Windows Server 2008四方面增強(qiáng)全面評(píng)估(2)

1. Server Core

首先推出的是微軟windows Server 2008中全新的一個(gè)產(chǎn)品：服務(wù)器核心版。它是一個(gè)沒(méi)有圖形的純字符界面的操作系統(tǒng)，微軟對(duì)它的定位非常明確：安全穩(wěn)定的小型專(zhuān)用服務(wù)器。這個(gè)產(chǎn)品由于沒(méi)有圖形，并且建議在這個(gè)產(chǎn)品上跑特定的服務(wù)，故安全性相當(dāng)高，一般可以考慮放在IT管理力量薄弱的分支機(jī)構(gòu)，如果同時(shí)在Server Core上跑RODC（只讀域控制器，后面會(huì)有講解），那么在保證分支機(jī)構(gòu)安全的前提下，又大大提高了分支機(jī)構(gòu)用戶(hù)的登錄速度，豈不兩全齊美。而且該產(chǎn)品對(duì)硬件依賴(lài)性相當(dāng)?shù)停耆惭b還不到3G，如果你對(duì)Linux情有獨(dú)鐘，不妨一試，想信Server Core會(huì)讓你愛(ài)不釋手的。

2. 高級(jí)安全防火墻（全新的IPSec和防火墻集成）

如果你以前比較喜歡windows2003下的防火墻和IPSec的話(huà)，也許你對(duì)二者設(shè)置沖突而導(dǎo)致相應(yīng)的IPSEC策略不能如你所愿耿耿于懷吧？！又或許你認(rèn)為微軟的防火墻對(duì)入站規(guī)則太薄弱了？或者你在想，IPSEC固然好，但人性化欠缺，操作過(guò)于復(fù)雜，并且不能對(duì)用戶(hù)做身份驗(yàn)證！那我今天就告訴你，試試WFAS（高級(jí)安全防火墻）吧，它解決了你所有疑問(wèn)，而且更偉大的是可以根據(jù)你計(jì)算機(jī)的連入網(wǎng)絡(luò)不同從而可以選擇不同的網(wǎng)絡(luò)配置文件，不同的網(wǎng)絡(luò)配置文件又可以設(shè)置不同的策略。WFAS也是我經(jīng)常推薦給客戶(hù)的一個(gè)管理工具，也是我特別喜歡的一個(gè)工具。

3. VPN的增強(qiáng)

VPN幾乎已經(jīng)家喻戶(hù)曉了，當(dāng)今有很多企業(yè)在使用，但由于以前版本的操作系統(tǒng)只提供PPTP和L2TP/IPSec兩種類(lèi)型的VPN，使用有一定的局限性，比如需要在企業(yè)防火墻上開(kāi)放相應(yīng)的端口，有時(shí)為了安全用戶(hù)不想開(kāi)放這些端口，而世面上有很多硬件VPN，走的是443端口，很方便，但用戶(hù)的控制策略又相對(duì)很差或價(jià)格昂貴，讓用戶(hù)兩難選擇。現(xiàn)在win08中新增加了SSTP VPN，直接走443端口，結(jié)合證書(shū)，安全可靠，實(shí)在是企業(yè)用戶(hù)的一個(gè)福音。

