【IT168 专稿】俗话说“林子大了，什么鸟都有”，当局域网规模比较大时，接入到局域网网络中的客户端工作站安全状况也是参差不齐，有只安装了杀毒软件的，有只安装了防火墙的，也有同时安装杀毒软件或防火墙的，更有什么也没有安装的。当没有采取任何安全保护措施的工作站访问局域网服务器时，网络病毒很可能会通过这些工作站袭击服务器甚至整个局域网网络，从而导致服务器不能正常对外提供服务，造成整个局域网网络运行效率下降。

        那我们怎样才能有效防止那些存在潜在安全隐患的客户端工作站访问局域网服务器，从而给局域网服务器带来巨大安全威胁呢？要做到这一点，相信许多人都会说只要强制工作站系统安装好杀毒软件、防火墙程序，定期安装更新系统补丁，就能保证工作站系统安全访问局域网服务器了。话是这么说，但实际上这样的强制措施很难执行下去；不过，在Windows Server 2008系统环境下，我们可以利用该系统新增加的NAP功能——网络访问保护功能，来对企图访问Windows Server 2008服务器系统的任何一台客户端工作站系统进行安全“体检”，一旦发现有不符合安全健康标准的客户端在访问局域网网络时，立即强制其进行安全修正，或者限制其网络访问活动，直到不符合安全健康标准的客户端系统符合访问健康标准为止！

　　撩开NAP面纱

　　NAP的中文名称为网络访问保护，该功能是Windows Vista系统中首先引入的一项功能，该功能通过强制客户端工作站系统符合网络健康标准，以便保证只有通过安全“体检”的客户端工作站才能正常访问局域网网络，从而达到预防网络病毒袭击服务器或局域网网络的目的。借助NAP功能，我们可以根据实际组网情况自行定义网络访问健康策略，并要求对连接到网络中的客户端工作站系统进行健康策略验证，并自动更新符合网络访问健康标准的客户端工作站系统以保证该系统持续的健康符合性，同时将那些没有通过安全“体检”的客户端工作站系统限制到受限网络，直到它们重新符合网络访问健康标准。

　　为了强制那些存在安全隐患的客户端工作站系统能够重新符合网络访问健康标准，NAP通过系统健康验证器、系统运行状况代理以及第三方网络安全保护应用程序等进行互相操作，确保让那些不符合健康“体检”的客户端工作站系统能够自动使用我们事先指定的安全解决方案，例如更新系统补丁程序，安装网络防火墙程序，安装防病毒软件，使用VPN网络连接等。

　　总之，在NAP功能的帮助下，网络管理员可以让Windows Server 2008服务器系统自动为客户端工作站进行安全“体检”，而不需要耗费客户端工作站自身的系统资源；在NAP功能的帮助下，网络管理员可以确定正在访问网络的客户端工作站系统是否有权访问服务器中的资源信息，如果发现客户端工作站没有访问权限时，可以不需要进行任何设置或更新，让其直接访问网络管理员事先指定的受限网络访问；在NAP功能的帮助下，网络管理员还可以让Windows Server 2008服务器系统自动为客户端工作站提供最新的更新，从而有效避免访问Internet资源时可能带来的潜在安全威胁。

　　安全体检流程

　　使用NAP功能对局域网客户端工作站进行安全体检时，一般需要经过网络访问健康认证、隔离网络、自动修正以及持续持续监控等流程。

　　为了判断客户端工作站是否是健康的，我们往往需要事先定义好一组访问规则，以便通过该规则对工作站系统状态进行验证评估。当有客户端工作站企图与局域网网络建立连接时，NAP功能就会自动使用安全健康程序与事先定义好的健康策略进行比较，符合这些健康策略的客户端工作站就会被看承是安全性良好的工作站，而不符合其中任意一项健康策略的工作站就会被看成是存在安全威胁的工作站。

　　对于那些存在安全威胁的工作站，我们可以通过NAP功能将工作站的网络连接设置成各种状态，当NAP功能认为目标工作站由于不符合健康标准而被看成不安全系统时，那么NAP功能将会直接将该工作站隔离到受限网络中，让其与局域网中其他工作站逻辑隔绝开来，直至目标工作站的网络访问健康标准符合要求为止。

