Windows Server 2008的NPS策略應(yīng)用

互聯(lián)網(wǎng) 發(fā)布時間：2009-07-02 01:50:45 作者：

　　單位員工大部分是移動辦公一族，由于病毒庫更新不及時、系統(tǒng)補丁沒有安裝，使移動辦公設(shè)備處于危險狀態(tài)，訪問內(nèi)部網(wǎng)絡(luò)時很可能威脅整個網(wǎng)絡(luò)。該如何防守網(wǎng)絡(luò)訪問這扇門呢? 　　筆者所在的單位是一家傳媒公司，有數(shù)百人的記者隊伍，每位記者都配備了筆記本電腦以及上

　　“通過所有安全驗證”策略，規(guī)定通過所有“安全中心”檢查的計算機可以獲得不受限制的網(wǎng)絡(luò)訪問權(quán)限?！皼]有通過網(wǎng)絡(luò)安全檢查”策略，對應(yīng)任何未通過一項或多項 SHV(System Health Validators)檢查的計算機。如果有計算機與此策略相符，則NPS會指示DHCP 服務(wù)器為該客戶端提供一個具有特殊NAP受限作用域選項的IP租約。該地址僅允許違規(guī)計算機訪問更新服務(wù)器組中定義的資源。啟動“網(wǎng)絡(luò)策略服務(wù)器”組件，打開“NPS(本地)”→“策略”→“網(wǎng)絡(luò)策略”，為“通過所有安全健康檢查”新建策略，同時設(shè)置訪問權(quán)限。

　　NAP部署后，當(dāng)外出記者回到公司登錄到公司的網(wǎng)絡(luò)時，首先進(jìn)行客戶端檢測，沒有安裝最新病毒庫的計算機，自動連接到病毒庫更新服務(wù)器升級病毒庫;沒有安裝系統(tǒng)補丁的計算機，自動連接到WSUS服務(wù)器升級補丁;沒有啟用防火墻的計算機，提示客戶端啟用防火墻。當(dāng)以上條件滿足后，允許客戶端連接到內(nèi)部網(wǎng)絡(luò)中，最大限度地保證網(wǎng)絡(luò)安全。

　　網(wǎng)絡(luò)訪問保護主要分為四部分：策略驗證、隔離、補救和持續(xù)監(jiān)控。

　　策略驗證是指NAP根據(jù)網(wǎng)絡(luò)管理員定義的一組規(guī)則，對客戶端計算機系統(tǒng)狀態(tài)進(jìn)行評估。NAP在計算機嘗試連接到網(wǎng)絡(luò)時會使用安全健康程序和定義的策略相比較，符合這些策略的計算機被視為狀態(tài)良好的計算機，而不符合其中一項或多項檢查標(biāo)準(zhǔn)的計算機則被認(rèn)為是狀態(tài)不良的計算機。

　　隔離可以理解為網(wǎng)絡(luò)連接限制。根據(jù)網(wǎng)絡(luò)管理員定義的策略，NAP可以將計算機的網(wǎng)絡(luò)連接設(shè)置為各種狀態(tài)。例如，如果一臺計算機因缺少關(guān)鍵的安全更新而被視為狀態(tài)不良，則NAP可以將該計算機置于隔離網(wǎng)絡(luò)中，使其與網(wǎng)絡(luò)中其他計算機隔絕，直至恢復(fù)健康(安裝補丁)為止。

　　對于已經(jīng)限制連接的那些狀態(tài)不良的計算機，NAP 提供了補救策略，被隔離的計算機無需網(wǎng)絡(luò)管理員干預(yù)即可糾正運行狀態(tài)。受限的網(wǎng)絡(luò)允許狀態(tài)不良的計算機訪問安裝必要的更新程序。

　　持續(xù)監(jiān)控，即強制計算機在與網(wǎng)絡(luò)保持連接期間，而不僅僅在初始連接時，始終監(jiān)控這些可保持狀態(tài)良好的策略。該計算機狀態(tài)如果與策略不相符合，例如禁用了Windows防火墻，則NAP將自動開啟防火墻，直至恢復(fù)正常狀態(tài)后，才可訪問網(wǎng)絡(luò)。