4. NAP--提高對(duì)公司內(nèi)網(wǎng)資源的保護(hù)

現(xiàn)在企業(yè)對(duì)內(nèi)網(wǎng)資源的安全非常重視，有的企業(yè)要求用戶(hù)使用EFS（加密文件系統(tǒng)），有的要求使用BitLocker加密計(jì)算機(jī)驅(qū)動(dòng)器，使用BitLocker to GO加密移動(dòng)存儲(chǔ)，有的統(tǒng)一啟用防火墻或IPSec等等，（其實(shí)，BitLocker和BitLocker to GO這些技術(shù)在win08中都存在）這些固然重要，但卻忽略了一點(diǎn)，接入層的安全問(wèn)題，比如用戶(hù)出差通過(guò)VPN拔入網(wǎng)絡(luò)，如果那臺(tái)拔號(hào)的計(jì)算機(jī)不安全，會(huì)不會(huì)把危害帶進(jìn)企業(yè)網(wǎng)絡(luò)？比如客戶(hù)端計(jì)算機(jī)如果不打相應(yīng)的更新補(bǔ)丁或安裝相應(yīng)的殺毒軟件，有沒(méi)有強(qiáng)制的措施讓該用戶(hù)無(wú)法和企業(yè)網(wǎng)絡(luò)通信？因?yàn)槿绻苷Ｍㄐ趴赡軙?huì)把危害帶進(jìn)企業(yè)網(wǎng)絡(luò)，等這些計(jì)算機(jī)安全了，我們可以讓它自動(dòng)和企業(yè)網(wǎng)絡(luò)通信。其實(shí)win08新增的NAP（網(wǎng)絡(luò)訪問(wèn)保護(hù)）功能就可以幫助企業(yè)實(shí)現(xiàn)這些要求，而NAP又分多種類(lèi)型，從而應(yīng)用到不同的場(chǎng)合。

5. windows 2008 R2具備win7的所有安全特性

如果你對(duì)win7特別熟悉，那么恭喜你，win7的所有安全特性同樣適合于windows 2008 R2，如UAC、BitLocker、EFS、多重本地組策略、AppLocker等。

6. 聯(lián)合權(quán)限管理(Federated Rights Management)

Win08擁有全面集成的 Federated Rights Management Services 解決方案，使企業(yè)能方便地?cái)U(kuò)展 Rights Management 框架，確保重要信息在合作伙伴之間安全共享，避免了維護(hù)企業(yè)外用戶(hù)賬戶(hù)而造成的額外工作負(fù)擔(dān)。如果你以前用過(guò)RMS的話(huà)，肯定會(huì)對(duì)RMS的部署有所偏見(jiàn)，在今天的Win08中已經(jīng)集成的RMS，并且部署方便快捷。同時(shí)還集成了AD FS（AD聯(lián)合服務(wù)）從而實(shí)現(xiàn)在合作伙伴之間的安全業(yè)務(wù)往來(lái)，從而實(shí)現(xiàn)真正的聯(lián)合身份驗(yàn)證。

7. RODC（只讀域控制器）

活動(dòng)目錄，一直以來(lái)是企業(yè)集中進(jìn)行資源管理的利器，因?yàn)橥ㄟ^(guò)活動(dòng)目錄我們可以方便的管理各種軟硬件資源，如用戶(hù)、計(jì)算機(jī)、打印機(jī)、共享文件夾等，而且還可以方便的管理分布式應(yīng)用程序，如Exchange等。同時(shí)如果你企業(yè)的應(yīng)用程序很多，通過(guò)活動(dòng)目錄還可以實(shí)現(xiàn)單一登錄及單一身份驗(yàn)證。但由于活動(dòng)目錄中的域控制器是多主機(jī)復(fù)制模式，也就意味著所有的域控制器身份一致，都是可以寫(xiě)入信息的。而如果你的企業(yè)存在分支，并在分支機(jī)構(gòu)部署一臺(tái)可寫(xiě)域控制器，安全性往往讓人憂(yōu)慮，因?yàn)橐坏┻@臺(tái)域控制器丟失，企業(yè)的損失無(wú)法估量。這在以前沒(méi)有比較好的解決方案，有時(shí)為了安全考慮，分支不放域控制器，導(dǎo)致用戶(hù)登錄的速度很慢。現(xiàn)在有了win08，這個(gè)問(wèn)題也就解決了，RODC就是專(zhuān)門(mén)為分支機(jī)構(gòu)設(shè)計(jì)的，解決了上述你所有問(wèn)題，相信你用過(guò)后，肯定再也沒(méi)有后顧之憂(yōu)了。

