IUSR和防火墙

Question

我有一个Classic ASP页面，它使用HNetCfg.FwMgr对象在服务器的windows防火墙上配置端口排除。在我的IIS6，Win 03服务器上，我必须在HKLM\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\GloballyOpenPorts\List\注册表项中添加对IUSR_machine帐户的设置/创建键/删除访问权限。

当我在新的Windows Server2008，IIS7上运行时，我得到一个权限被拒绝。如果我将匿名用户更改为Admin，甚至将新创建的用户更改为Users组的成员，则权限不会被拒绝，并且会进行更新。

我注意到在注册表中存储防火墙条目的位置已经更改。但是，即使我授予IUSR对我的HKLM的完全控制权，它在尝试添加端口排除时仍然得到拒绝的权限。它可以很好地读取端口排除列表，所以我假设对HNetCfg.FwMgr的访问工作正常。

有谁知道如何让IUSR能够使用该对象(HNetCfg.FwMgr)添加排除？使用新的固件策略2进行重写目前不是一个选项。

Answer 1

您需要以管理用户的身份运行应用程序池。如果您担心安全性，请将其作为具有管理员权限的虚拟目录运行。您可以从不在该虚拟目录(由I_user控制的目录)中的脚本中使用xmlhttp来调用(防火墙)虚拟目录中具有管理服务权限的脚本。这样，你的firwall脚本的url (虚拟目录)就不是公开的了。