Produktdokumentation
ADC
14.1 - Current Release 13.1 13.0 12.1
PDF anzeigen

Mehrfach-Firewall-Umgebung

May 11, 2023
Beitrag von: 
C

In einer Umgebung mit mehreren Firewalls wird die NetScaler-Appliance zwischen zwei Gruppen von Firewalls platziert, wobei der externe Satz eine Verbindung zum öffentlichen Internet herstellt und der interne Satz eine Verbindung zum internen privaten Netzwerk herstellt. Das externe Set verarbeitet normalerweise den ausgehenden Verkehr. Diese Firewalls implementieren hauptsächlich Zugriffskontrolllisten, um den Zugriff auf externe Ressourcen zu ermöglichen oder zu verweigern. Das interne Set verarbeitet normalerweise den eingehenden Verkehr. Diese Firewalls implementieren Sicherheitsmaßnahmen, um das Intranet vor böswilligen Angriffen zu schützen, und sorgen nicht nur für einen Lastenausgleich des eingehenden Datenverkehrs. In der Umgebung mit mehreren Firewalls können Sie den Datenverkehr, der von einer anderen Firewall kommt, ausgleichen. Standardmäßig erfolgt für den von einer Firewall kommenden Datenverkehr kein Lastausgleich auf der anderen Firewall über eine NetScaler-Appliance. Wenn der Firewall-Lastenausgleich auf beiden Seiten von NetScaler aktiviert ist, wird der Datenverkehr sowohl in ausgehender als auch in eingehender Richtung verbessert und eine schnellere Verarbeitung des Datenverkehrs gewährleistet.

Die folgende Abbildung zeigt eine Load-Balancing-Umgebung mit mehreren Firewalls

Abbildung 1. Firewall-Load-Balancing (mehrere Firewalls)

Mehrfach-Firewall-Umgebung

Mit einer Konfiguration wie der in Abbildung 1 gezeigten können Sie den NetScaler so konfigurieren, dass der Datenverkehr über eine interne Firewall lastenverteilt wird, auch wenn der Lastenausgleich durch eine externe Firewall erfolgt. Wenn diese Funktion beispielsweise konfiguriert ist, wird der von den externen Firewalls (Firewalls 1, 2 und 3) kommende Datenverkehr auf die internen Firewalls (Firewalls 4, 5 und 6) verteilt und umgekehrt.

Der Firewall-Lastenausgleich wird nur für virtuelle LB-Server im MAC-Modus unterstützt.

Der Diensttyp ANY konfiguriert den NetScaler so, dass er den gesamten Datenverkehr akzeptiert.

Um die Vorteile von HTTP und TCP nutzen zu können, konfigurieren Sie den Dienst und den virtuellen Server mit dem Typ HTTP oder TCP. Damit FTP funktioniert, konfigurieren Sie den Dienst mit dem Typ FTP.

Konfiguration des NetScaler in einer Umgebung mit mehreren Firewalls

Um eine NetScaler-Appliance in einer Umgebung mit mehreren Firewalls zu konfigurieren, müssen Sie die Lastausgleichsfunktion aktivieren, einen virtuellen Server für den Lastausgleich des ausgehenden Datenverkehrs über die externen Firewalls konfigurieren, einen virtuellen Server für den Lastausgleich des eingehenden Datenverkehrs über die internen Firewalls konfigurieren und den Firewall-Lastenausgleich auf der NetScaler-Appliance aktivieren. Um einen virtuellen Server für den Lastenausgleich des Datenverkehrs über eine Firewall in einer Umgebung mit mehreren Firewalls zu konfigurieren, müssen Sie:

  1. Einen Platzhalterdienst für jede Firewall konfigurieren
  2. Einen Monitor für jeden Wildcard-Dienst konfigurieren
  3. Konfigurieren Sie einen virtuellen Platzhalterserver, um den an die Firewalls gesendeten Datenverkehr auszugleichen
  4. Konfigurieren Sie den virtuellen Server im MAC-Rewrite-Modus
  5. Binden Sie Firewalldienste an den virtuellen Platzhalterserver

Aktivierung der Load-Balancing-Funktion

Um Load Balancing-Entitäten wie Dienste und virtuelle Server zu konfigurieren und zu implementieren, müssen Sie die Lastausgleichsfunktion auf dem NetScaler-Gerät aktivieren.

