机房角落里那台嗡嗡作响的旧服务器大概率还跑着 Windows Server 2008 或 2008 R2。很多 IT 新人会问这都快“退休”的系统怎么还在用原因很现实上面跑着老版本 ERP、MES、OA或者财务和人事系统业务部门早就习惯了厂商又未必提供新系统兼容方案能稳定运行就不折腾。我接过不少这类项目第一件事基本都一样在这台老系统上把 Web 服务器装好、配稳、守住安全底线。今天这篇就把 Windows Server 2008 / 2008 R2 上安装配置 Web 服务器的完整过程写透从部署前的准备、IIS 角色安装的多种方式到原理层面的运行机制、多站点和 HTTPS 配置再到老系统的安全加固和故障排查给准备接手或者正在折腾这类服务器的朋友一份能直接照着做的参考。1. 部署前必须搞清楚的几件事1.1 确认系统版本IIS 版本天差地别Windows Server 2008 和 2008 R2 虽然名字像但内核和内置 IIS 都不一样。原版 Windows Server 2008 基于 Vista 内核自带的 Web 服务器是 IIS 7.0而 2008 R2 基于 Windows 7 内核内置的是 IIS 7.5。IIS 7.5 在 7.0 基础上补了不少东西比如支持 TLS 1.2 的补丁、更好的 PowerShell 管理体验、更完善的应用程序池配置还有默认开启的管理服务。如果你要部署 HTTPS或者打算用脚本批量管理站点R2 会顺手很多。实际操作中我见过有人在 2008 上折腾半天结果发现某个功能模块根本没有一查系统版本才知道装的是 2008 而非 R2所以第一步永远是确认版本别想当然。1.2 驱动和底层环境是“隐形地雷”很多老服务器到手时系统是机房同事或者厂商工程师顺手装的。等你要部署 Web 服务器时才发现 RAID 卡驱动不对、网络适配器工作不稳定、远程桌面连不上。比如有朋友遇到过 LSI MR9260-8i 阵列卡在 2008 R2 下需要特定版本驱动的问题版本不对磁盘控制器就认不出引导卷更别谈后续装系统。建议在正式安装 IIS 之前先打开设备管理器把所有带黄色感叹号的设备处理干净尤其注意存储控制器和网卡驱动。如果服务器有远程管理卡比如 iLO、iDRAC、IPMI优先把远程控制台和虚拟介质功能确认好后面做任何操作都不会被“物理距离”卡住。1.3 网络规划比安装本身更重要Web 服务器要对外提供服务IP 地址、主机名、DNS 记录都要提前想清楚。生产环境里最容易出的问题就是装完 IIS 后才发现 IP 地址是 DHCP 动态分配的路由器一重启地址变了所有访问全部中断。部署前最好给服务器配静态 IP同时在 DNS 里添加好正向解析记录。如果是内网服务器主机名要规范一些别用 WIN-XXX 这种自动生成的名字后面配置主机头绑定和 HTTPS 证书都会用到正式域名。另外防火墙要提前放行远程桌面端口默认 3389和后面要用的 Web 端口否则在机房和远程之间来回跑会让你怀疑人生。1.4 明白这次是“新装”还是“迁移”我处理过的案例里有一部分是从物理机往虚拟机迁移或者从老服务器往新服务器搬迁。这种情况下你并不是从零搭建而是要尽量复刻原环境。有两个点容易忽略一是老的 IIS 6.0 配置如果是 2003 升上来的迁移到 IIS 7.x 后很多站点池和权限设置要手动调整二是老站点的物理路径、应用程序池身份、匿名用户权限这三者必须对得上否则迁移过去一堆 500、401 错误。如果只是新装服务器并发布新业务简化很多但网络边界、备份策略、监控方案还是要提前讲清楚。1.5 补丁和激活状态先处理好Windows Server 2008 的主流支持早已结束扩展支持也早就停了但这不代表你不用打补丁。新装完系统先看 Windows Update 还能不能用能打的补丁尽量打到最新。有些生产环境不允许机器连外网可以准备离线补丁包。激活状态也要确认我遇到过一次很尴尬的情况IIS 都配好了结果系统提示激活过期服务器过一段时间就自动关机一次巡检误伤直接导致业务中断。所以部署前把这些“地基”问题解决掉后面才省心。2. 安装 Web 服务器角色图形、命令行、离线三种方式Windows Server 2008 里的 Web 服务器就是 IIS你用“添加角色”向导勾选完系统自动把 IIS 相关组件安装进去。这一步本身不复杂但根据环境不同走的路不一样。2.1 图形界面方式服务器管理器添加角色最传统也最直观的方式是打开“服务器管理器”左侧选“角色”右侧点“添加角色”。向导第一步会让你先确认目标服务器然后是一长串角色列表找到“Web 服务器(IIS)”勾上继续进入角色服务选择页面。这一步新手容易犯两个极端要么啥都不勾一路下一步结果装完后发现静态页面能访问但 ASP.NET 程序跑不起来要么什么都勾上系统被塞了一堆用不到的功能攻击面变大。我的建议是按需选择以下组合是生产环境最常见的常见 HTTP 功能静态内容、默认文档、HTTP 错误、HTTP 重定向应用程序开发ASP.NET如果跑老 .NET 程序、ISAPI 扩展、ISAPI 筛选器运行状况和诊断HTTP 日志记录、请求监视器有排错需要时再加跟踪安全性基本身份验证、Windows 身份验证、URL 授权、请求筛选管理工具IIS 管理脚本和工具、IIS 管理控制台如果程序是 PHP 的还要在“应用程序开发”里勾上 CGI然后另外装 FastCGI 扩展这样 PHP 才能跑在 IIS 上。勾完后点“安装”中间会提示插入系统光盘或者指定安装源如果你用的是 ISO 镜像或者服务器上有完整的安装文件目录把路径指过去就行。整个过程大约几分钟装完角色会显示“已安装”。