為保證服務(wù)器的操作被記錄和有效的保護(hù)服務(wù)器操作的安全性，在公司搭建了一臺(tái)堡壘機(jī)，但出現(xiàn)一個(gè)問(wèn)題：

如果服務(wù)器管理員知道要訪問(wèn)的服務(wù)器的賬號(hào)和密碼時(shí)，可以直接從本機(jī)發(fā)起遠(yuǎn)程桌面連接（3389端口）來(lái)進(jìn)行Windows服務(wù)器的操作，此時(shí)他的操作內(nèi)容將不會(huì)被記錄，這就存在很大的問(wèn)題。

如何解決：

在服務(wù)器上配置IP訪問(wèn)策略，限制只有特定的IP可以訪問(wèn)本機(jī)的3389服務(wù)（桌面遠(yuǎn)程）。

解決方案：

• ①配置防火墻出入站策略
• ②配置本地安全策略

由于公司服務(wù)器還進(jìn)行其他服務(wù)的支持工作，防火墻已經(jīng)被關(guān)閉，于是選擇方案二。

操作方法：（以Windows Server 2208 R2為例，其他系統(tǒng)操作均相似）

步驟一：

點(diǎn)擊開(kāi)始，選擇管理工具，本地安全策略。

選擇 IP安全策略，在本地計(jì)算機(jī)，右鍵選擇管理IP篩選列表和 篩選器操作。

步驟二：

在 管理IP篩選列表和 篩選器操作 窗口中，選擇管理篩選器操作窗口，并取消 使用“添加向?qū)?rdquo;勾選。

點(diǎn)擊 添加，在安全方法窗口中選擇 許可，常規(guī)窗口中選擇 允許，點(diǎn)擊確定，

同樣的方法添加阻止和阻斷。

步驟三：

在 管理IP篩選列表和 篩選器操作 窗口中，選擇管理IP篩選列表 窗口，并點(diǎn)擊 添加。

取消 使用”添加向?qū)?ldquo;勾選 ，名稱(chēng)填寫(xiě) 阻斷所有IP遠(yuǎn)程桌面訪問(wèn)，點(diǎn)擊 添加。

在IP篩選器屬性窗口中，選擇地址窗口 ，在源地址 選擇任何IP地址，目的地址 選擇我的IP地址，并取消 鏡像 勾選。

在 協(xié)議 窗口，選擇協(xié)議類(lèi)型為 TCP,從任意端口，到此端口，3389，點(diǎn)擊確定，在IP篩選器列表中繼續(xù)點(diǎn)擊 確定。

在 管理IP篩選列表和 篩選器操作 窗口中，選擇管理IP篩選列表 窗口，并點(diǎn)擊 添加。

名稱(chēng)填寫(xiě) 允許特定IP遠(yuǎn)程桌面訪問(wèn)，點(diǎn)擊 添加

在IP篩選器屬性窗口中，選擇地址窗口 ，在源地址選擇 一個(gè)特定的IP地址或子網(wǎng)，并填寫(xiě)允許訪問(wèn)的IP地址（192.168.0.251），目的地址 選擇任何IP地址，并取消 鏡像 勾選。

在 協(xié)議 窗口，選擇協(xié)議類(lèi)型為 TCP,從任意端口，到此端口，3389，點(diǎn)擊確定，在IP篩選器列表中繼續(xù)點(diǎn)擊 確定。

如下圖所示，已經(jīng)配置好了管理IP篩選器和管理篩選器操作 內(nèi)容了，點(diǎn)擊關(guān)閉。

步驟四：

選擇 IP安全策略，在本地計(jì)算機(jī)，右鍵選擇 創(chuàng)建IP安全策略，點(diǎn)擊下一步，

名稱(chēng)填寫(xiě) 遠(yuǎn)程桌面連接安全策略，點(diǎn)擊下一步，

不勾選 激活，繼續(xù)下一步，

勾選 編輯屬性，點(diǎn)擊完成。

在遠(yuǎn)程桌面連接安全策略 窗口中，取消勾選使用”添加向?qū)?ldquo;，然后點(diǎn)擊添加，

在新規(guī)則屬性 窗口 的 IP篩選器列表 窗口 中 選擇 阻斷所有IP遠(yuǎn)程桌面訪問(wèn)。

在新規(guī)則屬性 窗口 的 選器器操作 窗口 中 選擇 阻斷，點(diǎn)擊 應(yīng)用，再點(diǎn)擊 確定

如下圖所示，已經(jīng)添加阻斷所有用戶(hù)遠(yuǎn)程桌面訪問(wèn)權(quán)限，

繼續(xù)添加允許特定用戶(hù)訪問(wèn)的權(quán)限，點(diǎn)擊添加

在新規(guī)則屬性 窗口 的 IP篩選器列表 窗口 中 選擇 允許特定IP遠(yuǎn)程桌面訪問(wèn)。

在新規(guī)則屬性 窗口 的 選器器操作 窗口 中 選擇 允許，點(diǎn)擊 應(yīng)用，再點(diǎn)擊 確定

所有安全策略配置完成，如下圖所示，點(diǎn)擊確定。

最后一步：在遠(yuǎn)程桌面連接安全策略 列表上右鍵 分配。

策略已指派屬性顯示 是 則表示 策略分配成功。

測(cè)試：未配置允許的IP的電腦，遠(yuǎn)程連接報(bào)錯(cuò)，允許的IP對(duì)應(yīng)的電腦，可以正常遠(yuǎn)程連接。

最后

從時(shí)代發(fā)展的角度看，網(wǎng)絡(luò)安全的知識(shí)是學(xué)不完的，而且以后要學(xué)的會(huì)更多，同學(xué)們要擺正心態(tài)，既然選擇入門(mén)網(wǎng)絡(luò)安全，就不能僅僅只是入門(mén)程度而已，能力越強(qiáng)機(jī)會(huì)才越多。

最新評(píng)論