網絡伺服器在計算機網絡中是一類提供共享資源的站點，是網絡共享資訊的存儲地，同時也負有管理網絡資源、維護資源子網的責任。保護網絡伺服器的安全，保證網絡共享資源不被非法使用和非法通路是網絡安全工作的基本任務。網絡伺服器通路控制是直接建立在網絡伺服器上的網絡安全防範和保護的主要政策，也是維護網絡系統安全、保護網絡資源的重要手段。各種安全政策必須互相配合才能真正起到保護作用，但伺服器的通路控制是重要的核心政策之一。本文将結合Windows作業系統說明各種伺服器通路控制政策。
1通路控制和賬戶管理
1.基本的通路控制方法
入網通路控制為網絡通路提供了第一層通路控制。它控制哪些使用者能夠登入到伺服器并擷取網絡資源，控制使用者入網的時間和在哪台工作站入網。使用者登入控制可分為3個方面：使用者名的識别與驗證、使用者密碼的識别與驗證、使用者賬号的預設限制檢查。使用者隻有通過了所有3方面的檢查，才能進入該網絡。
使用者登入時首先輸入使用者名和密碼，伺服器将驗證所輸入的使用者名是否合法。如果驗證合法，才繼續驗證使用者輸入的密碼，否則，使用者将被拒絕登入。使用者的密碼是使用者入網的關鍵，必須經過加密，即使是系統管理者也難以得到它。使用者還可采用一次性使用者密碼,也可用便攜式驗證器(如智能卡)來驗證使用者的身份。
使用者名或使用者賬号是所有計算機系統中最基本的安全形式。使用者賬号應隻有系統管理者才能建立。使用者密碼應是每個使用者通路網絡所必須送出的“證件”’使用者可以修改自己的密碼，但系統管理者可以在以下幾個方面控制對密碼的限制：最小密碼長度、強制修改密碼的時間間隔、密碼的唯一性、密碼過期失效後允許入網的寬限次數。
使用者名和密碼驗證有效之後，再進一步履行使用者賬号的預設限制檢查。作業系統将使用者的辨別記錄在一個使用者賬戶中’将使用者在系統中能做或不能做什麼的資訊全都收集在一起，僅當使用者能給出正确的密碼才能得到賬戶下的系統服務。網絡應能控制使用者登入入網的站點、限制使用者入網的時間、限制使用者入網的工作站數量。當使用者對交費網絡的通路“資費”用盡時，網絡還應能對使用者的賬号加以限制，使用者此時應無法進入網絡通路網絡資源。網絡應對所有使用者的通路進行審計，如果多次輸入密碼不正确，則認為是非法使用者的入侵，應給出報警資訊。
WindowsNT除了使用上述基本的通路控制方法外，以域結構的方式組織和管理網絡中的伺服器資源，一方面使使用者使用網絡資源更友善，另一方面又能保障網絡資源的安全性。建設網絡過程中設計Windows作業系統的域結構，成為保障網絡資源安全的重要手段之一。Windows作業系統提供了很多适宜于不同對象的域模型，但關鍵是要正确了解域與基本認證機制的關系，以及如何使用一個比對賬戶使域結構更為簡單。
2.Windows作業系統的賬戶安全參數
Windows作業系統具有一般的賬戶安全特性，使用者的賬戶中記錄着賬戶所屬的組。組是一系列使用者的代号，是一種簡化網絡管理的方法，同時也是簡化對目标通路的途徑，是以必須對組進行仔細的計劃和控制。
Windows作業系統的“賬戶策咯”有一些與密碼控制有關的項目，這将适用于該系統中存儲的所有賬戶。例如，使用者可以設定密碼的最短長度、密碼的有效期限、當密碼失效後是否允許使用者修改其密碼、使用者是否可以使用以前用過的密碼等。最重要的密碼政策是鎖定政策。當在一個指定時間段内提供指定次數的假密碼之後，其賬戶将被鎖定而無法再登入系統。此後按照設定可以在一段時間後自動解鎖，或由管理者對賬戶解鎖。賬戶的鎖定保護也适用于遠端登入。
密碼的安全性不能單靠密碼的長度來保證。鎖定參數和密碼的複雜度共同用于防止密碼的猜測。密碼的複雜度是指構成密碼的字元種類及長度。例如，如果設定鎖定周期為半小時嘗試6次，并有半小時的恢複時間，這就表示一個入侵者每小時最多可以猜測5次密碼。這樣即使密碼長度為6,這是一個最小的長度，并且僅僅使用26個小寫字母，在短時期内密碼被猜測出來的可能性也是很小的。
賬戶鎖定政策的唯一例外是管理者賬戶Administrator永遠不會被鎖定，至少在域控制器上如此。是以為了安全考慮，應該為其取一個較長的、随機的好密碼，并且僅在特别緊急的時候使用。平時，管理者可以用其他的管理賬戶登入，進行系統的管理，同時把這些賬戶設定為具有鎖定能力。
2使用者權限控制
