Les principaux composants

du client), le Quarantine Agent (qui fait la coordination entre le SHA et le QEC) et le Quarantine Enforcement Client (qui est la méthode d’application) ;

Mais rien de tel qu’une mise en situation pour mieux comprendre. Voir Figure 1. Tout d’abord, étape 1, un client demande l’accès au réseau et présente son état de santé actuel. Le DHCP, VPN ou le switch/routeur relaie (étape 2) l’état de santé au Network Policy Server (serveur RADIUS).

Le NPS valide cet état de santé par rapport à la politique de santé définie (étape 3). Si l’état de santé ne respecte pas la politique (étape 4) alors le client est placé dans un VLAN restreint et on ne lui donne accès qu’à des ressources lui permettant de se mettre en conformité avec la politique (patches à télécharger, signatures antivirus, configurations spécifiques…).

Il renvoie alors une requête, relayée au NPS par le switch/ vpn/routeur, l’état de santé est à nouveau validé par rapport à la politique. S’il est maintenant conforme, alors (étape 5) le client peut accéder au réseau de l’entreprise. Plus précisément, quand un client Windows essaie de se connecter à travers DHCP, un VPN ou un routeur, le System Health Validator définit quel est l’état de santé du client. Le point d’accès relaie alors la requête d’accès réseau au Network Policy Server.

Le NPS contient le System Health Validator (SHV) et le Quarantine Server (QS). Le QS coordonne les SHVs qui certifient les déclarations faites par les agents de santé. Active Directory stocke les comptes utilisateur et ordinateur et leurs propriétés d’accès réseau pour les accès réseau authentifiés. Le NPS lui-même ne prend pas la décision d’authentification, mais évalue la connexion et transmets ensuite les identifiants à Active Directory.

Si un ordinateur n’est pas en phase avec la politique de santé, il est envoyé sur un réseau restreint, où les serveurs de remédiation peuvent appliquer des mises à jour de sécurité ou tout ce qui est nécessaire pour rendre l’ordinateur conforme. Les serveurs de remédiation sont en pratique des serveurs, services ou toute ressource qu’un ordinateur non conforme peut accéder sur le réseau restreint.

Ces ressources peuvent stocker les plus récentes mises à jour logicielles ou les composants nécessaires pour rendre l’ordinateur conforme avec les prérequis de santé. Par exemple, un second serveur DNS, un serveur de fichier stockant les signatures antivirus, ou un serveur WSUS peuvent être des serveurs de remédiation. Ils doivent utiliser des adresses IP connues, c’est-à-dire listées dans la section serveurs de remédiation de la stratégie.

Il faut également s’assurer que les serveurs d’infrastructures nécessaires, tels que DNS, WINS voire les contrôleurs de domaines, sont accessibles. Enfin, quand l’ordinateur est conforme à la politique de santé, alors le système lui donne accès au réseau de l’entreprise.