Один из аспектов сетевой безопасности, который расстраивает многих администраторов, заключается в том, что у них нет контроля над конфигурацией удаленных компьютеров. Хотя корпоративная сеть может иметь очень безопасную конфигурацию, в настоящий момент ничто не может помешать удаленному пользователю подключиться к корпоративной сети с помощью компьютера, который заражен вирусами, или который не содержит необходимых обновлений. Инструмент операционной системы Longhorn Server под названием Network Access Protection (защита доступа к сети, NAP) позволит изменить такую ситуацию. В этой статье я расскажу вам об инструменте NAP и покажу, как он работает.
Когда я работал сетевым администратором, одна из вещей, которая меня очень расстраивала, заключалась в том, что у меня был очень слабый контроль над удаленными пользователями. Согласно бизнес требованиям моей организации, у удаленных пользователей должна была существовать возможность подключения к корпоративной сети из любого места вне офиса. Проблема заключалась в том, что хотя я предпринимал экстремальные меры для защиты корпоративной сети, у меня не было абсолютно никакого контроля над компьютерами, который пользователи могли бы использовать для удаленного подключения к сети. В конце концов, домашний компьютер сотрудника не является собственностью компании.
Причина, по которой это так сильно меня расстраивало, заключалась в том, что я никогда не знал, в каком состоянии находится компьютер пользователя. Иногда, удаленные пользователи могли подключаться к сети с помощью компьютера, который заражен вирусами. Иногда, компьютер удаленного пользователя мог работать на устаревшей версии операционной системы Windows. Хотя я предпринимал шаги по защите корпоративной сети, я всегда боялся, что удаленный пользователь с неадекватной защитой может инфицировать файлы в сети вирусом, или случайно открыть важную корпоративную информацию, потому что его компьютер может быть заражен трояном.
Однако несколько лет назад появился луч надежды. Компания Microsoft подготовилась к выпуску операционной системы Windows Server 2003 R2, в которой велся разговор о новом инструменте под названием NAP. Чтобы немного сократить историю, расскажу лишь, что чтобы настроить безопасность сети с помощью более ранних версий этого инструмента, необходимо было иметь ученую степень в области компьютерной безопасности. И поэтому инструмент NAP был удален из окончательной версии R2.
Компания Microsoft проделала большой объем работы по усовершенствованию инструмента NAP с того времени, и теперь инструмент NAP одним из основных инструментов для безопасности в операционной системе Longhorn Server. Хотя версия инструмента NAP для операционной систем Longhorn будет гораздо более простой в настройке, чем невышедшая версия для Windows Server 2003, она по-прежнему остается весьма сложной. Поэтому целью написания этой статьи было то, чтобы предоставить вам описание инструмента NAP, а также показать вам, как он работает еще до выхода официальной версии операционной системы Longhorn Server.
Для начала
Перед тем как я продолжу, я хочу объяснить еще одну вещь относительно инструмента NAP. Назначение инструмента NAP заключается в том, чтобы убедиться, что компьютер удаленного пользователя удовлетворяет требованиям безопасности вашей организации. NAP ничего не делает, чтобы предотвратить неавторизованный доступ к вашей сети. Если у злоумышленника есть компьютер, который удовлетворяет требованиям по безопасности вашей компании, то NAP ничего не сделает, чтобы попытаться остановить злоумышленника. Защита от злоумышленников, которые пытаются получить доступ к сетевым ресурсам – это задача других механизмов безопасности. NAP спроектирован для того, чтобы просто запретить вход в вашу сеть разрешенным пользователям, которые используют небезопасные компьютеры.
Еще одну вещь, о которой я хочу упомянуть, перед тем как продолжить свой рассказ дальше, заключается в том, что инструмент NAP отличается от инструмента Network Access Quarantine Control, который присутствует в операционной системе Windows Server 2003. Инструмент Network Access Quarantine Control использует ограниченные политики для контроля удаленных компьютеров, но он подчиняется NAP.
