Vista的新增网络功能（转载）

Windows Server“Longhorn”与 Windows Vista 中的新增网络功能

  注意：

本文所述的功能可能随时发生变化。由于市场、技术或其它方面的原因，有些功能可能不会包含在最终的产品中。

本页内容

	摘要
	简介
	协议与核心网络组件
	无线和基于 802.1X 的有线连接
	网络基础结构
	弃用的技术
	总结
	相关链接

摘要

Microsoft?Windows Server?“Longhorn”（目前处于 beta 测试阶段）和 Windows Vista?（目前处于 beta 测试阶段）在网络技术方面进行了许多改动和增强。本文介绍了 Windows Server“Longhorn”和 Windows Vista 的12 月社区技术预览版 及随后的 beta 版在协议和核心网络组件、无线和基于 802.1X 验证的有线技术以及网络基础结构方面的技术改动。

返回页首

简介

网络和通信对于企业应对全球市场竞争的挑战至关重要。员工需要从任何地方及任何设备连接到网络。合作伙伴、供应商及网络外部的其他人员需要与关键资源进行高效的交互，而且安全性比以前任何时候都更加重要。

本文从技术层面介绍了 Windows Server“Longhorn”和 Windows Vista 为了实现连通性、易用性、管理性、可靠性和安全性，而对网络和通信进行的增强。借助 Windows Server“Longhorn”和 Windows Vista，IT 管理员可以在管理网络基础结构、通过要求计算机证明其系统健康来保护网络、通过组策略或脚本部署经验证的无线和有线连接，以及部署受保护的通讯方案方面，具有更广泛、更灵活的选择。

返回页首

协议与核心网络组件

Windows Server“Longhorn”和 Windows Vista 对以下协议及核心网络组件进行了许多改动和增强：

下一代 TCP/IP 堆栈

Windows Server“Longhorn”和 Windows Vista 包含 TCP/IP 协议堆栈的新实现，称为“下一代 TCP/IP 堆栈”。下一代 TCP/IP 堆栈对 Internet 协议版本 4 (IPv4) 和 Internet 协议版本 6 (IPv6) 的 TCP/IP 功能进行全新设计，以满足当今各种网络环境和技术的连接和性能需求。

接收窗口自动调节

TCP 接收窗口大小即连接主机上（用于存储 TCP 连接上的传入数据）内存缓存区中的字节数。为了根据当前的网络条件，正确地确定某个连接的最大接收窗口大小的值，下一代 TCP/IP 堆栈支持接收窗口自动调节 (Receive Window Auto-Tuning)。接收窗口自动调节功能可通过测量宽带延迟产品和应用程序检索速率，持续对每个连接确定最佳的接收窗口大小，并能不断地自动调节最大的接收窗口大小。

随着各个 TCP 对等方间吞吐量的提高，网络带宽的使用率在数据传输期间也将随之提升。若所有的应用程序针对 TCP 数据接收进行了优化，则网络的总利用率就会大幅提升，使得服务质量 (QoS) 的运用，对于满负荷或接近满负荷运行的网络来说更加重要。有关详细信息，请参阅本白皮书中涉及“服务质量”的内容。

有关接收窗口自动调节的详细信息，请参阅“下一代 TCP/IP 堆栈中的性能改进”。

复合 TCP

对于接收窗口较大的 TCP 连接和带宽延迟较严重的产品（延迟会导致连接所占用的带宽成倍增长），下一代 TCP/IP 堆栈中的复合 TCP (CTCP)，通过监视带宽延迟产品、延迟变量和数据包丢失，大幅提高一次性的数据发送量。CTCP 还确保了其行为不会对其它 TCP 连接造成负面影响。在微软内部进行的测试中，借助每秒 1 吉位、往返行程时间为 50 毫秒的连接，大文件的备份时间缩短了近一半。带有宽带延迟较严重的产品的连接甚至可获得更优异的性能。

接收窗口自动调节功能优化了接收方吞吐量，而 CTCP 则优化了发送方吞吐量。通过协同工作，它们可以提高链路使用率，并为带有带宽延迟较严重的产品的连接带来巨大的性能提升。

下一代 TCP/IP 堆栈支持以下 RFC，以在高丢失率环境中优化吞吐量：

有关这些增强功能的详细信息，请参阅“下一代 TCP/IP 堆栈中的性能改进”。

IPv4 的邻居不可达检测

“邻居不可达检测”是 IPv6 的一项功能，允许节点跟踪邻近节点是否可以到达，从而在节点突然不可用时，提供更好的错误检测和恢复。下一代 TCP/IP 堆栈还通过跟踪 IPv4 路由缓存中 IPv4 邻居的可到达状态，对 IPv4 流量的“邻居不可达检测”提供支持。“IPv4 邻居不可达检测”通过单播“地址解析协议 (ARP) 请求”和“ARP 应答”消息的交换或依靠上层协议（如 TCP）确定可达性。借助“IPv4 邻居不可达检测”，基于 IPv4 的通信可通过确定何时相邻节点（包括路由器）不再可到达并报告状态而受益。

有关“IPv4 邻居不可达检测”详细信息，请参阅“下一代 TCP/IP 堆栈中的性能改进”。

失效网关检测的功能变化

在 Windows Server 2003 和 Windows XP 中，TCP/IP 中的失效网关检测提供了一种故障转移功能，但不是故障回复功能（即失效网关再次尝试确定其是否已经可用）。下一代 TCP/IP 堆栈可定期尝试通过经检测失效的网关发送 TCP 流量，从而为失效网关提供故障回复功能。若 TCP 流量成功地通过失效网关发送了出去，则下一代 TCP/IP 堆栈就会将默认网关转换为这个先前被检测为失效的网关。通过子网上的主默认网关发送流量，对故障回复到主默认网关的支持可提供更快的吞吐量。

PMTU 黑洞路由器检测的功能变化

路径最大传输单位 (PMTU) 发现（由 RFC 1191 定义）依赖于从包含下一链接 MTU 的路由器，接收 Internet 控制消息协议 (ICMP) Destination Unreachable-Fragmentation Needed 和 Don't Fragment (DF) Set 消息。但是，在某些情况下，中间路由器会在不给出提示的情况下，丢弃无法拆分的数据包。这些路由器称为黑洞 PMTU 路由器。另外，中间路由器还可能因已配置的防火墙规则而丢掉 ICMP 消息。这会导致 TCP 连接超时并终止，因为中间路由器在不给出提示的情况下，丢弃了较大的 TCP 段、重新传输连接以及 PMTU 发现的 ICMP 错误消息。

