Windows Server 2008 啟用網路存取保護 (NAP) 完整部署指南：健康原則、驗證策略、網路原則、DHCP 強制

網路存取保護 (NAP) 可強制要求連線裝置符合健康標準 (防毒軟體啟用、防火牆開啟、病毒碼更新) 才允許完整網路存取，否則僅獲受限存取或拒絕。本文詳細說明五大部署階段：安裝 NPS 角色、建立健康驗證器、建立健康/非健康驗證策略、建立網路原則、設定 DHCP 強制執行 NAP。

部署架構概覽

• NPS (網路原則伺服器) 角色 = RADIUS 伺服器 + 健康原則伺服器 (HRA)
• DHCP 伺服器攔截用戶端租約請求 → 轉交 NPS 驗證健康狀態 → 依結果發放完整/受限租約

五大步驟詳細流程

1. 安裝網路原則與存取服務角色

1. 伺服器管理員 → 角色 → 新增角色 → 勾選「網路原則與存取服務」
2. 角色服務勾選「網路原則伺服器」 → 安裝完成

2. 設定系統健康驗證器 (SHV)

1. 伺服器管理員 → 角色 → 網路原則與存取服務 → NPS → 網路存取保護 → 系統健康驗證器
2. 右鍵「Windows 安全性健康驗證程式」 → 內容 → 設定
3. 勾選：「防毒軟體已啟用」、「所有網路連線已啟用防火牆」、「防毒軟體為最新版本」

3. 建立健康/非健康驗證策略

1. NPS → 原則 → 健康原則 → 新增
2. 健康策略：名稱「健康電腦」→ 用戶端 SHV 檢查「通過所有 SHV 檢查」→ SHV 選「Windows 安全性健康驗證程式」
3. 非健康策略：名稱「非健康電腦」→ 用戶端 SHV 檢查「未能通過一或多個 SHV 檢查」→ 其餘相同

4. 建立網路原則 (連線授權規則)

1. NPS → 原則 → 網路原則 → 新增
2. 健康連線：名稱「健康連線」→ 類型「DHCP 伺服器」→ 條件加入「健康電腦」策略 → 存取權限「授與存取」→ 處理「僅執行電腦健康檢查」→ 設定「NAP 強制允許完整網路存取」
3. 非健康連線：名稱「非健康連線」→ 條件「非健康電腦」→ 存取權限「拒絕存取」→ 其餘相同

5. 設定 DHCP 伺服器強制執行 NAP

1. 伺服器管理員 → 工具 → DHCP
2. 右鍵目標範圍 → 內容 → 「網路存取保護」索引標籤
3. 勾選「對此範圍啟用」→ 選「使用預設網路存取保護設定檔」→ 確定

運作流程驗證

1. 符合健康標準的用戶端 → 取得完整 DHCP 租約 → 正常存取網路資源
2. 不符合標準 (防毒關閉/防火牆關閉/病毒碼舊) → 僅獲受限租約 (可連線修補伺服器) 或被拒絕
3. 事件檢視器 → NPS 記錄可查看健康評估結果與授權決策

注意：NAP 為 Windows Server 2008/2008 R2 特有功能，較新版本 (2012 R2 起) 已棄用，建議改用裝置健康證明 (DHA) 或條件式存取方案。