Cách bật Network Access Protection (NAP) Agent trên Windows 8

Network Access Protection (NAP) trên Windows 8/8.1: Cấu hình và Lưu ý

Lưu quan trọng: NAP là tính năng **đã bị loại bỏ (deprecated) từ Windows 10 version 1803 và Windows Server 2016**. Microsoft thay thế bằng **Network Policy Server (NPS)** kết hợp **Conditional Access** và **Azure AD Device Compliance**. Trên Windows 8/8.1 (đã hết hỗ trợ chính thức 01/2023), NAP vẫn tồn tại nhưng **KHÔNG NÊN SỬ DỤNG** cho môi trường sản xuất.

Network Access Protection (NAP) là gì?

Công nghệ Microsoft giúp tạo, thi hành và khắc phục chính sách sức khỏe client (Health Policy). Kiểm tra: Cập nhật bảo mật, Antivirus/EDR chạy, Firewall bật, Cấu hình registry, Particular software installed. Nếu không tuân thủ → Quarantine network (mạng cách ly) → Remediation server (cập nhật, quét virus) → Cho vào mạng chính khi compliant.

Nên bật NAP Agent không?

• Môi trường Domain/Enterprise: Có, nếu có NPS Server (Windows Server 2008 R2 - 2012 R2) và hạ tầng hỗ trợ
• Máy cá nhân / Home / Workgroup: KHÔNG. Không có NPS server → NAP không hoạt động, chỉ tiêu tốn tài nguyên
• Windows 10/11 hiện tại: KHÔNG CÓ NAP. Dùng Intune/MDM + Conditional Access + Defender for Endpoint

Cách bật NAP Agent trên Windows 8 (Chỉ cho lab/học tập)

1. Win + R > gõ services.msc > Enter
2. Tìm Network Access Protection Agent
3. Chuột phải > Properties > Startup type: Automatic > Start > OK

Cách bật NAP qua Control Panel

1. Control Panel > System and Security > Network Access Protection
2. Chọn Turn on Network Access Protection
3. Chọn phương thức kết nối cần bảo vệ: Ethernet, WiFi, VPN, IPsec
4. OK để áp dụng

Cách tắt NAP Agent

1. Win + R > msconfig > Enter
2. Tab Services > Tìm Network Access Protection Agent
3. Bỏ tích (Uncheck) > Apply > OK > Restart máy tính
4. Hoặc: services.msc > NAP Agent > Stop > Startup type: Disabled

Kiểm tra trạng thái NAP

• Win + R > napclcfg.msc (NAP Client Configuration)
• Hoặc: netsh nap client show state (Command Prompt Admin)
• Health Registration Authority (HRA) connectivity check

Các thành phần NAP

• SHV (System Health Validator): Server-side, kiểm tra health requirement (WSUS, AV, Firewall, Custom script)
• SHA (System Health Agent): Client-side, báo cáo trạng thái (Windows Update Agent, WSC - Windows Security Center)
• HRA (Health Registration Authority): Cấp Health Certificate cho client compliant (IPsec NAP)
• Remediation Server: Cung cấp update, definition, script sửa lỗi cho client non-compliant
• Enforcement Points: DHCP, VPN (RRAS), IPsec, 802.1X, RD Gateway - nơi thi hành policy

NAP Enforcement Methods (Phương thức thi hành)

1. DHCP Enforcement: Non-compliant → Restricted IP scope (chỉ truy cập Remediation)
2. VPN Enforcement (RRAS): Non-compliant → Deny VPN hoặc Quarantine VPN profile
3. IPsec Enforcement: Health Certificate (HRA) required cho IPsec auth. Non-compliant = No cert = No IPsec
4. 802.1X Enforcement: NPS + RADIUS → VLAN assignment (Quarantine VLAN vs Production VLAN)
5. RD Gateway Enforcement: Remote Desktop Gateway check health trước khi cho RDP

Thay thế hiện đại cho NAP (Modern Replacements)

Sửa lỗi NAP Agent không chạy

1. services.msc > Network Access Protection Agent > Start
2. Nếu lỗi: Event Viewer > Applications and Services Logs > Microsoft > Windows > NAP > Operational
3. Kiểm tra: NPS server reachable? Shared secret đúng? Cert valid? Time sync (NTP)?
4. Registry: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\napagent > Start = 2 (Auto)

Kết luận

NAP là công nghệ **legacy (cũ)**. Trên Windows 8/8.1 (EOL), chỉ dùng cho lab học tập lịch sử. Môi trường thực tế: Triển khai **Zero Trust Architecture** với **Intune/MDM + Conditional Access + Defender for Endpoint + NPS/ISE 802.1X**. Đầu tư thời gian học NAP không mang lại giá trị nghề nghiệp - hãy học **Microsoft Entra ID (Azure AD), Intune, Conditional Access, Defender XDR**.