验证 NPS 配置

依次单击「开始」、“运行”，键入 nps.msc，然后按 Enter。

在 NPS 控制台树中，双击“RADIUS 客户端和服务器”，然后单击“RADIUS 客户端”。

在细节窗格中，双击与已安装 NPS 并将其配置为 RADIUS 代理的 HRA 服务器对应的 RADIUS 客户端的友好名称。如果不存在 RADIUS 客户端项，请使用以下过程创建新的 RADIUS 客户端。仅当已将远程 HRA 服务器配置为将连接请求转发到运行 NPS 的本地服务器时，此过程才适用。

1. 右键单击“RADIUS 客户端”，然后单击“新建”。
   
   
2. 在“友好名称”下，键入 RADIUS 客户端的名称（例如，HRA-1）。
   
   
3. 在“地址(IP 或 DNS)”下键入远程 HRA 服务器的 IP 地址或 DNS 名称，单击“验证”，然后单击“解析”。
   
   
4. 确认显示的 IP 地址与正确的远程 HRA 服务器相对应，然后单击“确定”。
   
   
5. 在“共享的机密”和“确认共享机密”下，键入在远程 HRA 服务器的远程 RADIUS 服务器组设置中配置的机密。
   
   
6. 如果远程 HRA 服务器已在其远程 RADIUS 服务器组配置设置中启用了消息验证程序属性，则选中“Access-Request 消息必须包含 Message-Authenticator 属性”复选框。如果未在远程 HRA 上启用此选项，则验证是否已清除此复选框。
   
   
7. 选中“RADIUS 客户端支持 NAP”复选框，然后单击“确定”。
   
   
8. 继续当前的过程验证新 RADIUS 客户端的配置。
   
   

在“属性”窗口中，确认已选中“启用此 RADIUS 客户端”复选框。

确认已选中“RADIUS 客户端支持 NAP”复选框。

如果将远程 HRA 服务器配置为需要访问请求中包含消息验证程序属性，则确认已选中“Access-Request 消息必须包含 Message-Authenticator 属性”复选框。否则，请确认已清除此复选框。

在“供应商名称”旁，确认已选择“RADIUS 标准”。

在“地址(IP 或 DNS)”下，确认列出的 DNS 名称或 IP 地址与正确的远程 HRA 服务器相对应，然后单击“验证”。

在“验证客户端”对话框中，单击“解析”。

在“IP 地址”下，确认列出的 IP 地址与已配置为将请求转发到运行 NPS 的本地服务器的 HRA 服务器相对应，并且运行 NPS 的本地服务器具有与此 IP 地址的网络连接。

单击“确定”。如果怀疑共享机密不匹配，请在“共享机密”和“确认共享机密”旁键入机密，然后单击“确定”。

针对网络上已配置为将连接请求转发到运行 NPS 的本地服务器进行处理的每个 HRA 服务器重复此过程。

在 NPS 控制台树中，双击“属性”，然后单击“连接请求策略”。

在细节窗格中，双击用于对从受 IPsec 保护的 NAP 客户端传入的网络访问请求进行身份验证的连接请求策略。如果不存在此策略，请执行以下步骤创建连接请求策略。

1. 右键单击“连接请求策略”，然后单击“新建”。
   
   
2. 在“策略名称”下，键入连接请求策略的名称（例如，带有 HRA 的 NAP IPsec）。
   
   
3. 在“网络访问服务器类型”下，选择“健康注册机构”，然后单击“下一步”。
   
   
4. 连接请求策略要求至少指定一个条件。若要添加不拒绝任何传入访问请求的条件，请在“指定条件”页上，单击“添加”。
   
   
5. 在“选择条件”窗口中，单击“日期和时间限制”，然后单击“添加”。
   
   
6. 在“时间限制”窗口中，选择“许可”。验证是否允许所有日期和时间，单击“确定”，然后单击“下一步”。
   
   
7. 如果运行 NPS 的本地服务器是 NAP 健康策略服务器，请确认已选中“在此服务器上对请求进行身份验证”，单击“下一步”三次，然后单击“完成”。如果运行 NPS 的本地服务器将请求转发到其他服务器进行评估，请参阅验证 NPS 代理配置。
   
   

在“概述”选项卡上，确认已选中“策略已启用”复选框。

在“概述”选项卡上，确认“网络访问服务器类型”为“健康注册机构”或“未指定”。有关指定访问服务器类型的详细信息，请参阅本主题后面的“其他注意事项”。

单击“条件”选项卡，并验证是否已配置的所有条件均与符合要求和不符合要求的 NAP 客户端相匹配。例如，可以配置“日期和时间限制”，以便仅允许在指定日期的指定时间访问网络。

