Windows Server 2008 是新一代 Windows Server 技術(shù)的代表，為業(yè)務(wù)工作負(fù)荷提供了堅(jiān)實(shí)的技術(shù)基礎(chǔ)。Windows Server 2008是迄今最靈活、最強(qiáng)健的Windows服務(wù)器操作系統(tǒng)，帶有新的技術(shù)和特點(diǎn)。如Server Core、PowerShell、Windows Deployment Services以及增強(qiáng)的網(wǎng)絡(luò)與群集技術(shù)，因此Windows Server 2008為所有工作和應(yīng)用要求提供了最全面與可靠的Windows平臺(tái)。

WindowsServer2008提供了一系列新的和改進(jìn)的安全技術(shù)，借助網(wǎng)絡(luò)訪問保護(hù)(NAP)、只讀域控制器(RODC)、公鑰基礎(chǔ)結(jié)構(gòu)(PKI)增強(qiáng)功能、Windows服務(wù)強(qiáng)化、新的雙向Windows防火墻和新一代加密支持，WindowsServer2008操作系統(tǒng)中的安全性也得到了增強(qiáng)。這些技術(shù)增強(qiáng)了對(duì)操作系統(tǒng)的保護(hù)，為企業(yè)的運(yùn)營和發(fā)展奠定了堅(jiān)實(shí)的基礎(chǔ)，因而使服務(wù)器環(huán)境更安全、更穩(wěn)定。

一. Windows 和Linux在操作系統(tǒng)層面的對(duì)比

眾所周知，Linux經(jīng)過了10多年的發(fā)展，其在桌面端的應(yīng)用始終未能形成氣候，所以在提到Linux應(yīng)用的時(shí)候，某些Linux的粉絲總會(huì)用Linux在服務(wù)器端的應(yīng)用來證明Linux比windows穩(wěn)定性好，安全性高， 成本低。那么事實(shí)果真是這樣嗎？其實(shí)這里面存在著一些誤區(qū)。

其一， 業(yè)內(nèi)認(rèn)為Linux在服務(wù)器端應(yīng)用的穩(wěn)定性好。因?yàn)榉?wù)器一般都是企業(yè)級(jí)的應(yīng)用，所以系統(tǒng)的安全性無論是對(duì)于企業(yè)應(yīng)用的系統(tǒng)還是企業(yè)的業(yè)務(wù)來說都至關(guān)重要。但有一點(diǎn)大家忽視了，那就是企業(yè)級(jí)的應(yīng)用一般跑的程序都相對(duì)的單一。

例如有的企業(yè)服務(wù)器專門來跑ERP，有的只跑數(shù)據(jù)庫，這是Linux的特點(diǎn)所決定的。與之相反，基于Windows的服務(wù)器往往通過虛擬化會(huì)跑多個(gè)應(yīng)用，既然是跑多個(gè)應(yīng)用，與只跑單一應(yīng)用的Linux相比，其出現(xiàn)的問題的幾率就相對(duì)要大一些。所以說的Linux的穩(wěn)定性, 只是因?yàn)閼?yīng)用相對(duì)單一和簡單。而反過來證明，Windows功能強(qiáng)大， 它的許多功能特性， linux并不具備或者說未被廣泛使用。 比如服務(wù)器虛擬化。

據(jù)IDC統(tǒng)計(jì)，美國企業(yè)已經(jīng)在根本用不到的處理器資源上浪費(fèi)了千百億美元，但這并不是他們的錯(cuò)，而是操作系統(tǒng)的管理問題導(dǎo)致最多85%的CPU資源就經(jīng)常被閑置。Windows Server2008 內(nèi)置的新一代 64 位虛擬化技術(shù)，使企業(yè)無需購買第三方軟件即可充分利用虛擬化的優(yōu)勢(shì)，幫助企業(yè)客戶解決常見問題：服務(wù)器整合、業(yè)務(wù)連續(xù)性／災(zāi)難恢復(fù)管理、測試與開發(fā)以及動(dòng)態(tài)數(shù)據(jù)中心。

其二就是通常會(huì)誤認(rèn)為Linux的安全性要高，受到外部攻擊要少。其實(shí)這有兩個(gè)問題要說明：

（1）Linux在服務(wù)器領(lǐng)域的應(yīng)用并不占有絕對(duì)的優(yōu)勢(shì)，這從Windows受到的外部攻擊要遠(yuǎn)遠(yuǎn)多于Linux可見一斑。

