大家都知道Xp開始Windows都內置一個“狀態防火牆”，在WindowsServer2008中，這個防火牆功能有了本質的飛躍。
下面讓我們一起來看一下這個新的高級防火牆將如何幫助我們防護系統，以及如何使用管理控制台單元來配置它。Rc_club.hardspell.com|g/zK 。
Rc_club.hardspell.com|g/zK
Rc_club.hardspell.com|g/zK
為什麼你應該使用這個Windows的基於主機的防火牆？Rc_club.hardspell.com|g/zK
Rc_club.hardspell.com|g/zK
今天許多公司正在使用外置安全硬件的方式來加固它們的網絡。這意味著，它們使用防火牆和入侵保護系統在它們的網絡周圍建立起了一道銅牆鐵壁，保護它們自然免受互聯網上惡意攻擊者的入侵。但是，如果一個攻擊者能夠攻破外圍的防線，從而獲得對內部網絡的訪問，將只有Windows認證安全來阻止他們來訪問公司最有價值的資產-它們的數據。Rc_club.hardspell.com|g/zK
Rc_club.hardspell.com|g/zK
這是因為大多數IT人士沒有使用基於主機的防火牆來加固他們的服務器的安全。為什麼會出現這樣的情況呢？因為多數IT人士認為，部署基於主機的防火牆所帶來的麻煩要大於它們帶來的價值。Rc_club.hardspell.com|g/zK
Rc_club.hardspell.com|g/zK
我希望在您讀完這篇文章後，能夠花一點時間來考慮Windows這個基於主機的防火牆。在Windows Server2008中，這個基於主機的防火牆被內置在Windows中，已經被預先安裝，與前面版本相比具有更多功能，而且更容易配置。它是加固一個關鍵的基礎服務器的 最好方法之一。具有高級安全性的 Windows 防火牆結合了主機防火牆和IPSec。與邊界防火牆不同，具有高級安全性的 Windows防火牆在每台運行此版本 Windows的計算機上運行，並對可能穿越邊界網絡或源於組織內部的網絡攻擊提供本地保護。它還提供計算機到計算機的連接安全，使您可以對通信要求身份驗證和數據保護。Rc_club.hardspell.com|g/zK
Rc_club.hardspell.com|g/zK
那麼，這個Windows Server高級防火牆可以為你做什麼，你又該如何配置它？讓我們繼續看下去。Rc_club.hardspell.com|g/zK
Rc_club.hardspell.com|g/zK
新防火牆具備的功能及對你的幫助Rc_club.hardspell.com|g/zK
Rc_club.hardspell.com|g/zK
這個Windows Server 2008中的內置防火牆現在“高級”了。這不僅僅是我說它高級，微軟現在已經將其稱為高級安全Windows防火牆(簡稱WFAS)。Rc_club.hardspell.com|g/zK
Rc_club.hardspell.com|g/zK
以下是可以證明它這個新名字的新功能：Rc_club.hardspell.com|g/zK
Rc_club.hardspell.com|g/zK
1、新的圖形化界面。Rc_club.hardspell.com|g/zK
Rc_club.hardspell.com|g/zK
現在通過一個管理控制台單元來配置這個高級防火牆。Rc_club.hardspell.com|g/zK
Rc_club.hardspell.com|g/zK
2、雙向保護。Rc_club.hardspell.com|g/zK
Rc_club.hardspell.com|g/zK
對出站、入站通信進行過濾。Rc_club.hardspell.com|g/zK
Rc_club.hardspell.com|g/zK
3、與IPSEC更好的配合。Rc_club.hardspell.com|g/zK
Rc_club.hardspell.com|g/zK
具有高級安全性的Windows防火牆將Windows防火牆功能和Internet 協議安全(IPSec)集成到一個控制台中。使用這些高級選項可以按照環境所需的方式配置密鑰交換、數據保護(完整性和加密)以及身份驗證設置。Rc_club.hardspell.com|g/zK
Rc_club.hardspell.com|g/zK
4、高級規則配置。Rc_club.hardspell.com|g/zK
Rc_club.hardspell.com|g/zK
你可以針對Windows Server上的各種對象創建防火牆規則，配置防火牆規則以確定阻止還是允許流量通過具有高級安全性的Windows防火牆。Rc_club.hardspell.com|g/zK
Rc_club.hardspell.com|g/zK
傳入數據包到達計算機時，具有高級安全性的Windows防火牆檢查該數據包，並確定它是否符合防火牆規則中指定的標准。如果數據包與規則中的標准匹配，則具有高級安全性的Windows防火牆執行規則中指定的操作，即阻止連接或允許連接。如果數據包與規則中的標准不匹配，則具有高級安全性的Windows防火牆丟棄該數據包，並在防火牆日志文件中創建條目(如果啟用了日志記錄)。Rc_club.hardspell.com|g/zK
Rc_club.hardspell.com|g/zK
對規則進行配置時，可以從各種標准中進行選擇：例如應用程序名稱、系統服務名稱、TCP端口、UDP端口、本地IP地址、遠程IP地址、配置文件、接口類型(如網絡適配器)、用戶、用戶組、計算機、計算機組、協議、ICMP類型等。規則中的標准添加在一起;添加的標准越多，具有高級安全性的Windows防火牆匹配傳入流量就越精細。Rc_club.hardspell.com|g/zK
