服务器exchange服务器设置

第1章WindowsServer2012R2中的新增功能WindowsServer2012R2提供了300多个新增功能,同时也是微软首款支持云环境的Server操作系统.
仅一章篇幅当然无法解释所有这些功能(这也是撰写本书的原因),因此现在我们准备使用几页的篇幅简单地介绍这些功能.
我们意识到在阅读本书的读者中,一部分读者可能才刚刚开始接触微软的WindowsServer,对于他们来说,所有内容都是崭新的;但是对于其他大多数读者来说,他们已经了解很多关于Windows的组网技术,他们仅希望摘要地了解Server中提供的新功能.
本章主要是概括总结WindowsServer2012R2中提供的新功能,并且说明本书是如何安排这些新功能的讨论的.
到目前为止,我们耐着性子阅读了微软公司关于WindowsServer的大量报告,它们都采取相同的开头方式,因此我们也按照习惯的方式概述Server2012R2.
本章内容包括:用户界面的重大变化新增的ActiveDirectory功能,增强了部署和可管理性对PowerShell的改进添加到Hyper-V的新技术对Windows组网技术的增强,使之更快速、更安全新增的管理工具IIS8.
0的重要特性1.
1WindowsServer2012R2简介WindowsServer2012R2有句宣传语是"建立在云上",因此不难理解这套操作系统的意图.
那么,何谓云技术呢简而言之,就是利用远程网络服务器(而不是本地服务器)网络来存储、管理和处理数据.
WindowsServer2012R2版将这些技术扩展到企业,并以同样的方式应用于这些企业的员工.
所有企业数据都可现场或远程通过虚拟机或个人工作站直接备份到云中.
在当下和不久的将来,云技术都是世界商业发展的驱动力.
精通WindowsServer2012R2(第5版)2从小企业客户到世界最大的数据中心,WindowsServer2012R2都是首选系统.
凭借在虚拟化、网络、存储、可用性以及其他方面数以百计的新增功能,WindowsServer2012R2不会让人失望.
相信你会和我们一样,越用越喜欢!
下面的小节将概述这些新功能,并指出可在本书的哪些章节中进一步阅读相关内容.
本章属于简介性质,因此本书后续部分将对本章提到的所有主题进行详细讨论.
1.
2WindowsServer的版本WindowsServer2012发布时有标准版和数据中心版两个版本,其中每一个版本又分为ServerCore(服务器核心)版和GUI(图形用户界面)版.
在WindowsServer2012R2发布之后,又多了两个选择:基础版与精华版.
不同的版本不仅功能有区别,而且不同版本的每个授权许可在价格上也有所区别.
下面先来看看各版本之间的区别.
1.
2.
1标准版这是一款企业级云服务器,它是旗舰版的操作系统.
因为标准版是最受欢迎的版本,所以本章将详细介绍影响标准版的变化.
该版本的服务器功能丰富,几乎可以满足所有的一般组网需求,可以用于多种用途,也可以专机专用.
如果对安全和性能的要求很高,可以删减服务器的配置,使其只包含核心的功能部件.
1.
2.
2数据中心版这是微软的"重型"虚拟化服务器版本.
因为具有无限虚拟化实例权限,所以该版本最适合应用于高度虚拟化的环境中.
没错,确实是无限虚拟化!
这是数据中心版与标准版的唯一区别,也恰恰源于此,数据中心版的价格是标准版的4倍.
1.
2.
3基础版基础版包括其他版本中的大多数核心功能,但是在部署之前需要了解它所受的限制.
ActiveDirectory证书服务角色仅限于证书颁发机构.
下面是其他一些限制:最大用户数为15.
最大服务器信息块(ServerMessageBlock,SMB)连接数为30.
最大路由和远程访问(RoutingandRemoteAccess,RRAS)连接数为50.
最大Internet验证服务(InternetAuthenticationService,IAS)连接数为10.
最大远程桌面服务(RemoteDesktopServices,RDS)网关连接数为50.
仅支持一个CPU套接字.
既不能作为虚拟机主机使用,也不能作为访客虚拟机使用.
1.
2.
4精华版该版本的服务器适用于用户数少于25名、服务数不超过50个的小企业.
这是一种极具成本效益的提供小型企业组网的方式.
下面是WindowsServer2012R2精华版的部分新增功能:第1章WindowsServer2012R2中的新增功能3改进了客户端部署可作为虚拟机安装,也可安装在服务器上用户组管理改进了文件历史功能包括BranchCache用仪表盘管理移动设备包括SystemRestore1.