　　为了方便让那些不符合健康标准的客户端工作站快速地恢复到健康标准，我们还可以通过NAP功能为客户端工作站提供安全补救策略，例如更新补丁程序、安装防火墙以及杀毒软件等，让那些已经处于隔离状态的工作站不需要通过网络管理员的手工操作就能自动修正运行状态。当然，要实现自动修正目的，我们需要对受限的网络进行合适的设置，确保该网络能够允许存在安全隐患的客户端工作站访问安装必要的更新程序。

　　对那些已经符合健康标准的客户端工作站，NAP功能仍然会对它进行持续监控，也就是强制客户端工作站系统在访问局域网网络期间，而不单单在建立网络连接的初始时候，始终监控这些能够保持状态良好的网络访问健康策略。一旦客户端工作站系统状态与我们事先定义的健康策略不相符合时，比方说禁用了Windows系统防火墙，那么NAP功能将会自动重新开启防火墙，直到恢复正常健康状态后，才能让客户端工作站系统重新访问网络。

　　启用NAP功能

　　尽管NAP功能自身不具有防范病毒、抵抗入侵的“本领”，不过它的预防免疫“本领”还是受到了许多网络管理员的青睐，于是善用NAP功能保护局域网网络的安全，就成为每一位网络管理员的共识。在默认状态下，Windows Server 2008系统并没有安装启用NAP功能，要想使用该功能保护局域网网络的安全，我们自然要先将该功能启用成功，下面就是具体的安装、启用步骤：

　　首先打开Windows Server 2008服务器系统的“开始”菜单，点选其中的“程序”选项，从下拉菜单中依次单击“管理工具”/“服务器管理器”选项，进入本地服务器管理器界面；

　　其次将鼠标定位于该服务器管理器窗口左侧列表窗格中的“角色”节点选项上，在该节点选项下面找到“添加角色”功能选项，并用鼠标左键单击该功能选项，进入如图1所示的向导设置对话框，根据该对话框的提示，我们可以发现要想成功安装启用NAP功能，既要保证本地服务器系统已经成功安装Windows Update中的最新安全更新，又要保证本地服务器系统的网络参数已经设置正确，同时登录服务器系统的用户需要使用强密码；

　　检查本地服务器系统符合安装要求后，单击向导设置对话框中的“下一步”按钮，在其后出现的选择服务器角色向导设置框中，看看“网络策略和访问服务”选项是否处于选中状态；一般来说，在默认状态下Windows Server 2008系统并不会自动选中“网络策略和访问服务”选项，也就是说NAP功能并不会被默认安装；

　　要想启用NAP功能，我们应该将这里的“网络策略和访问服务”项目选中，之后继续单击向导框中的“下一步”按钮，我们将看到有关网络策略以及访问服务简介信息，从该信息中我们可以了解到网络策略和访问服务允许提供本地和远程网络访问权限，并允许使用网络策略服务器、路由和远程访问服务、健康注册授权机构和凭据授权协议定义和强制用于网络访问身份验证、授权和客户端健康的策略；

　　之后继续继续单击“下一步”按钮，打开如图2所示的向导设置对话框，选中其中的“网络策略服务器”选项以及相关选项，最后单击“安装”按钮，那样的话服务器系统就会将NAP功能安装成功了。

　　当NAP功能被成功启用后，Windows Server 2008系统会提示我们现在就能通过该功能来对网络访问保护操作进行配置了，同时Windows Server 2008系统中的DHCP功能组件也会被自动集成到网络策略服务器中，为此我们需要及时对网络策略服务器下面的DHCP参数以及其他相关参数进行正确配置，才能让NAP功能有效发挥出来。

　　安全体检配置

　　要想使用NAP功能对企图访问网络的客户端工作站系统进行安全体检，我们还需要先对NAP功能进行合适配置，以便让NAP功能能够自动对访问网络的客户端工作站系统进行策略验证、隔离连接、自动修正和持续监控。配置NAP功能，其实主要就是对网络健康验证器、健康策略、网络策略和更新服务器组进行设置，下面就是具体的设置步骤：