權限是由系統管理者賦予使用者的特殊屬性。隻有當使用者擁有所需要的通路權限，系統才能滿足使用者所提出的特殊請求。權限中大多數與管理有關，而許多權限則僅有作業系統自身可使用。一個使用者的權限可以延伸到使用者在本地或遠端會話過程中運作的所有程式中。
使用者的權限控制是針對網絡非法操作所提出的一種安全保護措施。權限控制機制控制使用者和使用者組可以通路哪些目錄、子目錄、檔案和其他資源。可以指定使用者對這些檔案、目錄、裝置能夠執行哪些操作。權限控制有兩種實作方式：受托者指派和繼承權限屏蔽。受托者指派控制使用者和使用者組如何使用網絡伺服器的目錄、檔案和裝置。繼承權限屏蔽相當于一個過濾器，可以限制子目錄從父目錄那裡繼承哪些權限要求。作業系統可以根據通路權限将使用者分為以下幾類。
(1)特殊使用者(即系統管理者)。
(2)一般使用者，系統管理者根據他們的實際需要為他們配置設定操作權限。
(3)審計使用者，負責網絡的安全控制與資源使用情況的審計。
作業系統有自己的權限資料庫，其中記錄了在該機上可以使用的各個賬戶的權限。一個域賬戶在一些機器上有某些權限，而在另一些機器上則可能具有其他的權限。
控制本地登入和遠端登入的兩個權限具有特殊的重要性。前者允許一個使用者在該系統的鍵盤上登入系統，而後者可以在該機器上建立遠端會話。它們可以與域結構和本地比對賬戶政策有效地結合在一起，用于确定在網絡範圍内可以使用哪些賬戶，使域結構簡單化。
在使用者權限控制的基礎上還可以進一步建立屬性安全控制。在提供檔案、目錄、裝置等資源時，網絡系統管理者應給檔案、目錄等指定通路屬性，形成一組網絡資源安全屬性。使用者對網絡資源的通路權限對應一張通路控制表，用以表明使用者對網絡資源的通路能力。屬性設定可以覆寫已經指定的任何受托者指派的有效權限。屬性往往能控制以下幾個方面的權限：向某個檔案寫資料、複制一個檔案、删除目錄或檔案、檢視目錄和檔案、執行檔案、隐含檔案、共享系統屬性等。網絡的屬性可以保護重要的目錄和檔案，防止使用者對目錄和檔案的誤删除、修改、顯示等。
3通路控制表
使用者權限控制是針對通路者建立的安全控制措施，而通路控制表則用于被通路對象。WindowsNT系統中的每個資料對象，如一個使用者的資料檔案、一台列印機、一個系統系統資料庫，或者是使用者不可見的裝置對象，都可以擁有一個通路控制表。一個通路控制表指出誰可以用什麼方式通路該對象。通常每個對象的通路方式是不同的，但一般有這樣一些類型，如讀、寫、删除、更改對象的通路控制表，或使自己成為對象的所有者等。如果使用者建立了一個對象，那麼使用者就成為該對象的所有者，而且可以改變其通路控制表。
目錄和檔案的通路控制表是最常用的’也是最容易因為使用不當而不能達到預期效果的地方。目錄的通路控制表将被直接傳遞給該目錄下的所有子目錄和檔案，但是使用者往往會疏忽它們之間的差別。例如，一個公司經理不應該按照日期來建立檔案的目錄結構，而應該為每種不同性質的檔案建立不同的目錄和通路控制表。這時把目錄結構分為公共報告、小組報告和向上司的報告等會更合适。是以，檔案和目錄應該以如何保護為依據組織成目錄樹結構。
每個目錄的通路控制表含有WindowsNT在建立檔案時所用的預設通路控制表。注意修改檔案的預設通路控制表，否則可能會出現資訊的洩露。例如，某些應用程式在與原始文檔相同的目錄下建立了一個臨時檔案，臨時檔案可能含有原始文檔中的資料。多數應用程式都簡單地采用臨時檔案上的系統預設通路控制表。但是如果使用者對原始文檔指定了比其預設通路控制表更加嚴格的通路方式，那麼臨時檔案的通路方式就顯得寬松了，有可能會洩露資料資訊。更加嚴重的是，有些程式在編輯和儲存文檔時，會建立一個全新的檔案,并且使用系統預設的通路控制表，這時如果使用者改變過原檔案的預設通路控制表，那麼新檔案的建立會放松對原檔案資料的通路控制。
此外，還應該注意一個有趣的通路控制表權限，稱為“繞過周遊檢查(BypassTraverseChecking)"。它應用在這樣的場合：如果一個使用者沒有對一個目錄的通路權限，卻擁有對目錄中的一個對象的通路權，這時，隻有對使用者設定過繞過周遊檢查權限時，使用者才能夠實作對那個對象的通路。在WindowsNT系統中，每個使用者都有這種預設權限，但從安全角度出發，應該取消這種權限。
WindowsNT在通路安全方面有許多特色，并做了許多重要的貢獻，但這不是說WindowsNT就是一個非常安全的系統，如果存在錯誤的概念或表面的了解，仍然會在系統安全上出現問題。