(推荐)Windows网络操作系统配置与管理单元十四任务2：为DHCP客户端配置NAP强制

1、(推荐)windows网络操作系统配置与管理单元十四任务2：为dhcp客户端配置nap强制windows 网络操作系统的配置与管理单元一：安装windows操作系统单元二：安装与配置活动目录域服务单元三：管理用户和组单元四：配置和管理组策略单元五：配置与管理分布式文件系统单元六：配置与管理存储系统单元七：配置与管理打印服务器单元八：ip地址与配置方法单元九：配置与管理dhcp服务器单元十：配置与管理dns服务器单元十一：配置与管理web服务器 单元十二：配置与管理adcs单元十三：配置路由与远程访问单元十四：配置网络策略服务和网络访问保护单元十四 配置网络策略服务和网络访问保护任务1 配置ra

2、dius客户端和服务器任务2 为dhcp客户端配置nap强制任务任务2 2 为为dhcpdhcp客户端配置客户端配置napnap一、课程导入二、知识原理 2.1 网络安全保护概述 2.2 nap 场景 2.3 nap 强制方法 2.4 nap 平台架构 2.5 nap 强制过程 2.6 nap强制客户端 2.7 dhcp强制工作原理 2.8 dhcp 强制的要点 2.9 部署dhcp nap的要求 2.10 使用 dhcp 部署 nap三、演示 配置dhcp nap四、小结一、课程导入如果一台带病毒的计算机连入公司内网，那么病毒很有可能通过此计算机感染其他的服务器和客户机。如果一台没有安装杀毒

3、软件或没有及时更新升级的计算机连入公司内网，那么这台计算机很有可能成为别人的肉鸡如何控制这些不安全的计算机连入公司网络？如何检测出这些不安全的计算机，并强制他们升级更新，使他们符合安全标准？二、知识原理2.1 网络安全保护概述2.2 nap 场景2.3 nap 强制方法2.4 nap 平台架构2.5 nap 强制过程2.6 nap强制客户端2.7 dhcp强制工作原理2.8 dhcp 强制的要点2.9 部署dhcp nap的要求2.10 使用 dhcp 部署 nap健康标准：体温37度舌头没有异样手足没有疱疹1.小朋友去上幼儿园2.医生为小朋友做检查3.医生参考健康标准表健康标准：体温37度舌

4、头没有异样手足没有疱疹4.如果符合健康标准5.允许进入幼儿园健康标准：体温37度舌头没有异样手足没有疱疹6.如果不符合健康标准7.要求进入医院健康标准：体温37度舌头没有异样手足没有疱疹8.在医院做完治疗9.重新返回幼儿园10.重复35步健康标准：体温37度舌头没有异样手足没有疱疹11.如果不愿意去医院治疗12.只能在幼儿园外面玩启用了更新：安装了防病毒启用了防火墙公司内部网资源远程访问客户端受限的网络外网网络健康策略nap服务器wsus服务器等2.1 网络安全保护概述dcwsus服务器病毒服务器web服务器ftp服务器健康的标准nps服务器资源服务器外网网络公园受限网络医院内部网络幼儿园na

5、p医生nap客户端小朋友2.1 网络安全保护概述dcwsus服务器病毒服务器web服务器ftp服务器健康的标准nps服务器资源服务器1.客户端登录内网服务器2.nap服务器检查客户端的健康状况3.如果符合，允许访问登录4.如果不符合健康，只允许访问受限网络或外围网络。网络访问保护概述 网络访问保护 (nap) 是一种创建、强制和修正客户端健康策略的技术，包含在 windows vista 和 windows server 2008 中。借助 nap，可以定义连接到网络的计算机的软件要求、安全更新要求以及所需的配置设置等事项的健康策略。在授予客户端计算机完全网络访问权限之前，nap 通过检查和评

6、估客户端计算机的健康状况，在客户端计算机不符合健康策略时限制网络访问，以及修正不符合的客户端计算机以使其符合健康策略来强制健康策略。nap 在尝试连接到网络的客户端计算机上强制执行健康策略。网络访问保护能够：网络访问保护能够：网络访问保护概述网络访问保护概述 在客户端计算机上强制健康要求策略在客户端计算机上强制健康要求策略 确保客户端计算机符合策略确保客户端计算机符合策略 对未满足健康要求的计算机提供更新支持对未满足健康要求的计算机提供更新支持nap有三个重要的方面：有三个重要的方面： 健康状态验证健康状态验证 健康策略符合健康策略符合 （microsoft system center con