Основы защиты доступа к сети
Инструмент NAP спроектирован, чтобы расширить корпоративный VPN. Процесс начинается, когда клиент устанавливает VPN сессию с сервером Longhorn, на котором запущена служба Routing and Remote Access (маршрутизация и удаленный доступ). После того, как пользователь устанавливает соединение, сервер сетевой политики проверяет состояние удаленной системы. Это обеспечивается путем сравнения конфигурации удаленного компьютера с политикой сетевого доступа, которая определена администратором. Что происходит дальше, зависит от того, что администратор прописал в этой политике.
У администратора есть настройка для конфигурации либо политики мониторинга (monitoring only policy), либо политики изоляции (isolation policy). Если включена только политика мониторинга, то любой пользователь с правильным правами получит доступ к сетевым ресурсам, вне зависимости от того, удовлетворяет ли его компьютер корпоративной политике безопасности или нет. Хотя политика мониторинга не запрещает любому компьютеру доступ в вашу сеть, результат сравнения конфигурации удаленного компьютера с корпоративными требованиями записывается в специальный журнал.
На мой взгляд, политика мониторинга лучше всего подходит для перехода в среду NAP. Подумайте на секунду, если у вас есть удаленные пользователи, которым необходим доступ к ресурсам, находящимся в вашей корпоративной сети, для выполнения из работы, то вы, вероятней всего, не захотите изначально включать NAP в изоляционном режиме. Если вы все же захотите сделать так, то велик шанс того, что ни один из ваших удаленных пользователей не сможет получить доступ к вашей корпоративной сети. Вместо этого вы можете настроить NAP для использования политики мониторинга. Это позволит вам оценить влияние ваших политик доступа к сети без случайного запрета выполнять кому-то его работу. После такого тестирования вы сможете включить политику в изоляционном режиме.
Как вы, вероятно, уже догадались, в режиме изоляции компьютеры, который не удовлетворяют корпоративной политике безопасности, помещаются в сетевой сегмент, который изолирован от ресурсов промышленной сети. Конечно, это очень общее заявление. Это полностью на усмотрение администратора, решить, что делать с пользователем, компьютер которого не удовлетворяет корпоративной политике. Обычно, администратор предоставляет пользователям, компьютеры которых не удовлетворяют корпоративной политике, доступ к изолированному сетевому сегменту, о котором я говорил выше. Также у администратора есть возможность ограничения доступа к одному ресурсу или к всем сетевым ресурсам.
Вы можете удивиться, какое может быть преимущество в предоставлении доступа компьютерам, которые не соответствуют требованиям корпорации, к изолированному сетевому сегменту. Если компьютер, который не соответствует требованиям, подключается к сети, и инструмент NAP запущен в изоляционном режиме, то такому компьютеру закрыт доступ в промышленную сеть. Обычно такой карантин продолжается, пока пользователь подключен к сети. Простой карантин компьютеров, которые не удовлетворяют политикам компании, позволяет избежать вирусного заражения или использования брешей в безопасности в вашей сети, но не закрывает для пользователя много всего полезного. В конце концов, если пользователь не может получить доступ к сетевым ресурсам, то он не может выполнять свою работу.
Тут как раз и приходит на помощь изолированный сетевой сегмент. Администратор может поместить специальный набор обновлений и антивирусов в этот изолированный сегмент. Такие ресурсы позволяет привести компьютер удаленного пользователя в соответствие с требованиями компании. Например, на таких серверах могут содержаться обновления для безопасности или для антивирусной программы.
Очень важно обратить внимание на то, что инструмент NAP не содержит каких-либо механизмов, которые способны проверить состояние удаленного компьютера и установку на нем обновлений. Это уже будет работа агентов состояния системы и валидатора состояния систем. По слухам, эти компоненты будут интегрированы в следующую версию SMS Server.
Заключение
В этой статье я рассказал вам о новом инструменте в операционной системе Longhorn Server под названием NAP. Во второй части этой статьи, я расскажу вам о процессе настройки с помощью этого инструмента.