单击“设置”选项卡。在“所需的身份验证方法”下，单击“身份验证方法”，然后确认已清除“改写网络策略身份验证设置”复选框。

在“转发连接请求”下，单击“身份验证”。

若要启用作为 NAP 健康策略服务器的运行 NPS 的本地服务器，请确认已选中“在此服务器上对请求进行身份验证”。

单击“确定”关闭属性窗口。

在 NPS 控制台树中，双击“属性”，然后单击“网络策略”。

在细节窗格中，确认至少为符合要求的计算机和不符合要求的计算机各应用了一个策略，并且这些策略的“状态”为“已启用”。若要启用策略，请右键单击策略名称，然后单击“启用”。如果不存在这些策略，请执行以下步骤创建网络策略。

1. 右键单击“网络策略”，然后单击“新建”。
   
   
2. 在“策略名称”下，键入网络策略的名称（例如，符合 HRA 的 NAP IPsec 或不符合 HRA 的 NAP IPsec）。
   
   
3. 在“网络访问服务器类型”下，选择“健康注册机构”，然后单击“下一步”。
   
   
4. 在“指定条件”页上，单击“添加”。
   
   
5. 在“选择条件”中，单击“健康策略”，然后单击“添加”。
   
   
6. 如果此网络策略将应用于符合要求的客户端计算机，请在“健康策略”下选择已配置为与符合要求的客户端健康状况相匹配的健康策略，然后单击“确定”。
   
   
7. 如果此网络策略将应用于不符合要求的客户端计算机，请在“健康策略”下选择已配置为与不符合要求的客户端健康状况相匹配的健康策略，然后单击“确定”。
   
   
8. 单击“下一步”，选择“已授予访问权限”，然后单击“下一步”。
   
   
9. 在“配置身份验证方法”页上，选中“仅执行计算机健康检查”复选框，然后单击“下一步”两次。
   
   
10. 在“配置设置”页上，单击“NAP 强制”。
    
    
11. 为此策略选择一个强制模式。有关详细信息，请参阅本主题后面的 NAP 强制模式。
    
    
12. 若要启用对不符合要求的客户端的自动修复，请选中“启用对客户端计算机的自动修复”复选框。如果不希望启用自动修复，请清除此复选框。
    
    
13. 单击“下一步”，然后单击“完成”。
    
    
14. 继续当前的过程验证新网络策略的配置。
    
    

在细节窗格中，验证是否已在部署中正确配置了策略的“处理顺序”。将在处理更多的常规策略之前处理更多的特定策略。若要更改策略的顺序，请右键单击策略名称，然后单击“上移”或“下移”。

在细节窗格中，验证是否已将符合要求和不符合要求的 NAP 策略配置为具有“授权访问”权限的“访问类型”。若要配置访问权限，请右键单击策略名称，单击“属性”，再单击“概述”选项卡，然后选择“授权访问”。

在细节窗格中，验证用于处理受 IPsec 保护的 NAP 客户端的策略“源”是“健康注册机构”还是“未指定”。有关指定访问服务器类型的详细信息，请参阅本主题后面的“其他注意事项”。

在细节窗格中，双击用于匹配符合要求的客户端的网络策略名称，然后单击“条件”选项卡。

验证是否至少指定的一个条件为“健康策略”，并且“值”对应于已配置为与符合要求的客户端健康状态相匹配的健康策略。如果不存在此条件，请执行以下步骤。

1. 依次单击“添加”、“健康策略”和“添加”。
   
   
2. 在“健康策略”下，选择与符合要求的客户端健康状态相对应的策略，然后单击“确定”。如果没有可用的健康策略，则验证健康策略并重复此过程。
   
   

单击“约束”选项卡，然后单击“身份验证方法”。

确认已选中“仅执行计算机健康检查”复选框。

单击“设置”选项卡，然后单击“NAP 强制”。

验证是否已为此符合要求的网络策略选中“允许完全网络访问”，然后单击“确定”。此步骤将完成对符合要求的网络策略的验证。

在细节窗格中，双击用于匹配不符合要求的客户端的网络策略名称，然后单击“条件”选项卡。

验证是否至少指定的一个条件为“健康策略”，并且“值”对应于已配置为与不符合要求的客户端健康状态相匹配的健康策略。如果不存在此条件，请执行以下步骤。

1. 依次单击“添加”、“健康策略”和“添加”。
   
   
2. 在“健康策略”下，选择与不符合要求的客户端健康状态相对应的策略，然后单击“确定”。如果没有可用的健康策略，则验证健康策略并重复此过程。
   
   

