54SA.COM|专注于系统运维管理,为中国SA提供动力!
当前位置: 主页 > Windows > 服务器 > ISA >

用ISA为VPN客户启用DHCP中继(图)

时间:2010-10-28 21:31来源:编辑部 编辑:Liy

  内容概述:在这篇文章中我们测试了如何在ISA防火墙上安装并部署DHCP中继代理,允许VPN客户从企业内部网络中的DHCP服务器获得DHCP选项。
  
  近来我见到最多的一个问题是如何让安装在ISA防火墙上的DHCP中继代理正常的工作,这些公司在企业内部网络中部署有DHCP服务器,并且想为VPN客户转发DHCP选项。也许你想转发给VPN客户的最重要的DHCP选项是主域名后缀,这样VPN客户可以正确的限定它们的域名请求。当VPN客户可以正确的限定它们的域名请求时,它们就可以使用你内部的DNS服务器来解析内部主机的域名。当然,你可以分配任何你需要的DHCP选项,例如允许你的VPN客户使用指定Web代理服务的WPAD选项。
  
  为了让ISA防火墙上的DHCP中继代理正常工作,你需要:
  
  通过ISA防火墙控制台启用RRAS服务;
  
  配置ISA防火墙的VPN服务使用DHCP来分配VPN客户的地址;
  
  创建允许DHCP中继代理和VPN客户获得IP地址信息的访问规则;
  
  在RRAS控制台中安装和配置DHCP中继代理;
  
  重启ISA防火墙并进行测试。
  
  在下面的讨论中,我假设你已经在内部网络中安装和配置好了DHCP服务器,现在你需要在ISA防火墙上配置DHCP中继代理转发VPN客户的DHCP请求到内部网络中的DHCP服务器。
  
  另外,我假设你只是安装好了ISA防火墙,并没有启用VPN服务,不过,如果你已经启用了VPN服务,你只需要跳过启用VPN服务的步骤即可。
  
  测试网络如下图所示:
  
 

  DHCP作用域选项如图所示,内部网络中一台DC作为域控和DHCP服务器,ISA防火墙是边缘防火墙;VPN客户可以拨入ISA防火墙,并且从ISA防火墙获取IP地址信息。
  
  通过ISA防火墙控制台启用RRAS服务
  
  如果你没有启用ISA防火墙的VPN服务,那么首先我们需要在ISA防火墙控制台中启用它。执行以下步骤启用ISA防火墙的VPN服务:
  
  1、运行ISA Server 2004管理控制台,展开服务器名,点击虚拟专用网络(VPN)节点;
  
  2、点击任务面板的任务标签,点击启用VPN客户访问链接;
  
 

  3、点击应用保存修改和更新防火墙策略;
  
  4、在应用新配置对话框上点击确定。
  
  配置ISA防火墙的VPN服务使用DHCP来分配VPN客户的地址
  
  对于VPN客户的IP地址分配,你有两个选项:DHCP或者静态地址池。我更喜欢DHCP,因为这样就可以不用在ISA防火墙的网络定义中移除DHCP作用域中重叠的IP地址范围。
  
  注:对于使用静态IP地址池的情况,你必须将此静态IP地址池的地址范围从ISA防火墙的网络定义中移除,而使用DHCP就不需要进行此操作。
  
  默认情况下,ISA防火墙使用DHCP来为DHCP客户分配IP地址,但是没有DHCP中继代理,DHCP服务器只会为VPN客户分配IP地址,这是因为VPN客户永远不能直接和DHCP服务器进行通讯。而当RRAS服务启动时,它将从DHCP服务器处获得10个IP地址(如果DHCP服务器有足够的IP地址可以分配而且RRAS服务器至少需要那么多),然后RRAS服务给自己分配这些地址中的一个IP地址,其他分配给VPN客户。如果RRAS服务需要更多的IP地址,它将从DHCP服务器获取,但是从不会为VPN客户获取DHCP选项。
  
  如果你已经配置为使用静态IP地址池为VPN客户分配IP地址,现在想切换为DHCP,那么执行以下步骤:
  
  1、在ISA防火墙控制台,点击虚拟专用网络(VPN)节点,然后点击任务面板中的任务标签;
  
  2、点击任务面板中的定义地址分配链接;
  
  3、在地虚拟专用网络(VPN)属性对话框的地址分配标签,点击动态主机配置协议(DHCP)选项;
  
  4、点击应用再点击确定;
  
  5、点击应用保存修改和更新防火墙策略;
  
  6、在应用新配置对话框上点击确定。
  
  创建允许DHCP中继代理和VPN客户获得IP地址信息的访问规则
  
  我们需要创建两条访问规则来实现DHCP中继代理的配置,这两条访问规则如下面的表所示:
  
  
表一:允许内部到VPN客户的DHCP回复

  
 

  
表二:允许VPN客户到本地主机的DHCP请求

  
 