2.2 命令行方式适合批量部署和无人值守如果服务器数量多或者你正在做自动化初始化脚本图形界面就太慢了。Windows Server 2008 自带了 ServerManagerCmd 命令行工具可以静默安装 IIS。在命令提示符管理员权限下执行ServerManagerCmd -install Web-Server这条命令装的是 IIS 基础功能。如果要带上管理工具可以追加ServerManagerCmd -install Web-Server -includeManagementTools到了 2008 R2更推荐用 PowerShell 方式先导入 ServerManager 模块然后Import-Module ServerManager Add-WindowsFeature Web-Server -IncludeManagementTools这个方式对运维脚本特别友好可以批量塞进部署脚本里。需要注意的一点是执行命令时 PowerShell 必须以管理员身份运行否则会报拒绝访问。2008 R2 默认 PowerShell 2.0Add-WindowsFeature 语法完全兼容不用额外升级。2.3 无外网离线环境安装有些生产网段是物理隔离的服务器访问不了 Windows Update也没有系统 ISO 挂载。这种情况下你需要手工准备完整的安装源目录把 Windows Server 2008 或 R2 的安装光盘内容拷贝到本地磁盘或者在光驱/虚拟光驱里挂载好。然后在“添加角色”向导中途提示“指定安装源路径”时把路径指到安装源的\sources\sxs目录。命令行方式在这类环境下也有效参考DISM /Online /Enable-Feature /FeatureName:IIS-WebServer /All /LimitAccess /Source:D:\sources\sxs/All会同时启用相关依赖组件/LimitAccess告诉 DISM 不要访问 Windows Update只从本地指定源取。2008 原版里没有 DISM要从命令行装 IIS 还是用 ServerManagerCmd 更可靠。离线环境里最尴尬的问题是缺某个角色服务组件装到一半报错“找不到源文件”所以做离线部署前一定要把安装光盘里的sources\sxs文件夹整个拷全别只拷几个 cab 文件。3. 别急着建站先弄明白 IIS 7.x 的运行机制很多教程上来就让创建网站但遇到问题就抓瞎。我建议先花二十分钟理解 IIS 的几个核心概念后面配置起来心里有底得多。3.1 一个请求从进入到返回IIS 做了什么IIS 7.0/7.5 的请求处理链路大致是这样用户浏览器发起 HTTP 请求先由内核态的 HTTP.sys 监听端口并接收请求然后系统把请求转给 Windows Process Activation ServiceWASWAS 负责根据请求的地址找到对应的应用程序池和工作进程工作进程w3wp.exe加载相应的处理模块比如静态文件模块、ASP.NET 模块、FastCGI 模块最终生成响应返回给浏览器。这个链路里最值得留意的是“应用程序池”的存在。每个站点可以指定一个应用程序池池的本质是一组独立的工作进程跑在一个隔离的进程空间里。一个池里的站点如果崩了最多影响同一个池的其他站点不会拖垮整个 IIS。生产环境里合理做法是让不同业务站点用不同应用程序池彼此隔离防止一个站点的内存泄漏把整台服务器的站点全部拖死。3.2 经典模式和集成模式老程序容易踩的坑IIS 7.x 的应用程序池支持两种管线模式集成模式和经典模式。集成模式把所有请求都放入统一的管线处理ASP.NET 的模块可以作用于静态资源、CGI、FastCGI 等所有请求类型性能和灵活性更高。经典模式则会模拟 IIS 6.0 的行为对老程序兼容性更好。尤其提醒那些从 Windows Server 2003 时代迁移过来的老 ASP.NET 程序很多程序用了自定义 HttpModule而且通过 web.config 里的system.web节点注册如果在集成模式下面跑会报错 “Unrecognized attribute type” 之类的异常。通常解决办法要么把配置迁移到system.webServer节点要么把应用程序池的托管管线模式切到“经典”。不要嫌经典模式“落后”稳定跑老业务比什么都重要。3.3 你以为的权限和系统实际判断的权限是两套IIS 站点的访问权限由两层共同决定第一层是 IIS 本身的“身份验证”设置比如匿名身份验证是否启用用什么内置账户去代表匿名用户第二层是 NTFS 文件系统权限文件夹到底允许哪个 Windows 账户读写。两层都通过了请求才正常返回。默认情况下IIS 匿名身份验证使用的账户叫 IUSR属于 IIS_IUSRS 组。你建一个网站目录如果不给 IUSR 授任何 NTFS 权限即使 IIS 里配置得再宽松浏览器也会报 401.3 或 403 错误。反过来给了 IUSR 过高的 NTFS 权限比如完全控制一旦站点被注入恶意脚本危害会放大。安全原则是网站目录只给“读取”和“列出文件夹目录”权限需要写入上传文件的子目录单独放开“修改”权限严格最小化。3.4 配置体系的继承关系IIS 7.x 的配置存储在C:\Windows\System32\inetsrv\config\applicationHost.config里这是全局主配置。每个站点、每个虚拟目录下的 web.config 可以在一定程度上覆盖主配置形成类似继承的体系。新手改配置时经常犯的错是直接改应用层 web.config却忽略了主配置里的全局规则或者反过来在全局配置里改了个限定性设置导致所有站点都受影响。