PTMU 黑洞路由器检测会发现重新传输的较大的 TCP 段，并自动对连接调节 PMTU，而不依赖于接收 ICMP Destination Unreachable-Fragmentation Needed 和 DF Set 消息。对于 Windows Server 2003 和 Windows XP 中的 TCP/IP，PMTU 黑洞路由器检测默认被禁用，因为如果启用的话，会增加对给定段执行的最大重传次数。

然而，通过加大对路由器应用防火墙规则以丢弃 ICMP 流量，下一代 TCP/IP 堆栈默认启用了 PMTU 黑洞路由器检测，以防止 TCP 连接终止。当 TCP 连接开始重新传输带有 DF 标记集的正常大小的段时，就会触发 PMTU 黑洞路由器检测。TCP 将连接的 PTMU 重新设置为 536 字节，并重新传输已清除了 DF 标记的段。这将保持 TCP 连接，虽然 PMTU 小于实际连接的 PMTU。

路由隔间

为了防止虚拟专用网络 (VPN)、终端服务器和多用户登录配置接口间不必要的流量转发，下一代 TCP/IP 堆栈还支持路由隔间。路由隔间是具有登录会话的一组接口的组合，登录会话又有自己的 IP 路由表。一台计算机可以有多个相互独立的路由隔间。每个接口只能属于一个隔间。

例如，用户通过 Windows XP 中的 TCP/IP 实现在 Internet 上发起 VPN 连接时，用户的计算机已通过操作 IPv4 路由表中的条目，连接到 Internet 和专用 Intranet。某些情况下，来自 Internet 的流量可能会通过 VPN 连接转发到专用 Intranet。对于支持路由隔间的 VPN 客户端，下一代 TCP/IP 堆栈通过独立的 IP 路由表，将 Internet 连接从专用 Intranet 连接中隔离出来。

网络诊断框架支持

网络诊断框架 (Network Diagnostics Framework) 是一种可扩展的体系结构，可帮助用户针对网络连接故障，执行恢复和故障排除操作。对于 TCP/IP 通信，网络诊断框架可为用户提供一系列选项，以排除可能的原因，并最终确认问题的根源，或者排除所有的可能性。网络诊断框架可诊断的与 TCP/IP 相关的具体问题如下：

ESTATS 支持

下一代 TCP/IP 堆栈支持“TCP Extended Statistics MIB”Internet 草案 (draft-ietf-tsvwg-tcp-mib-extension-08.txt)——规定了 TCP 的扩展性能统计。通过分析连接的 ESTATS，可以确定连接的性能瓶颈是发送应用程序、接收应用程序，还是网络。ESTATS 被默认禁用，并可针对各个连接启用。通过 ESTATS，第三方独立软件供应商 (ISV) 可开发出强大的诊断和网络吞吐量分析应用程序。

Windows 筛选平台上的新型数据包筛选模型

Windows 筛选平台 (WFP) 是下一代 TCP/IP 堆栈中的新型体系结构，它可提供 API，从而使第三方 ISV 可以参与对 TCP/IP 协议堆栈和整个操作系统制定筛选决策。该平台还集成并支持下一代防火墙功能，比如：经验证的通信以及基于应用程序使用 Windows Sockets API（应用程序策略）的动态防火墙配置。ISV 可开发防火墙、防病毒软件、诊断软件以及其它类型的应用程序和服务。Windows Server“Longhorn”和 Windows Vista 中的 Windows 防火墙和 IPsec 使用了 WFP API。

有关详细信息，请参阅 “Windows 筛选平台”。

IPv6 的增强功能

下一代 TCP/IP 堆栈支持以下 IPv6 的增强功能：

有关 Windows Server“Longhorn”和 Windows Vista 在 IPv6 方面的功能变化的更多信息，请查阅“Windows Vista 和 Windows Server‘Longhorn’在 IPv6 上的变化”。

服务质量

Windows Server 2003 和 Windows XP 通过常规服务质量 (GQoS) API，为应用程序提供服务质量 (QoS) 功能。使用 GQoS API 的应用程序可以访问优先的传递函数。在 Windows Server“Longhorn”和 Windows Vista 中，有一些新工具可用于管理企业和家庭的网络流量。

针对企业网络的基于策略的 QoS

Windows Server“Longhorn”和 Windows Vista 中的 QoS 策略使 IT 工作人员可以对传出网络流量的发送速率进行优先排序或管理，并可局限于特定的应用程序、特定的源和目标 IP 地址以及特定的源和目标 TCP 或 UDP 端口。QoS 策略设置属于用户配置或计算机配置组策略的一部分，通过组策略对象编辑器进行配置，并通过组策略管理控制台链接到 Active Directory? 目录服务容器（域、站点和组织单位）。QoS 策略可应用于隶属于域、站点或组织单位的用户或计算机。

若要管理带宽的使用情况，可以对 QoS 策略配置一个出站流量节流率。通过节流，QoS 策略将把聚合的传出网络流量限制在一个指定的速率内。为了指定优先的传送，流量被标上了已配置的差分服务代码点 (DSCP) 值。网络基础结构中的路由器可将标有 DSCP 值的数据包放置在差分传送的不同队列中。可同时运用 DSCP 标记和节流功能，进行有效的流量管理。由于节流和优先级标记是在网络层上执行的，因此不必修改应用程序。

有关基于策略的 QoS 的详细信息，请查阅“Windows Server‘Longhorn’和 Windows Vista 中的服务质量”。有关基于策略的 QoS 体系结构的信息，请查阅“Windows Server‘Longhorn’和 Windows Vista 中基于策略的 QoS 体系结构”