  注意规则顺序只是为这个试验而设置的,在你的商用环境中,你可能需要将它们放置在合适的位置。它们是没有进行身份验证的访问规则,你必须将它们放置在需要验证的访问规则之前。
  
  我们需要创建允许内部到VPN客户的DHCP回复的访问规则,是因为企业内部网络中的DHCP服务器看到发起DHCP请求的源IP地址是VPN客户。ISA防火墙为VPN客户扮演了一个代理ARP服务器服务器的角色,但并不会修改DHCP请求中发起请求的VPN客户的源IP地址。
  
  我们需要创建允许VPN客户到本地主机的DHCP请求的访问规则,是因为VPN客户需要发送它们的DHCPINFORM信息到ISA防火墙,因为DHCP中继代理安装在ISA防火墙上。
  
  执行以下步骤创建允许内部到VPN客户的DHCP回复访问规则:
  
  1、在ISA防火墙管理控制台,展开服务器名,然后点击防火墙策略节点;
  
  2、在防火墙策略节点,点击任务面板中的任务标签,再点击创建新的访问规则链接;
  
  3、在欢迎使用新建访问规则向导页,输入规则名字,在此我命名为DHCP Reply (Internal to VPN),然后点击下一步;
  
  4、在规则动作页选择允许,点击下一步;
  
  5、在协议页,选择选择的协议,然后点击添加;
  
  6、在添加协议对话框,点击基础服务节点,然后双击DHCP回复,点击关闭;
  
 

  7、在协议页点击下一步;
  
  8、在访问规则源页点击添加按钮;
  
  9、在添加网络实体对话框,点击网络文件夹,双击内部,然后点击关闭;
  
  10、在访问规则源页点击下一步;
  
  11、在访问规则目的页点击添加按钮;
  
  12、在添加网络实体对话框,点击网络文件夹,双击VPN客户,然后点击关闭;
  
  13、在访问规则目的页点击下一步;
  
  14、在用户集页接受默认设置,点击下一步;
  
  15、在正在完成新建访问规则向导页,点击完成;
  
  创建第二条允许VPN客户到本地主机的DHCP请求的访问规则和上面步骤基本一致,在此就不在重复了。
  
  最后点击应用保存修改和更新防火墙策略,创建好的访问规则如下图所示:
  
 

  在RRAS控制台中安装和配置DHCP中继代理
  
  现在我们使用RRAS控制台来添加DHCP中继代理路由协议,执行以下步骤来添加DHCP中继代理路由协议,并且配置它使用企业内部网络中的DHCP服务器:
  
  1、点击开始,指向管理工具,再点击路由和远程访问;
  
  2、在路由和远程访问控制台,展开服务器名,然后再展开IP路由节点;
  
  3、右击常规节点,点击新建路由协议;
  
  4、在新建路由协议对话框,点击DHCP中继代理协议,然后点击确定;
  
 

  5、右击DHCP中继代理节点,然后点击属性;
  
  6、在DHCP中继代理属性对话框,在服务器地址栏输入企业内部网络中的DHCP服务器的IP地址,然后点击添加;然后点击确定;
  
 

  7、右击DHCP中继代理节点然后点击新建接口,我们选择的是RRAS服务的内部接口,注意不是选择ISA防火墙计算机的内部接口。这就是我为什么总是修改ISA防火墙的网络接口的名字的原因,因为这样可以让我轻易的辨别它们。选择RRAS服务的内部接口,然后点击确定;
  
 

  8、在DHCP中继代理服务的内部接口属性对话框上点击确定;
  
  9、点击应用再点击确定;
  
  重启ISA防火墙并进行测试
  
  下一步是重启ISA服务器计算机,在ISA防火墙计算机重启后,我们现在向它建立一个VPN客户连接。当VPN客户连接成功建立后,在VPN客户计算机上打开命令提示符,然后运行 ipconfig /all,结果如下图所示:
  
 

  你可以看到VPN客户的VPN拨号接口PPP adapter VPN上通过DHCP中继代理从DHCP服务器获得了一个连接指定的DNS后缀blah.com,一个DNS服务器和主WINS服务器。注意分配给VPN客户的两个IP地址相同的DNS服务器一个是VPN客户从DHCP中继代理获得的,一个是ISA防火墙自己的DNS服务器设置。由于DHCP中继代理分配的和ISA Server分配给VPN客户的DNS服务器是一致的,当出现问题时可能会导致VPN客户不能访问DNS服务。不过,DHCP服务器分配给VPN客户的DNS服务器是作为VPN客户的首选DNS服务器。
  
  下图显示了VPN客户和DHCP服务器之间的通讯是被DHCP中继代理所代理的。
  

  只需要注意DHCPINFORM和DHCPACK数据包,DHCP中继代理转发VPN客户的DHCPINFORM信息到DHCP服务器,而DHCP服务器直接向VPN客户的IP地址回

[责任编辑:Lavy]

------分隔线----------------------------