使用IPSec保护服务器安全

不管是在Windows XP上启用防火墙还是Windows Server上配置TCP/IP筛选，都不能严格控制出去的流量。因此如果你的服务器中了***程序（比如中了灰鸽子***程序），该程序会主动连接***者建立会话，***者就能监控和控制你的服务器了。

最大化配置服务器网络安全，你可以严格控制进出服务器的流量，比如你的服务器是Web服务器，你可以配置只允许TCP目标端口80的数据包进入服务器，TCP源端口为80的数据包离开服务器。这样即便你的服务器中了灰鸽子***程序，也不能主动连接***者。这种控制方式可以通过配置服务器IPSec来实现，Windows XP，Windows Server 2003和Windows Server 2008都支持IPSec。

下面就以通过IPSec配置Web服务器安全，防止灰鸽子***程序为例。演示***者制作***程序，在Server上启用Windows防火墙，安装***程序，在***者远程控制服务器。配置IPSec，如图2-143所示，只允许TCP的目标端口为80数据包进入服务器，只允许TCP的源端口为80的数据包离开服务器。验证***程序不能连接***者。

***者的IP地址为192.168.1.121，服务器Server的IP地址为192.168.1.200。

1．制作***程序

灰鸽子***程序，可以在http://down.51cto.com/搜索“灰鸽子”，可以找到并下载。

中了灰鸽子***程序，会主动连接到***者，***者就可以远程监控和操控中了***的服务器。这就要求***程序能够连接到***者，因此生成的***程序必须指定***者的IP地址。

（1）如图2-144所示，在***者的计算机上安装并运行灰鸽子***程序，单击“配置服务程序”按钮，提示：***程序在中了招的计算机上是以服务的方式存在的。

（2）如图2-145所示，在出现的“服务器配置”对话框的“自动上线设置”中输入***者的IP地址。

▲图2-144 运行灰鸽子***程序 ▲图2-145 “服务器配置”对话框

（3）如图2-146所示，在“安装选项”选项卡中，选中“安装成功后自动删除安装文件”复选框。***程序一般都是在后台偷偷运行的，取消选中“程序安装成功后提示安装成功”和“程序运行时在任务栏显示图标”复选框。

（4）如图2-147所示，在“启动设置”选项卡中，选中“Win2000/XP下优先安装成服务启动”复选框，然后单击“生成服务器”按钮，这样就制作好了***程序。

▲图2-146 “安装选项”选项卡 ▲图2-147 “服务器配置”对话框

（5）如图2-148所示，可以看到生成的***程序“Server.exe”。

（6）如图2-149所示，将有***程序的文件夹共享。以方便Server访问，模拟中***的过程。

▲图2-148 生成的***程序 ▲图2-149 共享存放***的文件夹

2．中***的过程

（1）如图2-150所示，在Server上，打开“本地连接 属性”对话框，单击“设置”按钮，在出现的“Windows防火墙”提示对话框中，单击“是”按钮，启用Windows防火墙服务。

（2）如图2-151所示，在出现的“Windows防火墙”对话框的“常规”选项卡中，选中“启用”单选按钮和“不允许例外”复选框。

▲图2-150 “本地连接 属性”对话框 ▲图2-151 “Windows防火墙”对话框

（3）如图2-152所示，可以看到本地连接启用了Windows防火墙的图标，加了一把锁。

（4）如图2-153所示，在Server上访问***者的共享文件夹，将***程序拷贝到桌面，双击，安装***程序。

▲图2-152 启用Windows防火墙 ▲图2-153 将***拷贝到本地并安装

3．远程监控和控制

（1）如图2-154所示，在***者计算机上，可以看到中了***的计算机自动上线，选中上线的服务器，单击“捕获屏幕”按钮。可以远程监控Server桌面。

（2）如图2-155所示，单击图中框起的鼠标和键盘图标，还可以控制远程计算机。

▲图2-154 捕获屏幕 ▲图2-155 远程控制

（3）如图2-156所示，在Server上的命令提示符下输入netstat –n，可以看到***建立的会话。

（4）如图2-157所示，在Server上，运行msconfig，打开“系统配置实用程序”对话框，选中“隐藏所有Microsoft服务”复选框，可以看到灰鸽子***安装的服务。