8. 簡(jiǎn)化企業(yè)計(jì)算機(jī)的遠(yuǎn)程連接，VPN可以被淘汰了

許多企業(yè)面臨的一個(gè)常見(jiàn)問(wèn)題就是移動(dòng)用戶(hù)的遠(yuǎn)程連通性問(wèn)題。用戶(hù)出差了，想連入企業(yè)內(nèi)部網(wǎng)，怎么辦？一個(gè)最常見(jiàn)的解決方案就是通過(guò)VPN進(jìn)行連接。即根據(jù)VPN的種類(lèi)，用戶(hù)可以在他們的移動(dòng)計(jì)算機(jī)上安裝VPN客戶(hù)端軟件，然后通過(guò)公共網(wǎng)絡(luò)創(chuàng)建VPN拔號(hào)并連到企業(yè)內(nèi)網(wǎng)，從而和總部連通。而這個(gè)過(guò)程的創(chuàng)建需要用戶(hù)有相應(yīng)的專(zhuān)業(yè)技術(shù)，復(fù)雜又麻煩！

而在win08 R2中新增加的DirectAccess的功能能夠使Windows 7客戶(hù)端計(jì)算機(jī)直接連接到內(nèi)部網(wǎng)絡(luò)，不需要建立復(fù)雜的VPN連接。對(duì)用戶(hù)而言，在企業(yè)內(nèi)部和企業(yè)外網(wǎng)訪問(wèn)內(nèi)部資源沒(méi)有任何差別。

9. 分支機(jī)構(gòu)用戶(hù)訪問(wèn)總部資源，帶寬受限，怎么辦？

現(xiàn)在很多企業(yè)有自己的分支機(jī)構(gòu)，而分支機(jī)構(gòu)的員工經(jīng)常需要訪問(wèn)總部資源，由于分支和總部之間帶寬有限，頻繁的網(wǎng)絡(luò)訪問(wèn)，造成網(wǎng)絡(luò)利用率極低，分支員工抱怨頗多。

R2中新增的BranchCache功能，可以極大的提高分支機(jī)構(gòu)獲得總部資源的速度并有效的提高的網(wǎng)絡(luò)帶寬利用率。舉例來(lái)說(shuō)，當(dāng)一個(gè)用戶(hù)通過(guò)遠(yuǎn)程訪問(wèn)到共享資源后，這些共享資源會(huì)被存儲(chǔ)到分支特定的服務(wù)器上或這臺(tái)訪問(wèn)的客戶(hù)機(jī)上，而當(dāng)另外一個(gè)用戶(hù)再次訪問(wèn)同一內(nèi)容時(shí)，就可以從分支直接獲得，避免了再?gòu)倪h(yuǎn)程下載。

10. 客戶(hù)端需要加入域，但網(wǎng)絡(luò)經(jīng)常不穩(wěn)定，R2有了解決方案

眾所周知，活動(dòng)目錄，無(wú)疑是企業(yè)管理的最好方式，但系統(tǒng)管理員在把客戶(hù)端加入域的過(guò)程中，經(jīng)常碰到網(wǎng)絡(luò)不穩(wěn)定的情況，從而造成加域失敗。以前的windows2003環(huán)境沒(méi)有提供相應(yīng)的解決方案。

R2中新增的離線(xiàn)加域功能，很好的解決了這個(gè)問(wèn)題，也就是說(shuō)客戶(hù)端在沒(méi)有接入網(wǎng)絡(luò)或根本聯(lián)系不上DC的情況下，也可以成功的加入域。 呵呵，這可是以前想都不敢想的事情！

11. 活動(dòng)目錄中其它增強(qiáng)特性

顆粒化密碼是一個(gè)很實(shí)用的技術(shù)，也是我很喜歡的一個(gè)技術(shù)。我們知道在以前的域環(huán)境里只允許存在一套密碼策略，如果你希望為某個(gè)部門(mén)，如財(cái)務(wù)部，單獨(dú)制定一套密碼策略，我們只能把這個(gè)部門(mén)創(chuàng)建為公司的一個(gè)子域。而在win08的域環(huán)境里可以存在多套密碼策略，它可以輕松的應(yīng)用到用戶(hù)或全局組，使用起來(lái)特別方便。

