Windows Server 2008网络安全与终端服务

Windows Server 2008 是迄今为止最可靠的 Windows Server，它加强了操作系统安全性并进行了突破安全创新，包括 Network Access Protection、Federated Rights Management、Read-Only Domain Controller，可为您的网络、数据和业务提供最高水平的安全保护。
*D%]"b9q2F0IXPUB技术博客!vK lguq t
IXPUB技术博客R-T&o~sI*f
Windows Server 2008 可帮助您保护服务器、网络、数据和用户帐户安全，以免发生故障或遭到入侵。
gen]]hEt0IXPUB技术博客r9v5Pk'bWa|
IXPUB技术博客P `Y&r#S(o&oA0W
Network Access Protection 能够帮助您隔离不符合组织安全策略的计算机，并提供网络限制、更正和实时符合性检查功能。
6_q&ga,QH1P0IXPUB技术博客'd!~&}`"kf%YJg

o g4V!n&CE9Z.c0Federated Rights Management Services 提供了一个综合性信息保护平台，可对敏感数据提供持续性保护，同时帮助降低风险并保证符合性。
"P]%fY5b;Lt(i)W0
#xKLUM9Yt9S0
} R*kMh({.L0Read-Only Domain Controller 可支持部署 Active Directory Domain Services，同时限制整个 Active Directory 数据库的复制，以便更好地防止服务器的信息泄露或被窃取。
J(x$g`~ RR1q0IXPUB技术博客J2W.Z%q7C3Mt\X!d&z u

O)D.R^H/a0前面这段是微软在Windows Server 2008安全性方面的介绍，这也是其他功能的基础前提之一。 安全的前提下，会有更多的网络应用，在如今这个网络无处不在的时代，传统介质的单机产品已经越来越不能满足人们的需求，更多的软件商已经意识到了网络带给它们的便利与挑战，以微软为例，无论是网络补丁分发，还是基于网络的正版增值计划都体现了微软对于网络的利用，而对于企业用户来讲，这一点则主要体现在终端服务这方面。IXPUB技术博客nh"jHD&Z{1G
IXPUB技术博客 L%p,a!Yj%Dr
IXPUB技术博客:M;r@r^9]V@\$H!YA
Windows Server 中的终端服务可以提高企业在各种应用情境下的软件部署能力，并且允许在应用程序和管理基础结构中融入更多的灵活性。当用户在终端服务器上运行应用程序时，应用程序实际上在服务器端执行，因此仅需要在网络上传输键盘、鼠标和显示信息。每位用户均只能看到他自己的会话，会话由服务器操作系统透明的进行管理，并且独立于其它任何客户端会话。终端服务提供了在 Windows Server 上承载多个并发客户端会话的能力。基于 Windows 的标准应用程序无需做任何修改便可在终端服务器上运行，而且可以使用所有标准的 Windows Server 管理基础结构和技术来管理客户端桌面系统。通过这种方式，企业能够从当今 Windows 操作系统环境提供的丰富应用程序和工具选择中做出适合自己需要的选择。IXPUB技术博客aj'x;~Z
IXPUB技术博客2z*Q-]?-b3}1`x

q%r&V.qQ,s5v0面对如此贴近企业的应用，微软自然会不断的对其进行增强，在今年即将上市的Longhorn Server中，终端服务器方面性能的改进就非常的令人欣慰。用户可以自主的决定那些程序可以远程接入。同时用户通过新的远程程序和终端服务网关能够使用Citrix公司的程序。用户还可以接入该程序，配置该程序，虚拟化以及实现随时安全接入的功能。下面我们就来逐一介绍微软终端服务的魅力所在：
^3Dhp(N],]0
w6d'M3u7`\/IT0终端服务网关（Terminal Services gateway）
X4r3b{5~B
N0IXPUB技术博客2z4W(`2A+F%gkb;A)}$w ~
IXPUB技术博客 ?J+d%Q$YrZ'M
在Longhorn Server中终端服务的一个重大改进就是终端服务网关（Terminal Services Gateway），通过这个功能，用户可以在世界各地通过Internet上的一个门户来访问终端服务程序。所有的处理过程都是通过安全加密的HTTPS通道来完成的，如果用户熟悉Exchange Server或者ISA Server的话，就会发现这一特性非常的像Outlook 2003经由虚拟个人网络（VPN）访问邮件服务器时使用的RPC-over-HTTP的功能。IXPUB技术博客y!V0Fl*^LR.L#G

