Windows Server

Network Policy Server (NPS) w Windows Server: Budowanie zaawansowanych polityk dostępu do sieci

Redakcja 11 czerwca 2025

Network Policy Server (NPS) w Windows Server: Budowanie zaawansowanych polityk dostępu do sieci

🎯 Cel artykułu

Celem tego kompleksowego przewodnika jest omówienie zaawansowanej konfiguracji Network Policy Server (NPS) w systemie Windows Server, z naciskiem na tworzenie elastycznych, bezpiecznych i skalowalnych polityk dostępu do sieci. Artykuł szczegółowo opisuje scenariusze użycia, integrację z Active Directory, 802.1X, EAP-TLS, zarządzanie certyfikatami, rejestrowanie zdarzeń, a także automatyzację przy użyciu PowerShell.

🧭 Wprowadzenie do NPS i jego roli w infrastrukturze

Network Policy Server (NPS) to komponent serwera Windows, który pełni funkcję serwera RADIUS, centralnego punktu kontroli uwierzytelniania, autoryzacji i rozliczania użytkowników i urządzeń próbujących uzyskać dostęp do zasobów sieciowych.

Główne funkcje NPS:

Uwierzytelnianie użytkowników i urządzeń (AAA)
Tworzenie polityk dostępu do sieci LAN, Wi-Fi i VPN
Obsługa protokołów EAP, PEAP, MSCHAPv2, TLS
Rejestrowanie logów dostępu
Integracja z AD DS i certyfikatami

Network Policy Server (NPS) w Windows Server: Budowanie zaawansowanych polityk dostępu do sieci

🏗️ Architektura działania Network Policy Server

[Switch/AP] ←→ [RADIUS Client] ←→ [NPS] ←→ [Active Directory]
                            ↑
                    [User / Device 802.1X]

Główne komponenty:

NPS Server – decyzje o przyznaniu/odmowie dostępu
RADIUS Clients – np. przełączniki, punkty dostępowe, VPN
Connection Request Policies – warunki wstępne
Network Policies – właściwe reguły dostępu
Health Policies (NAP) – (legacy) kontrola stanu klienta

Czytaj Jak zabezpieczyć hasłem pliki i foldery na dysku?

🌐 Scenariusze wykorzystania NPS

🔹 Uwierzytelnianie przewodowe i bezprzewodowe 802.1X
🔹 VPN z Microsoft RRAS lub urządzeniami trzecimi (Cisco, Fortinet)
🔹 Dostęp do systemów administracyjnych przez RADIUS
🔹 Zarządzanie dostępem do sieci dla BYOD i IoT
🔹 Dynamiczna alokacja VLAN i ACL na podstawie tożsamości

👤 Integracja z Active Directory

NPS korzysta z kontrolerów domeny AD DS do uwierzytelniania użytkowników i komputerów.

Zalety:

Brak potrzeby tworzenia kont lokalnych
Użycie grup zabezpieczeń jako warunku
Replikacja polityk przez GPO
Wsparcie dla certyfikatów z AD CS

⚙️ Konfiguracja polityk sieciowych – szczegółowy przewodnik

🔧 Krok 1: Dodanie RADIUS Client

NPS Console > RADIUS Clients > New

IP Address: np. 192.168.1.1
Shared Secret: silne hasło (min. 32 znaki)

🔧 Krok 2: Connection Request Policy

Ustawia, które żądania trafiają do tego serwera NPS, a które są przekierowywane.

Warunki:

Nasłuchiwany port RADIUS
Typ połączenia (np. VPN, 802.1X)
Identyfikator dostępu (NAS Identifier)

🔧 Krok 3: Network Policy

Właściwa decyzja o przyznaniu dostępu.

Warunki:

Grupa użytkowników AD (np. „VPN_Users”)
Typ EAP (EAP-TLS, PEAP-MS-CHAPv2)
Adres MAC klienta, ID SSID

Ograniczenia:

Godziny pracy
Maksymalna przepustowość
Przypisanie do VLAN

📶 Obsługa 802.1X i dynamiczne VLAN-y

NPS z 802.1X umożliwia granularne przypisywanie poziomu dostępu do sieci.

🔹 802.1X przewodowe (Wired AutoConfig):
Konfigurowane przez GPO:

Computer Configuration > Windows Settings > Security Settings > Wired Network Policies

🔹 802.1X bezprzewodowe (WLAN AutoConfig):
SSID + certyfikat lub hasło

🔹 Dynamic VLAN:
Konfiguracja w atrybutach RADIUS:

Tunnel-Type = VLAN
Tunnel-Medium-Type = IEEE-802
Tunnel-Pvt-Group-ID = „20”

🔐 Uwierzytelnianie z użyciem EAP-TLS i certyfikatów

Najbezpieczniejszą metodą uwierzytelniania jest użycie certyfikatów klienta i serwera.

🔹 Wymagania:

AD CS z odpowiednimi szablonami
GPO do automatycznego rejestrowania certyfikatów
Konfiguracja EAP-TLS w polityce NPS

Set-NpsNetworkPolicy -Name "TLSAccess" -EapType EAPTLS

🛡️ Bezpieczeństwo, logowanie i audyt

🔐 Silne hasła współdzielone dla klientów RADIUS

Nie używaj domyślnych — stosuj min. 32 znaki z różnymi znakami.

Czytaj Monitorowanie i logowanie zdarzeń zapory w Windows Server: Kompletny przewodnik

📋 Rejestrowanie dostępu:

%SystemRoot%\System32\LogFiles

Możliwość logowania do SQL lub syslog (dla SIEM).

🔎 Audyt:

Event Viewer → Custom Views → Server Roles → Network Policy and Access Services
Audyt polityk dostępu, błędów uwierzytelniania

🧩 Automatyzacja polityk przy użyciu PowerShell

Dodanie klienta RADIUS:

New-NpsRadiusClient -Name "Switch01" -Address "192.168.1.10" -SharedSecret "Z@Haslo2025!"

Eksport i import polityk:

Export-NpsConfiguration -Path "C:\Backup\nps.xml"
Import-NpsConfiguration -Path "C:\Backup\nps.xml"

Wyświetlenie polityk:

Get-NpsNetworkPolicy

✅ Najlepsze praktyki

✔️ Stosuj EAP-TLS z certyfikatami zaufanych CA
✔️ Wdrażaj dynamiczne VLAN-y dla segmentacji dostępu
✔️ Konfiguruj redundancję NPS w ramach NLB lub geograficznie
✔️ Włącz pełne logowanie i audyt zdarzeń NPS
✔️ Automatyzuj polityki i backup konfiguracji PowerShellem
✔️ Regularnie testuj polityki na środowisku testowym
✔️ Dokumentuj i kontroluj polityki dostępu w ramach ITSM

📌 Podsumowanie

Network Policy Server (NPS) w Windows Server stanowi potężne narzędzie do zarządzania i kontroli dostępu do sieci w oparciu o polityki zintegrowane z Active Directory. Dzięki wsparciu dla 802.1X, EAP-TLS, dynamicznych VLAN-ów, a także możliwościom automatyzacji i centralnego logowania – umożliwia wdrożenie bezpiecznego, elastycznego i skalowalnego systemu uwierzytelniania użytkowników i urządzeń.

Dla organizacji, które stawiają na bezpieczeństwo, spójność i zgodność z politykami IT – wdrożenie NPS w odpowiednio przygotowanej infrastrukturze powinno być jednym z kluczowych kroków w strategii sieciowej.