如何為Windows Server 2008配置NAP服務
Windows server 2008發布于08年2月份，是微軟網絡接入保護（NAP）計劃的組成部分，它擁有微軟期待已久的專有網絡訪問控制架構。本文將講解NAP在安裝過程中需要配置的內容。但是，考慮到微軟的Forefront軟件或第三方NAP相關附加產品本身有很多的特性和功能，因此我們所講解的只是一個簡單的配置，以及部分NAP功能。
我們先打開Network Policy Server然后在下拉框里面配置NAP：
注意到它支持各種不同的網絡連接方法，包括DHCP，802.1x和VPN。可以選擇任何一種連接方法，它們都可以使端點連接到受保護的網絡，然后給予該選擇一個名稱。在配置界面底部提供了幫助文件，這些文件說明了一些在安裝過程中的需求。它們不同于一般的幫助文件，不僅非常好的描述了該網絡基礎架構中需要的元素，而且指出了哪些元素是系統不支持的。
例如，有線802.1X就可以使該向導建立連接請求策略以及健康配置NAP網絡系統。
802.1x使用的NAP enforcement
基于端口的網絡訪問控制802.1x使用的NAP enforcement客戶端的部署是基于運行在網絡策略服務器（NPS）和EAP enforcement主客戶端組件之上的。使用基于802.1x的NAP enforcement客戶端，NPS服務器可以指示一個802.1X認證交換機和兼容802.1X的無線接入點,從而調整不符合802.1x網絡的客戶端。NPS服務器通過運用IP過濾器和虛擬局域網連接標識符，可以限制客戶端的網絡接入。 802.1x的enforcement客戶端通過訪問802.1x的服務器，對所有訪問網絡的計算機提供強大的網絡訪問限制。
有線802.1x的需求
要部署基于有線802.1x的NAP，你必須作以下配置：
需要配置NPS連接請求策略，網絡策略，和NAP健康策略。你可以使用NPS控制臺來配置這些策略，也可以使用新的網絡訪問保護(NNAP)向導。
安裝和配置802.1x的認證交換機。
保證可以使用NAP,并且客戶端使用EAP enforcement驗證機制，并且保證客戶端的NAP服務開啟。
根據你的NAP部署來配置Windows安全健康驗證器（WSHV）或安裝和配置其他健康系統（SHAs）。
#p#如果你使用了智能卡或證書來進行PEAP-TLS或EAP-TLS與TLS驗證的，需要使用活動目錄的證書服務(AD CS)來部署一個公共密鑰基礎設施（PKI）。
如果你使用PEAP-MS-CHAP第二版，需要使用AD CS來進行服務器端的認證或者從其它受信的根證書頒發機構購買服務器認證。
無線802.1x的需求
要部署基于無線802.1x的NAP，你必須作以下配置：
需要配置NPS連接請求策略，網絡策略，和NAP健康策略。你可以使用NPS控制臺來配置這些策略，也可以使用新的網絡訪問保護(NNAP)向導。
安裝和配置802.1x的無線訪問接入點。
保證可以使用NAP,并且客戶端使用EAP enforcement驗證機制。
根據你的NAP部署來配置Windows安全健康驗證器（WSHV）或安裝和配置其他健康系統（SHAs）。
在這一點上，如果為了達到測試目的，我建議你選擇DHCP。配置一個獨立的Windows Server 2008服務器并選擇了802.1x的連接可能會帶來很多問題。微軟的網站上支持頁面有關于PEAP-TLS身份驗證和Windows Server 2008的更多信息。
接下來，添加一個RADIUS客戶端節點，比如身份驗證交換機。它們不是客戶端PC，但其他任何用戶的身份驗證過程都需要與RADIUS服務器對話。
其次，建立一個有相同策略要求的組，比如客戶工作人員或者人力資源工作人員。這些群體必須已經建立在Active Directory（活動目錄）中。可以到Manager/Configuration/Groups部分然后增加這些組。
下一步是建立一個修復服務器組來存儲更新軟件和修復不符合策略要求客戶端電腦。也可以包括一個URL，為沒過通過評估用戶提供相關信息，使其到達評價標準，如下圖所示：
下一步是建立一個健康策略，使用的是NAP服務器的健康驗證器。在此屏幕上，有一個選項，用于確定PC不通過審核后將會怎樣：它可以只能訪問受限網站，或者被獲準進入所有網絡。（注意這兩個選項在下面的屏幕截圖屏幕底部的復選框）。
這就是健康策略定義。點擊完成，回到網絡策略服務器管理器，在NAP菜單樹上，右鍵系統健康驗證器點擊查看其屬性表，如下所示：
這里兩個標簽，分別對應XP客戶端和Vista客戶端，另外，Vista的標簽有更多的項目配置項。那么對于老版本的Windows和非Windows操作系統客戶端怎么辦呢？其實，他們不包括在NAP中。對這些機器進行網絡訪問管理，必須有額外的第三方軟件。
在這里，告訴驗證器檢查每臺電腦，確認他們是否打開了防火墻，安裝防病毒更新，等等。一旦完成，再次回到策略服務器的策略菜單樹，并確保所有的各項策略得到正確設置。這里顯示了由向導已經配置的各項網絡策略：
單擊確定，這時你已成功的設置你的第一個NAP服務器！有些服務可能需要調整，以便在開機時它們能正常啟動，如果不使用這些服務則不必進行調整。
同樣，請記住，這只是一個基礎的配置。殺毒軟件供應商及
代理等將需要掛接到該服務器，接下來，你就可以開始體驗NAP和Windows Server 2008了。
【編輯推薦】
