挖掘Win2008，控制網(wǎng)絡(luò)接入安全
原創(chuàng)在局域網(wǎng)工作環(huán)境中，普通工作站系統(tǒng)如果感染了網(wǎng)絡(luò)病毒或木馬，那么病毒或木馬很容易通過(guò)網(wǎng)絡(luò)“傳染”給其他工作站，這么一來(lái)整個(gè)局域網(wǎng)的運(yùn)行穩(wěn)定性可能就會(huì)受到威脅。為了提高網(wǎng)絡(luò)運(yùn)行的安全性，我們需要想辦法控制普通工作站接入網(wǎng)絡(luò)，以便不讓病毒或木馬通過(guò)網(wǎng)絡(luò)進(jìn)行瘋狂傳播。要做到這一點(diǎn)，我們可以借助Win2008系統(tǒng)新增加的網(wǎng)絡(luò)訪問(wèn)保護(hù)功能配合DHCP服務(wù)，來(lái)限制有安全隱患的普通工作站隨意接入局域網(wǎng)網(wǎng)絡(luò)。
控制思路
我們可以利用Win2008系統(tǒng)新增加的網(wǎng)絡(luò)訪問(wèn)保護(hù)功能，來(lái)制定安全健康標(biāo)準(zhǔn)，例如可以設(shè)定安裝了防病毒軟件、更新了系統(tǒng)漏洞補(bǔ)丁、啟用了系統(tǒng)防火墻的工作站將被認(rèn)為是安全、健康的，日后配合DHCP服務(wù)強(qiáng)行要求普通工作站進(jìn)行安全、健康檢查，如果檢查不通過(guò)的話(huà)，強(qiáng)制普通工作站連接到一個(gè)受限制的特定網(wǎng)絡(luò)中，在該特定網(wǎng)絡(luò)中上網(wǎng)用戶(hù)可以采用手工辦法恢復(fù)目標(biāo)工作站系統(tǒng)的安全狀態(tài)，也可以在這里部署病毒庫(kù)升級(jí)服務(wù)器、系統(tǒng)補(bǔ)丁更新服務(wù)器，來(lái)自動(dòng)對(duì)不符合安全健康標(biāo)準(zhǔn)的工作站進(jìn)行安全補(bǔ)救，直到其重新符合安全健康標(biāo)準(zhǔn)；當(dāng)普通工作站通過(guò)安全、健康檢查后，它就能順利地接入到單位的局域網(wǎng)網(wǎng)絡(luò)中了，這樣一來(lái)整個(gè)局域網(wǎng)的安全就能得到有效保證了。
控制操作
由于Win2008系統(tǒng)在缺省狀態(tài)下并沒(méi)有安裝啟用網(wǎng)絡(luò)訪問(wèn)保護(hù)功能，要想利用該功能控制網(wǎng)絡(luò)接入安全，我們必須先將該功能組件安裝好，同時(shí)對(duì)其進(jìn)行合適設(shè)置，之后再配合局域網(wǎng)中的DHCP服務(wù)器對(duì)普通工作站的網(wǎng)絡(luò)訪問(wèn)進(jìn)行控制，最后強(qiáng)制普通工作站從DHCP服務(wù)器那里獲得上網(wǎng)參數(shù)，這么一來(lái)普通工作站日后上網(wǎng)訪問(wèn)時(shí)就會(huì)自動(dòng)受到網(wǎng)絡(luò)訪問(wèn)保護(hù)功能的制約了。
1、啟用網(wǎng)絡(luò)訪問(wèn)保護(hù)
從Win2008系統(tǒng)桌面中依次點(diǎn)選“開(kāi)始”、“程序”、“管理工具”、“服務(wù)器管理器”選項(xiàng)，在彈出的服務(wù)器管理器控制臺(tái)窗口，選中左側(cè)位置處的“角色”分支選項(xiàng)，單擊該分支選項(xiàng)右側(cè)位置處的“添加角色”功能，進(jìn)入添加角色向?qū)?duì)話(huà)框，單擊“下一步”按鈕，選中“網(wǎng)絡(luò)策略和訪問(wèn)服務(wù)”選項(xiàng)，之后我們從如圖1所示的設(shè)置窗口中選中用網(wǎng)絡(luò)策略服務(wù)器，再單擊“安裝”按鈕，如此一來(lái)Win2008系統(tǒng)的網(wǎng)絡(luò)訪問(wèn)保護(hù)功能就被成功安裝好了。
圖一
2、定義安全健康標(biāo)準(zhǔn)
為了讓服務(wù)器自動(dòng)判斷普通工作站究竟是否安全、健康，我們需要先定義好安全、健康標(biāo)準(zhǔn)，日后普通工作站只有符合這里指定的標(biāo)準(zhǔn)，才能認(rèn)為是安全的、健康的。