3桌面的变化在WindowsServer2012中,微软公司去掉了左下角的Start按钮.
但在R2版中,Start按钮回到了原处,因此可通过该按钮来访问你的应用菜单.
如果你习惯于通过单击Windows键来访问菜单,仍然可以这样做.
Windows键的位置在标准键盘左手边的Alt键左边.
右下角也有一个热点,单击该热点可弹出一个垂直菜单栏.
这个动态菜单包含以下几个按钮:Start菜单按钮、Desktop设置按钮和Explorer搜索按钮.
你可能不太习惯新的外观,但相信你很快会喜欢UI的这种新变化.
ServerManager还有一个重大变化,当出现问题时,仪表盘上显示的彩色警告很引人注目.
有一个功能是用户需要但Server以前没有提供的,即从GUI版切换到ServerCore版的能力.
很多时候,当需求发生变化时,可能需要切换到ServerCore版.
以前你需要完全重装ServerCore版.
现在管理员可以从GUI版转换到ServerCore版,或者反过来从ServerCore版转换到GUI版.
有关桌面变化的更多内容,将在本书的第2章开始陆续出现.
1.
4ActiveDirectory的变化众所周知,ActiveDirectory(AD)在许多方面都是Windows组网技术的关键所在,换句话说,AD是用户和机器身份验证数据的中心数据库.
Server2012R2的AD包含若干有用的新功能,适用于ActiveDirectory证书服务、ActiveDirectory权限管理服务和ActiveDirectory域服务.
总体上讲,这些新功能关注于部署和可管理性.
增加这些新功能是为了使ActiveDirectory服务的部署更快更轻松,在提供更好文件安全性的同时使得对文件的访问更加灵活.
管理工具也得到了改进,使图形和脚本管理更统一、更加用户友好.
有关ActiveDirectory的更多内容,请参见第7章.
1.
4.
1ActiveDirectory域服务的变化微软一直在努力使ActiveDirectory域服务(ADDS)变成一款稳健的目录结构服务.
下面各小节将解释ActiveDirectory域服务的相关改进.
1.
克隆域控制器WindowsServer2012R2为你提供了通过克隆现有域控制器来提高部署速度的能力.
使用Server精通WindowsServer2012R2(第5版)4Manager中的域控制器界面,可以升级单个虚拟域控制器.
然后,你可以在该域中部署其他虚拟域控制器.
克隆不但可以减少部署过程中的重复步骤数目,还可以让你部署由ActiveDirectory配置和授权的其他域控制器.
克隆的实现方法是先创建虚拟域控制器的副本,然后授权源控制器并运行适当的WindowsPowerShellcmdlet.
WinodwsPowerShell将用升级指令创建配置文件.
该文件将包括域名服务器DomainNameServer(DNS)信息、名称、IP地址以及其他相关信息.
有关克隆控制器的更多内容,请参见第7章.
2.
改进的多元密码策略除了保存用户账户名称和密码以外,ActiveDirectory还可以完成许多事情,但是如果必须选择最重要的任务,那么我们认为保护和维护密码就是这样的任务.
在WindowsServer2008之前,大家都会面临的问题是,域中的每个成员都必须遵循同样的密码规则.
例如,管理层必须与销售团队采用同样的密码规则.
管理员应该比销售人员更加懂得如何更好地保护密码.
如果不是这样,你就要考虑换管理员了!
在WindowsServer2008中,微软引入了多元密码策略(fine-grainedpasswordpolicy).
该策略允许在单独的组上采用单独的密码策略.
因此,现在管理员可以和销售人员可以分别拥有各自的密码策略.
在WindowsServer2012R2中,多元密码策略得到了改进,因此你现在可以选择使用ActiveDirectoryAdministrativeCenter(活动目录管理中心)创建和管理你的密码设置对象(PSO).
这个新功能帮助简化你的PSO管理.
在Server2012R2之前的版本中,所有PSO都必须用ActiveDirectorySchemaInterface(ADSIEdit)工具创建.
有关多元密码策略的更多内容,请参见第7章.
3.
ADRecycleBin下面我们将用现实生活中的例子来解释ActiveDirectoryRecycleBin,以及如何利用该技术节省时间.
约翰是WileyBooks公司的初级管理员.
他花了几个小时的时间向ActiveDirectory中添加了20名新作者.
后来,当约翰做完这一切时,他一不小心删除了公司的一个组织单位(OrganizationalUnits,OU).
Wiley公司每天晚上会用微软的WindowsBackup工具备份所有数据.
因此,当恢复ActiveDirectory时,只能全盘恢复.
微软的WindowsBackup工具不能仅恢复OU.
