Infrastruktura architektury NAP

Při přístupu k síti klient NAP nejdříve shromáždí informace o stavu systému z místně nainstalovaných agentů stavu systému (SHA). Každý agent stavu systému nainstalovaný v klientském počítači poskytuje informace o aktuálním nastavení nebo aktivitách, k jejichž sledování je určen. Informace od agentů stavu systému jsou shromažďovány službou Agent NAP spuštěnou v místním počítači. Služba Agent NAP shrnuje informace o stavu počítače a předává je jednomu či více klientům vynucení NAP (NAP Enforcement Client). Klient vynucení je software, který spolupracuje s body vynucení NAP při získávání přístupu nebo komunikaci v síti.

Bod vynucení architektury NAP je server nebo hardwarové zařízení, které zajišťuje úroveň přístupu ke klientským počítačům NAP. Každá technologie vynucení architektury NAP používá jiný typ bodu vynucení architektury NAP. Viz následující tabulka.

Pokud je v bodu vynucení architektury NAP spuštěn systém Windows Server 2008 nebo Windows Server 2008 R2, je označován jako server vynucení architektury NAP. Všechny servery vynucení architektury NAP musí používat systém Windows Server 2008 nebo Windows Server 2008 R2. V architektuře NAP s vynucením pomocí protokolu 802.1X je bodem vynucení architektury NAP přepínač odpovídající standardu IEEE 802.1X nebo bezdrátový přístupový bod. Na serverech vynucení architektury NAP pro metody vynucení pomocí protokolu IPsec, DHCP a služby Brána VP musí být spuštěn také server NPS konfigurovaný buď jako proxy server RADIUS nebo jako server zásad stavu architektury NAP. Architektura NAP s vynucením pro sítě VPN nevyžaduje, aby byl na serveru VPN nainstalován server NPS.

Server zásad stavu architektury NAP je počítač se systémem Windows Server 2008 nebo Windows Server 2008 R2 s nainstalovanou službou role serveru NPS, která je nakonfigurována pro vyhodnocování stavu klientských počítačů NAP. Technologie vynucení architektury NAP vyžadují alespoň jeden server zásad stavu. Server zásad stavu architektury NAP vyhodnocuje pomocí zásad a nastavení požadavky na přístup k síti odesílané klientskými počítači architektury NAP.

Nápravné servery architektury NAP poskytují aktualizace a služby pro klientské počítače nesplňující požadavky. V závislosti na návrhu nápravné sítě mohou mít k nápravnému serveru přístup také počítače splňující požadavky. Zde je uvedeno několik příkladů nápravných serverů architektury NAP:

• Servery antivirových podpisů: Pokud zásady stavu vyžadují, aby počítače měly nejnovější antivirový podpis, musí mít počítače nesplňující požadavky přístup k serveru, který poskytuje příslušné aktualizace.
  
  
• Služba Windows Server Update Services: Pokud zásady stavu vyžadují, aby počítače měly nejnovější aktualizace zabezpečení nebo jiné softwarové aktualizace, lze tyto aktualizace poskytnout tak, že do nápravné sítě umístíte službu WSUS.
  
  
• Servery komponent System Center: Body správy, body aktualizace softwaru a distribuční body nástroje System Center Configuration Manager jsou hostiteli aktualizací softwaru potřebných k uvedení počítačů do kompatibilního stavu. Pokud nasadíte architekturu NAP pomocí nástroje Configuration Manager, budou počítače umožňující architekturu NAP vyžadovat přístup k počítačům s těmito rolemi systémového serveru, aby mohli stahovat zásady klientů, ověřovat kompatibilitu softwarových aktualizací a stahovat požadované softwarové aktualizace.
  
  
• Řadiče domény: Počítače nesplňující požadavky mohou vyžadovat přístup k doménovým službám v síti nesplňující požadavky za účelem ověřování, stahování zásad ze zásad skupiny a udržování nastavení profilu domény.
  
  
• Servery DNS: Počítače nesplňující požadavky musí mít přístup k serveru DNS za účelem překladu názvů hostitelů.
  
  
• Servery DHCP: Pokud dojde ke změně profilu IP adresy klienta v nekompatibilní síti nebo k ukončení platnosti zapůjčení adresy DHCP, musí mít počítače nesplňující požadavky přístup k serveru DHCP.
  
  
• Poradce při potížích se servery: Při konfiguraci skupiny nápravných serverů máte možnost zadat adresu URL poradce při potížích s pokyny pro uvedení počítačů do stavu kompatibilního se zásadami stavu. Pro každou zásadu sítě lze zadat jinou adresu URL. K těmto adresám URL musí být přístup v nápravné síti.
  
  
• Další služby: V nápravné síti lze také poskytnout přístup k Internetu, aby měly počítače nesplňující požadavky přístup k nápravným službám, jako je například služba Windows Update, a k jiným prostředkům Internetu.
  
  

Server požadavků na stav systému je počítač, který poskytuje požadavky na stav systému a informace o vyhodnocení stavu pro jeden či více validátorů stavu systému (SHV), Pokud server NPS může ověřit stav klientských počítačů architektury NAP, aniž by bylo nutné provést konzultaci s jiným zařízením, není server požadavků na stav systému potřebný. Jestliže je například služba WSUS použita s Validátorem stavu zabezpečení systému Windows (WSHV), není považována za server požadavků na stav. Ačkoli správce může použít službu WSUS k určení aktualizací, které klientské počítače musí mít, informace o instalaci těchto aktualizací jsou hlášeny klientským počítačem. V tomto scénáři je WSUS nápravným serverem nikoli serverem požadavků na stav.

Server požadavků na stav systému se používá při nasazení architektury NAP pomocí validátoru stavu systému (SHV) Správce konfigurace. Validátor stavu systému (SHV) Správce konfigurace kontaktuje server globálního katalogu a podle odkazu na stav systému, který je publikován ve službě AD DS (Active Directory Domain Services), ověří stav klienta. Proto je řadič domény při nasazení validátoru stavu systému (SHV) Správce konfigurace serverem požadavků na stav. Servery požadavků na stav mohou být používány i jinými validátory stavu systému (SHV)

• Přehled architektury NAP