ADC

CloudBridge-Connector

August 15, 2023

Beitrag von:

Hinweis: Die aktuelle NetScaler 1000V-Version unterstützt diese Funktion nicht.

Die CloudBridge Connector-Funktion der NetScaler Appliance verbindet Unternehmensrechenzentren mit externen Clouds und Hosting-Umgebungen und macht die Cloud so zu einer sicheren Erweiterung Ihres Unternehmensnetzwerks. Cloud-gehostete Anwendungen werden so angezeigt, als ob sie in einem zusammenhängenden Unternehmensnetzwerk ausgeführt würden. Mit Citrix CloudBridge Connector können Sie Ihre Rechenzentren um die Kapazität und Effizienz erweitern, die von Cloud-Anbietern verfügbar sind.

Mit dem CloudBridge Connector können Sie Ihre Anwendungen in die Cloud verlagern, um Kosten zu senken und die Zuverlässigkeit zu erhöhen.

Sie können den CloudBridge Connector nicht nur zwischen einem Rechenzentrum und einer Cloud verwenden, sondern auch zwei Rechenzentren verbinden, um eine sichere und beschleunigte Verbindung mit hoher Kapazität zu gewährleisten.

CloudBridge Connector verstehen

Um die Citrix CloudBridge Connector-Lösung zu implementieren, verbinden Sie ein Rechenzentrum mit einem anderen Rechenzentrum oder einer externen Cloud, indem Sie einen Tunnel einrichten, der als CloudBridge Connector-Tunnel bezeichnet wird.

Um ein Rechenzentrum mit einem anderen Rechenzentrum zu verbinden, richten Sie einen CloudBridge Connector-Tunnel zwischen zwei NetScaler-Appliances ein, eine in jedem Rechenzentrum.

Um ein Rechenzentrum mit einer externen Cloud (z. B. Amazon AWS-Cloud) zu verbinden, richten Sie einen CloudBridge Connector-Tunnel zwischen einer NetScaler Appliance im Rechenzentrum und einer virtuellen Appliance (VPX) ein, die sich in der Cloud befindet. Der Remote-Endpunkt kann ein CloudBridge Connector oder ein NetScaler VPX mit Premium-Lizenz sein.

Die folgende Abbildung zeigt einen CloudBridge Connector-Tunnel, der zwischen einem Rechenzentrum und einer externen Cloud eingerichtet wurde. lokalisiertes Bild

Die Appliances, zwischen denen ein CloudBridge Connector-Tunnel eingerichtet ist, werden als Endpunkte oder Peers des CloudBridge Connector-Tunnels bezeichnet.

Ein CloudBridge Connector-Tunnel verwendet die folgenden Protokolle:

Generisches Routing Encapsulation (GRE) -Protokoll
IPSec-Protokollsuite mit offenem Standard im Transportmodus

Das GRE-Protokoll bietet einen Mechanismus zur Kapselung von Paketen aus einer Vielzahl von Netzwerkprotokollen, die über ein anderes Protokoll weitergeleitet werden. GRE wird verwendet, um:

Verbinden Sie Netzwerke, auf denen Nicht-IP- und nicht routbare Protokolle ausgeführt werden.
Brücke über ein Wide Area Network (WAN).
Erstellen Sie einen Transporttunnel für jede Art von Verkehr, der unverändert über ein anderes Netzwerk gesendet werden muss.

Das GRE-Protokoll kapselt Pakete, indem es den Paketen einen GRE-Header und einen GRE-IP-Header hinzufügt.

Die Internet Protocol Security (IPSec) -Protokollsuite sichert die Kommunikation zwischen Peers im CloudBridge Connector-Tunnel.

In einem CloudBridge Connector-Tunnel stellt IPSec Folgendes sicher:

Integrität der Daten
Authentifizierung des Datenursprungs
Vertraulichkeit der Daten (Verschlüsselung)
Schutz vor Replay-Angriffen

IPSec verwendet den Transportmodus, in dem das GRE-gekapselte Paket verschlüsselt wird. Die Verschlüsselung erfolgt über das Encapsulating Security Payload (ESP) -Protokoll. Das ESP-Protokoll gewährleistet die Integrität des Pakets mithilfe einer HMAC-Hash-Funktion und gewährleistet die Vertraulichkeit durch die Verwendung eines Verschlüsselungsalgorithmus. Nachdem das Paket verschlüsselt und der HMAC berechnet wurde, wird ein ESP-Header generiert. Der ESP-Header wird nach dem GRE-IP-Header eingefügt, und am Ende der verschlüsselten Payload wird ein ESP-Trailer eingefügt.

