【IT168专稿】IIS作为网站服务器的主心骨，是比较脆弱的，因此，我们要想保障IIS安全，必须要制定一些安全策略，让IIS始终处在安全策略的保护之下。在这里抛开人为的管理策略不谈，只从技术的角度，通过制订IP安全策略、安全审核策略来保护IIS。

　　一、IP安全策略
　　IPSec 策略（IP Security）即IP安全机制是抵御内部、专用网络及外部安全攻击的关键防线。IPSec 使用加密的安全服务来提供数据完整性、数据身份验证、数据机密性和 TCP/IP 通讯重放等多种级别的保护。
　　在网络上传输数据的时候，通过创建IP安全策略，利用点到点的安全模型，能够安全有效地把源计算机的数据传输到目标计算机。那么，我们如何来创建IP安全策略呢？这里就以Windows 2003为蓝本来说明。运行Gpedit.mscC，打开“组策略”对话窗口，依次展开“计算机配置”——“Windows 设置”——“安全设置”——“IP 安全策略，在本地计算机”，在其右侧窗口中就呆系统内置的三条安全策略：安全服务器(要求安全设置)、客户端(只响应)、服务器(请求安全设置)。利用IP安全策略只允许访问80端口，就可以保障Web服务的绝对安全，请跟我来……
　　在其右侧窗口中右击鼠标，在弹出的快捷菜单中选择“创建IP安全策略”（如图1），打开“IP安全策略向导”对话框，单击“下一步”，然后输入策略名称（比如：WWW）和策略描述。单击“下一步”，不勾选“激活默认响应规则”复选项，单击“下一步”，再点击“完成”就完成IP安全策略的创建工作。

图2 图3

　　接下来切换到“协议”选项页，在“选项协议类型”中选择“任意”，依次点击“完成”返回“新规则 属性”对话窗口，在“IP筛选器列表”选定“deny all”，再在“筛选器操作”选项页添加一个过滤操作，将“安全措施”设置为“阻止”（如图4），并选定它。返回到“WWW 属性”对话框，勾选“deny all”复选项，此安全规则的作用就是是禁止任何计算机访问本机。

　　我们还得为访问者开放80端口，用同样的方法建议“allow tcp 80”，将其筛选器属性设置为从“所有IP地址”到“我的IP地址”，协议为“TCP”，设置IP协议端口从任意端口到80端口（如图5），将该筛选器的“安全设置”指定为“许可”，该IP安全规则的功能就是允许网络中的计算机访问本机的WWW服务。