在定義安全健康標(biāo)準(zhǔn)時(shí)，我們可以按照前面的操作步驟打開(kāi)服務(wù)器管理器控制臺(tái)窗口，在該窗口的左側(cè)位置處依次展開(kāi)“角色”/“網(wǎng)絡(luò)策略和訪問(wèn)服務(wù)”/“NPS”/“網(wǎng)絡(luò)訪問(wèn)保護(hù)”/“系統(tǒng)健康驗(yàn)證器”分支選項(xiàng)；
在對(duì)應(yīng)目標(biāo)分支選項(xiàng)的右側(cè)位置處，單擊“屬性”按鈕，進(jìn)入到Windows安全健康驗(yàn)證程序?qū)傩栽O(shè)置界面，單擊其中的“配置”按鈕，打開(kāi)如圖2所示的配置對(duì)話(huà)框，選中這里的“已為所有網(wǎng)絡(luò)連接啟用防火墻”、“防病毒應(yīng)用程序已啟用”、“防病毒程序?yàn)樽钚碌摹薄ⅰ耙褑⒂米詣?dòng)更新”等安全標(biāo)準(zhǔn)，日后普通工作站只有符合上面的各個(gè)標(biāo)準(zhǔn)，才能被認(rèn)為是安全、健康的工作站；
圖二
當(dāng)然，為了保證普通工作站接入網(wǎng)絡(luò)的效率，我們?cè)诙x安全健康標(biāo)準(zhǔn)時(shí)，可以根據(jù)實(shí)際工作要求進(jìn)行針對(duì)性定義，能降低要求的盡量降低要求，畢竟安全、健康標(biāo)準(zhǔn)定義得過(guò)多、過(guò)細(xì)，普通工作站日后在進(jìn)行網(wǎng)絡(luò)連接時(shí)就會(huì)受到更嚴(yán)格的檢查、驗(yàn)證，這樣需要耗費(fèi)很長(zhǎng)的時(shí)間，那么網(wǎng)絡(luò)訪問(wèn)效率自然也就會(huì)受到明顯的影響了。
#p#
3、設(shè)置健康驗(yàn)證策略
為了讓W(xué)in2008系統(tǒng)自動(dòng)使用我們事先定義的安全健康標(biāo)準(zhǔn)，來(lái)對(duì)普通工作站的安全狀態(tài)進(jìn)行健康驗(yàn)證，我們還需要對(duì)健康驗(yàn)證策略進(jìn)行合適設(shè)置，在進(jìn)行這種操作時(shí)我們可以按照下面的步驟來(lái)進(jìn)行：
首先從“網(wǎng)絡(luò)策略服務(wù)器”分支選項(xiàng)下面依次點(diǎn)選“策略”/“健康策略”子項(xiàng)，在對(duì)應(yīng)目標(biāo)子項(xiàng)的右側(cè)位置處點(diǎn)擊“新建”按鈕，打開(kāi)健康策略創(chuàng)建對(duì)話(huà)框，如圖3所示；
圖三
其次在“策略名稱(chēng)”文本框中輸入“安全工作站”，從“客戶(hù)端SHV檢查”列表中選擇“客戶(hù)端通過(guò)了所有SHV檢查”選項(xiàng)，之后將“此健康策略中使用的SHV”參數(shù)設(shè)置為“Windows安全健康驗(yàn)證程序”，單擊“確定”按鈕保存好上述設(shè)置操作，如此一來(lái)符合我們定義的安全健康標(biāo)準(zhǔn)的工作站就會(huì)被Win2008系統(tǒng)自動(dòng)認(rèn)定為安全工作站。
同樣地，我們還可以新建一個(gè)“不安全工作站”的驗(yàn)證策略，在新建該策略時(shí)只要從“客戶(hù)端SHV檢查”列表中選中“客戶(hù)端未能通過(guò)一個(gè)或多個(gè)SHV檢查”選項(xiàng)，同時(shí)其他設(shè)置保持不變就可以了。
4、設(shè)置網(wǎng)絡(luò)控制策略
為了讓普通工作站在接入網(wǎng)絡(luò)時(shí)，自動(dòng)接受Win2008系統(tǒng)的安全、健康驗(yàn)證，我們還需要對(duì)網(wǎng)絡(luò)控制策略進(jìn)行適當(dāng)設(shè)置，下面就是具體的設(shè)置步驟：
首先在Win2008系統(tǒng)的服務(wù)器管理器控制臺(tái)窗口左側(cè)位置處，依次展開(kāi)“角色”/“網(wǎng)絡(luò)策略和訪問(wèn)服務(wù)”/“NPS”/“策略”/“網(wǎng)絡(luò)策略”分支選項(xiàng)，在目標(biāo)分支選項(xiàng)的右側(cè)位置處單擊“新建”按鈕，打開(kāi)如圖4所示的網(wǎng)絡(luò)控制策略新建向?qū)?duì)話(huà)框；