Peers im CloudBridge Connector-Tunnel verwenden das Internet Key Exchange Version (IKE) -Protokoll (Teil der IPSec-Protokollsuite), um eine sichere Kommunikation wie folgt auszuhandeln:

Die beiden Peers authentifizieren sich gegenseitig, indem sie eine der folgenden Authentifizierungsmethoden verwenden:
- Authentifizierung mit vorab gemeinsam genutzten Schlüsseln. Eine Textzeichenfolge, die als Pre-Shared Key bezeichnet wird, wird auf jedem Peer manuell konfiguriert. Die Pre-Shared-Schlüssel der Peers werden zur Authentifizierung miteinander abgeglichen. Damit die Authentifizierung erfolgreich ist, müssen Sie daher auf jedem Peer denselben Pre-Shared-Schlüssel konfigurieren.
- Authentifizierung digitaler Zertifikate. Der Initiator-Peer (Absender) signiert Nachrichtenaustauschdaten mit seinem privaten Schlüssel, und der andere Empfänger-Peer verwendet den öffentlichen Schlüssel des Absenders, um die Signatur zu überprüfen. In der Regel wird der öffentliche Schlüssel in Nachrichten ausgetauscht, die ein X.509v3-Zertifikat enthalten. Dieses Zertifikat bietet ein gewisses Maß an Sicherheit, dass die im Zertifikat dargestellte Identität eines Peers mit einem bestimmten öffentlichen Schlüssel verknüpft ist.
Die Fachkollegen verhandeln dann, um eine Einigung über Folgendes zu erzielen:
- Ein Verschlüsselungsalgorithmus.
- Kryptografische Schlüssel zum Verschlüsseln von Daten in einem Peer und zum Entschlüsseln der Daten in dem anderen.

Diese Vereinbarung über das Sicherheitsprotokoll, den Verschlüsselungsalgorithmus und die kryptografischen Schlüssel wird als Security Association (SA) bezeichnet. SAs sind Einwegsysteme (Simplex). Wenn beispielsweise zwei Peers, CB1 und CB2, über einen Connector-Tunnel kommunizieren, hat CB1 zwei Sicherheitszuordnungen. Ein SA wird für die Verarbeitung ausgehender Pakete verwendet, und der andere SA wird für die Verarbeitung eingehender Pakete verwendet.

SAs laufen nach einer bestimmten Zeit ab, die als Lebensdauerbezeichnet wird. Die beiden Peers verwenden das Internet Key Exchange (IKE) -Protokoll (Teil der IPSec-Protokollsuite), um neue kryptografische Schlüssel auszuhandeln und neue SAs einzurichten. Der Zweck der begrenzten Lebensdauer ist es, Angreifer daran zu hindern, einen Schlüssel zu knacken.

In der folgenden Tabelle sind einige IPSec-Eigenschaften aufgeführt, die von einer NetScaler-Appliance unterstützt werden:

IPsec-Eigenschaften	Unterstützte Typen
IKE-Versionen	V1, V2
IKE DH-Gruppe	Eine NetScaler Appliance unterstützt nur die DH-Gruppe 2 (1024-Bit-MODP-Algorithmus) sowohl für iKEV1 als auch für iKEv2.
IKE-Authentifizierungsmethoden	Authentifizierung mit vorab gemeinsam genutzten Schlüsseln, Authentifizierung mit digitalen Zertifikaten
Verschlüsselungsalgorithmus	AES (128 Bit), AES 256 (256 Bit), 3DES
Hash-Algorithmus	HMAC SHA1, HMAC SHA256, HMAC SHA384, HMAC SHA512, HMAC MD5

Die offizielle Version dieses Inhalts ist auf Englisch. Für den einfachen Einstieg wird Teil des Inhalts der Cloud Software Group Dokumentation maschinell übersetzt. Cloud Software Group hat keine Kontrolle über maschinell übersetzte Inhalte, die Fehler, Ungenauigkeiten oder eine ungeeignete Sprache enthalten können. Es wird keine Garantie, weder ausdrücklich noch stillschweigend, für die Genauigkeit, Zuverlässigkeit, Eignung oder Richtigkeit von Übersetzungen aus dem englischen Original in eine andere Sprache oder für die Konformität Ihres Cloud Software Group Produkts oder Ihres Diensts mit maschinell übersetzten Inhalten gegeben, und jegliche Garantie, die im Rahmen der anwendbaren Endbenutzer-Lizenzvereinbarung oder der Vertragsbedingungen oder einer anderen Vereinbarung mit Cloud Software Group gegeben wird, dass das Produkt oder den Dienst mit der Dokumentation übereinstimmt, gilt nicht in dem Umfang, in dem diese Dokumentation maschinell übersetzt wurde. Cloud Software Group kann nicht für Schäden oder Probleme verantwortlich gemacht werden, die durch die Verwendung maschinell übersetzter Inhalte entstehen können.

CloudBridge-Connector

August 15, 2023

Beitrag von:

August 15, 2023

Beitrag von:

In diesem Artikel

CloudBridge Connector verstehen