В MS-NAP отсутствует механизм защиты от проникновения злоумышленников, однако при помощи этой технологии можно обезопасить работу в сети отдельных машин.
В чём преимущества технологии Network Access Protection?
Грубо говоря, главной целью NAP является предотвращение подключения к сети клиентских систем с устаревшей конфигурацией (например тех, где установлены старые версии служебных пакетов дополнений, антивирусного ПО и др). NAP также чрезвычайно полезна для мобильных систем. Представьте владельца ноутбука, который работает дома и подключается к корпоративной сети, будучи вне офиса; если это противоречит политике безопасности компании, NAP сможет запретить доступ для данного компьютера.
NAP необходима в тех случаях, когда сотрудники фирмы входят в сеть со своих домашних ПК. Обычно организации запрещают доступ в сеть таким машинам, но встречаются исключения. В подобных ситуациях NAP необходима как воздух, поскольку без неё администратор не может даже проверить, имеется ли на компьютере последние версии служебных пакетов и хотфиксов.
NAP можно использовать для проверки состояния стандартных настольных систем (и других серверов Windows Server 2008) на предмет предоставления сетевого доступа. Такой подход помогает защитить от проблем, которые могут возникнуть, если машину, долгое время работавшую автономно (вследствие чего она стала более уязвимой), подключили к сети. По сути, это сулит те же неприятности, что и в описанной выше ситуации с ноутбуком.
Настройка MS-NAP
MS-NAP можно настроить при помощи Windows Server 2008 для сервера и Windows Vista, Windows Server 2008, Windows XP с третьим пакетом обновлений для поддерживаемых клиентов. Третий сервис-пак для Windows XP пока что не вышел в свет (находится на стадии бета-тестирования), но известно, что в нём будет представлен модуль NAP для этой операционной системы.
Инструментарий MS-NAP использует роли объектов сети для осуществления политики администрирования и безопасности, хранения данных о системных требованиях для клиентских машин, их проверки на соответствия данным требованиям, автоматического предоставления необходимых дополнений и исправлений, а также временной изоляции несоответствующих требованиям устройств - всё это, согласно выбранным настройкам. Для устройств с выявленными недостатками предусмотрена специальная карантинная зона (коррекционная сеть), где осуществляется нужная настройка конфигурации, после которой они могут быть снова использованы для дальнейшей работы в корпоративной сети. На рисунке A показана обычная схема работы MS-NAP и её ролевых объектов.
Рисунок A. MS-NAP использует различные ролевые объекты.
Microsoft давно выпускает продукты для серверов, способные осуществлять функции маршрутизации и управления службами DNS, DHCP, WINS; MS-NAP не является исключением. Хотя не всем IT-специалистам на предприятиях понадобятся предоставляемые сетевым оборудованием службы, технология MS-NAP позволяет использовать ролевые объекты сервера Windows для идентификации и управления системами безопасности. MS-NAP использует традиционное сетевое оборудование, поэтому данная технология не может считаться 100%-м продуктом Microsoft.
Механизм работы MS-NAP
Суть MS-NAP довольно ясна. Непонятно только как всё это работает. Для осуществления защиты сети MS-NAP использует ролевые объекты сервера в сочетании с комбинациями коммуникационных каналов. Рассмотрим подробнее поток трафика MS-NAP. Для сервера используются следующие компоненты MS-NAP:
Полномочия реестра безопасности (Health Registry Authority, HRA):
Этот компьютер Windows Server 2008, которому назначена роль интернет-сервера IIS, получает необходимые сертификаты безопасности из соответствующих центров.
Сервер политики безопасности NAP (NAP Health Policy Server, NPS):
Этот компьютер Windows Server 2008 с присвоенной ролью NPS содержит требования по политике безопасности и выполняет проверку на соответствие данным требованиям.
Коррекционный сервер (Remediation Server):
Здесь расположены ресурсы для устранения неисправностей клиентов NAP, не прошедших проверку на соответствие. Например, последние версии антивирусного ПО и прочих приложений.
