Terminal Services

　　除了上面指出的一些设置之外，还建议对终端服务进行如下设置，并同样作为GPO的一部分或者通过本地计算机配置应用到计算机上。

　　这些对终端服务的建议设置都位于GPO的计算机配置\管理模板\Windows组件\终端服务节点下，并可以通过MMC的组策略组件访问。终端服务设置同样可以在用户设置节点下找到，不过那里的设置会被计算机配置下的设置覆盖。

表16 终端服务策略选项

　　网络配置建议

　　远程协助和远程桌面都使用了终端服务使得用户可以远程访问本地计算机，在Windows XP系统中使用这些功能时，终端服务使用了3389端口。强烈建议通过设置仅允许本地局域网使用远程连接功能，并且在对外防火墙或者路由器上封掉3389端口。在该端口上所有的入站和出站连接都必须被阻止以禁止非法访问。如果仅阻止了入站连接，远程协助功能还是有可能通过Windows Messenger与局域网外部使用，因此双向的通讯都要被阻止。

　　如果需要从本地局域网那个外使用远程协助或远程桌面连接，建议在防火墙或者路由器上设置过滤，以确保只有特定的IP地址可以当问到局域网内的系统。其他所有地址到3389端口的访问都应当被禁止。如果需要更高安全级别的保护，可以安装一个VPN服务器，并使用非常强的验证方式使得少数用户可以拨入到VPN服务器。当然仅允许特定的IP地址可以连接到VPN服务器也是个好方法。