Unterstützung der Firewall-Verkehrsumleitung mithilfe von Forcepoint in Citrix SD-WAN

October 28, 2021

Beitrag von:

Forcepoint unterstützt die folgenden Funktionen, obwohl SD-WAN nur die Firewall-Umleitungsfunktion unterstützt:

IPSec mit PKI
IPSec mit PSK
Proxy-Verkettung mithilfe der PAC-Dateikonfiguration
Proxy-Verkettung mit Standardüberschriften
Proxy-Chaining mit proprietären Headern macht die Konfiguration des IP-Bereichs des Clients überflüssig - Partnerschaft/Entwicklung
Firewall-Umleitung (transparenter Proxy von Destination NAT)

Die Ziel-NAT-Richtlinie ermöglicht es Unternehmen, den Internetverkehr mithilfe von ForcePoint über einen in der Cloud gehosteten Sicherheitsdienst weiterzuleiten.

Lesen Sie den folgenden Anwendungsfall, um zu verstehen, wie Sie Ziel-NAT in SD-WAN-Appliances konfigurieren und den Internetverkehr über einen sicheren Cloud-basierten Firewall-Dienst umleiten.

Voraussetzungen:

Melden Sie sich auf der Forcepoint-Portalseitean. Erstellen Sie eine Richtlinie, indem Sie die öffentliche Enterprise-IP-Adresse angeben, über die der Internetverkehr an Forcepoint umgeleitet werden muss. Besorgen Sie sich die primären und sekundären IP-Adressen, auf die der Internetverkehr umgeleitet werden soll.
Konfigurieren Sie in der SD-WAN-GUI auf einer SD-WAN-Appliance am DC-Standort den Internetdienst, der mit WAN-Verbindungen verknüpft ist.
Die Ziel-NAT wird unter Verwendung der Ziel-IP-Adresse des Internetverkehrs durchgeführt. Diese Zieladresse wird in die öffentliche IP-Adresse von Forcepoint geändert.
Konfigurieren Sie die Ziel-NAT-Richtlinie, indem Sie die Quell-IP-Adresse und die primäre IP-Adresse angeben. Die Quell-IP ist die Internet-IP-Adresse der SD-WAN-Appliance innerhalb der Ports 80 (http) und 443 (https), die an die primäre Ziel-IP-Adresse des Cloud-basierten Firewall-Gateways mit externen Ports 8081 (http) bzw. 8443 (https) umgeleitet/übersetzt wird.
Stellen Sie nach der Konfiguration der DNAT-Richtlinie sicher, dass für die auf dem Domänencontroller konfigurierten Routen der Internetdiensttyp für die IP-Adresse des SD-WAN-Netzwerks ausgewählt ist.

Weitere Informationen zur NAT-Unterstützung in Citrix SD-WAN finden Sie im folgenden Thema Konfigurieren von NAT

lokalisiertes Bild

Konfigurieren von Ziel-NAT (DNAT)

Verwenden Sie die Citrix SD-WAN GUI, um Destination NAT (DNAT) zu konfigurieren. Fügen Sie in der Konfiguration eine oder mehrere DNAT-Richtlinien hinzu, die den Datenverkehr umleiten, der einer bestimmten Ziel-IP-Adresse und einem bestimmten Zielport entspricht.

So konfigurieren Sie Destination NAT:

Wechseln Sie in der SD-WAN SE/VPX GUI zu Konfiguration -> Virtual WAN -> Konfigurationseditor. Klicken Sie auf Öffnen, um ein vorhandenes Paket zu öffnen. Wählen Sie ein gespeichertes Konfigurationspaket. Sie können auch DNAT-Regeln erstellen, während Sie die Netzwerkkonfiguration erstellen.

Konfigurieren Sie im DC (MCN) den Internetdienst. Gehe zu Verbindungen -> Firewall.
Klicken Sie auf + Hinzufügen, um eine DNAT-Richtlinie hinzuzufügen.
Geben Sie im Dialogfeld Ziel-NAT-Richtlinie hinzufügen die folgenden Informationen ein:
- Priorität
- Richtung
- Servicetyp
- Dienstname
- Innen-IP-Adresse
- Innen-Port
- Außen-IP-Adresse
- Außen-Port
Bereitstellung von Ziel-NAT-Regeln für die Weiterleitung des Firewall-Datenverkehrs, ähnlich wie bei statischer NAT.
Geben Sie die übereinstimmenden Kriterien und die Ziel-IP/Port ein, für die NAT angewendet werden soll.
Führen Sie den Verbindungsabgleich der DNAT-Regel mit Statistiken durch.
Entfernen oder aktualisieren Sie DNAT Regeln während des Konfigurationsupdates.

Überwachen einer Ziel-NAT-Richtlinie (Firewall)

Sie können auch die Citrix SD-WAN GUI verwenden, um die aktuelle DNAT-Richtlinienkonfiguration zu überwachen.

So überwachen Sie die aktuelle Ziel-NAT-Richtlinienkonfiguration:

Navigieren Sie in der Citrix SD-WAN GUI zu Überwachung > Firewall > NAT-Richtlinien.
Wählen Sie die Registerkarte aus, die die Statistiken enthält, die Sie überwachen möchten.

Die offizielle Version dieses Inhalts ist auf Englisch. Für den einfachen Einstieg wird Teil des Inhalts der Cloud Software Group Dokumentation maschinell übersetzt. Cloud Software Group hat keine Kontrolle über maschinell übersetzte Inhalte, die Fehler, Ungenauigkeiten oder eine ungeeignete Sprache enthalten können. Es wird keine Garantie, weder ausdrücklich noch stillschweigend, für die Genauigkeit, Zuverlässigkeit, Eignung oder Richtigkeit von Übersetzungen aus dem englischen Original in eine andere Sprache oder für die Konformität Ihres Cloud Software Group Produkts oder Ihres Diensts mit maschinell übersetzten Inhalten gegeben, und jegliche Garantie, die im Rahmen der anwendbaren Endbenutzer-Lizenzvereinbarung oder der Vertragsbedingungen oder einer anderen Vereinbarung mit Cloud Software Group gegeben wird, dass das Produkt oder den Dienst mit der Dokumentation übereinstimmt, gilt nicht in dem Umfang, in dem diese Dokumentation maschinell übersetzt wurde. Cloud Software Group kann nicht für Schäden oder Probleme verantwortlich gemacht werden, die durch die Verwendung maschinell übersetzter Inhalte entstehen können.

Unterstützung der Firewall-Verkehrsumleitung mithilfe von Forcepoint in Citrix SD-WAN

October 28, 2021

Beitrag von:

Unterstützung der Firewall-Verkehrsumleitung mithilfe von Forcepoint in Citrix SD-WAN

Konfigurieren von Ziel-NAT (DNAT)

Überwachen einer Ziel-NAT-Richtlinie (Firewall)

In diesem Artikel