排查问题时建议先从全局配置着手检查再逐层检查 site 和 application 级别的配置。如果某个配置改错了导致 IIS 起不来可以用管理员身份备份还原applicationHost.config。平时做重大调整前先执行一次完整备份这个习惯能救你无数次。4. 从单站到多站主机头绑定、HTTPS 与日常维护4.1 三种绑定方式IP、端口、主机名IIS 站点绑定的本质是把“IP 地址 端口 主机名”三元组和网站关联起来。默认情况下新建站点绑定的形式是“所有未分配 IP 的 80 端口”这种绑定适合单站服务器。一旦要在一台服务器上跑多个站点就必须玩转绑定规则。最常用的是主机头绑定。比如你有两个域名a.company.com和b.company.com都指向同一服务器 IP那就建两个站点分别把主机名绑定为这两个域名HTTP.sys 在收到请求时根据请求头里的 Host 字段路由到对应站点。用这种方式可以让多个 Web 站点共享同一个 80 端口。稍微要注意的是某些老程序对非默认主机名的访问特别敏感比如重定向时会拼出自以为的域名。这类问题不是 IIS 能兜住的只能改程序或加反向代理层。4.2 HTTPS 证书申请与绑定现在不配 HTTPS几乎等于裸奔。2008 R2 环境下绑定 HTTPS一般流程是先生成证书请求然后由 CA 签发内网可以搭私有 CA公网就用正规证书服务商拿到服务器证书后导入到本地计算机的证书存储区再到 IIS 站点绑定里选择 443 端口和该证书。我在内网测试环境经常碰到没有公网证书的场景这时可以用自建 CA 签证书或者用工具生成自签名证书。自签名证书本身加密能力和正规证书一样只是浏览器不信任罢了。内网测试完全够用但如果要面向公网正式业务不要贪省事直接自签名用户浏览器弹证书警告会吓跑一票人。具体操作路径IIS 管理器里选中站点“绑定”-“添加”-类型选 https端口设 443然后在“SSL 证书”下拉框选择已导入的证书。如果你想让所有 HTTP 请求都跳转到 HTTPS可以在站点“HTTP 重定向”里做 301 跳转或者直接添加规则“要求 SSL”。4.3 老版本系统的 TLS 配置要注意2008 R2 默认的 SSLSchannel对 TLS 1.2 的支持是有限的除非打了专门的补丁 KB3140245而且还需要注册表里设置合适的加密套件顺序。这个话题展开说太深这里提醒两句如果你的 HTTPS 客户端主要是现代浏览器和操作系统务必确认服务器已经启用 TLS 1.2否则很多客户端会拒绝连接。2008 原版对 TLS 1.2 的支持更弱建议在关键业务上考虑尽早迁移不要长期依赖老系统扛大梁。4.4 日志与备份日常维护的基本盘IIS 默认启用了 HTTP 日志记录日志文件存储在C:\inetpub\logs\LogFiles\W3SVC站点编号目录下。运维人员至少要做到两件事定期清理过期日志可以用脚本按天压缩归档以及定期检查日志里的异常状态码。遇到用户反馈“某个时间段访问很慢”的时候配合 IIS 日志和系统性能监视器基本都能还原现场。备份方面IIS 的配置备份可以用命令行工具appcmd.exe。在 2008 R2 上执行%windir%\system32\inetsrv\appcmd.exe add backup backup_20250101可以把整个 IIS 配置备份到C:\Windows\System32\inetsrv\backup目录。哪天配置改坏了再执行appcmd restore backup backup_20250101就能回滚。这个工具在 2008 原版里没有那可以考虑直接复制applicationHost.config文件做冷备份效果等价。5. 老旧系统的安全底线怎么加固都不为过Windows Server 2008 系列停止支持以后最大的问题不是功能而是安全。老系统的漏洞不会再有官方补丁所以必须靠外部手段把风险面压到最低。下面这几件事我每次接手老服务器都会做。5.1 精简不必要的 IIS 模块IIS 7.x 默认会加载一堆模块但你的业务不一定需要所有模块。比如不跑 WebDAV 就一定要禁用 WebDAV否则会有远程写文件的漏洞风险。不跑 CGI 就不启用 CGI 模块不跑 ASP.NET 就不需要把 ASP.NET 相关模块暴露出来。在 IIS 管理器的“功能视图”里双击“模块”把用不到的直接右键禁用如果是 WebDAV在“处理程序映射”里删除对应条目。模块精简的收益是双重的攻击面减小性能还会略微提升。我见过相当多服务器被入侵后溯源都是因为开启了不必要的扩展所以这步别偷懒。5.2 请求筛选和 URL 过滤要好好配置IIS 7.x 有个“请求筛选”功能位于站点级别可以限制 URL 长度、查询字符串长度、允许的 HTTP 谓词还能阻止特定文件扩展名。对防 WebShell 和恶意扫描来说非常关键。常见的做法是把system.webServer/security/requestFiltering里的 fileExtensions 中禁掉.asp、.aspx之外的可执行扩展比如.php如果站点不用 PHP 的话再禁止.bat、.cmd、.ps1等脚本文件访问。HTTP 谓词如果业务只用 GET 和 POST就把它俩以外的都禁用。对上传目录设置“拒绝写入”权限或者不加执行权限。通过 IIS 管理器操作清晰直观改配置文件反而容易漏掉某些默认值新手建议还是用界面。5.3 网络层隔离别把服务器裸奔在公网2008 老系统即便上了补丁也难以彻底防住网络层攻击。最稳妥的方式是把旧服务器放在内网 DMZ 区只对必要的端口80、443、远程管理做映射并且用防火墙只允许特定来源 IP 访问远程桌面。