Windows Server“Longhorn”和 Windows Vista 中的新增网络功能

  注意：

本文中所述功能可能会有变动。由于市场、技术或其他原因，某些功能可能不包含在最终产品中。本文还包含指向英文网页的链接。

本页内容

	摘要
	简介
	协议和核心网络组件
	无线连接和基于 802.1X 的有线连接
	网络基础结构
	弃用的技术
	总结
	相关链接

摘要

Microsoft® Windows Server® 代码名“Longhorn”（现处于 beta 测试阶段）和 Windows Vista™（现处于 beta 测试阶段）在网络技术方面进行了许多改动和增强。本文介绍了 Windows Server“Longhorn”的 Beta 2 版和 Windows Vista 的 Release Candidate 1 版中对协议和核心网络组件、无线技术和经 802.1X 身份验证的有线技术，以及网络基础结构组件和服务的改动。

返回页首

简介

要应对全球市场的竞争挑战，网络和通信对各组织来说至关重要。无论员工在什么位置，都需要从任何设备连接到网络。合作伙伴、供应商和网络外部的其他人员都需要与关键资源进行有效交互，同时安全性变得比以往任何时候都更加重要。

本文从技术角度概述了 Windows Server“Longhorn”和 Windows Vista 为解决连接性、易用性、可管理性、可靠性和安全性方面的问题而在网络及通信技术方面增强的功能。凭借 Windows Server“Longhorn”和 Windows Vista，IT 管理员可以有更大、更灵活的选择空间来管理网络基础结构、保护其所在网络（通过要求计算机证明其系统的健康状态）、部署经过身份验证的无线和有线连接（通过组策略和脚本），以及部署受保护的通信场景。

返回页首

协议和核心网络组件

Windows Server“Longhorn”和 Windows Vista 中包含了对下列协议和核心网络组件进行的改动和增强功能：

下一代 TCP/IP 堆栈

Windows Server“Longhorn”和 Windows Vista 包含了 TCP/IP 协议堆栈的一个新实现，称为“下一代 TCP/IP 堆栈”。下一代 TCP/IP 堆栈是对 Internet 协议版本 4 (IPv4) 和 Internet 协议版本 6 (IPv6) 的 TCP/IP 功能的全新设计，可满足当今各种网络环境和技术对连接性及性能的要求。

接收窗口自动调节

TCP 接收窗口大小是 TCP 接收端在必须等待确认之前允许 TCP 发送端发送的数据量。为根据当前网络状况正确确定某连接的接收窗口大小的最大值，下一代 TCP/IP 堆栈支持“接收窗口自动调节”功能。“接收窗口自动调节”功能持续通过测定带宽延迟乘积（带宽乘以连接延迟）和应用程序检索速率来确定每个连接的最佳接收窗口大小，然后随着运行过程不断自动调整最大的接收窗口大小。

随着 TCP 对等端之间吞吐量的提升，数据传送过程中网络带宽的利用率也会得以提高。如果所有应用程序都针对 TCP 数据接收进行了优化，则可以显著改善网络的整体利用率，从而使“服务质量”(QoS) 的运用对于满负荷或接近满负荷运行的网络更加重要。有关详细信息，请参阅本白皮书中的“服务质量”。

有关“接收窗口自动调节”的详细信息，请参阅下一代 TCP/IP 堆栈中的性能改进。

复合 TCP

对于接收窗口大小较大和带宽延迟乘积（连接的带宽乘以其延迟时间）较大的 TCP 连接，下一代 TCP/IP 堆栈中的“复合 TCP”(CTCP) 会通过监控带宽延迟乘积、延迟变化和数据包丢失来大幅增加每次发送的数据量。CTCP 也会确保其行为不会对其他 TCP 连接造成负面影响。在 Microsoft 内部执行的测试中，对于传输速率为每秒 1 千兆位、往返行程时间为 50 亳秒的连接，大文件的备份时间几乎缩减了一半。带宽延迟乘积较大的连接可具有更好的性能。

“接收窗口自动调节”优化了接收端吞吐量，而 CTCP 优化了发送端吞吐量。通过两者的配合，可以提高链路利用率并大幅提升带宽延迟乘积较大的连接的性能。

ECN 支持

当某 TCP 数据段丢失时，TCP 会假定该数据段丢失是由于路由器拥塞而造成，并执行拥塞控制,这会显著降低 TCP 发送端的传输速率。借助两个 TCP 对等端和路由基础结构中的“显式拥塞通知”(ECN) 支持，处于拥塞状态的路由器会在转发数据包时对它们进行标记。接收已标记数据包的 TCP 对等端会降低其传输速度来减轻拥塞状况和防止数据段丢失。在发生数据包丢失之前检测到拥塞状况会提高 TCP 对等端之间的总体吞吐量。Windows Vista 的 Release Candidate 1 版支持 ECN，但默认情况下将此功能禁用。可以使用 netsh interface tcp set global ecncapability=enabled 命令来启用 ECN 支持。

RFC 3168 中对 ECN 进行了说明。

针对高丢失率环境的增强功能

下一代 TCP/IP 堆栈支持以下 RFC 以优化高丢失率环境中的吞吐量：

有关这些增强功能的详细信息，请参阅下一代 TCP/IP 堆栈中的性能改进。

IPv4 的邻居不可达检测

“邻居不可达检测”是 IPv6 的一项功能，允许节点跟踪邻近节点是否可以到达，从而在节点突然不可用时提供更好的错误检测和恢复。下一代 TCP/IP 堆栈还通过跟踪 IPv4 路由缓存中的 IPv4 邻居的可到达状态对 IPv4 通信的“邻居不可达检测”提供支持。“IPv4 邻居不可达检测”通过单播“地址解析协议 (ARP) 请求”和“ARP 应答”消息的交换或依靠上层协议（如 TCP）来确定可达性。利用“IPv4 邻居不可达检测”，基于 IPv4 的通信可通过确定邻近节点（包括路由器）何时不再可到达并报告相关情况而受益。

有关“IPv4 的邻居不可达检测”的详细信息，请参阅下一代 TCP/IP 堆栈中的性能改进。

失效网关检测功能的变化

Windows Server 2003 和 Windows XP 的 TC/IP 中的失效网关检测提供的是一项故障转移功能，而不是故障回复功能（即失效网关再次尝试确定自己是否已变为可用状态）。下一代 TCP/IP 堆栈通过定期尝试通过先前检测到的失效网关发送 TCP 通信来为失效网关提供故障回复功能。如果经由失效网关发送的 TCP 通信成功，则下一代 TCP/IP 堆栈会将默认网关切换到先前检测到的失效网关。对主默认网关的故障回复支持可通过经由子网上的主默认网关发送通信而获得更大的吞吐量。