家庭网络的 qWave

由于家庭网络受到数据和音频/视频 (A/V) 应用程序越来越广泛的共享，因而一种 QoS 解决方案用于在数据流量之前，优先处理随时间变化的 A/V 流量。另外，越来越多的家庭网络实现了无线连接，从而带来了更多的延迟情况和易受带宽影响的应用程序。Windows Vista 支持优质 Windows 音频/视频体验 (Quality Windows Audio/Video Experience, qWave)——与 QoS 相关的一套软件模块，可应对 A/V 应用程序和无线网络带来的挑战。qWave 作为 QoS 子系统的一部分集成到了网络堆栈中，与多种网络和数据链接层优先级技术一道在家庭网络上同时支持多个 A/V 流（实时流需要 QoS）和数据流（尽力传送的流，比如：电子邮件或文件传输），并提供高质量的用户体验。

这套 qWave 技术可检测并监视 LAN 带宽，发现家庭网络的 QoS 功能，并对合理且一致的网络带宽使用，提供分布式许可控制。这些技术实现了高级的 AV 流技术，从而使应用程序可以动态地适应变化的网络条件。

有关 qWave 的更多信息，请查阅“优质 Windows 音频/视频体验 - qWave”。

Http.sys 的增强功能

Windows Server“Longhorn”和 Windows Vista 在以下几个方面增强了 Http.sys——服务于超文本传输协议 (HTTP) 流量的内核模式驱动程序：

HTTP Server API 2.0

HTTP Server API 是一种内核模式 HTTP 协议驱动程序（通过 Httpapi.dll 提供用户模式 API）。HTTP Server APIs 使服务器应用程序可以注册 HTTP URL，接收请求，并处理响应。HTTP Server API 包括：

服务器端身份验证

现在，服务器端身份验证由 Http.sys 来执行。原先，服务器应用程序自行执行身份验证。Http.sys 提供服务器端身份验证的优点包括：

日志记录

Http.sys 现在提供了集中式 W3C（万维网联合会）日志记录，即由单个日志文件存储服务器应用程序（比如：IIS）的所有站点的条目。在集中式日志文件中，站点 ID 字段可识别日志条目所隶属的站点。

HTTP 事件的 ETW 跟踪

Windows 事件跟踪 (ETW) 是 Windows 用于获取有关组件和事件的信息（通常写入日志文件）的功能。ETW 日志文件使得故障排除变得更加简单。跟踪还可用于诊断端到端问题，活动 ID 可指示跨操作的流。Http.sys 支持以下这些跟踪类别：

对于上述每种跟踪类别，Http.sys 都支持四种等级的信息：错误、警告、提示和详细信息。Http.sys 跟踪可用作高级的疑难解答工具，以获取有关 Http.sys 进程和行为的信息。

若要对 Http.sys 启动 ETW 跟踪会话，请执行以下操作：

"Microsoft-Windows-HttpService" 0xFFFF

logman start "http trace" -pf httptrace.txt -o httptrace.etl -ets

若要对 Http.sys 停止 ETW 跟踪会话，请使用以下命令：

logman stop "http trace" -ets

一个 Httptrace.etl 跟踪文件现在应出现在该文件夹中。通过 Tracerpt.exe 工具，可将该文件转换为 XML 格式、HTML 或 CSV 文件。譬如，如要将 Httptrace.etl 文件的内容转换为 CSV 文件，请使用以下命令：

tracerpt httptrace.etl -y -o httptrace.csv

然后就可以在文本编辑器或电子表格应用程序中查看 CSV 文件了。

针对 Http.sys 的 Netsh 命令

可以通过一组 netsh http 命令，对 Http.sys 管理配置设置并控制诊断。Netsh 是其它许多 Windows 网络服务（比如：IPsec 与路由和远程访问）所使用的命令行工具。通过这项新的支持，用户可以在 Windows 命令提示符窗口中，执行以下操作：

Http.sys 的性能计数器

Http.sys 现在具有以下性能度量计数器，可帮助用户对 Web 服务器进行监视、诊断和容量规划：

借助这些新的性能计数器，可以在诊断控制台管理单元中查看上述度量，或者通过以下 API 获取这些度量：性能计数器 API。

WinINet 的增强功能

Windows Server“Longhorn”和 Windows Vista 在以下几个方面增强了 WinINet API：

支持 IPv6 文本和范围 ID

WinINet 现在支持 RFC 2732 以及在 URL 中使用 IPv6 文本地址。譬如，若要连接到 IPv6 地址为 3ffe:ffff:100:2a5f::1 的 Web 服务器，用户可以在基于 WinINet 的 Web 浏览器（比如：Internet Explorer）中，键入 http://[3ffe:ffff:100:2a5f::1] 作为地址。虽然普通用户可能不会使用 IPv6 文本地址，但是在 URL 中指定 IPv6 地址的能力对于应用程序开发人员、软件测试人员和网络故障排除人员而言非常有价值。WinINet 还支持将 IPv6 范围 ID（也称为区域 ID）编码为地址的一部分，以允许用户指定 IPv6 目标的范围。有关详细信息，请查阅“IP 版本 6 支持”。

支持 HTTP 解压缩

WinINet 现在带有 gzip 和 deflate 编码方案的内置支持。在 WinINet 中处理解压缩将减少 Web 浏览器和 Web 服务器间的数据压缩/解压缩问题，同时通过更短的网页下载时间提供性能收益。这对于拥有窄带宽连接的用户（比如：拨号 Internet 用户）非常有帮助。有关详细信息，请查阅“内容编码”。

支持国际化域名

当用户使用 WinINet API 的 Unicode 版本时，WinINet 现在在主机名方面符合国际化域名 (IDN) 标准 (RFC 3490)。这一新支持确保了应用程序可以正常使用包含非 ASCII 字符的域名，而无需在 Web 应用程序中提供 IDN 支持，不必安装第三方插件，网络通信路径中也不必存在中间节点。有关详细信息，请查阅“WinINet 中的 IDN 支持”。

支持 ETW 跟踪

WinINet 如今支持 ETW 跟踪，从而使 IT 帮助台和支持专家可以获取有关 WinINet 进程和事件的详细信息，以帮助确定协议或应用程序问题的根源。用户可以通过包含所有 WinINet 事件的标识符，并使用这些标识符从相邻的网络层关联跟踪，建立横跨整个网络堆栈的一系列 ETW 跟踪。有关 ETW 跟踪的详细信息，请查阅“事件跟踪”。

