ISTA SAJ Filière TRI Année de formation 2017/2018

56. Configuration de NAP

56.1. Décrire les programmes de validation d’intégrité système ;
Les programmes de validation d’intégrité système sont le pendant dans le logiciel serveur des agents
d’intégrité système du logiciel client. Chaque agent d’intégrité système sur le client correspond à un
programme de validation d’intégrité système dans NPS. Un programme de validation d’intégrité système
permet à NPS de vérifier la déclaration d’intégrité émanant de l’agent d’intégrité système correspondant
sur l’ordinateur client.
56.2. Expliquer l’utilisation d’une stratégie de contrôle d’intégrité
Lorsqu’un client compatible NAP tente de se connecter au réseau, il envoie une déclaration d’intégrité au
serveur NPS (Network Policy Server). La déclaration d’intégrité est un rapport sur l’état de la configuration
du client, que NPS compare à la configuration requise définie dans la stratégie de contrôle d’intégrité. Si
l’état de la configuration du client ne correspond pas à la configuration requise définie dans la stratégie de
contrôle d’intégrité, NPS effectue l’une des actions suivantes, selon la configuration de la protection
d’accès réseau NAP :
• La demande de connexion du client NAP est rejetée.
• Le client NAP est placé sur un réseau restreint où des serveurs de mise à jour peuvent le mettre en
conformité avec la stratégie de contrôle d’intégrité. Une fois devenu conforme à la stratégie de
contrôle d’intégrité, le client est autorisé à se connecter.
• Le client NAP est autorisé à se connecter au réseau bien qu’il ne soit pas conforme à la stratégie de
contrôle d’intégrité.
56.3. Expliquer l’utilisation des groupes de serveurs de mise à jour ;
Un groupe de serveurs de mise à jour est une liste de serveurs du réseau restreint qui fournissent les
ressources requises pour mettre les clients compatibles avec la protection d’accès réseau (NAP) non
conformes en conformité avec la stratégie de contrôle d’intégrité des clients définie par l’administrateur.
Par exemple, un serveur de mise à jour peut héberger des signatures antivirus.
56.4. Décrire les impératifs requis pour la configuration du client NAP ;
Pour mettre en œuvre la protection d’accès réseau (NAP), vous devez configurer les paramètres NAP à la
fois sur les serveurs et sur les ordinateurs clients.
Trois outils vous permettent de configurer les paramètres du client NAP :
• La console de configuration du client NAP offre une interface graphique utilisateur grâce à laquelle
vous pouvez configurer des paramètres de client NAP
• Les commandes Netsh pour le client NAP offrent un outil en ligne de commande qu’utilisé pour
configurer les ordinateurs clients
• On peut utiliser la Console de gestion des stratégies de groupe et l’Éditeur de gestion des stratégies
de groupe pour gérer des paramètres de client NAP sur des ordinateurs clients membres de
domaine.
56.5. Expliquer comment activer et configurer NAP.
Pour activer ou désactiver le suivi NAP à l’aide de l’interface Windows
Taper NAPCLCFG.MSC  Clic droit sur Configuration du client NAP (ordinateur local)  Propriétés
 sélectionner Activé ou Désactivé.
57. Analyse et résolution des problèmes du système NAP
57.1. Décrire comment le suivi NAP peut aider à surveiller et résoudre la protection d’accès
réseau (NAP).
On peut utiliser la console de configuration du client NAP pour configurer le suivi de la protection d’accès
réseau (NAP). Le suivi enregistre les événements NAP dans un fichier journal et est utile pour le
dépannage et la maintenance. On peut également utiliser les journaux de suivi pour évaluer l’intégrité et la
sécurité du réseau. On peut configurer trois niveaux de suivi : De base, Avancé et Débogage.