PMTU 黑洞路由器检测功能的变化

RFC 1191 中定义的路径最大传输单元 (PMTU) 发现依赖于从包含下一链路 MTU 的路由器接收的 Internet 控制消息协议 (ICMP) Destination Unreachable-Fragmentation Needed 和 Don't Fragment (DF) Set 消息。但在某些情况下，中间路由器会在不给出提示的情况下，丢弃无法分段的数据包。这种类型的路由器称为黑洞 PMTU 路由器。另外，中间路由器还可能因已配置的防火墙规则而丢掉 ICMP 消息。这会导致 TCP 连接超时并终止，因为中间路由器在不给出提示的情况下，丢弃了较大的 TCP 数据段、重新传输的这些数据段以及 PMTU 发现的 ICMP 错误消息。

PTMU 黑洞路由器检测会感知到何时重新传输较大的 TCP 数据段，并自动针对连接调节 PMTU，而不依赖于接收 ICMP Destination Unreachable-Fragmentation Needed 和 DF Set 消息。对于 Windows Server 2003 和 Windows XP 中的 TCP/IP，PMTU 黑洞路由器检测在默认情况下禁用，因为如果启用的话，会增大对给定数据段执行的最大重传次数。

然而，由于对路由器应用防火墙规则来丢弃 ICMP 通信的情况越来越多，因此下一代 TCP/IP 堆栈在默认情况下启用 PMTU 黑洞路由器检测，以防止 TCP 连接终止。当 TCP 连接开始重新传输带有 DF 标记集的实际大小的数据段时，就会触发 PMTU 黑洞路由器检测。TCP 将连接的 PTMU 重新设置为 536 字节，并重新传输已清除了 DF 标记的数据段。这将保持 TCP 连接，虽然 PMTU 可能会小于实际连接的 PMTU。

路由隔间

为防止虚拟专用网 (VPN) 配置接口间不必要的通信转发，下一代 TCP/IP 堆栈支持路由隔间。路由隔间是具有登录会话的一组接口的组合，登录会话又有自己的 IP 路由表。一台计算机可以有多个相互独立的路由隔间。每个接口只能属于单个隔间。

例如，当用户通过 Windows XP 中的 TCP/IP 实现在 Internet 上启动 VPN 连接时，用户的计算机通过操纵 IPv4 路由表中的条目来实现与 Internet 和专用 Intranet 的局部连接。某些情况下，来自 Internet 的通信量可能会通过 VPN 连接被转发到专用 Intranet。对于支持路由隔间的 VPN 客户端，下一代 TCP/IP 堆栈通过不同的 IP 路由表将 Internet 连接与专用 Intranet 连接隔离。

网络诊断框架支持

网络诊断框架是一种可扩展的体系结构，可帮助用户针对网络连接故障执行恢复和故障排除操作。对于基于 TCP/IP 的通信，网络诊断框架可为用户提示一系列选项，以排除可能的原因，直到最终确定问题的根源或排除所有的可能性。网络诊断框架可诊断的与 TCP/IP 相关的具体问题如下：

有关详细信息，请参阅 Network Diagnostics Framework in Windows Vista（英文）。

ESTATS 支持

下一代 TCP/IP 堆栈支持“TCP Extended Statistics MIB”Internet 草案 (draft-ietf-tsvwg-tcp-mib-extension-08.txt)，该草案规定了 TCP 的扩展性能统计。通过分析连接的 ESTATS，可以确定连接的性能瓶颈是发送应用程序、接收应用程序，还是网络。默认情况下会禁用 ESTATS，并可针对各个连接启用 ESTATS。通过 ESTATS，第三方独立软件供应商 (ISV) 可创建强大的诊断和网络吞吐量分析应用程序。

Windows 过滤平台上新的数据包过滤模型

Windows 过滤平台 (WFP) 是下一代 TCP/IP 堆栈中的新体系结构，它可提供 API，从而使第三方 ISV 可以参与在 TCP/IP 协议堆栈中的若干层和整个操作系统中进行的过滤决策。该平台还集成并支持下一代防火墙功能，例如，经身份验证的通信以及基于应用程序对 Windows Sockets API（基于应用程序的策略）的应用的动态防火墙配置。ISV 可以创建防火墙、防病毒软件、诊断软件以及其他类型的应用程序和服务。Windows Server“Longhorn”和 Windows Vista 中的 Windows 防火墙和 IPsec 使用 WFP API。

有关详细信息，请参阅 Windows Filtering Platform（英文）。

IPv6 增强功能

下一代 TCP/IP 堆栈支持 IPv6 的以下增强功能：

有关 Windows Server“Longhorn”和 Windows Vista 中 IPv6 改动的详细信息，请参阅对 Windows Vista 和 Windows Server“Longhorn”中 IPv6 的更改。

基于策略的服务质量

Windows Server 2003 和 Windows XP 通过常规服务质量 (GQoS) API 为应用程序提供服务质量 (QoS) 功能。使用 GQoS API 的应用程序可以访问优先的传递函数。在 Windows Server“Longhorn”和 Windows Vista 中，有一些新工具可用于管理企业和家庭的网络通信。

适用于企业网络的基于策略的 QoS

Windows Server“Longhorn”和 Windows Vista 中的 QoS 策略使 IT 工作人员可以对传出网络通信的发送速率进行优先排序或管理，并可局限于特定应用程序、特定源 IP 地址和目标 IP 地址以及特定的源和目标 TCP 或 UDP 端口。QoS 策略设置属于用户配置或计算机配置组策略的一部分，通过组策略对象编辑器进行配置，并通过组策略管理控制台链接到 Active Directory® 目录服务容器（域、站点和组织单元）。QoS 策略可应用于隶属于某个域、站点或组织单元的用户或计算机。

要管理带宽的使用，可以对 QoS 策略配置一个出站通信节流率。通过节流，QoS 策略会将聚合的传出网络通信限制在一个指定的速率内。为指定优先排序的传送，通信被标上了已配置的“差分服务代码点”(DSCP) 值。网络基础结构中的路由器可将标有 DSCP 的数据包放置在差分传送的不同队列中。可同时运用 DSCP 标记和节流功能进行有效的通信管理。由于节流和优先级标记是在网络层上执行的，因此不必修改应用程序。

“基于高级策略的 QoS”设置允许您通过指定 TCP 接收窗口大小的最大值（默认大小为 16 MB）来间接控制传入的 TCP 数据，并允许您指定应用程序是否可以设置 DSCP 值（默认情况下允许）。

