VPN联机安全配置

如果您目前已经完成Windows Server的VPN服务器设置，以及完成了Radius服务器相关设定，那么接下来只要继续完成网络策略服务器（NPS）设定即可。请开启“网络策略服务器”设置界面，然后在最上层的节点项目页面中点选“设定NAP”连接继续。

接着将会开启“选取与NAP搭配使用的网络联机方法”，请从下拉选单中选取“虚拟专用网（VPN）”项目，此时系统将会自动产生一个预设的策略名称，如果与现有的策略名称有重复，则必须修改。点选“下一步”继续。

接着在“指定执行VPN服务器的NAP强制服务器”页面中，必须新增加与它联机的Radius客户端，也就是Windows Server的VPN服务器，让我们来看看其中的设定内容。

在Radius客户端的设定页面中，首先您可以自定义一个好记的名称，接着必须输入VPN主机的内网卡（如果有采用两片网络卡模式安装）IP地址，或是可以正常解析的FQDN名称，至于是否可以正常联机，则必须点选“验证”按钮来确认。最后，请记着选择设定手动的共享密码，而且必须与VPN服务器上所设定联机的Radius服务器的共享密码一样。点选“确定”继续。

接着将会来到“设定用户群组与计算机群组”的页面，在此您可以根据实际第一层安全验证需求，来设定允许联机的计算机群组或是用户群组。一般来说，我们至少会设定一个VPN的使用者群组。点选“下一步”继续。

在“设定验证方法”的页面中，必须点选“选择”按钮来挑选所要用来进行安全验证的NPS服务器证书。在选择之前，您在这部服务器上的计算机凭证必须预先申请与安装完毕才可以。

接着在同样此页面的“EAP类型”中，预设只会勾选一般常用的“安全性密码（PEAP-MS-CHAP v2）”验证类型，后续如果您想要整合智能卡或其他凭证的验证方式，则可以后续再来将“智能卡或其他凭证（EAPTLS）”设定勾选。点选“下一步”继续。

在“指定NAP补救服务器群组及URL”的页面中，您可以在最下方的字段中输入给予隔离客户端查看的网页信息地址，接着您可以对于被隔离的客户端计算机设定一个专门用来进行各种安全矫正的补救服务器群组，群组中的主机可以包含内部网络中的各类修正服务器(Remediation Server)，例如：防毒服务器、WSUS更新主机、域控制器等。请点选“新增群组”按钮来加入即可。

在“定 义NAP健 康 原则”页面中，请将惟一的“Windows安全性健康状态验证程序”项目勾选，并且确认在下方的“NAP不合格客户端计算机的网络存取限制”区域中，是选择了“拒绝NAP不合格客户端计算机拥有完整的网络存取权，仅允许存取限制的网络”，点选“下一步”继续。

最后，在“正在完成NAP强制原则及Radius客户端设定”的页面中，可以让我们确认一下有关Radius客户端的设定，以及系统自动帮我们完成的健康策略设定、联机要求策略设置以及网络原则设置。请点选“完成”按钮即可。

完成了设定NAP的向导设置之后，接着展开至“网络存取保护→系统健康状态验证”节点上，针对预设的“Windows安全性健康状态验证程序”连续点选开启。点选“设定”按钮继续。

执行之后，将会开启“Windows安全性健康状态验证程序”页面，在此您可以分别针对Windows Vista与Windows XP（SP3版本），设定各自所要检验的项目，在测试阶段的环境中，最直接的方式就是只针对防火墙或是自动更新设定来检验就可以了，因为这两者都是Windows XP SP3与Windows Vista上可以直接检查的安全项目。在此还必须注意的是，如果NPS服务器采用的是Windows Server 2012 R2，则所能检验的NAP客户端计算机，将会增加对于Windows 7与Windows 8的设置页面。

关于Windows安全性健康状态验证程序设置部分，值得注意的是，Windows Vista以上版本与Windows XP所能够设置的项目有些许的差异，毕竟Windows XP直接内置的安全性功能比较少，例如，Windows Defender在Windows XP中就没有，不过说也奇怪，因为Windows Defender一样可以从Microsoft来下载安装在Windows XP上，可是在此策略设定中却无法进行勾选。

注意：有关NAP针对防火墙与防病毒软件部分，基本上只要是在Windows信息安全中心设置界面中，所能够被监控到的都可以被使用在NAP网络的安全检查范围之中。

接下来请开启NAP设定向导功能所帮我们建立的网络策略项目，请将“不符合标准”的项目开启，然后切换到“设定”页面中，并选取“IP筛选器”，以及点选位于IPv4的“输入筛选器”按钮继续。

在“输入筛选器”页面中，先选取“只允许以下列出的封包”项目，然后开始点选“新增”按钮来将所有允许被隔离客户端联机存取的服务器IP地址一一加入即可，在此必须记住如果有之前设定好补救次服器群组，则群组中的所有计算机都必须在这个筛选器清单中。