（2）Windows Server 2008 是迄今最安全的Windows服務(wù)器操作系統(tǒng)。經(jīng)過加固的操作系統(tǒng)以及眾多安全創(chuàng)新技術(shù)，如 Network Access Protection、聯(lián)合權(quán)限管理 (Federated Rights Management) 和只讀域控制器 (Read-Only Domain Controller) 等，為企業(yè)的數(shù)據(jù)提供了前所未有的保護(hù)級(jí)別。

第三就是通常會(huì)誤認(rèn)為Linux在企業(yè)級(jí)服務(wù)器的部署成本要低于微軟的Windows。眾所周知，企業(yè)級(jí)服務(wù)器系統(tǒng)的所有成本包括硬件、軟件和支持費(fèi)用。雖然Linux軟件的部署成本相對(duì)于Windows較為便宜，但對(duì)于企業(yè)來說，部署之后的服務(wù)至關(guān)重要，甚至要超出部署系統(tǒng)本身。但在服務(wù)方面，顯然Linux要高于Windows。IDC在統(tǒng)計(jì)了北美104家公司對(duì)各自Linux和Windows服務(wù)器系統(tǒng)總開支后得出結(jié)論稱，運(yùn)行Linux服務(wù)器軟件管理計(jì)算機(jī)網(wǎng)絡(luò)所需要的維護(hù)和修理費(fèi)用遠(yuǎn)遠(yuǎn)超過免費(fèi)獲得軟件所得到的實(shí)惠，最終導(dǎo)致成本升高。由此可見，Linux初期低廉的軟件采購成本的掩蓋了其后續(xù)的支持服務(wù)的費(fèi)用，所以說，所謂的Linux在服務(wù)器應(yīng)用中較微軟的Windows成本更低也相對(duì)的。

二. Windows Server2008自身相對(duì)老操作系統(tǒng)windows2000/2003的提高

我這里僅列舉7點(diǎn)，我個(gè)人認(rèn)為最重要的方面， 其實(shí)還有很多方面

（1）ServerCore模式

如果你是Unix和Linux管理員，可能會(huì)對(duì)在受保護(hù)環(huán)境中扮演DHCP和DNS服務(wù)器角色的、無圖形界面、只需一個(gè)終端字符界面管理的服務(wù)器系統(tǒng)非常熟悉，但Windows也可以這么做了。作為服務(wù)器操作系統(tǒng)，Windows Server一直以來頗為詬病的地方就是，作為服務(wù)器，管理員可能根本不需要安裝圖形驅(qū)動(dòng)、DirectX、ADO、OLE等東西。Server Core沒有圖形用戶界面，可以選擇安裝指定功能的Windows Server最小化安裝，而無須安裝不必要的特性。, 專為擁有多個(gè)服務(wù)器的企業(yè)而設(shè)，企業(yè)中有些服務(wù)器僅需要執(zhí)行指定任務(wù)，或在高安全需求的環(huán)境中要求對(duì)服務(wù)器的攻擊為最小。

Server Core的主要優(yōu)點(diǎn)

Server Core 為分支機(jī)構(gòu)提供下列關(guān)鍵優(yōu)點(diǎn)：

減少軟件維護(hù)：Server Core僅是管理服務(wù)器運(yùn)行所必需的安裝，所以服務(wù)器需要更少的軟件維護(hù)，如安裝更新。

減少攻擊表面：由于安裝了更少文件以及在服務(wù)器上運(yùn)行，因此更少的攻擊面暴露在網(wǎng)絡(luò)中，攻擊表面也相應(yīng)減少。此外，如果在沒有安裝在本地服務(wù)器上的文件中發(fā)現(xiàn)安全缺陷，更新也不必進(jìn)行。這樣就極大地減少了風(fēng)險(xiǎn)，同時(shí)增強(qiáng)了可靠性。

減少管理：由于更少文件安裝在基于Server Core的服務(wù)器中，也就不存在對(duì)不需要的成份進(jìn)行管理與更新。

所需磁盤空間更少。Server Core僅使用大約1GB的磁盤空間進(jìn)行安裝。

Windows Server 2008通過Server Core安裝來滿足分支機(jī)構(gòu)中服務(wù)器的制定功能，從而減少安全風(fēng)險(xiǎn)，簡化對(duì)遠(yuǎn)程服務(wù)器的管理。