有关基于策略的 QoS 的详细信息，请参阅 Quality of Service in Windows Server "Longhorn" and Windows Vista（英文）。有关基于策略的 QoS 的体系结构的信息，请参阅 Windows Server“Longhorn”和 Windows Vista 中基于策略的 QoS 体系结构。

家庭网络的 qWave

由于家庭网络正在日益被数据和音频/视频 (A/V) 两种应用程序所共享，因而需要一种 QoS 解决方案，以用于在处理数据通信之前先优先处理随时间变化的 A/V 通信。另外，越来越多的家庭网络实现了无线连接，从而增加了对延迟和带宽敏感的应用程序方面的复杂性。Windows Vista 支持“优质 Windows 音频/视频体验”(qWave)，这是一套与 QoS 相关的软件模块，可应对 A/V 应用程序和无线网络带来的网络难题。qWave 作为 QoS 子系统的一部分集成在网络堆栈中，与多个网络和数据链路层数据包优先级技术配合使用以同时支持家庭网络上的多个 A/V 流（需要 QoS 的实时流量）和数据流（best-effort 流量，如电子邮件或文件传输），同时提供高质量的用户体验。

这套 qWave 技术可检测并监控 LAN 带宽、发现家庭网络的 QoS 能力，并提供分布式许可控制以保证网络带宽使用的合理性和一致性。这些技术启用了先进的 AV 流方法，以便应用程序可以动态地适应易变的网络情况。

有关 qWave 的详细信息，请参阅 Quality Windows Audio-Video Experience - qWave（英文）。

服务器消息块 2.0

服务器消息块 (SMB) 也称为“通用 Internet 文件系统”(CIFS)，是基于 Windows 的计算机默认使用的文件共享协议。Windows 包括 SMB 客户端（通过网络连接的属性安装的 Microsoft Windows 组件的客户端）和 SMB 服务器（通过网络连接的属性安装的 Microsoft Windows 组件的文件和打印机共享）。Windows Server“Longhorn”和 Windows Vista 之前的 Windows 版本中的 SMB（称为 SMB 1.0）最初在 15 年前针对早期的基于 Windows 的网络操作系统（如 Microsoft LAN Manager 和 Windows for Workgroups）而设计，并一直延续着其最初设计的局限性。

Windows Server“Longhorn”和 Windows Vista 中的 SMB 还支持 SMB 2.0，这是针对当今网络环境和下一代文件服务器的要求重新设计的新版 SMB。SMB 2.0 具有下列增强功能：

运行 Windows Server“Longhorn”或 Windows Vista 的计算机既支持 SMB 1.0，也支持 SMB 2.0。用于文件共享操作的 SMB 版本在 SMB 会话协商期间确定。下表显示了用于客户端和服务器计算机各种组合的 SMB 版本。

Http.sys 增强功能

Windows Server“Longhorn”和 Windows Vista 在以下几方面增强了 Http.sys（即伺服“超文本传输协议”(HTTP) 通信的内核模式驱动程序）的功能：

HTTP Server API 2.0

HTTP Server API 是内核模式 HTTP 协议驱动程序，它可通过 Httpapi.dll 获得用户模式 API。HTTP Server API 使服务器应用程序能够注册 HTTP URL、接收请求和为响应服务。HTTP Server API 包括以下内容：

服务器端身份验证

Http.sys 现在执行服务器端身份验证。以前，服务器应用程序执行其自己的身份验证。Http.sys 提供服务器端身份验证具有下列优点：

日志记录

Http.sys 现在提供集中式万维网联盟 (W3C) 日志记录，单独一个日志文件即可存储服务器应用程序（例如 IIS）的所有站点条目。在集中式日志文件中，站点 ID 字段标识日志条目所属的站点。

HTTP 事件的 ETW 跟踪

Windows 事件跟踪 (ETW) 是一项 Windows 功能，它获取通常写到日志文件中的有关组件和事件的信息。ETW 日志文件可使解决问题更加容易。跟踪也可以诊断端到端问题，其中活动 ID 指示操作之间的数据流。Http.sys 支持下列类别的跟踪：

对于每个跟踪类别，Http.sys 都支持四个级别的信息：错误、警告、提示信息和详细信息。Http.sys 跟踪可作为高级故障排除工具来使用，以获取关于 Http.sys 进程和行为的信息。

要启动 Http.sys 的 ETW 跟踪会话，请执行下列操作：

"Microsoft-Windows-HttpService" 0xFFFF

logman start "http trace" -pf httptrace.txt -o httptrace.etl -ets

要停止 Http.sys 的 ETW 跟踪会话，请使用下列命令：

logman stop "http trace" -ets

现在文件夹中应出现一个 Httptrace.etl 跟踪文件。此文件可使用 Tracerpt.exe 工具转换为 XML 格式、HTML 或 CSV 文件。例如，要将 Httptrace.etl 文件的内容转换为 CSV 文件，请使用下列命令：

tracerpt httptrace.etl -y -o httptrace.csv

然后即可在文本编辑器或电子表格应用程序中查看 CSV 文件。

Http.sys 的 Netsh 命令

现在可以通过 netsh http 上下文中的一组命令为 Http.sys 管理配置设置和控制诊断。Netsh 是一个命令行工具，由许多其他 Windows 网络服务（例如 IPsec 以及路由和远程访问）使用。使用这个新的支持，可在 Windows 命令提示下执行下列操作：

Http.sys 的性能计数器

Http.sys 现在具有下列性能指标计数器，可帮助您对 Web 服务器进行监视、诊断和功能规划：

使用这些新性能计数器，可通过诊断控制台插件查看指标或通过 Performance Counters API（英文）获得指标。

WinINet 增强功能

Windows Server“Longhorn”和 Windows Vista 中的 WinINet API 增强功能包括如下内容：

支持 IPv6 文字和范围 ID

WinINet 现在支持 RFC 2732 和在 URL 中使用 IPv6 常量地址。例如，要连接到 IPv6 地址为 2001:db8:100:2a5f::1 的 Web 服务器，使用基于 WinINet 的 Web 浏览器（例如 Internet Explorer）的用户可以键入 http://[2001:db8:100:2a5f::1] 作为地址。尽管通常用户可能不使用 IPv6 常量地址，但在 URL 中指定 IPv6 地址的能力对应用程序开发人员、软件测试人员和网络故障排除人员非常有价值。WinINet 也支持将 IPv6 范围 ID（也称为区域 ID）作为地址的一部分进行编码，以允许用户指定 IPv6 目标的范围。有关详细信息，请参阅 IP Version 6 Support（英文）。