So aktivieren Sie den Lastenausgleich mithilfe der CLI:

Geben Sie an der Eingabeaufforderung den folgenden Befehl ein, um den Lastausgleich zu aktivieren und die Konfiguration zu überprüfen

enable ns feature <featureName>
show ns feature
<!--NeedCopy-->

Beispiel:

enable ns feature LoadBalancing
Done
show ns feature
Feature Acronym Status
------- ------- ------
1) Web Logging WL OFF
2) Surge Protection SP ON
3) Load Balancing LB ON
.
.
.
24) NetScaler Push push OFF
Done
<!--NeedCopy-->

Um den Lastenausgleich mithilfe der GUI zu aktivieren, gehen Sie wie folgt vor:

  1. Erweitern Sie im Navigationsbereich System, und klicken Sie dann auf Einstellungen.
  2. Klicken Sie im Bereich Einstellungen unter Modi und Funktionen auf Grundfunktionen ändern.
  3. Aktivieren Sie im Dialogfeld „Grundfunktionen konfigurieren“ das Kontrollkästchen Load Balancing, und klicken Sie dann auf Ok.

Konfiguration eines Wildcard-Dienstes für jede Firewall

Um Datenverkehr von allen Protokollen zu akzeptieren, müssen Sie den Wildcard-Dienst für jede Firewall konfigurieren, indem Sie die Unterstützung für alle Protokolle und Ports angeben.

Um mit der CLI einen Wildcard-Dienst für jede Firewall zu konfigurieren, gehen Sie wie folgt vor:

Geben Sie an der Befehlszeile den folgenden Befehl ein, um die Unterstützung für alle Protokolle und Ports zu konfigurieren:

add service <name>@ <serverName> <serviceType> <port_number>
<!--NeedCopy-->

Beispiel:

add service fw-svc1 10.102.29.5 ANY *
<!--NeedCopy-->

Um mit der GUI einen Wildcard-Dienst für jede Firewall zu konfigurieren, gehen Sie wie folgt vor:

  1. Navigieren Sie zu Traffic Management > Load Balancing > Services.

  2. Klicken Sie im Detailbereich auf “Hinzufügen”.

  3. Geben Sie im Dialogfeld „Dienste erstellen“ Werte für die folgenden Parameter an, wie hier gezeigt:

    • Dienstname — Name
    • Server — ServerName

    -* Ein erforderlicher Parameter

  4. Wählen Sie unter Protokoll die Option Beliebig und unter Port die Option * aus.

  5. Klicken Sie auf Erstellenund dann auf Schließen. Der von Ihnen erstellte Dienst wird im Bereich Dienste angezeigt.

Konfiguration eines Monitors für jeden Dienst

Ein PING-Monitor ist standardmäßig an den Dienst gebunden. Sie müssen einen transparenten Monitor konfigurieren, um Hosts auf der vertrauenswürdigen Seite durch einzelne Firewalls zu überwachen. Anschließend können Sie den transparenten Monitor an Dienste binden. Der standardmäßige PING-Monitor überwacht die Konnektivität nur zwischen der NetScaler-Appliance und dem Upstream-Gerät. Der transparente Monitor überwacht alle Geräte, die im Pfad von der Appliance zu dem Gerät vorhanden sind, das die im Monitor angegebene Ziel-IP-Adresse besitzt. Wenn kein transparenter Monitor konfiguriert ist und der Status der Firewall UP ist, aber eines der Geräte mit dem nächsten Hop von dieser Firewall ausgefallen ist, schließt die Appliance die Firewall beim Load Balancing ein und leitet das Paket an die Firewall weiter. Das Paket wird jedoch nicht an das endgültige Ziel geliefert, da eines der Geräte für den nächsten Hop ausgefallen ist. Durch das Binden eines transparenten Monitors wird der Dienst als DOWN markiert, wenn eines der Geräte (einschließlich der Firewall) ausgefallen ist, und die Firewall wird nicht einbezogen, wenn die Appliance den Firewall-Lastausgleich durchführt.

