Windows Server 2003服務(wù)器配置總結(jié)

lwl_1027 2012-02-02

展開全文

Windows Server 2003服務(wù)器配置總結(jié)

Author：flymorn Source：flymorn
Categories：電腦技術(shù) PostTime：2011-5-11 1:10:19

正文：

由于需要，飄易目前有在使用美國服務(wù)器/vps，系統(tǒng)為Windows Server 2003英文企業(yè)版，由于配置win2003涉及很多細(xì)節(jié)，為了以后方便，飄易就在這篇文章里做個匯總總結(jié)。

1、如何漢化Windows Server 2003英文系統(tǒng)？
英文的win2003如果想使用漢化版，需要下載中文語言包MUI。
中文語言包：MUI_Windows_server_2003_r2_cd2.iso，2003的語言包大小486M。
以下下載包含German、Japanese、Korean、Chinese (Simplified)、Chinese (Traditional)，下載后運行解壓縮后的文件夾里的 0804.MSI 進(jìn)行安裝即可。
下載地址：ed2k://|file|MUI_Windows_server_2003_r2_cd2.iso|509810688|B34258BEAD3E4B51106689A1B3479884|
（請用電驢下載，網(wǎng)址：http://www./ 或者 http://www./，迅雷也可以下載）

-----------------------------
2、如何安裝 IIS 6.0？
因為win2003服務(wù)器沒有集成iis，所有需要手動安裝iis6。
中文包：Windows Server 2003 IIS 服務(wù)器組件完全安裝包 IIS6.0安裝文件夾
http://www./soft/22413.html
英文IIS6包：http://download.csdn.net/source/1259111

IIS6.0安裝方法：
IIS 6.0 適用于Windows server 2003系統(tǒng)安裝步驟如下:

開始---控制面板----添加/刪除程序----添加/刪除Windows組件(A)----應(yīng)用程序服務(wù)器---將解壓后的IIS文件路徑復(fù)制到"文件復(fù)制來源"輸入框(會出現(xiàn)多次,就多粘貼幾次)--完成.

如出現(xiàn)需要"插入安裝光盤"這類的提示,繼續(xù)粘貼該路徑即可.

-----------------------------------
3、單獨建立新的WEB或FTP新用戶
IIS-FTP默認(rèn)使用系統(tǒng)自帶的Internet匿名賬戶（ISUR_XXX開頭的，其中XXX是計算機(jī)名），并無寫入權(quán)限，也就是說你無法上傳文件（如果給匿名賬戶設(shè)置上傳權(quán)限也不安全）。IIS網(wǎng)站運行權(quán)限默認(rèn)也是IIS匿名賬戶，我們單獨添加賬戶及合理設(shè)置可以提高FTP（或網(wǎng)站）的安全性。

那么我們就需要單獨建立一個賬號來運行FTP，如用戶名稱為FtpUser（注：添加網(wǎng)站運行賬戶設(shè)置方法與此教程一致，但要注意賬號名稱設(shè)置，以便區(qū)別，如WebUser）

win2003添加新用戶的方法：
第一步、我的電腦->鼠標(biāo)右鍵->管理->本地用戶和組->用戶->右邊空白處->鼠標(biāo)右鍵->新用戶->設(shè)置好你要建立的用戶及密碼。用戶為"FtpUser”，并且設(shè)置“用戶不能更改密碼”和“密碼永不過期”，最后點擊“創(chuàng)建”。

第二步、“創(chuàng)建”后將看到用戶"FtpUser”, 在用戶上面鼠標(biāo)右鍵，打開“屬性”窗口，切換到“隸屬于”選項卡，刪除"Users"，讓創(chuàng)建的"FtpUser"不屬于任何組，“隸屬于”為空。

第三步、打開控制面板->管理工具->本地安全策略->本地策略->用戶權(quán)限分配->雙擊“拒絕本地登錄”添加用戶"FtpUser”。

----------------------------------------
4、windows server 2003自帶防火墻設(shè)置
A, 開始菜單->設(shè)置->控制面板->Windows防火墻->常規(guī)->選擇“啟用”。
B, “例外”選項卡中，必開選項“遠(yuǎn)程桌面 3389”“web服務(wù)器 80”“FTP 21”，其他端口根據(jù)個人需要選擇開啟。
C, 如果需要ping，請打開ICmp當(dāng)中的“允許傳入回顯請求”。

----------------------------------------
5、IIS FTP安全配置說明
如果啟用IIS下的ftp服務(wù)器，那么更改默認(rèn)的21端口號是非常有必要的，這可以降低很多惡意的掃描。修改默認(rèn)ftp 21端口的方法：在iis ftp屬性窗口里直接更改TCP 21端口為其他端口號，5000-65535之間都可以。
如果你開啟了防火墻，在防火墻里例外這個端口號。
但是，這里會出現(xiàn)一個問題，用ftp軟件登陸的時候會出現(xiàn)“500 Invalid PORT Command”這樣的錯誤，根本不能列出文件來，F(xiàn)TP客戶端使用PASV模式連接失敗。