Сервер требований по безопасности (Health Requirement Server):
Этот ролевой объект снабжает сервера MS-NAP необходимыми компонентами, обеспечивающими текущий уровень безопасности.
Клиент NAP (NAP client):
Компьютер с ОС Windows XP SP3 или Vista, на который направлена деятельность MS-NAP.
Сервер VPN (VPN server):
Роль сервера может исполнять уже существующая система, однако нужно иметь в виду, что это точка доступа во внешнюю сеть (которая не ограничивается только интернетом).
Сетевое оборудование:
Коммутаторы или точки беспроводного доступа WAP, поддерживающие протокол идентификации IEEE 802.1X.
Сервер DHCP (DHCP server):
Сервер DHCP при помощи протокола RADIUS передаёт данные об уровне безопасности клиента NPS серверу политики безопасности. Это ключевой компонент MS-NAP. Если система прошла проверку, ей предоставляется неограниченный доступ в сеть, в противном случае она попадает в карантинную сеть для корректировки конфигурации.
Варианты использования MS-NAP
После того, как мы рассмотрели принцип работы MS-NAP, давайте разберёмся, какие выгоды от применения этой технологии могут получить пользователи обыкновенных сетей. Безопасность стоит на первом месте в политике любой организации, следовательно, функции защиты каждого программного продукта должны быть предусмотрены ещё на самых ранних стадиях разработки. Технология MS-NAP способна запретить доступ в сеть незащищённым системам и отдельным пользователям. В среде Windows имеется один из лучших инструментов по управлению системами - домен Активной директории (Active Directory, AD).
При помощи AD IT-профессионалы могут осуществлять управление большим количеством элементов систем и использовать дополнительные пакеты администрирования, например Systems Management Server (SMS), а также настраивать политику обновлений для Windows и защиты от вирусов. MS-NAP может помочь там, где не работают обычные стратегии администрирования.
Представьте ситуацию, когда поставщику или другому деловому партнёру понадобилось подключиться к ресурсу корпоративной сети. Подключение может осуществляться с машин, присоединённых к другому домену или к сети с иным механизмом управления, то есть недоступных для контроля администратором. Наконец эти компьютеры могут принадлежать другой среде Активных директорий, а это значит, что у администратора, после того как эти машины подключаться к сети, не будет необходимых ресурсов для корректировки необходимых настроек. Технология MS-NAP исправит нужные параметры удалённой системы, прежде чем она получит доступ к сети.
Вопросы обновления и настройки конфигурации систем из других организаций - тема отдельного разговора, менее важная, чем вопрос о предоставлении им прямого доступа к корпоративной сети. Но в случае подобной необходимости MS-NAP принудит удалённую систему принять правила сетевой политики перед тем, как предоставить ей возможность подключения. Это помогает преодолеть расхождение в стандартах, принятых организацией и группами разработчиков компьютерного оборудования.
Главной задачей MS-NAP является профилактика рисков, возникающих при подключении удалённых пользователей, которые выходят в сеть с домашних компьютеров и ноутбуков. Самый большой риск возникает при входе в сеть пользователей, которые почти не заботятся о безопасности своих систем. MS-NAP позволяет осуществлять управление конфигурацией всех удалённых систем, включая те, что редко подключаются к сети (из-за чего не происходит своевременное обновление конфигурации параметров безопасности). Клиент MS-NAP не обязан иметь учётную запись в домене Активной директории организации. К тому же при помощи AD можно осуществлять непосредственное управление идентификацией.
Ресурсы Microsoft для MS-NAP
В интернете представлена информация о разработке и пробной версии этого инструментария для бета-версий систем Windows Server 2008. Компания Microsoft в свою очередь представила на своём сайте .
Межплатформенная поддержка NAP
Технология MS-NAP работает на основе широко распространённого сетевого протокола идентификации IEEE 802.1X, что обеспечивает совместимость NAP с операционными системами Windows Server 2008, Vista, XP и различными видами устройств. В целом, IEEE 802.1X при помощи стандартного протокола RADIUS позволяет осуществлять безопасный доступ к беспроводным сетям и сетям Ethernet.
