Windows Server 2008 NAP 部署實戰：DHCP 強制執行網路存取保護

業務場景：行動員工筆電成安全隱患

媒體公司數百記者長期外出，筆電病毒庫/補丁過期，VPN 連線時間短無法完成更新，一旦攜帶惡意碼進入內網後果不堪設想。

NAP 核心機制

網路存取保護 (NAP)：用戶端必須通過健康檢查（補丁、防毒、防火牆），合規才獲完整存取權；不合規導向受限網路（修補伺服器、WSUS、防毒更新），修復後重新評估放行。

NPS + DHCP 強制模式部署步驟

1. 安裝 NPS 角色

伺服器管理員 → 新增角色 →「網路原則與存取服務」→ 勾選「網路原則伺服器」。

2. 用戶端群組原則配置

• 啟用「啟用安全中心 (僅限網域電腦)」
• 啟用「DHCP 強制用戶端」
• NAP 代理服務設為「自動」

3. NPS 健康原則四大組件配置

DHCP 作用域整合

• 啟用作用域屬性 →「網路存取保護」
• 新增「用戶類別」區分合規/不合規租約
• 不合規用戶獲特殊選項：不同 DNS 尾碼（如 testbook.com）、受限閘道/路由

驗證測試

關閉測試機防火牆 → 重新取得 IP → 導向受限網路 → 修復後釋放/續約 → 獲完整存取。