圖四
其次在該對(duì)話(huà)框的“策略名稱(chēng)”文本框中輸入“安全連接”，同時(shí)將“網(wǎng)絡(luò)訪問(wèn)服務(wù)器類(lèi)型”參數(shù)設(shè)置為“DHCP Server”，之后單擊“下一步”按鈕，單擊其后頁(yè)面中的擊“添加”按鈕，從彈出的“選擇條件”列表中選中之前定義好的“安全工作站”策略，，之后依照向?qū)聊惶崾疽来芜x中“已授予訪問(wèn)權(quán)限”、“僅執(zhí)行計(jì)算機(jī)健康檢查”選項(xiàng)，最后從“策略設(shè)置”列表中選中“NAP強(qiáng)制允許完全網(wǎng)絡(luò)訪問(wèn)”選項(xiàng)，再單擊“完成”按鈕完成網(wǎng)絡(luò)控制策略設(shè)置任務(wù)。
同樣地，我們還需要?jiǎng)?chuàng)建一個(gè)“不安全連接”的控制策略，在進(jìn)行這種策略創(chuàng)建操作時(shí)，我們只要從“選擇條件”列表中選中之前定義好的“不安全工作站”策略，同時(shí)選中“拒絕訪問(wèn)”選項(xiàng)，其余參數(shù)跟上面幾乎一樣，最后再單擊“完成”按鈕就可以了。
5、設(shè)置DHCP服務(wù)參數(shù)
由于普通工作站在進(jìn)行網(wǎng)絡(luò)接入操作時(shí)，首先是與局域網(wǎng)中的DHCP服務(wù)器進(jìn)行通信的，為此我們還需要在該服務(wù)器中對(duì)網(wǎng)絡(luò)訪問(wèn)保護(hù)參數(shù)進(jìn)行一下相關(guān)設(shè)置，以便讓其將普通工作站的上網(wǎng)請(qǐng)求轉(zhuǎn)交給網(wǎng)絡(luò)策略服務(wù)器進(jìn)行安全、健康驗(yàn)證。在進(jìn)行這種設(shè)置操作時(shí)，其實(shí)很簡(jiǎn)單，我們只要先以系統(tǒng)管理員身份打開(kāi)DHCP服務(wù)器控制臺(tái)窗口，再進(jìn)入目標(biāo)作用域的屬性設(shè)置對(duì)話(huà)框，打開(kāi)“網(wǎng)絡(luò)訪問(wèn)保護(hù)”標(biāo)簽設(shè)置頁(yè)面，將其中的“對(duì)此作用域啟用”項(xiàng)目選中，同時(shí)將“使用默認(rèn)網(wǎng)絡(luò)訪問(wèn)保護(hù)配置文件”項(xiàng)目也選中，最后單擊”確定“按鈕保存好上述設(shè)置操作就好了。
下面還需要對(duì)普通工作站的上網(wǎng)參數(shù)進(jìn)行設(shè)置，讓其必須通過(guò)DHCP服務(wù)才能上網(wǎng)，如果使用靜態(tài)IP地址來(lái)上網(wǎng)的，該工作站就不會(huì)受到網(wǎng)絡(luò)訪問(wèn)保護(hù)功能的控制了。在進(jìn)行這種設(shè)置操作時(shí)，我們可以依次單擊普通工作站系統(tǒng)桌面中的“開(kāi)始”/“設(shè)置”/“網(wǎng)絡(luò)連接”選項(xiàng)，右擊“本地連接”圖標(biāo)命令，選中本地連接屬性設(shè)置窗口中的“Internet協(xié)議（TCP/IP）”選項(xiàng)，再單擊該選項(xiàng)下面的“屬性”按鈕，打開(kāi)如圖5所示的TCP/IP屬性設(shè)置對(duì)話(huà)框，選中這里的“自動(dòng)獲得IP地址”選項(xiàng)，再單擊“確定”按鈕保存好上述設(shè)置操作，如此一來(lái)局域網(wǎng)中的普通工作站日后進(jìn)行網(wǎng)絡(luò)連接時(shí)，就會(huì)自動(dòng)受到Win2008系統(tǒng)中的網(wǎng)絡(luò)策略服務(wù)器的訪問(wèn)保護(hù)，那樣的話(huà)病毒或木馬也就不會(huì)隨意通過(guò)網(wǎng)絡(luò)傳播、感染其他工作站了。
圖五
【編輯推薦】
