巧用Windows Server 2008的NPS策略

更新服务器组：允许网络管理员设置状态不良的计算机可以访问的系统，通过访问定义的系统，状态不良的计算机将恢复到正常状态。在设置的过程中，注意目标服务器的IP地址和DNS域名解析要一致。启动“网络策略服务器”组件，打开“NPS”→“网络访问保护”→“系统健康验证器”，新建一个“更新服务器组”，设置病毒库更新服务器或者补丁更新服务器的IP地址以及名称。

健康策略用于创建客户端计算机是否健康的标准。建议创建两个策略，一个是安全计算机策略，另一个是不安全计算机的策略。网络健康验证器验证出来的计算机如果是安全的就归类到安全计算机策略中，如果网络健康验证器验证计算机是不安全的，将归类到不安全计算机的策略。启动“网络策略服务器”组件，打开“NPS”→“策略”→“健康策略”，新建两个“健康策略”，一个是“通过所有安全验证”策略，如图2所示;另一个是“没有通过安全健康检查”策略。

网络策略：定义处理逻辑规则，根据计算机运行状况确定如何对其进行处理。网络健康验证器、更新服务器组以及健康处理通过网络策略组合在一起。网络策略由管理员定义，用于指导NPS如何根据计算机的运行状态处理计算机。NPS会从上到下评估这些策略，一旦计算机与策略规则相符，处理将立即停止。

已经创建的两条策略，分别为“通过所有安全验证”策略和“没有通过网络安全检查”策略。

“通过所有安全验证”策略，规定通过所有“安全中心”检查的计算机可以获得不受限制的网络访问权限。“没有通过网络安全检查”策略，对应任何未通过一项或多项 SHV(System Health Validators)检查的计算机。如果有计算机与此策略相符，则NPS会指示DHCP 服务器为该客户端提供一个具有特殊NAP受限作用域选项的IP租约。该地址仅允许违规计算机访问更新服务器组中定义的资源。启动“网络策略服务器”组件，打开“NPS(本地)”→“策略”→“网络策略”，为“通过所有安全健康检查”新建策略，同时设置访问权限。