本人上次工作于某家網(wǎng)絡(luò)公司.負(fù)責(zé)服務(wù)器的維護(hù)工作.現(xiàn)失業(yè).
經(jīng)過一段時(shí)間的了解.自認(rèn)為在構(gòu)件Windows服務(wù)器平臺(tái)上有所經(jīng)驗(yàn).
鑒于現(xiàn)在很多朋友都開始謀劃屬于自己的虛擬主機(jī).并且呢.
網(wǎng)上相關(guān)文章都是很老的那種.所以自己冒昧準(zhǔn)備寫一系列. 
希望各位多多指點(diǎn).有問題有錯(cuò)誤多多斧正.謝謝.
開頭很嚴(yán)肅吧.呵呵.那下面就輕松點(diǎn).哎.才跟GF去吃午飯了.撐的我.哎.老打嗝.
這人跟機(jī)器就一樣.快的確是挺好.但是要穩(wěn)定.服務(wù)器的穩(wěn)定就好比談戀愛的穩(wěn)定.
否則一天三頓吵.外加吃個(gè)消夜.那就甭想好點(diǎn)工作了.呵呵.要建立穩(wěn)定的戀愛關(guān)系.
那首先.基礎(chǔ)很重要.人品.性格.愛好.對(duì)不對(duì)?那我們就先說硬件吧.
當(dāng)然推薦品牌的服務(wù)器.DELL.IBM.都挺好.如果你跟我一樣窮.那自己裝一臺(tái)也成.
主板非IWLL.ASUS.INTEL的不要.CPU當(dāng)然要HT P4的.512 DDR.裝起來也湊合.
自己曾經(jīng)用一PC做過一段時(shí)間的測(cè)試.如果硬件質(zhì)量都過關(guān).其實(shí)也非常強(qiáng).
然后是重要的服務(wù)器操作系統(tǒng).鑒于本人水平有限制.我們暫時(shí)不探討REDHAT.
首推Windwos Server 2003.尤其是安全性和IIS.比W2K要強(qiáng)很多.執(zhí)行效率高.穩(wěn)定安全.
在正式進(jìn)入主題之前.套用FIRE的話作為整個(gè)工程的開場(chǎng)白:
"請(qǐng)不要嘗試去攻擊任何一臺(tái)主機(jī).因?yàn)槟阌肋h(yuǎn)都無法知道.
你的對(duì)面的管理員.到底是一個(gè)天才還是一個(gè)偽裝成白癡的天才."
裝系統(tǒng)估計(jì)人人都會(huì)裝.那我不多說.免得人說我騙稿費(fèi).在安裝之前.我們還是要談下服務(wù)器的分區(qū).
跟PC分區(qū)還是有一點(diǎn)不同的.我按我以前自己做的分區(qū)設(shè)置羅列一下.下面的內(nèi)容比較重要.
系統(tǒng)分區(qū)定在C盤.個(gè)人認(rèn)為8G足夠了.10G也行.NTFS格式.因?yàn)樵?003下.非NTFS不能安裝IIS.
權(quán)限保持默認(rèn).因?yàn)槲以?jīng)修改過一次系統(tǒng)盤的默認(rèn)權(quán)限.結(jié)果不知道為什么系統(tǒng)就給崩了.55555.
軟件分區(qū)定在D盤.8G到10G.主要安裝輔助軟件.WINRAR.日志檢測(cè)軟件.網(wǎng)絡(luò)檢測(cè)軟件.Commview這類等.
至于MSN哦.QQ哦什么的.其實(shí)不推薦安裝.為什么.當(dāng)然會(huì)有點(diǎn)小隱患.推薦使用NTFS格式.
權(quán)限請(qǐng)保留ADMIN組和SYSTEM組.一共兩個(gè).其他的一律DEL掉.尤其是什么EVERYONE.
為什么.因?yàn)榘惭b到系統(tǒng)中SYSTEM當(dāng)然是必須具備.然后管理員要操作.所以要ADMIN組.
