NPS（Network Policy Server，网络策略服务器）是Windows Server系统中一个非常实用的角色服务，它本质上就是一台RADIUS服务器，用来集中管理网络访问策略。简单来说，你在企业里想控制谁能连WiFi、谁能拨入远程访问、连上之后能访问哪些资源、带宽怎么限制，这些统统可以通过NPS来统一配置和下发。很多运维人员第一次接触NPS会觉得复杂，其实核心逻辑就三步：安装角色、配置策略、绑定客户端。下面我把整个配置流程从头到尾讲透，包括容易踩的坑和实战中的优化建议。
一、NPS到底解决什么问题
在没有NPS的环境里，每台交换机、每台无线AP都要单独配置访问控制，几十台设备就要重复几十遍，管理成本极高。NPS的价值在于"集中策略、统一认证"。所有网络设备（交换机、无线控制器、防火墙、VPN网关）都指向这一台NPS服务器做认证，策略只需在NPS上改一次，全部生效。它支持802.1X有线认证、无线认证、VPN拨号认证、DHCP中继代理等多种场景，是企业网络准入控制的核心组件。
二、安装NPS角色服务
在Windows Server 2016/2019/2022上，打开"服务器管理器"，点击"添加角色和功能"，一路下一步到"服务器角色"页面，勾选"网络策略和访问服务"（Network Policy and Access Services）。接下来会弹出子角色选择，勾选"网络策略服务器"（Network Policy Server）即可。注意不要勾选其他子角色除非你确实需要，比如"健康注册机构"是做NAP用的，一般场景用不到。安装完成后，在"工具"菜单里就能看到"NPS"管理控制台。
安装完成后第一件事是注册NPS到Active Directory。打开NPS控制台，右键点击"NPS（本地）"，选择"在Active Directory中注册服务器"。这一步非常关键，不注册的话后续很多功能用不了，比如基于AD组的策略匹配、账户锁定等。注册时需要域管理员权限，注册成功后会提示"服务器已在Active Directory中注册"。
三、配置RADIUS客户端
NPS本身不直接对接网络设备，它需要知道"谁"会来找它做认证。这个"谁"就是RADIUS客户端，通常是你的交换机、无线AP、VPN网关的管理IP地址。在NPS控制台左侧展开"RADIUS客户端和组"，右键"RADIUS客户端"选择"新建"。
填写客户端信息时要注意几个点：第一，"友好名称"随便写，方便自己识别；第二，"地址（IP或DNS）"填网络设备的管理口IP，不是业务口；第三，"共享密钥"是NPS和客户端之间通信的密码，两边必须完全一致，建议设成复杂一点的字符串，比如16位以上大小写加数字混合。这个密钥一旦配错，认证100%失败。
示例：新建RADIUS客户端 友好名称：Core-Switch-01 地址：192.168.1.1 共享密钥：Nps@Secure2024#Key
四、创建网络策略（核心环节）
策略是NPS的灵魂。在NPS控制台展开"策略"，右键"网络策略"选择"新建"。新建策略会弹出向导，第一步是设置策略名称和类型，一般选"网络访问"类型。接下来是最关键的几个配置环节：
条件设置：这里决定哪些人会命中这条策略。常用条件包括：用户组（比如"Domain Users"或自定义的"WiFi-Allowed"组）、NAS端口类型（比如无线、以太网、VPN）、客户端IP地址范围、连接请求类型等。实际部署中建议用AD安全组来控制，这样人员变动只需在AD里调整组成员，不用改NPS策略。
约束设置：这里可以限制认证方式（比如要求EAP-MSCHAPv2）、限制一天内的认证次数、限制连接时长等。如果你要做802.1X认证，这里要勾选"忽略用户账户拨入属性"或者根据需要调整。
设置设置：这一步配置认证通过后的行为。包括：是否允许访问、是否分配VLAN（通过RADIUS属性26或隧道属性）、是否分配IP地址（通过RADIUS属性8或Framed-IP-Address）、是否限制带宽等。VLAN分配在企业里非常常用，不同部门走不同VLAN，全部由NPS统一下发。
