|
網(wǎng)絡(luò)技術(shù)是從1990年代中期發(fā)展起來(lái)的新技術(shù)，它把互聯(lián)網(wǎng)上分散的資源融為有機(jī)整體，實(shí)現(xiàn)資源的全面共享和有機(jī)協(xié)作，使人們能夠透明地使用資源的整體能力并按需獲取信息。資源包括高性能計(jì)算機(jī)、存儲(chǔ)資源、數(shù)據(jù)資源、信息資源、知識(shí)資源、專(zhuān)家資源、大型數(shù)據(jù)庫(kù)、網(wǎng)絡(luò)、傳感器等。 當(dāng)前的互聯(lián)網(wǎng)只限于信息共享，網(wǎng)絡(luò)則被認(rèn)為是互聯(lián)網(wǎng)發(fā)展的第三階段。 在管理規(guī)模較大的網(wǎng)絡(luò)環(huán)境時(shí)，網(wǎng)絡(luò)安全往往是花費(fèi)精力最多的一環(huán)。就拿配置Windows XP SP2的防火墻來(lái)說(shuō)，如果讓網(wǎng)管為網(wǎng)內(nèi)計(jì)算機(jī)逐一進(jìn)行配置的話，工作量會(huì)非常大，而且在細(xì)節(jié)配置上也容易出錯(cuò)。那么，如何才能提高規(guī)模化環(huán)境內(nèi)的防火墻配置效率呢?Windows防火墻是Windows XP SP2中一個(gè)極為重要的安全設(shè)計(jì)，它可以有效地協(xié)助我們完成計(jì)算機(jī)的安全管理。今天，筆者將為大家介紹如何使用組策略(Group Policy)在機(jī)房中集中部署Windows防火墻，提高為網(wǎng)內(nèi)計(jì)算機(jī)配置防火墻的效率。 為什么要集中部署 首先，我們要了解組策略對(duì)Windows防火墻的作用是什么。組策略可以決定本地管理員級(jí)別的用戶是否可以對(duì)Windows防火墻進(jìn)行各種設(shè)置，可以決定Windows防火墻的哪些功能被“禁用”或“允許”…… 顯然，上述幾個(gè)功能正好能夠配合域功能進(jìn)行機(jī)房的安全管理，這就為組策略能夠批量化部署機(jī)房的Windows防火墻打下了基礎(chǔ)。此時(shí)，所有客戶機(jī)的Windows防火墻的應(yīng)用權(quán)限將統(tǒng)一歸域管理員管理，本地管理員對(duì)Windows防火墻的任何設(shè)置要在域管理員的“批準(zhǔn)”下方可進(jìn)行。此外，域管理員還可使用組策略來(lái)完成所有客戶機(jī)的Windows防火墻配置，而不必逐臺(tái)進(jìn)行了。 用組策略部署防火墻 在明白了集中部署的好處后，現(xiàn)在讓我們一步步實(shí)現(xiàn)。請(qǐng)大家先了解一下本文的測(cè)試環(huán)境“Windows Server 2003域服務(wù)器+Windows XP SP2客戶機(jī)”。本文將介紹如何在Windows Server 2003域服務(wù)器管理的機(jī)房中的客戶機(jī)(Windows XP SP2)上，對(duì)所有安裝了Windows XP SP2的客戶機(jī)進(jìn)行Windows防火墻的集中部署。 提示:為什么不是在域服務(wù)器中進(jìn)行組策略的新建與配置，而是在客戶機(jī)上運(yùn)行?其實(shí)這很容易理解，Windows Server 2003操作系統(tǒng)(中文版)中還沒(méi)有Windows防火墻，所以無(wú)法進(jìn)行配置。但是，這一點(diǎn)將會(huì)隨著Windows Server 2003 SP1中文正式版的推出而得到徹底解決。 OK!現(xiàn)在讓我們開(kāi)始實(shí)際操作。