Web 代理自动发现脚本中的 IPv6 支持

WinINet 提供的 Web 代理自动发现 (WPAD) 脚本助手函数已经过升级，可支持 IPv6 地址和子网前缀。使用 dnsResolve()、myIpAddress()、isInNet() 和 isResolvable() Proxy Helper API 的 WPAD 脚本现在可以从 WinINet 获取 IPv6 信息。有关 WPAD 的详细信息，请查阅“WinHTTP 自动代理支持”。

WinHTTP 的增强功能

Windows Server“Longhorn”和 Windows Vista 在以下几个方面对 WinHTTP 5.1 API 进行了升级：

支持大于 4 GB 的数据上传

WinHTTP 现在允许应用程序添加“内容长度”标头，以指定长达 2⁶⁴ 字节的数据长度。

支持分块传输编码

WinHTTP 现在允许应用程序对它们的数据执行“分块”传输编码，并使用 WinHttpWriteData() API 进行发送。WinHTTP 将检测是否存在“传输编码”标头，并进行内部调整以确保传输符合 HTTP 1.1 规范。

支持基于安全套接字层的客户端身份验证的颁发者检索

WinHTTP 现在允许应用程序检索与客户端身份验证质询相关联的颁发者列表。颁发者列表罗列了经服务器授权可颁发客户端证书的证书颁发机构 (CA)。借助这一全新的支持，WinHTTP 应用程序可以确定用于客户端身份验证的正确的客户端证书

支持可选的客户端证书请求

某些安全的 HTTP 站点会请求客户端证书，但不是非要不可。如果客户端没有客户端证书来响应该请求，那么服务器就会采用其它类型的 HTTP 身份验证，或者允许匿名访问。为了支持同这些服务器配置的互操作，WinHTTP 如今允许应用程序提供一个 NULL 客户端证书，告诉服务器其没有用于安全套接字层 (SSL) 验证的客户端证书。

支持四元组连接信息指示

完成了 WinHttpReceiveResponse() API 之后，WinHTTP 现在允许应用程序查询与带来响应的 HTTP 请求相关联的源 IP/端口和目标 IP/端口。

针对 SSL 客户端身份验证的新错误代码

WinHTTP 现在包含针对以下 SSL 客户端身份验证中的常规错误的错误代码：

WPAD 脚本中的 IPv6 支持

WinINet 提供的 WPAD 脚本助手函数已经过升级，具有对 IPv6 地址和子网前缀的支持。使用 dnsResolve()、myIpAddress()、isInNet() 和 isResolvable() Proxy Helper API 的 WPAD 脚本现在可以从 WinHTTP 获取 IPv6 信息。有关 WPAD 的详细信息，请查阅“WinHTTP 自动代理支持”。

有关 Windows Server“Longhorn”和 Windows Vista 中 WinHTTP 的增强功能的更多信息，请查阅“Windows Longhorn 的新增功能” 以及“WinHTTP 中的 SSL”。

Windows 套接字的增强功能

Windows 套接字 (Winsock) 支持在以下几个方面得到了升级：

新的 Winsock API

Windows Server“Longhorn”和 Windows Vista 包含以下这些新式的 Winsock API：

Winsock 事件的 ETW 跟踪

可使用以下工具，对 Winsock 事件启用 ETW 跟踪：

若要使用事件查看器管理单元，对 Winsock 事件启用 ETW 跟踪，请执行以下操作：

如要查看事件，请在“操作”窗格上，单击“刷新”。若要禁用日志功能，在“Winsock/AFD”项的“日志属性”对话框上，取消选定“启用日志”复选框。

根据所要查看的事件的数量，可能需要提高日志的大小。

若要使用 Logman.exe 工具对 Winsock 事件启用 ETW 跟踪，请使用以下命令：

logman create trace afdlog ¨Co LogFileLocation logman update 
afdlog ¨Cp ?°Microsoft-Windows-Winsock-AFD?± logman start afdlog

一个二进制日志文件将被写入 LogFileLocation。若要将 Logman.exe 工具编写的这个二进制文件转换为可读的本文，请使用 Tracerpt.exe 工具。譬如，使用下面的命名：

tracerpt.exe c:\afdlog.etl ¨Co afdlog.txt

若要停止日志记录，请使用下面的命令：

logman stop afdlog

层次服务提供商的增强功能

Windows Server“Longhorn”和 Windows Vista 在以下几个方面增强了 Winsock 层次服务提供商 (LSP) 支持：

新的内核模式套接字 API

Windows Server“Longhorn”和 Windows Vista 的网络体系结构包含一个称为 Winsock 内核 (WSK) 的新接口，它将最终替代传输驱动程序接口 (TDI)。WSK 使软件供应商可以更轻松地开发 Windows 中的传输（协议驱动程序）。WSK 带有一个新的内核模式套接字 API。有关详细信息，请查阅“内核中的 Windows套接字”。

NDIS 6.0

Windows Server“Longhorn”和 Windows Vista 包含网络驱动程序接口规范 (NDIS) 6.0。NDIS 指定了内核模式网络驱动程序和操作系统间的标准接口。NDIS 还指定了分层网络驱动程序间的标准接口，可从上层驱动程序（比如：网络传输）提取管理硬件的低层驱动程序。有关 NDIS 6.0 的详细信息，请查阅“NDIS - 网络驱动程序接口规范”。

NDIS 6.0 包含以下功能：

全新的卸载支持

NDIS 6.0 为将网络流量处理函数卸载到网络适配器，提供了以下全新的支持：

支持轻型筛选器驱动程序

在 NDIS 6.0 中，中间筛选器驱动程序已经被轻型筛选器 (LWF) 驱动程序所取代。LWF 驱动程序由一个 NDIS 中间驱动程序和一个微型端口驱动程序组成。LWF 驱动程序具有如下优点：

Pacer.sys（原先称为 Psched.sys）就是已转换为 LWF 驱动程序的中间筛选器驱动程序的一个例子。它具有同等的功能，但利用了 NDIS 6.0 在性能方面的改进。有关详细信息（包括样例），请查阅“Windows 驱动程序工具包”。

