筛选路由器 — 第一道防线 应当使用筛选路由器来保护任何面向 Internet 的防火墙。这种路由器只有两个接口：一个与 Internet 相连而另一个与外部防火墙（或必要时与负载平衡的防火墙群集）相连。所有攻击中，将近 90% 涉及到 IP 地址失窃，或改变源地址以使数据包看起来如同来自内部网络。传入数据包没有什么理由可以来自内部网络。另外，由于一个网络的安全性通常取决于所连接网络的安全性，因此最好能避免您的网络被用作假数据包的来源。筛选路由器是实现这些目的的理想方法。
应当将筛选路由器配置为“allow all except that which is specifically denied”（允许通过特别拒绝以外的所有通信）状态。这样，ACL 就执行下列操作：
定义一个进入筛选器，它拒绝任何源地址为内部网络地址的传入通信。 定义一个外出筛选器，它拒绝源地址非内部网络的传出通信。 拒绝 RFC 1918 中所确定的任何专用地址范围内源地址或目标地址的所有传入或传出通信。 允许所有其它的传入和传出通信。 这可阻止大多数攻击，因为窃取内部地址几乎是所有攻击的基本条件。将筛选路由器后面的防火墙配置为“deny all except that which is specifically allowed”（拒绝除特别允许之外的所有通信）状态。
（这部分信息的依据为 RFC 2267，“Network ingress filtering: Defeating denial of service attacks which employ IP source address spoofing”，1998 年 1 月。）
基于主机的防火墙保护。彻底防御应当是任何安全方案的设计目标。筛选路由器和传统的 DMZ 提供三层保护，它们通常足以保护大多数网络服务。对于高度安全的环境，基于主机的防火墙还可提供另一层的保护。基于主机的防火墙允许安全管理员确定详细周全的安全策略，以使服务器的 IP 栈只对该服务器上应用程序所要求的端口和协议开放。一些基于主机的防火墙还实施传出保护，以帮助确保某台遭到破坏的机器不会影响同一网络上的其它机器。当然，基于主机的防火墙确实增加了普通系统管理的负担。应考虑仅对那些包含至关重要数据的服务器增加基于主机的保护。
交换网络可以实际杜绝这种情况的发生。交换网络中任何机器的网络接口将只能看到特别发给该接口的那些帧。在这里混杂模式没有什么不同，因为 NIC 不识别其它任何网络通信。攻击者窥探交换网络的唯一已知方法是：攻击者破坏交换机本身并更改其操作，这样交换机至少在一个端口充斥了所有通信。破坏交换机很难，并且很快会被网络管理员发现。
交换网络还免去了使用双主机 DMZ 服务器的必要。双主机提供不了更多的附加保护；附加的 NIC 不能防止来自已破坏计算机的攻击。但是在需要高可用性或高性能情况下，使用两个 NIC 可能更加适合。
消除故障点。在需要高可用性的环境中有必要使用两个 NIC。一种切实可行的设计方案是在核心部分包括两台交换机，并在每台服务器中包括两个 NIC。一个 NIC 连接到一台交换机，另一个 NIC 连接到另一台交换机。
入侵检测 — 早期的警告系统 入侵检测系统正在成为与 Internet 连接的任何网络的必要组件。尽管它不能替代防火墙详细不间断的检查和服务器日志，但是入侵检测系统能够提早识别潜在入侵，为您提供更多的时间以对事故采取相应措施。请在 DMZ 中安装入侵检测系统。
入侵检测系统和防病毒实用程序相似，它们都是在检测到它们识别的东西时向管理员发出警报。入侵检测系统包含一个攻击特征数据库，但是并非所有的入侵检测系统都同样可以识别不同类型的攻击或保持最新状态（各个 IDS 厂商都将他们的特征数据库和更新机制当作商业机密）。目前有两种值得关注的检测系统，它们是：RealSecure by Internet Security Systems (http://www.iss.net) 和 Network Flight Recorder ( http://www.nfr.net )。
DNS — 确保客户到达正确的地方 常见的 DNS 实施（包括如图所示的实施）称为拆分 DNS 实施。外部服务器用来解决 Internet 对 DMZ 中计算机的查询，并解决 DMZ 计算机对其它 DMZ 计算机的查询。内部服务器用来解决内部网络对内部计算机的查询，对 DMZ 中或 Internet 上计算机的查询将被转发到外部服务器。但是拆分 DNS 不能保护 DNS 高速缓存免受攻击。
在 DNS 高速缓存的侵害中，攻击者会破坏另一网络的 DNS 高速缓存。当受害者试图在破坏的网络中确定地址时，该高速缓存返回攻击者在高速缓存中放入的无效信息。通常攻击者这样做是为了把受害者重新定向到攻击者的计算机。