E盤我們做為服務(wù)器軟件的安裝分區(qū).大小自己定義.包括CGI.PHP.ZEND.MYSQL.MSSQL.IMAIL.SERV-U等.
文件格式為NTFS.權(quán)限保留ADMIN組.SYSTEM組.和"IWAN_你的計(jì)算機(jī)名"這個(gè)帳號(hào).一共三個(gè).其他的DEL掉.
說明一下.這個(gè)"IWAN_你的計(jì)算機(jī)名"帳號(hào).主要是負(fù)責(zé)操作應(yīng)用程序地址池和服務(wù)器軟件.比如PHP腳本.
F盤就可以做對(duì)外服務(wù)的分區(qū).比如IIS的WEB服務(wù).FTP空間.IMAIL郵件帳號(hào)空間.
建議建立三個(gè)文件夾: WEB.FTP和IMAIL.然后分門別類的放置每個(gè)軟件的每個(gè)帳號(hào)的目錄.
并且不繼承F盤的父權(quán)限.獨(dú)立來定制這三個(gè)目錄的操作權(quán)限.具體我們下面說.
推薦權(quán)限為保留如下三個(gè)組: ADMIN組和SYSTEM組以及"USER_你的計(jì)算機(jī)名"這個(gè)帳號(hào)組.
"USER_你的計(jì)算機(jī)名"這個(gè)帳號(hào)組.權(quán)限為GUESTS.是匿名訪問WEB服務(wù)器的默認(rèn)帳號(hào).
如果需要有寫操作權(quán)限的另外建立個(gè)帳號(hào).具體可以參考FSO分配這類文章.
G盤為FTA32格式.放置系統(tǒng)安裝文件.日常工具軟件的安裝程序.系統(tǒng)備份.策略等等.
注意.敏感內(nèi)容請(qǐng)通過第三方軟件加密.以免病毒感染或者被黑客綁后門和木馬.
如果條件允許就做異地備份.光盤或者磁帶機(jī)備份.建議裝個(gè)GHOST 2003.對(duì)于重要內(nèi)容可以做鏡像文件.
到這里基本上比較合理的分配了空間.并且也考慮以后的拓展性.我們可以準(zhǔn)備進(jìn)入下面的環(huán)節(jié)了.
下面我們來說安裝.哎哎.你.坐好.雖然我出去了一下.出去的一小下而已嘛.
你也要注意紀(jì)律.什么?說我只知道陪MM不寫教程.你知道個(gè)啥.兩手都要硬.明白不?
安裝的情況.這個(gè).一般情況下分兩種.不排除有變態(tài)的第N種可能.
對(duì)了.有一期科幻世界上有一篇叫第九種可能的文章.挺不錯(cuò)的.哦哦.打住打住.
首先是升級(jí).WINDOWS 2003好象不支持WINDOWS 2000 PRO上的升級(jí).
個(gè)人推薦還是別整什么升級(jí)的好.直接重新安裝.免去了很多D版出現(xiàn)的妖異問題.
掃盲: 妖異問題就是一些搞半天搞不好不知道怎么搞不好最后不知道怎么自己搞好或者是別人隨便一搞就搞好的問題.
直接安裝.如果你的系統(tǒng)是好的.我是說.可以進(jìn)入系統(tǒng)并且可以使用CD-ROM的情況.
你可以選擇直接在現(xiàn)有的系統(tǒng)上安裝.然后選擇重新安裝.輸入SN序列號(hào).直接NEXT就可以了.
注意在安裝的時(shí)候.如果你做對(duì)外的服務(wù)器就選擇系統(tǒng)盤為NTFS格式.分區(qū)方案見上面的.
如果你是自己用.做本地調(diào)試或者是測(cè)試的.那就隨便你怎么弄吧.只要你覺得舒服.