支持 HTTP 解压缩

WinINet 现在包括对 gzip 和 deflate 内容编码方案的内置支持。在 WinINet 内进行解压缩处理会在通过减少网页下载时间使性能得到提高的同时，减少 Web 浏览器和 Web 服务器之间的数据压缩/解压缩问题。这对低带宽连接用户（例如拨号 Internet 用户）极其有益。有关详细信息，请参阅 Content Encoding（英文）。

支持国际化域名

现在，当使用 WinINet API 的 Unicode 版本时，WinINet 遵循主机名的国际化域名 (IDN) 标准 (RFC 3490)。此项新的支持功能确保了应用程序可使用包含非 ASCII 字符的域名正确工作，而无需 Web 应用程序内的 IDN 支持、安装第三方插件或网络通信路径中的中间节点。有关详细信息，请参阅 IDN Support in WinINet（英文）。

支持 ETW 跟踪

WinINet 现在支持 ETW 跟踪，该功能允许 IT 帮助台和专业支持人员获取关于 WinINet 进程和事件的详细信息，以帮助确定协议起源或应用程序问题的根源。通过包含所有 WinINet 事件的标识符，可使用这些标识符关联相邻网络层的跟踪，以构建跨越整个网络堆栈的一系列 ETW 跟踪。有关 ETW 跟踪的详细信息，请参阅 Event Tracing（英文）。

Web 代理自动发现脚本中的 IPv6 支持

WinINet 提供的 Web 代理自动发现 (WPAD) 脚本助手功能已进行更新，可支持 IPv6 地址和子网前缀。使用 dnsResolve()、myIpAddress()、isInNet() 和 isResolvable() 代理助手 API 的 WPAD 脚本现在可以从 WinINet 获取 IPv6 信息。有关 WPAD 的详细信息，请参阅 WinHTTP AutoProxy Support（英文）。

WinHTTP 增强功能

Windows Server“Longhorn”和 Windows Vista 中 WinHTTP 5.1 API 的更新包括以下方面：

支持 4 GB 以上的数据上传

WinHTTP 现在允许应用程序添加一个“内容长度”标头，以指定高达 2⁶⁴ 字节的数据长度。

支持分块传输编码

WinHTTP 现在允许应用程序为其数据执行“分块”传输编码，并使用 WinHttpWriteData() API 发送数据。WinHTTP 将检测“传输编码”标头是否存在，并进行内部调整，以确保传输符合 HTTP 1.1 规范。

支持检索发行者列表以用于基于安全套接字层的客户端身份验证

WinHTTP 现在允许应用程序检索与客户端身份验证质询相关联的发行者列表。发行者列表指定服务器授权的认证机构 (CA) 列表，以颁发客户端证书。WinHTTP 应用程序可使用此项新支持功能确定正确的客户端证书，以供客户端身份验证使用。

支持可选客户端证书请求

某些安全的 HTTP 站点会请求客户端证书，但并不是一定要有客户端证书。如果客户端没有客户端证书以响应请求，服务器可以使用其他类型的 HTTP 身份验证，或者允许匿名访问。为支持与这样的服务器配置的互操作，WinHTTP 现在允许应用程序提供 NULL 客户端证书，以向服务器表明它没有用于安全套接字层 (SSL) 身份验证的客户端证书。

支持四元组连接信息指示

现在，在完成 WinHttpReceiveResponse() API 后，WinHTTP 允许应用程序查询与引发响应的 HTTP 请求相关联的源 IP/端口和目标 IP/端口。

SSL 客户端身份验证的新错误代码

WinHTTP 现在包括 SSL 客户端身份验证中下列常见错误的错误代码：

WPAD 脚本中的 IPv6 支持

WinHTTP 提供的 WPAD 脚本助手功能已经过更新，包含了对 IPv6 地址和子网前缀的支持。使用 dnsResolve()、myIpAddress()、isInNet() 和 isResolvable() 代理助手 API 的 WPAD 脚本现在可以从 WinHTTP 获取 IPv6 信息。有关 WPAD 的详细信息，请参阅 WinHTTP AutoProxy Support（英文）。

有关 Windows Server“Longhorn”和 Windows Vista 中的 WinHTTP 增强功能的信息，请参阅 What's New in Windows Longhorn（英文）和 SSL in WinHTTP（英文）。

Windows 套接字增强功能

Windows 套接字 (Winsock) 支持在以下几个方面得到了更新：

新 Winsock API

Windows Server“Longhorn”和 Windows Vista 包括下列新 Winsock API：

Winsock 事件的 ETW 跟踪

可使用下列工具启用 Winsock 事件的 ETW 跟踪：

要使用事件查看器管理单元启用 Winsock 事件的 ETW 跟踪，请执行下列操作：

要查看事件，请在“Action”（操作）窗格中单击“Refresh”（刷新）。要禁用日志记录，请清除“Winsock/AFD”项“Log Properties”（日志属性）对话框中的“Enable Logging”（启用日志记录）复选框。

根据所要查看的事件的数量，可能需要增加日志的大小。

若要使用 Logman.exe 工具对 Winsock 事件启用 ETW 跟踪，请使用下列命令：

logman create trace afdlog –o LogFileLocation
logman update afdlog –p “Microsoft-Windows-Winsock-AFD”
logman start afdlog

一个二进制日志文件将被写入 LogFileLocation。若要将使用 Logman.exe 工具编写的二进制文件转换为可读本文，请使用 Tracerpt.exe 工具。例如，使用下列命令：

tracerpt.exe c:\afdlog.etl –o afdlog.txt

要停止日志记录，请使用下列命令：

logman stop afdlog

分层服务提供程序的增强功能

Windows Server“Longhorn”和 Windows Vista 中的 WinINet 分层服务提供程序 (LSP) 支持在以下方面得到增强：

新内核模式套接字 API

Windows Server“Longhorn”和 Windows Vista 的网络体系结构中包含一个称为 Winsock 内核 (WSK) 的新接口。WSK 是一种新型与传输无关的内核模式网络编程接口 (NPI)，用于 TDI 客户端。通过 WSK，内核模式的软件模块可使用与用户模式 Windows Sockets 2 API 所支持的编程语义相似的类套接字编程语义执行网络通信。尽管 Windows Vista 支持 TDI 以实现向后兼容，但 TDI 客户端应得到更新，以使用 WSK 来获得最佳性能。

相关背景信息，请参阅 WSK 简介和内核模式与用户模式。有关 WSK API 的信息，请参阅内核中的 Windows Sockets。

NDIS 6.0

Windows Server“Longhorn”和 Windows Vista 包括网络驱动程序接口规范 (NDIS) 6.0。NDIS 规定了内核模式驱动器与操作系统间的标准接口。NDIS 还规定了分层网络驱动程序间的标准接口，以便从高级驱动程序（例如：网络传输）提取管理硬件的低级驱动程序。有关 NDIS 6.0 的详细信息，请参阅 NDIS - Network Driver Interface Specification（英文）。

