邮件服务器-邮件系统-邮件技术论坛(BBS)

标题: 虚心请教一下各位，如何设置 IP 安全策略才能让 winwebmail正常工作 [打印本页]

作者: happyman 时间: 2009-1-3 18:02
标题: 虚心请教一下各位，如何设置 IP 安全策略才能让 winwebmail正常工作
今天试了很多次，还是没试成功，我现在是用WinWebMail 3.7.3.1，这个一直工作很正常的，但是由于前段时间服务器不知道哪里出现问题给hack，找了朋友帮忙设置了一下安全，他说如果设置好 IP 安全策略，那对服务器会安全好多。

我现在的状况是关闭 IP安全策略，收发邮件都是很正常的；

而我也试过只要IP策略里面设置了允许 25端口，并按照下面设置，就能正常收外网网服务器发过来的邮件
************************************************
25端口
源：任何IP地址目标：我的IP
从任意端口到 25端口 tcp协议
***********************************************

但是现在还是不能往外发邮件，我看了论坛的一些帖子，提到要winwebmail完全正常工作（收发邮件），还需要 110、1054、7255、7299端口，不过我设置了这几个端口110、1054 是TCP；7255、7299是UDP 添加到IP策略里面，仍然无法往外发邮件，希望有朋友能告知一下，详细的这些端口要如何设置才能使 winwebmail能收邮件也能发邮件,十分感谢。

作者: zyjc95 时间: 2009-1-4 11:24
楼主到IP策略25端口设置反了，建议楼主采用防火墙+IP策略+tcp/ip筛选+权限来保护服务器，偶有一个IP策略的批处理文件，也许对你有帮助

IPsec自动设置工具.part1.rar

488.28 KB, 下载次数: 28, 下载积分: 经验积分 -1

IPsec自动设置工具.part2.rar

482.07 KB, 下载次数: 34, 下载积分: 经验积分 -1

作者: happyman 时间: 2009-1-5 09:57

原帖由 zyjc95 于 2009-1-4 11:24 发表
楼主到IP策略25端口设置反了，建议楼主采用防火墙+IP策略+tcp/ip筛选+权限来保护服务器，偶有一个IP策略的批处理文件，也许对你有帮助

zyjc95 十分感谢你啊，谢谢你提供的资料，我尝试一下

其实刚刚开始的时候，我乱添加了几天IP策略规则，当时是能发不能收，后来我就慢慢尝试，才尝试到上面25端口的设置方法后能收邮件，不过你说我设置反了，我试下你提供的策略

真是万分感谢了，因为 google了加 baidu 了一直没看到有多少人谈论到用 IP 策略的

作者: 不吃草的狼 时间: 2009-1-6 11:18
为了让你的系统变为铜墙铁壁，应该封闭这些端口，主要有：TCP 135、139、445、593、1025 端口和 UDP 135、137、138、445 端口，一些流行病毒的后门端口（如 TCP 2745、3127、6129 端口），以及远程服务访问端口3389。下面介绍如何在WinXP/2000/2003下关闭这些网络端口：

　　第一步，在“运行”输入gpedit.msc，回车打开“组策略”，在组策略中的windows设置-安全设置中选中“IP 安全策略，在本地计算机”，在右边窗格的空白位置右击鼠标，弹出快捷菜单，选择“创建 IP 安全策略”，于是弹出一个向导。在向导中点击“下一步”按钮，为新的安全策略命名；再按“下一步”，则显示“安全通信请求”画面，在画面上把“激活默认相应规则”左边的钩去掉，点击“完成”按钮就创建了一个新的IP 安全策略。

　　第二步，右击该IP安全策略，在“属性”对话框中，把“使用添加向导”左边的钩去掉，然后单击“添加”按钮添加新的规则，随后弹出“新规则属性”对话框，在画面上点击“添加”按钮，弹出IP筛选器列表窗口；在列表中，首先把“使用添加向导”左边的钩去掉，然后再点击右边的“添加”按钮添加新的筛选器。

　　第三步，进入“筛选器属性”对话框，首先看到的是寻址，源地址选“任何 IP 地址”，目标地址选“我的 IP 地址”；点击“协议”选项卡，在“选择协议类型”的下拉列表中选择“TCP”，然后在“到此端口”下的文本框中输入“135”，点击“确定”按钮，这样就添加了一个屏蔽 TCP 135（RPC）端口的筛选器，它可以防止外界通过135端口连上你的电脑。

