在这些机器上先安装windows 2003 server操作系统。
一般标配的dell PE2950,安装win 2003 server,没什么问题。可是我这几台配置稍高了些,安装过程有些问题,现在记录下,以方便遇到类似问题的朋友。
如此高配置的服务器,没有安装先例,只能摸索。
一、准备工作
1.双孔USB光驱,保证能有足够电压供豪华dell使用(如果服务器没有光驱的话)
2.Dell给的特定的引导光盘,必须是dell的售后提供的,网上下载的没用
3.可以事先请SA帮忙做好RAID策略
二、引导
由于机器没有预装的引导,需要我们自己使用光盘来引导。
引导是最麻烦的过程。需要拿到dell给的特定引导光盘,不可从网上下载(试到吐血也没用的)。开机->按F11进入boot->选择从DVD启动->等待引导驱动。
图形界面出来后,选择语言版本->选择安装操作系统。
进入服务器设置,按照提示逐个进行设置。过程中需要填写用户名、ProductID、计算机名、DNS、网关等信息;还需要配置RAID和物理磁盘等。
切记勾选自动弹出引导盘。
之后进入真正的安装操作系统阶段。自动引导到一定阶段后,会弹出引导盘并提示插入win 2003 server的安装光盘。插入,自动复制CD中的内容。
这里也是十分令人郁闷的,明明你的光盘是没有问题的,机器却不停提示插入的安装盘有问题。怎么办?退出来重插。如果重复两三次还是提示安装盘有问题的话,就该怀疑USB光
驱有问题了(光驱坏了,或者2950对你的USB光驱识别不好,电压不足等)。换个好的光驱吧… NND,如果遇到这种倒霉的事,也没办法…
三、Win2003 server安装
重启服务器,在确保win2003 server还保留在光驱中的前提下,按照提示一步步进行操作。它会不停的重启,甭管它,只要能装到最后成功了就好!
注意:即便引导成功,在安装的时候也可能跳出蓝屏报错。也只能自认倒霉,重新引导吧,实在没办法。该过程会白白耗掉1个小时左右的时间…
四、配置
需要设置密码、配置远程连接、分区、设置更新等工作。
最后,要注意,2950下引导盘要选择性5.0或者6.0的版本,太高的版本,不支持windows server 2003的引导安装了。
这个我是遇到过,切记。
建议设置
极限测试
在高级tcp/ip设置里--"NetBIOS"设置"禁用tcp/IP上的NetBIOS(S)"。
放开使用到的端口,如果修改了远程桌面的端口,别忘记添加上。如果有邮件服务器的话还要放开SMTP服务器端口25 POP3服务器端口110。对外提供服务的端口都要加上,不然无法访问服务。
下 cacls.exe; cmd.exe; net.exe; net1.exe; ftp.exe; tftp.exe; telnet.exe; netstat.exe; regedit.exe; at.exe; attrib.exe; format.com 文件只给 Administrators 组和SYSTEM 的完全控制权限。可查找一下统一设置,或者编辑一份批处理,使用cacls命令处理。
本地策略→审核策略
审核策略更改 成功 失败
审核登录事件 成功 失败
审核对象访问 失败
审核过程跟踪 无审核
审核目录服务访问 失败
审核特权使用 失败
审核系统事件 成功 失败
审核账户登录事件 成功 失败
审核账户管理 成功 失败
本地策略→用户权限分配
关闭系统:只有Administrators组、其它全部删除。
通过终端服务允许登陆:只加入Administrators,Remote Desktop Users组,其他全部删除
本地策略→安全选项
交互式登陆:不显示上次的用户名 启用
网络访问:不允许SAM帐户和共享的匿名枚举 启用
网络访问:不允许为网络身份验证储存凭证 启用
网络访问:可匿名访问的共享 全部删除
网络访问:可匿名访问的命 全部删除
网络访问:可远程访问的注册表路径 全部删除
网络访问:可远程访问的注册表路径和子路径 全部删除
帐户:重命名来宾帐户 重命名一个帐户
帐户:重命名系统管理员帐户 重命名一个帐户
【禁用不必要的服务 开始-运行-services.msc】
Computer Browser :维护网络上计算机的最新列表以及提供这个列表
Distributed File System :局域网管理共享文件,不需要可禁用
Distributed Link Tracking Client :用于局域网更新连接信息,不需要可禁用
Error Reporting Service :禁止发送错误报告
Messenger :传输客户端和服务器之间的 NET SEND 和 警报器服务消息