Das Binden eines transparenten Monitors überschreibt den PING-Monitor. Um einen PING-Monitor zusätzlich zu einem transparenten Monitor zu konfigurieren, müssen Sie nach dem Erstellen und Binden eines transparenten Monitors einen PING-Monitor an den Dienst binden.

So konfigurieren Sie einen transparenten Monitor mit der CLI:

Geben Sie an der Eingabeaufforderung die folgenden Befehle ein, um einen transparenten Monitor zu konfigurieren und die Konfiguration zu überprüfen:

add lb monitor <monitorName> <type> [-destIP <ip_addr|ipv6_addr|*>] [-transparent (YES | NO )]
bind lb monitor <monitorName> <serviceName>
<!--NeedCopy-->

Beispiel:

add monitor monitor-HTTP-1 HTTP -destip 10.10.10.11 -transparent YES
bind monitor monitor-HTTP-1 fw-svc1
<!--NeedCopy-->

Die NetScaler-Appliance lernt die Server-L2-Parameter vom Monitor, der an den Dienst gebunden ist. Konfigurieren Sie für UDP-ECV-Monitore eine Empfangszeichenfolge, damit die Appliance die L2-Parameter des Servers lernen kann. Wenn die Empfangszeichenfolge nicht konfiguriert ist und der Server nicht reagiert, lernt die Appliance die L2-Parameter nicht, aber der Dienst ist auf UP eingestellt. Der Traffic für diesen Dienst ist schwarz.

Um eine Empfangszeichenfolge mit der CLI zu konfigurieren:

Geben Sie an der Eingabeaufforderung den folgenden Befehl ein:

add lb monitor <monitorName> <type> [-destIP <ip_addr|ipv6_addr|*>] [-transparent (YES | NO )] [-send <string>] [-recv <string>]
<!--NeedCopy-->

Beispiel:

add lb monitor monitor-udp-1 udp-ecv -destip 10.10.10.11 -transparent YES –send "test message" –recv "site_is_up"
<!--NeedCopy-->

Um einen transparenten Monitor mithilfe der GUI zu erstellen und zu binden:

  1. Navigieren Sie zu Traffic Management > Load Balancing > Monitore.

  2. Klicken Sie im Detailbereich auf “Hinzufügen”.

  3. Geben Sie im Dialogfeld „Monitor erstellen“ Werte für die folgenden Parameter an, wie in der Abbildung gezeigt:

    • Vorname*
    • Typ*—Typ
    • Ziel-IP
    • Transparente

    -* Ein erforderlicher Parameter

  4. Klicken Sie auf Erstellenund dann auf Schließen. Wählen Sie im Bereich Monitore den Monitor aus, den Sie gerade konfiguriert haben, und stellen Sie sicher, dass die am unteren Bildschirmrand angezeigten Einstellungen korrekt sind.

Konfiguration eines virtuellen Servers zur Lastverteilung des an die Firewalls gesendeten Datenverkehrs

Um jede Art von Datenverkehr auszubalancieren, müssen Sie einen virtuellen Wildcard-Server konfigurieren, der das Protokoll und den Port als beliebigen Wert angibt.

