给Win2000一个安全远程管理

　　服务器的远程管理，对系统管理人员来说是十分重要的。但远程管理在带来便利性的同时，也带来了不安全隐患。最明显的安全隐患就是，当管理员在和服务器进行通信的时候，存在被人用一些嗅探类的软件（如Sniffer）进行旁路截听的威胁。另外，要实现远程管理，服务器就需要安装远程管理软件并打开一些端口，这就可能为服务器带来新的攻击点。　　　　　　好的远程管理系统要具备四点 　　　　　　一个优秀的远程管理方案的目标是，在不增加服务器威胁的同时，为管理员提供使用的方便。通常，远程管理服务系统要关注的安全性问题有：存取控制（Access Control）、数据真实可靠性（Integrity）、机密性（Confidentiality）、审计（Auditing）。　　　　存取控制　　　　存取控制就是保证仅仅只有管理员才能够做服务器的远程管理。这也就意味着远程管理软件只接受一个小范围IP地址的连接，并需要用户名和口令的控制。存取控制可以通过硬件卡和证书等第三方认证系统来增强，也可以用一些简单、现成的技术来增强，如使用非标准端口来提供服务或者不显示服务旗标的一些安全配置手段。　　　　数据真实可靠性　　　　数据的真实可靠性是要确保服务器收到的数据真的是管理员刚发出的，还要确保发出的数据包真实可信，不会在以后的某个时间里被重发。　　　　机密性　　　　这可能是远程管理最关心的事情，尤其是需要敏感数据在公网中传输的远程管理系统。机密性确保这些数据包不被中途截取、被其他人看到，这可以通过使用足够长的秘钥加密机制来实现机密性的要求。　　　　审计　　　　审计是对所有进出服务器的行为作日志记录，留作日后的分析，这对还原犯罪现场是十分重要的，对任何一个远程访问解决方案来说，这都是最基本的功能，要求对每个与服务器的连接都要记录详细的信息。此外，这些日志记录应该能够实现从服务器自动转移到安全的地方，从而确保日志数据的安全性。　　　　　　用Zebedee实现Win2000的安全远程管理　　　　　　尽管有很多远程管理Windows 2000服务器的办法，但并不是所有的产品都可提供安全的方案，能够解决上面我们列出的所有需求，但这也并不意味着我们不能使用它们。通过不同产品或技术之间的相互结合，我们可以实现十分安全的远程管理解决方案。　　　　以Windows 2000服务器为例，终端服务（Terminal Services）是Windows 2000自带的服务，同时还提供一个远程客户端管理软件，来实现对服务器远程管理。终端服务应该是Windows 2000服务器进行远程管理使用最多的办法，这和它的使用便利性，以及其属于Windows内置的服务，同时带来的其他好处有关，比如可以使用Windows 2000服务器自带的认证系统。　　　　但是，终端服务有很多自身难以克服的缺陷：例如没有进行基于IP地址的访问控制机制，没有公开如何改变服务端口的办法，没有日志审计的功能。对照上面提到的远程管理的安全需要，显然仅仅是终端服务是不能提供好的远程管理需要的。通过与Zebedee软件结合，终端服务就可以实现上面的远程管理安全需要。　　　　Zebedee的工作机制如下：Zebedee监听本地指定的应用，将要传输的TCP或UDP数据进行加密、压缩；Zebedee客户端与服务器端之间建立了一个通信隧道；压缩、加密的数据就在这个通道上进行传输；可以令多个TCP或UDP的连接建立在同一个TCP连接之上。　　 　　在Zebedee上的终端服务　　　　从图中可以看到，终端服务的客户端进程开启后（目标TCP端口：3389），本地Zebedee客户端截取数据包；Zebedee将数据加密、压缩后发给Zebedee服务器（这里Zebedee服务缺省端口11965）；Zebedee服务器接到后再解包、解密传递给服务器的服务（服务端口：TCP：3389）。在这里，服务器上的终端服务好像是与本地的终端服务客户端进行的连接，但实际上所有传递的数据包都经过了一个加密的隧道。此外，Zebedee还可以通过配置文件来实现身份认证、加密、IP地址过滤以及日志的功能。一个配置良好的Zebedee和Windows2000的终端服务相互结合，可以构建一个十分安全的远程管理系统。　　　　一般终端服务不提供文件传输的功能，所以需要考虑其他的办法，比如使用FTP服务器。但是FTP服务器通常被认为是不安全的，它也可以通过Zebedee增强其安全性，方法是直接在终端服务上传输数据，这里推荐两个第三方的解决方案，一个是Analogx的TSDropCopy (http://www.analogx.com/contents/download/system/tsdc.htm)，另一个是WTS-FTP（http://www.ibexsoftware.com/about.asp）。　　　　终端服务是远程管理Windows2000服务器最便捷的工具，但其本身在安全性上的考虑远远不足。通过Zebedee与终端服务的结合，可以说实现了一个便捷、安全的解决方案。　　　　以上只是Windows2000实现远程安全管理的诸多解决方案中的一种。我们只想借此来帮助大家了解远程管理安全方面值得考虑的因素和解决的方法思路。如果你现在在使用一个远程管理工具，你可以检查一下你的软件是否满足了上面所说的远程管理的安全性需要。如果没有，你就需要考虑去找些其他软件去增强他的安全性。使用加密隧道及对防火墙进行合理配置是实现一个安全的远程管理解决方案的关键。　　　　　　认识Zebedee　　　　　　Zebedee是一个公开源代码的自由软件，它通过建立一个加密的通信隧道，允许TCP或UDP数据包在隧道内传送。另外，Zebedee还提供身份认证、IP地址过滤以及日志审计的功能，可以很好地弥补终端服务的不足，组成一个十分安全的远程管理解决方案。Zebedee软件可以从http://www.winton.org.uk/zebedee/download.html下载。