j[j6CxYX0
;G~CO9B!MBbH}!cx0终端服务网关（Terminal Services Gateway）可以穿过防火墙正确的完成网络地址转换，除此之外，因为数据是通过HTTPS这个几乎人人都会使用的协议进行传输的，这就避免了以前通过远程桌面协议(RDP)进行传输时遇到的无法穿透防火墙的问题，因为桌面协议(RDP)使用的3389端口在防火墙上往往是会被屏蔽掉的。
^0d(\2]B0IXPUB技术博客#bM4L8~$}.f+K

}i&g0BHraMh|0管理员为不同的用户组设置不同的授权策略，这样就可以控制不同用户通过网关机器连接终端服务的权限，有了这个功能我们就不再需要为每个Internet上的用户开放最大的软件安装权限了。
&@;pa WJ*MO7W0IXPUB技术博客m m5WH)LvG7G2_ a
IXPUB技术博客-Y`1{z(P[
如果说终端服务为网络的分布式办公提供了可能，那么通过终端服务网关（Terminal Services Gateway）则真正使得企业部署的软件变得灵活而又可控。
k%b(h0Tvpx~0
6onq}:xxVS&v d.Y@8D0
AigU!X_0远程管理基于 Windows Server 的计算机IXPUB技术博客&Yt9K Y%@ x Iq&n0@0l7M
IXPUB技术博客uLs{J
IXPUB技术博客7o"m:WiI\{5}
任何的解决方案都需要有力工具的支持，终端服务也不例外，在终端服务技术的支持之下，Remote Desktop for Administration 专门针对服务器管理而设计。Remote Desktop for Administration 可极大减轻远程管理的工作负担，由于它并不具备完整终端服务器组件的应用程序共享和多用户能力，也不具备进程调度功能。所以，Remote Desktop for Administration 可在已经十分繁忙的服务器上使用，并不会对服务器性能和 CPU 利用率造成显著影响，这使得它成为了执行远程管理的一项方便且高效的服务。IXPUB技术博客'V#n.D}|"_-W!^
IXPUB技术博客9d9zx|b At$E0a3v
IXPUB技术博客 x k9y*|^I$z,Q
Remote Desktop for Administration 可用于远程管理 Windows 服务器。此模式旨在为操作员和管理员提供对典型后端服务器和域控制器的远程访问能力。管理员可访问在 Windows 环境下运行的具备图形化用户界面的工具，即便他并不使用基于 Windows 的计算机来管理服务器也没有关系。管理员可以使用终端服务客户端软件，从任何设备上和通过任何网络连接安全地管理基于 Windows服务器的计算机。管理员能够执行的任务包括：目录维护、病毒扫描、备份、重启，甚至是将服务器提升为域控制器，所有这些都可以在远程位置完成。
H3lV(k4H0IXPUB技术博客o#S:S%a8]p S!wR3M
IXPUB技术博客j9x&M&II\
其实在Windows Server 2003版本中，终端服务的管理控制台就已经非常强大，但是终端服务的管理在Windows Server 2003中依然有不尽如人意的地方，如果你使用过基于Windows Server 2003的终端服务你就会发现需要了解和操作的管理控制界面实在是太多了，而在Longhorn Server中这一问题得到了很好的解决，用户只需要通过一个单一的管理控制台就可以完成所有的配置和管理工作。
&TMkY+e+pXz `0IXPUB技术博客Z1bdh D3J

6B/o.zP'q8TdMa0终端服务远程程序IXPUB技术博客}5d^ }d s8M r
IXPUB技术博客I9Kk7WdM

a7d1a[A-]7g U.j0终端服务最大的优势就在于集中管理。通过使用终端服务，企业可确保所有客户端都使用应用程序的最新版本，因为软件只需在服务器计算机上安装一次，而不是在企业的所有桌面计算机上都进行安装。这种模式降低了桌面计算机的更新成本和难度，尤其是那些位于远程位置的计算机或分支办事处环境中的计算机。组织可通过局域网 (LAN)、广域网 (WAN) 和拨号连接，使用终端服务器模式向各类桌面环境交付基于 Windows 的应用程序。对于那些频繁更新、难于安装或者需要通过低带宽连接进行访问的业务应用程序来说，这是一种极具成本效益的部署手段。IXPUB技术博客!e3^/du'YJ
IXPUB技术博客} ~]`)X9xa