Formateur : BADJOU 1/3

ISTA SAJ Filière TRI Année de formation 2017/2018

Par défaut, le suivi NAP est désactivé, ce qui signifie qu’aucun événement NAP n’est enregistré dans les
fichiers journaux de suivi NAP.
57.2. Expliquer comment configurer le suivi NAP.
57.2.1. Activer et désactiver le suivi NAP
Pour activer ou désactiver le suivi NAP à l’aide de l’interface Windows
• Taper NAPCLCFG.MSC  Clic droit sur Configuration du client NAP (ordinateur local) 
Propriétés  sélectionner Activé ou Désactivé.
Pour activer ou désactiver le suivi NAP à l’aide d’une ligne de commande
• Pour activer le suivi NAP, taper : netsh nap client set tracing state = enable
• Pour désactiver le suivi NAP, taper : netsh nap client set tracing state = disable
57.2.2. Spécifier le niveau de détail du journal de suivi NAP
Pour spécifier le détail des informations enregistrées dans le journal de suivi NAP à l’aide de l’interface
Windows
• Taper NAPCLCFG.MSC  Clic droit sur Configuration du client NAP (ordinateur local) 
Propriétés  Spécifier le niveau de détails à inscrire dans les journaux de suivi  De bas, Avancé,
ou Débogage.
Pour spécifier le détail des informations enregistrées dans le journal de suivi NAP à l’aide d’une ligne de
commande
Pour configurer le suivi NAP, effectuez l’une des actions suivantes :
• Pour configurer le suivi NAP de façon à enregistrer des informations de base, taper :
netsh nap client set tracing state = enable level= basic
• Pour configurer le suivi NAP de façon à enregistrer des informations avancées, taper :
netsh nap client set tracing state = enable level = advanced
• Pour configurer le suivi NAP de façon à enregistrer des informations de débogage, taper :
netsh nap client set tracing state = enable level = verbose
57.3. Dépanner la protection d’accès réseau (NAP) avec Netsh.
57.3.1. Syntaxe de la commande netsh de diagnostic
La commande netsh afficher les informations d'installations.
netsh ras diagnostics show installation [ type = ] FILE|EMAIL [ destination = ] destination [ [ compression
= ] ENABLED|DISABLED [ hours = ] heures [ verbose = ] ENABLED|DISABLED ]
Explication des options :
type - type de destination.
FILE - sauvegarde le rapport de diagnostics vers un fichier.
EMAIL - envoie le rapport de diagnostics vers une adresse de messagerie.
destination - la destination du rapport de diagnostic.
Un nom de fichier ou une adresse de messagerie est une destination valide.
compression - compresse le rapport de diagnostic vers un fichier CAB.
ENABLED - active la compression.
Paramètre par défaut pour la destination de messagerie.
DISABLED - désactive la compression.
Paramètre par défaut pour le fichier destination.
hours - affiche uniquement les journaux à partir de ce nombre d'heures dans le passé (1 - 24 est valide). Si
aucune heure n'est affichée, le journal entier sera affiché.
verbose - quantité de données à inclure dans le rapport de diagnostic.
ENABLED - active les informations détaillées.
DISABLED - désactive les informations détaillées. Par défaut.

Formateur : BADJOU 2/3

ISTA SAJ Filière TRI Année de formation 2017/2018

57.3.2. Syntaxe de la commande netsh du client

netsh nap client ?
add - Ajoute la configuration.
delete - Supprime la configuration.
dump - Affiche un script de configuration.
export - Exporte les paramètres de configuration.
help - Affiche une liste de commandes.
import - Importe les paramètres de configuration.
rename - Renomme la configuration.
reset - Réinitialise la configuration.
set - Définit la configuration.
show - Affiche des informations sur la configuration et l'état.
Exemple de commande netsh :
netsh nap client show hashes : Affiche la configuration de hachage.
netsh branchcache set key : Génère une nouvelle clé d'informations sur le contenu.
netsh nap client add server : Ajoute la configuration d'un serveur approuvé.
netsh advfirewall monitor show : Affiche les paramètres de stratégie de pare-feu au moment de l'exécution.
netsh mbn delete : Supprime une entrée de configuration d'une table.
netsh advfirewall consec show : Affiche la règle de sécurité de connexion spécifiée.
netsh winsock show catalog : Affiche le contenu du catalogue Winsock.
netsh interface teredo set state : Définit l'état du Teredo.
netsh wfp show filters : Affiche les filtres correspondant aux param?tres de trafic spécifiés.
netsh interface portproxy show v6tov4 : Affiche les param?tres pour établir des connexions proxy IPv6
vers IPv4.
netsh trace diagnose : Démarre une session de diagnostic.
netsh interface isatap : Modifications pour le contexte `netsh interface isatap'.
netsh winhttp show tracing : Affiche les paramètres de suivi WinHTTP actuels.
netsh interface portproxy delete v6tov6 : Supprime une entrée pour écouter IPv6 et se connecter via proxy
IPv6.
netsh rpc filter show : Affiche des informations.
netsh interface ipv6 show ipstats : Affiche les statistiques IP.
57.4. Utiliser le journal des événements NAP pour corriger NAP.
Démonstration

Formateur : BADJOU 3/3