网络访问保护概述
| 口的访问控制。NAP 还能够利用基于 Ipsec 的强制技术，通过 Ipsec 关联建立安全网络并将其覆在物理网络之上。利用基于 Ipsec 的强制技术，NAP 可动态地创建和删除 IPsec 引擎所使用的证书，以此来控制对安全区域的访问。最后，NAP 可以提供基于 DHCP 的强制技术。在这种情况下，DHCP 服务器为运行状态不良的客户端提供来自受限池的 IP 租约。这些租约使用单独的 DNS 后缀和 IP 路由来控制受限客户端可以访问哪些资源。
NAP 服务器组件基于下一版本的 Windows Server（代号“2008”）构建，更具体地说，是内置在新的网络策略服务器 (NPS) 中，NPS 是 Internet 身份验证服务 (ISA) 的替代品，功能得到了极大的增强。组织如果利用基于 802.1X 的强制技术，其网络硬件必须支持 802.1X 身份验证和动态 VLAN 功能（“NAP 资源”侧栏中的 NAP 合作伙伴站点提供了有关特定硬件供应商的详细信息）。要利用基于 DHCP 的强制技术，需要一个与 Windows Server“2008”提供的类似的支持 NAP 的 DHCP 服务。在客户端上，Windows Vista™ 中内置了 NAP 支持。NAP 支持也可以作为加载项添加到 Windows® XP 中，随之添加的还有一个新的 802.1X 申请者 (supplicant)，它将在 Windows XP 上支持 802.1X 强制技术。此外，NAP 还集成在 Windows 安全中心和第三方的运行状态代理内，用于报告运行状态的信息。因此，NAP 能够根据安全中心公布的数据作出策略验证决策。NAP 是一个功能非常强大的企业级策略管理解决方案，因此，本文篇幅有限，不可能涵盖其全部功能和部署策略。本文主要将重点放在中小型组织的部署上，因为在这些组织中，IT 员工的时间已经不够分配了，因此可以对 NAP 部署进行精简和优化，以便更快地实现部署所要求获得的投资回报。但是文中很多讲解性的内容和通用准则也同样适用于任何规模的组织的 NAP 设计。但要注意的是，我所列举的示例方法并非逐步设置指南，而是大体上概述了成功部署基于 DHCP 的 NAP 应关注的关键领域。 假设某公司的问题包袱 为了更清楚地了解 NAP 如何解决中小型组织的独特需求，我们将以 某公司 公司为例加以说明。某公司 是一家假想的中型组织，有三个主要办事处，共有 250 台计算机。该公司的工作人员实现了很高的移动性，许多用户都从远程的客户所在地远距离地与主要办事处进行通信或连接回主要办事处。因此，该公司的计算机中有一半是便携式计算机和 Tablet PC。与许多组织一样，随着工作人员移动性的增强，某公司 也面临着更加严峻的安全性挑战。某些使用移动数据终端的用户从客户那里或家庭办公室染上了恶意软件，然后将受感染的计算机又连接到 某公司 的内部网络中。某公司 也曾努力采取过多种措施来确保这些远程计算机保持最新状态。但有的用户经常要在客户处工作很久才会回到 某公司 的办事处。在这些情况下，他们计算机经常会数月不进行安全更新，这增加了 某公司 网络中其他计算机面临的整体风险。某公司 需要一个解决方案来确保所有连接到公司网络的计算机（不论是远程的还是本地的）都是安全的、状态良好的。NAP 将如何帮助 某公司 实现这一目标呢？请回顾一下 NAP 的主要核心服务。借助策略验证，NAP 可以对所有连接到 某公司 网络的计算机的运行状态进行检查。策略验证可以确定计算机是否具有最新的防病毒签名，是否已完全安装了所有安全更新修补程序。当 NAP 策略验证例程确定一台计算机状态不良时，NAP 可以对该主机的网络连接进行限制。这样就确保了在异地使用并感染恶意软件的计算机无法将恶意软件传播给网络中的其他计算机。NAP 将限制状态不良的计算机的连接，使其只能访问由 某公司 的 IT 管理员定义的补救资源。例如，状态不良的计算机可以访 |
凌众科技专业提供服务器租用、服务器托管、企业邮局、虚拟主机等服务，公司网站：http://www.lingzhong.cn 为了给广大客户了解更多的技术信息，本技术文章收集来源于网络,凌众科技尊重文章作者的版权，如果有涉及你的版权有必要删除你的文章，请和我们联系。以上信息与文章正文是不可分割的一部分,如果您要转载本文章,请保留以上信息，谢谢! |