如果业务访问方本身就是固定办公网段直接在 Windows 防火墙里把 3389 端口限制到只允许那个网段效果立竿见影。有时候业务系统必须被公开访问那就强烈建议在前面加一个反向代理或者 WAF把旧 IIS 藏到代理后面实IP不暴露老系统的很多漏洞攻击也就没什么机会了。WAF 不管是硬件还是软件有这个思维差别很大。5.4 账户权限和口令策略从严老系统上跑 Web 服务的进程身份不要用 LocalSystem 这种超强权限账户跑应用程序池。IIS 的应用程序池默认身份是 NetworkService比 LocalSystem 权限低不少。如果业务允许可以进一步自定义低权限账户只给它网站目录和相关依赖目录的写权限。密码管理方面老服务器最怕密码没人改、泄露了也不知道。接手后的第一件事强制让相关管理员改掉本地管理员密码确认 Guest 账户是禁用的同时断开不必要的共享磁盘如 ADMIN$、C$。服务器如果暴露在不受信网络内部账户枚举测试也要做一遍别让空密码或者弱密码账户挂着。5.5 安全软件和扫描工具2008 老系统上装杀毒软件我一般建议选轻量级的企业版安全软件最好支持服务器模式并定期全盘扫描。另外公司如果有漏洞扫描设备定时对这台服务器扫一遍主观上觉得自己配置没啥问题扫描结果往往能拆穿一些侥幸。有一点提醒杀毒软件如果开启实时防护有时候会干扰 IIS 进程对临时目录的读写特别是 ASP.NET 编译临时文件时容易被误锁。遇到莫名的“目录被占用”“文件被锁定”问题可以先把杀毒软件对C:\Windows\Microsoft.NET\Framework目录和站点上传目录的实时扫描排除掉能省很多事。6. 部署后的验证、备份与高频故障排查6.1 安装成功的第一轮验证IIS 装完后最基础的验证方式是任意一台同网段机器打开浏览器访问http://服务器IP看到默认欢迎页说明 IIS 正常。然后可以进一步验证具体站点新建一个测试页面写上“网站可访问测试”并放在站点根目录通过浏览器访问。这步都通过服务器基本就算“能跑”了。如果测试页面无法访问先检查三件事站点是否处于“已启动”状态、“默认文档”列表是否包含 index.html 或 default.aspx、NTFS 权限是否给了 IUSR 读取权限。按这三个顺序排查八成问题能定位。6.2 高频故障和排查链路下面这几个错误是部署或交接时出现最多的每个我都查到过多次503 服务不可用多半是应用程序池停止了或者池里的工作进程崩溃。去 IIS 管理器“应用程序池”看下状态如果显示已停止右键启动如果启动后立刻又停打开事件查看器看应用日志里关于 w3wp.exe 崩溃的记录重点看有没有加载失败的 DLL 或者权限不足引发的异常。401.3 未授权NTFS 权限问题。确认 IUSR或站点池身份对该目录有读取权限。还有一个容易忽略的点如果文件在别的盘符分区上而且盘符是 FAT32 格式老迁移过来的可能连 ACL 设置都无效直接给账户加权限就好。404.3 找不到文件或处理程序映射缺失说明 IIS 收到了请求但找不到对应的处理程序。常见原因是没有安装 ASP.NET 或相应版本不对尤其是 64 位系统默认启用了 32 位应用池后ASP.NET 的 32/64 版本注册混乱经常出现这类问题。可以先打开“处理程序映射”确认 .aspx 是否已经映射到 aspnet_isapi.dll 上。如果缺失执行命令重新注册 ASP.NETC:\Windows\Microsoft.NET\Framework64\v4.0.30319\aspnet_regiis.exe -i默认文档未启用站能通但当访问域名根路径时报 403.14 或目录列表。基本是默认文档列表有问题要么没启用“默认文档”功能要么 index.html 不在列表里。打开“默认文档”添加对应名称即可。6.3 失败请求跟踪的用法IIS 7.x 提供了“失败请求跟踪”功能可以在站点级开启然后我常用的是“日志”-“配置日志记录”里勾上“启用失败请求跟踪”再设置针对 4xx、5xx 状态的跟踪规则。之后复现一次问题就能在C:\inetpub\logs\FailedReqLogFiles目录下看到 freb.xml 跟踪文件。说实话我还挺推荐新手遇到诡异问题先开这个里面记录了请求从进入到返回每一步的状态包括哪个模块抛了异常、认证环节卡在哪、静态文件模块是否放行等等比在论坛刷帖子问人高效多了。6.4 配置备份还原的演示场景我平时在做站点的重大调整前会在命令行里执行备份C:\Windows\System32\inetsrv\appcmd.exe add backup before_https_change有一次我在绑定 HTTPS 时手滑把站点绑定的 IP 选错了改回来后又发现默认文档里少了两项配置弄了半天都歪七扭八。后来直接执行了C:\Windows\System32\inetsrv\appcmd.exe restore backup before_https_change配置立刻回到调整前的状态整个过程只要几秒钟。这个习惯我一直保持到现在尤其是做批量站点调整或迁移时备份就是后悔药。6.5 最后的个人心得接手或者部署一台 2008 系列的老服务器心态上要慢一点操作上要稳一点。老系统不像新系统那样有丰富的在线资料和官方支持很多坑只能靠经验和排查去填。但话说回来这类系统在企业里的生命周期往往比大家想象的长得多掌握一套完整而严谨的 Web 服务器部署配置流程是运维岗位上一项长期用得上的硬技能。我对处理这类机器的经验是把每一步操作都记录下来把改动的原因写清楚把备份留存到位后面无论谁接手都能在这台“老古董”上继续安心跑业务。