接收方扩展

在运行 Windows Server 2003 或 Windows XP 的多处理器计算机的体系结构中，网络适配器与单个处理器相关联。无论是否有其它处理器可用，每个处理器都必须处理网络适配器接受到的所有流量。对于高容量服务器（比如：面向 Internet 的 Web 服务器或企业文件服务器），这种体系结构所带来的后果就是与网络适配器相关联的处理器所能处理的传入流量和连接数量都有限。若与网络适配器相关联的处理器无法足够快地处理传入流量，则网络适配器将丢弃流量，从而导致重新传输以及性能下滑。

在 Windows Server“Longhorn”和 Windows Vista 中，网络适配器不与单个处理器相关联。相反，传入的流量由计算机上的多个处理器共同来处理。这项名为“接收方扩展 (Receive-Side Scaling, RSS)”的新功能使得高容量服务器上的网络适配器可以接收更多的流量。多处理器计算机现在可以在不增加服务器的情况下，处理更多的传入流量，从而降低了成本。为了利用这项新功能，必须安装能够运用 Windows Server“Longhorn”和 Windows Vista 的这种新体系结构并支持 RSS 的网络适配器。许多网络适配器供应商都提供了支持 RSS 的网络适配器。

有关详细信息，请参阅 “RSS 带来的可扩展网络”。

Windows 对等网络的增强功能

Windows 对等网络（最初随 Windows XP 高级网络包一同引入）是 Windows Vista 中的一种操作系统平台和 API，可用以开发点对点 (P2P) 应用程序。Windows Vista 在以下几个方面增强了 Windows 对等网络：

Windows 防火墙

Windows Server“Longhorn”和 Windows Vista 中全新的 Windows 防火墙在 Windows XP Service Pack 2 和 Windows Server 2003 Service Pack 1 中的当前 Windows 防火墙的基础上进行了如下功能增强：

有关这些改进功能的详细信息，请查阅“Windows Vista 和 Windows Server‘Longhorn’中的全新 Windows 防火墙”。

IPsec 的改进功能

Windows Server“Longhorn”和 Windows Vista 对 Internet 协议安全 (IPsec) 进行了如下功能改进：

集成的防火墙和 IPsec 配置

在 Windows Server 2003 和 Windows XP 中，Windows 防火墙和 IPsec 都是必须单独配置的组件和服务。虽然 Windows 防火墙的用途是阻止或允许传入流量，但是 IPsec 也可以被配置为阻止或允许传入流量。由于可以通过两种完全不同的服务，对传入流量配置阻止和允许行为，因此可能存在重复或矛盾的设置。另外，Windows 防火墙和 IPsec 均支持指定允许的传入流量的不同配置选项。譬如，Windows 防火墙通过指定应用程序名来允许例外（允许的入站流量），而 IPsec 则不是。IPsec 根据 IP 协议号来允许例外，而 Windows 防火墙则不然。

在 Windows Server“Longhorn”和 Windows Vista 中，Windows 防火墙和 IPsec 被整合到一个可配置的工具中，即带有高级安全管理单元的全新 Windows 防火墙。现在，该工具控制着传统的防火墙职责（阻止和允许入站和出站流量），并通过 IPsec 保护流量。此外，netsh advfirewall 命令可用于通过命令行配置防火墙和 IPsec 行为。Windows 防火墙与 IPsec 的集成为运行 Windows Server“Longhorn”或 Windows Vista 的计算机提供了验证防火墙。

简化的 IPsec 策略配置

在 Windows Server 2003 和 Windows XP 中，许多方案（服务器隔离和域隔离）中的 IPsec 策略配置都包含一套用于保护大多数网络流量的规则以及另一套针对受保护流量例外的规则。与网络基础结构服务器（比如：DHCP 和 DNS 服务器以及域控制器）的不受保护的通信需要有例外。启动时，计算机必须能够获取 IP 地址，使用 DNS 查找域控制器，然后在开始使用 Kerberos 身份验证将自身验证为 IPsec 对等方之前，登录到其所在的域。与不支持 IPsec 的网络节点进行的通信需要其它的例外。在某些情况下，会有数十个或数百个例外，从而更难在专用网络上部署 IPsec 保护，并持续加以维护。

Windows Server“Longhorn”和 Windows Vista 中的 IPsec 在协商 IPsec 保护时，提供了一个可选行为。若启用该行为，则在发起与其它网络节点的通信时，运行 Windows Server“Longhorn”和 Windows Vista 的 IPsec 节点将同时尝试进行通信并协商受保护的通信。如果发起的 IPsec 对等方未接收到最初协商尝试的响应，那么通信将继续进行。若发起的 IPsec 对等方接收到了响应，则在协商完成之前将停止通信。

通过这一可选行为和推荐的配置来要求保护已发起的传入和传出的通信，发起节点可发现与之通信的节点是否支持 IPsec，并采取相应的操作，从而大幅简化 IPsec 策略配置。例如，对于一组不应该或不能够通过 IPsec 保护网络流量的主机的例外，发起节点不需要一套预定义的 IPsec 筛选器。发起节点会同时尝试受保护和不受保护的通信，若受保护的通信行不通，则采用不受保护的通信。

这种新的协商行为还提高了到主机的不受保护连接的性能。运行 Windows Server 2003 或 Windows XP 的 IPsec 节点在被配置为请求受保护通信但允许不受保护通信——这种行为被称为“后退”——的情况下，会发送协商消息，然后等待响应。在后退以尝试进行不受保护通信之前，发起节点会等待 3 秒钟。对于 Windows Server“Longhorn”和 Windows Vista，后退时不再有 3 秒钟的延迟，因为在发起节点等待响应时，通信就已经处在进行当中。

客户端到域控制器 IPsec 保护

在 Windows Server 2003 和 Windows XP 中，微软目前建议用户不要运用 IPsec 保护功能来保护域控制器和成员计算机间的流量（但是，微软并不推荐保护域控制器间的流量）。这是由于 IPsec 策略配置会因为域成员与域控制器间传输的不同类型的流量而变得非常复杂。另外，还存在一个域加入引导问题。如果域控制器从必须提供基于域的凭据用于身份验证的计算机请求受 IPsec 保护的流量，那么不属于域的计算机就无法联系域控制器以加入域。