　　点击“确定”后回到筛选器列表的对话框，可以看到已经添加了一条策略，重复以上步骤继续添加 TCP 137、139、445、593 端口和 UDP 135、139、445 端口，为它们建立相应的筛选器。

　　重复以上步骤添加TCP 1025、2745、3127、6129、3389 端口的屏蔽策略，建立好上述端口的筛选器，最后点击“确定”按钮。

　　第四步，在“新规则属性”对话框中，选择“新 IP 筛选器列表”，然后点击其左边的圆圈上加一个点，表示已经激活，最后点击“筛选器操作”选项卡。在“筛选器操作”选项卡中，把“使用添加向导”左边的钩去掉，点击“添加”按钮，添加“阻止”操作：在“新筛选器操作属性”的“安全措施”选项卡中，选择“阻止”，然后点击“确定”按钮。

　　第五步,进入“新规则属性”对话框，点击“新筛选器操作”，其左边的圆圈会加了一个点，表示已经激活，点击“关闭”按钮，关闭对话框；最后回到“新IP安全策略属性”对话框，在“新的IP筛选器列表”左边打钩，按“确定”按钮关闭对话框。在“本地安全策略”窗口，用鼠标右击新添加的 IP 安全策略，然后选择“指派”。

　重新启动后，电脑中上述网络端口就被关闭了

参考这个

作者: 不吃草的狼 时间: 2009-1-6 11:23
关于服务器安全问题需要注意的很多，我们的服务器是硬件防火墙+norton+360，
这里我很简单的写了几点你看看：

1、服务器系统安装完毕以后，建议用360检查和补全系统漏洞，并开启360的基本保护
2、以下路径或程序只给Administrator权限(另外C盘尽量缩小权限，能不给user读取运行的权限就尽量不要给)：
X:\Documents and Settings\
X:\WINDOWS\SYSTEM\cmd.exe
X:\WINDOWS\SYSTEM\net.exe
X:\WINDOWS\SYSTEM\net1.exe
X:\WINDOWS\SYSTEM\shell.dll
3、最好更改administrator用户名；在本地策略里面把guest账户名称改成administrator，并设置一个复杂难以记住的密码后禁用guest账户）
Sqldebugger账户可以禁用掉
4、在网络连接中把没有用的协议卸载。最好只留TCP/IP和Microsoft网络客户端
5、服务设置:
必须禁用的服务：telnet
Messager
Remote Registry
可以禁用的服务：print spooler
            DHCP Client
            DNS Client
            Wireless Configuration
6、审核策略更改
本地策略中修改各项审核策略，除了审核目录服务访问，只设置失败一项，其他都勾上成功和失败2项
7、本地策略设置：登录屏幕上不要显示上次登录时的用户名
8、系统审核：
password复杂性设置,密码最小长度8字符
帐户锁定阈值：:5次无效登录,锁定10分钟.
9、删除默认共享:
检查 AutoShareServer 和 AutoShareWks 注册表值，以确保未将它们设置为 0：找到并单击以下注册表子项:HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\LanmanServer\Parameters 如果 LanmanServer\Parameters 子项中的 AutoShareServer 和 AutoShareWks DWORD 值配置的数值数据为 0，则将该值更改为 1。
注意：如果这些值不存在，则不必创建它们，因为默认行为是自动创建管理共享。

作者: happyman 时间: 2009-1-9 13:28

十分感激楼上朋友们给出的安全方面的建议，以前服务器是朋友帮我安装系统并设置安全的（但是也没设置到这么详细），后来系统有点小问题，php的环境老是出错，无奈下我就自己重新安装了系统，然后开启了windows的默认防火墙，以为这样已经能较安全了，实在是太天真，后来才知道那样的配置等于一台小肉鸡一样，极容易被hei，因为用到的一些程序都是比较多问题的，客户有用动易，ftp我是用 serv-u 也是容易出问题，现在看到大家都意见，我会好好地学习一下，并设置安全

谢谢大家

作者: 150150150 时间: 2009-1-11 19:05
不错，向大家学习

欢迎光临邮件服务器-邮件系统-邮件技术论坛(BBS) (http://bbs.5dmail.net/)