Windows Server 2008/2008 R2 IIS Web服务器部署配置与安全加固指南
机房角落里那台嗡嗡作响的旧服务器大概率还跑着 Windows Server 2008 或 2008 R2。很多 IT 新人会问这都快“退休”的系统怎么还在用原因很现实上面跑着老版本 ERP、MES、OA或者财务和人事系统业务部门早就习惯了厂商又未必提供新系统兼容方案能稳定运行就不折腾。我接过不少这类项目第一件事基本都一样在这台老系统上把 Web 服务器装好、配稳、守住安全底线。今天这篇就把 Windows Server 2008 / 2008 R2 上安装配置 Web 服务器的完整过程写透从部署前的准备、IIS 角色安装的多种方式到原理层面的运行机制、多站点和 HTTPS 配置再到老系统的安全加固和故障排查给准备接手或者正在折腾这类服务器的朋友一份能直接照着做的参考。1. 部署前必须搞清楚的几件事1.1 确认系统版本IIS 版本天差地别Windows Server 2008 和 2008 R2 虽然名字像但内核和内置 IIS 都不一样。原版 Windows Server 2008 基于 Vista 内核自带的 Web 服务器是 IIS 7.0而 2008 R2 基于 Windows 7 内核内置的是 IIS 7.5。IIS 7.5 在 7.0 基础上补了不少东西比如支持 TLS 1.2 的补丁、更好的 PowerShell 管理体验、更完善的应用程序池配置还有默认开启的管理服务。如果你要部署 HTTPS或者打算用脚本批量管理站点R2 会顺手很多。实际操作中我见过有人在 2008 上折腾半天结果发现某个功能模块根本没有一查系统版本才知道装的是 2008 而非 R2所以第一步永远是确认版本别想当然。1.2 驱动和底层环境是“隐形地雷”很多老服务器到手时系统是机房同事或者厂商工程师顺手装的。等你要部署 Web 服务器时才发现 RAID 卡驱动不对、网络适配器工作不稳定、远程桌面连不上。比如有朋友遇到过 LSI MR9260-8i 阵列卡在 2008 R2 下需要特定版本驱动的问题版本不对磁盘控制器就认不出引导卷更别谈后续装系统。建议在正式安装 IIS 之前先打开设备管理器把所有带黄色感叹号的设备处理干净尤其注意存储控制器和网卡驱动。如果服务器有远程管理卡比如 iLO、iDRAC、IPMI优先把远程控制台和虚拟介质功能确认好后面做任何操作都不会被“物理距离”卡住。1.3 网络规划比安装本身更重要Web 服务器要对外提供服务IP 地址、主机名、DNS 记录都要提前想清楚。生产环境里最容易出的问题就是装完 IIS 后才发现 IP 地址是 DHCP 动态分配的路由器一重启地址变了所有访问全部中断。部署前最好给服务器配静态 IP同时在 DNS 里添加好正向解析记录。如果是内网服务器主机名要规范一些别用 WIN-XXX 这种自动生成的名字后面配置主机头绑定和 HTTPS 证书都会用到正式域名。另外防火墙要提前放行远程桌面端口默认 3389和后面要用的 Web 端口否则在机房和远程之间来回跑会让你怀疑人生。1.4 明白这次是“新装”还是“迁移”我处理过的案例里有一部分是从物理机往虚拟机迁移或者从老服务器往新服务器搬迁。这种情况下你并不是从零搭建而是要尽量复刻原环境。有两个点容易忽略一是老的 IIS 6.0 配置如果是 2003 升上来的迁移到 IIS 7.x 后很多站点池和权限设置要手动调整二是老站点的物理路径、应用程序池身份、匿名用户权限这三者必须对得上否则迁移过去一堆 500、401 错误。如果只是新装服务器并发布新业务简化很多但网络边界、备份策略、监控方案还是要提前讲清楚。1.5 补丁和激活状态先处理好Windows Server 2008 的主流支持早已结束扩展支持也早就停了但这不代表你不用打补丁。新装完系统先看 Windows Update 还能不能用能打的补丁尽量打到最新。有些生产环境不允许机器连外网可以准备离线补丁包。激活状态也要确认我遇到过一次很尴尬的情况IIS 都配好了结果系统提示激活过期服务器过一段时间就自动关机一次巡检误伤直接导致业务中断。所以部署前把这些“地基”问题解决掉后面才省心。2. 安装 Web 服务器角色图形、命令行、离线三种方式Windows Server 2008 里的 Web 服务器就是 IIS你用“添加角色”向导勾选完系统自动把 IIS 相关组件安装进去。这一步本身不复杂但根据环境不同走的路不一样。2.1 图形界面方式服务器管理器添加角色最传统也最直观的方式是打开“服务器管理器”左侧选“角色”右侧点“添加角色”。向导第一步会让你先确认目标服务器然后是一长串角色列表找到“Web 服务器(IIS)”勾上继续进入角色服务选择页面。这一步新手容易犯两个极端要么啥都不勾一路下一步结果装完后发现静态页面能访问但 ASP.NET 程序跑不起来要么什么都勾上系统被塞了一堆用不到的功能攻击面变大。我的建议是按需选择以下组合是生产环境最常见的常见 HTTP 功能静态内容、默认文档、HTTP 错误、HTTP 重定向应用程序开发ASP.NET如果跑老 .NET 程序、ISAPI 扩展、ISAPI 筛选器运行状况和诊断HTTP 日志记录、请求监视器有排错需要时再加跟踪安全性基本身份验证、Windows 身份验证、URL 授权、请求筛选管理工具IIS 管理脚本和工具、IIS 管理控制台如果程序是 PHP 的还要在“应用程序开发”里勾上 CGI然后另外装 FastCGI 扩展这样 PHP 才能跑在 IIS 上。勾完后点“安装”中间会提示插入系统光盘或者指定安装源如果你用的是 ISO 镜像或者服务器上有完整的安装文件目录把路径指过去就行。整个过程大约几分钟装完角色会显示“已安装”。