Основы Network Access Protection

Что такое Network Access Protection и откуда он появился?
Как работает NAP и какие методы защиты использует?
Как правильно внедрить NAP?

Network Access Protection
Системные требования:
NAP сервер – Windows Server 2008
NAP клиенты: Vista, XP SP3, RHEL
Контроль с помощью роли NPS (Network Policy Server) Windows Server 2008
Network Access Protection вырос из VPN quarantine
Поддерживает все типы сетевых клиентов, а не только VPN
Управление с помощью политик, которые должны удовлетворять клиенты сети:
Обновления системы, обновления антивируса, наличие межсетевого экрана

Схема функционирования NAP
1
Microsoft
Network
Policy Server
3
Соответствует
DHCP, VPN
Коммутатор,
Маршрутизатор
2
Клиент
5
Не соответствует
4

Методы принудительной защиты NAP
802.1x проводная и беспроводная сеть
Список контроля доступа (Access Control List, ACL)
Виртуальная локальная сеть
IPSec
Health Certificate Server выдает X.509 сертификаты только «правильным» клиентам
VPN (с помощью Routing and Remote Access)
Управляет соединениями к Terminal Services Gateway
DHCP выдает адреса из карантинной подсети
DHCP можно обойти с помощью статической адресации – будьте осторожны!

NAP {Архитектура}
NPS
Сервер
политик
(RADIUS)
NAP сервер
Клиент
NAP агент
Политика здоровья
Обновления
Метрики
здоровья
Запросы
на доступ
в сеть
System Health
Servers
Сервера
восстановления
Сертификаты
здоровья
802.1x коммутаторы
Policy Firewalls
SSL VPN шлюзы
Certificate Servers
(SHA)
MS SHA, SMS
System Health Validator
(EC)
(DHCP, IPSec,
802.1X, VPN)
Клиент
SHA – Агенты здоровья проверяют метрики
QA – Агент каратина координирует работу SHA/EC
EC – Определяет метод принуждения
Сервер восстановления (Remediation)
Распространяет обновления, сигнатуры антивируса, и.т.д.
Network Policy Server
NAP Server – проверяет метрики здоровья клиентов
SHV –проверяет ответы SHA System Health Server
предоставляет SHV
(SHA)
3rd Parties
(EC)
3rd Party EAP
VPN’s
(System statement
of Health)
(System statement
of Health Response)

Этапы внедрения NAP
Наблюдение и отчеты (Reporting Mode)
Отложенное принуждение (Deferred Enforcement)
Полное принуждение (Full Enforcement)