首页业界动态通用技术技术文章-ISA技术文章-ISA 2006ForeFront TMG相关下载 登录论坛 @联系我们
ISA中文站 > 信息 > 技术文章-ISA > ISA-VPN > 如何实现VPN使用脱离内部网络的IP地址
现在时间是: 2019-02-19 19:33
如何实现VPN使用脱离内部网络的IP地址

(2004-06-19 14:26)
来源:isaserver.org

如何实现VPN使用脱离内部网络的IP地址

 

译自Stefaan Pouseele,"How to Implement VPN Off-Subnet IP Addresses",加以编辑修改

 

 

1. 总结

在Tom ShinderVPN client security - Part 1: Split Tunneling Issues一文中,他谈及了向VPN客户分配脱离内部网络的IP地址来提高内部网络的安全性。但是如果想实现还有一个主要的缺陷,你不能使用DHCP服务器来向VPN客户分配IP地址,因为DHCP服务器和ISA Server的内部接口在一个网段中。在这篇短文中,我将给你展示如何修改你网络的设计,并且超越这个限制。此外,如果你在本地网络中拥有多个LAN或者WAN,这个实例网络也可以作为常规结构。

 

 

2. 网络设计

我经常在论坛上阅读到有人想在ISA Server上使用多个内部接口。作为一个经常接触网络的人,我不提供这种结构。我的看法是ISA Server应该只是一个防火墙,而不是一个内部路由器。因为ISA Server不能控制多个内部接口之间的传输。我强烈建议内内部路由的功能放置在一个指定的三层设备,例如路由器或者三层交换机。因为,我计划使用以下的网络设计:

 

在Jim Harrison的文章Designing An ISA Server Solution on a Complex Network中,很好的阐述了这种场景中该如何配置ISA Server上的路由,所以,我不想重复。首先,这个设计没有什么特别的地方。可是,如果你想避免Split Tunneling 问题并且提高网络的安全性,你必须分配一段不包含在剩余的内网的有类别IP范围的IP段给ISA Server的内部接口。同样的,除了ISA Server和三层设备外,没有其他设备连接到这个网段。 因为这个网络只是一个中继网络,在上图中,我称之为Stub Subnet。

 

 

3. 有类别IP地址

在20世纪70年代最初的Internet路由架构发展中,使用Class A、Class B、Class C三个类别中的一个来分配站点的IP地址。这些类别在容量和数量上存在不同。Class A地址是最多的,但是数量最少。Class C包含的地址最少,但是数量最多。同样也定义了Class D和E,但是他们并不用于通常的环境。类别的不同总结如下:

 

·Class A - 0nnnnnnn hhhhhhhh hhhhhhhhhhhhhhhh

一位 0,网络位7,主机位24

一字节:0 - 127

拥有126个网络(0和127保留)

每个Class A网络拥有16,777,214主机

 

·Class B - 10nnnnnn nnnnnnnn hhhhhhhhhhhhhhhh

前两位 10,网络位14,主机位16

第一字节:128 - 191

拥有16,384个网络

每个Class B网络拥有65,532个主机

 

·Class C - 110nnnnn nnnnnnnn nnnnnnnnhhhhhhhh

前三位110,网络位 21,主机位 8

第一字节:192 - 223

拥有2,097,152个网络

每个网络可以拥有 254个主机

 

·Class D - 1110mmmm mmmmmmmm mmmmmmmmmmmmmmmm

前四位1110,28个多播地址位

第一字节:224 - 247

Class D是保留为多播地址用,详细信息参照 RFC 1112

 

·Class E - 1111rrrr rrrrrrrr rrrrrrrrrrrrrrrr

前四位 1111,28个保留地址位

第一字节:248 - 255

保留为实验使用

 

在ISA Server安装为防火墙或者集成模式时,你必须指定本地地址表(LAT)。本地地址表列出了位于ISA Server之后的内部网络的所有内部IP地址。ISA Server使用LAT来控制内部网络内的计算机如何和外部进行通信。

典型的,LAT包含了ISA Server计算机内部网卡相关的所有IP地址,另外还有Internet Assigned Numbers Authority (IANA)在RFC 1918: Address Allocation for Private Internets中定义的内部保留IP指定,它们是

10.0.0.0 - 10.255.255.255 (10/8 前缀)

172.16.0.0 - 172.31.255.255 (172.16/12 前缀)

192.168.0.0 - 192.168.255.255 (192.168/16 前缀)

它们分别是Class A、Class B、Class C类网络。

为了给Stub Subnet分配不包含在内部网络的有类别IP地址范围的IP地址,你必须小心的计算你的IP编码。例如,如果你在内部网络中使用保留IP段10.0.0.0/8,你不能给Stub Subnet分配10.0.0.0/8的IP段,因为它们都属于同样的Class A地址。

因此,我建议你按照以下方法来分配保留的IP地址段:

·首先决定你需要同时支持的VPN客户数量,它决定你需要定义多少个VPN端口;

·如果你只需要同时支持低于254个的VPN客户,在192.168.0.0/16外分配一个Class C网络

·如果你需要同时支持超过254个的VPN客户,在172.16.0.0/16外分配一个Class B网络。

至于如何使用DHCP来为VPN客户分配IP段,请阅读Tom Shinder的文章 Using DHCP with ISA/VPN Server Clients

 

 

4. 结束

通过使用上述网络设计和给Stub Subnet分配不包含在内部网络有类别IP段的IP地址范围,你可以通过向VPN客户分配脱离内部网络的IP地址来提高内部网络的安全性,而且可以超越不能DHCP来为VPN客户分配IP的限制。



作者:Stefaan Pouseele
责任编辑:风间子

[1]
上一篇:启用ISA Server 2004 的VPN服务
下一篇:ISA Server 2004中的Site-to-Site VPN
相关信息:

How to :允许外部客户使用ISA防火墙的Web代理服务
[译]微软ISA Server 2004的官方文档中对于身份认证、规则和访问策略的论述
关于服务发布中请求转发选项的说明
[敬请期待]ISA Server 2004 site-to-site VPN模式
ISA Server 2004中的Site-to-Site VPN

热点信息 TOP 10
How To:配置基于PPTP模式的站点到站点的VPN连接
启用ISA Server 2004 的VPN服务
How to :让VPN客户解析内部网络中的计算机名
使用RADIUS来认证VPN用户
ISA Server 2004中的Site-to-Site VPN
在背靠背ISA防火墙中配置远程VPN访问
配置VPN服务器使用智能卡身份验证
为VPN客户启用DHCP中继
关于L2TP站点到站点VPN连接中的证书的配置
关于ISA防火墙中VPN服务的一些补充说明

搜索 SEARCH
关键字:
包含:
搜索于:


Copyright © ISACN.ORG 2004-2019 All Rights Reserved..