ADC

Configurar el equilibrio de cargas RADIUS con persistencia

August 11, 2023

Contribución de:

El complejo entorno de red actual a menudo requiere coordinar una configuración de equilibrio de carga de gran volumen y gran capacidad con autenticación y autorización sólidas. Los usuarios de aplicaciones pueden conectarse a una VPN a través de puntos de acceso móviles, como conexiones DSL o por cable de nivel de consumidor, WiFi o incluso nodos de acceso telefónico. Esas conexiones suelen utilizar IP dinámicas, que pueden cambiar durante la conexión.

Si configura el equilibrio de carga RADIUS en el dispositivo NetScaler para admitir conexiones de cliente persistentes a los servidores de autenticación RADIUS, el dispositivo utiliza el inicio de sesión del usuario o el atributo RADIUS especificado en lugar de la IP del cliente como identificador de sesión, y dirige todas las conexiones y registros asociados a esa sesión de usuario al mismo servidor RADIUS. Por lo tanto, los usuarios pueden iniciar sesión en su VPN desde ubicaciones de acceso móvil sin sufrir desconexiones cuando cambia la IP del cliente o el punto de acceso WiFi.

Para configurar el equilibrio de carga RADIUS con persistencia, primero debe configurar la autenticación RADIUS para su VPN. Para obtener información e instrucciones, consulte el capítulo Autenticación, Autorización, Auditoría (AAA) en Tráfico de aplicaciones AAA. Elija también la función Equilibrio de carga o Content Switching como base para la configuración y asegúrese de que la función elegida esté habilitada. El proceso de configuración con cualquiera de las funciones es casi el mismo.

A continuación, configura dos servidores virtuales de equilibrio de carga o dos de conmutación de contenido, uno para gestionar el tráfico de autenticación RADIUS y el otro para gestionar el tráfico de cuentas de RADIUS. A continuación, configure dos servicios, uno para cada servidor virtual de equilibrio de carga, y vincule cada servidor virtual de equilibrio de carga a su servicio. Por último, crea un grupo de persistencia de equilibrio de carga y establece el tipo de persistencia en RULE.

Habilitar la función de equilibrio de carga o cambio de contenido

Para utilizar la función de equilibrio de carga o cambio de contenido, primero debe asegurarse de que la función esté habilitada. Si está configurando un nuevo dispositivo NetScaler que no se haya configurado previamente, ambas funciones ya están habilitadas, por lo que puede pasar a la sección siguiente. Si está configurando un dispositivo NetScaler con una configuración anterior en él y no está seguro de que la función que utiliza esté habilitada, debe hacerlo ahora.

Para obtener instrucciones sobre cómo habilitar la función de equilibrio de carga, consulte Habilitación del equilibrio de carga.
Para obtener instrucciones sobre cómo habilitar la función de cambio de contenido, consulte Habilitación de la conmutación

Configuración de Servidores Virtuales

Después de habilitar la función de equilibrio de carga o cambio de contenido, debe configurar dos servidores virtuales para que admitan la autenticación RADIUS:

Servidor virtual de autenticación RADIUS. Este servidor virtual y su servicio asociado gestiona el tráfico de autenticación hacia el servidor RADIUS. El tráfico de autenticación consiste en conexiones asociadas con los usuarios que inician sesión en su aplicación protegida o red privada virtual (VPN).
Servidor virtual de cuentas RADIUS. Este servidor virtual y su servicio asociado gestiona las conexiones contables al servidor RADIUS. El tráfico de cuentas consiste en conexiones que realizan un seguimiento de las actividades de un usuario autenticado en su aplicación protegida o VPN.

Importante: Debe crear un par de servidores virtuales de equilibrio de carga o un par de servidores virtuales de conmutación de contenido para usarlos en la configuración de persistencia de RADIUS. No puede mezclar tipos de servidores virtuales.

Para configurar un servidor virtual de equilibrio de carga mediante la interfaz de línea de comandos

En el símbolo del sistema, escriba los siguientes comandos para crear un servidor virtual de equilibrio de carga y verificar la configuración:

add lb vserver <name> RADIUS <IP address> <port> -lbmethod TOKEN -rule <rule>

show lb vserver <name>
<!--NeedCopy-->

Para configurar un servidor virtual de equilibrio de carga existente, sustituya el comando add lb virtual server anterior por el comando set lb vserver, que toma los mismos argumentos.

