可以很容易地部署 PPTP。您可以通过使用数据包筛选器将基于Windows Server 2003 的“路由和远程访”服?VPN 服务器配置为丢弃非 PPTP 数据包。
如何配置 PPTP 输入筛选器以允许来自 PPTP VPN 客户端的入站通信 单击开始，指向程序，指向管理工具，然后单击“路由和远程访问”。 在“路由和远程访问”控制台的左窗格，展开服务器，然后展开IP 路由。 单击常规，右键单击该外部接口，然后单击属性。 单击常规 选项卡，单击入站筛选器，然后单击新建。
单击“目标网络”复选框，将其选中，然后在“IP 地址”框中，键入该外部接口的 IP 地址。在“子网掩码”框中，键入 255.255.255.255。
在协议 框中，单击 TCP。在“目标端口”框中，键入 1723，然后单击确定。 单击“丢弃所有的包，满足下面条件的除外”。 单击新建。
单击“目标网络”复选框，将其选中。在“IP 地址”框中，键入外部接口的 IP 地址。 在“子网掩码”框中，键入 255.255.255.255。
在协议 框中，单击其他。在“协议号”框中，键入 47，然后单击两次确定 。
如何配置 PPTP 输出筛选器以允许到达 PPTP VPN 客户端的出站通信 单击开始，指向程序，指向管理工具，然后单击“路由和远程访问”。
在“路由和远程访问”控制台的左窗格中，展开您的服务器，然后展开IP 路由。 单击常规，右键单击外部接口，然后单击属性。 单击常规 选项卡，单击出站筛选器，然后单击新建。
单击“源网络”复选框，将其选中。在“IP 地址”框中，键入外部接口的 IP 地址。在“子网掩码”框中，键入 255.255.255.255。在协议 框中，单击 TCP。在“源端口框中，键入 1723，然后单击确定。 单击“丢弃所有的包，满足下面条件的除外”选项。
单击“源网络”复选框，将其选中。在“IP 地址”框中，键入外部接口的 IP 地址。 在协议 框中，单击其他。在“协议号”框中，键入 47，然后单击两次确定 。
备注：完成这些更改之后，就只有 PPTP 通信可以进出“路由和远程访问”服务 VPN 服务器的外部接口了。这些筛选器支持与那些向“路由和远程访问”服务 VPN 服务器发出入站调用的 PPTP VPN 客户端进行通信。
5.在Wind2003中为SNMP服务配置网络安全性
概要
本分步指南介绍了如何在 Windows Server 2003 中为“简单网络管理协议”(SNMP) 服务配置网络安全性。
SNMP 服务起着代理的作用，它会收集可以向 SNMP 管理站或控制台报告的信息。您可以使用 SNMP 服务来收集数据，并且在整个公司网络范围内管理基于 Windows Server 2003、Microsoft Windows XP 和 Microsoft Windows 2000 的计算机。
通常，保护 SNMP 代理与 SNMP 管理站之间的通信的方法是：给这些代理和管理站指定一个共享的社区名称。当 SNMP 管理站向 SNMP 服务发送查询时，请求方的社区名称就会与代理的社区名称进行比较。如果匹配，则表明 SNMP 管理站已通过身份验证。如果不匹配，则表明 SNMP 代理认为该请求是“失败访问”尝试，并且可能会发送一条SNMP 陷阱消息。
SNMP 消息是以明文形式发送的。这些明文消息很容易被“Microsoft 网络监视器”这样
6
的网络分析程序截取并解码。未经授权的人员可以捕获社区名称，以获取有关网络资源的重要信息。
“IP 安全协议”(IPSec) 可用来保护 SNMP 通信。您可以创建保护 TCP 和 UDP 端口161 和 162 上的通信的 IPSec 策略，以保护 SNMP 事务。
创建筛选器列表要创建保护 SNMP 消息的 IPSec 策略，先要创建筛选器列表。方法是： 单击开始，指向管理工具，然后单击本地安全策略。
