Windows Server 2003: Installare e Configurare un Server Web IIS 6.0

www.VisivaGroup.it
In questo tutorial vedremo come installare e configurare il Server Web Internet Information Services 6.0 di Windows Server 2003. IIS 6.0 è stato totalmente riscritto perseguendo due obiettivi fondamentali ovvero Sicurezza e Affidabilità; le differenze rispetto ad IIS 5 infatti sono enormi. In IIS 5 esisteva il concetto di isolamento del processo per mezzo del quale le diverse applicazioni web potevano girare in spazi di memoria separati. I livelli di isolamento erano tre: Low, Medium ed High. Facendo girare un'applicazione web in modalità "High Isolation", si poteva evitare che il crash di quella applicazione influenzasse tutte le altre. Sfortunatamente in IIS 5, il servizio che controllava lo stato delle applicazioni (inetinfo.exe), girava all'interno dello stesso eseguibile e quindi dello stesso processo del Web Server. Con un'architettura di questo tipo, se un'applicazione web andava in crash era molto probabile che provocasse il crash dell'intero web server.

In IIS 6 tutti questi problemi sono stati superati. In termini di sicurezza ora i processi di lavoro (Worker Process) vengono eseguiti con permessi di "Network Service" invece che di "Local System", quindi con privilegi molto più bassi rispetto a prima. In termini di affidabilità e sicurezza invece è stato introdotto il concetto di Application Pool. Un application pool non è altro che un insieme di applicazioni che condividono alcune impostazioni e che girano nello stesso spazio di memoria. Associando ogni sito web ad un application pool diverso, si evita il rischio che un'applicazione web malfunzionante, possa compromettere il funzionamento di tutte le altre. Gli Application pool sono ampiamente configurabili; in particolare è possibile impostare il riciclaggio dei processi di lavoro in base al tempo (di default 29 ore), in base al numero di richieste processate, oppure in base al consumo di memoria di sistema.

Un'altra caratteristica molto utile è data dalla possibilità di effettuare lo shutdown di un processo quando lo stesso rimane inattivo per un certo periodo di tempo, così come la possibilità di limitare il numero massimo di richieste da mettere nella coda in attesa di essere eseguite. Questi infatti sono tutti segnali che l'applicazione web non gode di buona salute.

Altra caratteristica decisamente interessante è quella di poter disattivare completamente un Application Pool quando il processo associato genera un determinato numero di errori (crash) in un certo lasso di tempo.

L'ultima caratteristica degna di nota è data dalla possibilità di associare un utente all' Application pool e, di conseguenza, al processo di lavoro. Per impostazione predefinita viene impostato un nuovo utente Netwok Service avente privilegi molto bassi per evitare che uno script o un'applicazione possano eseguire operazioni potenzialmente dannose per il Web Server. Le "Best Practices" su questo punto sono quelle di creare un nuovo utente con privilegi molto bassi o comunque non superiori al necessario ed associare quest'ultimo all' Application pool. Se abbiamo diversi application pools si dovrebbe creare un utente per ogni application pool. Un'altra operazione generalmente consigliata è quella di associare ogni sito web ad un application pool diverso. Da notare che i processi delle applicazioni ASP.NET sono strettamente legati alle impostazioni viste finora. Le opzioni presenti nel file machine.config relative alle suddette impostazioni, vengono totalmente ignorate quando IIS 6 lavora in modalità nativa. Questo significa che le applicazioni ASP.NET utilizzeranno questo utente per l'accesso al file system e alle risorse del sistema.

A differenza di quanto accadeva con IIS 5, il nuovo Web Server di casa Microsoft viene installato per impostazione predefinita in modalità "Locked Down" cioè "bloccato". Diversi componenti come ASP, ASP.NET, WebDAV, Estensioni di FrontPage e quant'altro, non vengono installati automaticamente ma devono essere installati manualmente solo quando sono realmente necessari. Altre funzionalità come il supporto alle estensioni ISAPI e CGI sono disattivate anch'esse per default. In IIS 6 l'utilizzo di utility come IIS Lockdown non ha alcun senso.

In questo tutorial oltre che far vedere le più importanti caratteristiche di IIS 6, metterò anche in pratica le principali "Best Practices" per quanto riguarda la messa in sicurezza di un Server Web IIS 6.