Citrix SD-WAN

Funktionsweise des WANOP-Plug-Ins

WANOP Client Plug-In-Produkte verwenden Ihre bestehende WAN/VPN-Infrastruktur. Ein Computer, auf dem das Plug-in installiert ist, greift weiterhin wie vor der Installation des Plug-Ins auf LAN, WAN und Internet zu. An Ihren Routingtabellen, Netzwerkeinstellungen, Clientanwendungen oder Serveranwendungen sind keine Änderungen erforderlich.

Citrix Access Gateway-VPNs erfordern eine geringe Menge an WANOP Client-Plug-In-spezifischen Konfigurationen.

Es gibt zwei Varianten der Art und Weise, wie Verbindungen durch das Plug-in und die Appliance gehandhabt werden: transparenter Modus und Redirector-Modus. Redirector ist ein Legacy-Modus, der für neue Bereitstellungen nicht empfohlen wird.

  • Der transparente Modus für die Beschleunigung von Plug-in-to-Appliance ist der Beschleunigung von Gerät zu Gerät sehr ähnlich. Die WANOP Client-Plug-In-Appliance muss sich im Pfad befinden, der von den Paketen übernommen wird, wenn sie zwischen dem Plug-In und dem Server unterwegs sind. Wie bei der Appliance-zu-Appliance-Beschleunigung fungiert der transparente Modus als transparenter Proxy, wobei die Quell- und Ziel-IP-Adresse und die Portnummern von einem Ende der Verbindung zum anderen erhalten werden.

  • DerRedirector-Modus (nicht empfohlen) verwendet einen expliziten Proxy. Das Plug-in liest ausgehende Pakete an die Redirector-IP-Adresse der Appliance um. Die Appliance wiederum adressiert die Pakete an den Server, während sie die Rücksendeadresse so ändert, dass sie auf sich selbst anstelle des Plug-Ins zeigt. In diesem Modus muss die Appliance nicht physisch mit dem Pfad zwischen der WAN-Schnittstelle und dem Server übereinstimmt (obwohl dies die ideale Bereitstellung ist).

    Best Practice: Verwenden Sie den transparenten Modus, wenn Sie können, und den Redirector-Modus, wenn Sie müssen.

Transparenter Modus

Im transparenten Modus müssen die Pakete für beschleunigte Verbindungen die Ziel-Appliance passieren, ähnlich wie bei der Appliance-zu-Appliance-Beschleunigung.

Das Plug-in ist mit einer Liste von Appliances konfiguriert, die für die Beschleunigung verfügbar sind. Es versucht, jedes Gerät zu kontaktieren und eine Signalverbindung zu öffnen. Wenn die Signalisierungsverbindung erfolgreich ist, lädt das Plug-in die Beschleunigungsregeln von der Appliance herunter, die die Zieladressen für Verbindungen sendet, die die Appliance beschleunigen kann.

Abbildung 1. Transparenter Modus, Hervorhebung von drei Beschleunigungspfaden

lokalisiertes Bild

Hinweis

  • Verkehrsfluss: Der transparente Modus beschleunigt die Verbindungen zwischen einem WANOP Client-Plug-In und einer Plug-In-fähigen Appliance.
  • Lizenzierung — Appliances benötigen eine Lizenz, um die gewünschte Anzahl von Plug-Ins zu unterstützen. Im Diagramm muss Repeater A2 nicht für die Plug-In-Beschleunigung lizenziert werden, da Repeater A1 die Plug-In-Beschleunigung für Standort A bereitstellt.
  • Daisy-Chaining: Wenn die Verbindung auf dem Weg zur Ziel-Appliance mehrere Appliances durchläuft, muss für die Appliances in der Mitte Daisy-Chaining aktiviert sein, oder die Beschleunigung wird blockiert. In dem Diagramm wird der Verkehr von Home-Office- und mobilen VPN-Benutzern, der für große Zweigstellen B bestimmt ist, durch Repeater B beschleunigt, damit dies funktioniert, müssen die Repeater A1 und A2 die Daisy-Chaining aktiviert haben.

Wenn das Plug-In eine neue Verbindung öffnet, werden die Beschleunigungsregeln konsultiert. Wenn die Zieladresse einer der Regeln entspricht, versucht das Plug-in, die Verbindung zu beschleunigen, indem Beschleunigungsoptionen an das ursprüngliche Paket in der Verbindung (das SYN-Paket) angehängt werden. Wenn eine dem Plug-in bekannte Appliance Beschleunigungsoptionen an das SYN-ACK-Antwortpaket anfügt, wird eine beschleunigte Verbindung mit dieser Appliance hergestellt.

Die Anwendung und der Server wissen nicht, dass die beschleunigte Verbindung hergestellt wurde. Nur die Plug-In-Software und die Appliance wissen, dass eine Beschleunigung stattfindet.

Der transparente Modus ähnelt der Beschleunigung von Gerät zu Gerät, ist jedoch nicht identisch damit. Die Unterschiede sind:

  • Nur Clientinitiierte Verbindungen: Der transparente Modus akzeptiert nur Verbindungen, die vom Plug-In-ausgestatteten System initiiert werden. Wenn Sie ein Plug-In-ausgestattetes System als Server verwenden, werden Serververbindungen nicht beschleunigt. Die Appliance-zu-Appliance-Beschleunigung hingegen funktioniert unabhängig davon, auf welcher Seite der Client und welcher Server ist. (Active-Mode FTP wird als Sonderfall behandelt, da die Verbindung, die die vom Plug-In angeforderte Datenübertragung initiiert, vom Server geöffnet wird.)

