Windows Server 2008 網路存取保護（NAP）完整部署指南

區域網路中單一電腦中毒即可能波及全網。Windows Server 2008 內建「網路存取保護」（Network Access Protection，NAP）功能，可強制裝置符合健康標準（防毒啟用、防火牆開啟、修補程式最新）才允許接入網路，有效阻隔帶毒裝置。本文提供完整步驟部署 NAP 搭配 DHCP 強制執行。

架構概覽

• NAP 客戶端：需符合健康原則的電腦（Windows XP SP2+、Vista、Win7、Win10）。
• 系統健康驗證器 (SHV)：檢查防毒、防火牆、更新狀態等。
• 健康原則：定義「健康」與「不健康」條件。
• 網路原則伺服器 (NPS)：RADIUS 伺服器，評估健康狀態並發出存取權杖。
• 強制點：DHCP 伺服器、VPN 伺服器、802.1X 交換器、IPsec、RD Gateway。

部署步驟

1. 安裝 NPS 與 NAP 角色服務

伺服器管理員 → 角色 → 新增角色 → 網路原則與存取服務
  → 勾選「網路原則伺服器 (NPS)」「健康登錄代理程式」「主機認證通訊協定」
完成安裝。

2. 設定系統健康驗證器 (SHV)

NPS 主控台 → 網路存取保護 → 系統健康驗證器
→ 選取「Windows 安全健康驗證程式」→ 屬性 → 設定
→ 勾選：
  ☑ 防毒軟體已啟用
  ☑ 防毒軟體為最新版本
  ☑ 所有網路連線已啟用防火牆
  ☑ 自動更新已啟用（選用）

3. 建立健康原則

NPS → 原則 → 健康原則 → 新增
名稱：健康電腦
條件：用戶端通過所有 SHV 檢查
SHV：Windows 安全健康驗證程式

再新增一條：
名稱：不健康電腦
條件：用戶端未通過一個或多個 SHV 檢查
SHV：同前

4. 建立網路原則（授權/拒絕存取）

NPS → 原則 → 網路原則 → 新增
原則名稱：健康連線
條件：健康電腦（健康原則）
權限：授與存取
健康原則：NAP 強制允許完整網路存取

原則名稱：不健康連線
條件：不健康電腦
權限：拒絕存取
健康原則：拒絕存取（或限制存取至補救網路）

5. 設定 DHCP 伺服器整合 NAP

DHCP 主控台 → 作用域 → 屬性 → 網路存取保護 索引標籤
→ 勾選「在此作用域啟用網路存取保護」
→ 選擇「使用預設網路存取保護設定檔」
→ 確定。

6. 用戶端設定

客戶端網卡設為「自動取得 IP 位址」，即會觸發 NAP 健康檢查。不合規裝置將只取得受限 IP（補救網路），無法存取生產資源。

補救網路設計（最佳實務）

• 建立獨立 VLAN/子網作為補救網路，僅允許存取：WSUS/更新伺服器、防毒更新伺服器、修補程式部署伺服器、NAP 用戶端修復工具。
• 設定 DHCP 選項 249/121 靜態路由，引導不合規裝置僅能連線補救資源。
• 設定 NAP 客戶端自動修復（Windows Security Center 整合）。

驗證與監控

• netsh nap client show state：檢視用戶端 NAP 狀態。
• NPS 主控台 → 監控 → 會計記錄 → 檢視存取接受/拒絕記錄。
• 事件檢視器 → 應用程式與服務記錄 → Microsoft → Windows → Network Access Protection。

注意事項

• NAP 於 Windows Server 2012 R2 後標記為「已淘汰」，新部署建議改用 NPS + 802.1X + 條件式存取 (Azure AD/Intune) 或 Windows Defender ATP 機器風險評分 方案。
• Windows Server 2008/2008 R2 已結束主流支援，生產環境請規劃升級遷移。
• 若環境包含非 Windows 裝置（Linux、Mac、印表機、IoT），需搭配 802.1X 或 MAC 繞過（MAB）機制。