(2) IIS 7.0

Windows Server 2008 可為 Web 發(fā)布提供統(tǒng)一平臺(tái)，高度集成了 Internet Information Services 7.0 (IIS7)、ASP.NET、Windows Communication Foundation和Microsoft Windows SharePoint® Services 等。IIS7是對(duì)現(xiàn)有舊版本的 IIS Web 服務(wù)器的重大升級(jí)，并在集成 Web 平臺(tái)技術(shù)方面發(fā)揮著關(guān)鍵作用。IIS7 的關(guān)鍵優(yōu)勢(shì)包括：更高效的管理特性、更高安全性以及更低的支持成本等。上述各方面特性的強(qiáng)勢(shì)結(jié)合打造了一款統(tǒng)一平臺(tái)，能夠?yàn)?Web 解決方案提供集中而高度一致的開發(fā)和管理模型。

模塊化設(shè)計(jì)

IIS 7.0核心Web服務(wù)器包括對(duì)IIS 6.0所做的一些基本變更。在IIS以前的版本中，所有的功能都是內(nèi)置式的功能。IIS 7.0則由40多個(gè)獨(dú)立的模塊組成。其中只有一半的模塊是默認(rèn)設(shè)置，并且管理員可以選擇安裝或移除任何模塊。這種模塊化的設(shè)計(jì)方法可以使管理員只安裝他們所需要的選項(xiàng)，因而減少了需要進(jìn)行管理及更新的內(nèi)容,從而節(jié)省時(shí)間。

在處理方式上也有一些變化。無論是本機(jī)代碼及托管代碼都通過相同的請(qǐng)求管道進(jìn)行處理。新工作者處理Web核心還提供在請(qǐng)求管道中的所有通知事件的訪問。高水平的集成能夠讓現(xiàn)有的ASP.NET功能（如表格認(rèn)證或URL認(rèn)證）適用于所有類型的網(wǎng)絡(luò)內(nèi)容。

這些改進(jìn)由于避免了不必要軟件的運(yùn)行而使受攻擊面減少，使延展性獲得提高，并通過創(chuàng)建管理代碼模塊增強(qiáng)了對(duì)擴(kuò)展的IIS7.0核心功能的支持。

分布式配置

IIS 6的集中配置存儲(chǔ)，即metabase已經(jīng)成為了過去。IIS 7.0所具備的一個(gè)新特征就是基于分布式的XML配置文件層級(jí)的分步式配置系統(tǒng)。分布式配置使IIS配置能夠存儲(chǔ)在web.config文件當(dāng)中，從而使Xcopy更加易于在多個(gè)網(wǎng)絡(luò)服務(wù)器之間進(jìn)行應(yīng)用復(fù)制，而從避免了高成本以及易錯(cuò)的復(fù)制，并免去了手動(dòng)的同步化操作，以及額外的配置任務(wù)。

這使站點(diǎn)或應(yīng)用配置更加容易從一臺(tái)計(jì)算機(jī)復(fù)制到另一臺(tái)計(jì)算機(jī)，應(yīng)用也更容易從開發(fā)步入到測試階段，并最終進(jìn)入到生產(chǎn)階段。Xcopy部署意味著應(yīng)用開發(fā)人員無需機(jī)器管理員的參與便能夠?qū)λ麄兊膽?yīng)用配置進(jìn)行修改，這樣便減少了整個(gè)TCO。輕松的Xcopy部署還意味著機(jī)器管理員可以方便地在機(jī)器之間移動(dòng)站點(diǎn)。

(3) 終端服務(wù)的改進(jìn)和增強(qiáng)

其中新增加的三個(gè)特性值得企業(yè)高度關(guān)注：

第一個(gè)特性是終端服務(wù)遠(yuǎn)程應(yīng)用(Terminal Services RemoteApp)，也就是能夠在支持終端服務(wù)的機(jī)器上定義將要運(yùn)行的程序。用戶不需要知道他們現(xiàn)在使用的應(yīng)用程序是在哪臺(tái)機(jī)器上運(yùn)行的，除非是出現(xiàn)了明顯的、因網(wǎng)絡(luò)延時(shí)或者服務(wù)器過載而引起的較長延時(shí)。