首先，在Windows XP SP2客戶機(jī)的“運(yùn)行”欄中輸入“MMC”命令并回車(chē)，在打開(kāi)的“控制臺(tái)”窗口中，依次單擊“文件→添加/刪除管理單元”，添加“組策略對(duì)象編輯器”。 在彈出的“歡迎使用組策略向?qū)А苯缑嬷�，點(diǎn)擊“瀏覽”按鈕并在“瀏覽組策略對(duì)象”窗口中的空白處單擊鼠標(biāo)右鍵，在彈出的菜單中選擇“新建”，并命名為“firewall”即可返回控制臺(tái)窗口。 提示:客戶機(jī)的當(dāng)前登錄賬戶必須具有管理員權(quán)限，方可新建GPO(組策略對(duì)象)。因此，臨時(shí)解決這個(gè)問(wèn)題的方法就是在DC中將客戶機(jī)的賬戶添加到Administrators組，接著客戶機(jī)臨時(shí)使用管理員賬戶登錄系統(tǒng)并進(jìn)行GPO配置即可。 返回控制臺(tái)窗口后，在“firewall”策略集中可以看到“域配置文件”和“標(biāo)準(zhǔn)配置文件”兩個(gè)策略子集(圖1)。其中，域配置文件主要在包含域DC的網(wǎng)絡(luò)中應(yīng)用，也就是主機(jī)連接到企業(yè)網(wǎng)絡(luò)時(shí)使用;標(biāo)準(zhǔn)配置文件則是用于在非域網(wǎng)絡(luò)中應(yīng)用。
顯然，我們需要在域配置文件中進(jìn)行策略的設(shè)置。下面簡(jiǎn)單地說(shuō)說(shuō)如何對(duì)其中的子策略進(jìn)行安全配置: 保護(hù)所有網(wǎng)絡(luò)連接:已啟用;這樣才能強(qiáng)制要求客戶機(jī)啟用Windows防火墻，不受客戶機(jī)本地策略的影響。 不允許例外:未配置;這個(gè)可以讓客戶機(jī)自行安排。 定義程序例外:已啟用;即按照程序文件名定義例外通信，這樣可以集中配置機(jī)房中允許運(yùn)行的網(wǎng)絡(luò)程序等。 允許本地程序例外:已禁用;如果禁用則Windows防火墻的“例外”設(shè)置部分將呈灰色。 允許遠(yuǎn)程管理例外:已禁用;如果不允許客戶機(jī)進(jìn)行遠(yuǎn)程管理，那么請(qǐng)禁用。 允許文件和打印機(jī)共享例外:已禁用;如果某些客戶機(jī)有共享資源需要應(yīng)用，那么應(yīng)該啟用。 允許ICMP例外:已禁用;如果希望使用Ping命令，則必須啟用。 允許遠(yuǎn)程桌面例外:已禁用;即關(guān)閉客戶機(jī)可以接受基于遠(yuǎn)程桌面的連接請(qǐng)求功能。 允許UPnP框架例外:已禁用;即禁止客戶機(jī)接收垃圾的UPnP方面的消息。 阻止通知:已禁用。 允許記錄日志:未配置;允許記錄通信并配置日志文件設(shè)置。 阻止對(duì)多播或廣播請(qǐng)求的單播響應(yīng):已啟用;即放棄因多播或廣播請(qǐng)求消息而收到的單播數(shù)據(jù)包。 定義端口例外:已啟用;按照TCP和UDP端口指定例外通信。 允許本地端口例外:已禁用;即禁止客戶機(jī)管理員進(jìn)行端口的“例外”配置。 現(xiàn)在，讓我們通過(guò)“定義端口例外”項(xiàng)來(lái)介紹一下如何進(jìn)行具體配置。首先，在“域配置文件”設(shè)置區(qū)域中，雙擊“Windows防火墻:定義端口例外”項(xiàng)，在彈出的屬性窗口中單擊“已啟用→顯示”，并進(jìn)行“添加”。接著，使用“port:transport:scope:status:name”的格式輸入要阻止或啟用的端口信息(如“80:TCP:*:enabled:Webtest”)。 