Главное достоинство этого протокола заключается в том, что серверу идентификации не нужно присваивать роль узла базы данных. Это значит, что поддерживающее IEEE 802.1X сетевое оборудование может подавать запросы на ролевые объекты MS-NAP. Таким образом, технология MS-NAP позволяет осуществлять централизованное управление процессами авторизации и идентификации, а также вести учётные записи в соответствии с заданными параметрами безопасности. В настоящее время этот протокол, разработанный совместными усилиями инженеров HP, Microsoft, Cisco, Trapeze networks и Enterasys, поддерживается большинством производителей сетевого оборудования.
| Материалы |
В ИТ проблема уязвимости сети из-за подключения к ней сомнительных компьютеров давно перешла в разряд насущных. В связи с этим активно изучаются решения, способные физически укрепить политики безопасности компании. Управление сетевым доступом (NAC) было создано как раз для этих целей. NAC предоставляет платформу для разработки служб и функций, способных опросить компьютер перед подключением к безопасной внутренней сети и проверить его на соответствие заданным требованиям по надежности и безопасности.
Корпорация Microsoft представила свою версию управления сетевым доступом посредством NAP , которая предоставляет службу проверки соответствия требованиям по работоспособности перед доступом в сеть. В состав NAP входят службы, компоненты и интерфейс программирования приложений (API), позволяющие гарантировать работоспособность серверов и сетей под управлением Windows Server 2012, а также клиентов под управлением Windows 8 и Windpws 7.
Разберем подробно — что такое NAP?
Защита доступа к сети (Network Access Protection, NAP ) - это платформа для проверки работоспособности компьютерных систем перед их допуском в защищенные сети. Она позволяет гарантировать, что перед каждой попыткой установить новое подключение к частной сети компьютер проходит «проверку».
До появления NAP типичное подключение внешнего компьютера происходило путем создания клиентского подключения через общедоступную сеть, например Интернет, с использованием VPN-подключения.
Подключение клиента сначала проходило через брандмауэр или пересылалось прокси с применением соответствующих портов, требуемых установленным протоколом безопасности. Далее служба проверки подлинности проверяла учетные данные клиента удаленного доступа.
В случае успешной проверки подлинности учетных данных клиент подключался к той части безопасной сети, для которой ранее было установлено подключение.
В таком сценарии есть серьезный изъян. Могут ли возникнуть проблемы, если клиент удаленного доступа, является тем, за кого он себя выдает, предоставляет все необходимые учетные данные, а в частной сети выполняет только разрешенные задачи?
Да. Но допустим, что клиент удаленного доступа выполняет нестандартные запросы служб, операции по обнаружению или исследованию или - того хуже - установку злонамеренного ПО без ведома пользователей компьютера, на котором есть подключение удаленною доступа. Это и послужило одной из главных причин для реализации решения NAP .
NAP снижает вероятность занесения в безопасную сеть вирусов мною путешествующими сотрудниками или гостями. Стандартный поток информации от компьютера, подключающегося к сети, модифицируется и проходит через сен» периметра, где им занимаются компоненты платформы NAP . Сама платформа теперь включает целую экосистему NAP, а при запросе на подключение внешнего клиента он теперь именуется «NAP-клиентом».
В сети периметра остаются те же службы безопасности и устройства, что и раньше. Однако запрос на доступ NAP-клиента идет в обход для определения статуса работоспособности компонентами NAP. На рисунке ниже представлены различия между традиционным подключением удаленного доступа и подключением с использованием платформы NAP.
На рисунке показаны не только компоненты NAP, включенные в поток передачи информации, но и то, что доступ NAP-клиента может быть ограничен внешней сетью, которая получает название карантинной и где дополнительные серверы обновляют клиента, приводя его в соответствие с требованиями к работоспособности.
Полное решение NAP состоит из трех отдельных функций:
- проверка состояния работоспособности
- обеспечение соответствия политики работоспособности;
- ограничение доступа.
