Adresspools konfigurieren

• Internettelefonie
• Aktives FTP
• Instant Messaging
• Secure Shell (SSH)
• Virtual Network Computing (VNC) zur Verbindung mit einem Computer-Desktop
• Remote Desktop (RDP) zur Verbindung mit einem Client-Desktop

• Zugewiesene IP-Adressen müssen korrekt geroutet werden. Um die korrekte Weiterleitung sicherzustellen, beachten Sie Folgendes:
  • Wenn Sie Split-Tunneling nicht aktivieren, stellen Sie sicher, dass die IP-Adressen über Network Address Translation (NAT)-Geräte geroutet werden können.
  • Alle Server, auf die Benutzerverbindungen mit Intranet-IP-Adressen zugreifen, müssen über die richtigen Gateways verfügen, um diese Netzwerke zu erreichen.
  • Konfigurieren Sie Gateways oder eine statische Route auf NetScaler Gateway, damit der Netzwerkverkehr von der Benutzersoftware an das interne Netzwerk weitergeleitet wird.
• Beim Zuweisen von IP-Adressbereichen können nur zusammenhängende Subnetzmasken verwendet werden. Eine Teilmenge eines Bereichs kann einer untergeordneten Entität zugewiesen werden. Wenn beispielsweise ein IP-Adressbereich an einen virtuellen Server gebunden ist, binden Sie eine Teilmenge des Bereichs an eine Gruppe.
• IP-Adressbereiche können nicht an mehrere Entitäten innerhalb einer Bindungsebene gebunden werden. Beispielsweise kann eine Teilmenge eines Adressbereichs, der an eine Gruppe gebunden ist, nicht an eine zweite Gruppe gebunden werden.
• NetScaler Gateway erlaubt es Ihnen nicht, IP-Adressen zu entfernen oder die Bindung aufzuheben, während sie aktiv von einer Benutzersitzung verwendet werden.
• Interne Netzwerk-IP-Adressen werden Benutzern mithilfe der folgenden Hierarchie zugewiesen:
  • Direkte Bindung des Benutzers
  • Der Gruppe zugewiesener Adresspool
  • Dem virtuellen Server zugewiesener Adresspool
  • Globaler Adressbereich
• Beim Zuweisen von Adressbereichen können nur zusammenhängende Subnetzmasken verwendet werden. Eine Teilmenge eines zugewiesenen Bereichs kann jedoch einer untergeordneten Entität weiter zugewiesen werden. Ein gebundener globaler Adressbereich kann einen Bereich haben, der an Folgendes gebunden ist:
  • Virtueller Server
  • Gruppe
  • Benutzer
• Ein gebundener Adressbereich des virtuellen Servers kann eine Teilmenge haben, die an Folgendes gebunden ist:
  • Gruppe
  • Benutzer