OK.下面來說一下純DOS里面的安裝.雖然是很OLD的內(nèi)容.
在DOS里面要使用一個(gè)名為 Smartdrv.exe 的命令.
意思是增補(bǔ)磁盤高速緩存.什么意思?我不想跟 IQ < 70 的人探討技術(shù)問題.
這個(gè)命令可以在 Windows 98 的安裝目錄里找到.直接執(zhí)行就可以了.不需要增加參數(shù).
執(zhí)行結(jié)果以后是什么樣?沒什么樣.你多執(zhí)行幾次就會(huì)看到效果了.知道不?
然后執(zhí)行 FORMAT C: /S/Q 切記.
如果你想保證你的 WINDOWS 2003 以后能擁有 DOS 啟動(dòng)進(jìn)入 MS-DOS 環(huán)境的話.
請(qǐng)一定按照我上面說的做.只要在安裝 WINDOWS 20003 之前把系統(tǒng) FORMAT 以后.
以后安裝完 WINDOWS 2003 以后.可以通過如下方法進(jìn)入 純DOS 環(huán)境而不需要其他引導(dǎo)光盤.
啟動(dòng)計(jì)算機(jī).按 F8 鍵.進(jìn)入 WINDOW 2003 SERVER 的操作系統(tǒng)高級(jí)選擇菜單.
選擇 帶命令的安全模式 然后選擇 MICROSOFT WINDWOS 即可.
另外一個(gè)命令.說實(shí)話我也不知道是做什么用的.名為 Lock.exe 的命令.
看樣子似乎是鎖定.一般的用法是執(zhí)行完 Smartdrv.exe 以后執(zhí)行一個(gè) Lock.exe C: 假設(shè)你要裝到C盤.
Lock.exe命令 - 解釋:
執(zhí)行該程序可有效地鎖住你的光驅(qū).
使光驅(qū)上的EJECT鍵暫時(shí)失效.直至用UNLOCK.EXE或RESET.EXE程序解鎖.
重新啟動(dòng)計(jì)算機(jī)也可使EJECT鍵再次生效.
LOCK.EXE的應(yīng)用格式為:
LOCK [device]
其中device即CD-ROM的盤號(hào).默認(rèn)為第一光驅(qū).
總結(jié)一下流程.HOHO.
1. 修改 CMOS 為 CD-ROM 引導(dǎo).不會(huì)?那一邊涼快去.
2. 放入 Windows 98 引導(dǎo)光盤.進(jìn)入Dos模式.進(jìn)入 Windows 98 安裝目錄.執(zhí)行 Smartdrv.exe 和 Lock.exe C:
3. 彈出光盤.更換一張 Windows 2003 Server 的安裝光盤.進(jìn)入 I386 目錄.執(zhí)行 Winnt.exe
好了.開始安裝了.隨便說一句.在安裝的時(shí)候請(qǐng)不要設(shè)置Administrator的密碼.就為 Null 空著.
為什么.你不聽我話算了.以后出現(xiàn)問題了別找我.也不要怪我沒說.
下面就進(jìn)入最關(guān)鍵的環(huán)節(jié)了.大家振作精神.
如果你硬盤空間足夠的話.并且現(xiàn)在時(shí)間也比較充足.那我推薦下面的步驟.
1. 重新啟動(dòng)系統(tǒng).按F8.進(jìn)入命令提示的模式.選擇 MICROSOFT WINDWOS.
2. 進(jìn)入 DOS 以后.啟動(dòng) GHOST.做個(gè) WINDOWS 2003 C盤的 GHO 文件.放到 FAT32 分區(qū)上.
關(guān)于第一點(diǎn).請(qǐng)認(rèn)真參看上面關(guān)于在 WINDOWS 2003 上進(jìn)入純 DOS 的內(nèi)容.
如果你沒有按我前面說的做.那就使用 CD-ROM 引導(dǎo).然后修改 CMOS 啟動(dòng).進(jìn)入 DOS 環(huán)境.