2.2 命令行方式适合批量部署和无人值守如果服务器数量多或者你正在做自动化初始化脚本图形界面就太慢了。Windows Server 2008 自带了 ServerManagerCmd 命令行工具可以静默安装 IIS。在命令提示符管理员权限下执行ServerManagerCmd -install Web-Server这条命令装的是 IIS 基础功能。如果要带上管理工具可以追加ServerManagerCmd -install Web-Server -includeManagementTools到了 2008 R2更推荐用 PowerShell 方式先导入 ServerManager 模块然后Import-Module ServerManager Add-WindowsFeature Web-Server -IncludeManagementTools这个方式对运维脚本特别友好可以批量塞进部署脚本里。需要注意的一点是执行命令时 PowerShell 必须以管理员身份运行否则会报拒绝访问。2008 R2 默认 PowerShell 2.0Add-WindowsFeature 语法完全兼容不用额外升级。2.3 无外网离线环境安装有些生产网段是物理隔离的服务器访问不了 Windows Update也没有系统 ISO 挂载。这种情况下你需要手工准备完整的安装源目录把 Windows Server 2008 或 R2 的安装光盘内容拷贝到本地磁盘或者在光驱/虚拟光驱里挂载好。然后在“添加角色”向导中途提示“指定安装源路径”时把路径指到安装源的\sources\sxs目录。命令行方式在这类环境下也有效参考DISM /Online /Enable-Feature /FeatureName:IIS-WebServer /All /LimitAccess /Source:D:\sources\sxs/All会同时启用相关依赖组件/LimitAccess告诉 DISM 不要访问 Windows Update只从本地指定源取。2008 原版里没有 DISM要从命令行装 IIS 还是用 ServerManagerCmd 更可靠。离线环境里最尴尬的问题是缺某个角色服务组件装到一半报错“找不到源文件”所以做离线部署前一定要把安装光盘里的sources\sxs文件夹整个拷全别只拷几个 cab 文件。3. 别急着建站先弄明白 IIS 7.x 的运行机制很多教程上来就让创建网站但遇到问题就抓瞎。我建议先花二十分钟理解 IIS 的几个核心概念后面配置起来心里有底得多。3.1 一个请求从进入到返回IIS 做了什么IIS 7.0/7.5 的请求处理链路大致是这样用户浏览器发起 HTTP 请求先由内核态的 HTTP.sys 监听端口并接收请求然后系统把请求转给 Windows Process Activation ServiceWASWAS 负责根据请求的地址找到对应的应用程序池和工作进程工作进程w3wp.exe加载相应的处理模块比如静态文件模块、ASP.NET 模块、FastCGI 模块最终生成响应返回给浏览器。这个链路里最值得留意的是“应用程序池”的存在。每个站点可以指定一个应用程序池池的本质是一组独立的工作进程跑在一个隔离的进程空间里。一个池里的站点如果崩了最多影响同一个池的其他站点不会拖垮整个 IIS。生产环境里合理做法是让不同业务站点用不同应用程序池彼此隔离防止一个站点的内存泄漏把整台服务器的站点全部拖死。3.2 经典模式和集成模式老程序容易踩的坑IIS 7.x 的应用程序池支持两种管线模式集成模式和经典模式。集成模式把所有请求都放入统一的管线处理ASP.NET 的模块可以作用于静态资源、CGI、FastCGI 等所有请求类型性能和灵活性更高。经典模式则会模拟 IIS 6.0 的行为对老程序兼容性更好。尤其提醒那些从 Windows Server 2003 时代迁移过来的老 ASP.NET 程序很多程序用了自定义 HttpModule而且通过 web.config 里的system.web节点注册如果在集成模式下面跑会报错 “Unrecognized attribute type” 之类的异常。通常解决办法要么把配置迁移到system.webServer节点要么把应用程序池的托管管线模式切到“经典”。不要嫌经典模式“落后”稳定跑老业务比什么都重要。3.3 你以为的权限和系统实际判断的权限是两套IIS 站点的访问权限由两层共同决定第一层是 IIS 本身的“身份验证”设置比如匿名身份验证是否启用用什么内置账户去代表匿名用户第二层是 NTFS 文件系统权限文件夹到底允许哪个 Windows 账户读写。两层都通过了请求才正常返回。默认情况下IIS 匿名身份验证使用的账户叫 IUSR属于 IIS_IUSRS 组。你建一个网站目录如果不给 IUSR 授任何 NTFS 权限即使 IIS 里配置得再宽松浏览器也会报 401.3 或 403 错误。反过来给了 IUSR 过高的 NTFS 权限比如完全控制一旦站点被注入恶意脚本危害会放大。安全原则是网站目录只给“读取”和“列出文件夹目录”权限需要写入上传文件的子目录单独放开“修改”权限严格最小化。3.4 配置体系的继承关系IIS 7.x 的配置存储在C:\Windows\System32\inetsrv\config\applicationHost.config里这是全局主配置。每个站点、每个虚拟目录下的 web.config 可以在一定程度上覆盖主配置形成类似继承的体系。新手改配置时经常犯的错是直接改应用层 web.config却忽略了主配置里的全局规则或者反过来在全局配置里改了个限定性设置导致所有站点都受影响。