6wT(W4YjVT.F0终端服务不仅适用于多种桌面平台，还允许用户使用较老的过时设备访问最新应用程序，帮助企业逐步对较老设备进行替换。而在这方面之前我们更多的是依赖一些第三方加载项产品，例如Citrix MetaFrame。如果你非常熟悉Citrix MetaFrame的产品，那么你一定能够体会到它带给你的体验，在全新的Longhorn Server中则开始自己支持这些功能，在Longhorn Server中用户可以直接运行终端服务器上的应用程序，并且允许应用程序整合到本地的Windows的一个副本上，用户将看到一个独立的任务栏按键，一个应用程序窗口区域，以及更具功能性的Alt-Tab切换等等。IXPUB技术博客7s]/`
{M?&Y hq!?
IXPUB技术博客3My(^3q#R
IXPUB技术博客AF r#q4lx t
L
这些功能对于用户来讲是完全无缝透明的，理论上讲，用户并不知道他们的程序驻留在哪里，除非由于网络原因或者服务器过载造成的偶然的性能下降或运行缓慢，用户才会发现程序好像并非保存在本地的计算机。简单来说，终端服务远程程序是通过RDP替代原先完整操作系统会话环境来部署单一应用程序的一种方法，这样的改变简化了负载，简化了配置管理，更简化了管理员的工作压力。IXPUB技术博客?+b?uZ

w Id3Sx+]2@Ab~0
-SbnF}.l:U#mq0使用远程桌面 Web 连接IXPUB技术博客E7vH.B,b#B|
IXPUB技术博客v+Jqb]1_
IXPUB技术博客:N:j Oz)YZ%x
远程桌面 Web 连接 (Remote Desktop Web Connection) 是一个 ActiveX 控件，具有与远程桌面连接的可执行版本完全相同的功能，但是它通过 Web 提供这些功能，并且无需在客户端计算机上安装可执行版本。当在 Web 页面中托管的时候，该 ActiveX 客户端控件允许用户通过使用 TCP/IP 协议的互联网或内部网连接，登录到终端服务器，并可在 Internet Explorer 内部查看 Windows 桌面。IXPUB技术博客a]$Da$R)@&J\

3BL,z Vuvp0IXPUB技术博客AY^V#m
远程桌面 Web 连接是通过 URL 提供终端服务器功能的简单途径。同时这个服务也非常的智能，无论加载多少程序只要是由同一用户发起的，那么在终端服务中都只会保存一个会话，这样就使得服务器端的资源管理更加的便捷，同时企业还可以将网络访问整合到SharePoint 站点上，这样用户就可以通过企业的协作平台来访问多种程序。
eYa1fi'K-S5G*A0IXPUB技术博客Mn%o;a7h6n7y8C

y'R1dxkt0除此之外，Longhorn Server中的终端服务还有其他的一些革新，例如更加强大的团队协作功能，其中包括单点登录（SSO）终端会话，会话监控功能，以及整合的Windows系统资源管理器，这些改进都可以更好的监视系统的性能和资源的使用情况，从而使得终端服务与用户更紧密的无缝集成。
TC B4}#BZ:~5o%a0
iH,YHV2RKx3x0IXPUB技术博客3E7shWDPJ
\+K|A
当然新的变化永远是层出不穷的，微软正在计划引入一个全新的RDP client的最新版本－version 6－以用来整合所有的新功能，加之，新的RDP客户端版本将会支持更加精确的带宽使用率，从而是RDP的通讯更加畅通无阻。IXPUB技术博客"iJ
Bk} k

b)G:p t#A$LZb0IXPUB技术博客]"_D)h!Z/rA
试想在未来的某一天我们再也不需要购买任何的软件产品，甚至是操作系统，我们需要做的就是打开电脑连入网络，然后选择自己需要的环境开始工作或是娱乐，当然这一切还取决于软件商的销售策略以及授权认证方式的完善，但单从技术的角度上讲，这一天已经离我们不再遥远，至少在大型企业内部终端服务的应用在今后的日子中将会越来越广泛。