Gehen Sie wie folgt vor, um einen virtuellen Server so zu konfigurieren, dass er den an die Firewalls gesendeten Datenverkehr mithilfe der CLI ausgleicht:

Geben Sie an der Eingabeaufforderung den folgenden Befehl ein:

add lb vserver <name>@ <serviceType> <IPAddress> <port_number>
<!--NeedCopy-->

Beispiel:

add lb vserver Vserver-LB-1 ANY * *
<!--NeedCopy-->

Gehen Sie wie folgt vor, um einen virtuellen Server so zu konfigurieren, dass er den an die Firewalls gesendeten Datenverkehr mithilfe der GUI ausgleicht:

  1. Navigieren Sie zu Traffic Management > Load Balancing > Virtuelle Server.
  2. Klicken Sie im Detailbereich auf “Hinzufügen”.
  3. Wählen Sie unter Protokoll die Option Beliebig und unter IP-Adresse und Port die Option * aus.
  4. Klicken Sie auf Erstellenund dann auf Schließen. Der virtuelle Server, den Sie erstellt haben, wird im Bereich Load Balancing Virtual Servers angezeigt.

Konfiguration des virtuellen Servers für den MAC-Rewrite-Modus

Um den virtuellen Server so zu konfigurieren, dass er die MAC-Adresse für die Weiterleitung des eingehenden Datenverkehrs verwendet, müssen Sie den MAC-Rewrite-Modus aktivieren.

So konfigurieren Sie den virtuellen Server im MAC-Umschreibmodus mithilfe der Befehlszeilenschnittstelle:

Geben Sie an der Eingabeaufforderung den folgenden Befehl ein:

set lb vserver <name>@ -m <RedirectionMode>
<!--NeedCopy-->

Beispiel:

set lb vserver Vserver-LB-1 -m MAC
<!--NeedCopy-->

So konfigurieren Sie den virtuellen Server im MAC-Rewrite-Modus mithilfe der GUI:

  1. Navigieren Sie zu Traffic Management > Load Balancing > Virtuelle Server.
  2. Wählen Sie im Detailbereich den virtuellen Server aus, für den Sie den Umleitungsmodus konfigurieren möchten (z. B. vServer-LB1), und klicken Sie dann auf Öffnen.
  3. Klicken Sie auf der Registerkarte Erweitert unter dem Modus Umleitungsmodus auf Öffnen.
  4. Klicken Sie auf OK.

Firewalldienste an den virtuellen Server binden

Um auf einen Dienst auf der NetScaler-Appliance zuzugreifen, müssen Sie ihn an einen virtuellen Wildcard-Server binden.

Gehen Sie wie folgt vor, um Firewalldienste mithilfe der CLI an den virtuellen Server zu binden:

Geben Sie an der Eingabeaufforderung den folgenden Befehl ein:

bind lb vserver <name>@ <serviceName>
<!--NeedCopy-->

Beispiel:

bind lb vserver Vserver-LB-1 Service-HTTP-1
<!--NeedCopy-->

Gehen Sie wie folgt vor, um Firewalldienste mithilfe der GUI an den virtuellen Server zu binden:

  1. Navigieren Sie zu Traffic Management > Load Balancing > Virtuelle Server.
  2. Wählen Sie im Detailbereich den virtuellen Server aus, für den Sie den Umleitungsmodus konfigurieren möchten (z. B. vServer-LB1), und klicken Sie dann auf Öffnen.
  3. Aktivieren Sie im Dialogfeld Virtuellen Server konfigurieren (Load Balancing) auf der Registerkarte Dienste das Kontrollkästchen Aktiv neben dem Dienst, den Sie an den virtuellen Server binden möchten (z. B. Service-HTTP-1).
  4. Klicken Sie auf OK.

Konfiguration des Lastausgleichs mit mehreren Firewalls auf der NetScaler-Appliance

Um den Datenverkehr auf beiden Seiten eines NetScaler mithilfe des Firewall-Lastenausgleichs auszugleichen, müssen Sie den Lastausgleich für mehrere Firewalls mithilfe des vServerSpecificMac-Parameters aktivieren.