展开安全设置，右键单击“本地计算机上的 IP 安全策略”，然后单击“管理 IP 筛选器列表和筛选器xx作”。 单击“管理 IP 筛选器列表”选项卡，然后单击添加。
在IP 筛选器列表 对话框中，键入 SNMP 消息 (161/162)（在名称 框中），然后键入TCP 和 UDP 端口 161 筛选器（在说明 框中）。
单击使用“添加向导” 复选框，将其清除，然后单击添加。
在“源地址”框（位于显示的IP 筛选器属性 对话框的地址 选项卡上）中，单击“任意IP 地址”。在“目标地址”框中，单击我的 IP 地址。单击“ 镜像。匹配具有正好相反的源和目标地址的数据包”复选框，将其选中。
单击协议 选项卡。在“选择协议类型”框中，单击UDP。在“设置 IP 协议端口”框中，单击“从此端口”，然后在框中键入 161。单击“到此端口”，然后在框中键入 161 。 单击确定。
在IP 筛选器列表 对话框中，单击添加。
在“源地址”框（位于显示的IP 筛选器属性 对话框的地址 选项卡上）中，单击“任意IP 地址”。在“目标地址”框中，单击我的 IP 地址。单击“ 镜像。匹配具有正好相反的源和目标地址的数据包”复选框，将其选中。
单击协议 选项卡。在“选择协议类型框中，单击 TCP。在“设置 IP 协议”框中，单击“从此端口”，然后在框中键入 161。单击“到此端口”，然后在框中键入 161。单击确定。 在IP 筛选器列表 对话框中，单击添加。
在“源地址”框（位于显示的IP 筛选器属性 对话框的地址 选项卡上）中，单击“任意IP 地址”。在“目标地址”框中，单击我的 IP 地址。单击“ 镜像。匹配具有正好相反的源和目标地址的数据包”复选框，将其选中。
单击协议 选项卡。在“选择协议类型”框中，单击UDP。在“设置 IP 协议”框中，单击“从此端口”，然后在框中键入 162。单击“到此端口”，然后在框中键入 162。单击确定. 在IP 筛选器列表 对话框中，单击添加。
在“源地址”框（位于显示的IP 筛选器属性 对话框的地址 选项卡上）中，单击“任意IP 地址”。在“目标地址”框中，单击我的 IP 地址。单击“ 镜像。匹配具有正好相反的源和目标地址的数据包”复选框，将其选中。
单击协议 选项卡。在“选择协议类型框中，单击 TCP。在“设置 IP 协议”框中，单击“从此端口”，然后在框中键入 162。单击“到此端口”，然后在框中键入 162。单击确定。
在 IP 筛选器列表 对话框中单击确定 ，然后单击“管理 IP 筛选器列表和筛选器xx作”对话框中的确定 。
创建 IPSec 策略
要创建 IPSec 策略来对 SNMP 通信强制实施 IPSec，请按以下步骤xx作： 右键单击左窗格中“本地计算机上的 IP 安全策略”，然后单击创建 IP 安全策略。
“IP 安全策略向导”启动。
7
单击下一步。
在“IP 安全策略名称”页上的名称 框中键入 Secure SNMP。在说明 框中，键入 Force IPSec for SNMP Communications，然后单击下一步。
单击“激活默认响应规则”复选框，将其清除，然后单击下一步。
在“正在完成 IP 安全策略向导”页上，确认“编辑属性”复选框已被选中，然后单击完成。 在安全 SNMP 属性 对话框中，单击使用“添加向导” 复选框，将其清除，然后单击添加。 单击IP 筛选器列表 选项卡，然后单击SNMP 消息 (161/162)。 单击筛选器xx作 选项卡，然后单击需要安全。
单击身份验证方法 选项卡。默认的身份验证方法为 Kerberos。如果您需要另一种身份验证方法，则请单击添加。在新身份验证方法属性 对话框中，从下面的列表中选择要使用的身份验证方法，然后单击确定： Active Directory 默认值（Kerberos V5 协议）使用此字符串（预共享密钥） 在新规则属性 对话框中，单击应用，然后单击确定。
