在虛擬機環境部署 IIS + SQL Server 2008 遷移既有網站後，如何利用 IIS 內建安全機制實現前台發布站與後台管理站物理隔離、權限分級？本文以圖文詳解雙站點部署、匿名存取控制、連接埠隔離完整實作流程。

架構設計：一份代碼，兩個站點，雙重防護

1. 將網站程式碼完整複製兩份至不同目錄：
   • E:\wan — 前台發布站（對外公開，匿名存取）
   • E:\lan — 後台管理站（內網專用，需認證）
2. IIS 建立兩個獨立網站，綁定不同連接埠、不同實體路徑、不同認證模式

圖：網站資料夾複製重命名為 wan（前台）與 lan（後台）

步驟 1：建立後台管理站（內網專用，高安全）

1. IIS 管理員 → 停用/刪除「預設網站」
2. 右鍵「網站」 → 新增 → 網站
3. 網站描述：後台管理站
4. TCP 連接埠：1234（非標準埠，降低掃描風險，需與防火牆/ISA 發布規則一致）
5. 主機標頭：留空
6. 主目錄：瀏覽選取 E:\lan
7. 關鍵：取消勾選「允許匿名存取」 → 強制 Windows 整合驗證/基本驗證
8. 完成建立

步驟 2：建立前台發布站（對外公開，匿名存取）

同樣流程，差異在於：

• 網站描述：前台發布站
• TCP 連接埠：80（標準 HTTP）
• 主目錄：E:\wan
• 勾選「允許匿名存取」（使用 IUSR_帳戶）

進階防護：配合 ISA Server / 防火牆實現網路層隔離

• ISA Server 僅發布 Port 80 (wan) 至外網
• Port 1234 (lan) 僅允許內網 IP/VPN 存取
• 後台管理站絕不直接暴露於公網

核心優勢

維度	傳統單站點	雙站點隔離架構
後台暴露面	公網可直接存取管理介面	僅內網/VPN 可達，物理隔離
認證機制	單一認證，難以差異化	前台匿名、後台強制認證
程式碼同步	自動同步	需手動/腳本同步（建議版控部署）
攻擊面	大（管理介面、後台漏洞直面公網）	小（後台漏洞需先突破網路層）

---

實務建議：搭配版本控制（Git/SVN）+ 自動部署腳本，確保 wan/lan 代碼一致性。若資源允許，更推薦前後台分離部署於不同伺服器，配合 WAF、堡壘機、零信任存取，構建纵深防禦體系。