为了恢复ActiveDirectory,约翰不得不损失那几个小时的工作,因为ActiveDirectory的版本将是前一晚的磁带备份上的版本.
这时ActiveDirectoryRecycleBin就可以起到帮助作用.
使用ActiveDirectoryRecycleBin,约翰就可以仅恢复OU,无须回到备份时的另一个位置.
管理员现在可以通过使用全新的图形用户界面轻松地还原ActiveDirectory对象,无须经历WindowsServer2008提供的冗长恢复过程,具体见图1-1.
有关ADRecycleBin的更多内容,也请参见第7章.
4.
PowerShell和ADAdministrativeCenter自从Windows面世以来,微软随操作系统一起提供的管理工具主要是基于图形的工具.
实际上,许多Windows管理员数周时间都不用打开命令行.
这样做的好处在于对于,新管理员来说易于学习第1章WindowsServer2012R2中的新增功能5Windows管理,而不像初学者学习Unix/Linux管理一样,因为Unix/Linux操作系统主要依赖于命令行的管理工具,而不是基于GUI的管理工具.
图1-1示例RecycleBinGUI但是,Unix/Linux世界中以命令行为中心的管理工具使得在Unix/Linux中自动化管理任务要比在Windows中自动化管理任务简单(将命令行指令添加到批处理文件中,从而可以自动执行希望完成的任务.
然而,鼠标单击动作无法添加到批处理文件中).
因此,微软试图为Windows赋予一个称为PowerShell的新命令行shell,这正是Windows所缺乏而Unix和Linux所拥有的"自动化能力".
PowerShell的设计目的是用来执行烦人、重复的任务,并使这些任务轻松地自动执行.
直到现在,PowerShell的使用仍然比较难学.
WindowsServer2012R2引入了PowerShellHistory查看器,该查看器允许管理员使用ActiveDirectoryAdministrativeCenter查看已执行的WindowsPowerShell命令.
PowerShell3.
0的改进如下:WindowsPowerShell工作流WindowsPowerShellWeb访问新增WindowsPowerShellISE功能对Microsoft.
NETFramework4.
0的支持对Windows预安装环境的支持无连接会话稳健的会话连接性可更新的帮助系统增强的联机帮助集成了CIM会话配置文件计划作业与TaskScheduler集成WindowsPowerShell语言增强精通WindowsServer2012R2(第5版)6新增核心cmdlet对现有核心cmdlet和提供程序的改进远程模块导入和发现增强的选项卡完成功能模块自动加载模块体验的改进简化了命令发现改进了日志记录、诊断和组策略(GroupPolicy)支持格式化和输出改进增强了控制台主机体验新增cmdlet和托管API性能改进支持RunAs和共享主机特殊字符处理的改进从上述长长的改进清单可以看出,微软打算让PowerShell(参见图1-2)作为与当今存在的一系列GUI工具同样重要的管理平台.
图1-2使用PowerShell安装服务器角色有关PowerShell的更多内容,请参见本书从第2章开始的各章,在那些章节里你将用它来添加角色和功能.
1.
4.
2ActiveDirectory权限管理服务在公司内部传递安全文档和文件对于公司的信息完整性来说是至关重要的.
例如,你公司的第1章WindowsServer2012R2中的新增功能7CFO可能有一个报表,其中列出了公司所有员工的薪水.
CFO仅希望公司其他主管拥有访问该文件的权限.
这时就需要调用ActiveDirectoryRightsManagementServices(活动目录权限管理服务,ADRMS)来保护文件的安全.
使用ADRMS时,CFO可以加密文件或者对文件应用身份验证.
在WindowsServer2012R2之前,ADRMS设置规定在具有SQLServer数据库的计算机上,只允许一名具本地管理员权限的用户进行安装.
这是因为ADRMS在安装期间需要从注册表读取SQLServer设置.
对于ADRMS的处理以及SQLServer的访问,微软作了下列更改:ADRMS现在要求在安装SQLServer时安装者拥有系统管理员(sysadmin)权限.
定位任何可用的SQLServer实例时必须运行SQLServer的浏览器服务.
SQLServer计算机上的ADRMS设置使用的任何端口都应当启用Firewall异常.
你需要为SQL实例启用TCP端口(默认端口为1433),以及为SQLServerBrowserService启用UDP端口(默认端口为1434).
ADRMS设置的另一部分得到了升级.
在以前的服务器版本中,必须从安装ADRMS的计算机中部署.
在WindowsServer2012R2中,允许在目标服务器计算机中远程部署.
有关ADRMS的更多内容,请参见第7章以后的章节.
