为DHCP客户端配置NAP
实施拓扑：
拓扑说明：
集团出于安全考虑，通过动态获取地址的客户端，一定要通过网络访问策略的检查，所以在集团总部安装了网络策略服务器和DHCP服务器，各自的作用是设置策略和分配ip地址，
任务描述：
l 将NYC-SVR1配置成NAP和DHCP服务器
u 在NYC-SVR1上安装DHCP和NPS服务器角色
u 将NYC-SVR1配置成NAP健康策略服务器
l 为NAP强制配置DHCP服务
l 将NYC-CL1配置为DHCP和NAP客户端
任务实施：
? 为 DHCP 客户端配置 NAP
1. 首先NYC-SVR1中添加两块网卡，一张网卡地址10.10.0.24，另一张192.168.1.10
2. NYC-SVR1 中, 安装 DHCP 和 NPS 服务器角色, 选择网络连接绑定，选择“10.10.0.24”，首选 DNS，“10.10.0.10”，不需要WINS的默认设置，添加作用域名称“NAP Scope”，
在“起始IP 地址”后输入“10.10.0.50”，在“结束IP 地址”框中输入“10.10.0.199”，在子网掩码 后输入“255.255.0.0”。禁用DHCPv6 无状态模式，安装
3. 将 NYC-SVR1 配置成 NAP 健康策略服务器，
? 配置 SHV（系统健康验证器(System Health Validator)）：在 Windows Vista 选项卡上，只是选择“已为所有网络连接启用防火墙”选项。
? 配置更新服务器组：组名“Rem1”, 更新服务器10.10.0.10即是DC1，
? 配置健康策略，新建健康策略，策略名称“Compliant”，具体配置如下
? 新建健康策略，策略名称“Noncompliant”，具体配置如下
? 为符合计算机配置网络策略：首先要禁用两个默认策略，然后新建策略，策略名称“Compliant-Full-Access”，到指定条件是健康策略“Compliant”，指定通过验证的用户的访问权限为“已授予访问权限”，身份验证方法“仅执行计算机健康检查”，没有约束，NAP 强制是“允许完全网络访问”，
? 为不符合计算机配置网络策略：策略名称“Noncompliant-Restricted”，指定健康策略“Noncompliant”，通过的用户允许访问权限“已授予访问权限”, 身份验证方法“仅执行计算机健康检查”,没有配置约束，NAP 强制选择“允许受限访问”，“启用客户端计算机的自动更新功能”。
为 NAP 强制配置 DHCP 服务
1. 在 NYC-SVR1上，配置DHCP，首先启用“网络访问保护”。
2. 配置“作用域选项”，在高级选项卡中，用户类别验证选择了“默认用户类”。
3. 配置“003 路由器”，IP 地址“10.10.0.1”。
4. 配置“015 DNS 域名”，在“字符串值”中输入 “Woodgrovebank.com”，Woodgrovebank.com 域是分配给符合 NAP 客户的完全访问网络。
5. 配置用户类别为“默认的网络访问保护级别”的用户
6. 配置“006 DNS 服务器”， IP 地址是“10.10.0.10”。
7. “015 DNS 域名”，字符串值“restricted.Woodgrovebank.com”，restricted.woodgrovebank.com 域是分配给不符合 NAP 客户的访问受限的网络。
1. 在 NYC-CL1 启用安全中心。运行“mmc”，添加“组策略对象编辑器”，展开“本地计算机策略/计算机配置/管理模板/Windows 组件/安全中心”。双击“启用安全中心（仅限域 PC）”，单击“已启用”，然后单击“确定”。
2. 启用 DHCP 强制客户端。运行“napclcfg.msc”，单击“强制客户端”。右键单击“DHCP 隔离强制客户端”，然后单击“启用”。
3. 启用并启动 NAP功能。在计算机“服务”里，启动“Network Access Protection Agent”服务，并且把服务“启动类型”改为“自动”。
4. 为 NYC-CL1 进行 DHCP 地址分配。在“本地连接属性”对话框，清除“Internet 协议版本6 (TCP/IPv6) ”，Internet协议版本4 (TCP/Ipv4)选择“自动获得 IP 地址”和“自动获得 DNS 服务器地址”。
