网络访问保护平台概述

确保连接到专用网络的计算机能正常运行是网络管理员亟待解决的问题。例如，正常运行的计算机安装适当的安全防护软件（如防病毒保护软件），当前操作系统更新以及正确的配置（如启用基于主机的防火墙）。由于此问题可能涉及到可以访问各种 Internet 热点网及其他专用网络的笔记本电脑的便携性特点，以及通过家用计算机使用远程访问连接，因而使人望而却步。如果连接的计算机运行状况不正常，则该计算机所属的专用网络将随时可能遭受恶意软件（如网络病毒和蠕虫）的各种攻击。当前版本的Microsoft® Windows® 没有允许网络管理员执行下列操作的内置功能：

•	集中配置一组策略，用于指定系统正常状况。
•	在能够访问专用网络或专用网络资源之前，验证系统状况正常。
•	隔离包含资源的受限网络上的运行不正常的计算机，以使该计算机恢复正常运行状态。 为啥很多游戏厂商都愿用迅雷 两大原因 守号15年，我还没中奖，彩票店先没了 经常看“不良网站”，这3个痕迹藏不住，开启“无痕模式”也没用 “马赛克视频”AI还原软件被疯传！测试效果出乎意料！

Windows Server™ "Longhorn" 的网络访问保护 (NAP) 平台提供各种组件和基础结构，可帮助管理员进行验证，并强制执行与网络访问策略的兼容性。管理员可以创建解决方案以验证连接到其网络的计算机、提供所需更新或访问所需资源，并限制不符合条件的计算机的网络访问。NAP 的验证和强制功能可与来自其他供应商的软件集成或与自定义程序集成。

注意：NAP 不是针对防止恶意用户破坏网络而设计的。它专用于帮助管理员保持专用网络上的计算机的正常运行。NAP 与网络访问的身份验证和授权一起使用，如针对无线访问使用 IEEE 802.1X。NAP 不阻止运行正常的计算机上经过身份验证和授权的用户向网络上载恶意程序，也不阻止其做出其他不合适行为。

NAP 平台体系结构

NAP 部署环境中包括下列计算机：

NAP 客户端体系结构

NAP 客户端是指运行 Windows Vista™、Windows Server "Longhorn" 或含 Service Pack 2 (SP2) 的 Windows XP（包含不可用于 Windows Vista Beta 1 或 Windows Server "Longhorn" Beta 1 的更新）的计算机。下图显示了 NAP 客户端上的 NAP 平台的体系结构。

 

你被各式的电话推销骚扰过吗？说了不需要还能接到电话	同样是街拍，为什么别人能拍出“电影感”？
原来水还能这样拍！涨知识了！	黑客大佬Dan Kaminsky去世，年仅42岁！

NAP 客户端体系结构包含：

为指示系统运行情况的特定元素（例如计算机上正在运行的防病毒软件或上次应用的操作系统更新）的状态，SHA 会创建“运行状况声明”(SoH) 并将其传递给“隔离代理”。“隔离代理”维护 SoH 列表

NAP 服务器体系结构

NAP 服务器是运行 Windows Server "Longhorn" 的计算机。NAP 平台体系结构包括新组件和现有组件的更新版本。下图显示了 NAP 平台的服务器端支持的体系结构，它由 NAP 服务器上的组件和 IAS 服务器组成。

 

NAP 服务器有一个“强制隔离客户端”(QES) 组件层。每个 QES 都针对不同类型的网络访问而定义。例如，有用于 DHCP 配置和 VPN 连接的 QES。QES 与具备 NAP 能力的特定类型客户端匹配。例如，DHCP QES 设计为与基于 DHCP 的 NAP 客户端一起工作。

NAP 服务器上的 QES 从 NAP 客户端上与其相应的 QEC 获取 SoH 列表，并使用“远程身份验证拨号用户服务”(RADIUS) 将它们发送到 IAS 服务器。

IAS 服务器拥有下列组件：

“隔离服务器”可将 SoH 从 NAP 客户端传递到相应的 SHV。SHV 创建 SoH 响应 (SoHR) 并将它们传递给“隔离服务器”，该服务器可对照系统运行状况策略评估 SoHR，以确定是否限制 NAP 客户端的网络访问。“隔离代理”将 SoHR 传递给 NAP 客户端，以进行可能的系统运行状况修正。

要指定一组系统运行状况要求，网络管理员需配置 IAS 服务器上的系统运行状况策略。

NAP 提供下列类型的隔离：

IPsec 隔离可将网络通信限制在被视为运行状况正常的节点，同时由于利用 IPsec，所以您可以在每个 IP 地址或每个 TCP/UDP 端口号的基础上定义与正常运行的客户端的安全通信要求。与 DHCP 隔离和 VPN 隔离不同，IPsec 隔离可在客户端已连接并获得有效的 IP 地址配置后限制与正常运行的客户端的通信。IPsec 隔离是采用 NAP 的最强大的隔离形式。

要扩展 NAP 平台并创建用来评估已连接客户端的运行状况的新方法，第三方软件供应商必须为 NAP 客户端创建 SHA，为 IAS 服务器或者提供或授权网络访问的 NAP 服务器创建 SHV，并在必要时创建策略服务器。如果策略服务器已经存在（如防病毒签名部署服务器），则只需创建相应的 SHA 和 SHV 组件。在某些情况下不需要策略服务器，例如使用 SHV 检查 Windows 注册表设置时。

比较 NAP 与网络访问隔离控制

尽管它们的名称相似，但网络访问隔离控制（Windows Server 2003 的功能之一）与 NAP 存在显著差异。网络访问隔离控制允许网络管理员执行有限的运行状况强制措施，但仅限远程访问连接（拨号或 VPN）。

连接网络访问隔离控制客户端后，它即被限制为可通过 IP 数据包过滤器（远程访问服务器应用到客户端的连接）访问的目标的子集。远程访问客户端使用自定义拨号器运行脚本以验证系统运行状况，如“连接管理器管理工具包”(CMAK) 创建的“连接管理器”配置文件。在远程访问客户端的通告程序组件向远程访问服务器的侦听器组件发送通知消息后，远程访问服务器将删除限制。通知消息指示远程访问客户端已通过了所有系统运行状况测试。正在连接的客户端是否与系统运行状况策略兼容的所有处理均在客户端通过脚本完成。系统运行状况策略中的更改可能需要新的脚本，这种情况下必须创建新的“连接管理器”配置文件，并分发给所有远程访问客户端。

NAP VPN 客户端连接时，其运行状况将在 VPN 连接完成前评估。如果 NAP VPN 客户端运行正常，则它可以完全访问专用网络。如果 NAP VPN 客户端运行不正常，则客户端将被限制为可通过 IP 数据包过滤器（由 VPN 服务器应用到客户端连接）访问的目标的子集。客户端发送符合网络策略设置的 SoH 列表后，这些限制将被删除。IAS 服务器执行连接客户端与系统运行状况策略是否兼容的处理。系统运行状况策略中的更改将在请求 NAP VPN 客户端执行新更正操作时自动执行。

NAP 平台和网络访问隔离控制的不同之处如下：

下表将网络访问隔离控制组件与采用 NAP 的 VPN 隔离的相应组件进行比较。