描述网络访问控制及保护NAP的原理及实现的过程.pptxVIP

描述网络访问控制及保护(NAP)的原理及实现的过程

远程用户现在可以通过更安全的方式访问您公司的网络。DirectAccess是Windows7和WindowsServer2008R2中的新功能。通过这项功能，远程用户无需连接到虚拟专用网络(VPN)，就可以安全地访问Intranet资源。

此外，WindowsServer2008R2和Windows7中还内置了网络访问保护(NAP)功能。当客户端计算机尝试连接网络或与网络通信时，NAP可监视和评估该计算机的运行状态。二者结合将获得更强大的功能。使用NAP实现DirectAccess，让您可以指定只有符合系统健康要求的DirectAccess客户端才能通过Internet访问Intranet资源。0102

NAP的工作原理：NPS服务将传入请求消息与为其配置的连接请求策略组进行比较。对于NAP，请求消息应该与指定NPS服务本地执行身份验证和授权的连接请求策略匹配。连接请求策略还会影响连接要求。例如，对于802.1X和VPN强制，连接请求策略要求使用以受保护的可扩展身份验证协议(PEAP)为基础的身份验证方法。如果正在连接的客户端不使用PEAP，则连接请求将被拒绝12

NPS服务评估请求信息中的运行状况信息，该请求信息由包含运行状况信息的系统运行状况声明(SSoH)组成。NPS服务将运行状况信息传递至其上安装的SHV，而SHV将把运行状况评估信息返回给NPS服务。

NPS服务将请求消和来自SHV的运行状况评估信息与相应的网络策略组进行比较。运行状况评估信息与基于NAP的网络策略的运行状况策略条件进行比较。运行状况策略条件指定运行状况兼容或不兼容的条件。NPS服务将第一个匹配的网络策略应用到请求消息。

根据基于NAP的匹配网络策略及其相关的NAP设置，NPS服务将创建系统运行状况声明响应(SSoHR)。此响应包括来自SHV的运行状况评估信息，并指明NAP客户端的访问是否受限制，以及NAP客户端是否应该自动尝试修正其运行状况。

NPS服务将把RADIUS响应消息和SSoHR发送给NAP强制点。如果客户端的访问受限制，则响应消息还可以包含指定NAP客户端访问受限情况的指令。

NAP强制点将SSoHR发送到NAP客户端。

如果DirectAccess客户端不合规：

HRA将健康评估结果发送给DirectAccess客户端，其中包括健康更正指令；但HRA不会获得健康证书。根据已安装的健康评估组件DirectAccess客户端可能需要访问更新服务器以更正其健康状态。如果是这样，DirectAccess客户端将向合适的更新服务器发送更新请求。

21更新服务器向DirectAccess客户端提供所需的设置或更新，以便符合系统健康要求。[Internet流量]DirectAccess客户端将更新后的健康状态信息发送给HRA。[Internet流量]

HRA将更新后的健康状态信息发送给NAP健康策略服务器。假设已进行了所有必需的更新，NAP健康策略服务器将确定DirectAccess客户端是合规的，并将结果发送给HRA。

NAP和IPsec强制您可以使用很多强制方法部署NAP，以对连接或通信强制实施系统健康要求。IPsec强制方法使用健康证书（在增强型密钥用法[EKU]字段中包含系统健康身份验证对象标识符[OID]的数字证书），要求对Intranet流量进行IPsec保护的IPsec连接安全性规则，以及使用健康证书的IPsec对等身份验证。

这种组合可强制使Intranet上计算机之间的通信符合系统健康要求。不符合系统健康要求和缺少健康证书的计算机无法在Intranet上发起通信。

谢谢观赏!