1.
4.
3ActiveDirectory证书服务你可以使用ActiveDirectoryCertificateServices(活动目录证书服务,ADCS)将服务、设备和人员的身份绑定到一个私有密钥.
这种增强的安全特性允许仅访问支持ADCS的参与应用.
下面列出的是部分影响WindowsServer2012R2的更改:集成了ServerManager.
使用WindowsPowerShell部署和管理.
ADCS角色服务可以在任何版本WindowsServer2012R2的ServerCore上运行.
现在支持为不在同一个域内的连接计算机自动恢复证书.
强制使用相同的密钥进行证书更新.
支持国际域名.
CA角色服务默认启用了增强的安全性.
有关ADCS的更多内容,请参见第7章以后的章节.
1.
5虚拟化虚拟化允许将多个计算机操作系统放在同一台物理机器上.
过去,你需要为域控制器、Exchange服务器、DNS服务器和DHCP服务器使用4台服务器.
现在,你可以在一个物理实体内容纳4台虚拟服务器.
这样比较省钱(节省硬件开销),也省空间(过去需要4台服务器,现在只要1台服务器).
WindowsServer2012R2中的虚拟化功能仍然在继续改进中.
1.
5.
1Hyper-V过去10年间,服务器虚拟化(将一台物理服务器分隔成众多虚拟机)是服务器管理方面最重要的更改之一.
采用小写字母书写"servermanagement(服务器管理)"是因为它不仅用于WindowsServer,而且还用于各种Linux、Unix、SunSolaris等系统中.
通过购买一个大型、强大、可靠的硬件,并且精通WindowsServer2012R2(第5版)8采取某种手段让计算机相信它实际拥有10个或20个较小的独立计算机硬件,然后在每个"虚拟服务器硬件"上安装独立的服务器操作系统,这样能够极大地简化服务器管理中各种类型的操作.
另外,服务器虚拟化还解决了一个已经困扰服务器机房规划人员数年的服务器管理问题:硬件不能充分利用.
欺骗计算机以使其认为自己实际拥有众多独立计算机的工具通常称为虚拟机管理器(VirtualMachineManager,VMM).
自从服务器计算开始以来,大多数组织倾向于将每个服务器功能(例如,电子邮件、AD域控制器、文件服务器、Web服务器、数据库服务器)布置在组织自己拥有的一台单独物理服务器上.
因此,如果域需要域控制器、Web服务器和电子邮件服务器,那么通常要购买三台单独的服务器计算机,在每台服务器计算机上都安装WindowsServer,然后使其中一台成为DC,一台成为Web服务器(通过在服务器上启用R2的内置Web服务器软件InternetInformationServices),另一台成为Exchange服务器.
这样做的不利之处在于每台服务器的负载或许都非常低:当听到下述现象时,请不要惊讶:DC大约只使用5%的CPU资源,Web服务器稍微多一点,而电子邮件服务器又比Web服务器稍微多一点.
运行许多没有满负荷运转的物理服务器硬件意味着浪费电力,而这并不是现在提倡的绿色概念.
相反,购买一台大型的物理服务器,并且使用VMM将这台服务器分隔成三台虚拟服务器,或许可以接近这台物理服务器的最大处理能力,从而节省电力和减少散热需求.
下面我们先来介绍该版本的新增技术.
由于Hyper-V的改进非常多,因此我们对每一个改进的介绍只是点到为止:客户端Hyper-V提供了桌面WindowsHyper-V技术,无须安装服务器操作系统.
WindowsPowerShell的Hyper-V模块提供了超过160个cmdlet,用来管理Hyper-V.
Hyper-VReplica允许在两个站点中的存储系统、群集和数据中心之间复制虚拟机.
这样有助于提供业务连续性和灾难恢复功能.
资源计量有助于跟踪和收集关于特定虚拟机上的网络使用和资源的数据.
将身份验证管理员组简化为本地安全组.
这样只需要创建较少的用户来访问Hyper-V.
单个根的I/O虚拟化(SR-IOV)是一个新增功能,允许将网络适配器直接赋予虚拟机.
存储迁移允许在虚拟机运行过程中将虚拟硬盘移到另一个不同的物理存储器上.
SMB3.
0文件共享是一个新增功能,该功能提供了带共享存储的虚拟机,无须使用存储区域网络(StorageAreaNetwork,SAN).
虚拟FibreChannel可用来虚拟化需要直接访问基于FibreChannel的存储器的工作负荷和应用.
该功能还可以直接在客户操作系统(有时称为访客群集)中配置群集.
