Windows Server 2003 IIS 6.0 Web 服務器部署避坑指南：從安裝到 ASP 權限的完整鏈路

背景：IIS 6.0 架構變革與默認安全哲學

Windows Server 2003 升級至 IIS 6.0，採用全新工作進程隔離架構 (w3wp.exe)，默認不安裝、默認鎖定腳本執行、默認最小權限。這雖大幅提升安全性，但也導致遷移/新建站點時頻遇「靜態正常、動態 404/500、寫入失敗」三大經典坑。本文提供標準化部署清單。

階段一：安裝 IIS 6.0 核心組件

1. 控制面板 → 添加或刪除程序 → 添加/刪除 Windows 組件。
2. 勾選 應用程序服務器 → 詳細信息 → 勾選 Internet 信息服務 (IIS) → 詳細信息。
3. 核心勾選項：
   • Internet 信息服務管理器
   • 公用文件
   • 後台智能傳輸服務 (BITS) 服務器擴展
   • 萬維網服務 (展開再勾選)：
     • Active Server Pages (ASP) —— 動態頁面核心
     • 萬維網服務 (核心文件)
     • 應用程序開發 → ASP.NET (如需 .NET)
   • 如需 FTP：勾選 文件傳輸協議 (FTP) 服務。
   • 如需 FrontPage：勾選 FrontPage 2002 Server Extensions。
4. 確定 → 下一步 → 完成 (需安裝光盤/源路徑)。

階段二：創建與配置 Web 站點

1. 開始 → 管理工具 → Internet 信息服務 (IIS) 管理器。
2. 展開本地計算機 → 右鍵 網站 → 新建 → 網站 → 向導：
3. 網站描述：友好名稱 (如 CorpIntranet)。
4. IP 地址：全部未分配 / 特定 IP (多 IP 服務器建議綁定特定 IP)。
5. 端口：80 (HTTP) / 443 (HTTPS 需另配憑證)。
6. 主目錄路徑：物理路徑 (如 D:\WebSites\CorpIntranet)，建議 NTFS 分區。
7. 訪問權限：讀取、運行腳本 (如需 ASP/ASP.NET) —— 此處不勾選「寫入」，寫入權限由 NTFS 控制。
8. 完成向導。
9. 默認文檔 標籤 → 添加 Index.asp、Index.htm、Default.aspx 等，調整優先級。

階段三：關鍵解鎖 —— Web 服務擴展啟用 ASP/ASP.NET

此步驟最易遺漏，導致動態頁面 404/403！

1. IIS 管理器 → 左側樹選中 本地計算機 → 右側 Web 服務擴展。
2. 列表中找到 Active Server Pages → 狀態應為「禁止」 → 右鍵 → 允許。
3. 同理啟用 ASP.NET v2.0.50727 (或 v1.1.4322) → 允許。
4. 若列表無目標擴展，點擊「添加新的 Web 服務擴展」 → 輸入名稱 → 路徑指向 asp.dll / aspnet_isapi.dll → 允許。

階段四：NTFS 權限精細化 —— 解決 ASP 寫入失敗 (如新聞後台上傳)

場景：主目錄在 NTFS 分區，ASP 頁面需寫入文件 (上傳、生成靜態、日誌)。

1. 資源管理器 → 右鍵站點物理目錄 (如 D:\WebSites\CorpIntranet) → 屬性 → 安全 標籤。
2. 添加 IIS_WPG 組 (IIS 6.0 工作進程身份組) 或具體應用程序池標識 (Network Service / 自定義域賬號)。
3. 授予 寫入、修改 權限 (按需，避免完全控制)。
4. 關鍵：若有子目錄專門存放上傳/緩存/日誌，僅對該子目錄授予寫入/修改，父目錄保持只讀，縮小攻擊面。

階段五：驗證與基線加固

常見遷移坑點對照表

結語

IIS 6.0 「默認安全」設計雖增加了部署步驟，卻從根源消除了大面曝露面。掌握 安裝組件 → 創建站點 → 解鎖擴展 → NTFS 授權 → 基線驗證 五步法，配合遷移對照表，可將 Win2003 Web 部署從「試錯遊戲」轉為「標準化交付」。建議將此清單固化為團隊 SOP，新站點上線必核對，讓安全成為肌肉記憶而非事後補丁。