Windows Server“Longhorn”和 Windows Vista 支持在下列部署模式中，保护域成员和域控制器间的流量：

改进的负载平衡和群集服务器支持

Windows Server 2003 中的 IPsec 支持负载平衡和群集服务器。然而，重新建立到群集虚拟 IP 地址的 IPsec 连接的故障转移时间如下：

在 Windows Server“Longhorn”和 Windows Vista 中，群集节点故障的超时时间被大幅缩短了。Windows Server“Longhorn”和 Windows Vista 中的 IPsec 被更紧密地集成到下一代 TCP/IP 堆栈中。Windows Server“Longhorn”和 Windows Vista 中的 IPsec 并不依赖于通过 IPsec 闲置超时来检测群集节点故障，而对已建立的 SA 的 TCP 连接进行监视。若已建立的 SA 的 TCP 连接开始重新传输 TCP 段，则 IPsec 将重新协商 SA。因此可以很快地执行到新群集节点的故障转移，通常不会使应用程序失败。

改进的 IPsec 身份验证

Windows Server 2003 和 Windows XP 中的 IPsec 支持 Internet 密钥交换 (IKE) 以及主模式协商期间的三种身份验证方法：Kerberos（针对 Active Directory 域成员）、数字证书和预共享密钥。对于所有这几种身份验证方法，身份验证过程将验证计算机的身份和可信性而不是用户。IKE 仅使用一种身份验证方法，尝试进行单一身份验证。

Windows Server“Longhorn”和 Windows Vista 支持以下 IPsec 身份验证功能：

全新的加密支持

为了符合政府的安全要求并跟上安全行业支持强加密的发展趋势，Windows Server“Longhorn”和 Windows Vista 支持额外的密钥派生和加密算法。

Windows Server“Longhorn”和 Windows Vista 支持以下这些额外的算法，以协商主模式协商期间派生的主密钥材料：

这两种方法强于受 Windows Server 2003 和 Windows XP Service Pack 2 支持并包含在 Windows Server“Longhorn”和 Windows Vista 中的 Diffie-Hellman (DH)-768、DH-1024 和 DH-2048 算法。有关这些算法的详细信息，请查阅标题为“IKE 和 IKEv2 的 ECP 组”的 Internet 草案。上述这两种新的 DH 算法可用于运行 Windows Server 2003、Windows XP 或 Windows 2000 的计算机的主模式协商。

除了数据加密标准 (DES) 和 Triple-DES (3DES) 以外，Windows Server“Longhorn”和 Windows Vista 还支持一些额外的数据加密算法：

这些新式的加密算法无法用于运行 Windows Server 2003、Windows XP 或 Windows 2000 的计算机的安全协商。

集成网络访问保护

借助全新的网络访问保护平台，用户可以要求 IPsec 节点在扩展模式协商期间使用状况证书（验证 IPsec 节点符合当前的系统状况要求）进行身份验证。在网络策略服务器 (NPS) 评估了 IPsec 对等方的状态后，状况证书服务器会颁发一个状况证书。有关详细信息，请在本文中参阅“网络访问保护”部分的内容。

针对受保护通信的附加配置选项

对 IPsec 策略配置带有高级安全管理单元的全新 Windows 防火墙时，用户可以对受保护通信配置一下这些新的设置：

集成的 IPv4 和 IPv6 支持

在 Windows XP 和 Windows Server 2003 中，针对 IPv6 流量的 IPsec 支持受到一定的限制。不支持 Internet 密钥交换 (IKE) 或数据加密。必须通过本文文件，配置 IPsec 安全策略、安全关联和密钥，并通过命令行工具 (IPsec6.exe) 加以激活。

在 Windows Server“Longhorn”和 Windows Vista 中，对于 IPv6 流量的 IPsec 支持与 IPv4 相同，包括对 IKE 和数据加密的支持。可使用带有高级安全或 IP 安全策略管理单元的 Windows 防火墙，以同样的方式配置针对 IPv4 和 IPv6 流量的策略设置。

扩展的事件和性能监视器计数器

Windows Server“Longhorn”和 Windows Vista 包含 15 个特定于 IPsec 审核的新事件，并且以更实用的信息更新了 25 个现有事件的本文。这些改进功能将有助于用户对失败的 IPsec 协商进行疑难解答，而不必启用高级的 Oakley 日志功能。

Windows Server“Longhorn”和 Windows Vista 还包含一些 IPsec 性能计数器，可协助识别有关受 IPsec 保护的流量的性能和网络问题。

网络诊断框架支持

网络诊断框架 (Network Diagnostics Framework) 是一种可扩展的体系结构，可帮助用户针对网络连接故障执行恢复和故障排除操作。对于失败的 IPsec 协商，网络诊断框架会对用户发出提示，提供识别和纠正问题的选项。然后，网络诊断框架的 IPsec 支持会尝试发现失败连接的根源，并自动纠正问题或基于安全方面的考虑，提示用户进行适当的配置更改。

返回页首

无线和基于 802.1X 的有线连接

Windows Server“Longhorn”和 Windows Vista 包含了许多增强功能，以支持 IEEE 802.11 无线网络和使用身份验证交换机的网络。

IEEE 802.11 无线功能变化与增强

Windows Server“Longhorn”和 Windows Vista 在 IEEE 802.11 无线支持方面进行了如下功能调整和增强：

纯 Wi-Fi 体系结构

在 Windows Server 2003 和 Windows XP 中，构建支持无线连接的软件基础结构是为了模拟以太网连接，并且只能通过支持 IEEE 802.1X 身份验证的其它 EAP 类型加以扩展。在 Windows Server“Longhorn”和 Windows Vista 中，802.11 无线连接的软件基础结构（称为“纯 Wi-Fi 体系结构 [Native Wi-Fi Architecture]”）已经针对以下几个方面进行了重新设计：

针对无线连接的用户界面改进

无线配置用户界面 (UI) 已在以下几个方面得到了改进：

无线组策略的增强功能

在 Windows Server“Longhorn”和 Windows Vista 中，无线组策略设置（位于“组策略”管理单元的 Computer Configuration/Windows Settings/Security Settings 节点中）进行了如下改进：