7、figruation manager) 受限访问受限访问 2.2 nap 2.2 nap 场景场景nap 通过验证以下计算机的健康状态来对网络基础结构产生益处：通过验证以下计算机的健康状态来对网络基础结构产生益处： 漫游笔记本漫游笔记本 桌面计算机桌面计算机 外来访问笔记本外来访问笔记本 不受管理的家庭计算机不受管理的家庭计算机 方法方法要点要点用于 ipsec 保护通信的 ipsec 强制 计算机必须符合要求以与其他符合要求的计算机通信 最强的 nap 强制类型，可按 ip 地址或协议端口号应用用于经过 ieee 802.1x 身份验证的有线连接或无线连接的 802.1x 强制 计算机必须符

8、合要求以通过 802.1x 连接（身份验证交换机或访问点）获得不受限制的访问用于远程访问连接的 vpn 强制 计算机必须符合要求以通过 ras 连接获得不受限制的访问用于基于 dhcp 的地址配置的 dhcp 强制 计算机必须符合要求以从 dhcp 获得不受限制访问 的ipv4 地址配置 这是 nap 强制的最弱形式用于终端网关（ts）的强制 仅支持vista win7 windows server 20082.3 nap 2.3 nap 强制方法强制方法2.4 nap 2.4 nap 平台架构平台架构intranet更新服务器更新服务器 internetnap 健康策略健康策略服务器服务器

9、dhcp 服务器服务器 健康注册机构健康注册机构 ieee 802.1x 设备设备active directoryvpn 服务器服务器 受限网络受限网络具有限制访问权限具有限制访问权限的的 nap 客户端客户端 外围网络外围网络终端终端 服务器服务器 nap 健康策略健康策略服务器服务器基于基于windows的的nap 强制客户点强制客户点nap 管理服务器管理服务器shv apishv_1shv_2shv_2nps 服务服务radius 健康要求服务器健康要求服务器1健康要求服务器健康要求服务器2nap 代理代理nap ec apinap ec_a nap ec_bsha apisha1sh

10、a2nap client 更新服务器更新服务器1更新服务器更新服务器2nap es_bnap es_a要基于系统健康验证网络访问，网络基础结构必须提供以下功能：要基于系统健康验证网络访问，网络基础结构必须提供以下功能： 健康策略验证：判断计算机是否符合健康策略要求健康策略验证：判断计算机是否符合健康策略要求 网络访问限制：限制不符合要求的计算机的访问权限网络访问限制：限制不符合要求的计算机的访问权限 自动更新：提供必要的更新以允许不符合要求的计算机变得符合要求自动更新：提供必要的更新以允许不符合要求的计算机变得符合要求 持续符合性：自动更新符合要求的计算机以使它们遵守健康策略要求的持续更改持续

11、符合性：自动更新符合要求的计算机以使它们遵守健康策略要求的持续更改2.5 nap 2.5 nap 强制过程强制过程2.6 nap强制客户端 可以使用 nap 客户端配置管理单元启用、禁用、添加和删除网络访问保护 (nap) 强制客户端。nap 强制客户端负责请求访问网络、与授权网络访问的 nap 服务器交流客户端计算机的健康状态、与 nap 客户端体系结构的其他组件交流客户端计算机的连接状态。强制客户端描述动态主机配置协议 (dhcp)当客户端计算机尝试从 dhcp 服务器获取 ip 地址时，会强制使用健康策略。可扩展的身份验证协议 (eap)当客户端计算机尝试通过 802.1x 无线连接或身

12、份验证切换连接访问网络时，会强制使用健康策略。远程访问当客户端计算机尝试通过虚拟专用网络 (vpn) 连接获取网络访问权限时，会强制使用健康策略。internet 协议安全性 (ipsec)当客户端计算机尝试使用 ipsec 与其他计算机通信时，会强制使用健康策略。终端服务网关（ts 网关）在尝试访问终端服务器的计算机上强制实施健康策略。2.7 dhcp强制工作原理dhcp 服务器服务器 nap 健康策略健康策略服务器服务器 受限制的作用域选项 不受限制的作用域选项受限的网络基于nap强制的dhcp客户端nap 客户端会将包含其健康状况信息的 dhcp 请求消息发送到 dhcp 服务器。 dh