排查问题时建议先从全局配置着手检查再逐层检查 site 和 application 级别的配置。如果某个配置改错了导致 IIS 起不来可以用管理员身份备份还原applicationHost.config。平时做重大调整前先执行一次完整备份这个习惯能救你无数次。4. 从单站到多站主机头绑定、HTTPS 与日常维护4.1 三种绑定方式IP、端口、主机名IIS 站点绑定的本质是把“IP 地址 端口 主机名”三元组和网站关联起来。默认情况下新建站点绑定的形式是“所有未分配 IP 的 80 端口”这种绑定适合单站服务器。一旦要在一台服务器上跑多个站点就必须玩转绑定规则。最常用的是主机头绑定。比如你有两个域名a.company.com和b.company.com都指向同一服务器 IP那就建两个站点分别把主机名绑定为这两个域名HTTP.sys 在收到请求时根据请求头里的 Host 字段路由到对应站点。用这种方式可以让多个 Web 站点共享同一个 80 端口。稍微要注意的是某些老程序对非默认主机名的访问特别敏感比如重定向时会拼出自以为的域名。这类问题不是 IIS 能兜住的只能改程序或加反向代理层。4.2 HTTPS 证书申请与绑定现在不配 HTTPS几乎等于裸奔。2008 R2 环境下绑定 HTTPS一般流程是先生成证书请求然后由 CA 签发内网可以搭私有 CA公网就用正规证书服务商拿到服务器证书后导入到本地计算机的证书存储区再到 IIS 站点绑定里选择 443 端口和该证书。我在内网测试环境经常碰到没有公网证书的场景这时可以用自建 CA 签证书或者用工具生成自签名证书。自签名证书本身加密能力和正规证书一样只是浏览器不信任罢了。内网测试完全够用但如果要面向公网正式业务不要贪省事直接自签名用户浏览器弹证书警告会吓跑一票人。具体操作路径IIS 管理器里选中站点“绑定”-“添加”-类型选 https端口设 443然后在“SSL 证书”下拉框选择已导入的证书。如果你想让所有 HTTP 请求都跳转到 HTTPS可以在站点“HTTP 重定向”里做 301 跳转或者直接添加规则“要求 SSL”。4.3 老版本系统的 TLS 配置要注意2008 R2 默认的 SSLSchannel对 TLS 1.2 的支持是有限的除非打了专门的补丁 KB3140245而且还需要注册表里设置合适的加密套件顺序。这个话题展开说太深这里提醒两句如果你的 HTTPS 客户端主要是现代浏览器和操作系统务必确认服务器已经启用 TLS 1.2否则很多客户端会拒绝连接。2008 原版对 TLS 1.2 的支持更弱建议在关键业务上考虑尽早迁移不要长期依赖老系统扛大梁。4.4 日志与备份日常维护的基本盘IIS 默认启用了 HTTP 日志记录日志文件存储在C:\inetpub\logs\LogFiles\W3SVC站点编号目录下。运维人员至少要做到两件事定期清理过期日志可以用脚本按天压缩归档以及定期检查日志里的异常状态码。遇到用户反馈“某个时间段访问很慢”的时候配合 IIS 日志和系统性能监视器基本都能还原现场。备份方面IIS 的配置备份可以用命令行工具appcmd.exe。在 2008 R2 上执行%windir%\system32\inetsrv\appcmd.exe add backup backup_20250101可以把整个 IIS 配置备份到C:\Windows\System32\inetsrv\backup目录。哪天配置改坏了再执行appcmd restore backup backup_20250101就能回滚。这个工具在 2008 原版里没有那可以考虑直接复制applicationHost.config文件做冷备份效果等价。5. 老旧系统的安全底线怎么加固都不为过Windows Server 2008 系列停止支持以后最大的问题不是功能而是安全。老系统的漏洞不会再有官方补丁所以必须靠外部手段把风险面压到最低。下面这几件事我每次接手老服务器都会做。5.1 精简不必要的 IIS 模块IIS 7.x 默认会加载一堆模块但你的业务不一定需要所有模块。比如不跑 WebDAV 就一定要禁用 WebDAV否则会有远程写文件的漏洞风险。不跑 CGI 就不启用 CGI 模块不跑 ASP.NET 就不需要把 ASP.NET 相关模块暴露出来。在 IIS 管理器的“功能视图”里双击“模块”把用不到的直接右键禁用如果是 WebDAV在“处理程序映射”里删除对应条目。模块精简的收益是双重的攻击面减小性能还会略微提升。我见过相当多服务器被入侵后溯源都是因为开启了不必要的扩展所以这步别偷懒。5.2 请求筛选和 URL 过滤要好好配置IIS 7.x 有个“请求筛选”功能位于站点级别可以限制 URL 长度、查询字符串长度、允许的 HTTP 谓词还能阻止特定文件扩展名。对防 WebShell 和恶意扫描来说非常关键。常见的做法是把system.webServer/security/requestFiltering里的 fileExtensions 中禁掉.asp、.aspx之外的可执行扩展比如.php如果站点不用 PHP 的话再禁止.bat、.cmd、.ps1等脚本文件访问。HTTP 谓词如果业务只用 GET 和 POST就把它俩以外的都禁用。对上传目录设置“拒绝写入”权限或者不加执行权限。通过 IIS 管理器操作清晰直观改配置文件反而容易漏掉某些默认值新手建议还是用界面。5.3 网络层隔离别把服务器裸奔在公网2008 老系统即便上了补丁也难以彻底防住网络层攻击。最稳妥的方式是把旧服务器放在内网 DMZ 区只对必要的端口80、443、远程管理做映射并且用防火墙只允许特定来源 IP 访问远程桌面。