NDIS 6.0 包括以下功能：

全新的卸载支持

NDIS 6.0 为将网络通信处理函数卸载到网络适配器提供了以下全新支持：

支持轻型筛选器驱动程序

在 NDIS 6.0 中，中间筛选器驱动程序已被轻型筛选器 (LWF) 驱动程序取代，后者是 NDIS 中间驱动程序和微端口驱动程序的组合。LWF 驱动程序包括以下优点：

已转换为 LWF 驱动程序的中间筛选器驱动程序的示例为 Pacer.sys（以前称为 Psched.sys）。它具有相同的功能，但利用了 NDIS 6.0 在性能方面的改进。有关详细信息（包括示例），请参阅 Windows 驱动程序工具包。

接收端伸缩

在运行 Windows Server 2003 或 Windows XP 的多处理器计算机的体系结构中，网络适配器与一个单独的处理器相关联。无论是否有其他可用处理器，单个处理器都必须处理网络适配器接收的全部通信量。对于高容量服务器（例如面向 Internet 的 Web 服务器或企业文件服务器），这种体系结构所带来的后果就是与网络适配器相关联的处理器所能处理的传入通信量和连接数量都有限。如果与网络适配器相关联的处理器不能以足够快的速度处理传入通信量，网络适配器会丢弃通信量，从而导致重传和性能降低。

在 Windows Server“Longhorn”和 Windows Vista 中，网络适配器不与单个处理器相关联。取而代之的是，传入通信量由计算机上的多个处理器共同处理。这一新功能称为接收端伸缩，允许高容量服务器上的网络适配器接收更多的通信量。现在，一台多处理器计算机不必增加服务器即可处理更多传入通信，从而降低成本。要利用这项新功能，必须安装能够运用 Windows Server“Longhorn”和 Windows Vista 中的这种新体系结构并与接收端伸缩兼容的网络适配器。可从许多网络适配器供应商那里获得与接收端伸缩兼容的网络适配器。

有关详细信息，请参阅 Scalable Networking with RSS（英文）。

网络感知

对于开发人员而言，创建可自动适应变化的网络条件的应用程序一直以来都是很困难的事情。Windows Vista 中的网络感知 API 允许应用程序执行以下任务：

开发人员可为不同类型的连通性、连接和网络位置类型来增强 Windows Vista 应用程序性能，而无需构建自己的网络检测组件。网络感知 API 可使开发人员专注于一些使网络连通性对用户透明的功能，而不是低级网络确定的细节。

有关网络位置识别 API 的详细信息，请参阅 Network Awareness（英文）。

Windows 对等网络增强功能

Windows 对等网络（最初随 Windows XP 高级网络包一同引入）是 Windows Vista 中的一种操作系统平台和 API，可用以开发点对点 (P2P) 应用程序。Windows Vista 在以下几个方面增强了 Windows 对等网络：

Windows 防火墙

Windows Server“Longhorn”和 Windows Vista 中全新的 Windows 防火墙在 Windows XP Service Pack 2 和 Windows Server2003 Service Pack1 中的当前 Windows 防火墙的基础上进行了如下功能增强：

有关这些改进功能的详细信息，请参阅 Windows Vista 和 Windows Server“Longhorn”中的新 Windows 防火墙。有关其他信息，请参阅 Introduction to Windows Firewall with Advanced Security（英文）。

IPsec 的改进功能

Windows Server“Longhorn”和 Windows Vista 对 Internet 协议安全 (IPsec) 进行了如下功能改进：

集成的防火墙和 IPsec 配置

在 Windows Server 2003 和 Windows XP 中，Windows 防火墙和 IPsec 都是必须单独配置的组件和服务。虽然 Windows 防火墙的用途是阻止或允许传入通信，但是 IPsec 也可以被配置为阻止或允许传入通信。由于可以通过两种不同并且独立的服务对传入通信配置阻止和允许行为，因此可能存在重复或矛盾的设置。另外，Windows 防火墙和 IPsec 支持指定允许的传入通信的不同配置选项。譬如，Windows 防火墙通过指定应用程序名来允许例外（允许的入站通信），而 IPsec 则不是。IPsec 根据 IP 协议号来允许例外，而 Windows 防火墙则不然。

在 Windows Server“Longhorn”和 Windows Vista 中，Windows 防火墙和 IPsec 配置被整合到一个工具中，即带有高级安全管理单元的全新 Windows 防火墙。现在，该工具控制着传统的防火墙职责（阻止和允许入站和出站通信），并通过 IPsec 保护通信。此外，netsh advfirewall 上下文内的命令可用于通过命令行配置防火墙和 IPsec 行为。Windows 防火墙与 IPsec 的集成为运行 Windows Server“Longhorn”或 Windows Vista 的计算机提供了验证防火墙。

简化的 IPsec 策略配置

在 Windows Server 2003 和 Windows XP 中，许多应用场景（如 Server and Domain Isolation（英文））中的 IPsec 策略配置都包含一套用于保护大多数网络通信的规则以及另一套针对受保护通信例外的规则。与网络基础结构服务器（比如：DHCP 和 DNS 服务器以及域控制器）的不受保护的通信需要有例外。启动时，计算机必须能够获取 IP 地址，使用 DNS 查找域控制器，然后在开始使用 Kerberos 身份验证将自身验证为 IPsec 对等方之前，登录到其所在的域。与不支持 IPsec 的网络节点进行的通信需要其他例外。在某些情况下，会有数十个或数百个例外，从而更难在企业网络上部署 IPsec 保护，并持续加以维护。

Windows Server“Longhorn”和 Windows Vista 中的 IPsec 在协商 IPsec 保护时提供了一个可选行为。若启用该行为，则在发起与其他网络节点的通信时，运行 Windows Server“Longhorn”或 Windows Vista 的 IPsec 节点将同时尝试进行明文通信并协商受保护的通信。如果发起的 IPsec 对等方未接收到最初协商尝试的响应，那么通信将继续以明文进行。若发起的 IPsec 对等方接收到了响应，则在协商完成之前将停止明文通信。

通过这一可选行为和推荐的配置来要求保护已发起的传入和传出的通信，发起节点可发现与之通信的节点是否支持 IPsec，并采取相应的操作，从而大幅简化 IPsec 策略配置。例如，对于一组不应该或不能够通过 IPsec 保护网络通信的主机的例外，发起节点不需要一套预定义的 IPsec 筛选器。发起节点会同时尝试受保护和不受保护的通信，若受保护的通信行不通，则采用不受保护的通信。