So konfigurieren Sie den Lastenausgleich mit mehreren Firewalls mithilfe der CLI:

Geben Sie an der Eingabeaufforderung den folgenden Befehl ein:

set lb parameter -vServerSpecificMac <status>
<!--NeedCopy-->

Beispiel:

set lb parameter -vServerSpecificMac ENABLED
<!--NeedCopy-->

Um den Lastenausgleich mit mehreren Firewalls mithilfe der GUI zu konfigurieren, gehen Sie wie folgt vor:

  1. Navigieren Sie zu Traffic Management > Load Balancing > Virtuelle Server.
  2. Wählen Sie im Detailbereich den virtuellen Server aus, für den Sie den Umleitungsmodus konfigurieren möchten (z. B. Load Balancing-Parameter konfigurieren).
  3. Aktivieren Sie im Dialogfeld „Load Balancing-Parameter festlegen“ das Kontrollkästchen Virtual Server Specific MAC.
  4. Klicken Sie auf OK.

Konfiguration speichern und überprüfen

Speichern Sie die Konfiguration, wenn Sie die Konfigurationsaufgaben abgeschlossen haben. Sie sollten auch überprüfen, ob die Einstellungen korrekt sind.

Um die Konfiguration mit der CLI zu speichern und zu überprüfen:

Geben Sie an der Eingabeaufforderung die folgenden Befehle ein, um einen transparenten Monitor zu konfigurieren und die Konfiguration zu überprüfen:

  • Speichern Sie ns Config
  • vserver anzeigen

Beispiel:

save config
show lb vserver FWLBVIP2
        FWLBVIP2 (\*:\*) - ANY    Type: ADDRESS
        State: UP
        Last state change was at Mon Jun 14 07:22:54 2010
        Time since last state change: 0 days, 00:00:32.760
        Effective State: UP
        Client Idle Timeout: 120 sec
        Down state flush: ENABLED
        Disable Primary Vserver On Down : DISABLED
        No. of Bound Services :  2 (Total)       2 (Active)
        Configured Method: LEASTCONNECTION
        Current Method: Round Robin, Reason: A new service is bound
        Mode: MAC
        Persistence: NONE
        Connection Failover: DISABLED

1) fw-int-svc1 (10.102.29.5: *) - ANY State: UP Weight: 1
2) fw-int-svc2 (10.102.29.9: \*) - ANY State: UP Weight: 1
 Done
show service fw-int-svc1
        fw-int-svc1 (10.102.29.5:\*) - ANY
        State: DOWN
        Last state change was at Thu Jul  8 14:44:51 2010
        Time since last state change: 0 days, 00:01:50.240
        Server Name: 10.102.29.5
        Server ID : 0   Monitor Threshold : 0
        Max Conn: 0     Max Req: 0      Max Bandwidth: 0 kbits
        Use Source IP: NO
        Client Keepalive(CKA): NO
        Access Down Service: NO
        TCP Buffering(TCPB): NO
        HTTP Compression(CMP): NO
        Idle timeout: Client: 120 sec   Server: 120 sec
        Client IP: DISABLED
        Cacheable: NO
        SC: OFF
        SP: OFF
        Down state flush: ENABLED

1)      Monitor Name: monitor-HTTP-1
                State: DOWN     Weight: 1
                Probes: 9       Failed [Total: 9 Current: 9]
                Last response: Failure - Time out during TCP connection establishment stage
                Response Time: 2000.0 millisec
2)      Monitor Name: ping
                State: UP       Weight: 1
                Probes: 3       Failed [Total: 0 Current: 0]
                Last response: Success - ICMP echo reply received.
                Response Time: 1.275 millisec
 Done
<!--NeedCopy-->

Um die Konfiguration mit der GUI zu speichern und zu überprüfen:

  1. Klicken Sie im Detailbereich auf Speichern.
  2. Klicken Sie im Dialogfeld Konfiguration speichern auf Ja.
  3. Navigieren Sie zu Traffic Management > Load Balancing > Virtuelle Server.
  4. Wählen Sie im Detailbereich den virtuellen Server aus, den Sie in Schritt 5 erstellt haben, und stellen Sie sicher, dass die im Detailbereich angezeigten Einstellungen korrekt sind.
  5. Navigieren Sie zu Traffic Management > Load Balancing > Services.
  6. Wählen Sie im Detailbereich den Dienst aus, den Sie in Schritt 5 erstellt haben, und stellen Sie sicher, dass die im Bereich Details angezeigten Einstellungen korrekt sind.

