描述网络访问控制及保护NAP的原理及实现的过程

描述网络访问控制及保护(NAP)的原理及实现的过程使用网络访问保护(NAP)实现DirectAccess

远程用户现在可以通过更安全的方式访问您公司的网络。DirectAccess是Windows7和WindowsServer2008R2中的新功能。通过这项功能，远程用户无需连接到虚拟专用网络(VPN)，就可以安全地访问Intranet资源。此外，WindowsServer2008R2和Windows7中还内置了网络访问保护(NAP)功能。当客户端计算机尝试连接网络或与网络通信时，NAP可监视和评估该计算机的运行状态。二者结合将获得更强大的功能。使用NAP实现DirectAccess，让您可以指定只有符合系统健康要求的DirectAccess客户端才能通过Internet访问Intranet资源。NAP的工作原理：1.NPS服务将传入请求消息与为其配置的连接请求策略组进行比较。对于NAP，请求消息应该与指定NPS服务本地执行身份验证和授权的连接请求策略匹配。连接请求策略还会影响连接要求。例如，对于802.1X和VPN强制，连接请求策略要求使用以受保护的可扩展身份验证协议(PEAP)为基础的身份验证方法。如果正在连接的客户端不使用PEAP，则连接请求将被拒绝

2.NPS服务评估请求信息中的运行状况信息，该请求信息由包含运行状况信息的系统运行状况声明(SSoH)组成。NPS服务将运行状况信息传递至其上安装的SHV，而SHV将把运行状况评估信息返回给NPS服务。

3.NPS服务将请求消和来自SHV的运行状况评估信息与相应的网络策略组进行比较。运行状况评估信息与基于NAP的网络策略的运行状况策略条件进行比较。

运行状况策略条件指定运行状况兼容或不兼容的条件。NPS服务将第一个匹配的网络策略应用到请求消息。6.NAP强制点将SSoHR发送到NAP客户端。如果DirectAccess客户端不合规：

1.HRA将健康评估结果发送给DirectAccess客户端，其中包括健康更正指令；但HRA不会获得健康证书。2.根据已安装的健康评估组件DirectAccess客户端可能需要访问更新服务器以更正其健康状态。如果是这样，DirectAccess客户端将向合适的更新服务器发送更新请求。3. 更新服务器向DirectAccess客户端提供所需的设置或更新，以便符合系统健康要求。[Internet流量]4. DirectAccess客户端将更新后的健康状态信息发送给HRA。[Internet流量]

5. HRA将更新后的健康状态信息发送给NAP健康策略服务器。假设已进行了所有必需的更新，NAP健康策略服务器将确定DirectAccess客户端是合规的，并将结果发送给HRA。

您可以使用很多强制方法部署NAP，以对连接或通信强制实施系统健康要求。IPsec强制方法使用健康证书（在增强型密钥用法[EKU]字段中包含系统健康身份验证对象标识符[OID]的数字证书），要求对Intranet流量进行IPsec保护的IPsec连接安全性规则，以及使用健康证书的IPsec对等身份验证。NAP和IPsec强制

这