这种新的协商行为还提高了到主机的不受保护连接的性能。运行 Windows Server 2003 或 Windows XP 的 IPsec 节点在被配置为请求受保护通信但允许不受保护通信（这种行为被称为后退至明文）的情况下，会发送协商消息，然后等待响应。在后退至明文并尝试进行不受保护通信之前，发起节点会等待片刻（最长 3 秒钟）。对于 Windows Server“Longhorn”和 Windows Vista，后退至明文时不再有 3 秒钟的延迟，因为在发起节点等待响应时，明文通信就已在进行中。

客户端到 DC IPsec 保护

在 Windows Server 2003 和 Windows XP 中，微软目前建议用户不要运用 IPsec 保护功能来保护域控制器和成员计算机间的通信（但是，微软建议保护域控制器间的通信）。这是由于 IPsec 策略配置会因为域成员与域控制器间传输的不同类型的通信而变得非常复杂。此外，还存在一个域加入问题。如果域控制器从必须提供基于域的凭据用于身份验证的计算机请求受 IPsec 保护的通信，那么不属于域的计算机就无法联系域控制器以加入域。

Windows Server“Longhorn”和 Windows Vista 支持在下列部署模式中保护域成员和域控制器间的通信：

改进的负载平衡和群集服务器支持

Windows Server 2003 中的 IPsec 支持负载平衡和群集服务器。然而，重新建立到群集虚拟 IP 地址的 IPsec 连接的故障转移时间如下：

在 Windows Server“Longhorn”和 Windows Vista 中，群集节点故障的超时时间被大幅缩短了。Windows Server“Longhorn”和 Windows Vista 中的 IPsec 被更紧密地集成到下一代 TCP/IP 堆栈中。Windows Server“Longhorn”和 Windows Vista 中的 IPsec 并不依赖于通过 IPsec 闲置超时来检测群集节点故障，而是对已建立的 SA 的 TCP 连接进行监视。若已建立的 SA 的 TCP 连接开始重新传输段，则 IPsec 将重新协商 SA。因此可以快速执行到新群集节点的故障转移，通常能够及时防止应用程序失败。

改进的 IPsec 身份验证

Windows Server 2003 和 Windows XP 中的 IPsec 支持 Internet 密钥交换 (IKE) 以及主模式协商期间的三种身份验证方法：Kerberos（针对 Active Directory 域成员）、数字证书和预共享密钥。对于所有这几种身份验证方法，身份验证过程验证的是计算机而不是其用户的身份和可信性。IKE 仅使用一种身份验证方法尝试进行单一身份验证。

Windows Server“Longhorn”和 Windows Vista 支持以下 IPsec 身份验证功能：

有关 IPsec 身份验证改进功能的详细信息，请参阅 AuthIP in Windows Vista（英文）。

全新的加密支持

为了响应政府的安全要求并跟上安全行业支持强加密的发展趋势，Windows Server“Longhorn”和 Windows Vista 支持额外的密钥派生和加密算法。

Windows Server“Longhorn”和 Windows Vista 支持以下这些额外的算法，以协商主模式协商期间派生的主密钥材料：

这两种方法强于受 Windows Server 2003 和 Windows XP Service Pack 2 支持并包含在 Windows Server“Longhorn”和 Windows Vista 中的 DH-768、DH-1024 和 DH-2048 算法。有关这些算法的详细信息，请参阅标题为“IKE 和 IKEv2 的 ECP 组”的 Internet 草案。上述这两种新的 DH 算法不能用于运行 Windows Server 2003、Windows XP 或 Windows 2000 的计算机的主模式协商。

除了数据加密标准 (DES) 和 Triple-DES (3DES) 之外，Windows Server“Longhorn”和 Windows Vista 还支持一些额外的数据加密算法：

这些新式的加密算法无法用于运行 Windows Server 2003、Windows XP 或 Windows 2000 的计算机的安全关联。

集成网络访问保护

借助全新的网络访问保护平台，用户可以要求 IPsec 节点使用状况证书进行二次身份验证，验证 IPsec 节点符合当前的系统状况要求。在网络策略服务器 (NPS) 评估了 IPsec 对等方的状态后，状况证书服务器会颁发一个状况证书。有关详细信息，请参阅本文中“网络访问保护”部分的内容。

针对受保护通信的附加配置选项

对 IPsec 策略配置带有高级安全管理单元的全新 Windows 防火墙时，用户可以对受保护通信配置以下这些新的设置：

集成的 IPv4 和 IPv6 支持

在 Windows XP 和 Windows Server 2003 中，针对 IPv6 通信的 IPsec 支持受到一定的限制。不支持 Internet 密钥交换 (IKE) 或数据加密。IPsec 安全策略、安全关联和密钥必须通过文本文件进行配置，并通过命令行工具 IPsec6.exe 加以激活。

在 Windows Server“Longhorn”和 Windows Vista 中，对于 IPv6 通信的 IPsec 支持与 IPv4 相同，包括对 IKE 和数据加密的支持。可使用带有高级安全或 IP 安全策略管理单元的 Windows 防火墙以同样的方式配置针对 IPv4 和 IPv6 通信的策略设置。

扩展的事件和性能监视器计数器

Windows Server“Longhorn”和 Windows Vista 包含 15 个 IPsec 审核特定的新事件，并且 25 个现有事件的文本已使用更实用的信息进行了更新。这些改进功能将有助于用户对失败的 IPsec 协商进行故障排除，而不必启用高级的 Oakley 日志功能。

Windows Server“Longhorn”和 Windows Vista 还包括一些 IPsec 性能计数器，可协助识别有关受 IPsec 保护的通信的性能和网络问题。

网络诊断框架支持

网络诊断框架是一种可扩展的体系结构，可帮助用户针对网络连接故障执行恢复和故障排除操作。对于失败的 IPsec 协商，网络诊断框架会对用户发出提示，提供识别和纠正问题的选项。然后，网络诊断框架的 IPsec 支持会尝试发现失败连接的根源，并自动纠正问题或基于安全方面的考虑提示用户进行适当的配置更改。

有关网络诊断框架的详细信息，请参阅 Network Diagnostics Framework in Windows Vista（英文）。

返回页首

无线连接和基于 802.1X 的有线连接

Windows Server“Longhorn”和 Windows Vista 包括许多增强功能以支持 IEEE 802.11 无线网络和使用身份验证交换机的网络。

IEEE 802.11 无线更改和增强功能

Windows Server“Longhorn”和 Windows Vista 包括 IEEE 802.11 无线支持的以下改动和增强功能：

本机 Wi-Fi 基础结构

在 Windows Server 2003 和 Windows XP 中，构建了支持无线连接的软件基础结构以仿效以太网连接，并只能通过支持 IEEE 802.1X 身份验证的其他 EAP 类型对这些软件基础结构进行扩展。在 Windows Server“Longhorn”和 Windows Vista 中，已重新设计了称为“本机 Wi-Fi 体系结构”的 802.11 无线连接软件基础结构，其原因如下：