如何更改IIS默認(rèn)的FTP PASV端口區(qū)間呢？看下面教程：
IIS FTP里的PASV模式下默認(rèn)端口范圍 1024 - 65535，連接時會從中隨機(jī)選擇響應(yīng)。如果該值未指定，或被設(shè)置成空字符串，則將使用 Winsock 指定的默認(rèn)值 1025-5000。如果指定了該屬性，則 FTP 將驗證的有效范圍從 5001 到 65535。要限制這片超大端口的范圍,可以用IIS管理實用程序Adsutil.vbs.
cmd命令下(例:開放指定的2個端口)：

cd c:\Inetpub\AdminScripts
adsutil.vbs set /MSFTPSVC/PassivePortRange "5901-5902"

重新啟動 FTP 服務(wù)
注意：如果開了防火墻，還必須添加以上范圍內(nèi)的端口。.（參考1、參考2）

ftp安全配置特別提醒：
A.ftp站點連接限制和連接超時一定要設(shè)置，連接限制同時在線人數(shù) 1-10，請自行決定。
B.安全賬戶里一定不要勾選“允許匿名連接”，否則FTP賬戶很容易被爆！
如果你按照網(wǎng)上流傳的教程不幸選中了“允許匿名連接”，那么使用用戶名ftp密碼ftp即可輕松登陸你的FTP服務(wù)器。注意：這個漏洞或失誤影響所有windows 2003 IIS FTP用戶。

-------------------------------------------
6、關(guān)于win2003 iis服務(wù)器流量統(tǒng)計
A，著名的DU Meter服務(wù)器流量統(tǒng)計軟件
最新的 DU Meter 版本已經(jīng)到了5.04，這是一個收費軟件，購買一個 license 需要 $9.95 美元。
當(dāng)然，如果你想使用免費的也可以，這有一個經(jīng)典的 DU METER V3.07 Build 192 漢化版：
http://www./soft/3572.html

B，IIS網(wǎng)站流量監(jiān)控軟件
http://www./IIsWebInfo.asp
幫助您快速查看一個 IIS 6.0 服務(wù)器上的WEB站點流量信息。本軟件為免費軟件，不用注冊也可以使用，無任何功能和時間限制。

-------------------------------------------
7、修改windows 2003遠(yuǎn)程端口3389
Hacker在掃描到服務(wù)器開啟了3389端口后就會利用這個端口發(fā)起攻擊。為了降低使用遠(yuǎn)程桌面連接的風(fēng)險，防止他人進(jìn)行惡意連接，一個比較簡單的方法就是修改遠(yuǎn)程桌面鏈接的3389端口。

修改方法：打開注冊表編輯器（運行regedit）：
依次展開"HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\rdpwd\Tds\tcp"分支，其下的"PortNumber"鍵值所對應(yīng)的就是端口號，將其修改。
上面設(shè)置完成后，需要再依次展開"HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp"分支，同樣將其下的"PortNumber"鍵值進(jìn)行更改。

比如我們可以將端口改為9855，或者改為2210或者其他端口。再比如我們可以將端口改為8080，或者改為443，這樣可以誤導(dǎo)黑客以為這是代理服務(wù)器的端口或HTTPS的端口。

那么修改了端口后我們怎么連接到遠(yuǎn)程桌面啦？其實很簡單，在IP后面跟一個冒號再跟端口好就可以了。比如：192.168.2.131:9833

-------------------------------------------
8、記錄win2003遠(yuǎn)程登錄的IP
WINDOWS 2003 遠(yuǎn)程桌面不能記錄登陸IP真是件頭痛的事，本方法可以記錄登陸者IP，具體的操作步驟如下：
1、建立一個存放日志的目錄，如C盤下建立一個RDP的目錄“C:/RDP”。
2、然后在“C:/RDP”目錄下創(chuàng)建一個名字為“RDPlog.txt”的文本文件“C:/RDP/RDPlog.txt”。
3、然后在“C:/RDP”目錄下創(chuàng)建一個名字為“RDPlog.bat”的批處理文件，內(nèi)容為：

date /t >>RDPlog.txt
time /t >>RDPlog.txt
netstat -n -p tcp | find ":3389">>RDPlog.txt
start Explorer

4、進(jìn)入控制面板---管理工具---終端服務(wù)器配置---RDP-Tcp---屬性-環(huán)境-用戶登錄時啟用下列程序---在程序路徑和文件名---寫“C:\RDP\rdplog.bat”---起始于--寫“C:\RDP\”這樣就ok了。下次用終端登陸的時候就會自動記錄IP地址到“C:/RDP/RDPlog.txt”了，打開直接看就行了。