Windows Server 2008 網路存取保護 (NAP) 部署指南：打造合規準入的安全局域網

網路存取保護 (NAP) 可強制檢查接入裝置的健康狀態（防毒、防火牆、修補程式等），不合規裝置導向受限網路或修補伺服器，合規後才授予完整存取。本文說明 NAP 運作原理與在 Windows Server 2008 上的啟用、健康原則、系統健康驗證器 (SHV)、修補伺服器群組與 DHCP 整合設定。

一、NAP 運作流程

1. 健康認證檢查：依預先定義健康原則評估用戶端。
2. 網路隔離：不合規裝置導向隔離/受限網路（如僅能存取修補伺服器）。
3. 強制修補：自動導向指定伺服器下載防毒碼、修補程式。
4. 持續監控：合規裝置持續接受健康狀態重新評估。

二、安裝 NAP 角色服務

1. 伺服器管理員 → 角色 → 「新增角色」→ 勾選「網路原則與存取服務」。
2. 角色服務勾選「網路原則伺服器」及相關子項 → 安裝。

圖 1：開始前確認需求

圖 2：角色服務設定

三、設定健康原則與 SHV

1. 開啟「網路原則伺服器」主控台。
2. 建立健康原則：原則 → 健康原則 → 新增
   • 「安全原則」：用戶端通過所有 SHV 檢查
   • 「不安全原則」：用戶端未通過所有 SHV 檢查
3. 設定系統健康驗證器 (SHV)：網路存取保護 → 系統健康驗證器 → 「Windows 安全性健康驗證程式」→ 內容 → 設定
   勾選所需檢查項：
   • 所有網路連線已啟用防火牆
   • 防毒軟體已啟用
   • 反間諜軟體已啟用
   • 已啟用自動更新
   依環境安全需求調整。

圖 3：健康原則

圖 4：系統健康驗證原則

四、建立修補伺服器群組

1. 網路存取保護 → 修補伺服器群組 → 新增。
2. 加入防毒碼更新伺服器、WSUS 修補伺服器 IP/主機名稱。
3. 不合規用戶端將自動連線此群組下載更新，更新完成後重新評估健康狀態。

圖 5：新增修補伺服器群組

五、整合 DHCP 強制執行 NAP

關閉路由器內建 DHCP，啟用 NAP 整合的 Windows DHCP 服務，配合 NAP 強制執行健康原則。DHCP 租約發放前將檢查用戶端健康狀態，不合規僅發放受限租約（如僅能存取修補伺服器群組）。

部署完成後，所有接入裝置必須符合健康基準才能取得完整網路存取權，有效阻擋無防毒、未修補、防火牆關閉等高風險裝置，提升局域網整體安全態勢。