44、Windows Server 2008 R2：安全策略、网络访问保护与迁移指南

Windows Server 2008 R2：安全策略、网络访问保护与迁移指南

1. 网络访问保护与安全策略

网络访问保护（NAP）在Windows Server 2008 R2中扮演着重要角色，它能够隔离和控制不符合组织策略的客户端，通过限制这些客户端的网络访问类型，大大降低了整体安全风险。NAP支持内置于Windows Server 2008 R2以及Windows 7、Windows Vista和Windows XP SP3操作系统中。

Windows Server 2008 R2的NAP实现为网络策略服务器（NPS）角色提供了强大的工具集，可用于限制使用NAP的客户端。NPS角色内置支持限制DHCP、IPSec、802.1x和VPN客户端（如果它们未通过系统健康检查）。此外，Windows Server 2008 R2还改进了VPN功能，允许管理员控制和加密客户端与内部网络的连接。综合利用这些技术可以显著提高环境的安全性。

以下是一些最佳实践建议：
- 安装网络策略服务器角色，以限制客户端对网络和服务的访问。
- 使用专用的证书颁发机构（CA）服务器生成IPSec的健康证书。
- 确保网络策略服务器使用的服务器证书由将连接的客户端信任的证书颁发机构颁发。
- 在处理VPN客户端连接的服务器上至少安装两块网卡。
- 尽管Windows Server 2008 R2的VPN功能强大，但可考虑使用高级防火墙/VPN解决方案，如Forefront Edge系列（包括Forefront Threat Management Gateway和/或Forefront Unified Access Gateway），以进一步提高VPN安全性