打造Windows10堡垒主机(V1.0)

                       打造 Windows10 堡垒主机
                                        浩 然
                                        (V1.0)
“堡垒主机”这个词是有专门含义的概念，最初由美国 Marcus J.Ranum
在《Thinking About Firewalls V2.0:Beyond Perimeter Security》一书中提
出。他提出堡垒主机“是一个以最小化安全定义的网络节点，拥有强悍的网络攻
击防御力，理想状态下可以抵御任何网络攻击和入侵。”“是一个系统，作为网络
安全的一个关键点，它由防火墙管理员来标识”，“堡垒主机需要格外的注意自己
的安全性，需要定期的审核，并拥有经过修改的软件”。通常，堡垒主机是一台
独立应用的主机。（这有点类似单用户的单机操作），它有极大的价值，可能蕴含
着用户的敏感信息，经常提供重要的网络服务；大部分时候它被防火墙保护，有
的则直接裸露在外部网络中。其所承担的服务大都极其重要，如银行、证券、政
府单位用来实现业务、发布信息的平台。“堡垒主机”的工作特性要求达到高安
全性。
堡垒主机通常用作 Web 主机、域名系统 (DNS) 主机、文件传输协议 (FTP)
主机、简单邮件传输协议 (SMTP) 主机和网络新闻传输协议 (NNTP) 主机。理想
情况下，堡垒主机应该只执行这些服务中的某一个功能，因为它扮演的角色越多，
出现安全漏洞的可能性就越大。
安全堡垒主机的配置与通常的主机相比明显不同。所有不必要的服务、协议、
程序和网络接口都将被禁用或删除，而且，每台堡垒主机通常被配置成只承担一
个特定角色。使用此方式强化堡垒主机，会限制某些可能的攻击方法。
在网络时代中，技术才是第一生产力，而承载技术的人员无疑才应该是网络
整体进步的保障。作为有志于成为某一方面专家的技术人才，掌握一种足可以媲
美甚至超越昂贵的硬件级防御技术是必要也是必须的—这是本文的主要目的。
在 Windows Server 版当中，通过谨慎合理的配置，我们可以获得足够的安
全性，达到“堡垒主机”的安全高度。（参见《打造 Windows Server 2003 堡垒
主机》 ）。Win10（本文采用 64 位 Win10 企业版本）借鉴 Server 版中的合理配
置，也同样能达到“堡垒主机”的安全高度。
现在网上流传着很多很多关于 Win10 系统的安全配置，但是仔细分析下发现
很多都不全面，很多仍然配置不够合理，并且有很大的隐患。通过长年的网络安
全工作经验，我总结了以下对主机的安全设置，供网管朋友们学习交流。让更多
的网管朋友高枕无忧。
（本文的设置适用于 Server 版）