Windows Server 2012 R2 网络访问保护（NAP）视频课程

NAP 是个尴尬的话题：Windows Server 2012 R2 早已停止主流支持，可不少单位的内网里还在跑它，考试里也还考它。更尴尬的是，很多人能背出"网络访问保护"四个字，却说不清一台客户端被判定为"不健康"之后，究竟是谁下的判决、判决结果怎么传给交换机或 VPN 服务器、客户端又是在哪一步被挡住了流量。这门课要补的就是这个缺口。

先确认你到底缺哪一块

NAP 不是一个单独的功能，它是一条链：SHV（系统健康验证程序）负责检查，健康策略把检查结果翻译成"通过/不通过/未知"，NPS 作为策略服务器统一裁决，强制客户端（Enforcement Client）把裁决落地成实际的网络限制。链条上任何一环没弄明白，配置时就会卡在半路——报错信息往往只说"策略未匹配"，不告诉你是谁没匹配上。

如果你属于下面几类情况，这门课的内容基本对得上：

• 能装好 NPS，但写健康策略时说不清"允许""拒绝""仅报告"三种设置对后续流程的影响；
• 知道 NAP 能限制不合规的机器，但不知道在 DHCP 场景下，客户端拿到的是短租约还是受限地址；
• 做过 VPN 强制，但没搞清 IPsec 强制和 802.1X 强制在部署成本、适用网络上的差别；
• 面对"修补服务器""豁免设备"这类概念，只知道名字，不知道它们在策略里的位置。

反过来说，如果你完全不碰 Windows 网络策略服务，或者只接触过第三方 NAC 产品，那这门课讲的是微软自家这套体系，思路不同，收获会打折扣。

课程围绕哪几个关键判断展开

资料包里的实例演示集中在 DHCP、VPN 和 DirectAccess 三种强制方式上，这不是随便挑的，它们对应三种不同的部署位置：

• DHCP 强制：最容易搭起来，因为大多数网络本来就有 DHCP。关键在于理解受限网络怎么配、客户端拿到受限地址后能访问什么、修复服务器如何让补丁和杀毒更新下载得下来。
• VPN 强制：远程接入场景里最常被问到的一种。需要想清楚远程机器在接入前和接入后分别处于什么状态，以及 NPS 的远程访问策略和 NAP 健康策略怎么叠加。
• DirectAccess 与 IPsec 强制：涉及证书、IPsec 策略、边界机器，配置量最大，但讲解时通常会拆成"谁信任谁、谁检查谁"两步来看。

讲健康策略服务器配置的部分，重点应该不在界面长什么样，而在于每一步配置对应链条上的哪个角色。看的时候建议跟着问一句：这一步配错了，会在客户端的哪个阶段表现出来。

看完应该能回答的问题

用这几个问题自测，比看目录有用：

• 一台未打补丁的客户端接入网络，从发起请求到被限制访问，中间经过了哪几个组件，各自做了什么判断？
• 健康策略里的"自动修复"到底由谁执行，客户端上的哪项服务在起作用？
• 如果日志显示策略匹配失败，你会从策略服务器的哪几个配置项开始排查？
• 同一个网络里既有受管机器又有打印机、监控设备这类不支持 NAP 的设备，怎么让它们不被误伤？

能顺畅答出前三个，说明这条链已经打通；第四个答不上来，说明策略规划这一层还需要补。这类问题在真实排障里出现的频率，比配置界面上的选项多得多。

一点学习提示

NAP 的知识点零散但逻辑闭合，边看边在纸上画出"客户端—SHV—NPS—强制点"的数据流，比反复看演示步骤更有效。实验环境建议至少准备三台虚拟机：一台域控加 NPS，一台健康的客户端，一台故意做成不合规的客户端——只有后一台才能让你看到限制真正生效的样子。另外，这套机制在新版本 Windows Server 中已被逐步取代，学它的价值一半在于应付既有环境和考试，另一半在于理解"准入控制"这件事本身的通用结构。