IIS 管理十大黃金法則：安全、效能與維護實務

前言

IIS 管理不僅是建立網站，更關乎安全、效能與可維護性。以下十大原則為資深管理員實務經驗總結，適用於 IIS 5.0/6.0 環境（部分在 IIS 7+ 已內建或改變）。

十大管理原則

1. 自訂錯誤頁面

避免預設錯誤頁洩露伺服器資訊。可透過 MMC 將 HTTP 錯誤對應至自訂靜態頁或 URL，或使用 CustomError 等工具讓開發人員自行管理，無需給予 MMC 權限。

2. 善用 MetaBase (IIS 設定資料庫)

MetaBase 相當於 Apache 的 httpd.conf，但功能更強。可透過 MetaEdit 圖形工具或 adsutil.vbs 命令列腳本完成建立虛擬目錄、啟停網站、管理應用程式等所有操作。修改前務必備份！

3. 自動修正 URL 拼字錯誤

安裝 URLSpellCheck ISAPI 篩選器，自動導正常見拼字錯誤 (如 faq.htm 輸入成 fak.htm)，提升使用者體驗。

4. URL 重寫

IIS 缺乏原生 mod_rewrite，但第三方產品眾多（IISRewrite, ISAPI_Rewrite 等），多支援規則式重寫，無需精通正則表達式即可上手。

5. 偵測瀏覽器與地理位置

使用 BrowserHawk (Cyscape) 偵測瀏覽器類型、版本、螢幕解析度、支援技術等；新版 CountryHawk 可依 IP 判斷訪客國家，提供在地化內容。

6. 內容壓縮：棄用內建，改用 PipeBoost

IIS 5 內建壓縮效能極差，強烈建議改用商業級 PipeBoost 或同類產品，大幅降低頻寬與提升傳輸速度。

7. Web 應用程式快取策略

在 IIS 管理員中為檔案/目錄設定過期時間；或使用 CacheRight, XCache 讓開發人員自行控制。良好的快取可大幅降低 304 回應與頻寬消耗。

8. 伺服器調校

涵蓋核心參數、記憶體管理、連接佇列等，建議參考 Brett Hill 教學與 Microsoft KB 文件；或使用自動化調校工具 XTune。

9. 強化站台安全

• 隱藏 HTTP 標頭：使用 ServerMask 移除/偽裝 Server: Microsoft-IIS/5.0 標頭。
• 移除不必要的副檔名對應，縮小攻擊面。
• 部署 Microsoft 免費工具 URLScan 過濾惡意請求。

10. 修補、修補、再修補！

訂閱 Microsoft 安全公告、關注 CERT/CC 漏洞資訊，第一時間部署修補程式。這是睡個好覺的前提。

結語

善用這十大原則，能讓 IIS 環境更穩健、安全、高效。部分在 IIS 6/7+ 已內建改善，但核心觀念永不過時。