FTP主目录或单个文件夹的 权限进行限制，实现FTP服务器的 安全。选中“允许匿名连接”复选 框，单击“浏览”按钮，选择指定 用户账户即可。单击“应用”按钮， 系统将自动添加对应账户的密码， 如图10-52所示。如果选择“只允 许匿名连接”复选框，则用户将无 法使用用户名和密码登录FTP服务 器。此选项拒绝访问使用具有管理 凭据账户的那些用户，而只为使用 匿名访问账户的用户指派访问权限。


（3） 单击“确定”按钮，新创建 的限制规则即可被添加到“IPv4地 址和域限制”列表中。“添加拒绝 条目”的操作步骤与之类似，此处 不复赘述。 （4） 在“操作”栏中单击“编辑 功能设置”链接，显示如图10-12 所示“编辑IP和域限制设置”对话 框。

（5） 选中“启用域名限制”复选框， 显示如图10-所示对话框，提示通过域 名限制访问会要求DNS反向查找每一个 连接，可能会严重影响服务器的性能。 因此，用户应慎重使用。

在“操作”栏中单击“打开功能”链接，或者直接双击“身份验证”

在“身份验证”窗口中，选择“匿 名身份验证”并单击“操作”栏中 的“编辑”链接，显示如图10-4 所示“编辑匿名身份验证凭据”对 话框。默认选择“特定用户”单选 按钮，IIS 7.0默认使用安装过程 中自动创建的IUSR，作为用户名 进行匿名访问。如果选择“应用程 序池标识”单选按钮，则可以允许 IIS进程，使用在应用程序池的属 性页上指定的账户运行。

（8） 在“操作”栏中单击 “查看经过排序的列表”链 接，显示如图10-14所示窗 口。IIS 7.0是按照限制规 则列表中条目的顺序依次执 行的。例如，当前规则列表 中包括两条限制条目：拒绝 IP地址为192.168.1.21的 主机访问，允许整个 192.168.1.1 ~ 192.168.1.254网段访问， 即被拒绝的IP地址 192.168.1.21又在被允许 访问的网段内。此时，如果 经过排序后拒绝在先，则将 拒绝指定用户访问；如果允 许在先则将允许该用户访问。


连接数量限制
当FTP服务器处于Internet环境中时，并且拥有有价值的文件资源时，可能 会产生大量的用户并发访问，当服务器的配置比较低、性能比较差或 Internet接入带宽比较小时，就很容易造成系统响应迟缓或瘫痪，或者对企 业的其他Internet服务（如Web服务、E-mail服务等）造成严重影响，从而 干扰其他网络服务的正常提供。尤其是对于一些小型企业而言，一般会在一 台服务器上除了安装FTP服务外，还兼提供其他网络服务（如Web、E-mail、 Windows Media Services等），服务器无法同时处理过多的并发访问，从 而导致所有服务的中断或超时。因此，这种情况下，就必须对FTP连接数量 进行一定的限制。 在“FTP站点”选项卡中的“FTP站点连接”框中，可以设置连接是否受限制、 限制的连接数量及连接超时，其中各选项的作用如下。 不受限制：不限制连接数量。适用于的服务器配置和网络带宽都较高，或者 FTP服务仅为企业网络内部提供访问服务。 连接限制为：限制同时连接到该站点的连接数量，可指定该FTP站点所允许 连接的最大数值。 连接超时：设置服务器断开未活动用户的时间（以秒为单位），从而确保及 时关闭失败的连接，或者长时间没有活动的连接，及时释放系统性能和网络 带宽，减少无谓的系统资源和网络资源浪费。默认连接超时为120 s。


（2） 选择需要设置端口安全的站 点名称，单击“编辑”按钮，显示 如图10-16所示“编辑网站绑定” 对话框，默认使用的端口是80，重 新输入新的端口号即可。 （3） 单击“确定”按钮，保存设 置即可。
FTP安全

FTP服务是IIS服务中的一个重要组成 部分，主要用来在FTP服务器和FTP客 户端之间传输文件，例如软件下载、文 件交换与共享，以及Web站点的维护等。 设置TCP端口 在刚刚安装好FTP服务以后，默认状态 下IP地址为“全部未分配”方式，即 FTP服务与计算机中所有的IP地址绑定 在一起，默认TCP端口为21。在这种状 态下，FTP客户端用户可以使用该服务 器中绑定的任何IP地址及默认端口进行 访问，而且允许来自任何IP地址的计算 机进行匿名访问，显然这种方式是不安 全的。为安全起见，网络管理员需要设 置相应TCP端口。 在“Internet 信息服务 （IIS）管理 器”窗口中，展开“FTP站点”项，右 击“默认网站”项，在弹出的快捷菜单 中选择“属性”选项，打开“默认FTP 站点 属性”对话框，如图10-38所示。
Web安全

Web服务是Internet中最基础的服务之一，不仅被用于搭建信息发布、信息 查询、电子商务、电子政务等各种Web网站，而且还被作为文件传输服务、 流媒体服务、邮件服务、系统更新服务等网络服务的运行平台。因此，Web 服务的安全决定着多种网络服务的安全，也决定着整，默认允许所有用户匿名连接，即访问时无需进行身 份验证，不用键入用户名和密码。但是，对一些安全性要求高的Web网站， 或者Web网站中拥有敏感信息时，也可以采用多种用户认证方式，对用户进 行身份验证，从而确保只有授权用户才能实现对Web信息的访问和浏览。