无线连接的用户界面改进

已通过以下方式对无线配置用户界面 (UI) 进行了改进：

有关新的无线配置用户 UI 的详细信息，请参阅使用 Windows Vista 连接到无线网络。

无线组策略增强功能

在 Windows Server“Longhorn”和 Windows Vista 中，位于“计算机配置”/“Windows 设置”/“安全设置”节点（在组策略管理单元中）的无线组策略设置包括以下增强功能：

有关如何扩展 Windows Server 2003 Active Directory 环境架构以支持 Windows Vista 无线和有线组策略增强功能的信息，请参阅 Windows Vista 无线和有线组策略增强功能的 Active Directory 架构扩展。

无线自动配置的功能变化

无线自动配置是一项根据首选项或默认设置，动态选择计算机所要自动连接的无线网络的服务。这包括在更优先的无线网络可用时，自动选择并连接到该网络。Windows Server“Longhorn”和 Windows Vista 在无线自动配置方面的功能变化如下：

WPA2 支持

Windows Server“Longhorn”和 Windows Vista 为通过组策略设置对 WPA2 身份验证选项配置标准配置文件（本地配置的首选无线网络）和域配置文件提供了内置支持。WPA2 是一种由 Wi-Fi 联盟授予的产品认证。Wi-Fi 联盟专门对无线设备与 IEEE 802.11i 标准的兼容性进行认证。Windows Server“Longhorn”和 Windows Vista 中的 WPA2 同时支持 Enterprise（IEEE 802.1X 身份验证）和 Personal（预共享密钥身份验证）操作模式。

Windows Server“Longhorn”和 Windows Vista 还对特殊模式的无线网络（无线客户端间不使用无线访问点的无线网络）提供了 WPA2 支持。

在采用 802.1X 身份验证的情况下集成网络访问保护

WPA2-Enterprise、WPA-Enterprise 以及采用 802.1X 身份验证的动态 WEP 连接均可运用网络访问保护平台来阻止不符合系统状况要求的无线客户端获取 Intranet 的无限访问权。有关网络访问保护平台的详细信息，请参阅本文的“网络访问保护 (NAP)”一节。

EAPHost 基础结构

为了更方便地为经 IEEE 802.1X 验证的无线连接开发可扩展身份验证协议 (EAP) 身份验证方法，Windows Server“Longhorn”和 Windows Vista 支持新式的 EAPHost 基础结构。有关详细信息，请参阅本文中“EAPHost 体系结构”部分的内容。

新式的默认 EAP 身份验证方法

在 Windows Server 2003 和 Windows XP 中，经 802.1X 验证的无线连接的默认 EAP 身份验证方法为 EAP-传输层安全 (TLS)。虽然大多数安全的身份验证方式采用了数字证书相互身份验证，但是 EAP-TLS 需要公钥基础结构 (PKI) 来分发、吊销和续订用户和计算机证书。

许多情况下，组织都希望利用 Active Directory 中现有的基于帐户名和密码的身份验证基础结构。所以，在 Windows Server“Longhorn”和 Windows Vista 中，经 802.1X 验证的无线连接的默认 EAP 身份验证方法已被更改为受保护的 EAP-Microsoft 质询握手身份验证协议版本 2 (PEAP-MS-CHAP v2)。PEAP-MS-CHAP v2 是一种针对无线连接的基于密码的 802.1X 身份验证方法，仅要求用户在远程身份验证拨入用户服务 (RADIUS) 服务器上安装计算机证书。有关 PEAP-MS-CHAP v2 的详细信息，请参阅面向基于密码的安全无线访问的 PEAP（附带 MS-CHAP v2）。

针对无线连接的诊断支持

虽然在 Windows XP Service Pack 2 和 Windows Server 2003 Service Pack 1 中得到了改进，但是对失败的无线连接进行故障排除仍然很困难。在 Windows Server“Longhorn”和 Windows Vista 中，以下这些功能大大简化了无线连接的故障排除：

用于配置无线设置的命令行界面

Windows Server 2003 或 Windows XP 没有可供用户配置无线设置（通过“网络连接”文件夹中的无线对话框或“无线网络 [IEEE 802.11] 策略”组策略设置）的命令行界面。通过命令行配置无线设置，有助于在以下情况中部署无线网络：

在 Windows Server“Longhorn”和 Windows Vista 中，可在 netsh wlan 上下文中使用 Netsh 命令执行以下操作：

网络位置识别和网络配置文件

许多应用程序都不具备网络识别支持，从而使用户产生混乱，给开发人员带来负荷。譬如，应用程序无法根据当前连接的网络和条件自动调整其行为。用户可能必须根据所连接的网络（雇主的专用网络、用户的家庭网络、Internet）重新配置应用程序设置。为了消除配置负担，应用程序开发人员可以使用低级 Windows API 和数据构造，或者甚至自行探测网络以确定当前网络，并相应地调整应用程序的行为。

为了使所提供的操作系统基础结构可以使应用程序开发人员更轻松地根据当前连接的网络重新配置应用程序行为，Windows Server“Longhorn”和 Windows Vista 中的网络位置识别 API 可将网络信息提供给应用程序，并使这些应用程序可以方便、有效地适应这些变化的环境。网络位置识别 API 使应用程序能够获得最新的网络信息和位置更改通知。

有关网络位置识别 API 的详细信息，请参阅 Network Awareness（英文）。

下一代 TCP/IP 堆栈对于无线环境的增强功能

正如本文中“针对高丢失率环境的增强功能”一节所述，下一代 TCP/IP 堆栈支持一些新式的 TCP 算法。这些算法可通过从一次或多次数据包丢失中恢复并检测伪重传，来改善无线网络环境的性能。

单一登录

安全无线技术的部署促进了第 2 层网络身份验证（例如 IEEE 802.1X）的运用，从而确保仅允许经过身份验证的用户或设备连入网络，而且他们的数据在无线传输级别得到保护。Windows Server“Longhorn”和 Windows Vista 的“单一登录”功能可根据网络安全配置在恰当的时间执行 802.1X 身份验证，同时轻松而无缝地集成用户的 Windows 登录体验。

网络管理员可使用组策略设置或新的 netsh wlan 命令，来为无线客户端计算机配置单一登录配置文件。配置完单一登录配置文件后，802.1X 身份验证将在计算机登录到域之前执行，并且仅提示用户提供凭据信息（若需要的话）。这个功能确保了在执行计算机域登录之前建立无线连接，从而实现了要求在用户登录之前建立网络连接的应用方案，例如：组策略更新、执行登录脚本以及无线客户端域加入。