Rc_club.hardspell.com|g/zK
通過增加雙向防護功能、一個更好的圖形界面和高級的規則配置，這個高級安全Windows防火牆正在變得和傳統的基於主機的防火牆一樣強大，例如ZoneAlarm Pro等。 Rc_club.hardspell.com|g/zK
Rc_club.hardspell.com|g/zK
我知道任何服務器管理員在使用一個基於主機的防火牆時首先想到的是：它是否會影響這個關鍵服務器基礎應用的正常工作？然而對於任何安全措施這都是一個可能存在的問題，Windows2008高級安全防火牆會自動的為添加到這個服務器的任何新角色自動配置新的規則。但是，如果你在你的服務器上運行一個非微軟的應用程序，而且它需要入站網絡連接的話，你將必須根據通信的類型來創建一個新的規則。Rc_club.hardspell.com|g/zK
Rc_club.hardspell.com|g/zK
通過使用這個高級防火牆，你可以更好的加固你的服務器以免遭攻擊，讓你的服務器不被利用去攻擊別人，以及真正確定什麼數據在進出你的服務器。下面讓我們看一下如何來實現這些目的。Rc_club.hardspell.com|g/zK
Rc_club.hardspell.com|g/zK
了解配置Windows防火牆高級安全性的選擇Rc_club.hardspell.com|g/zK
Rc_club.hardspell.com|g/zK
在以前Windows Server中，你可以在去配置你的網絡適配器或從控制面板中來配置Windows防火牆。這個配置是非常簡單的。Rc_club.hardspell.com|g/zK
Rc_club.hardspell.com|g/zK
對於Windows高級安全防火牆，大多數管理員可以或者從Windows服務器管理器配置它，或者從只有Windows高級安全防火牆MMC管理單元中配置它。
Rc_club.hardspell.com|g/zK
Rc_club.hardspell.com|g/zK
Rc_club.hardspell.com|g/z
Rc_club.hardspell.com|
Rc_club.hardspell.com|g/zK
Rc_club.hardspell.com|g/zK
如圖Windows 2008高級安全防火牆管理控制台
//技巧：啟動這個Windows高級安全防火牆的最簡單最快速的方法是，在開始菜單的搜索框中鍵入‘防火牆’。
Rc_club.hardspell.com|g/zK
另外，你還可以用配置網絡組件設置的命令行工具Netsh來配置Windows高級安全防火牆。使用 netshadvfirewall可以創建腳本，以便自動同時為IPv4和IPv6流量配置一組具有高級安全性的Windows防火牆設置。還可以使用netshadvfirewall命令顯示具有高級安全性的Windows防火牆的配置和狀態。Rc_club.hardspell.com|g/zK
Rc_club.hardspell.com|g/zK
使用新的Windows高級安全防火牆MMC管理單元能配置什麼？Rc_club.hardspell.com|g/zK
Rc_club.hardspell.com|g/zK
由於使用這個新的防火牆管理控制台你可以配置如此眾多的功能，我不可能面面俱道的提到它們。如果你曾經看過Windows2003內置防火牆的配置圖形界面，你會迅速的發現在這個新的Windows高級安全防火牆中躲了如此眾多的選項。下面讓我選其中一些最常用的功能來介紹給大家。Rc_club.hardspell.com|g/zK
Rc_club.hardspell.com|g/zK
默認情況下，當你第一次進入Windows高級安全防火牆管理控制台的時候，你將看到Windows高級安全防火牆默認開啟，並且阻擋不匹配入站規則的入站連接。此外，這個新的出站防火牆默認被關閉。Rc_club.hardspell.com|g/zK
Rc_club.hardspell.com|g/zK
你將注意的其他事情是，這個Windows高級安全防火牆還有多個配置文件供用戶選擇。Rc_club.hardspell.com|g/zK
Rc_club.hardspell.com|g/zK
Rc_club.hardspell.com|g/zK
Rc_club.hardspell.com|g/zK
圖4、在Windows 2008高級安全防火牆中提供的配置文件Rc_club.hardspell.com|g/zK
Rc_club.hardspell.com|g/zK
在這個Windows高級安全防火牆中有一個域配置文件、專用配置文件和公用配置文件。配置文件是一種分組設置的方法，如防火牆規則和連接安全規則，根據計算機連接的位置將其應用於該計算機。例如根據你的計算機是在企業局域網中還是在本地咖啡店中。Rc_club.hardspell.com|g/zK
Rc_club.hardspell.com|g/zK
在我看來，在我們討論過的Windows 2008高級安全防火牆的所有改進中，意義最重大的改進當屬更復雜的防火牆規則。看一下在Windows Server 2003防火牆增加一個例外的選項，如下圖：Rc_club.hardspell.com|g/zK
Rc_club.hardspell.com|g/zK
Rc_club.hardspell.com|g/zK