在SNMP 属性 对话框中，确认SNMP 消息 (161/162) 复选框已被选中，然后单击确定。 在“本地安全设置”控制台的右窗格中，右键单击安全 SNMP 规则，然后单击指定。
在所有运行 SNMP 服务的基于 Windows 的计算机上完成此过程。SNMP 管理站上也必须配置此 IPSec 策略。
6.在Wind2003中为Web站点配置 DNS 记录
本文介绍了如何配置“域名系统”(DNS) 服务器，使其承载可从外部访问（即从 Internet 访问）的 Web 站点。
如何获取 IP 地址若要承载可从外部访问的 Web 站点，必须从您的 Internet 服务提供商 (ISP) 那里获 取一个公用 IP 地址。并将此 IP 地址指定到 DNS 服务器所连接防火墙或路由器的外部接口
如何注册域名
通过 Internet 域名注册管理机构（这样的管理机构被称为注册机构）为您的组织注册 一个父级或二级 DNS 域名。有关全球认可的注册机构的列表，请访问下面的 Internet Corporation for Assigned Names and Numbers (ICANN) 网站： Internet Corporation for Assigned Names and Numbers http://www.icann.org
各注册机构的注册过程可能会有所不同，但您还是可以按以下步骤来注册域名： 进行搜索，确认要注册的名称是否可用。
提供该帐户的联系信息和交费信息（包括电子邮件地址）。 键入主从 DNS 服务器的完全合格的域名称 (FQDN)。
备注：这些是 ISP 提供的公用 IP 地址。 支付年费或作好支付年费的准备。
如何配置 Web 服务器
安装和配置 Microsoft Internet 信息服务 (IIS)（如果尚未安装）。
如何为 Web 服务器创建 DNS 项
请为配置了 IIS 的 DNS 服务器创建别名或 CNAME 记录。这样就可以确保外部主机能够使用“www”主机名来连接您的 Web 服务器。创建方法是：
8
打开 DNS 管理单元。方法是：单击开始，指向管理工具，然后单击 DNS。 在 DNS 下，展开“主机名”（其中主机名 是 DNS 服务器的主机名）。 展开正向搜索区域。
在正向搜索区域下，右键单击所需区域（例如，域名.com。），然后单击新建别名 (CNAME)。
在“别名”框中，键入 www。
在“目标主机的完全合格的名称”框中，键入安装 IIS 的 DNS 服务器的完全合格的主机名。例如，键入 dns.域名.com，然后单击确定。
7.在Win2003中使用“终端服务器授权”激活许可证服务器
您必须先激活许可证服务器，然后它才能向“终端服务”客户端颁发许可证。当激活许可证服务器时，Microsoft 会为此服务器提供一个验证服务器所有权和身份的数字证书。通过使用此证书，许可证服务器可以与 Microsoft 开展业务并为您的终端服务器接收客户端许可证。当“终端服务”客户端第一次尝试登录终端服务器时，终端服务器会与许可证服务器联系并为该客户端请求许可证。
要使用“终端服务器授权”来激活许可证服务器，可通过以下任何一种方法： 自动激活 Web 浏览器 电话
备注：本文介绍的步骤假定服务器上装有“终端服务器授权”。要执行这些过程，您还必须是本地“Administrators”组的成员。
自动激活许可证服务器
单击开始，指向管理工具，然后单击终端服务器授权。 在控制台树中，展开“所有服务器”。
右键单击要激活的许可证服务器，然后单击激活服务器。“终端服务器许可证服务器激活向导”就会启动。 单击下一步。