Проверка состояния работоспособности.
Проверка состояния работоспособности - это процесс проверки работоспособности компьютера и определение его совместимости. Если платформа NAP настроена на работу с карантинной сетью, доступ не соответствующего требованиям компьютера ограничивается только подсетью карантинной сети, пока тот не будет приведен в соответствие.
Если на начальной стадии платформа NAP реализована только в виде ведения журнала на предмет несоответствий требованиям, степень соответствие компьютера требования по работоспособности записывается в журнал, и ему разрешается продолжить подключение в обычном режиме.
Соответствие политики работоспособности.
В целях отслеживания и, возможно, принудительного применения требований к работоспособности администраторы создают политики работоспособности. Политика работоспособности является основой решения NAP. Политики работоспособности в числе многих других факторов соответствия устанавливают уровень обновлений ПО. сборки ОС. проверки на вирусы и включенные параметры брандмауэра.
Ограничение доступа в сеть.
Когда компьютерные системы не соответствуют стандартам работоспособности, которые требуются для подключения к частной сети, администратор может разрешить подключение, но при этом занести информацию о несоответствии в журнал, либо перенаправить подключение в карантинную сеть для настройки и обновления всех не соответствующих политикам параметров компьютера. Такова функция ограниченного доступа в NAP.
Если вам помогла статья или у вас остались вопросы — пожалуйста пишите в комментариях.
Технология защиты сетевого доступа Microsoft Network Access Protection (NAP) встроена в клиентские операционные системы Windows Longhorn Server и Windows Vista, она расширяет функциональность службы Network Access Quarantine Control в Windows Server 2003. Эта технология позволяет администраторам проверять состояние всех клиентов (а не только постоянных удалённых), подключённых к сети компьютеров в соответствие с принятым требованиям политики безопасности.Несоответствующие тем или иным требованиям машины будут направляться в специальную сеть с ограниченным доступом, где смогут снабдить свои системы недостающими для нужного уровня соответствия ресурсами.
Ниже перечислены 10 основных фактов, которые необходимо узнать перед тем, как внедрить NAP в сеть.
NAP - добавочная функция
NAP не занимает нишу таких защитных механизмов сети, как брандмауэры, приложения по борьбе с вредоносным ПО и системы обнаружения вторжений. Эта технология ни в коей мере не способна предотвратить несанкционированный доступ в сеть. Вместо этого она помогает защитить от атак и действий вредоносных программ подключённые к сети компьютеры, система защита и конфигурация которых оставляет желать лучшего.
NAP может работать в режиме мониторинга или в режиме изоляции
В режиме мониторинга авторизированные пользователи получают доступ к сети даже в том случае, если их состояние их систем не удовлетворяют требованиям безопасности. Этим машинам присваивается соответствующий статус и администраторы могут дать пользователям необходимые инструкции. В изоляционном режиме неудовлетворяющие требования безопасности компьютеры переводятся в специальную карантинную сеть, где смогут установить все недостающие для утверждения ресурсы.
Можно выбирать критерии соответствия
Критерии соответствия включают наличие обновлений, "заплаток" и последних защитных патчей, антивирусных и антишпионских программ, брандмауэров и включенной службы автоматических обновлений Windows. Настроить эти критерии можно при помощи серверного средства оценки состояния систем System Health Validator (SHV).
NAP-сервер должен быть встроен в Windows Longhorn Server
NAP-сервер - это Сервер политики безопасности (Network Policy Server, NPS). NPS заменит в Longhorn службу аутентификации Internet Authentication Service (IAS), которая является частью Windows Server 2003 и отвечает за аутентификацию и авторизацию. В состав NAP входят сервер управления и координации политики NAP Administration Server и сервер определения соответствия NAP Enforcement Server. Компонент System Health Validator (SHV) запускается на сервере.