Microsoft Serch :提供快速的单词搜索,不需要可禁用
NT LM Security Support Provider :telnet服务和Microsoft Serch用的,不需要可禁用
Print Spooler :如果没有打印机可禁用
Remote Desktop Help Session Manager :禁止远程协助
Remote Registry:禁止远程修改注册表
Server :支持此计算机通过网络的文件、打印、和命名管道共享
Task scheduler :允许程序在指定时间运行
TCP/IPNetBIOS Helper :提供 TCP/IP 服务上的 NetBIOS 和网络上客户端的 NetBIOS 名称解析的支持而使用户能够共享文
Workstation :关闭的话远程NET命令列不出用户组
以上是在Windows Server 2003 系统上面默认启动的服务中禁用的,默认禁用的服务如没特别需要的话不要启动。
【卸载最不安全的组件】
最简单的办法是直接卸载后删除相应的程序文件。
将下面的代码保存为一个.BAT文件,( 以下以win2003为例系统文件夹应该是 C:WINDOWS )
regsvr32 /u C:WINDOWSsystem32wshom.ocx
regsvr32 /u C:windowssystem32wshext.dll
regsvr32 /u C:WINDOWSsystem32shell32.dll
如果有可能删除这些组件
del C:WINDOWSsystem32shell32.dll
del C:WINDOWSsystem32wshom.ocx
del C:windowssystem32wshext.dll
然后运行一下,WScript.Shell, Shell.application, WScript.Network就会被卸载了。
去http://www.ajiang.net/products/aspcheck/下载阿江的探针查看相关安全设置情况。
可能会提示无法删除文件,不用管它,重启一下服务器,你会发现这三个都提示“×安全”了。
恢复的话,去掉/u就行了FSO(FileSystemObject)是微软ASP的一个对文件操作的控件,该控件可以对服务器进行读取、新建、修改、删除目录以及文件的操作。是ASP编程中非常有用的一个控件。但是因为权限控制的问题,很多虚拟主机服务器的FSO反而成为这台服务器的一个公开的后门,因为客户可以在自己的ASP网页里面直接就对该控件编程,从而控制该服务器甚至删除服务器上的文件。因此不少业界的虚拟主机提供商都干脆关掉了这个控件,让客户少了很多灵活性。我们公司的W2K虚拟主机服务器具有高安全性,可以让客户在自己的网站空间中任意使用却有没有办法危害系统或者妨碍其他客户网站的正常运行。
FSO的添加
1、首先在系统盘中查找scrrun.dll,如果存在这个文件,请跳到第三步,如果没有,请执行第二步。
2、在安装文件目录i386中找到scrrun.dl_,用winrar解压缩后scrrun.dll复制到系统盘:windowssystem32目录。
3、运行regsvr32 scrrun.dll即可。
FSO删除
regsvr32 /u scrrun.dll
建议保留
卸载stream对象
在cmd下运行:
regsvr32 /s /u "C:Program FilesCommon FilesSystemadomsado15.dll"
恢复的话,去掉/u就行了,建议保留修改远程桌面连接的3389端口为9874,十六进制2692等于十进制9874,根据需要修改成合适的端口。将下面的内容保存为.reg文件,导入注册表即可。(非必需)
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlTerminal ServerWdsrdpwdTdstcp]
"PortNumber"=dword:00002692
[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlTerminal ServerWinStationsRDP-Tcp]
"PortNumber"=dword:00002692
杀毒
这里介绍MCAFEE 8.5i 中文企业版(s.有的下载)
因为这个版本对于国内的许多恶意代码和木马都能够及时的更新.
比如已经能够检测到海阳顶端2006
而且能够杀除IMAIL等SMTP软件使用的队列中MIME编码的病毒文件
而很多人喜欢安装诺顿企业版.而诺顿企业版,对于WEBSHELL.基本都是没有反应的.