RADIUS属性配置示例（VLAN分配）： 属性：Tunnel-Private-Group-ID（属性81） 值：100（对应VLAN 100） 属性：Tunnel-Medium-Type（属性65） 值：6（代表IEEE 802） 属性：Tunnel-Type（属性64） 值：13（代表VLAN）
五、配置网络访问保护（NAP）和健康策略（可选）
如果你的企业对终端安全有要求，比如要求电脑必须装杀毒软件、系统补丁必须更新才能接入网络，就需要启用NAP功能。NAP需要额外安装"健康注册机构"和"主机凭据授权协议"两个子角色。配置流程比较长，核心是定义健康策略（比如检查Windows防火墙状态、检查杀毒软件状态），然后在网络策略的"设置"里勾选"授予访问权限"并选择对应的健康策略。不过说实话，NAP在实际部署中配置复杂、兼容性问题多，很多企业直接跳过这一步，用其他终端管理方案替代。
六、配置RADIUS属性和连接请求策略
很多人只关注网络策略，忽略了"连接请求策略"和"RADIUS属性"这两个模块。连接请求策略是NPS收到认证请求后的第一道关卡，决定这个请求由哪个网络策略来处理。默认有一条"使用Windows身份验证的连接请求"策略，一般不需要改，除非你有特殊的路由需求。
RADIUS属性模块则是精细控制的关键。比如你想给某个策略的用户分配特定的DNS服务器，可以在"RADIUS属性"里新建属性，选择"Framed-DNS-Server"并填入IP。再比如你想限制用户的最大会话数，可以设置"Framed-Max-Sessions"。这些属性在网络策略的"设置"标签页里也能添加，但在独立的RADIUS属性模块里管理更清晰。
七、日志和监控配置
NPS内置了详细的日志功能，在"记账"（Accounting）里可以看到每一次认证请求的详细记录，包括用户名、客户端IP、认证结果、策略命中情况、时间戳等。建议把日志路径改到非系统盘，并且定期归档，否则日志文件会增长很快。同时可以配置将日志转发到Syslog服务器或者SIEM系统，方便集中审计。
在"记账"配置里还可以设置记录哪些信息，建议至少勾选"成功和失败的认证请求"以及"记账信息"。如果你的服务器性能一般，可以考虑只记录失败请求，减少IO开销。
八、常见问题和排错技巧
实际部署中最常见的问题有以下几个：第一，共享密钥不匹配。表现是NPS日志里全是"Access-Reject"，客户端那边也报认证失败。解决方法是去客户端设备上重新核对并修改共享密钥，两边保持一致。第二，NPS没有注册到AD。表现是策略里选不到用户组，或者无法使用AD集成认证。解决方法是右键NPS服务器重新执行"在Active Directory中注册服务器"。第三，防火墙拦截。RADIUS默认使用UDP 1812和1813端口，如果Windows防火墙没放行，客户端根本连不上NPS。在"高级安全Windows防火墙"里添加入站规则放行这两个端口即可。
还有一个容易忽略的点：NPS服务器的时间必须和域控同步。如果时间差太大，Kerberos认证会失败，导致EAP相关的认证方式全部不可用。用w32tm命令检查并同步时间是基本操作。
九、高可用和性能优化建议
NPS本身不支持原生的高可用集群，但可以通过以下方式提升可靠性：一是部署两台NPS服务器，在网络设备上配置主备RADIUS服务器地址（主用192.168.1.10，备用192.168.1.11），设备会自动切换；二是定期备份NPS配置，在NPS控制台右键"导出配置"即可生成XML文件，出问题时"导入配置"快速恢复；三是如果认证量很大（比如几千人同时在线），建议把NPS放在独立的服务器上，不要和其他高负载角色共存，CPU和内存都要留足余量。
从性能角度看，NPS对硬件要求不高，一般4核8G的虚拟机就能应付中小规模。但如果你启用了NAP健康检查，或者日志量巨大，建议上到8核16G。另外，策略的顺序很重要，NPS是从上到下匹配策略的，把最具体的策略放上面，通用的放下面，避免策略覆盖导致的意外行为。
十、总结
NPS是Windows Server生态里做网络准入控制的首选方案，配置逻辑清晰、与AD深度集成、支持场景丰富。核心流程就是安装角色、注册AD、添加RADIUS客户端、创建网络策略、配置属性和日志。掌握了这套流程，你就能在企业里搭建起一套集中化的网络访问控制体系。建议先在测试环境里把802.1X认证跑通，再逐步扩展到VPN和无线场景，稳扎稳打不容易出问题。