活動(dòng)目錄回收站功能：在win08 R2中我們想恢復(fù)被刪除的對(duì)象，如用戶(hù)、組、OU等，可以像恢復(fù)文件一樣變得異常容易。

12.為企業(yè)提供扎實(shí)可靠的基礎(chǔ)平臺(tái)

Win08 R2的被設(shè)計(jì)成一個(gè)企業(yè)級(jí)的操作系統(tǒng)，能夠擴(kuò)展成最大的數(shù)據(jù)中心，同時(shí)確保強(qiáng)大的安全性和極高可用性。Win08 R2可以創(chuàng)建的解決方案，能夠滿(mǎn)足您最迫切的技術(shù)需求。

如支持64位的多CPU技術(shù)，理論上R2支持256個(gè)邏輯處理器內(nèi)核，同時(shí)支持更大的內(nèi)存，這樣就允許你的應(yīng)用程序平臺(tái)支持更大的工作量。降低功耗，提供更高的可靠性。

如增強(qiáng)應(yīng)用平臺(tái)的安全性。以IIS7.0為例，我們可以進(jìn)行自定制模塊的安裝，即可以只安裝你所需要的模塊，從而降低其它無(wú)用模塊對(duì)你應(yīng)用程序的影響，更大程度提高了可靠性。

Hyper-v 2.0新增的動(dòng)態(tài)遷移（Live Migration ）技術(shù)，使企業(yè)服務(wù)器的可靠性有了更大的保障。

總之，除了我上面所說(shuō)的眾多安全方面的技術(shù)外，win08在EFS、IPSec等加密方面提供了更高級(jí)的加密并且改進(jìn)了審核，如目錄服務(wù)支持顆粒化審核技術(shù)，同時(shí)增強(qiáng)了安全啟動(dòng)修復(fù)工具，如利用新增加的Windows Server Backup可以進(jìn)行整機(jī)備份、祼機(jī)還原等，而且還支持卷影副本機(jī)制，備份效率明顯較之以前提高很多。如通過(guò)組策略可以實(shí)現(xiàn)BitLocker企業(yè)級(jí)別應(yīng)用。在以前PKI（公鑰基礎(chǔ)結(jié)構(gòu)）的基礎(chǔ)上增強(qiáng)了企業(yè)PKI管理等等

（三）易管理性

相信用過(guò)Linux的朋友都知道，配置一個(gè)服務(wù)器需要寫(xiě)很多腳本，有時(shí)錯(cuò)一點(diǎn)都不成。同時(shí)以前的windows服務(wù)器，配置相應(yīng)的服務(wù)也不是很輕松，相應(yīng)的人性化提醒總是不太多。而在win08里做了相當(dāng)多的改進(jìn)。

比如，如果你要安裝一個(gè)角色或功能，安裝向?qū)?huì)告訴你相關(guān)聯(lián)的組件，從而實(shí)現(xiàn)一并安裝。再也不用記什么安裝組件的順序了。

再如，配置一個(gè)服務(wù)器，有時(shí)只需要點(diǎn)幾下鼠標(biāo)就安裝并配置好了，如在配置故障轉(zhuǎn)移群集時(shí)，有一個(gè)向?qū)В宦废氯ゾ鸵呀?jīng)配置完了。相信用過(guò)windows 2003或以前群集技術(shù)的朋友會(huì)深有體會(huì)，那時(shí)配置起來(lái)還是很麻煩的。

同時(shí)在win08里我們可以利用Powershell實(shí)現(xiàn)眾多任務(wù)的批量管理。這個(gè)Powershell可是命令字符下的管理利器喲，喜歡命令的朋友可以在這里一展身手了。

結(jié)束語(yǔ)：

相信，很快，“今天，你Window 2008了嗎”會(huì)成為一句新的網(wǎng)絡(luò)流行語(yǔ)。

服務(wù)器租用/服務(wù)器托管中國(guó)五強(qiáng)！虛擬主機(jī)域名注冊(cè)頂級(jí)提供商！15年品質(zhì)保障！--億恩科技[ENKJ.COM]