而且无法对于MIME编码的文件进行杀毒.
在MCAFEE中.
我们还能够加入规则.阻止在windows目录建立和修改EXE.DLL文件等
我们在软件中加入对WEB目录的杀毒计划.
每天执行一次
并且打开实时监控.
注意:安装一些杀毒软件会影响ASP地执行,是因为禁用了jscript.dll和vbscript.dll组件
在dos方式下运行 regsvr32 jscript.dll, regsvr32 vbscript.dll解除限制即可
比如出现 请求的资源在使用中
regsvr32 %windir%system32jscript.dll
regsvr32 %windir%system32vbscript.dll
IIS 6.0网站架设
IIS是微软推出的一套架设WEB、FTP、SMTP服务器的整合系统组件,主要捆绑在微软的Windows 2003等服务器操作系统中。Windows 2003不仅集成有IIS 6.0,而且还带有一个web版本,专门用于web服务的各种web接口应用,功能极其完美。
一、IIS 6.0概述
IIS 6.0包含在Windows Server 2003服务器的四种版本之中:数据中心版、企业版、标准版和Web版。另外,再说一个最常见的IIS 6.0问题:IIS 6.0不能在Windows XP、2000或NT上运行。除了本文开头介绍的Windows 2003 Web版本以外,Windows 2003的其余版本默认都不安装IIS,跟以前IIS版本的差异也很大,比较显著的就是提供POP3服务和POP3服务Web管理器支持。另外,在windows 2003下的IIS安装可以有三种方式:传统的“添加或删除程序”——“添加/删除Windows组件”方式、利用“管理您的服务器”向导和采用无人值守的智能安装。
二、IIS 6.0安装过程
我们还是采用熟悉的在控制面板里安装的方式进行。在控制面板里选择“添加或删除程序”中的“添加/删除Windows组件”。双击“应用程序服务器”,再双击“Internet信息服务”,选中“万维网服务”(注:此选项下还可进一步作选项筛选,请根据自己需要选用,如图1所示),点确定即可安装完成。
图1
三、配置IIS 6.0
1. 同其它windows平台一样,此时默认Web站点已经启动了。但请大家注意,IIS 6.0最初安装完成只支持静态内容(即不能正常显示基于ASP的网页内容),因此首先要做的就是打开其动态内容支持功能。依次选择“开始-“程序-“管理工具-inter信息服务管理器”,在打开的IIS管理窗口左面点“web服务扩展”,如图2所示,将鼠标所在的项“ASP.NET v.1.1.4322”以及“Active Server Pages”项启用(点允许)即可。此外安装asp.net2.0,php以及cgi的配置等等,就不在这里详细讲解了。
图2
2. 实现WAP应用
WAP是Wireless Application Protocol,即无线应用协议。同时这也是一个开放的全球标准,可以使移动电话和其他无线终端的用户快速安全地获取互联网及企业内部网的信息及其他通信服务。配置路径在网站属性窗口的HTTP最后一个内容框“MIME类型”处。点击右下角“MIME类型”后如图3所示,通过新建按钮来注册MIME类型,确定即可。此外,像.iso,.exe等文件的下载也是需要在这里添加才行。比如添加.iso文件下载,扩展名为:.iso,类型为:application.下图为添加.iso注册和配置wap后的效果:
图 3
四.网站的架设
本节对网站的架设和简单设置做详细讲解(以asp站点为例):
打开Internet 信息服务(IIS)管理器,点击网站右键新建站点,我们这里为web,点击下一步设置ip和端口:ip为服务器的ip,端口为默认80,主机头值为网站域名。
图 4
点击下一步设置网站访问路径,我们这里是d:\web\test:
图 5
点击下一步进入网站访问权限,一般我们这里选择前两项,如果要运行cgi必须选上第三项:
图 6
点击下一步,完成网站的新建。
接下来就是网站的访问权限和一些基本设置:
A. 访问权限:
打开我的电脑属性->管理->本地用户和组->用户,新建web访问帐号,密码我们设置为123,最好将其添加为guest组(一般默认为users组)。如图:
图 7
然后打开iis,右键点击web站点->权限->添加,输入web(此处可以通过“高级”->立即查找来添加),点击确定按钮添加完成,除完全控制权限不给外,其余权限都给。如图8所示。
权限添加完成之后要对web子文件夹续权:权限->高级,选择下图所示的选项框,点击确定。
最后添加匿名访问权限。右键点击web站点->属性->目录安全性->编辑,输入用户名web,密码123(此处用户名和密码要与管理里面设置的一样),点击确定权限添加完毕。
至此,网站的访问权限设置完毕,现在你的网站就可以访问了。
图 8
B. 网站的属性设置
右键单击站点->属性:
(1)目录安全性:此处主要是匿名访问的设置,前面已经讲到过,这里就不多讲了。
(2)http头:此属性前面也讲到过,一般用的比较多的是MIME类型的添加,这里也不多作介绍了。
(3)asp.net:用来设置asp的版本。
(4)文档: 用来添加网站默认首页。
(5)性能:带宽限制和网络连接数限制。
(6)ISAPI筛选器:asp一般默认,php此处必须添加。
(7)网站:网站标识->高级,可以添加和修改绑定的域名;
启用日志记录一般设置为关闭。
(8)主目录:可以编辑网站程序路径,一般给记录访问,读取,索引资源权限;
应用程序设置: 要注意,执行权限为“纯脚本“
*配置:1.映射->应用程序扩展(各种文件格式的下载,如果是php
程序,此处需添加.dll文件)
2.选项:启用会话状态,启用缓冲,启用父路径(一定要选)都打钩。
3.调试:一般脚本错误的错误信息选择:
至此网站属性的简单设置就设置完成。
五. 常见的问题
1.未启用父路径
症状举例:Server.MapPath() 错误 'ASP 0175 : 80004005'
不允许的 Path 字符
/0709/dqyllhsub/news/OpenDatabase.asp,行 4
在 MapPath 的 Path 参数中不允许字符 '..'。
原因分析:
许多Web页面里要用到诸如../格式的语句(即回到上一层的页面,也就是父路径),而IIS6.0出于安全考虑,这一选项默认是关闭的。
解决办法:在IIS中 属性->主目录->配置->选项中。把”启用父路径“前面打上勾。确认刷新。
如下图所示:
2:ASP的Web扩展配置不当(同样适用于ASP.NET、CGI)
症状举例:
HTTP 错误 404 - 文件或目录未找到。
原因分析:
在IIS6.0中新增了web程序扩展这一选项,你可以在其中对ASP、ASP.NET、CGI、IDC等程序进行允许或禁止,默认情况下ASP等程序是禁止的。
解决方法:
在IIS中的Web服务扩展中选中Active Server Pages,点击“允许”。如下图所示:
3:身份认证配置不当
症状举例:
HTTP 错误 401.2 - 未经授权:您为被授权查看该页。
原因分析:
一般造成的原因是匿名访问权限和网站的访问权限的帐号和密码不一致造成的, 再前面已经讲到过具体的操作。
解决方法:
管理里面新建的web访问帐号和密码与匿名访问里的帐号和密码保持一致,并且添加到网站的访问权限上。
4:IUSR账号被禁用
症状举例:
HTTP 错误 401.1 - 未经授权:访问由于凭据无效被拒绝。
原因分析:
由于用户匿名访问使用的账号是IUSR_机器名,因此如果此账号被禁用,将造成用户无法访问。
解决办法:
控制面板->管理工具->计算机管理->本地用户和组,将IUSR_机器名账号启用。
5. :MIME设置问题导致某些类型文件无法下载(以ISO为例)
症状举例:
HTTP 错误 404 - 文件或目录未找到。
原因分析:
IIS6.0取消了对某些MIME类型的支持,例如ISO,致使客户端下载出错。
解决方法:
在IIS中 属性->HTTP头->MIME类型->新建。在随后的对话框中,扩展名填入.ISO,MIME类型是application。
另外,防火墙阻止,ODBC配置错误,Web服务器性能限制,线程限制等因素也是造成IIS服务器无法访问的可能原因,这里就不再一一馈述了。