要获取有关使用单一登录配置文件来将 Windows Vista 无线客户端加入域的实例，请参阅 Joining a Windows Vista Wireless Client to a Domain（英文）。

基于 IEEE 802.1X 的有线连接的增强功能

在 Windows Server 2003 和 Windows XP 中，对于为身份验证交换机有线连接部署 802.1X 身份验证设置的支持较为有限。Windows Server“Longhorn”和 Windows Vista 通过以下功能改进，简化了部署经 802.1X 验证的有线连接的过程：

有线 802.1X 设置的组策略支持

对于使用 Active Directory 和组策略的环境，Windows Server“Longhorn”和 Windows Vista 在“计算机配置”/“Windows 设置”/“安全设置”/“有线网络 (IEEE 802.3) 策略”路径下，为有线连接的 802.1X 身份验证设置提供了组策略支持。

用于配置有线 802.1X 设置的命令行界面

对于不使用 Active Directory 或组策略的环境或者域加入方案，Windows Server“Longhorn”和 Windows Vista 还支持一个用于为有线连接配置 802.1X 身份验证设置的命令行界面。在 netsh lan 上下文中使用命令可执行以下任务：

有关使用有线配置文件来将 Windows Vista 有线客户端加入域的信息，请参阅 Joining a Windows Vista Wired Client to a Domain（英文）。

在采用 802.1X 身份验证的情况下集成网络访问保护

经 IEEE 802.1X 验证的有线连接可利用网络访问保护平台来阻止不符合系统运行状况要求的有线客户端获取专用网络的无限访问权。有关网络访问保护平台的详细信息，请参阅本文的“网络访问保护 (NAP)”一节。

EAPHost 基础结构

为了更方便地为经 IEEE 802.1X 验证的有线连接开发 EAP 身份验证方法，Windows Server“Longhorn”和 Windows Vista 支持新的 EAPHost 基础结构。有关详细信息，请参阅本文中“EAPHost 体系结构”部分的内容。

802.1X 服务状态的变化

在 Windows XP 和 Windows Server 2003 中，802.1X 服务在默认情况下是启用的，但被置于被动侦听模式中。在 Windows Vista 中，有线连接的 802.1X 服务（称为有线自动配置服务）在默认情况下是禁用的，不过一旦启用后，即以主动侦听模式运行。要获得 LAN 连接属性的“身份验证”选项卡以配置 802.1X 设置，必须首先启动有线自动配置服务。

返回页首

网络基础结构

Windows Server“Longhorn”和 Windows Vista 改进了以下网络基础结构组件和服务：

网络访问保护

Windows Server“Longhorn”和 Windows Vista 中的网络访问保护 (NAP) 提供了策略强制组件，以帮助确保连接到网络或在网络上进行通信的计算机符合管理员规定的系统状况要求。例如，系统状况要求可能包括所有计算机都必须安装最新的操作系统更新和防病毒签名文件。

管理员可以结合使用策略验证和网络访问限制组件，来控制网络访问或通信。管理员还可以选择临时限制不符合要求的计算机访问受限的网络。根据所选的配置，受限的网络可能包含更新不合格的计算机所需的资源，从而使这些计算机可以符合无限网络访问和正常通信的状况要求。NAP 为开发人员和供应商提供了一个 API 集，用以创建状况策略验证、网络访问限制、自动修补和持续状况策略符合性的完整解决方案。

NAP 强制技术

Windows Server“Longhorn”和 Windows Vista 包括以下 NAP 强制技术：

第三方软件供应商可使用 NAP API 创建他们自己的 NAP 强制技术。

有关 NAP 平台的详细信息，请参阅网络访问保护网页。

网络策略服务器

网络策略服务器 (NPS) 是 Microsoft 对 Windows Server“Longhorn”中远程身份验证拨入用户服务 (RADIUS) 服务器和代理的实现。NPS 替代了 Windows Server 2003 中的 Internet 身份验证服务 (IAS)。NPS 对基于 VPN 和 802.1X 的无线和有线连接执行 Windows Server 2003 中的所有 IAS 功能，并对网络访问保护客户端执行状况评估和无限或有限的访问授权。有关详细信息，请参阅本文中“网络访问保护”部分的内容。

NPS 还支持通过 IPv6 发送 RADIUS 通信流（如 RFC 3162 所定义）。

新的 EAPHost 体系结构

Windows Server“Longhorn”和 Windows Vista 包括 EAPHost，这是一种针对“可扩展的身份验证协议”(EAP) 身份验证方法和基于 EAP 的请求者的全新体系结构。EAPHost 提供了以下不受 Windows Server 2003 和 Windows XP 中的 EAP 实现支持的功能：

对于 EAP 方法供应商，EAPHost 支持针对 Windows Server 2003 和 Windows XP 开发的 EAP 方法，并提供了一种更加简单的方法，用以为 Windows Server“Longhorn”和 Windows Vista 开发新的 EAP 方法。认证的 EAP 方法可通过 Windows Update 进行分发。EAPHost 还可以更好地对 EAP 类型进行分类，从而可供内置的基于 802.1X 和 PPP 的 Windows 请求者使用。

对于请求者方法供应商，EAPHost 支持新链路层的可插入模块化请求者。由于 EAPHost 同 NAP 相集成，因此新的请求者不必具备识别 NAP 的功能。为了加入 NAP，新的请求者只需注册一个连接标识符和一个通知请求者重新进行身份验证的回调函数。

对于网络管理员，EAPHost 允许使用新的 EAP 方法并提供了更加强大而灵活的 802.1X 身份验证连接体系结构。

有关 EAPHost 的详细信息，请参阅 EAPHost Extensibility in Windows Server "Longhorn" and Windows Vista（英文）。

远程访问和 VPN 连接的增强功能

Windows Server“Longhorn”中的远程访问和 VPN 连接包含以下增强功能：

DHCP 增强功能

DHCP 服务器和 DHCP 客户端服务包含以下增强功能：

返回页首

弃用的技术

Windows Server“Longhorn”和 Windows Vista 放弃了对以下技术的支持：

返回页首

总结

Windows Server“Longhorn”和 Windows Vista 加入了许多增强功能，用以改善连接和性能，简化协议及核心网络组件的配置；提高安全性、易用性，并改进无线和经 802.1X 验证的有线连接的部署；通过要求连接的计算机符合系统状况策略，改进对专用网络的保护。

返回页首

相关链接

更多信息请查阅下列资源：

返回页首