13、cp 服务器会将 nap 客户端的健康状况信息发送到 nap 健康策略服务器。nap 健康策略服务器评估 nap 客户端的健康状况信息。如果健康状况符合要求，dhcp 服务器将为不受限制地访问 nap 客户端分配一个 ip 地址配置，并完成 dhcp 消息交换。如果健康状况不符合要求，dhcp 服务器将为 nap 客户端分配一个 ipv4 地址配置以用于对受限网络的有限访问，并完成 dhcp 消息交换。intranet更新服务器更新服务器internetnap 健康策略健康策略服务器服务器dhcp 服务器服务器健康注册机构健康注册机构ieee 802.1x 设备设备active directo

14、ryvpn 服务器服务器受限网络受限网络具有限制访问权限具有限制访问权限的的 nap 客户端客户端 外围网络外围网络dhcp nap 强制的要点：强制的要点： 计算机必须符合才能从计算机必须符合才能从 dhcp 服务器获取访问不受限的服务器获取访问不受限的 ipv4 地址配置地址配置 对于不符合的计算机，通过只允许访问受限网络的对于不符合的计算机，通过只允许访问受限网络的 ipv4 地址配置限制网络访问地址配置限制网络访问 dhcp 强制还主动地监视强制还主动地监视 nap 客户端的健康状态并在客户端不符合时续订仅可客户端的健康状态并在客户端不符合时续订仅可访问受限网络的访问受限网络的 ipv

15、4 地址配置地址配置dhcp 强制的组件包含强制的组件包含 windows server 2008 中中 dhcp服务器服务的组件服务器服务的组件 dhcp es，以及属于，以及属于windows vista、windows xp service pack 3 和和 windows server 2008 中中 dhcp 客户端服务包含的客户端服务包含的 dhcp ec。2.8 dhcp 2.8 dhcp 强制的要点强制的要点2.9 部署dhcp nap的要求连接请求策略：网络策略： nap dhcp符合策略：定义当客户端符合健康要求时适合的策略规则（允许访问） nap dhcp不符合策略：定

16、义当dhcp nap强制客户端不符合健康策略要求时的规则。（受限访问） nap dhcp不支持nap：对不支持nap的dhcp客户端适合的策略（受限访问）健康策略： nap dhcp符合：客户端通过所有shv检查为健康 nap dhcp不符合：客户端未能通过一个或多个shv检查为不健康系统健康验证器：定义对客户端健康的要求设置。更新服务器组：指定当客户端不符合健康要求时到那里补救。2.10 使用 dhcp 部署 nap在 nps 中，配置连接请求策略、网络策略和 nap 健康策略。可以使用 nps 控制台单独配置这些策略，也可以使用新建网络访问保护向导。在可用 nap 的客户端计算机上启用 n

17、ap dhcp 强制客户端和 nap 服务。在本地计算机或远程计算机上安装 dhcp。在 dhcp mmc 管理单元中，为各个作用域或在 dhcp 服务器上配置的所有作用域启用 nap。配置 windows 安全健康验程序 (wshv)，或安装并配置其他系统健康代理 (sha) 和系统健康验程序 (shv)，取决于您的 nap 部署。三、演示 为dhcp客户端配置nap强制工作场景：工作场景： 你是时讯公司的网络管理员，时讯公司客户端计算机采用的是dhcp动态获取ip地址，为了保证内网的安全，需要监控内网客户端计算机的安全状况，特别是临时接入公司内网的计算机，更需要控制其对资源的访问，为此，公司决定采用基于dhcp的nap强制保护内网。你需要配置基于dhcp的nap强制服务。实验环境：实验环境：sh-dc1sh-svr2dhcpnapsh-cli1dhcp客户端nap客户端任务利用向导，在 nps 中，配置连接请求策略、网络策略和 nap 健康策略。健康策略的要求是：启用了更新。在sh-cli1计算机上启用 nap dhcp 强制客户端和 nap 服务。在sh-svr2计算机上安装 dhcp，并配置作用域。在 dhcp 服务器上启用 nap在dhcp服务器上为不符合nap要求的客户端配置作用域选项：015 dns域名 在dhcp服务器为符合要求的客户端配