提示:port是指端口號(hào)碼;transport是指TCP或UDP;scope中的“*”表示用于所有系統(tǒng)或允許訪問(wèn)端口的計(jì)算機(jī)列表;status是已啟用或已禁用;name是用作此條目標(biāo)簽的文本字符串。 完成上述設(shè)置后，保存策略為“firewall”文件�，F(xiàn)在，就得進(jìn)行非常重要的一步操作，在“命令提示符”窗口中運(yùn)行“Gpupdate /force”命令強(qiáng)制組策略設(shè)置應(yīng)用到域網(wǎng)絡(luò)中已經(jīng)登錄的計(jì)算機(jī)。 [page_break] 驗(yàn)證部署效果 完成組策略的刷新后，先來(lái)看看本機(jī)中的Windows防火墻是否響應(yīng)了策略。由于前面已經(jīng)定義了“允許本地程序例外”項(xiàng)的狀態(tài)為“已禁用”，根據(jù)這個(gè)定義，Windows防火墻的“例外”設(shè)置部分應(yīng)變?yōu)榛疑，F(xiàn)在，讓我們打開(kāi)本機(jī)中的Windows防火墻，可以看到被禁用的部分已經(jīng)呈灰色，這說(shuō)明本機(jī)已響應(yīng)組策略設(shè)置了。 接著，再來(lái)看看DC是否響應(yīng)了組策略。在DC服務(wù)器的“運(yùn)行”欄中輸入“dsa.msc”命令并回車(chē)，彈出“Active Directory”窗口后，請(qǐng)進(jìn)入“shyzhong.com”(請(qǐng)根據(jù)實(shí)際情況選擇)的屬性窗口。在“組策略”選項(xiàng)卡部分可以看到保存的firewall已經(jīng)自動(dòng)出現(xiàn)在列表中了。如果沒(méi)有出現(xiàn)可以手工添加(圖2)。
到了這一步，可以看出整個(gè)設(shè)置是成功的。而此后，域中任何一臺(tái)使用Windows XP SP2的計(jì)算機(jī)只要登錄到域，那么該計(jì)算機(jī)就會(huì)自動(dòng)下載Windows防火墻的設(shè)置并開(kāi)始應(yīng)用。至此，整個(gè)機(jī)房的Windows 防火墻配置操作就成功完成了。 利用組策略集中部署SP2防火墻的操作并不復(fù)雜，但是它的效果卻是一勞永逸的。大家會(huì)發(fā)現(xiàn)組策略對(duì)于集中管理網(wǎng)絡(luò)安全來(lái)說(shuō)實(shí)在是一個(gè)不可多得的好助手。 網(wǎng)絡(luò)的神奇作用吸引著越來(lái)越多的用戶加入其中，正因如此，網(wǎng)絡(luò)的承受能力也面臨著越來(lái)越嚴(yán)峻的考驗(yàn)―從硬件上、軟件上、所用標(biāo)準(zhǔn)上......，各項(xiàng)技術(shù)都需要適時(shí)應(yīng)勢(shì)，對(duì)應(yīng)發(fā)展，這正是網(wǎng)絡(luò)迅速走向進(jìn)步的催化劑。 |
溫馨提示：喜歡本站的話，請(qǐng)收藏一下本站！
本站發(fā)布的Win7純凈版系統(tǒng)、Win10純凈版和XP純凈版系統(tǒng)僅為個(gè)人學(xué)習(xí)測(cè)試使用，請(qǐng)?jiān)谙螺d后24小時(shí)內(nèi)刪除，不得用于任何商業(yè)用途，否則后果自負(fù)，請(qǐng)支持購(gòu)買(mǎi)微軟正版軟件！
本站所有資源全部來(lái)自于網(wǎng)絡(luò)資源,如侵犯到您的權(quán)益,請(qǐng)及時(shí)通知我們(),我們會(huì)及時(shí)處理.
Copyright © 2018-2020 蘿卜系統(tǒng) 手機(jī)站 關(guān)于本站