　　首先在Windows Server 2008系统桌面中打开“开始”菜单，从中逐一点选“程序”、“管理工具”、“网络策略服务器”项目（该项目只有成功安装了NAP功能后才会显示在系统的“开始”菜单中），进入网络策略服务器控制台界面，如图3所示；

　　如何才能准确区分客户端工作站是符合健康标准还是不健康标准呢？通过这里的健康策略，我们就能自行定义客户端工作站的健康标准，该策略一般与其他网络访问保护组件配合在一起使用。通常情况下，我们先要在Windows Server 2008系统中创建两个基本策略，一个是安全的策略，另一个就是不安全策略，符合安全策略的客户端工作站就会被NAP功能认为是健康工作站，而符合不安全策略的客户端工作站会被NAP功能看成是不健康工作站。在新建工作站的安全策略时，我们可以在图3所示的左侧列表窗格中逐一点选“策略”/“健康策略”节点选项，并右击“健康策略”选项，执行右键菜单中的“新建”命令，在其后弹出的设置窗口中，将健康策略的名称设置为“健康系统”，同时将“客户端SHV检查”参数修改为“客户端通过了所有SHV检查”，最后单击“确定”按钮退出设置窗口，如此一来工作站的安全策略就创建好了。按照同样的操作步骤，我们再新建一个不安全策略，在创建过程中只要将该策略的“客户端SHV检查”参数修改为“客户端未能通过所有SHV检查”就可以了。

　　那什么样的客户端工作站才是健康的、安全的呢？通过设置这里的系统健康验证器，NAP功能就能自动连接检测出连接到网络中的客户端工作站哪些是不安全的，安全条件我们可以直接在这里设置，例如没有安装杀毒软件就认为是不安全的，关闭了系统防火墙程序就会被认为是不健康等等！在系统健康验证器时，我们可以在图3所示的左侧列表窗格中逐一点选“网络访问保护”/“系统健康验证器”节点选项，在该节点选项下面用鼠标右键单击“Windows安全健康验证程序”项目，并执行快捷菜单中的“属性”命令，之后单击其后界面中的“配置”按钮，进入如图4所示的设置对话框，在这里我们根据实际要求选用或忽略各种安全设置选项，例如要是本地局域网网络对安全性能要求较高时，我们可以选中这里的所有安全设置选项，日后客户端工作站符合了所有安全选项验证，NAP功能才会认为该工作站系统是健康的、安全的。

　　当NAP功能检测到客户端工作站符合不健康策略时，还能为对应系统提供相关的修正措施，以便强制不健康的客户端工作站从我们事先指定的更新服务器中下载安装病毒库更新程序或系统补丁程序，直到客户端工作站系统重新符合健康策略标准。在这里我们可以通过设置更新服务器参数，来强行不健康工作站系统去访问哪些补丁程序服务器。在设置更新服务器参数时，我们可以按照前面的操作步骤打开网络策略服务器控制台窗口，依次点选该窗口左侧显示窗格中的“网络访问保护”、“更新服务器组”节点选项，并用右击目标节点选项，再执行右键菜单中的“新建”命令，在其后出现的设置窗口中（如图5所示），单击“添加”按钮，再输入病毒库更新服务器或系统补丁服务器所在主机的名称或IP地址，最后单击“确定”按钮退出设置窗口，那样的话不安全的客户端工作站日后就能自动访问指定的服务器，去完成系统补丁下载安装操作以及网络病毒升级操作了。一旦完成了病毒更新以及系统补丁程序的下载安装操作后，客户端工作站再次访问局域网网络时，NAP功能就会认为它是健康的工作站了，从而允许该工作站重新访问局域网网络了。

　　完成上面的配置操作后，我们日后只要关闭局域网路由器中的DHCP服务功能，并由NAP功能下面的DHCP服务配合网络访问策略来完成强制安全体检操作，就能达到保护网络安全目的了。