单击“约束”选项卡，然后单击“身份验证方法”。

确认已选中“仅执行计算机健康检查”复选框。

单击“设置”选项卡，然后单击“NAP 强制”。

• 如果您在完整强制模式下部署了 NAP，请验证是否已为此不符合要求的网络策略选中“允许受限访问”。
  
  
• 如果您在延迟强制模式下部署了 NAP，请验证是否已为此不符合要求的网络策略选中“允许在有限时间内对网络执行完全访问”。
  
  
• 如果您在报告模式下部署了 NAP，请验证是否已为此不符合要求的网络策略选中“允许完全网络访问”。
  
  
• 如果希望启动对不符合要求的 NAP 客户端进行自动修复，请验证是否已选中“启用对客户端计算机的自动修复”复选框。
  
  

单击“确定”。

根据需要重复这些步骤，以便验证用于评估受 IPsec 保护的 NAP 客户端中的访问请求的每个网络策略的配置。

在 NPS 控制台中，双击“属性”，然后单击“健康策略”。

在细节窗格的“策略名称”下，双击符合要求的健康策略的名称。如果不存在此策略，请使用以下步骤创建符合要求的健康策略。

1. 右键单击“健康策略”，然后单击“新建”。
   
   
2. 在“策略名称”下，键入符合要求的健康策略的名称（例如，符合 HRA 的 NAP IPsec）。
   
   
3. 在“客户端 SHV 检查”下，选择“客户端通过所有 SHV 检查”以创建严格的健康策略，或选择“客户端通过一个或多个 SHV 检查”以创建更宽松的健康策略。
   
   
4. 在“此健康策略中使用的 SHV”下，选中将用于评估客户端健康的每个 SHV 旁的复选框。默认情况下，可以使用“Windows 安全健康验证程序”。如果已安装其他 SHV，则可以使用这些 SHV。
   
   
5. 单击“确定”。
   
   

在“客户端 SHV 检查”下，确认已选中“客户端通过所有 SHV 检查”或“客户端通过一个或多个 SHV 检查”。这些条件将分别用于创建相对严格或相对不严格的符合要求的策略。

在“此健康策略中使用的 SHV”下，确认已选中已安装的 SHV 旁的复选框，这些 SHV 将用于评估受 IPsec 保护的 NAP 客户端计算机的健康，然后单击“确定”。

在细节窗格的“策略名称”下，双击不符合要求的健康策略的名称。如果不存在此策略，请使用以下步骤创建不符合要求的健康策略。

1. 右键单击“健康策略”，然后单击“新建”。
   
   
2. 在“策略名称”下，键入不符合要求的健康策略的名称（例如，不符合 HRA 的 NAP IPsec）。
   
   
3. 在“客户端 SHV 检查”下，选择“客户端未能通过一个或多个 SHV 检查”以创建严格的健康策略，或选择“客户端未能通过所有 SHV 检查”以创建更宽松的健康策略。
   
   
4. 在“此健康策略中使用的 SHV”下，选中将用于评估客户端健康的每个 SHV 旁的复选框。默认情况下，可以使用“Windows 安全健康验证程序”。如果已安装其他 SHV，则可以使用这些 SHV。
   
   
5. 单击“确定”。
   
   

在“客户端 SHV 检查”下，确认已选中“客户端未能通过一个或多个 SHV 检查”或“客户端未能通过所有 SHV 检查”。这些条件将分别用于创建相对严格或相对不严格的不符合要求的策略。

在“此健康策略中使用的 SHV”下，确认已选中已安装的 SHV 旁的复选框，这些 SHV 将用于评估受 IPsec 保护的 NAP 客户端计算机的健康，然后单击“确定”。

为用于评估受 IPsec 保护的 NAP 客户端计算机的所有健康策略重复这些步骤。

在 NPS 控制台中，双击“网络访问保护”，然后单击“系统健康验证程序”。

在细节窗格的“名称”下，双击已安装的 SHV 的名称。

SHV 的配置根据实现方式而有所不同。如果使用的是 Windows 安全健康验证程序，请单击“配置”。

• 若要为运行 Windows Vista 的计算机配置健康要求，请单击 Windows Vista 选项卡。
  
  
• 若要为运行 Windows XP Service Pack 3 的计算机配置健康要求，请单击 Windows XP 选项卡。
  
  

通过选中健康组件旁的复选框来启用健康要求。清除这些复选框可禁用要求。使用 WSHV 时可用的健康要求包括：“防火墙”、“病毒防护”、“间谍软件保护”、“自动更新”和“安全更新保护”。

单击“确定”，并为您的部署配置错误代码解析。错误代码解析用于确定如何在列出的错误条件下评估客户端。您可以选择为每个条件返回“符合要求”或“不符合要求”状态。

单击“确定”，然后关闭 NPS 控制台。