译自Stefaan Pouseele,"How to Implement VPN Off-Subnet IP Addresses"，加以编辑修改
1. 总结
在Tom Shinder的VPN client security - Part 1: Split Tunneling Issues一文中，他谈及了向VPN客户分配脱离内部网络的IP地址来提高内部网络的安全性。但是如果想实现还有一个主要的缺陷，你不能使用DHCP服务器来向VPN客户分配IP地址，因为DHCP服务器和ISA Server的内部接口在一个网段中。在这篇短文中，我将给你展示如何修改你网络的设计，并且超越这个限制。此外，如果你在本地网络中拥有多个LAN或者WAN，这个实例网络也可以作为常规结构。
2. 网络设计
我经常在论坛上阅读到有人想在ISA Server上使用多个内部接口。作为一个经常接触网络的人，我不提供这种结构。我的看法是ISA Server应该只是一个防火墙，而不是一个内部路由器。因为ISA Server不能控制多个内部接口之间的传输。我强烈建议内内部路由的功能放置在一个指定的三层设备，例如路由器或者三层交换机。因为，我计划使用以下的网络设计：
在Jim Harrison的文章Designing An ISA Server Solution on a Complex Network中，很好的阐述了这种场景中该如何配置ISA Server上的路由，所以，我不想重复。首先，这个设计没有什么特别的地方。可是，如果你想避免Split Tunneling 问题并且提高网络的安全性，你必须分配一段不包含在剩余的内网的有类别IP范围的IP段给ISA Server的内部接口。同样的，除了ISA Server和三层设备外，没有其他设备连接到这个网段。 因为这个网络只是一个中继网络，在上图中，我称之为Stub Subnet。
3. 有类别IP地址
在20世纪70年代最初的Internet路由架构发展中，使用Class A、Class B、Class C三个类别中的一个来分配站点的IP地址。这些类别在容量和数量上存在不同。Class A地址是最多的，但是数量最少。Class C包含的地址最少，但是数量最多。同样也定义了Class D和E，但是他们并不用于通常的环境。类别的不同总结如下：
· Class A - 0nnnnnnn hhhhhhhh hhhhhhhh hhhhhhhh
第一位 0，网络位7，主机位24
第一字节：0 - 127
拥有126个网络（0和127保留）
每个Class A网络拥有16,777,214主机
· Class B - 10nnnnnn nnnnnnnn hhhhhhhh hhhhhhhh
前两位 10，网络位14，主机位16
第一字节：128 - 191
拥有16,384个网络
每个Class B网络拥有65,532个主机
· Class C - 110nnnnn nnnnnnnn nnnnnnnn hhhhhhhh
前三位110，网络位 21，主机位 8
第一字节：192 - 223
拥有2,097,152个网络
每个网络可以拥有 254个主机
· Class D - 1110mmmm mmmmmmmm mmmmmmmm mmmmmmmm
前四位1110，28个多播地址位
第一字节：224 - 247
Class D是保留为多播地址用，详细信息参照 RFC 1112
· Class E - 1111rrrr rrrrrrrr rrrrrrrr rrrrrrrr
前四位 1111，28个保留地址位
第一字节：248 - 255
保留为实验使用
在ISA Server安装为防火墙或者集成模式时，你必须指定本地地址表（LAT）。本地地址表列出了位于ISA Server之后的内部网络的所有内部IP地址。ISA Server使用LAT来控制内部网络内的计算机如何和外部进行通信。
典型的，LAT包含了ISA Server计算机内部网卡相关的所有IP地址，另外还有Internet Assigned Numbers Authority (IANA)在RFC 1918: Address Allocation for Private Internets中定义的内部保留IP指定，它们是
10.0.0.0 - 10.255.255.255 (10/8 前缀)
172.16.0.0 - 172.31.255.255 (172.16/12 前缀)
192.168.0.0 - 192.168.255.255 (192.168/16 前缀)
它们分别是Class A、Class B、Class C类网络。
为了给Stub Subnet分配不包含在内部网络的有类别IP地址范围的IP地址，你必须小心的计算你的IP编码。例如，如果你在内部网络中使用保留IP段10.0.0.0/8，你不能给Stub Subnet分配10.0.0.0/8的IP段，因为它们都属于同样的Class A地址。
因此，我建议你按照以下方法来分配保留的IP地址段：
· 首先决定你需要同时支持的VPN客户数量，它决定你需要定义多少个VPN端口；
· 如果你只需要同时支持低于254个的VPN客户，在192.168.0.0/16外分配一个Class C网络；
· 如果你需要同时支持超过254个的VPN客户，在172.16.0.0/16外分配一个Class B网络。
至于如何使用DHCP来为VPN客户分配IP段，请阅读Tom Shinder的文章 Using DHCP with ISA/VPN Server Clients 。
4. 结束
通过使用上述网络设计和给Stub Subnet分配不包含在内部网络有类别IP段的IP地址范围，你可以通过向VPN客户分配脱离内部网络的IP地址来提高内部网络的安全性，而且可以超越不能DHCP来为VPN客户分配IP的限制。
, ,