网络访问保护

　　病毒和恶意软件在运行在用户区域之前即被软件拦截，但是保护的终极目标应该是实现这些病毒软件完全无法进入网络。在Windows Server 2008中，管理员将根据基线对计算机进行检查。如果发现计算机存在问题，则这一系统不能访问网络，也就是被隔离，直到用户修复其机器，才被获准进入健康区域。

　　这一功能被称为网络访问保护(Network Access Protection)功能，这一功能可以被拆分为三个核心部分：

　　健康政策确认——试图连接到网络的机子经检查并检验其特定健康标准(由管理员设定)的合规性。(参看图四：Windows Vista的确认标准)。

　　健康政策的服从可用于检查配置，没有进行验证的计算机可通过Systems Management Server或其他管理软件(例如Microsoft Update或Windows Update)自动更新或者确认。

　　访问限制——NAP的强制装置。可以实现在仅监控模式下运行NAP，这一模式将连接到网络计算机的从规和确认声明进行了记录。但是处于活动模式的计算机无法进行确认，这些计算机则被加入网络的访问限制区域(这一区域阻隔几乎所有网络访问并限制了一系列特定的hardened服务器(包含了使服务器正常运行最常见的工具)。看图三来了解一些控制(准予、限制和禁制网络访问)的大概情况。

    
    图三——新的网络政策

　　了解到NAP是进行检查的唯一平台，在配置了Windows Server 2008后很多部分仍是需要的。这些需求包括系统安全代理(system health agents)以及系统安全验证(system health validators)，这些确保了每台客户机都经检查和验证。Windows Vista系统发布时将系统安全代理和验证设置成了缺省值，这样就可自行定制(见图四)。

    
    图四——Vista系统的System Health Validator

  
    易管理性改进

　　服务器仅在管理员合理配置的情况下有效。传统上Windows Server产品相当容易操作，但是Windows Server 2008对于最初的设置和结构有了很大的改进。

    
    图五——新增角色精灵

　　对于查看服务器的信息来说，考虑到其稳定性和整合性以及对安装任务的管理(见图五)，还有其经提高的解决修复结构故障能力，服务器管理家(Server Manager)是一个one-stop shop。Server Manager替代了Configure Your Server、Manage Your Server和Security Configuration Wizard界面。其集中了多种MMC 3.0快照技术，使得你可以看到什么任务和功能被安装到了指定的机器上，同时给你一份管理相关组件的文件。

　　Windows配置服务(Windows Deployment Services)

　　多数管理员开始喜欢远程安装服务(Remote Installation Services)，Windows 2000 Server和Windows Server 2003的新增功能。其提供了定制安装功能同时很轻松即可去除这一功能。在Windows Server 2008中，微软从根本上修订了远程安装服务并重新命名为Windows Deployment Services。

　　Windows Deployment Services采用了PXE和一个操作系统的TFTP。但是当前其也在安装流程中包括进来Windows PE——一个图像的前终端，替换了难看且功能很少基于文本的蓝屏设置语句(从Windows NT 3.0开始一直采用)。你尅创建很多不同的图像，同时将其存放在Windows Deployment Services机上(见图六)，同时你可以直接将这些图片通过网络单播或多播输出给企业的网络用户。

    
    图六——Windows配置服务(Windows Deployment Services)