微軟的windows Server 2003中防火墻的功能如此之簡陋，讓很多系統(tǒng)管理員將其視為雞肋，它一直是一個簡單的、僅支持入站防護、基于主機的狀態(tài)防火墻。而隨著Windows Server 2008的日漸向我們走近，其內(nèi)置的防火墻功能得到了巨大的改進。下面讓我們一起來看一下這個新的高級防火墻將如何幫助我們防護系統(tǒng)，以及如何使用管理控制臺單元來配置它。 為什么你應(yīng)該使用這個Windows的基于主機的防火墻?
今天許多公司正在使用外置安全硬件的方式來加固它們的網(wǎng)絡(luò)。這意味著，它們使用防火墻和入侵保護系統(tǒng)在它們的網(wǎng)絡(luò)周圍建立起了一道銅墻鐵壁，保護它們自然免受互聯(lián)網(wǎng)上惡意攻擊者的入侵。但是，如果一個攻擊者能夠攻破外圍的防線，從而獲得對內(nèi)部網(wǎng)絡(luò)的訪問，將只有Windows認證安全來阻止他們來訪問公司最有價值的資產(chǎn)-它們的數(shù)據(jù)。
這是因為大多數(shù)IT人士沒有使用基于主機的防火墻來加固他們的服務(wù)器的安全。為什么會出現(xiàn)這樣的情況呢?因為多數(shù)IT人士認為，部署基于主機的防火墻所帶來的麻煩要大于它們帶來的價值。
我希望在您讀完這篇文章后，能夠花一點時間來考慮Windows這個基于主機的防火墻。在Windows Server 2008中，這個基于主機的防火墻被內(nèi)置在Windows中，已經(jīng)被預(yù)先安裝，與前面版本相比具有更多功能，而且更容易配置。它是加固一個關(guān)鍵的基礎(chǔ)服務(wù)器的最好方法之一。具有高級安全性的 Windows 防火墻結(jié)合了主機防火墻和IPSec。與邊界防火墻不同，具有高級安全性的 Windows 防火墻在每臺運行此版本 Windows 的計算機上運行，并對可能穿越邊界網(wǎng)絡(luò)或源于組織內(nèi)部的網(wǎng)絡(luò)攻擊提供本地保護。它還提供計算機到計算機的連接安全，使您可以對通信要求身份驗證和數(shù)據(jù)保護。
那么，這個Windows Server高級防火墻可以為你做什么，你又該如何配置它?讓我們繼續(xù)看下去。
新防火墻具備的功能及對你的幫助
這個Windows Server 2008中的內(nèi)置防火墻現(xiàn)在“高級”了。這不僅僅是我說它高級，微軟現(xiàn)在已經(jīng)將其稱為高級安全Windows防火墻(簡稱WFAS)。
以下是可以證明它這個新名字的新功能：
1、新的圖形化界面。
現(xiàn)在通過一個管理控制臺單元來配置這個高級防火墻。
2、雙向保護。
對出站、入站通信進行過濾。
3、與IPSEC更好的配合。
具有高級安全性的Windows防火墻將Windows防火墻功能和Internet 協(xié)議安全(IPSec)集成到一個控制臺中。使用這些高級選項可以按照環(huán)境所需的方式配置密鑰交換、數(shù)據(jù)保護(完整性和加密)以及身份驗證設(shè)置。
4、高級規(guī)則配置。
你可以針對Windows Server上的各種對象創(chuàng)建防火墻規(guī)則，配置防火墻規(guī)則以確定阻止還是允許流量通過具有高級安全性的Windows防火墻。
傳入數(shù)據(jù)包到達計算機時，具有高級安全性的Windows防火墻檢查該數(shù)據(jù)包，并確定它是否符合防火墻規(guī)則中指定的標準。如果數(shù)據(jù)包與規(guī)則中的標準匹配，則具有高級安全性的Windows防火墻執(zhí)行規(guī)則中指定的操作，即阻止連接或允許連接。如果數(shù)據(jù)包與規(guī)則中的標準不匹配，則具有高級安全性的Windows防火墻丟棄該數(shù)據(jù)包，并在防火墻日志文件中創(chuàng)建條目(如果啟用了日志記錄)。
對規(guī)則進行配置時，可以從各種標準中進行選擇：例如應(yīng)用程序名稱、系統(tǒng)服務(wù)名稱、TCP端口、UDP端口、本地IP地址、遠程IP地址、配置文件、接口類型(如網(wǎng)絡(luò)適配器)、用戶、用戶組、計算機、計算機組、協(xié)議、ICMP類型等。規(guī)則中的標準添加在一起;添加的標準越多，具有高級安全性的Windows防火墻匹配傳入流量就越精細。
通過增加雙向防護功能、一個更好的圖形界面和高級的規(guī)則配置，這個高級安全Windows防火墻正在變得和傳統(tǒng)的基于主機的防火墻一樣強大，例如ZoneAlarm Pro等。
我知道任何服務(wù)器管理員在使用一個基于主機的防火墻時首先想到的是：它是否會影響這個關(guān)鍵服務(wù)器基礎(chǔ)應(yīng)用的正常工作?然而對于任何安全措施這都是一個可能存在的問題，Windows 2008高級安全防火墻會自動的為添加到這個服務(wù)器的任何新角色自動配置新的規(guī)則。但是，如果你在你的服務(wù)器上運行一個非微軟的應(yīng)用程序，而且它需要入站網(wǎng)絡(luò)連接的話，你將必須根據(jù)通信的類型來創(chuàng)建一個新的規(guī)則。
通過使用這個高級防火墻，你可以更好的加固你的服務(wù)器以免遭攻擊，讓你的服務(wù)器不被利用去攻擊別人，以及真正確定什么數(shù)據(jù)在進出你的服務(wù)器。下面讓我們看一下如何來實現(xiàn)這些目的。
了解配置Windows防火墻高級安全性的選擇
在以前Windows Server中，你可以在去配置你的網(wǎng)絡(luò)適配器或從控制面板中來配置Windows防火墻。這個配置是非常簡單的。
對于Windows高級安全防火墻，大多數(shù)管理員可以或者從Windows服務(wù)器管理器配置它，或者從只有Windows高級安全防火墻MMC管理單元中配置它。以下是兩個配置界面的截圖：
圖1、Windows Server 2008服務(wù)器管理器
