巧妙運用防火牆 打造安全的win2008系統

    防火牆就像是一堵密不透風的牆，能夠堅硬的抵擋住外來病毒的侵略、攻擊，在win2008系統中對系統自帶的防火牆功能進行了強化，這樣用戶就可以巧妙地運用防火牆，打造一個更安全的win2008系統了。

　　多種方式進入防火牆

　　在Windows Server 2008服務器系統，有兩種方式進入防火牆的Windows配置界面，從系統控制面板窗口進入的防火牆配置界面屬於基本界面，這種界面往往適合初級用戶使用，從MMC控制台中進入的防火牆配置界面屬於高級界面，這種界面往往適合高級用戶使用，高級用戶可以在這裡隨心所欲地控制服務器系統的數據流入和流出能力。除此而外，還能通過MS-DOS窗口中的命令在命令行模式配置服務器系統自帶防火牆，或者使用創建安全腳本的方式在多台服務器系統中進行防火牆參數的自動配置。當然，還能通過組策略的力量來控制服務器系統防火牆的配置操作。

　　1、從控制面板進入

　　最初的系統自帶防火牆程序往往只提供了系統安全的單向防護能力，也就說只能對進入服務器系統的數據信息流進行攔截審查，而不大容易出現由於防火牆參數配置不當造成服務器系統安全性能下降的現象出現。在進行這種初級配置時，可以通過服務器系統的控制窗口來打開防火牆的基本配置界面就可以了，下面就是具體的打開步驟：

　　首先在Windows Server 2008服務器系統桌面中，依次單擊“開始”/“設置”/“控制面板”命令，在彈出的系統控制面板窗口中，找到Windows防火牆圖標，並用鼠標雙擊該圖標，就能打開Windows防火牆的基本配置界面了，如圖所示：

　　
Windows防火牆的基本配置界面

　　其次在該配置界面的左側顯示區域單擊“啟用或關閉Windows防火牆”選項，在其後彈出的界面中單擊“常規”標簽，打開如下圖所示的標簽設置頁面，在該頁面中我們可以直接選擇“啟用”選項來啟用服務器系統自帶的防火牆功能，也可以直接選擇“關閉”選項來停用系統防火牆功能;

　　
防火牆開啟界面

　　當我們啟用了服務器系統的防火牆功能後，在默認狀態下，該防火牆程序會同時攔截所有程序去訪問外部網絡，除了在“例外”標簽頁面中設置的選項外。在這裡，“阻止所有傳入連接”選項其實是一個非常有用的選項，特別是當本地服務器系統處於一個不太安全的網絡時，該選項能夠臨時讓系統禁止“例外”標簽頁面中設置的任何程序或服務訪問網絡，一旦本地服務器系統處於一個比較安全的工作環境時，我們再取消“阻止所有傳入連接”選項的選中狀態，以便恢復以前的正常設置操作。

　　與舊版本系統一樣，在對Windows Server 2008服務器系統下的自帶防火牆進行基本設置時，可以在“例外”標簽頁面中設置那些能夠直接訪問網絡的程序或服務。我們可以直接通過單擊“添加程序”、“添加端口”按鈕來自行添加需要訪問外部網絡的程序或服務，來解除系統防火牆程序對網絡訪問的阻止。

　　如果本地服務器系統中有多條網絡連接時，我們還可以進入防火牆的“高級”標簽頁面，然後根據實際情況選擇需要受防火牆保護的目標網絡連接。如果發現防火牆中有許多參數沒有配置正確時，那可以直接單擊“高級”標簽頁面中的“還原為默認值”按鈕，來快速取消所有的參數修改操作，以便將系統防火牆的參數設置恢復到系統起初安裝時的缺省狀態。

　　2、從控制台進入

　　從系統控制面板窗口中我們只能打開服務器系統防火牆的基本配置界面，要想打開Windows Server 2008服務器系統的高級安全防火牆配置界面時，我們需要從系統的控制台窗口中進入，下面就是具體的操作步驟：

　　首先打開Windows Server 2008服務器系統的“開始”菜單，從中點選“運行”命令，在彈出的系統運行文本框中，輸入字符串命令“mmc.exe”，單擊回車鍵後打開服務器系統的控制台窗口;

