主页 / server / 问题 / 808911
Accepted
Ethan Brown
Asked: 2016-10-14 10:16:30 +0800 CST

Windows Server 2008 R2 + IIS 7：如何拒绝给定域/端口的流量

  • 772

我们有一个运行 IIS 7 的 Windows Server 2008 R2 实例，为多个域（所有端口 80 或 443）上的多个网站/Web 服务提供服务。

我们有一个特定子域/端口的安全问题，我想将服务器配置为根本不响应该子域/端口组合（即，甚至没有 TCP 响应......SYN应该没有收到相应ACK的 ，好像服务器甚至不存在）。

我不是经验丰富的网络管理员，在 Windows 上更是如此。使用 Microsoft 网络监视器，我可以看到某些东西正在接听电话并以 404 响应：

在此处输入图像描述

“进程”字段是空白的，所以我不知道实际接电话的是什么。我怀疑它一定是 IIS，但是没有配置网站来响应这个特定的域/端口。我想也许“默认网站”会捕获所有未配置的流量，但是当我在默认网站上设置失败的请求监控时，我没有得到任何日志。

我想防火墙条目可能会完成这项工作，但我想知道在走这条路线之前事情实际上是如何工作的。什么是对这个网络请求的响应，我该如何找到？然后我可以将该组件配置为不响应这些请求吗？

更新：根据@Mass Nerder 的评论，我跑了netstat -anb，我得到以下端口 80（有问题的端口）：

  TCP    0.0.0.0:80             0.0.0.0:0              LISTENING
 Can not obtain ownership information
  TCP    172.17.63.2:80         50.205.86.154:37961    ESTABLISHED
 Can not obtain ownership information
  TCP    172.17.63.2:80         50.205.86.154:54097    ESTABLISHED
 Can not obtain ownership information
  TCP    172.17.63.4:80         69.66.192.88:53898     ESTABLISHED
 Can not obtain ownership information
  TCP    172.17.63.4:80         69.66.192.88:53899     ESTABLISHED
 Can not obtain ownership information
  TCP    172.17.63.4:80         69.66.192.88:53900     ESTABLISHED
 Can not obtain ownership information
  TCP    [::]:80                [::]:0                 LISTENING
 Can not obtain ownership information
windows-server-2008 networking iis iis-7

1 个回答

  1. Best Answer

    我假设服务器直接位于 DMZ 或网络上，否则您可以在实际防火墙上进行过滤。如果没有目的地，我无法说出您要阻止的内容。是 IP:80 流量吗？您要求“甚至没有 TCP 响应”意味着您根本不必在该 IP 上打开端口，否则 IIS 将回复。

    如果您在同一个 IP:port 组合上托管多个域，那么这不是一个选项。

    • 1

相关问题