虚拟非统一内存架构(Non-UniformMemoryArchitecture,NUMA)允许运行在虚拟机中的某些高性能应用使用NUMA拓扑技术来帮助优化性能.
下面简单介绍一下对现有Hyper-V技术所做的部分增强,很多管理员会发现它们十分有用.
动态内存允许配置SmartPaging,这样你的虚拟机可以更有效地重启.
如果虚拟机的启动内存较少,则可以配置动态内存来提供支持.
导入虚拟机得到了调整,可以更好地处理通常会阻止导入的配置问题.
到目前为止,这个过程包括了复制虚拟机,但是从来没有检查过配置问题.
现场迁移功能可以在非群集环境下完成现场迁移.
这种改进将使现场虚拟机的移动更加容易.
本版本提供了更大的存储资源,扩大了规模,并且提供了更好的硬件错误处理功能.
这样做是为了帮助你配置具升级能力的大型高性能虚拟机.
第1章WindowsServer2012R2中的新增功能9虚拟硬盘格式(VirtualHardDiskFormat,VHDX)增加了每个虚拟硬盘的最大存储容量.
新的格式最高可支持64TB的存储容量,还配有内置硬件防护,以防止电源故障.
该格式还可以防止大扇区物理磁盘上的性能下跌.
你不再需要关闭现场虚拟机来恢复删除的存储空间.
现在的虚拟机快照可以在删除快照后释放快照使用的空间.
有关Hyper-V的更多内容,请参见第27章.
WindowsServer2012R2中删除或摒弃的内容VMChimney(又名TCP减荷)已经删除,在客户操作系统中不再可用.
WMI根\虚拟化命名空间变为"根\虚拟化\v2",它最终会在未来的Server版本中完全退出.
AuthorizationManager(AzMan)在本版本中也被摒弃了,在未来的版本中将逐步废止.
新的虚拟机管理工具将成为新标准.
1.
5.
2虚拟桌面基础架构在WindowsServer2012R2中,微软对虚拟桌面基础架构(VirtualDesktopInfrastructure,VDI)作了重大改进,改进后的架构管理更简单,增加了价值,具有更好的整体用户体验.
对移动设备的支持是当今市场的必然要求.
虚拟桌面基础架构通过虚拟化资源帮助填补不同设备间的兼容性鸿沟.
VDI提供了更强大的安全性和更高的效率,它能够通过用户熟悉的UI提高生产率.
WindowsServer2012R2和VDI使得跨设备部署虚拟资源变得轻而易举.
如果在数据中心中运行,WindowsServer2012R2VDI将允许使用Hyper-V和远程桌面服务(RemoteDesktopService)访问移动设备.
微软在同一个解决方案中提供了3种不同的部署类型:池化桌面、个人桌面和远程桌面会话.
有关VDI的更多内容,请参见第27章.
1.
6组网技术的更改如果服务器之间无法沟通,那么服务器就没有用处.
当然,能够与其他系统通信也有不利的一面,当组网时服务器容易受到试图散播恶意软件的系统的感染.
希望拥有一台安全的服务器吗非常简单,断开服务器的以太网电缆即可!
Server2012R2在组网技术方面进行了一些更改,从而使Windows组网更加快速,而且更加安全.
1.
6.
1EAP-TTLSWindowsServer2012R2的发布引入了一个ExtensibleAuthenticationProtocol(可扩展身份验证协议)类型的排他性协议,名为TunneledTransportLayerSecurity(隧道传输层安全协议,TTLS).
该协议与802.
1X身份验证有线和无线访问配套使用.
这个基于新标准的协议为客户端身份验证提供了安全通道.
802.
1X提供了一种安全保护,防止未授权的用户访问你的内联网.
1.
6.
2DNS虽然人们一直在使用DNS,但是它翻译名称的过程似乎随着每个版本的发布而越来越好.
精通WindowsServer2012R2(第5版)10WindowsServer2012R2中的变化对DNSServer和Client都有影响.
下面介绍一下DNS在WindowsServer2012R2中的变化.
在PowerShell中,DNS管理进行了一些改进.
例如,使用PowerShell安装和卸载DNSServer角色的方式都有所改进.
PowerShell还对原操作系统上的用户界面、客户端查询以及服务器配置进行了改进.
LLMNR查询超时时间原来是300ms,对于省电模式下的计算机来说,这个时间不够用.
对DNSClient作了新的改进后,这个超时时间增加到820ms.
1.
6.
3IP地址管理IP地址管理(IPAddressManagement,IPAM)框架是一组新增技术,用于管理、监控和审计IP地址空间.
