巧用IPSec加固Web服务器

　　巧用IPSec加固Web服务器

　　在局域网中部署Web服务器进行信息的发布，建立统一的办公和财务系统，这是很多企业采用的方案。但通常情况下单位不见得会购买大量安全设备或软件，那么如何加强企业内网的Web服务器的安全呢?其实Windows提供了一个足以匹敌专业级安全设备的功能——IPSec，只要用户进行简单的设置就可以加固Web服务器的安全，防御来自内网的各类攻击。

　　笔者这里假设有一台IIS的Web服务器并且此服务器提供的外部访问端口是8800，并且只可以让IP地址是192.168.X.X网段的计算机对它进行访问，下面来看看如何通过IPSec来加固Web服务器。

　　一、建立过滤列表

　　完成Web服务器的建立后，在站点属性窗口中设置访问端口是8800，然后重新启动IIS使设置生效。在运行窗口中输入“gpedit.msc”启动组策略管理器，展开“计算机配置→Windows 设置→安全设置→IP安全设置，在本地计算机上”，右击右边的空白处，在出现的菜单上点击“管理IP筛选器表和筛选器操作”菜单。

　　在出现的“管理IP筛选器表和筛选器操作”窗口中选择“管理IP筛选器表”标签中的添加按钮，随后出现添加窗口，在添加窗口中为这个筛选器表起个名字，比如“Web进入”，然后再点击“添加”窗口，此时会看到一个向导。

　　　　在向导中的“源地址”中选择“一个特定的子网”，然后在下面的IP信息中输入IP地址为192.168.0.1，子网掩码为255.255.0.0，接着点“下一步”，在“目标地址”中选择“我的IP地址”也就是服务器的IP地址。

　　接着选择“TCP”协议，选择“到此端口”并输入8800，这样就完成了列表的建立，上面的步骤就表示凡是192.168网段的计算机都可以访问此服务器。

　　但是IPSec有个弱点，就是它没有默认的拒绝功能，也就是除了上面的列表外，我们还要建立一个阻止列表。操作步骤和前面类似，只是在“源地址”中要选择“任何IP地址”，在协议中选择“任意”，最后完成此列表建立，并为此列表起一个名字比如“全部访问”。