![Windows Server 2008 - 如何锁定防火墙高级?](https://linux22.com/image/566691/Windows%20Server%202008%20-%20%E5%A6%82%E4%BD%95%E9%94%81%E5%AE%9A%E9%98%B2%E7%81%AB%E5%A2%99%E9%AB%98%E7%BA%A7%EF%BC%9F.png)
我在 Windows Server 2008 R2 和其上的 MS-SQL Server 上同时进行暴力破解尝试时遇到了问题。
- 我已将 Windows 管理员帐户重命名为(管理员)
- 我已重命名并禁用 SQL Server 帐户 (sa)
- 我已安装 Windows Security Essentials 作为防病毒软件
有人建议我锁定防火墙,以阻止所有入站和出站连接(除了真正需要的连接)。但我不知道具体该怎么做,也不知道哪些端口是真正需要的。
我还被建议完全锁定通过 SQL 身份验证连接到 SQL 服务器,并且只使用 Windows 身份验证。但是我的 ASP Classic 应用程序还能使用 SQL 服务器吗?
该服务器用于网站托管、SQL 数据库托管和邮件服务器(POP3、SMTP 和 IMAP)。该服务器还安装了 Parallels PLESK,包括 HORDE Webmail。
我已经截取了服务器防火墙设置的屏幕截图(http://www.oltm.dk/x/settings.jpg)并导出防火墙入站规则(http://www.oltm.dk/x/inbound.txt)和出站规则( ww.oltm.dk/x/outbound.txt )
我是 Windows Server 2008 R2 的新手,所以如果我遗漏了一些显而易见的东西,请原谅我:)
谢谢!
答案1
我一般同意封锁所有不必要的东西。现在看来你把所有东西都打开了。
ASP classic 仍应能够直接访问 SQL,但您需要进入 IIS 并更改其模拟的用户帐户,并授予该帐户访问 SQL 中所需的任何信息的权限。我建议为此创建一个新帐户,并仅授予该帐户访问其工作所需的文件和组件的权限。我同意外部 SQL 访问通常不是一个好方法。我可能还会编写一些 SQL 脚本,并确保新用户帐户不能执行删除或修改架构之类的操作。基本上尽可能减少您的暴露。
看起来您可能只需要 25、110、143、80、443,如果您的 Webmail 未集成 IIS,则需要使用任何端口,以及您可能需要的任何远程访问端口(如果您需要 RDP,则需要 3389)。请记住,您可以允许内部端口并限制外部端口(因此 Windows 防火墙中有三个部分)。
这个盒子前面有硬件防火墙吗?你也可以考虑一下。在我看来,我宁愿用另一个专用设备来处理流量负载,也不愿让 SQL/IIS 盒子因虚假访问尝试而陷入困境。