在“连接方法”页上，单击“激活方法”框中的“自动连接（建议）”，然后单击下一 步。 在“公司信息”页上，键入您的姓名、公司，以及国家或地区信息，然后单击下一步。 指定您需要的任何其他信息，如电子邮件和公司地址，然后单击下一步。
备注：此页上的信息是可选的。这样就激活了您的许可证服务器。 在“完成终端服务器激活向导”页上，执行以下xx作之一：
要为许可证服务器安装客户端许可证密钥包，请单击下一步。按照“终端服务器客户端授权向导”中的说明安装客户端许可证。
如果要以后再安装客户端许可证密钥包，请单击“现在启动终端服务器客户端授权向导”复选框，将其清除，然后单击完成。 关闭终端服务器授权 窗口。
通过使用 Web 浏览器激活许可证服务器
单击开始，指向管理工具，然后单击终端服务器授权。 在控制台树中，展开“所有服务器”。
右键单击要激活的许可证服务器，然后单击激活服务器。“终端服务器许可证服务器激活向导”就会启动。
9
单击下一步。
在“连接方法”页上，单击“激活方法”框中的“Web 浏览器”，然后单击下一步。 在“许可证服务器激活”页上，单击连接到“终端服务器激活和授权”Web 站点的超级链接。 在选择选项下，单击“激活许可证服务器”，然后单击下一步。
在相应的框中键入您的产品 ID（显示在“终端服务器许可证服务器激活向导”的“许可证服务器激活”页上）、名称、公司，以及国家或地区信息，然后单击下一步。您会收到您的许可证服务器 ID。 在“许可证服务器激活”页上，键入您在第 8 步中收到的许可证服务器 ID，然后单击下一步。这样就激活了您的许可证服务器。
在“完成终端服务器激活向导”页上，执行以下xx作之一：
要为许可证服务器安装客户端许可证密钥包，请单击下一步。根据“终端服务器客户端授权向导”中的说明安装客户端许可证。
要在以后安装客户端许可证密钥包，请单击“现在启动终端服务器客户端授权向导”复选框，将其清除，然后单击完成。
关闭终端服务器授权 窗口。
通过电话激活许可证服务器单击开始，指向管理工具，然后单击终端服务器授权。 在控制台树中，展开“所有服务器”。
右键单击要激活的许可证服务器，然后单击激活服务器。“终端服务器许可证服务器激活向导”就会启动。 单击下一步。
在“连接方法”页上，单击“激活方法”框中的“电话”，然后单击下一步。
在“国家或地区选择”页上，单击您的国家或地区，然后单击下一步 ，以显示要呼叫的相应电话号码。 使用“许可证服务器激活”页上显示的电话号码来呼叫 Microsoft，然后为 Microsoft 客户支持代表提供您的屏幕上显示的“产品 ID”。您还需要提供姓名、组织名称，以及要使用的授权计划类型。然后，客户服务代表将处理您的请求以激活许可证服务器，并为您的许可证服务器创建一个唯一的 ID。 键入由客户服务代表提供的许可证服务器 ID，然后单击下一步。这样就激活了您的许可证服务器。 在“完成终端服务器激活向导”页上，执行以下xx作之一：
要为许可证服务器安装客户端许可证密钥包，请单击下一步。按照“终端服务器客户端授权向导”中的说明安装客户端许可证。
要在以后安装客户端许可证密钥包，请单击“现在启动终端服务器客户端授权向导”复选框，将其清除，然后单击完成。
关闭终端服务器授权 窗口。
疑难解答
许可证服务器被激活后，就会变成“终端服务”客户端许可证的注册器。在等待完成激务”服务器，期限最长为 120 天。
您可以更改“授权向导”属性，例如，在激活过程中使用“终端服务器授权”设置的连接方法和公司信息。要实现这一点，请按照下列步骤xx作：
单击开始，指向管理工具，然后单击终端服务器授权。 在控制台树中，展开“所有服务器”。
右键单击要修改的许可证服务器，然后单击属性。“终端服务器许可证服务器激活向导”就会启动。 在安装方法、所需信息，以及可选信息 选项卡中指定所需的信息和设置，然后单击确定。 关闭终端服务器授权 窗口。
10