描述網(wǎng)絡(luò)訪問控制及保護(hù)NAP的原理及實(shí)現(xiàn)的過程

描述網(wǎng)絡(luò)訪問控制及保護(hù)(NAP)的原理及實(shí)現(xiàn)的過程使用網(wǎng)絡(luò)訪問保護(hù)(NAP)實(shí)現(xiàn)DirectAccess

遠(yuǎn)程用戶現(xiàn)在可以通過更安全的方式訪問您公司的網(wǎng)絡(luò)。DirectAccess是Windows7和WindowsServer2008R2中的新功能。通過這項(xiàng)功能，遠(yuǎn)程用戶無需連接到虛擬專用網(wǎng)絡(luò)(VPN)，就可以安全地訪問Intranet資源。此外，WindowsServer2008R2和Windows7中還內(nèi)置了網(wǎng)絡(luò)訪問保護(hù)(NAP)功能。當(dāng)客戶端計(jì)算機(jī)嘗試連接網(wǎng)絡(luò)或與網(wǎng)絡(luò)通信時(shí)，NAP可監(jiān)視和評估該計(jì)算機(jī)的運(yùn)行狀態(tài)。二者結(jié)合將獲得更強(qiáng)大的功能。使用NAP實(shí)現(xiàn)DirectAccess，讓您可以指定只有符合系統(tǒng)健康要求的DirectAccess客戶端才能通過Internet訪問Intranet資源。NAP的工作原理：1.NPS服務(wù)將傳入請求消息與為其配置的連接請求策略組進(jìn)行比較。對于NAP，請求消息應(yīng)該與指定NPS服務(wù)本地執(zhí)行身份驗(yàn)證和授權(quán)的連接請求策略匹配。連接請求策略還會影響連接要求。例如，對于802.1X和VPN強(qiáng)制，連接請求策略要求使用以受保護(hù)的可擴(kuò)展身份驗(yàn)證協(xié)議(PEAP)為基礎(chǔ)的身份驗(yàn)證方法。如果正在連接的客戶端不使用PEAP，則連接請求將被拒絕

2.NPS服務(wù)評估請求信息中的運(yùn)行狀況信息，該請求信息由包含運(yùn)行狀況信息的系統(tǒng)運(yùn)行狀況聲明(SSoH)組成。NPS服務(wù)將運(yùn)行狀況信息傳遞至其上安裝的SHV，而SHV將把運(yùn)行狀況評估信息返回給NPS服務(wù)。

3.NPS服務(wù)將請求消和來自SHV的運(yùn)行狀況評估信息與相應(yīng)的網(wǎng)絡(luò)策略組進(jìn)行比較。運(yùn)行狀況評估信息與基于NAP的網(wǎng)絡(luò)策略的運(yùn)行狀況策略條件進(jìn)行比較。

運(yùn)行狀況策略條件指定運(yùn)行狀況兼容或不兼容的條件。NPS服務(wù)將第一個(gè)匹配的網(wǎng)絡(luò)策略應(yīng)用到請求消息。6.NAP強(qiáng)制點(diǎn)將SSoHR發(fā)送到NAP客戶端。如果DirectAccess客戶端不合規(guī)：

1.HRA將健康評估結(jié)果發(fā)送給DirectAccess客戶端，其中包括健康更正指令；但HRA不會獲得健康證書。2.根據(jù)已安裝的健康評估組件DirectAccess客戶端可能需要訪問更新服務(wù)器以更正其健康狀態(tài)。如果是這樣，DirectAccess客戶端將向合適的更新服務(wù)器發(fā)送更新請求。3. 更新服務(wù)器向DirectAccess客戶端提供所需的設(shè)置或更新，以便符合系統(tǒng)健康要求。[Internet流量]4. DirectAccess客戶端將更新后的健康狀態(tài)信息發(fā)送給HRA。[Internet流量]

5. HRA將更新后的健康狀態(tài)信息發(fā)送給NAP健康策略服務(wù)器。假設(shè)已進(jìn)行了所有必需的更新，NAP健康策略服務(wù)器將確定DirectAccess客戶端是合規(guī)的，并將結(jié)果發(fā)送給HRA。

您可以使用很多強(qiáng)制方法部署NAP，以對連接或通信強(qiáng)制實(shí)施系統(tǒng)健康要求。IPsec強(qiáng)制方法使用健康證書（在增強(qiáng)型密鑰用法[EKU]字段中包含系統(tǒng)健康身份驗(yàn)證對象標(biāo)識符[OID]的數(shù)字證書），要求對Intranet流量進(jìn)行IPsec保護(hù)的IPsec連接安全性規(guī)則，以及使用健康證書的IPsec對等身份驗(yàn)證。NAP和IPsec強(qiáng)制

這