　　其次在該控制台窗口中，依次單擊“文件”/“添加/刪除管理單元”選項，在其後的界面中選中高級安全Windows防火牆選項，並單擊“添加”按鈕，隨後選中“本地計算機”選項，再單擊“完成”按鈕，最後單擊“確定”按鈕，這樣我們就能看到如下圖所示那樣的系統防火牆高級安全設置頁面了。

　　
系統防火牆高級安全設置頁面

　　在Windows Server 2008服務器系統的高級安全防火牆配置界面中，我們可以根據實際工作環境為服務器系統定義多種不同的安全配置，並且每一種配置都是相對獨立的。例如，我們可以在防火牆高級安全設置頁面中定制適合單位局域網工作環境的安全配置，可以在家庭工作環境中定制適合點到點網絡的安全配置，也可以在公共場合下定制適合公網環境的安全配置。所以，當Windows Server 2008服務器系統位於單位局域網工作環境中時，我們幾乎可以關閉服務器系統自帶的防火牆，因為基本上所有單位的局域網網絡都有專門的防火牆，而當服務器系統處於公網環境中時，我們就需要及時發揮服務器系統自帶防火牆的作用了，畢竟在公共場合下服務器系統受到非法攻擊的可能性比較大。

　　使用防火牆保護安全

　　熟悉了Windows Server 2008服務器系統的防火牆後，就可以利用防火牆保護服務器系統的安全了。

　　1、預防Ping命令攻擊

　　在局域網環境中，常常有一些惡意用戶使用Ping命令向服務器系統連續發送一些大容量的數據包，這就可能導致服務器系統運行死機，此外非法攻擊者還能通過ping命令的一些參數獲得服務器系統的相關運行狀態信息，並根據這些信息對服務器系統實施有針對性的攻擊。為了保護Windows Server 2008服務器系統的運行穩定性，避免服務器主機遭受Ping命令攻擊，我們可以按照如下步驟來設置防火牆的安全規則：

　　首先在Windows Server 2008服務器系統桌面中單擊“開始”按鈕，從彈出的“開始”菜單中依次點選“程序”、“管理工具”命令，再從下級菜單中選擇“高級安全Windows防火牆”選項;

　　隨後系統會自動彈出高級安全Windows防火牆配置窗口，在該窗口左側列表窗格中單擊“入站規則”選項，再用鼠標右鍵單擊該選項，並從其後的右鍵菜單中選擇“新規則”選項，打開如下圖所示的新規則創建向導界面，選中該界面中的“自定義”項目;

　　
新規則創建向導界面

　　接著單擊“下一步”按鈕，選中其後頁面中的“所有程序”項目，之後按照提示將網絡協議類型設置為“ICMPv4”，將連接條件設置為“阻止連接”，同時根據實際工作環境設置好應用該新規則的具體場合，最後為新創建的安全規則取一個合適的名稱，如此一來局域網中的任何非法用戶就無法對Windows Server 2008服務器系統實施Ping命令攻擊了。

　　2、預防程序漏洞攻擊

　　許多人常常會簡單地認為，只要及時為服務器系統安裝更新補丁程序，就能保證服務器系統不受網絡病毒或木馬的攻擊;事實上，給服務器系統安裝補丁程序只是為了堵住系統的安全漏洞，但要是安裝在服務器系統中的應用程序存在漏洞的話，那麼服務器系統的安全還是沒有辦法保證。為了有效避免由於應用程序漏洞而引起的服務器安全隱患問題，我們就需要使用系統防火牆來拒絕存在安全漏洞的應用程序去連接或訪問網絡，這樣就能阻止網絡中的木馬或黑客通過應用程序漏洞來攻擊服務器的安全了。下面，我們就來設置Windows Server 2008服務器系統自帶的防火牆程序，來預防應用程序漏洞攻擊：

　　首先在Windows Server 2008服務器系統桌面中，依次單擊“開始”/“設置”/“控制面板”命令，在彈出的系統控制面板窗口中，找到Windows防火牆圖標，並用鼠標雙擊該圖標，打開Windows防火牆的基本配置界面;

　　其次單擊該基本配置界面中的“更改設置”選項，再單擊“例外”標簽，打開如下圖所示的標簽設置頁面，在這裡我們看到系統可能會使用網絡程序列表，選中的應用程序就是被允許通過網絡的應用程序，而那些沒有選中的應用程序就是不允許通過網絡的應用程序;

　　
預防程序漏洞攻擊

　　如果我們發現對應標簽設置頁面中沒有目標漏洞應用程序，