无线自动配置的功能变化

无线自动配置是一项根据首选项或默认设置，动态选择计算机所要自动连接的无线网络的服务。这包括在更优先的无线网络可用时，自动选择并连接到该网络。Windows Server“Longhorn”和 Windows Vista 在无线自动配置方面的功能变化如下：

WPA2 支持

Windows Server“Longhorn”和 Windows Vista 为通过组策略设置对 WPA2 身份验证选项配置标准配置文件（本地配置的首选无线网络）和域配置文件，提供了内置支持。WPA2 是一种由 Wi-Fi 联盟授予的产品认证。Wi-Fi 联盟专门对无线设备与 IEEE 802.11i 标准的兼容性进行认证。Windows Server“Longhorn”和 Windows Vista 中的 WPA2 同时支持 Enterprise（IEEE 802.1X 身份验证) 和 Personal（预共享密钥身份验证）操作模式。

Windows Server“Longhorn”和 Windows Vista 还对特殊模式的无线网络（无线客户端间不使用无线访问点的无线网络）提供了 WPA2 支持。

单一登录

安全的无线技术的部署促进了第 2 层网络身份验证（比如：802.1X）的运用，从而确保了在受保护的网络上只能存在一个恰当的用户或设备，并且为其数据提供无线传输级别的保护。Windows Server“Longhorn”和 Windows Vista 的单一登录 (Single Sign-On) 功能可在恰当的时间，根据网络安全配置来执行 802.1X 身份验证，同时无缝地集成用户的 Windows 登录体验。

网络管理员可使用组策略设置或新的 netsh wireless 命令，对无线客户端计算机配置单一登录配置文件。配置完单一登录配置文件之后，802.1X 身份验证将在计算机登录到域之前执行，并且仅提示用户提供凭据信息（若需要的话）。这个功能确保了在执行计算机域登录之前建立无线连接，从而实现了要求在用户登录之前建立网络连接的应用方案，比如：组策略更新、执行登录脚本以及无线客户端域加入。

在采用 802.1X 身份验证的情况下集成网络访问保护

WPA2-Enterprise、WPA-Enterprise 以及采用 802.1X 身份验证的动态 WEP 连接均可运用网络访问保护平台，阻止不符合系统状况要求的无线客户端获取专用网络的无限访问权。 有关网络访问保护平台的详细信息，请在本文中参阅“网络访问保护”部分的内容。

EAPHost 基础结构

为了更方便地对经 IEEE 802.1X 验证的无线连接，部署可扩展身份验证协议 (EAP) 身份验证方法，Windows Server“Longhorn”和 Windows Vista 支持新式的 EAPHost 基础结构。有关详细信息，请在本文中参阅“EAPHost 基础结构”一节的内容。

新式的默认 EAP 身份验证方法

在 Windows Server 2003 和 Windows XP 中，经 802.1X 验证的无线连接的默认 EAP 身份验证方法为 EAP-传输层安全 (TLS)。虽然大多数安全的身份验证方式采用了数字证书相互身份验证，但是 EAP-TLS 需要公钥基础结构来分发、吊销和续订用户和计算机证书。

许多情况下，企业都希望利用 Active Directory 中现有的基于帐户名和密码的身份验证基础结构。所以，在 Windows Server“Longhorn”和 Windows Vista 中，经 802.1X 验证的无线连接的默认 EAP 身份验证方法已被更改为受保护的 EAP-Microsoft 质询握手身份验证协议版本 (PEAP-MS-CHAP v2)。PEAP-MS-CHAP v2 是一种针对无线连接的基于密码的 802.1X 身份验证方法，仅要求用户在远程身份验证拨入用户服务 (RADIUS) 服务器上安装计算机证书。有关PEAP-MS-CHAP v2 的详细信息，请查阅“针对基于安全密码的无线访问的 PEAP-MS-CHAP 版本 2”。

针对无线连接的诊断支持

虽然在 Windows XP Service Pack 2 和 Windows Server 2003 Service Pack 1 中得到了改进，但是对失败的无线连接进行疑难解答仍然很困难。在 Windows Server“Longhorn”和 Windows Vista 中，以下这些功能使得无线网络的疑难解答变得更加简单：

用于配置无线设置的命令行界面

Windows Server 2003 或 Windows XP 没有可供用户配置无线设置（通过“网络连接”文件夹中的无线对话框或“无线网络 [IEEE 802.11] 策略”组策略设置）的命令行界面。通过命令行配置无线设置，有助于在以下情况中部署无线网络：

在 Windows Server“Longhorn”和 Windows Vista 中，可以使用 netsh wireless 这类 Netsh 命令执行以下操作：

网络位置识别和网络配置文件

许多应用程序都不具备网络识别支持，从而使用户产生混乱，给开发人员带来负载。譬如，应用程序无法根据当前连接的网络和条件，自动调整其行为。用户可以必须根据所连接的网络（雇主的专用网络、用户的家庭网络、Internet），重新配置应用程序设置。为了消除配置负担，应用程序开发人员可以使用低级 Windows API 和数据构造，或者甚至自行探测网络以确定当前网络，并相应地调整应用程序的行为。

为了提供操作系统基础结构，以使应用程序开发人员更轻松地根据当前连接的网络重新配置应用程序行为，Windows Server“Longhorn”和 Windows Vista 中的网络位置识别 (NLA) 服务可代表应用程序汇集 Windows 中的网络信息，并使这些应用程序可以方便、有效地适应这些变化的环境。NLA 通过为应用程序提供一个统一的 API 以使它们可以获取最新的网络信息和位置变更通知来实现这一点。

有关详细信息，请查阅“如何编写具有网络识别支持的应用程序” 和“Longhorn 网络位置识别服务”。

下一代 TCP/IP 堆栈对于无线环境的增强功能

正如本文中的“针对高丢失率环境的增强功能”一节的描述，下一代 TCP/IP 堆栈支持一些新式的 TCP 算法。这些算法可通过从一次或多次数据包丢失中执行恢复并检测虚假的重新传输，进而改善无线网络环境的性能。

基于 IEEE 802.1X 的有线连接的增强功能

在 Windows Server 2003 和 Windows XP 中，对到身份验证交换机的有线连接部署 802.1X 身份验证设置的支持较为有限。Windows Server“Longhorn”和 Windows Vista 通过以下功能改进，简化了经 802.1X 验证的有线连接的部署：