通过监控DHCP和DNS,IPAM可以在网络内定位IP地址服务器,并允许通过一个中央UI管理这些地址服务器.
1.
6.
4NIC组合WindowsServer2012R2中的NIC组合技术可以将多个网络接口卡组合成一个接口.
这样有助于故障检修,假设一台设备不好用,还有别的设备可用.
当采用NIC组合技术时,负载平衡也得到了改善,因为带宽合并成一个更大的带宽.
有关NIC组合主题和新增功能的更多内容,请参见第4章和第5章.
1.
7管理工具任何优秀的网络操作系统都应该提供简便的方式来保持一台服务器或1000台服务器启动并运行,使人们能够尽可能少地管理服务器.
以前没有哪个操作系统在服务器管理上能做到这一点,但是WindowsServer2012R2在这方面已经进行了改善,提供了一些有用的新工具.
1.
7.
1ServerManager在WindowsServer2008之前,当管理员要配置和维护服务器时,需要使用多个不同的工具.
WindowsServer2008引入了一个综合管理工具ServerManager,所有配置和管理工具可以"一站式"实现,从而改变了这种状况.
在WindowsServer2012R2中(见图1-3),微软进一步扩展了这一功能.
ServerManager现在允许管理员管理多台服务器(虚拟或物理/本地或远程),只要这些服务器不是WindowsServer2003之前的版本即可.
在ServerManager中添加角色或功能变得更加智能.
当你作选择时,AddRolesandFeatures向导就会动态地改变.
这个向导帮助你决定哪些工具和功能适用于目标角色.
ServerManager新增了一个仪表盘,如果有问题,仪表盘会显示彩色编码框.
例如,如果DNS事件日志中出现了一个错误,那么仪表盘上的DNS框会变成红色.
在对服务器进行故障检修时,该仪表盘是一个极佳的工具,由于你登录时第一眼就会看到这个仪表盘,因此你不会错过它.
提到服务器的故障检修,ServerManager新增了一系列故障检修工具,第2章将会详细介绍.
由于这些工具都在角色和ServerManager内部,因此查看结果时不必像使用EventViewer或PerformanceAnalyzer时那样打开多个应用程序,它们都在同一个地方.
第1章WindowsServer2012R2中的新增功能11图1-3ServerManager有关ServerManager的更多内容,请参见第2章.
1.
7.
2远程工具:WinRM和WinRS情况总是如此,新操作系统中包含了一些确实重要和有用的功能,但是通常又不会被注意.
WindowsServer2012R2在新网络协议中就包含了这样一个强大但又不被人注意的功能,该功能就是Windows远程管理(WindowsRemoteManagement,WinRM).
为了理解WinRM的出色之处,下面我们来看一下WinRM准备替换的内容,这就是众所周知的远程过程调用(RemoteProcedureCall,RPC)协议.
即便你从来没有听说过RPC,但是有可能已经使用它数年之久.
RPC的工作就是允许一个程序与另一个程序对话,即便这两个程序运行在不同的计算机上.
例如,如果已经在ExchangeServer实例上启动了Outlook来阅读电子邮件,就使用了RPC:正是由于RPC的存在,Outlook才能与Exchange联系并请求所需的电子邮件.
或者,如果曾经使用过诸如DNS、DHCP的MMC管理单元或者ComputerManagement管理单元,从桌面计算机上远程控制远程计算机上的功能,那么也使用了RPC.
RPC是一种协议,多年来提供了众多的服务,但是它有一个致命的问题:安全难以保证.
在微软公司发明RPC时Internet还没有出现,而且绝大多数LAN的范围不会超出从办公楼第一层到顶层的距离,因此安全问题并没有引起特别关注.
数年之后,当安全问题引起极大关注时,微软公司试图改进RPC,添加安全性,这项工作是从XPSP2开始的,试图通过添加一些选项来修改错误,但是在那个时候马已经脱缰,如果强行为RPC添加安全性,那么将不得不停止使用数百个甚至数千个依赖于RPC的应用程序.
非常明显,是时候改变Windows程序彼此之间的通话方式了,因此微软公司决定采纳一种与RPC完成相同事情的协议,其略有变化:该协议不是专有协议,而是标准协议,与平台无关,Linux和MacOS中也有相似的实现.
精通WindowsServer2012R2(第5版)12该协议是HTTPS的改进.
该协议的通信是加密的.
该协议需要身份验证才能使用.
使用WinRM的Windows2012R2的组件还包括事件日志集合、能够在远程服务器上使用新的ServerManager管理单元的能力以及一个称为WindowsRemoteShell或者WinRS的安全远程命令shell,我本人最喜欢这个命令.
