NetScaler BLX Einschränkungen und Nutzungsrichtlinien

Hochverfügbarkeit

• Hochverfügbarkeit wird auf keiner öffentlichen Cloud-Plattform, wie z. B. Amazon Web Services (AWS) und Oracle Cloud Infrastructure (OCI), unterstützt.
• Hochverfügbarkeit wird nicht unterstützt, wenn die nsinternal Benutzeranmeldung deaktiviert ist.

NetScaler BLX-Cluster

• CLAG-basierte Datenverkehrsverteilung wird nicht unterstützt.

NetScaler Gateway

• MAC- und Linux-SSO-VPN-Clients werden nicht unterstützt.
• Die RDP-Proxy-Funktionalität wird nicht unterstützt.

LA- und LACP-Kanäle

• LA-/LACP-Kanäle werden nur zwischen den dedizierten NIC-Schnittstellen oder DPDK-NIC-Schnittstellen unterstützt.
• LA-/LACP-Kanäle werden für blx1 und ns1 virtuelle Schnittstellen nicht unterstützt.

Web Application Firewall (WAF)

• Wenn die Web Application Firewall (WAF) aktiviert ist, ist das BLX Gateway nicht zugänglich.

NetScaler BLX mit DPDK-Ports

• NetScaler BLX mit DPDK-Ports startet möglicherweise nicht, wenn der Linux-Host auf einigen älteren CPU-Modellen läuft, wie z. B. Intel(R) Xeon(R) CPU E5-2690 v4 @ 2.60 GHz und CPU E5504 @ 2.00 GHz.
• Der Linux-Host kann abstürzen, wenn Sie an das DPDK-Modul gebundene NIC-Ports entbinden, während NetScaler BLX läuft.
• NetScaler BLX mit DPDK-Ports benötigt etwas mehr Zeit zum Neustart als NetScaler BLX ohne DPDK-Ports.
• Alle an DPDK gebundenen Linux-Ports sind automatisch für NetScaler BLX reserviert und können nicht für andere DPDK-Linux-Anwendungen verwendet werden.
• Für VMXNET3-DPDK-Ports, die von NetScaler BLX unterstützt werden, müssen Sie die Anzahl der Worker-Prozesse als Zweierpotenz (2ⁿ) angeben. Zum Beispiel 1, 2, 4, 8 und so weiter.
• NetScaler BLX unterstützt den Trunk-Modus oder VLAN-Tagging nur für DPDK-Ports.