Überwachung eines Firewall-Load-Balancing-Setups in einer Umgebung mit mehreren Firewalls

Nachdem die Konfiguration ausgeführt wurde, sollten Sie die Statistiken für jeden Dienst und virtuellen Server anzeigen, um nach möglichen Problemen zu suchen.

Anzeigen der Statistiken eines virtuellen Servers

Um die Leistung virtueller Server zu bewerten oder Probleme zu beheben, können Sie Details der virtuellen Server anzeigen, die auf der NetScaler-Appliance konfiguriert sind. Sie können eine Zusammenfassung der Statistiken für alle virtuellen Server anzeigen, oder Sie können den Namen eines virtuellen Servers angeben, um die Statistiken nur für diesen virtuellen Server anzuzeigen. Sie können die folgenden Details anzeigen:

  • Name
  • IP-Adresse
  • Port
  • Protokoll
  • Status des virtuellen Servers
  • Rate der eingegangenen Anfragen
  • Rate der Treffer

So zeigen Sie Statistiken zu virtuellen Servern mit der Befehlszeilenschnittstelle an

Geben Sie an der Eingabeaufforderung Folgendes ein, um eine Zusammenfassung der Statistiken für alle virtuellen Server anzuzeigen, die derzeit auf der NetScaler-Appliance konfiguriert sind, oder für einen einzelnen virtuellen Server:

stat lb vserver [-detail] [<name>]
<!--NeedCopy-->

Beispiel:

>stat lb vserver -detail
Virtual Server(s) Summary
                      vsvrIP  port     Protocol        State    Req/s   Hits/s
One                        *    80         HTTP           UP      5/s      0/s
Two                        *     0          TCP         DOWN      0/s      0/s
Three                      *  2598          TCP         DOWN      0/s      0/s
dnsVirtualNS    10.102.29.90    53          DNS         DOWN      0/s      0/s
BRVSERV            10.10.1.1    80         HTTP         DOWN      0/s      0/s
LBVIP           10.102.29.66    80         HTTP           UP      0/s      0/s
 Done


<!--NeedCopy-->

So zeigen Sie virtuelle Serverstatistiken mithilfe der GUI an:

  1. Navigieren Sie zu Traffic Management > Load Balancing > Virtuelle Server > Statistik.
  2. Wenn Sie die Statistiken für nur einen virtuellen Server anzeigen möchten, wählen Sie im Detailbereich den virtuellen Server aus und klicken Sie auf Statistik.

Statistiken eines Dienstes anzeigen

Sie können die Rate von Anfragen, Antworten, Anforderungsbytes, Antwortbytes, aktuellen Clientverbindungen, Anforderungen in Surge-Warteschlange, aktuellen Serververbindungen usw. mithilfe der Dienststatistik anzeigen.

So zeigen Sie die Statistiken eines Dienstes mithilfe der Befehlszeilenschnittstelle an:

Geben Sie in der Befehlszeile Folgendes ein:

stat service <name>
<!--NeedCopy-->

Beispiel:

stat service Service-HTTP-1
<!--NeedCopy-->

Gehen Sie wie folgt vor, um die Statistiken eines Dienstes mithilfe der GUI einzusehen:

  1. Navigieren Sie zu Traffic Management > Load Balancing > Services > Statistik.
  2. Wenn Sie die Statistiken nur für einen Dienst anzeigen möchten, wählen Sie den Dienst aus und klicken Sie auf Statistiken.
Mehrfach-Firewall-Umgebung
May 11, 2023
Beitrag von: 
C
May 11, 2023
Beitrag von: 
C

In diesem Artikel

Feedback zur Site | Your privacy choices footer linkIhre Datenschutzauswahl | Datenschutz und rechtliche Bestimmungen | Cookie-Einstellungen | Einstellungen für die Zustimmung | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.