Intranet-IP-DNS-Registrierung

• nsapimgr -ys enable_vpn_dns_override=1: Dieses Flag wird zusammen mit den anderen Konfigurationsparametern an den NetScaler Gateway VPN-Client gesendet. Wenn dieses Flag nicht gesetzt ist und der VPN-Client eine DNS/WINS-Anfrage abfängt, sendet er eine entsprechende „GET /DNS“-HTTP-Anfrage an den virtuellen NetScaler Gateway-Server über den Tunnel, um die aufgelöste IP-Adresse zu erhalten. Wenn jedoch das Flag „enable_vpn_dnstruncate_fix“ gesetzt ist, leitet der VPN-Client die DNS/WINS-Anfragen transparent an den virtuellen NetScaler Gateway-Server weiter. In diesem Fall wird das DNS-Paket unverändert über den VPN-Tunnel an den virtuellen NetScaler Gateway-Server gesendet. Dies hilft in Fällen, in denen die DNS-Einträge, die von den im NetScaler Gateway konfigurierten Nameservern zurückkommen, sehr groß sind und nicht in das UPD-Antwortpaket passen. In diesem Fall, wenn der Client auf die Verwendung von TCP-DNS zurückgreift, erreicht dieses TCP-DNS-Paket den NetScaler Gateway-Server unverändert, und daher führt der NetScaler Gateway-Server eine TCP-DNS-Abfrage an einen DNS-Server durch.
• nsapimgr -ys enable_vpn_dnstruncate_fix=1: Dieses Flag wird vom NetScaler Gateway-Server selbst verwendet. Wenn dieses Flag gesetzt ist, überschreibt NetScaler Gateway das Ziel für die „TCP-Verbindungen am DNS-Port“ auf die im NetScaler Gateway konfigurierten DNS-Server (anstatt zu versuchen, sie an die ursprünglich im eingehenden TCP-DNS-Paket vorhandene DNS-Server-IP zu senden). Für UDP-DNS-Anfragen ist die Standardeinstellung, die konfigurierten DNS-Server für die DNS-Auflösung zu verwenden. Das NetScaler Gateway Plug-in für Windows unterstützt sowohl sichere als auch nicht-sichere DNS-Updates. Die Unterstützung für sichere DNS-Updates ist standardmäßig in Builds 21.7.1.1 oder höher vorhanden.
  Die sichere DNS-Aktualisierung im Windows-Plug-in ist standardmäßig deaktiviert. Um sie zu aktivieren, erstellen Sie einen Wert vom Typ REG_DWORD in HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\Secure Access und setzen Sie ihn auf 1.
  • Wenn Sie den Wert auf 1 setzen, versucht das VPN-Plug-in zuerst das unsichere DNS-Update. Wenn das unsichere DNS-Update fehlschlägt, versucht das VPN-Plug-in das sichere DNS-Update.
  • Um nur das sichere DNS-Update zu versuchen, können Sie den Wert auf 2 setzen.

Adresspools für einen Benutzer, eine Gruppe oder einen virtuellen Server über die GUI konfigurieren

1. Navigieren Sie zu Configuration > NetScaler® Gateway und führen Sie eine der folgenden Aktionen aus:
   • Navigieren Sie zu NetScaler Gateway > Benutzerverwaltung, und klicken Sie dann auf AAA-Benutzer.
   • Navigieren Sie zu NetScaler Gateway > Benutzerverwaltung, und klicken Sie dann auf AAA-Gruppen.
   • erweitern NetScaler Gateway, und klicken Sie dann auf Virtuelle Server.
2. Klicken Sie im Detailbereich auf einen Benutzer, eine Gruppe oder einen virtuellen Server, und klicken Sie dann auf Öffnen.
3. Geben Sie in den Textfeldern IP-Adresse und Netzmaske auf der Registerkarte Intranet-IPs die IP-Adresse und die Subnetzmaske ein, und klicken Sie dann auf Hinzufügen.
4. Wiederholen Sie Schritt 3 für jede IP-Adresse, die Sie dem Pool hinzufügen möchten, und klicken Sie dann auf OK.

Adresspools global über die GUI konfigurieren

1. Navigieren Sie zu Konfiguration > NetScaler Gateway > Globale Einstellungen.
2. Klicken Sie im Detailbereich unter Intranet-IPs auf Um eine eindeutige, statische IP-Adresse oder einen Pool von IP-Adressen zur Verwendung durch alle Client-NetScaler Gateway-Sitzungen zuzuweisen, konfigurieren Sie Intranet-IPs.
3. Klicken Sie im Dialogfeld Intranet-IPs binden auf Aktion und dann auf Einfügen.
4. Geben Sie in den Textfeldern IP-Adresse und Netzmaske die IP-Adresse und die Subnetzmaske ein, und klicken Sie dann auf Hinzufügen.
5. Wiederholen Sie die Schritte 3 und 4 für jede IP-Adresse, die Sie dem Pool hinzufügen möchten, und klicken Sie dann auf OK.