Para configurar un servidor virtual de conmutación de contenido mediante la interfaz de línea de comandos

En el símbolo del sistema, escriba los siguientes comandos para crear un servidor virtual de conmutación de contenido y verificar la configuración:

add cs vserver <name> RADIUS <IP address> <port> -lbmethod TOKEN -rule <rule>

show cs vserver <name>
<!--NeedCopy-->

Para configurar un servidor virtual de conmutación de contenido existente, sustituya el comando add cs vserver anterior por el comando set cs vserver, que toma los mismos argumentos.

Ejemplo:

add lb vserver radius_auth_vs1 RADIUS 192.168.46.33 1812 -lbmethod TOKEN -rule CLIENT.UDP.RADIUS.USERNAME

add lb vserver radius_acct_vs1 RADIUS 192.168.46.34 1813 -lbmethod TOKEN -rule CLIENT.UDP.RADIUS.USERNAME

set lb vserver radius_auth_vs1 RADIUS 192.168.46.33 1812 -lbmethod TOKEN -rule CLIENT.UDP.RADIUS.USERNAME

set lb vserver radius_auth_vs1 RADIUS 192.168.46.34 1813 -lbmethod TOKEN -rule CLIENT.UDP.RADIUS.USERNAME
<!--NeedCopy-->

Para configurar un servidor virtual de equilibrio de carga o conmutación de contenido mediante la utilidad de configuración

Vaya a Administración del tráfico > Equilibrio de carga > Servidores virtuales o vaya a Administración del tráfico > Cambio de contenido > Servidores virtuales>y configure un servidor virtual.

Configuración de servicios

Después de configurar los servidores virtuales, debe configurar dos servicios, uno para cada uno de los servidores virtuales que ha creado.

Nota: Una vez configurados, estos servicios se encuentran en el estado DISABLED hasta que el dispositivo NetScaler pueda conectarse a las direcciones IP de cuentas y autenticación del servidor RADIUS y supervisar su estado. Para obtener instrucciones, consulte Configuración de servicios.

Vinculación de servidores virtuales a servicios

Después de configurar los servicios, debe enlazar a continuación cada uno de los servidores virtuales que creó al servicio apropiado.Para obtener instrucciones, consulte Vinculación de servicios al servidor virtual.

Configuración de un grupo de persistencia para Radius

Tras vincular los servidores virtuales de equilibrio de carga a los servicios correspondientes, debe configurar la configuración de equilibrio de carga RADIUS para admitir la persistencia. Para ello, configure un grupo de persistencia de equilibrio de carga que contenga sus servidores y servicios virtuales de equilibrio de carga de RADIUS, y configure ese grupo de persistencia de equilibrio de carga para que utilice la persistencia basada en reglas. Se requiere un grupo de persistencia porque los servidores virtuales de autenticación y contabilidad son diferentes y el mensaje de autenticación y contabilidad para un solo usuario debe llegar al mismo servidor RADIUS. El grupo de persistencia permite utilizar la misma sesión para ambos servidores virtuales. Para obtener instrucciones, consulte Configuración de grupos de persistencia.

Configuración de RADIUS Shared Secret

A partir de la versión 12.0, un dispositivo NetScaler admite el secreto compartido RADIUS. Un cliente y un servidor RADIUS se comunican entre sí mediante un secreto compartido configurado en el cliente y en el servidor. Las transacciones entre un cliente RADIUS y un servidor se autentican mediante un secreto compartido. Este secreto también se utiliza para cifrar parte de la información del paquete RADIUS.

Escenarios de validación de claves secretas compartidas de RADIUS

La validación de la clave secreta compartida RADIUS se produce en los siguientes casos:

Laclave secreta compartida RADIUS está configurada tanto para el cliente RADIUS como para el servidor RADIUS: el dispositivo NetScaler utiliza la clave secreta RADIUS tanto para el lado del cliente como para el del servidor. Si la verificación se realiza correctamente, el dispositivo permite que se transmita el mensaje RADIUS. De lo contrario, descarta el mensaje RADIUS.
Laclave secreta compartida RADIUS no está configurada ni para el cliente RADIUS ni para el servidor RADIUS: el dispositivo NetScaler elimina el mensaje RADIUS porque la validación de la clave secreta compartida no se puede realizar en un nodo que no tenga configurada ninguna clave radial.
La clave secreta compartida RADIUS no está configurada tanto para el cliente RADIUS como para el servidor RADIUS: el dispositivo NetScaler omite la validación de la clave secreta RADIUS y permite el paso de los mensajes RADIUS.

