巧用 Windows Server 2008 NAP/NPS 策略，守護企業網路存取安全

情境痛點

媒體公司數百記者長期外出，筆電病毒碼與系統補丁嚴重落後。回公司透過 VPN 連線時，連線時間短無法完成更新，若直接放入內網極易攜帶病毒/木馬造成大規模感染。

解決方案：網路存取保護 (NAP) + 網路原則伺服器 (NPS)

Windows Server 2008 內建 NAP，強制所有用戶端 (含 VPN) 通過健康檢查 (防火牆啟用、防毒軟體最新、補丁安裝) 才允許進入內網；不合格者隔離至受限網路，自動導向修補伺服器 (WSUS、防毒更新伺服器) 修復，合格後再釋放存取權。

部署架構四步驟

1. 安裝 NPS 角色：伺服器管理員 → 新增角色 → 網路原則與存取服務 → 網路原則伺服器。安裝完成後原 DHCP 服務會被 NPS 整合版取代。
2. 用戶端群組原則：
   • 啟用「啟用安全中心 (僅限網域電腦)」。
   • 啟用「DHCP 隔離強制用戶端」。
   • 將「NAP 代理程式」服務設為「自動」。
3. 啟用 DHCP 範圍的 NAP：DHCP 管理主控台 → 範圍內容 → 「網路存取保護」頁面 → 勾選「在此範圍上啟用網路存取保護」。
4. 設定 NPS 四大核心元件 (詳見下表)。

NPS 四大核心元件詳細設定

NAP 運作四階段

1. 原則驗證：用戶端連線時，NPS 依 SHV 評估健康狀態。
2. 隔離：不合規用戶端獲發受限 IP 租約，僅能存取修補伺服器群組，與內網隔離。
3. 修補：用戶端在受限網路自動下載補丁/病毒碼、啟用防火牆，無需管理員介入。
4. 持續監控：連線期間持續評估，若中途關閉防火牆，NPS 透過 NAP 代理程式強制重新啟用，直到恢復合規才恢復完整存取。

實測效果

記者回辦公室插網/撥 VPN → 瞬間觸發 NAP 檢查 → 缺補丁者自動連 WSUS、缺病毒碼者自動連防毒伺服器、防火牆關閉者被強制開啟 → 全部合規後透明取得內網存取權。零管理介入，最大程度保障內網純淨。

部署提醒

• NPS 需安裝於網域控制站或成員伺服器，建議獨立角色避免單點故障。
• 用戶端必須為 Windows Vista/Server 2008 以上 (含 NAP 代理程式)。
• DHCP 伺服器需為 Server 2008 以上並已授權於網域。
• 修補伺服器群組的 DNS 名稱解析必須在受限網路可用 (可設靜態 Hosts 或專用 DNS 區域)。

結語

NAP/NPS 將「事後補洞」轉為「事前檢查 + 自動修復」，以原生 Windows 元件零成本實現企業級網路存取控制 (NAC)，極適合行動裝置頻繁進出的中大型組織。