網路存取保護 (NAP) 讓企業能強制執行裝置健康政策，阻隔未修補、無防毒、防火牆關閉的電腦存取企業網路。本文詳細記錄 Windows Server 2008 透過 NPS (網路原則伺服器) 與 DHCP 強制執行的完整五階段部署流程。

階段 1：安裝 NAP 角色服務

1. 「伺服器管理員」→「角色」→「新增角色」→ 勾選「網路原則與存取服務」。
2. 角色服務頁勾選：「網路原則伺服器 (NPS)」、「健康登錄代理程式」、「主機認證通訊協定」→ 安裝完成。

階段 2：建立系統健康驗證器 (SHV) - 定義健康標準

1. 「伺服器管理員」→「角色」→「網路原則與存取服務」→「NPS」→「網路存取保護」→「系統健康驗證器」。
2. 右鍵「Windows 安全性健康驗證器」→「內容」→「設定」。
3. 勾選核心健康需求：

• ☑ 防毒軟體已啟用且特徵碼最新
• ☑ 所有網路連線已啟用防火牆
• ☑ 自動更新已啟用且修補程式最新
• ☑ 間諜軟體防護已啟用 (可選)

→ 確定。此即定義「健康電腦」的基準。

階段 3：建立健康原則 - 將 SHV 結果對應到原則

1. NPS 主控台 →「原則」→「健康原則」→ 右鍵「新增」。
2. 健康原則： 名稱 Healthy_Computers →「用戶端 SHV 檢查」選「用戶端通過所有 SHV 檢查」→「使用的 SHV」選「Windows 安全性健康驗證器」→ 確定。
3. 非健康原則： 名稱 Unhealthy_Computers →「用戶端 SHV 檢查」選「用戶端未通過一或多個 SHV 檢查」→ 其餘相同 → 確定。

階段 4：建立網路原則 - 授權與隔離邏輯

1. NPS →「原則」→「網路原則」→ 右鍵「新增」。
2. 健康連線原則：

• 名稱：Healthy_Access
• 網路存取伺服器類型：DHCP 伺服器
• 條件：新增 → 選擇「健康原則」→ 選 Healthy_Computers
• 存取權限：「授與存取權限」
• 限制：「僅執行電腦健康檢查」
• NAP 強制：「NAP 強制允許完整網路存取」→ 完成。

2. 非健康隔離原則：

• 名稱：Unhealthy_Quarantine
• 類型同 DHCP 伺服器
• 條件：選 Unhealthy_Computers
• 存取權限：「拒絕存取」 (或「授與存取」但限制在隔離網段，需配合 DHCP 範圍選項)
• NAP 強制：「拒絕存取」→ 完成。

階段 5：配置 DHCP 伺服器整合 NAP 強制

1. 「伺服器管理員」→「角色」→「DHCP 伺服器」→ 展開伺服器 → IPv4 → 目標範圍 → 右鍵「內容」。
2. 「網路存取保護」索引標籤 → 勾選「在此範圍上啟用網路存取保護」。
3. 選擇「使用預設網路存取保護設定檔」→ 確定。
4. 重新啟動 DHCP 服務：net stop dhcpserver && net start dhcpserver。

驗證與測試

• 健康用戶端： 取得正常 IP 租約，可存取企業資源。
• 非健康用戶端 (關閉防火牆/防毒過期)： 取得受限 IP (若設定隔離範圍) 或無法取得 IP，事件檢視器 NPS 記錄顯示拒絕原因。
• NPS 記錄檢視： %SystemRoot%\System32\LogFiles\IAS\IASLOG*.log 或事件檢視器「應用程式與服務記錄」→「Microsoft」→「Windows」→「NPS」。

架構圖解

[用戶端] --DHCP Discover/Request--> [DHCP Server] --RADIUS Access-Request (含 SoH)--> [NPS/SHV]
                                                              |
                                              +---------------+---------------+
                                              |                               |
                                        [通過所有 SHV]                 [未通過 SHV]
                                              |                               |
                                        [網路原則: Healthy_Access]      [網路原則: Unhealthy_Quarantine]
                                              |                               |
                                        [Access-Accept + 全權限]         [Access-Reject / 隔離 VLAN]

NAP 部署完成後，企業擁有了可程式化、可擴展的網路准入控制基線，後續可整合 802.1X、VPN、IPsec、HRA (健康登錄代理程式) 等強制點，構建纵深防禦體系。