第二個(gè)特性是終端服務(wù)網(wǎng)關(guān)(Terminal Services Gateway)，也就是允許用戶通過任何一個(gè)Web門戶網(wǎng)站訪問終端服務(wù)的應(yīng)用程序，其傳輸方式是通過一種加密過的https通道。而且，該網(wǎng)關(guān)能夠通過防火墻發(fā)送連接，并完成NAT轉(zhuǎn)換。

第三個(gè)特性是終端服務(wù)Web訪問(TS Web Access)，這個(gè)特性能夠讓服務(wù)器管理員公開地在Web頁面上發(fā)布可用的終端服務(wù)遠(yuǎn)程程序。用戶能夠在網(wǎng)頁上瀏覽他們希望運(yùn)行的應(yīng)用程序，點(diǎn)擊之后便能把它嵌入到自己的應(yīng)用程序中來。

（4）Hyper-V技術(shù)

虛擬服務(wù)器技術(shù)， Windows Server 2008虛擬機(jī)是基于平臺(tái)底層來實(shí)現(xiàn)的， 2008虛擬機(jī)主要設(shè)計(jì)意圖是打算在一臺(tái)很多芯片和很大內(nèi)存的類似小型機(jī)級(jí)別的服務(wù)器上，同時(shí)提供幾十臺(tái)不同用途的虛擬服務(wù)器。這樣從根本上解決企業(yè)網(wǎng)絡(luò)信息化對(duì)各種服務(wù)器的需求，并降低管理成本和總體投入成本。以前你的企業(yè)可能需要：VPN路由服務(wù)器、數(shù)據(jù)庫服務(wù)器、DHCP服務(wù)器、AD服務(wù)器、Exchange服務(wù)器等等多臺(tái)電腦，而且你為了預(yù)留一些負(fù)載潛力而購買遠(yuǎn)高于目前需求的服務(wù)器設(shè)備。

Windows Server 2008時(shí)代就不需要這么做了，服務(wù)器你可以先買一臺(tái)，然后里面實(shí)際運(yùn)行了3、4個(gè)虛擬服務(wù)器，將來需要擴(kuò)容了，簡單的再加一臺(tái)服務(wù)器，把幾個(gè)虛擬機(jī)導(dǎo)出，再導(dǎo)入新的服務(wù)器，極少的時(shí)間，你就擴(kuò)容完畢了。虛擬服務(wù)器方面，Windows Server 2008真的開啟了一個(gè)新的時(shí)代。事實(shí)上，虛擬化的思想不僅僅在于消除機(jī)器的重疊和節(jié)省成本，還在于與未虛擬化的服務(wù)器相比，在服務(wù)上有更高的可用性。在這種背景下，Hyper-V還支持多客戶機(jī)的集群。

其可以將多個(gè)運(yùn)行于Hyper-V組件的物理機(jī)組成集群，這樣萬一主機(jī)發(fā)生某種故障，虛擬化實(shí)例可以將故障轉(zhuǎn)移到另一個(gè)主機(jī)上;還可以將虛擬機(jī)從一個(gè)物理主機(jī)移植到另一個(gè)物理主機(jī)，而不會(huì)發(fā)生停機(jī)，并且簡化服務(wù)、計(jì)劃和重組的過程，從而大大地減少了服務(wù)所帶來的負(fù)面影響。

在Windows Server 2008 R2中，微軟的服務(wù)器虛擬化工具Hyper-v 得到增強(qiáng)，新增了Live Migration(實(shí)時(shí)遷移)技術(shù)，在幾毫秒就可以實(shí)現(xiàn)對(duì)物理主機(jī)和虛擬機(jī)之間的實(shí)時(shí)遷移，而不會(huì)造成服務(wù)或用戶鏈接的中斷。數(shù)據(jù)中心也實(shí)現(xiàn)了真正的虛擬化，從很大程度上脫離了對(duì)軟件和硬件的管理，所有的操作都在單一的操作系統(tǒng)框架內(nèi)完成。Hyper-V 2.0虛擬機(jī)對(duì)邏輯處理器和內(nèi)存支持上得到增強(qiáng)，目前的Hyper-V 可以支持24個(gè)邏輯處理器，而Hyper-V 2.0中每個(gè)虛擬機(jī)可以支持32個(gè)邏輯處理器和最高64GB 的內(nèi)存。

（5）網(wǎng)絡(luò)訪問保護(hù) (NAP)