做好GHO文件以后.就不怕以后萬(wàn)一崩潰以后重新安裝的麻煩.
當(dāng)然.你也可以把 "小白" 更新 Windows Update 以后做GHO.
本人推薦把干凈的系統(tǒng)通過 更新 Windows Update 以后.什么都不做.然后直接GHOST做GHO.不過前提是你比較了解系統(tǒng).
下面繼續(xù).GOGO.
把NIC卡.也就是網(wǎng)卡啦.禁用.然后設(shè)置好IP和DNS.GATEWAY.不要啟用.切記.
為什么?因?yàn)槿绻鉙ERVER.那當(dāng)然你一旦設(shè)置好NIC信息就可以上網(wǎng)了.但是在安裝的時(shí)候沒有設(shè)置 ADMINISTRATORS 的密碼.
所以連入網(wǎng)絡(luò)就會(huì)不安全.別說一會(huì)兒沒事.我們不能保證無聊的人在窺視你的網(wǎng)絡(luò).呵呵.萬(wàn)一遇到個(gè)瞎貓也不好嘛.
現(xiàn)在服務(wù)器暫時(shí)無法連通任何網(wǎng)絡(luò).
這樣可以防止裸機(jī)被沖擊波或者HACKER掃描.
可以說是安全的.推薦這個(gè)時(shí)候操作人員不要離開工作臺(tái).呵呵.
下面高舉注冊(cè)表和組策略大法.開始我們的核心之旅途.
在開始之前.我想說的是.我們必須深入了解這臺(tái)服務(wù)器的用途.
每種用途針對(duì)不同的設(shè)置和部署策略.只有最合適的也才可能是最安全的.
按我下面的例子繼續(xù)展開.GO.
我選了一個(gè)比較典型的例子.比如一臺(tái)服務(wù)器.準(zhǔn)備作為WEB+FTP+MAIL服務(wù).
分細(xì)致一點(diǎn)列在下面:
1. WEB當(dāng)然是使用 IIS 6.0 支持 ASP.PHP.CGI 腳本.
2. FTP使用 SERV-U 5.0 中文版
3. MAIL使用 IMAIL 8.02 中文版
4. 數(shù)據(jù)庫(kù)使用 MYSQL 數(shù)據(jù)庫(kù).當(dāng)然是 5.0 版本的.PHP 也用 5.0.
5. 其他的.比如ZEND.JMAIL一律使用官方最新版本.
上面這類軟件推薦在官方網(wǎng)站下載.或者是去 www.SKYCN.NET 下載.
按照上面的列表.我們可以得到最后的結(jié)果.開放端口如下:
80 => WEB
21 => FTP
25 => MAIL
110 => MAIL
3389 => 終端服務(wù)
8383 => MAIL WEB
我們可以按照上面的.以后做個(gè)可靠的IP和PORT策略.
即除了上面的TCP PORT.一律給予BLOCK.
當(dāng)然了.推薦也將ICMP ECHO給予關(guān)閉.
如果你需要遠(yuǎn)程管理.推薦使用 PCANYWHERE 或者 WIN的終端服務(wù) 或者 WINVNC.
該例子我們選用了 WINDOWS 2003 的終端服務(wù).所以上面開放了 3389 端口.
隨便說一下.網(wǎng)上有很多人很多教材推薦要通過注冊(cè)表修改終端服務(wù)的端口.
這里我想說的是.根本不需要.完全是杞人憂天.自己耽誤工夫.
對(duì)于現(xiàn)在的 SP4 的 W2K 或者是 WINDOWS 2003.
終端服務(wù)已經(jīng)非常完善和安全.如果一個(gè)管理員通過合理和正確的配置.
完全可以讓服務(wù)器.我是說.裸機(jī).暴露在網(wǎng)上承受每天10W次的掃描和嘗試攻擊.
除腳本漏洞以外.幾乎是沒有什么安全