最安全的 DNS 实施称为 拆分 — 拆分 DNS 实施。在 DMZ 中有两台 DNS 服务器。一台服务器（例如 DMZDNS-IN）只接受对 DMZ 中计算机的传入查询 — 并只接受 Internet 上计算机的查询。另一台服务器（如 DMZDNS-OUT）只允许解决对 Internet 的传出查询，以及 DMZ 计算机对其它 DMZ 计算机的查询。DMZDNS-IN 是 DMZ 的 DNS 区域的主 DNS 服务器，DMZDNS-OUT 是辅助 DNS 服务器，使用 IPSec 进行区域传输。内部网络中的 DNS 服务器仅是内部网络的主 DNS 服务器，并且将对 DMZ 或 Internet 的请求转发到 DMZDNS-OUT。这消除了使网络易于受到已被袭击的 DNS 高速缓存攻击的条件。
来自 Internet 的 DNS 查询不可能通过 DMZ 进入内部网络来获取答案。一些近期的攻击使用 DNS 来传递其有效载荷。Internet 上的用户没有必要对内部网络上的服务器进行查询。
消除故障点。在高可用性环境中，只需简单倍增 DNS 服务器的数量即可。
硬件负载平衡 — 保持服务器的最佳性能 Windows 2000 Advanced Server 包括一种称为“网络负载平衡服务”或 NLBS 的功能。NLBS 为 Web 站点管理员提供了在相同配置的服务器农场中进行服务器负载分配的方法。NLBS 对不需要复杂状态维护或性能监视的应用程序来说非常适用。但对于需要这些工作的应用程序来说，则应选择硬件负载平衡。这些设备有时称为第 7 层交换机。
像 F5 网络的 BigIP Content Switch（非官方认可，只是行业中认同它是最好产品之一）这样的设备在 OSI 模型的第 2 到第 7 层工作。BigIP Content Switch 检测应用程序的状态和运行情况，在 Web 服务器之间提供负载平衡和真实容错。若要消除任何单一的故障点，需使用两个与所有 Web 服务器完全相符的负载平衡设备。F5 还提供了支持加密套接字协议层 (SSL) 的 BigIP Content Switch 版本。SSL 会话在 BigIP SSL Accelerator中终止，然后确定由哪台 Web 服务器执行该工作。BigIP Accelerator 进行下列操作：
卸载 Web 服务器的 SSL 处理，提高其性能。 集中管理证书。将证书安装在 SSL 加速器上，而不是每一台 Web 服务器上。它还可使多个 BigIP 控制器之间的证书同步。 启用 HTTP 主机标头。 解决 AOL 客户端 IP 地址共享问题。 消除故障点。如果目标仅仅是平衡服务器的负载，一台负载平衡设备足矣。但是若要提供真实容错功能，则需多台配置完全匹配的设备。
通过将磁盘阵列移出机柜来优化服务器机柜空间。 通过将数据存储在单独的、不易遭受目前所知类型攻击的网络中，增加数据的安全性。 通过在数据网络之外保留通信备份，提供不受 LAN 约束的备份。 最初，使用光纤通道仲裁环 (FC-AL) 来建立 SAN。较新的光纤通道交换机提供更高水平的吞吐量，并使管理员可以设计没有单一故障点的 SAN。
交换光纤通道 SAN 至少包括：
两台位于核心相互连接的 FC 交换机。 几台位于外围的交换机 — 每个 LAN 有一台与 SAN 连接的交换机。每台外围交换机都与两台核心交换机连接。 每台服务器中的 FC 接口与其本地的 SAN 交换机相连。 SAN 磁盘群集有一台交换机与两台核心交换机连接。 SAN 备份设备的一台交换机，与两台核心交换机连接。 消除故障点。倍增核心以外的所有设备：在每台服务器中使用两个光纤通道适配器、每个 LAN 中使用两台外围交换机、对 SAN 磁盘群集使用两台外围交换机，以及对 SAN 备份设备使用两台外围交换机。始终将两台外围交换机与两台核心交换机相连。
网络附加存储的有关情况？Microsoft 不支持 NAS 存储 Exchange 文件。Exchange 要求所有的文件都保存本地设备上。Exchange 在光纤连接的 SAN 设备上运行良好，这些设备对 Windows 2000 表现为本地设备。
本文档所包含的信息代表了在发布之日，Microsoft Corporation 对所讨论问题的当前看法。因为 Microsoft 必须顺应不断变化的市场条件，故该文档不应理解为 Microsoft 一方的承诺，Microsoft 不保证所给信息在发布之日以后的准确性。
本文档仅供参考。在本文档中，MICROSOFT 不做任何明示的或默示的保证。
Microsoft、BackOffice、MS-DOS、Outlook、PivotTable、PowerPoint、Microsoft Press、Visual Basic、Windows、Windows NT 和 Office 徽标是 Microsoft 在美国和/或其它国家（或地区）的注册商标或商标。