NAP требует от клиентских компьютеров наличия клиентского приложения NAP
Клиенты NAP для Windows Vista и Windows XP должны появиться с выходом Windows Longhorn Server. Агент System Health Agent (SHA) запускается на клиентских системах. Если машины сети работают на операционных системах, не поддерживающих NAP, можно внести их в список исключений, чтобы позволить им дальше работать в сети. Если же этого не сделать, не поддерживающие NAP компьютеры смогут получить доступ только к специальной карантинной сети.
SHA представляет заявление о работоспособности Statement of Health (SoH), основанное на состоянии клиентской системы
Приложение NAP добавляет SoH к SHV. SHV подключается к серверу политики безопасности Policy Server и определяет, соответствует ли описанный в SoH статус работоспособности клиентской системы требованиям принятой политики. Если да, то компьютер получает полный доступ к ресурсам сети. Если нет (в режиме изоляции), то компьютер получает доступ только к карантинной сети, где на специальных серверах коррекции (Remediation servers) содержатся все необходимые обновления и программы, наличие которых требуется для получения полного доступа.
Использование сертификатов работоспособности для оптимизации процесса проверки
Чтобы сервер Longhorn мог выполнять функции центра сертификации CA и выдавать сертификаты работоспособности, необходимо наличие служб Internet Information Services (IIS) и служб сертификации Certificate Services. Такой компьютер будет называться сервером авторизации работоспособности (Health Registration Authority, HRA). Клиент NAP будет отправлять заявление SoH серверу HRA, который в свою очередь будет посылать его на NPS-сервер. NPS-сервер будет связываться с сервером политики безопасности Policy Server, чтобы проверить SoH. Если проверка пройдёт успешно, сервер HRA выдаст клиенту сертификат работоспособности, который впоследствии можно использовать для идентификации по протоколу IPSec.
Четыре механизма ограничения доступа NAP
Для ограничения по протоколу IPSec (IPSec enforcement) используются сервер HRA и сертификаты X.509. Для ограничения по стандарту 802.1x (802.1x enforcement) используется компонент EAPHost NAP EC для проверки клиентов, подключающихся через точку доступа 802.1x (это может быть точка беспроводного доступа или Ethernet-коммутатор). Профили ограниченного доступа могут состоять из набора IP-фильтров или идентификаторов виртуальной локальной сети VLAN, предназначенные для направления компьютера в карантинную сеть. Для ограничения по идентификатору VPN (VPN enforcement) используются VPN-сервера в момент попытки подключения через виртуальную частную сеть. Для ограничения по протоколу DHCP (DHCP enforcement) используются DHCP сервера в момент, когда компьютер пытается арендовать или обновить конфигурацию IP-адреса в сети. Можно использовать как один, так и все методы ограничения доступа.
Доступ ограничен только тем компьютерам, которые входят в сеть по одному из вышеописанных методов
DHCP enforcement - самый простой и самый дорогой метод ограничения доступа, потому что все клиентские компьютеры DHCP должны будут арендовать IP-адреса (за исключением тех машин, которым присвоены статические адреса). Но самым надёжным методом является ограничение по IPSec. Даже при ограниченном доступе компьютер моет подключаться к DNS и DHCP-серверам, равно как и к серверам коррекции. Можно также разместить дополнительные DNS-серверы или включить их в карантинную сеть с ограниченным доступом вместо основных.
NAP отличается от службы защиты сетевого доступа Network Access Quarantine Control в Windows Server 2003
NAP можно применять абсолютно ко всем, а не только к подключенным удалённым системам сети. То есть с помощью NAP можно проверять и управлять состоянием как временно подключающихся к сети ноутбуков, так и местных настольных систем. NAP легко внедрить, поскольку в отличие от NAQC для её развёртывания не требуется создавать произвольные коды и производить настройку вручную посредством инструментов командной строки. Вдобавок сторонние производители ПО могут использовать интерфейс NAP для создания NAP-совместимых компонентов проверки состояния системы и ограничения сетевого доступа. NAP и NAQC можно использовать одновременно, но в большинстве случаев NAP удачно заменит NAQC.