Adresspools über die CLI konfigurieren

1. Führen Sie einen der folgenden Befehle aus, um die Adresspools zu konfigurieren:
   • Für einen AAA-Benutzer: bind aaa user <username> -intranetIP <ip_address> <netmask>
   • Für eine AAA-Gruppe: bind aaa group <groupname> -intranetIP <ip_address> <netmask>
   • Für einen virtuellen VPN-Server: bind vpn vserver <vservername> -intranetIP <ip_address> -netmask <netmask>
   • Für VPN global: bind vpn global -intranetIP <ip_address> -netmask <netmask>
2. Führen Sie den folgenden Befehl aus, um die maximale Anzahl von Intranet-IP-Adressen festzulegen, die einem Benutzer zugewiesen werden können:
   set vpn parameter -maxIIPperUser <number>
   Hinweis:
   • Der Mindestwert für maxIIPperUser ist 1 und der Höchstwert ist 10.
   • Wenn der Parameter maxIIPperUser nicht festgelegt ist, ist die Anzahl der dem Benutzer zugewiesenen Intranet-IP-Adressen standardmäßig 1.
   • Die maxIIPperUser-Konfiguration gilt nur für Intranet-IP-Adressen, die auf AAA-Gruppen-, virtuellem VPN-Server- oder globaler VPN-Ebene konfiguriert sind. Intranet-IP-Adressen, die auf AAA-Benutzerebene konfiguriert sind, bleiben von dieser Konfiguration unberührt.
   • Das Erhöhen oder Verringern des maxIIPPerUser-Limits hat keine Auswirkungen auf bestehende Sitzungen oder die Anzahl der zugewiesenen Intranet-IP-Adressen. Die bestehenden Sitzungen bleiben aktiv, bis das Sitzungs-/Inaktivitäts-Timeout oder ein Administrator eingreift. Die Konfiguration wird jedoch sofort für neue Sitzungen wirksam.

Optionen für Adresspools definieren

• Nospillover – Wenn Sie Adresspools für eine Intranet-IP-Adresse konfigurieren, erhalten Sie eine Sitzung mit einer verfügbaren IP aus dem Pool. Für Benutzer, die alle verfügbaren Intranet-IP-Adressen verwendet haben, wird die Anmeldeseite für die Übertragung angezeigt.
• Spillover – Wenn Sie Adresspools konfigurieren und die zugeordnete IP als Intranet-IP-Adresse verwendet wird, wird die zugeordnete IP-Adresse für Benutzer verwendet, die alle verfügbaren Intranet-IP-Adressen verwendet haben.
• Aus – Adresspools sind nicht konfiguriert.

So definieren Sie Adresspools

1. Im Konfigurationsdienstprogramm, auf der Registerkarte Configuration, im Navigationsbereich, erweitern NetScaler Gateway > Policies, und klicken Sie dann auf Session.
2. Klicken Sie im Detailbereich auf der Registerkarte Policies auf Add.
3. Geben Sie unter Name einen Namen für die Richtlinie ein.
4. Klicken Sie neben Request Profile auf New.
5. Geben Sie unter Name einen Namen für das Profil ein.
6. Klicken Sie auf der Registerkarte Network Configuration auf Advanced.
7. Klicken Sie neben Intranet IP auf Override Global und wählen Sie dann eine Option aus.
8. Wenn Sie in Schritt 9 SPILLOVER auswählen, klicken Sie neben Mapped IP auf Override Global, wählen Sie den Hostnamen des Geräts aus, klicken Sie auf OK und dann auf Create.
9. Erstellen Sie im Dialogfeld Create Session Policy einen Ausdruck. Klicken Sie auf Create und dann auf Close.

Konfigurieren der Anmeldeseite für die Übertragung

• Einem Benutzer ist eine statische Intranet-IP-Adresse zugewiesen, und er verfügt über eine bestehende NetScaler Gateway-Sitzung. Wenn der Benutzer versucht, eine zweite Sitzung von einem anderen Gerät aus herzustellen, wird die Seite „Transfer-Anmeldung“ angezeigt, und der Benutzer kann die Sitzung auf das neue Gerät übertragen.
• Einem Benutzer sind fünf Intranet-IP-Adressen zugewiesen, und er verfügt über fünf Sitzungen über NetScaler Gateway. Wenn der Benutzer versucht, eine sechste Sitzung herzustellen, wird die Seite „Transfer-Anmeldung“ angezeigt, und der Benutzer kann wählen, eine bestehende Sitzung durch eine neue Sitzung zu ersetzen.

DNS-Suffix konfigurieren