Введение

Защита доступа к сети (NAP) — это технология Microsoft, позволяющая контролировать доступ компьютера к сети на основе его состояния. Она впервые появилась в Windows Vista и Windows Server 2008 и была портирована в Windows XP Service Pack 3. С помощью NAP системные администраторы организации могут определять политики, устанавливающие требования к состоянию системы. Примеры таких требований — наличие последних обновлений операционной системы, актуальные сигнатуры антивирусного программного обеспечения или установленный и включенный локальный брандмауэр. Компьютеры с установленным клиентом NAP проходят проверку состояния при установлении сетевого подключения. NAP может ограничить или запретить доступ к сети компьютерам, не соответствующим заданным требованиям. NAP устарела в Windows Server 2012 R2 и была удалена из Windows Server 2016.

Обзор

Агент клиента защиты доступа к сети позволяет клиентам, поддерживающим NAP, оценивать обновления программного обеспечения для определения соответствия требованиям к состоянию системы. Клиенты NAP – это компьютеры, сообщающие о состоянии своей системы в точку контроля соответствия требованиям NAP. Точка контроля соответствия требованиям NAP – это компьютер или устройство, которое может оценить состояние клиента NAP и, при необходимости, ограничить сетевые подключения. В качестве точек контроля соответствия требованиям NAP могут выступать коммутаторы с поддержкой IEEE 802.1X, VPN-серверы, DHCP-серверы или органы регистрации состояния (HRA), работающие под управлением Windows Server 2008 или более поздней версии. Сервер политик состояния NAP – это компьютер, на котором работает служба Network Policy Server (NPS) в Windows Server 2008 или более поздней версии, хранящая политики требований к состоянию и обеспечивающая оценку состояния клиентов NAP. Политики требований к состоянию настраиваются администраторами и определяют критерии, которым клиенты должны соответствовать для получения беспрепятственного доступа к сети, например, версию операционной системы, наличие персонального брандмауэра или актуальную антивирусную программу. Когда клиентский компьютер с поддержкой NAP обращается к точке контроля соответствия требованиям NAP, он отправляет информацию о текущем состоянии своей системы. Точка контроля соответствия требованиям NAP передает информацию о состоянии клиента NAP на сервер политик состояния NAP для оценки с использованием протокола RADIUS. Сервер политик состояния NAP также может выступать в качестве сервера аутентификации на основе RADIUS для клиента NAP. Сервер политик состояния NAP может использовать сервер требований к состоянию для проверки состояния клиента NAP или для определения текущей версии программного обеспечения или обновлений, которые необходимо установить на клиент NAP. Например, сервер требований к состоянию может отслеживать последнюю версию файла сигнатур антивируса. Если точка контроля соответствия требованиям NAP является HRA, она получает сертификаты состояния от центра сертификации для клиентов NAP, соответствующих установленным требованиям. Клиенты NAP, не соответствующие требованиям, могут быть помещены в изолированную сеть – логическое подмножество интрасети, содержащее ресурсы, позволяющие устранить проблемы с состоянием системы. Серверы, содержащие компоненты для проверки состояния системы или обновления, называются серверами восстановления. Клиент NAP, не соответствующий требованиям, находящийся в изолированной сети, может получить доступ к серверам восстановления и установить необходимые компоненты и обновления. После завершения восстановления клиент NAP может выполнить повторную оценку состояния и запросить доступ к сети или сетевое подключение.

Поддержка клиентов NAP

Клиент NAP поставляется вместе с Windows Vista, Windows 7, Windows 8 и Windows 8.1, но не с Windows 10. Партнеры Microsoft предоставляют клиенты NAP для других операционных систем, таких как macOS и Linux.