Weitere Einschränkungen und Richtlinien

• Wenn Sie NetScaler BLX neu starten, das mit der NetScaler BLX Managed Host-Funktion konfiguriert ist, werden alle aktiven SSH-Sitzungen zum Linux-Host geschlossen. Um die Verbindung wiederherzustellen, müssen Sie versuchen, sich erneut mit dem Host zu verbinden.
• Der in der Datei blx.conf angegebene Verwaltungs-HTTP- oder HTTPS-Port (mgmt-http-port oder mgmt-https-port) wird ignoriert. Standardmäßig sind die Portnummern 80 und 443 für den HTTP- und HTTPS-Verwaltungszugriff reserviert. Um diese Ports für NetScaler BLX zu ändern, müssen Sie den folgenden NetScaler CLI-Befehl verwenden:
  set ns param (-mgmthttpport <value> | -mgmthttpsport <value>)
  Beispiel: Der folgende Befehl ändert den Management-HTTP-Port auf 2080.
  set ns param -mgmthttpport 2080
• Wenn die Firewall auf dem Linux-Host aktiviert ist, müssen Sie möglicherweise Ausnahmen für die NetScaler BLX Management- und SYSLOG-Ports hinzufügen.
• NetScaler BLX benötigt möglicherweise bis zu 45 Sekunden zum Starten.
• Die NetScaler BLX-Konfiguration wird in der Datei /nsconfig/ns.conf gespeichert. Damit die Konfiguration sitzungsübergreifend verfügbar ist, müssen Sie die Konfiguration nach jeder Konfigurationsänderung speichern.
  • So zeigen Sie die laufende Konfiguration mit der NetScaler® CLI an
    Geben Sie an der Eingabeaufforderung Folgendes ein:
    show ns runningConfig
  • So speichern Sie Konfigurationen mit der NetScaler CLI
    Geben Sie an der Eingabeaufforderung Folgendes ein:
    save ns config
• Die NetScaler BLX-Konfiguration in der Datei /nsconfig/ns.conf hat Vorrang vor der Konfiguration in der Datei /etc/blx/blx.conf.
• NetScaler BLX startet nicht, wenn der zugewiesene Speicher weniger als 1 GB pro Worker-Prozess beträgt.
• Wenn Sie NetScaler BLX installieren, wird der Parameter ip_forward auf dem Linux-Host auf 1 gesetzt.
• Nach der Deinstallation von NetScaler BLX wird die Konfigurationsdatei (blx.conf) beibehalten und als blx.conf.rpmsave gesichert. Um diese gesicherte Konfigurationsdatei auf einem neu installierten NetScaler BLX auf demselben Linux-Host anzuwenden, müssen Sie die Datei manuell wieder in blx.conf umbenennen.
• Wir empfehlen nicht, NetScaler BLX auf der folgenden Ubuntu-Version auszuführen, da NetScaler BLX möglicherweise auf Probleme im Zusammenhang mit Paketverlusten stößt.
  Ubuntu version 16.04.5 with kernel version 4.4.0-131-generic
• NetScaler BLX unterstützt maximal neun NIC-Ports (DPDK-NIC-Ports, Nicht-DPDK-NIC-Ports oder eine Kombination aus beidem).
• NetScaler BLX startet oder funktioniert möglicherweise nicht ordnungsgemäß, wenn die folgende Bedingung erfüllt ist:
  • Die SELinux-Richtlinie ist auf dem Linux-Host aktiviert. SELinux verhindert, dass der systemd-Prozess bestimmte NetScaler BLX-Systemdateien ausführt.
    Problemumgehung: Deaktivieren Sie SELinux auf dem Linux-Host.
  Hinweis:
  Ab NetScaler BLX 14.1-17.x wendet es beim Installieren von NetScaler BLX auf einem Red Hat-basierten Linux-Host eine SELinux-Richtlinie an, wenn das SELinux-Modul auf dem Linux-Host verfügbar ist. Diese Richtlinie ermöglicht es NetScaler BLX, auf dem Linux-Host ausgeführt zu werden. Weitere Informationen zur SELinux-Richtlinie finden Sie unter SELinux-Richtlinie.

• NetScaler BLX 14.1-25.x kann nicht im vollständigen Tunnelmodus gestartet werden, da die Datei pluginlist.xml nicht im Verzeichnis /var/netscaler/gui/vpn vorhanden ist.Problemumgehung: Führen Sie die folgenden Befehle aus:
  
