善用 Windows Server 2008 NPS 策略實現網路存取保護 (NAP)

針對行動辦公筆電病毒庫未更新、缺乏修補程式的風險，Windows Server 2008 提供網路存取保護 (NAP)，透過 NPS (網路原則伺服器) 搭配 DHCP 強制客戶端通過健康檢查才能進入內網。

NAP 核心機制

• 客戶端需通過系統健康驗證器 (SHV) 檢查：防毒軟體啟用、防火牆開啟、自動更新運作等。
• 不合規裝置被導向受限網路（補救網路），自動下載修補程式、更新病毒碼。
• 合規後自動遷移至完整存取網路。

部署關鍵步驟

1. 安裝 NPS 角色：伺服器管理員 → 新增角色 → 「網路原則與存取服務」。
2. 配置 DHCP 選項：啟用「網路存取保護」於 DHCP 範圍屬性，設定受限與完整存取的使用者類別選項（DNS 尾碼、閘道等不同）。
3. 建立四大策略元件：
   • 系統健康驗證器：定義檢查項目（防火牆、防毒、更新）。
   • 補救伺服器群組：指定 WSUS、防毒更新伺服器 IP。
   • 健康原則：建立「通過所有檢查」與「未通過檢查」兩個原則。
   • 網路原則：定義處理邏輯，依序評估，符合即停止。

透過 NAP/NPS，企業可自動化管理端點合規，有效阻隔惡意程式入侵內網。