部署 NAP for DHCP 限制不合規用戶端取得 IP：健康原則伺服器、修補伺服器群組、DHCP 強制 NAP 驗證完整實作

網路存取保護 (NAP) 整合 DHCP，可強制用戶端通過健康檢查（防火牆啟用、更新最新、防毒軟體運行）才能取得正式 IP，否僅配發受限 IP 進入修補網路。本文以 Windows Server 2008 (DHCP+NAP) + Vista 用戶端為環境，完整示範：健康原則伺服器設定（僅檢查防火牆）、WSUS 修補伺服器群組建立、DHCP 範圍啟用 NAP、用戶端驗證流程測試。

環境架構

• Ctocio：Windows Server 2008，同時擔任 DHCP 伺服器、NAP 健康原則伺服器 (NPS)、WSUS 修補伺服器 (192.168.1.1)。
• Test：Windows Vista 用戶端。

步驟一：NPS 設定健康原則

1. 「伺服器管理員」►「原則」►「網路原則伺服器」►「NPS (本機)」►「網路存取保護」►「系統健康驗證器」。
2. 雙擊「Windows 安全健康驗證程式」►「設定」► 僅勾選「防火牆」►「所有網路連線已啟用防火牆」► 取消其他選項。

步驟二：建立修補伺服器群組

1. NPS 主控台 ►「網路存取保護」►「修補伺服器群組」► 右鍵「新增」。
2. 群組名：「Windows 更新修補伺服器群組 1」► 「新增」► IP 輸入 192.168.1.1 (WSUS)。

後續步驟（摘要）

1. 建立網路原則：授權存取條件 = 機器群組「Domain Computers」；限制條件 = NAP 相容；授予完整 IP 租約。
2. 建立受限網路原則：條件 = NAP 不相容；授予受限 IP 範圍 (如 169.254.x.x)；啟用 DHCP 選項 249/121 導向修補伺服器。
3. DHCP 主控台 ► 範圍 ► 「內容」►「網路存取保護」► 啟用「在此範圍上強制執行網路存取保護」。
4. 用戶端測試：Vista 防火牆關閉 → 續約 IP → 取得受限 IP → 無法存取內網資源 → 開啟防火牆 → 續約 → 取得正式 IP → 存取恢復正常。

關鍵優勢

• 零客戶端軟體部署（Vista/Win7/Server 2008 內建 NAP 代理程式）。
• 健康需求可擴充：第三方防毒/防火牆廠商提供 SHV (System Health Validator) 即可納管。
• 修補網路隔離：受限用戶端僅能連線 WSUS/防毒更新伺服器，無法存取業務資料。