  • Signalverbindung — Der transparente Modus verwendet eine Signalverbindung zwischen Plug-In und Appliance für die Übertragung von Statusinformationen. Die Beschleunigung von Gerät zu Gerät erfordert keine Signalverbindung, außer für sichere Peer-Beziehungen, die standardmäßig deaktiviert sind. Wenn das Plug-in keine Signalverbindung öffnen kann, versucht es nicht, Verbindungen über das Gerät zu beschleunigen.

  • Daisy-Chaining — Für eine Appliance, die sich im Pfad zwischen einem Plug-In und der ausgewählten Ziel-Appliance befindet, müssen Sie die Daisy-Chaining im Menü Konfiguration: Tuning aktivieren.

Der transparente Modus wird häufig mit VPNs verwendet. Das WANOP Client-Plug-In ist mit den meisten IPsec- und PPTP-VPNs sowie mit Citrix Access Gateway VPNs kompatibel.

Die folgende Abbildung zeigt den Paketfluss im transparenten Modus. Dieser Paketfluss ist fast identisch mit der Beschleunigung von Gerät zu Gerät, mit der Ausnahme, dass die Entscheidung, ob versucht werden soll, die Verbindung zu beschleunigen oder nicht, auf Beschleunigungsregeln basiert, die über die Signalverbindung heruntergeladen wurden.

Abbildung 2. Paketfluss im transparenten Modus

lokalisiertes Bild

Umleitungsmodus

Der Redirector-Modus funktioniert auf folgende Weise anders als der transparente Modus:

  • Die WANOP Client-Plug-In-Software leitet die Pakete um, indem sie explizit an die Appliance adressieren.

  • Daher muss die Appliance im Umleitungsmodus nicht den gesamten WAN-Link-Verkehr abfangen. Da beschleunigte Verbindungen direkt an sie adressiert werden, können sie überall platziert werden, solange sie sowohl vom Plug-In als auch vom Server erreicht werden können.

  • Die Appliance führt ihre Optimierungen durch und leitet dann die Ausgabepakete an den Server um und ersetzt die Quell-IP-Adresse in den Paketen durch ihre eigene Adresse. Aus Sicht des Servers stammt die Verbindung von der Appliance.

  • Der Rückgabeverkehr vom Server wird an die Appliance gerichtet, die Optimierungen in Rückgaberichtung durchführt und die Ausgabepakete an das Plug-in weiterleitet.

  • Die Zielportnummern werden nicht geändert, sodass Netzwerküberwachungsanwendungen den Verkehr weiterhin klassifizieren können.

Die folgende Abbildung zeigt, wie der Redirector-Modus funktioniert.

Abbildung 1. Umleitungsmodus

lokalisiertes Bild

Die folgende Abbildung zeigt den Paketfluss und die Adresszuordnung im Redirector-Modus.

Abbildung 2. Paketfluss im Umleitungsmodus

lokalisiertes Bild

So wählt das Plug-In eine Appliance aus

Jedes Plug-In ist mit einer Liste von Appliances konfiguriert, die es kontaktieren kann, um eine beschleunigte Verbindung anzufordern.

Die Appliances verfügen jeweils über eine Liste von Beschleunigungsregeln, bei der es sich um eine Liste von Zieladressen oder Ports handelt, zu denen die Appliance beschleunigte Verbindungen herstellen kann. Das Plug-in lädt diese Regeln von den Appliances herunter und stimmt die Zieladresse und den Port jeder Verbindung mit dem Regelsatz jeder Appliance ab. Wenn nur ein Gerät anbietet, eine bestimmte Verbindung zu beschleunigen, ist die Auswahl einfach. Wenn mehr als ein Gerät anbietet, die Verbindung zu beschleunigen, muss das Plug-in eines der Geräte auswählen.

Die Regeln für die Geräteauswahl lauten wie folgt:

  • Wenn alle Geräte, die zur Beschleunigung der Verbindung anbieten, Geräte im Umleitungsmodus sind, wird die Appliance ganz links in der Appliance-Liste des Plug-ins ausgewählt. (Wenn die Appliances als DNS-Adressen angegeben wurden und der DNS-Datensatz mehrere IP-Adressen hat, werden auch diese von links nach rechts gescannt.)

  • Wenn einige Appliances, die zur Beschleunigung der Verbindung anbieten, den Redirector-Modus verwenden und einige den transparenten Modus verwenden, werden die Appliances im transparenten Modus ignoriert, und die Auswahl erfolgt über die Appliances im Umleitungsmodus.

  • Wenn alle Appliances, die zur Beschleunigung der Verbindung anbieten, den transparenten Modus verwenden, wählt das Plug-In keine bestimmte Appliance. Es initiiert die Verbindung mit den SYN-Optionen des WANOP Client-Plug-Ins, und je nachdem, welche Kandidateneinheit dem zurückgebenden SYN-ACK-Paket entsprechende Optionen anfügt, wird verwendet. Dadurch kann sich die Appliance, die tatsächlich dem Datenverkehr entspricht, mit dem Plug-In identifizieren. Das Plug-in muss jedoch über eine offene Signalverbindung mit dem ansprechenden Gerät verfügen, sonst findet keine Beschleunigung statt.

  • Einige Konfigurationsinformationen werden als global angesehen. Diese Konfigurationsinformationen stammen von der ganz links angezeigten Appliance in der Liste, für die eine Signalverbindung geöffnet werden kann.

Funktionsweise des WANOP-Plug-Ins