Windows Server 2008 新增功能浅谈

几年前曾经在一本杂志中看到过这样一句话，“Internet的美妙之处在于你可以和世界上每个角落的人联接，而Internet的可怕之处在于世界上的每个角落的人也可以与你相互联接。”可想而知，联接的终结点自然是计算机。而操作系统作为所有计算机资源的“统治者”，是一切应用程序的基础和核心。如果没有操作系统的安全，任何应用和管理都无从谈起。因此，操作系统的安全是整个计算机系统安全的基础。
    许多人认为Windows操作系统是不安全的，其实并非如此。客观地讲，没有绝对安全的操作系统，任何操作系统的安全都是相对的。Linux和UNIX也并非固若金汤，也同样会有系统漏洞，也同样会遭遇各种攻击。“树大招风”的古训大家都知道，呵呵。
    Windows Server 2008诞生已有两个年头，尤其是在安全性、可靠性及可操作性上与Windows 以往的家族成员相比都有显著的提高。以下针对Windows Server 2008几个新增功能浅谈下我个人在实际工作中应用的体会。

   1、 TS RemoteApp
Terminal Services RemoteApp (TS RemoteApp)将给企业分支机构、移动办公人员提高办公效率，保障企业数据安全成为可能。
RemoteApp 程序是通过终端服务远程访问的程序，它们看来就像运行在最终用户的本地计算机上一样。用户可以将 RemoteApp 程序与本地程序并排运行。用户可以最小化、最大化以及调整程序窗口的大小，还可以轻松地同时启动多个程序。如果用户在同一台终端服务器上运行多个 RemoteApp 程序，RemoteApp 程序将共享同一个终端服务会话。用户可以从终端服务器运行程序，并且拥有的体验就像程序在最终用户的本地计算机上运行的一样，包括可以调整大小的窗口、多台监视器之间的拖放支持以及通知区域中的通知图标。RemoteApp 程序与客户端的桌面集成在一起，借助任务栏中它自己的条目，运行在它自己的可调整大小的窗口中，而不是在远程终端服务器的桌面中呈现给用户。如果程序使用通知区域图标，则该图标出现在客户端的通知区域中。弹出窗口被重定向到本地桌面。可以对本地驱动器和打印机进行重定向以使它们出现在 RemoteApp 程序中。许多用户可能没有注意到 RemoteApp 程序与本地程序的任何差异。
与Linux中SSH相比，TS RemoteApp功能更具有堡垒主机之功效。
这一功能尤其适用于金融行业，因证券基金类组织的行业特点，办公人员均需使用柜台查询业务数据。使用TS RemoteApp后，可以将柜台客户端集中部署在终端服务器中，这样在终端对柜台应用程序进行扫描、破解、反向工程等攻击基本不可能，提高了安全性。
  
   2、 Server Core
    与前任Windows Server2003相比，在 Windows Server 2008 操作系统中，管理员可以选择安装可避免额外开销的最小环境。尽管此选项限制了服务器可执行的角色，但可以提高安全性并减少管理工作。服务器核心安装是运行 Active Directory 域服务、AD LDS、DHCP 服务器、DNS 服务器、文件服务、打印服务器和流媒体服务服务器角色的最小安装。
    服务器核心安装提供以下优势：
• 减少维护工作量。由于服务器核心安装仅安装指定服务器角色所需的设备，因此与 Windows Server 2008 的完整安装相比，需要的服务更少。
• 减小受攻击面。因为服务器核心安装是最小安装，所以服务器上运行的应用程序较少，从而可减小受攻击面。
• 减少管理工作量。因为运行服务器核心安装的服务器上安装的应用程序和服务较少，所以需要的管理工作更少。
• 需要更少的磁盘空间。服务器核心安装仅需要大约 1GB 磁盘空间即可进行安装，安装完成后，仅需要大约 2 GB 磁盘空间即可运行。
    这一功能尤其适用于需要以Active Directory 域服务管理企业资源，可以做到最小化的安装企业所需的服务，减少补丁需求，提高服务器的安全架构。
与Linux的命令行相比，兼容性更具优势。