簡單的說，網(wǎng)絡(luò)訪問保護(hù)(NAP) 可以防止不健康的計(jì)算機(jī)訪問企業(yè)網(wǎng)絡(luò)并危及網(wǎng)絡(luò)的安全。大多數(shù)企業(yè)可創(chuàng)建網(wǎng)絡(luò)策略，用以指定部署于網(wǎng)絡(luò)上軟硬件類型。這樣策略通常包括客戶端計(jì)算機(jī)在連接到網(wǎng)絡(luò)之前如何配置的規(guī)則。

例如，許多企業(yè)要求客戶端計(jì)算機(jī)必須運(yùn)行安裝有最近更新的防病毒軟件，也就是說客戶端計(jì)算機(jī)必須安裝一個(gè)軟件防火墻，且在連接到企業(yè)網(wǎng)絡(luò)之前啟用將該軟件防火墻。根據(jù)企業(yè)網(wǎng)絡(luò)策略進(jìn)行配置的客戶端計(jì)算機(jī)可以看作是與健康策略相符合的，而沒有根據(jù)企業(yè)網(wǎng)絡(luò)策略進(jìn)行配置的計(jì)算機(jī)可以看作是不符合與健康策略的。 利用NAP 來配置、強(qiáng)制客戶端的健康請(qǐng)求，并在連接到企業(yè)網(wǎng)絡(luò)之前，更新或者糾正不符合的客戶端計(jì)算機(jī)。

NAP 也提供了一套 API，允許企業(yè)而不是微軟將他們的軟件整合到NAP平臺(tái)。使用NAP APIS，軟件開發(fā)商和供應(yīng)商可提供端到端解決方案，其可驗(yàn)證健康的客戶端并及時(shí)糾正不符合的客戶端。

(6) 可重新啟動(dòng)的活動(dòng)目錄域服務(wù)(AD DS)

管理員可以使用Microsoft管理控制臺(tái)單元或者命令行，停止并重啟Windows Server 2008中活動(dòng)目錄域服務(wù)（AD DS）。以前要維護(hù)域控服務(wù)器可真是頭痛的事情，即便是有輔助域控制器，但從沒有一次能順利完成維修的，一停機(jī)肯定有電話過來。

現(xiàn)在可重新啟動(dòng)的活動(dòng)目錄域服務(wù)(AD DS)，可重啟的AD DS減少了執(zhí)行某些操作的時(shí)間，如更新服務(wù)器。管理員可以停止AD DS以便執(zhí)行任務(wù)，如脫機(jī)對(duì)活動(dòng)目錄數(shù)據(jù)庫進(jìn)行磁盤碎片整理，而無須重新啟動(dòng)域控制器。其他運(yùn)行在服務(wù)器上以及不依賴于AD DS進(jìn)行查找的服務(wù)，如動(dòng)態(tài)主機(jī)配置協(xié)議（Dynamic Host Configuration Protocol ，DHCP），在AD DS關(guān)閉時(shí)依然可以滿足客戶請(qǐng)求。

(7) Read-Only Domain Controller (RODC)

RODC這是 Windows Server 2008 操作系統(tǒng)中的一種新型域控制器配置，使組織能夠在域控制器安全性無法保證的位置輕松部署域控制器。RODC 維護(hù)給定域中 Active Directory 目錄服務(wù)數(shù)據(jù)庫的只讀副本。在此版本之前，當(dāng)用戶必須使用域控制器進(jìn)行身份驗(yàn)證，但其所在的分支辦公室無法為域控制器提供足夠物理安全性時(shí)，必須通過廣域網(wǎng) (WAN) 進(jìn)行身份驗(yàn)證。

在很多情況下，這不是一個(gè)有效的解決方案。通過將只讀 Active Directory 數(shù)據(jù)庫副本放置在更接近分支辦公室用戶的地方，這些用戶可以更快地登錄，并能更有效地訪問網(wǎng)絡(luò)上的身份驗(yàn)證資源，即使身處沒有足夠物理安全性來部署傳統(tǒng)域控制器的環(huán)境。

【編輯推薦】

1. 漫談Windows Server 2008的網(wǎng)絡(luò)特性
2. Windows Server 2008四方面增強(qiáng)全面評(píng)估
3. Windows Server 2008 R2中ServerCore模式配置介紹
4. Windows Server 2008網(wǎng)絡(luò)鏈接與遠(yuǎn)程測試
5. Windows Server 2008 R2托管賬號(hào)的設(shè)置方法