    enable ns feature RESPONDER

  
    add responder action pluginlist_respond respondwith q{"HTTP/1.1 200 OK\r\nDate: Thu, 30 May 2024 12:00:51 GMT\r\nServer: Apache\r\nX-Frame-Options: SAMEORIGIN\r\nLast-Modified: Thu, 30 May 2024 11:45:52 GMT\r\nETag: \"60b-619aa68c07aea\"\r\nAccept-Ranges: bytes\r\nContent-Length: 1547\r\nFeature-Policy: camera 'none'; microphone 'none'; geolocation 'none'\r\nReferrer-Policy: no-referrer\r\nX-XSS-Protection: 1; mode=block\r\nX-Content-Type-Options: nosniff\r\nContent-Type: application/xml; charset=utf-8\r\nKeep-Alive: timeout=15, max=100\r\nConnection: Keep-Alive\r\nCache-Control: no-cache, no-store\r\nPlugin-Upgrade: epa_win:Never;epa_mac:Never;epa_linux:Never;vpn_win:Never;vpn_mac:Never;vpn_linux:Never;\r\n\r\n<repositories>\n\t<repository name=\"default\" >\n\t\t<plugin\n\t\t\tname=\"Netscaler Gateway EPA plug-in for Windows (32 bit)\" type=\"WIN-EPA\"\n\t\t\tversion=\"23.8.1.11\" path=\"/epa/scripts/win/nsepa_setup.exe\"\n\t\t\tcompatibleFrom=\"12.1.0.0\" compatibleTill=\"\"\n\t\t/>\n\n\t\t<plugin\n\t\t\tname=\"Netscaler Gateway EPA plug-in for Windows (64 bit)\" type=\"WIN-EPA64\"\n\t\t\tversion=\"23.8.1.11\" path=\"/epa/scripts/win/nsepa_setup.exe\"\n\t\t\tcompatibleFrom=\"12.1.0.0\" compatibleTill=\"\"\n\t\t/>\n\n\t\t<plugin\n\t\t\tname=\"Netscaler Gateway VPN plug-in for Windows\" type=\"WIN-VPN\"\n\t\t\tversion=\"23.8.1.11\" path=\"/vpns/scripts/vista/AGEE_setup.exe\"\n\t\t\tcompatibleFrom=\"12.1.0.0\" compatibleTill=\"\"\n\t\t/>\n\n\t\t<plugin\n\t\t\tname=\"EPA scanning Engine (Opswat) for Windows\" type=\"WIN-EPA-ENGINE\"\n\t\t\tversion=\"23.8.1.11\" path=\"/epa/scripts/win/epaPackage.exe\" opswatVersion=\"4.3.3635.0\"\n\t\t/>\n\n\t\t<plugin\n\t\t\tname=\"Netscaler Gateway EPA plug-in for Mac\" type=\"MAC-EPA\"\n\t\t\tversion=\"22.11.3\" path=\"/epa/scripts/mac/Citrix_Endpoint_Analysis.dmg\"\n\t\t\tcompatibleFrom=\"22.11.3\" compatibleTill=\"\"\n\t\t/>\n\n\t\t<plugin\n\t\t\tname=\"Netscaler Gateway VPN plug-in for Mac\" type=\"MAC-VPN\"\n\t\t\tversion=\"4.4.8 (518)\" path=\"/vpns/scripts/mac/Citrix_Access_Gateway.dmg\"\n\t\t\tcompatibleFrom=\"4.4.8 (518)\" compatibleTill=\"\"\n\t\t/>\n\n\t\t<plugin\n\t\t\tname=\"EPA scanning Engine (Opswat) for Mac\" type=\"MAC-EPA-ENGINE\"\n\t\t\tversion=\"1.3.5.7\" path=\"/epa/scripts/mac/MacLibs.zip\" opswatVersion=\"4.3.2138.0\"\n\t\t/>\n\n\t\t<plugin\n\t\t\tname=\"Netscaler Gateway RfWeb GUI\" type=\"RFWEB-GUI\"\n\t\t\tversion=\"23.8.1.11\" path=\"/logon/logonPoint/\"\n\t\t/>\n\t</repository>\n</repositories>\n"}

  
add responder policy pluginlist_respond_pol "HTTP.REQ.URL.CONTAINS(\"pluginlist.xml\")" pluginlist_respond
  
bind vpn vserver <VSERVER_NAME> -policy pluginlist_respond_pol -priority 1 -gotoPriorityExpression END -type AAA_REQUEST
  1. Sobald Sie NetScaler BLX im Nicht-Root-nsroot-Modus starten, können Sie nicht mehr in den Root-nsroot-Benutzermodus zurückkehren. Dazu müssen Sie NetScaler BLX neu installieren. Um den Befehl showtechsupport auszuführen, müssen Sie sich als Root bei einem Host anmelden und dann das Skript showtechsupport.pl ausführen.

Nicht unterstützte NetScaler-Funktionen in NetScaler BLX

• Admin-Partition
• Inhaltsoptimierung
• Hardware-SSL-Offload
• Routing-Protokoll „Intermediate System-to-Intermediate System“ (IS-IS)
• IPsec
• Jumbo-Frames
  Hinweis:
  • Ab NetScaler Release 14.1-66.x unterstützt NetScaler BLX Jumbo-Frames auf Intel XL710 NICs (i40e DPDK-Treiber).
  • Ab NetScaler Release 14.1-72.x unterstützt NetScaler BLX Jumbo-Frames auf Intel E810 und Mellanox ConnectX NICs: ConnectX-4, ConnectX-5 und ConnectX-6.

• Precision Time Protocol (PTP)
• Quality of Service (QoS)
• Routing Information Protocol (RIP)
• Routing Information Protocol Next Generation (RIPng)
• URL-Filterung