3、网络访问保护
网络访问保护 (NAP) 是 Windows Server 2008 和 Windows Vista 操作系统附带的一组新的操作系统组件，它提供一个平台以帮助确保专用网络上的客户端计算机符合管理员定义的系统健康要求。NAP 策略为客户端计算机的操作系统和关键软件定义所需的配置和更新状态。例如，可能要求计算机安装具有最新签名的防病毒软件，安装当前操作系统的更新并且启用基于主机的防火墙。通过强制符合健康要求，NAP 可以帮助网络管理员降低因客户端计算机配置不当所导致的一些风险，这些不当配置可使计算机暴露给病毒和其他恶意软件。当客户端计算机尝试连接网络或在网络上通信时，NAP 通过监视和评估客户端计算机的健康状况来强制实施健康要求。如果确定客户端计算机不符合健康要求，则可以将其置于包含资源的受限网络上，以帮助更新客户端系统使其符合健康策略。该功能非常类似于ISA Server中的VPN访问隔离策略控制。
与Linux中ACL相比，NAP更能满足企业灵活定制需求功能。
这一功能尤其适用于企业对网络安全性有较高要求，企业员工经常出差又必须访问公司办公网络，保障企业网络安全。

4、只读域控制器
    只读域控制器 (RODC) 是 Windows Server 2008 操作系统中的一种新类型的域控制器。借助 RODC，组织可以在无法保证物理安全性的位置中轻松部署域控制器。RODC 承载 Active Directory 域服务 (AD DS) 数据库的只读分区。
物理安全性不足是考虑部署 RODC 的最常见原因。RODC 提供了一种在要求快速、可靠的身份验证服务但不能确保可写域控制器的物理安全性的位置中更安全地部署域控制器的方法。 但是，您的组织也可选择根据特殊管理要求部署 RODC。例如，行业 (LOB) 应用程序只有在安装在域控制器上的情况下，才可以成功运行。或者，域控制器可能是分支机构中唯一的服务器，并且可能必须承载服务器应用程序。 在这种情况下，LOB 应用程序的所有者必须经常以交互方式登录到域控制器，或使用终端服务配置和管理应用程序。此情况产生了在可写域控制器上可能无法接受的安全风险。 RODC 为在此方案中部署域控制器提供了更安全的机制。您可以向非管理域用户授予登录到 RODC 的权限，同时最小化 Active Directory 林的安全风险。 还可以在其他方案中部署 RODC，例如，Extranet 或面向应用程序的角色中，其中本地存储的所有域用户密码是主要威胁。
    RODC 解决了分支机构中的一些常见问题。这些位置可能没有域控制器。或者，这些位置可能具有可写域控制器，但是不具备支持它的物理安全性、网络带宽或本地专业知识。除帐户密码之外，RODC 保存了可写域控制器所保留的所有 Active Directory 对象和属性。但是，不能对存储在 RODC 上的数据库进行更改。更改必须在可写域控制器上进行，然后复制回 RODC。该功能类似于DNS中的辅助区域。
在 Windows Server 2008 发布之前，如果用户必须通过广域网 (WAN) 对域控制器进行身份验证，则没有合适的替代方案。在许多情况下，这不是一个有效的解决方案。分支机构通常不能为可写域控制器提供所需的充分的物理安全性。此外，当分支机构连接到中心站点时，其网络带宽状况通常较差。这可能增加登录所需的时间。它还可能妨碍对网络资源的访问。因此Windows Server 2008的发布给企业基础架构提供了更优的解决方案。
与Linux中LDAP相比，功能更为完善。

5、虚拟化角色
借助虚拟化角色，您可以使用作为 Windows Server 2008 操作系统一部分的技术创建一个虚拟化的服务器计算环境。该解决方案通过 Hyper-V 提供。可以使用虚拟化计算环境，利用多个硬件资源来提高计算资源的效率。
Hyper-V 提供 Windows Server 2008 中的软件基础结构和基本管理工具，可用于创建和管理虚拟化服务器计算环境。此虚拟化环境可用来实现旨在提高效率和降低成本的各种商业目标。例如，虚拟化服务器环境可以帮助您：
• 通过增加硬件的利用率降低运行和维护物理服务器的成本。可以减少运行服务器工作负载所需的硬件数量。
• 通过减少设置硬件和软件以及再现测试环境所需的时间提高开发和测试效率。
• 提高服务器可用性，而无需使用仅使用物理计算机的故障转移配置中所需数量的物理计算机。
• 增加或减少服务器资源以响应所需的更改。

这一功能尤其适用于为金融行业开发柜台的软件公司。因其需要搭建业务平台，进行大量的业务测试，此时需要为数较多的服务器来满足测试需求，使用Windows Server 2008虚拟化技术可以帮助企业降低硬件成本。
相比Xen而言，Xen需要与系统共同协作(客户操作系统需要修改), 只有打过补丁的系统才能使用Xen. 从Linux角度来看, Linux本身是开源的, 结果是Xen的性能要好于全虚拟化技术. 但是从系统支持(比如支持其它非开源的操作系统)的角度来看, 这显然是一个不足之处。