Puede configurar un secreto compartido RADIUS predeterminado o configurarlo por cliente o subred. Se recomienda agregar una clave secreta compartida de RADIUS para todas las implementaciones con la directiva RADIUS configurada. El dispositivo utiliza la dirección IP de origen del paquete RADIUS para decidir qué secreto compartido utilizar. Puede configurar un cliente y un servidor RADIUS y el secreto compartido correspondiente de la siguiente manera:

En el símbolo del CLI, escriba:

add radiusNode <clientPrefix/Subnet> -radKey <Shared_secret_key>
<!--NeedCopy-->

Argumentos

Dirección IP

Dirección IP o subred del cliente RADIUS en formato CIDR. El dispositivo utiliza la dirección IP de origen de un paquete de solicitud entrante para que coincida con la dirección IP del cliente. En lugar de configurar una dirección IP de cliente, puede configurar la dirección de red del cliente. El prefijo más largo se compara para identificar el secreto compartido de una solicitud de cliente entrante.

Radkey

Secreto compartido entre el cliente, el dispositivo NetScaler y el servidor. Longitud máxima: 31.

add lb vserver radius_auth_vs1 RADIUS 192.168.46.33 1812 -lbmethod TOKEN -rule CLIENT.UDP.RADIUS.USERNAME

add lb vserver radius_acct_vs1 RADIUS 192.168.46.34 1813 -lbmethod TOKEN -rule CLIENT.UDP.RADIUS.USERNAME

add service radius_auth_service1 192.168.41.68 RADIUS 1812

add service radius_acct_service1 192.168.41.70 RADIUS 1813

bind lb vserver radius_auth_vs1 radius_auth_service1

bind lb vserver radius_acct_vs1 radius_acct_service[1-3]

add radiusNode 192.168.41.0/24 -radKey  serverkey123

add radiusNode 203.0.113.0/24 -radkey clientkey123
<!--NeedCopy-->

Se debe configurar un secreto compartido tanto para un cliente como para un servidor RADIUS. El comando es el mismo. La subred determina si el secreto compartido es para un cliente o para un servidor.

Por ejemplo, si la subred especificada es una subred de cliente, el secreto compartido es para el cliente. Si la subred especificada es una subred de servidor (192.168.41.0/24 en el ejemplo anterior), el secreto compartido es para el servidor.

Una subred de 0.0.0.0/0 implica que es el secreto compartido predeterminado para todos los clientes y servidores.

Nota:

El secreto compartido RADIUS solo admite los métodos de autenticación PAP y CHAP.

La versión oficial de este contenido está en inglés. Para mayor comodidad, parte del contenido de la documentación de Cloud Software Group solo tiene traducción automática. Cloud Software Group no puede controlar el contenido con traducción automática, que puede contener errores, imprecisiones o un lenguaje inadecuado. No se ofrece ninguna garantía, ni implícita ni explícita, en cuanto a la exactitud, la fiabilidad, la idoneidad o la precisión de las traducciones realizadas del original en inglés a cualquier otro idioma, o que su producto o servicio de Cloud Software Group se ajusten a cualquier contenido con traducción automática, y cualquier garantía provista bajo el contrato de licencia del usuario final o las condiciones de servicio, o cualquier otro contrato con Cloud Software Group, de que el producto o el servicio se ajusten a la documentación no se aplicará en cuanto dicha documentación se ha traducido automáticamente. Cloud Software Group no se hace responsable de los daños o los problemas que puedan surgir del uso del contenido traducido automáticamente.

Configurar el equilibrio de cargas RADIUS con persistencia

August 11, 2023

Contribución de:

August 11, 2023

Contribución de:

En este artículo

Habilitar la función de equilibrio de carga o cambio de contenido
Configuración de Servidores Virtuales
Configuración de servicios
Vinculación de servidores virtuales a servicios
Configuración de un grupo de persistencia para Radius
Configuración de RADIUS Shared Secret