利用WINDOWS 2003 SP1和SCW加强你的EXCHANGE服务器的安全性

介绍
为了增加操作系统的安全性，微软在XP SP2里首次发布了新的主机防护产品--WINDOWS防火墙。该产品不仅可以取代原来的ICF给网络带来更大的保护，同时可以象真正意义上的防火墙那样，设置多种策略并可以统一管理。为我们的网络安全（尤其是单机安全）带来了方便。从这一点来说，WINDOWS防火墙可以说是一个全新意义的产品，它不仅改变了WINDOWS操作系统长期来的不安全因素，同时更在操作系统核心层对系统加以了安全防护，比起那些外挂的防火墙产品，更有亲和力和兼容性。

在经过了很长时间的期待后，终于我们在WINDOWS 2003的SP1里也看到了和XP SP2一样的安全更新，其中最突出的当然要属WINDOWS防火墙和SCW（安全配置向导）了。关于这方面的东西，我想介绍的很多了。我就不详细的描述它了。在这里我将把SP1的优越安全特性应用到保护EXCDHANGE服务器上，请看。

WINDOWS防火墙结构






注意：在这个范围里，你可以方便的选择防火墙的作用范围




你可以根据需要，开放特定的服务端口，比如EXCHANGE的SMTP（TCP 25）端口，用来使用OWA的HTTPS（TCP 443）等。开启日志记录功能可以更好的帮助你识别入侵







安全配置向导（SCW）
安全配置向导（SCW）是2003 SP1里的一个亮点，它可以帮助我们快速建立一个安全的系统策略。而不必去理会那些复杂的安全策略和其内涵。
SCW在安装完SP1后是默认不安装的，你需要通过增加/删除程序来安装这个组件。


安装后，你可以通过管理工具来运行它，或在运行里输入“SCW”也可以。










进入配置界面后，经过收集信息，就会进入角色安全配置向导了。你会发现在这其中列出了许多的角色。比如我们这里看到的EXCHANGE服务器。


客户属性、附加的管理特性和服务选项










网络安全部分


定义开放的端口




接下来是依据服务定义需要的端口


注意，出现错误了！！！


这说明你的EXCHANGE服务器没有按默认位置安装，这时你需要手工的修改默认的程序路径，使用你的实际路径取代系统的默认路径。具体请阅读KB http://support.microsoft.com/?id=896742。
为了更加安全，你还可以对端口开放的区域做出限制，如只限制在内部网络。



限制OUTLOOK使用的端口

OUTLOOK默认情况下，会使用较多的端口用于RPC通信。我们可以部署RPC OVER HTTPS或通过修改注册表来限制它。
参考KB：http://support.microsoft.com/kb/270836/zh-cn


然后在SCW里，增加特定的端口。





配置多个服务器
一切完成，我们把配置信息导出成XML文件，然后可以利用SCW来配置其他的服务器了。


当然也可以利用GPO来统一配置。



结论
WINDOWS 防火墙和SCW可以帮助你方便的维护服务器的安全，这并不是要你放弃企业的边界防火墙或安全设备，但它提供了一种简便的维护服务器安全的方法。