如果业务访问方本身就是固定办公网段直接在 Windows 防火墙里把 3389 端口限制到只允许那个网段效果立竿见影。有时候业务系统必须被公开访问那就强烈建议在前面加一个反向代理或者 WAF把旧 IIS 藏到代理后面实IP不暴露老系统的很多漏洞攻击也就没什么机会了。WAF 不管是硬件还是软件有这个思维差别很大。5.4 账户权限和口令策略从严老系统上跑 Web 服务的进程身份不要用 LocalSystem 这种超强权限账户跑应用程序池。IIS 的应用程序池默认身份是 NetworkService比 LocalSystem 权限低不少。如果业务允许可以进一步自定义低权限账户只给它网站目录和相关依赖目录的写权限。密码管理方面老服务器最怕密码没人改、泄露了也不知道。接手后的第一件事强制让相关管理员改掉本地管理员密码确认 Guest 账户是禁用的同时断开不必要的共享磁盘如 ADMIN$、C$。服务器如果暴露在不受信网络内部账户枚举测试也要做一遍别让空密码或者弱密码账户挂着。5.5 安全软件和扫描工具2008 老系统上装杀毒软件我一般建议选轻量级的企业版安全软件最好支持服务器模式并定期全盘扫描。另外公司如果有漏洞扫描设备定时对这台服务器扫一遍主观上觉得自己配置没啥问题扫描结果往往能拆穿一些侥幸。有一点提醒杀毒软件如果开启实时防护有时候会干扰 IIS 进程对临时目录的读写特别是 ASP.NET 编译临时文件时容易被误锁。遇到莫名的“目录被占用”“文件被锁定”问题可以先把杀毒软件对C:\Windows\Microsoft.NET\Framework目录和站点上传目录的实时扫描排除掉能省很多事。6. 部署后的验证、备份与高频故障排查6.1 安装成功的第一轮验证IIS 装完后最基础的验证方式是任意一台同网段机器打开浏览器访问http://服务器IP看到默认欢迎页说明 IIS 正常。然后可以进一步验证具体站点新建一个测试页面写上“网站可访问测试”并放在站点根目录通过浏览器访问。这步都通过服务器基本就算“能跑”了。如果测试页面无法访问先检查三件事站点是否处于“已启动”状态、“默认文档”列表是否包含 index.html 或 default.aspx、NTFS 权限是否给了 IUSR 读取权限。按这三个顺序排查八成问题能定位。6.2 高频故障和排查链路下面这几个错误是部署或交接时出现最多的每个我都查到过多次503 服务不可用多半是应用程序池停止了或者池里的工作进程崩溃。去 IIS 管理器“应用程序池”看下状态如果显示已停止右键启动如果启动后立刻又停打开事件查看器看应用日志里关于 w3wp.exe 崩溃的记录重点看有没有加载失败的 DLL 或者权限不足引发的异常。401.3 未授权NTFS 权限问题。确认 IUSR或站点池身份对该目录有读取权限。还有一个容易忽略的点如果文件在别的盘符分区上而且盘符是 FAT32 格式老迁移过来的可能连 ACL 设置都无效直接给账户加权限就好。404.3 找不到文件或处理程序映射缺失说明 IIS 收到了请求但找不到对应的处理程序。常见原因是没有安装 ASP.NET 或相应版本不对尤其是 64 位系统默认启用了 32 位应用池后ASP.NET 的 32/64 版本注册混乱经常出现这类问题。可以先打开“处理程序映射”确认 .aspx 是否已经映射到 aspnet_isapi.dll 上。如果缺失执行命令重新注册 ASP.NETC:\Windows\Microsoft.NET\Framework64\v4.0.30319\aspnet_regiis.exe -i默认文档未启用站能通但当访问域名根路径时报 403.14 或目录列表。基本是默认文档列表有问题要么没启用“默认文档”功能要么 index.html 不在列表里。打开“默认文档”添加对应名称即可。6.3 失败请求跟踪的用法IIS 7.x 提供了“失败请求跟踪”功能可以在站点级开启然后我常用的是“日志”-“配置日志记录”里勾上“启用失败请求跟踪”再设置针对 4xx、5xx 状态的跟踪规则。之后复现一次问题就能在C:\inetpub\logs\FailedReqLogFiles目录下看到 freb.xml 跟踪文件。说实话我还挺推荐新手遇到诡异问题先开这个里面记录了请求从进入到返回每一步的状态包括哪个模块抛了异常、认证环节卡在哪、静态文件模块是否放行等等比在论坛刷帖子问人高效多了。6.4 配置备份还原的演示场景我平时在做站点的重大调整前会在命令行里执行备份C:\Windows\System32\inetsrv\appcmd.exe add backup before_https_change有一次我在绑定 HTTPS 时手滑把站点绑定的 IP 选错了改回来后又发现默认文档里少了两项配置弄了半天都歪七扭八。后来直接执行了C:\Windows\System32\inetsrv\appcmd.exe restore backup before_https_change配置立刻回到调整前的状态整个过程只要几秒钟。这个习惯我一直保持到现在尤其是做批量站点调整或迁移时备份就是后悔药。6.5 最后的个人心得接手或者部署一台 2008 系列的老服务器心态上要慢一点操作上要稳一点。老系统不像新系统那样有丰富的在线资料和官方支持很多坑只能靠经验和排查去填。但话说回来这类系统在企业里的生命周期往往比大家想象的长得多掌握一套完整而严谨的 Web 服务器部署配置流程是运维岗位上一项长期用得上的硬技能。我对处理这类机器的经验是把每一步操作都记录下来把改动的原因写清楚把备份留存到位后面无论谁接手都能在这台“老古董”上继续安心跑业务。