Rc_club.hardspell.com|g/zK
圖、Windows 2003 Server防火牆例外窗口Rc_club.hardspell.com|g/zK
Rc_club.hardspell.com|g/zK
再來對比一下Windows 2008 Server中的配置窗口。Rc_club.hardspell.com|g/zK
Rc_club.hardspell.com|g/zK
Rc_club.hardspell.com|g/zK
Rc_club.hardspell.com|g/zK
圖、Windows 2008 Server高級防火牆例外設置窗口Rc_club.hardspell.com|g/zK
Rc_club.hardspell.com|g/zK
注意協議和端口標簽只是這個多標簽窗口中的一小部分。你還可以將規則應用到用戶及計算機、程序和服務以及IP地址范圍。通過這種復雜的防火牆規則配置，微軟已經將Windows高級安全防火牆朝著微軟的IAS Server發展。Rc_club.hardspell.com|g/zK
Rc_club.hardspell.com|g/zK
Windows高級安全防火牆所提供的默認規則的數量也是令人吃驚的。在Windows 2003 Server中，只有三個默認的例外規則。而Windows 2008高級安全防火牆提供了大約90個默認入站防火牆規則和至少40個默認外出規則。 Rc_club.hardspell.com|g/zK
Rc_club.hardspell.com|g/zK
Rc_club.hardspell.com|g/zK
Rc_club.hardspell.com|g/zK
圖、Windows 2008 Server高級防火牆默認入站規則Rc_club.hardspell.com|g/zK
Rc_club.hardspell.com|g/zK
那麼你如何使用這個新的Windows高級防火牆創建一個規則呢？讓我們接下來看一下。Rc_club.hardspell.com|g/zK
Rc_club.hardspell.com|g/zK
如何創建一個定制的入站規則？Rc_club.hardspell.com|g/zK
Rc_club.hardspell.com|g/zK
假如說你已經在你的Windows 2008Server上安裝了Windows版的Apache網站服務器。如果你已經使用了Windows內置的IIS網站服務器，這個端口自動會為你打開。但是，由於你現在使用一個來自第三方的網站服務器，而且你打開了入站防火牆，你必須手動的打開這個窗口。Rc_club.hardspell.com|g/zK
Rc_club.hardspell.com|g/zK
以下是步驟：Rc_club.hardspell.com|g/zK
Rc_club.hardspell.com|g/zK
·識別你要屏蔽的協議-在我們的例子中，它是TCP/IP(與之對應的則是UDP/IP或ICMP)。Rc_club.hardspell.com|g/zK
Rc_club.hardspell.com|g/zK
·識別源IP地址、源端口號、目的IP地址和目的端口。我們進行的Web通信是來自於任何IP地址和任何端口號並流向這個服務器80端口的數據通信。(注意，你可以為一個特定的程序創建一條規則，諸如這兒的apache HTTP服務器)。Rc_club.hardspell.com|g/zK
Rc_club.hardspell.com|g/zK
·打開Windows高級安全防火牆管理控制台。Rc_club.hardspell.com|g/zK
Rc_club.hardspell.com|g/zK
·增加規則-點擊在Windows高級安全防火牆MMC中的新建規則按鈕，開始啟動新規則的向導。Rc_club.hardspell.com|g/zK
·為一個端口選擇你想要創建的規則。Rc_club.hardspell.com|g/zK
Rc_club.hardspell.com|g/zK
·配置協議及端口號-選擇默認的TCP協議，並輸入80作為端口，然後點擊下一步。Rc_club.hardspell.com|g/zK
Rc_club.hardspell.com|g/zK
·選擇默認的“允許連接”並點擊下一步。Rc_club.hardspell.com|g/zK
Rc_club.hardspell.com|g/zK
·選擇默認的應用這條規則到所有配置文件，並點擊下一步。Rc_club.hardspell.com|g/zK
Rc_club.hardspell.com|g/zK
·給這個規則起一個名字，然後點擊下一步。Rc_club.hardspell.com|g/zK
Rc_club.hardspell.com|g/zK
這時候，你將得到如下圖的一條規則：Rc_club.hardspell.com|g/zK
Rc_club.hardspell.com|g/zK
Rc_club.hardspell.com|g/zK
Rc_club.hardspell.com|g/zK
圖、創建規則後的Windows 2008 Server高級防火牆管理控制台Rc_club.hardspell.com|g/zK
具有防火牆配置文件、復雜的規則設置和原先30倍數量的默認規則，還有本文中未提到很多高級安全功能，Windows 2008Server高級安全防火牆的確名副其實，真正是一個微軟所說的高級防火牆。我相信這個內置、免費、高級的基於主機的防火牆將確保WindowsServer未來變得更加安全。
