Windows Server 2008 引入網路存取保護 (NAP)，透過健康原則驗證用戶端合規性（防毒、更新、防火牆），限制不合規裝置存取網路資源。本文涵蓋 NPAS 角色安裝、NPS 設定、健康驗證器 (SHV)、補救伺服器、IPsec 強制模式等完整部署流程。
一、架構概覽
- NAP：功能名稱，由多項服務協作實現。
- NPAS (Network Policy and Access Services)：伺服器角色，包含 NPS、RAS、Routing、HRA。
- NPS (Network Policy Server)：核心策略引擎，繼承自 2003 IAS，支援 RADIUS、802.1X、VPN、DHCP、IPsec 等強制點。
- HRA (Health Registration Authority)：簽發健康憑證，用於 IPsec 強制模式。
- SHV (System Health Validator)：驗證用戶端健康狀態（防火牆、自動更新、防毒/反惡意軟體簽章版本）。
- 補救伺服器：提供更新、防毒簽章、修補程式下載，讓不合規用戶端修復。
二、安裝 NPAS 角色
- 開啟「伺服器管理員」→「角色」→「加入角色」。
- 勾選「網路原則與存取服務」，下一步至「角色服務」頁面勾選：
□ 網路原則伺服器 (NPS)
□ 健康註冊授權單位 (HRA) — 僅 IPsec 模式需求
□ 路由與遠端存取服務 (RRAS) — VPN/撥接強制需求
□ 主機認證通訊協定 (HCP) — DHCP 強制需求
- 完成安裝，「開始」→「系統管理工具」將出現「網路原則伺服器」。
三、NPS 基礎設定
- 開啟 NPS 主控台，右鍵「NPS (本機)」→「註冊至 Active Directory」（網域環境必須）。
- 建立 RADIUS 用戶端：
「RADIUS 用戶端與伺服器」→「新增」→ 輸入 NAS/IP、共用密碼、廠商名稱（如 Cisco、Microsoft RRAS）。
- 設定連線要求原則：
「原則」→「連線要求原則」→ 新增 → 指定條件（NAS 識別碼、NAS 連接埠類型等）→ 設定驗證/轉送行為。
四、健康原則與 SHV 設定
- 「網路存取保護」→「系統健康驗證器」→ 確認「Windows 安全健康代理程式」已啟用。
- 編輯 SHV 設定，勾選需驗證項目：
☑ Windows 防火牆已啟用
☑ 自動更新已開啟
☑ 防毒軟體已安裝且簽章最新 (支援 Forefront、Symantec、Trend Micro、McAfee)
☑ 反惡意軟體 (Windows Defender)
☑ 可指定 WSUS 伺服器供用戶端就近更新
- 建立健康原則：
「網路原則」→ 新增 → 名稱「NAP 健康原則」→ 條件：「健康狀態」=「符合所有 SHV 需求」→ 存取權限：「授與存取權限」→ 限制：「僅允許符合健康原則的用戶端」。
五、強制執行點設定
1. 802.1X 有線/無線
- 交換器/AP 設定 RADIUS 驗證指向 NPS。
- NPS 建立「網路原則」條件：NAS 連接埠類型 = 802.1X，健康狀態 = 符合。
2. VPN (RRAS)
- RRAS 伺服器設定 RADIUS 驗證/記帳指向 NPS。
- NPS 網路原則條件：NAS 連接埠類型 = VPN，健康狀態 = 符合。
- 不符合用戶端可導向補救網路 (受限 VLAN/子網)。
3. DHCP 強制
- DHCP 伺服器安裝「網路存取保護」元件，指定 NPS IP。
- 範圍屬性 → 「網路存取保護」→ 啟用，選擇「完整存取」/「受限存取」網路原則名稱。
- 不合規用戶端取得受限 IP，僅能存取補救伺服器。
4. IPsec 強制 (需 HRA)
- 安裝 HRA 角色服務，設定 SSL 憑證、健康憑證範本。
- NPS → HRA 設定 → 綁定 HRA URL。
- 用戶端通過 SHV 取得健康憑證，IPsec 協商時雙向驗證憑證，無憑證者無法通訊。
六、記帳與稽核
- NPS →「記帳」→ 設定記錄檔格式 (IAS/CSV/SQL)。
- 金融業建議轉存至 SQL Server 集中稽核。
- 定期審閱事件 ID 6273 (存取拒絕)、6274 (存取允許)、6275 (健康原則不符)。
七、用戶端設定 (Windows Vista/7/8/10)
- 啟用「網路存取保護代理程式」服務 (自動)。
- 群組原則：電腦設定 → Windows 設定 → 安全性設定 → 網路存取保護 → 啟用用戶端介面。
- 確認用戶端防毒軟體已向 WMI 註冊 (Security Center 2.0)，否則 SHV 會判定「未安裝防毒」。
八、常見問題排查
| 現象 | 可能原因 | 對策 |
|---|
| 用戶端永遠「受限」 | SHV 判定防毒未安裝 | 確認防毒軟體向 WMI 註冊；或在 SHV 排除該防毒廠商 |
| VPN 連線後無網路 | 補救網路路由未正確 | 檢查 RRAS 靜態路由、防火牆規則允許補救伺服器通訊 |
| HRA 憑證簽發失敗 | 憑證範本權限/主體名稱格式錯誤 | 重新複製「使用者」範本、授與「註冊」權限、主體名稱 = 使用者主體名稱 (UPN) |
NAP 雖在 Windows Server 2012 R2 後標記為「已取代」 (由裝置健康證明/條件式存取取代)，但在存續期內仍為保護舊版用戶端 (XP/Vista/7) 的有效機制。依循本指南部署，可建立以健康狀態為基礎的網路存取控制體系。