有线 802.1X 设置的组策略支持

对于使用 Active Directory 和组策略的环境，Windows Server“Longhorn”和 Windows Vista 在 Computer Configuration/Windows Settings/Security Settings/Wired Network (IEEE 802.3) Policies 路径下，为有线连接的 802.1X 身份验证设置，提供了组策略支持。

用于配置有线 802.1X 设置的命令行界面

对于不使用 Active Directory 和组策略的环境或者引导方案，Windows Server“Longhorn”和 Windows Vista 还支持一个用于为有线连接配置 802.1X 身份验证设置的命令行界面。可以使用 netsh wired 命令，执行以下任务：

在采用 802.1X 身份验证的情况下集成网络访问保护

经 IEEE 802.1X 验证的有线连接可利用网络访问保护平台，阻止不符合系统状况要求的有线客户端获取专用网络的无限访问权。有关网络访问保护平台的详细信息，请在本文中参阅“网络访问保护”部分的内容。

EAPHost 基础结构

为了更方便地对经 IEEE 802.1X 验证的有线连接，部署 EAP 身份验证方法，Windows Server“Longhorn”和 Windows Vista 支持新式的 EAPHost 基础结构。有关详细信息，请在本文中参阅“EAPHost 基础结构”一节的内容。

802.1X 服务状态的变化

在 Windows XP 和 Windows Server 2003 中，802.1X 服务默认被启用，但被置于被动侦听模式中。在 Windows Vista 中，802.1X 服务默认被禁用，不过一旦启用后，即以主动模式运行。

单一登录

身份验证交换机的部署促进了第 2 层网络身份验证（比如：802.1X）的运用，从而确保仅允许适当的用户或设备与交换机进行帧交换。Windows Server“Longhorn”和 Windows Vista 的单一登录 (Single Sign-On) 功能可在恰当的时间，根据网络安全配置来执行 802.1X 身份验证，同时无缝地集成用户的 Windows 登录体验。

网络管理员可使用组策略设置或新的 netsh wired 命令，对有线客户端计算机配置单一登录配置文件。配置完单一登录配置文件之后，802.1X 身份验证将在计算机登录到域之前执行，并且仅提示用户提供凭据信息（若需要的话）。这个功能确保了在执行计算机域登录之前建立有线连接，从而实现了要求在用户登录之前建立网络连接的应用方案，比如：组策略更新、执行登录脚本以及有线客户端域加入。

返回页首

网络基础结构

Windows Server“Longhorn”和 Windows Vista 更改了以下网络基础结构组件：

网络访问保护

Windows Server“Longhorn”和 Windows Vista 中的网络访问保护 (NAP) 提供了策略强制组件，以帮助确保连接到网络或在网络上进行通信的计算机符合管理员规定的系统状况要求。譬如，系统状况要求可能包括所有计算机都必须安装有最新的操作系统更新和防病毒签名文件。

管理员可以结合使用策略验证和网络访问限制组件，控制网络访问或通信。管理员还可以选择临时限制不符合要求的计算机访问受限的网络。根据所选的配置，受限的网络可能包含更新不合格的计算机所需的资源，从而使这些计算机可以符合无限网络访问和正常通信的状况要求。NAP 为开发人员和供应商提供了一个 API 集，用以创建状况策略验证、网络访问限制、自动修复和持续符合状况策略的完整解决方案。

NAP 强制技术

Windows Server“Longhorn”和 Windows Vista 包含以下这些 NAP 强制技术：

第三方软件供应商可使用 NAP API，创建他们自己的 NAP 强制技术。

有关 NAP 平台的详细信息，请访问“网络访问保护”网页。

网络策略服务器

网络策略服务器 (NPS) 是远程身份验证拨入用户服务 (RADIUS) 服务器和代理的 Microsoft 实现。NPS 替代了 Windows Server 2003 中的 Internet 验证服务 (IAS)。NPS 可对基于 VPN 和 802.1X 的无线和有线连接身份验证，执行 Windows Server 2003 中的所有 IAS 功能，并可对网络访问保护客户端执行状况评估，并授予其无限或有限的访问权。更多信息，请在本文中参阅“网络访问保护”一节的内容。

NPS 还支持通过 IPv6 发送 RADIUS 流量（如 RFC 3162 中的定义）。

全新的 EAPHost 体系结构

Windows Server“Longhorn”和 Windows Vista 包含 EAPHost——针对可扩展身份验证协议 (EAP) 身份验证方法和基于 EAP 的请求者的全新体系结构。EAPHost 提供了以下不受 Windows Server 2003 和 Windows XP 中的 EAP 实现支持的功能：

对于 EAP 方法供应商，EAPHost 提供了对已为 Windows Server 2003 和 Windows XP 开发的 EAP 方法的支持，并提供了一种更加简单的方法，用以为 Windows Server“Longhorn”和 Windows Vista 开发新的 EAP 方法p认证的 EAP 方法可通过 Windows Update 进行分发。EAPHost 还可以更好地对 EAP 类型进行分类，从而可供基于内置的 802.1X 和 PPP 的 Windows 请求者使用。

对于请求者方法供应商，EAPHost 为新链路层的模块化和可插入请求者提供了支持。由于 EAPHost 同 NAP 相集成，因此新的请求者不必具备识别 NAP 的功能。为了加入 NAP，新的请求者只需注册一个连接标识符和一个通知请求重新进行身份验证的回调函数。

远程访问和 VPN 连接的增强功能

Windows Server“Longhorn”中的远程访问和 VPN 连接包含以下增强功能：

DHCP 的增强功能

DHCP 服务器和 DHCP 客户端服务包含以下增强功能：

返回页首

弃用的技术

Windows Server“Longhorn”和 Windows Vista 放弃了对以下技术的支持：

返回页首

总结

Windows Server“Longhorn”和 Windows Vista 包含了许多增强功能，用以改善连接和性能，并简化协议及核心网络组件的配置；提高安全性、易用性，并改进无线和经 802.1X 验证的有线连接的部署；而且通过要求连接的计算机符合系统状况策略，改进对专用网络的保护。

posted on 2006年6月13日 21:40 由 tudouni