IIS建站实战：从环境配置到性能调优全解析

为什么还有人坚持用 IIS 建站

在 Nginx 和 Apache 几乎垄断讨论声量的今天，IIS 常被新手忽略。但在真实的企业环境里，它的存在感远比论坛上要强。原因很直接：大量政府、金融、传统制造业的内部系统跑在 Windows Server 上，配套的业务代码往往是 ASP.NET 或 .NET Framework 写的，这类项目搬到 Linux 反而要额外折腾。对这些团队来说，用系统自带的 IIS 建站，是成本最低的选择。

它的优点集中在几个方面：与 Windows 深度整合，装好系统基本就能用；图形化管理界面对不熟悉命令行的运维友好；和 Active Directory、SQL Server 的对接顺畅。缺点也很明显，单机高并发场景下调优空间不如 Nginx，且强绑定 Windows 生态。所以选不选它，关键看你的技术栈，而不是看它"新不新"。

搭建前的环境准备

IIS 不需要单独下载，它是 Windows 的一个可选功能。在 Windows Server 上通过"服务器管理器—添加角色和功能"勾选"Web 服务器（IIS）"即可；家用的 Windows 专业版则在"启用或关闭 Windows 功能"里找到 Internet Information Services。

不要一股脑全勾

很多教程让人把所有子功能全选，这其实埋隐患。装得越多，暴露的攻击面越大。建议按需选择：静态站点只留基础的静态内容组件；跑 ASP.NET 要额外勾选对应版本的 .NET 扩展和 ISAPI 筛选器；如果打算跑 PHP，则需要 CGI 组件以支持 FastCGI。用不到的 FTP、WebDAV 一律不装。

核心配置步骤拆解

装好之后，打开 IIS 管理器，真正的工作才开始。一个站点能不能跑起来、跑得稳不稳，主要取决于下面几块的配置是否到位。

• 站点与绑定：新建站点时要指定物理路径、绑定的主机名和端口。同一台服务器想放多个网站，靠的就是"主机名"这一列做区分，否则多个站点抢同一个 80 端口会直接冲突。
• 应用程序池：这是 IIS 里最容易被忽视、却最影响稳定性的部分。每个站点最好独立一个应用程序池，这样一个站崩了不会拖垮其他站。托管管道模式、.NET CLR 版本要和你的程序匹配，跑 PHP 或纯静态站则应把 CLR 版本设为"无托管代码"。
• 权限设置：网站目录要给应用程序池的运行账户读取权限，上传目录才额外开写入。权限给得过宽是很多安全事故的源头。
• HTTPS 证书：在"服务器证书"里导入证书，再回到站点绑定里新增 https 绑定并选择证书。如今没有 HTTPS，搜索引擎和浏览器都会区别对待。

PHP 站点还需在"处理程序映射"里添加模块映射，把 .php 请求交给 php-cgi.exe 处理，并在 FastCGI 设置里适当调高实例数和超时时间，否则并发一高就容易 502。

一个真实案例：从每天崩三次到稳定运行

去年帮一家做机械配件的公司看过他们的官网。站点是外包做的 ASP.NET 项目，放在一台 Windows Server 上，问题是每到工作日上午访问量一起来，网站就间歇性打不开，重启服务能好一阵，下午又犯。

排查下来，根子不在代码，而在配置。第一，所有子站点和后台管理共用一个应用程序池，其中一个页面有内存泄漏，把整个池子拖垮，连带前台一起挂。第二，应用程序池的"回收"设置用的是默认值，固定时间强制回收，偏偏卡在业务高峰，回收瞬间大量请求排队超时。

处理方式并不复杂：把前台、后台、图片服务拆成三个独立应用程序池；把定时回收改成基于内存阈值和空闲时间的回收策略，并避开上午的访问高峰；同时给存在泄漏的模块加了监控。调整之后，网站再没出现过整站宕机，高峰期的响应时间也明显回落。这个案例说明，IIS 建站出问题，多数时候不是软件不行，而是没按业务特点去配。

安全与性能：容易被忽视的细节

把网站跑起来只是第一步，能长期稳定又安全才算合格。以下几点是实战中反复验证过的要点：

• 隐藏版本与多余信息：默认响应头会暴露服务器类型和版本，删掉或改写这些信息，能减少被针对性扫描的概率。
• 开启日志并定期看：IIS 的访问日志是排查问题和发现异常访问的第一手资料，很多攻击苗头都能从日志里提前看出来。
• 启用静态与动态压缩：对文本、脚本类资源开启压缩，能明显降低带宽占用、加快首屏，配置成本几乎为零。
• 合理设置缓存：对图片、样式表等静态资源设置客户端缓存过期时间，减少重复请求。
• 及时打补丁：IIS 的安全更新跟随 Windows 一起发布，别因为"怕影响业务"长期不更新，历史上不少漏洞正是钻了拖延更新的空子。

总的来说，IIS 建站并不神秘，它更像一套需要按场景细调的工具。对于 Windows 技术栈的团队，与其纠结它是否"过时"，不如把应用程序池、权限和回收策略这些基本功做扎实。配置得当的 IIS，完全能支撑起一个访问量可观、运行稳定的正式站点。