ISA Server 2004里×××服务器的客户端地址池使用分析
来源：ISA中文站
由于
w2k的×××服务器地址池使用的是和本地内网卡同一段，所以很多网友在配置ISA2004的时候，×××服务的地址池仍然习惯性的使用和本地内网卡同一段，虽然使用手动输入已经被ISA2004禁止，但是使用DHCP确可以实现这个目的，那么为什么ISA2004
要禁止使用已经使用在的地址呢，下面我来谈谈我的看法。
首先来说
W2K，为什么使用同一段地址，我们通过微软的一些资料可以看出，W2K对于×××
服务使用的是桥接方式。所以这里不存在路由问题，同一网段的地址是在同一个物理位置。
ISA2004
使用的是不是桥接模式呢，我们知道桥接，就好比在一个HUB里面，你无法让网关去控制下面的两个PC是不是能够互相访问。所以为了加强安全性，ISA2004不允许使用桥接模式，而是默认使用路由模式（也可以使用NAT模式，更提高了安全系数，这种情况分配IP地址范围就可以随意了），因为使用桥接怎么控制×××
客户端的访问权限呢。
我通过
DHCP，使用和内网卡（192.168.1.1/24）同一段地址，×××客户拨入后得到IP为192.168.1.201/32，使用×××客户端，ping内网pc，可以接通，内网用户也可以接通×××用户，我们知道如果内网用户不以ISA内网卡地址为网关的话，在ISA另一个网卡地址上的PC将不能被接通，但是我修改了网关地址，依然可以接通×××用户，说明这已经不是在路由了，而是在桥接，为了证实想法，我抓了包，当ping ×××客户端地址的时候，本地arp表里面没有192.168.1.201的地址，于是就发出了对于192.168.1.201的广播请求，ISA内网卡回应了请求，告知192.168.1.201的MAC地址，对比这个MAC地址，和ISA内网卡一致，由此看出，如果使用同段的地址，ISA2004依然使用了桥接模式。那么在ISA2004的防火墙策略里使用×××客户端这个网络元素就会失效，我禁止×××客户端访问内部，然而×××客户端依然可以接通内部PC，内部PC也依然可以接通×××客户端。当禁止了内部访问内部之后，不能接通。这样做就导致ISA2004
的网络元素混乱，不能起到应有的作用。
ISA2004
不仅仅禁止×××地址池加入本地网卡网段的地址范围，也禁止加入整个已经在ISA2004登记过的地址范围
，本人无法加入那样的地址，不过为了分析一下原理，下面我模拟一个使用内网已经存在地址的例子，说明问题。
| （2004-12-24 17:37）
来源：ISA中文站
| |||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
如图模拟构成了一个网络。
×××客户拨入后得到IP为192.168.2.201/32，通过ISA2004的内部环回可以路由到本地网卡192.168.1.254，也可以路由到internet，如果这时候没有路由器增加的那个PC2问题不大，pc1的网关是192.168.1.254，访问都可以完成。那么来看路由器的192.168.2.0/24网段，为了能让该段访问外部，在ISA2004上增加内网地址范围192.168.2.0/24，并且增加路由192.168.2.0/24 192.168.1.1 192.168.1.254，而在路由器上需要增加0.0.0.0/0 192.168.1.254 192.168.1.1，这样pc1和pc2就可以访问internet
。
当192.168.2.201访问pc2的时候，查找本地路由表，本地路由表里没有，于是发到默认路由192.168.2.200上，也就是ISA2004的×××服务器的虚拟网卡， ISA2004的路由表里有192.168.2.0/24 192.168.1.1 192.168.1.254，根据这个路由，送到下面路由器192.168.1.1去，路由器转发到pc2，pc2返回应答信息到路由器，路由器查找自己的路由表，发现192.168.2.0/24在192.168.2.1接口上，但是arp对应表里没有192.168.2.201，在192.168.2.1上发起广播，没有谁来应答，丢弃，访问失败。
从
pc2访问192.168.2.201
，比较掩码，为同一段，不提交路由器，广播，未果，丢弃。
如果
×××客户端使用了和ISA2004的×××
地址池分配相同的本地地址会怎么样呢。
×××
地址池为192.168.20.0/24，×××客户端分配给192.168.20.5/32，本地地址192.168.20.9/24
。
我们来看一下路由表
Active Routes:
Default Gateway: 192.168.20.5
我们看到出现了两个默认网关，那是不是就无法路由呢，对于双网关，
windows区别了优先级，看Metric值，192.168.20.5的值低，那么默认网关就是192.168.20.5，只有当这个网关有问题才会启用192.168.20.9，也就是说原来的网关被屏蔽了，这样我们访问远程网段仍可以接通，通过试验的确可以ping通远程地址的192.168.100.21，上网仍会畅通。但是想要接通192.168.20.0的远程地址就不行了，因为我看到已经有192.168.20.0的路由的interface是192.168.20.9，只要访问192.168.20.0/24的地址就会送到192.168.20.9
，也就是只能在本地查找。
那么如果远程网络的
ISA2004使用了和本地内网卡同一段地址，这样会怎么样呢。由于存在192.168.20.0/24 192.168.20.9的路由，远程地址上的192.168.20.21终端不能接通，原理上面说的，凡是到192.168.20.0/24都往本地网卡上送，不会使用默认路由192.168.20.5
，因为本地路由表里面存在路由。这就是所谓的同一段地址必须在相同的物理位置，如果这样做会造成路由失败。
综上所述，我得出一个结果：
ISA2004配置×××地址池的时候，不能使用在ISA2004已经登记过的IP地址范围
，不论是本地网卡的地址范围还是下级路由器的地址范围。
|
推荐专栏更多
猜你喜欢
我的友情链接
Benet3.0 ASA基本配置及高级应用
vCenter Server Appliance（VCSA ）6.7部署指南
Mysql启报错报The server quit without updating PID file
使用iLO远程管理HP系列服务器
HTTP协议详解
搭建ELK日志分析平台（下）—— 搭建kibana和logstash服务器
apache Internal Server Error 解决方法
关于Nginx的server_name。
CentOS6.4+LAMP+Postfix+Dovecot+Postfixadmin+Roundcubemail 打造企业级邮件服务器 (1)
用Windows Storage Server 2008做iSCSI存储服务器
服务器排障 之 nginx 499 错误的解决
简述centOS 7系统用户和组的管理及配置
解析DELL R710服务器迁移操作内容
开学季出大事：某教育局丢失3台虚拟机
EVA4400存储虚拟机+数据库数据恢复成功案例
服务器数据恢复通用方法+服务器分区丢失恢复案例
在CentOS7上部署squid缓存服务器及代理功能
EMC 5400服务器raid阵列瘫痪数据恢复成功案例
服务器数据恢复案例 / raid5阵列多块硬盘离线处理方法
扫一扫,领取大礼包
转载于:https://blog.51cto.com/zg888/58246
5031
到【灌水乐园】发言
Ctrl+Enter 发布
发布
取消