如果需要一个安全的、低带宽的远程控制工具,那么可以试试WinRS.
有关WinRM的更多内容,请参见第17章.
1.
7.
3RemoteDesktopServices在WindowsServer2012R2中,微软在提升用户和管理体验方面迈出了一大步.
不管使用何种设备进行连接,微软公司都尽量提升用户体验.
他们希望确保通过WAN或LAN连接(连接到虚拟桌面、RemoteApp程序或者基于会话的桌面)为用户提供丰富的体验.
微软还希望使远程桌面管理体验更加完善.
我们承认,微软公司确实做得不错,因为它添加了一个中央控制台,这样管理员就可以从同一个位置管理远程桌面服务(RemoteDesktopService).
有关RemoteDesktopService的更多内容,请参见第17章.
第14章(讨论远程管理)和第25章(讨论基于服务器的RDS)将详细介绍RemoteDesktopServices的细节和各种新功能.
1.
7.
4组策略对象的改进现在又有什么地方变得更为出色呢有许多地方.
使用现在内置的组策略管理控制台(GroupPolicyManagementConsole),组策略对象(GroupPolicyObject,GPO)的管理就变得更简单.
在以前的Windows版本中,管理员遇到的一个问题是:需要手动强制更新GPO.
尽管GPO每90分钟会自动更新一次,但是,还有很多时候需要GPO立即生效.
管理员必须远程登录特定的计算机,从命令行运行gpupdate.
exe来手动更新GPO.
现在,如果管理员想要手动强制更新GPO,可以通过组策略管理控制台使用OU的上下文菜单进行更新,并让gpupdate.
exe在多台计算机上同时运行.
管理员还可以通过使用PowerShell实用程序和新增的Invoke-GPUupdatecmdlet来实现这一功能.
下面是WindowsServer2012R2中对组策略的其他更改:在域层级处理监控重复的问题时,不再需要下载并运行单独的工具.
对于运行WindowsRT的服务,现在可以配置本地组策略.
默认情况下这一服务是禁用的,必须启用该服务并设置为自动.
组策略已升级为支持InternetExplorer10.
有关组策略的更多内容,请参见第9章.
1.
8文件和打印共享在Windows服务器上运行Web或电子邮件服务之前,我们只能使用服务器共享两件事物:大容量的硬盘驱动器和昂贵的打印机.
文件和打印是Microsoft网络所提供的最古老的服务,但是很明显,它们还没有古老到不需要学习一些新技巧.
第1章WindowsServer2012R2中的新增功能131.
8.
1BranchCacheBranchCache是一种优化WAN带宽的技术,其方法是将你的主机或者云服务器上的内容复制到分机上.
当内容复制到分机上后,用户可以从本地访问该内容,而不需要通过WAN访问.
具有访问缓存文件的能力可节省带宽和提高安全性.
BrachCache可以支持任何大小的分机,服务数目没有限制.
仅使用一个组策略对象(GPO)即可部署BranchCache.
该技术通过Windows文件服务器将文件划分成小加密块.
关于将文件划分成小加密块,最出色的方面是客户端计算机可以仅下载发生了变更的块.
BranchCache会检查重复的内容,仅下载该内容的一个实例,从而节省磁盘空间.
在WindowsServer2012R2中,BrachCache的改进包括自动化客户端计算机配置,以及大大提高了性能和可扩展性.
客户端计算机可以通过组策略对象(GPO)来配置.
如果没有为BranchCache配置GPO,BranchCache会检查托管的缓存服务器,并使用默认的设置.
BranchCache的新增优点之一是这样的能力:在托管缓存服务器上预加载特定内容(如媒体和DVD),并将该内容发送到客户端缓存中.
另一种极好的改进是数据库性能得到了提升.
BranchCache通过可扩展存储引擎(ExtensibleStorageEngine,ESE)实现了这一点,与MicrosoftExchangeServer使用的数据库技术相同.
该技术允许将单个托管缓存服务器扩展为处理更多用户的更多需求,无须增加硬件资源.
托管缓存服务器不再需要认证机构(CA)颁发的服务器证书,大大降低了用多个CA部署公有密钥所涉及的成本.
1.
8.
2SMB3.
0Windows的文件服务器服务的官方名称是SMB,它是服务器消息块(ServerMessageBlock)的简写(这要怪IBM,不要怨微软,因为是IBM的一个家伙首先设计的服务器消息块).
到目前为止,SMB已经面世大约25年,但是它变化不大,其最大的变化是支持更大的块,从而能够利用快于100Mb/s(2000年出现)的网络,处理多个路径以及添加数字签名,从而阻止中间人的攻击(2001年出现).
