维护服务器安全的基本方法(2)

　　二、启用Windows NT的回叫功能式

　　Windows NT最酷的功能之一就是对服务器进行远程访问(RAS)的支持。不幸的是，一个RAS服务器对一个企图进入你的系统的黑客来说是一扇敞开的大门。黑客们所需要的一切只是一个电话号码，有时还需要一点耐心，然后就能通过RAS进入一台主机了。但你可以采取一些方法来保证RAS服务器的安全。

　　你所要使用的技术将在很大程度上取决于你的远程用户如何使用RAS。如果远程用户经常是从家里或是类似的不太变动的地方呼叫主机，我建议你使用回叫功能，它允许远程用户登录以后切断连接。然后RAS服务器拨通一个预先定义的电话号码再次接通用户。因为这个号码是预先设定了的，黑客也就没有机会设定服务器回叫的号码了。

　　另一个可选的办法是限定所有的远程用户都访问单一的服务器。你可以将用户通常访问的资料放置在RAS服务器的一个特殊的共享点上。你于是可以将远程用户的访问限制在一台服务器上，而不是整个网络。这样，即使黑客通过破坏手段来进入主机，那么他们也会被隔离在单一的一台机器上，在这里，他们造成的破坏被减少到了最小。

　　最后还有一个技巧就是在你的RAS服务器上使用出人意料的协议。我知道的每一个人都使用TCP/IP协议作为RAS协议。考虑到TCP/IP协议本身的性质和典型的用途，这看起来像是一个合理的选择。但是，RAS还支持IPX/SPX和NetBEUI协议。如果你使用NetBEUI作为你RAS的协议，你确实可以迷惑一些不加提防的黑客。

　　三、构建安全的工作站

　　由于工作站正是通向服务器的一个埠，加强工作站的安全能够提高整个网络的安全性。对于入门者，我建议在所有的工作站上使用Windows 2000。Windows 2000是一个非常安全的操作系统。如果你并不想这样做，那么至少使用Windows NT。你可以锁定工作站，使得一些没有安全访问权的人想要获得网络配置信息变得困难或是不可能。

　　另一个技术是控制哪个人能够访问哪台工作站。例如，有一个员工，你已经知道他是一个麻烦制造者，因此你应该使用工作组用户管理程序还修改他的帐号以便他只能从他自己的计算机 (并且是在你指定的时间内) 登录。这样他就不太可能从他自己的计算机上攻击网络，因为他知道别人可以将他追查出来。

　　另一个技术是将工作站的功能限定为一个哑终端，它的意思是没有任何资料和应用程序驻留在独立的工作站上。当你将计算机作为哑终端使用的时候，服务器被配置成运行Windows NT 终端服务程序，而且所有的应用程序物理上都运行在服务器上。所有送到工作站的东西都不过是更新的屏幕显示而已。这意味着工作站上只有一个最小化的Windows版本和一份微软终端服务程序的客户端。使用这种方法也许是最安全的网络设计方案。使用一个「聪明的」哑终端就是说程序和资料驻留在服务器上但却在工作站上运行。所有安装在工作站上的是一份Windows拷贝以及一些指向驻留在服务器上的应用程序的图标。当你点击一个图标运行程序时，这个程序将使用本地的资源来运行，而不是消耗服务器的资源。这比你运行一个完全的哑终端程序对服务器造成的压力要小得多。