▲图2-156 灰鸽子建立的会话 ▲图2-157 安装的灰鸽子***

4．配置IPSec保护Web服务器

（1）如图2-158所示，在Server上禁用Windows防火墙。现在使用IPSec严格控制出入流量。

（2）如图2-159所示，选择“开始”→“程序”→“管理工具”→“本地安全策略”命令。

▲图2-158 关闭Windows防火墙 ▲图2-159 选择“本地安全策略”命令

（3）如图2-160所示，在打开的“本地安全设置”窗口中，右击“IP安全策略，在本地计算机”节点，在弹出的快捷菜单中选择“创建IP安全策略”命令。

（4）在出现的“欢迎使用IP安全策略向导”对话框中，单击“下一步”按钮。

（5）如图2-161所示，在出现的“IP安全策略名称”设置界面中，输入名称和描述信息，单击“下一步”按钮。

▲图2-160 “本地安全设置”窗口 ▲图2-161 “IP安全策略名称”设置界面

（6）如图2-162所示，在出现的“安全通讯请求”设置界面中，取消选中“激活默认响应规则”复选框，单击“下一步”按钮。

（7）如图2-163所示，在出现的“正在完成IP安全策略向导”设置界面中，单击“完成”按钮。

▲图2-162 “安全通讯请求”设置界面 ▲图2-163 “正在完成IP安全策略向导”设置界面

（8）如图2-164所示，在出现的“WebServerIPSec属性”对话框中，取消选中“使用‘添加向导’”复选框，单击“添加”按钮。

（9）如图2-165所示，在出现的“新规则 属性”对话框中，选中“所有IP通讯”单选按钮，单击“筛选器操作”标签。

▲图2-164 “WebServerIPSec属性”对话框 ▲图2-165 “新规则 属性”对话框

（10）如图2-166所示，在“筛选器操作”选项卡中，没有拒绝的动作，取消选中“使用‘添加向导’”复选框，单击“添加”按钮。

（11）如图2-167所示，在出现的“新筛选器操作 属性”对话框的“安全措施”选项卡中，选中“阻止”单选按钮，单击“常规”标签。

▲图2-166 添加筛选器的操作 ▲图2-167 选择阻止

（12）如图2-168所示，在“常规”选项卡中，输入名称，单击“确定”按钮。

（13）如图2-169所示，在“新规则 属性”对话框中，选择刚刚创建的操作“拒绝通信”，单击“应用”按钮。

▲图2-168 指定操作名称 ▲图2-169 选择操作

（14）如图2-170所示，单击“确定”按钮。

（15）如图2-171所示，这样就添加了拒绝所有通信，相当于拔了网线。然后添加规则允许访问Web站点的流量出入。

▲图2-170 完成添加规则 ▲图2-171 添加允许访问Web服务的规则

（16）如图2-172所示，在“新规则 属性”对话框中，单击“添加”按钮。

（17）如图2-173所示，在出现的“IP筛选器列表”对话框中，输入规则名称，取消选中“使用添加向导”复选框，单击“添加”按钮。

▲图2-172 添加筛选器列表 ▲图2-173 添加筛选器

（18）如图2-174所示，在出现的“IP筛选器 属性”对话框中，可以看到源地址和目标地址，一定要选中“镜像，与源地址和目标地址正好相反的数据包相匹配”复选框。

（19）如图2-175所示，在“协议”选项卡中，协议选择TCP，“设置IP协议端口”选项组中，选中“从此端口”和“到任意端口”单选按钮，单击“确定”按钮。

▲图2-174 配置筛选器 ▲图2-175 指定协议和端口

（20）如图2-176所示，单击“确定”按钮。当然，如果还希望别人访问FTP站点，你还可以继续单击“添加”按钮，添加相应的筛选器。筛选器列表中可以包括多个筛选器。

（21）如图2-177所示，在“新规则 属性”对话框中，选中“允许访问Web服务”单选按钮，单击“筛选器操作”标签。

▲图2-176 完成筛选器列表 ▲图2-177 选择筛选器规则

（22）如图2-178所示，在“筛选器操作”选项卡中，选中“许可”单选按钮，单击“应用”按钮。

（23）如图2-179所示，单击“确定”按钮。

▲图2-178 “筛选器操作”选项卡 ▲图2-179 单击“确定”按钮

（24）如图2-180所示，到目前为止已经创建了两个规则，一个是拒绝所有通信，一个是允许访问Web服务器的流量，多个规则以最佳匹配为准。也就意味着不是访问Web站点的流量就应用所有IP通信的规则。

（25）如图2-181所示，右击刚才创建的WebServerIPSec策略，在弹出的快捷菜单中选择“指派”命令，该策略生效。

▲图2-180 创建的两个规则 ▲图2-181 指派IP策略

（26）如图2-182所示，在Server上运行netstat –n命令，可以看到***程序不能和***者的计算机建立会话，这样***就成了“卧槽马”，不会为你的Server造成多大危害。

（27）如图2-182所示，ping ***者的IP地址，出现Destination host unreachable。因为IPSec没有允许此类通信出入。

（28）如图2-183所示，在***者计算机上，你也看不到自动上线的主机，就没办法监控和控制中了***的服务器。

▲图2-182 查看会话测试网络 ▲图2-183 灰鸽子不能上线了

（29）如图2-184所示，可以看到，在***者计算机访问Server的Web站点还是可以的。

▲图2-184 能够访问Web站点

结论	Windows防火墙能够禁止主动***，但是对***没有防护作用。Windows的TCP/IP筛选和Windows防火墙类似，能够禁止主动***，但是对***没有防护作用。要想使用严格控制出入服务器的流量策略，可以使用IPSec实现。

广告