WindowsServer2012R2对SMB进行了一定程度的更改,从而能够更好地处理慢速网络,更加智能地处理加密,提高文件传输吞吐量,以及支持PowerShell.
1.
8.
3文件服务器资源管理器文件服务器资源管理器(FileServerResourceManager)中的工具可用来管理存储在文件服务器上的数据.
其中的一些工具有助于自动分类以及报告和管理文件与配额.
使用DynamicAccessControl的FileClassificationInfrastructure,可以控制和审计对文件服务器上的文件的访问.
通过该工具,现在可以获得对文件服务器上的文件分类的更多控制.
有了这些增强的功能,可以手工或自动分类文件.
有关这一主题的更多内容,请参见第13章以后的章节.
1.
9基于Web的服务最后介绍Internet方面的一部分内容,这部分内容变得比网络的其他部分更重要,这部分内容精通WindowsServer2012R2(第5版)14具体包括Web和相关的服务.
对于Windows来说,它们非常重要,而且在2012R2中也进行了一些重大的更改.
1.
9.
1Web服务器IIS近年来,Windows的文件服务可能没有太多变化,但是Windows的Web服务器却并非如此.
加固服务器产品的一个关键因素是使暴露给Internet的代码量尽可能少.
例如,如果Web服务器支持FastCGI,但是网站不需要FastCGI,那么为什么还要在面向Internet的服务器上运行FastCGI,从而冒着有人可能利用IIS的FastCGI漏洞来破解服务器的风险呢很明显,我们不会这样做,因此最好将那些不需要的软件从Web服务器中清理出去(安全人员称此为"最小化攻击面",有时候我们认为他们有点儿言过其实).
那么,完美的Web服务器应该由数十个小模块构成,可以根据网络管理员构建Web服务器的需要删除或添加每个模块,从而准确完成所需的任务,而且不能提供多余的功能.
这就是WindowsServer2008中IIS7.
0的指引方针,IIS7.
0是对IIS的完全修订,集成了一些最新的安全技术,包括WinRM(当使用IIS7进行远程管理时,使用的协议是WinRM,而不再是RPC).
对IIS7.
0的攻击就我所知,还没有人能够破解IIS7,而且也没有人拿下IIS7.
5,IIS7.
5是升级版,随WindowsServer2008R2一起发行.
Web管理也类似于7.
xIIS管理工具的更整洁、面向任务的界面.
我们知道如今市面上的企业离不开Internet,所以我们相信微软公司会对Web服务器进行技术改进.
随着WindowsServer2012R2成为Web服务器IIS8.
0的最新版本(见图1-4).
IIS8.
0还为管理者提供了丰富的新功能,同时能够保护你的网站的安全.
下面是IIS8.
0中的几个重要变更.
应用程序初始化图1-4IIS的新管理工具第1章WindowsServer2012R2中的新增功能15动态IP地址限制集中式SSL证书支持CPU节流FTP登录尝试限制服务器名称指示(SNI)支持改进SSL和配置的可扩展性支持NUMA硬件上的多核扩展即使你的业务不依赖于网络,了解当前的WindowsWeb服务器也没有坏处,因此不要跳过第19章的学习.
MicrosoftManagementConsole已废弃在WindowsServer2012R2中,MicrosoftManagementConsole插件已不建议用于InternetInformationServices(IIS)Manager6.
0.
在WindowsServer的未来版本中将删除这一插件.
1.
9.
2FTP服务器微软公司提供的工具有好也有坏.
在少数几种场合中,微软公司提供了相当错误的工具,在过去15年左右的时间里,随Windows提供的内置文件传输协议(FileTransferProtocol,FTP)服务器软件就是这样一种情况.
该软件非常笨拙、难以配置,提供的有用日志少得可怜,而且还无法配置一些本应非常易于配置的内容(如用户主目录),因此我所知道的几乎每个需要WindowsFTP服务器的人,最终都花钱购买了第三方的FTP服务器.
但是,从WindowsServer2008和R2开始,事情发生了根本性的变化.
就我们所知,微软公司已经丢弃了原有的全部FTP服务器代码,而从头重新编写了该代码.
在WindowsServer2012R2中还增加了这一功能:在一定的时间段内,FTP账户只能进行有限次数的失败登录尝试.
因此,如果需要基于Windows的FTP服务器,可以翻到讨论有关IIS的章节(第19章),学习更多关于FTP服务器的新增变更.
有关Web服务器管理的更多内容,请参见第19章.