ADC

Caso de uso 11: Aislamiento del tráfico de red mediante directivas de escucha

August 11, 2023

Contribución de:

Nota:

Ya no se recomienda la solución de aislamiento del tráfico que utiliza servidores virtuales en la sombra para simular el aislamiento de múltiples usuarios. Como alternativa, Citrix recomienda utilizar la función de partición de administración de NetScaler para dichas implementaciones. Para obtener más información, consulte Partición de administración.

Un requisito de seguridad común en un centro de datos es mantener el aislamiento de rutas de red entre el tráfico de varias aplicaciones o arrendatarios. El tráfico de una aplicación o de un inquilino debe aislarse del tráfico de otras aplicaciones o inquilinos. Por ejemplo, una empresa de servicios financieros querría mantener el tráfico de las solicitudes de su departamento de seguros separado del de sus solicitudes de servicios financieros. En el pasado, esto se lograba fácilmente mediante la separación física de los dispositivos de servicio de red, como los firewalls, los balanceadores de carga y el IdP, y mediante la supervisión de la red y la separación lógica en la estructura de conmutación.

A medida que las arquitecturas de los centros de datos evolucionan hacia centros de datos virtualizados multiusuario, los servicios de red en la capa de agregación de un centro de datos se van consolidando. Este desarrollo ha hecho que el aislamiento de las rutas de red sea un componente fundamental para los dispositivos de servicio de red y está impulsando la necesidad de que los ADC puedan aislar el tráfico en los niveles L4 a L7. Además, todo el tráfico de un arrendatario en particular debe pasar por un firewall antes de llegar a la capa de servicio.

Para resolver el requisito de aislar las rutas de red, un dispositivo NetScaler identifica los dominios de red y controla el tráfico entre los dominios. La solución NetScaler tiene dos componentes principales: Directivas de escucha y servidores virtuales de sombra.

A cada ruta de red que se va a aislar se le asigna un servidor virtual en el que se define una directiva de escucha para que el servidor virtual escuche únicamente el tráfico de un dominio de red especificado.

Para aislar el tráfico, las directivas de escucha se pueden basar en varios parámetros del cliente o en sus combinaciones, y se pueden asignar prioridades a las directivas. En la siguiente tabla se enumeran los parámetros que se pueden utilizar en las directivas de escucha para identificar el tráfico.

Categoría	Parámetros
Protocolo Ethernet	Dirección MAC de origen, dirección MAC de destino
Interfaz de red	ID de red, rendimiento de recepción, rendimiento de envío, rendimiento de transmisión
Protocolo IP	Dirección IP de origen, dirección IP de destino
Protocolo IPv6	Dirección IPv6 de origen, dirección IPv6 de destino
protocolo TCP	Puerto de origen, puerto de destino, tamaño máximo de segmento, carga útil y otras opciones
Protocolo UDP	Puerto de origen, puerto de destino
VLAN	ID

Tabla 1. Parámetros del cliente utilizados para definir las directivas de escucha

En el dispositivo NetScaler, se configura un servidor virtual para cada dominio, con una directiva de escucha que especifica que el servidor virtual debe escuchar únicamente el tráfico de ese dominio. También está configurado para cada dominio un servidor virtual de equilibrio de carga oculto, que escucha el tráfico destinado a cualquier dominio. Cada uno de los servidores virtuales de equilibrio de carga oculta tiene una dirección IP y un puerto comodín (*), y su tipo de servicio está establecido en CUALQUIER.

En cada dominio, un firewall para el dominio está enlazado como servicio al servidor virtual de equilibrio de carga oculta, que reenvía todo el tráfico a través del firewall. El tráfico local se reenvía a su destino y el tráfico destinado a otro dominio se reenvía al firewall de ese dominio. Los servidores virtuales de equilibrio de carga oculta están configurados para la redirección en modo MAC.

Cómo se aíslan las rutas de red

La siguiente ilustración muestra un flujo de tráfico típico entre dominios. Tenga en cuenta el flujo de tráfico dentro del dominio de red 1 y entre el dominio de red 1 y el dominio de red 2.

Figura 1. Aislar la ruta de red

Dominios de tráfico: aislamiento de rutas de red

Tráfico dentro del dominio de red 1

El dominio de red 1 tiene tres VLAN: VLAN 11, VLAN110 y VLAN120. Los pasos siguientes describen el flujo de tráfico.

Un cliente de la VLAN 11 envía una solicitud de un servicio disponible desde el grupo de servicios de la VLAN 120.
El servidor virtual de equilibrio de carga LB-VIP1, que está configurado para escuchar el tráfico de la VLAN 11, recibe la solicitud y la reenvía a la VLAN 110. El servidor virtual de la VLAN 110 reenvía la solicitud al servidor virtual de equilibrio de carga oculta FW-VIP-1.
El FW-VIP-1, que está configurado para escuchar el tráfico de la VLAN 110, recibe la solicitud y la reenvía a la VLAN 120.
El servidor virtual de equilibrio de carga de la VLAN 120 equilibra la carga de la solicitud con uno de los servidores físicos, App11, App12 o App13.
La respuesta enviada por el servidor físico regresa por la misma ruta al cliente en la VLAN 11.

Esta configuración garantiza que el tráfico esté siempre segregado dentro de NetScaler para todo el tráfico que se origina en un cliente.

Tráfico entre el dominio de red 1 y el dominio de red 2

El dominio de red 1 tiene tres VLAN: VLAN 11, VLAN110 y VLAN120. El dominio de red 2 también tiene tres VLAN: VLAN 22, VLAN 210 y VLAN 220. Los siguientes pasos describen el flujo de tráfico de la VALN 11 a la VLAN 22.

Un cliente de la VLAN 11, que pertenece al dominio de red 1, envía una solicitud de un servicio disponible desde el grupo de servicios de la VLAN 220, que pertenece al dominio de red 2.
En el dominio de red 1, el servidor virtual de equilibrio de carga LB-VIP1, que está configurado para escuchar el tráfico de la VLAN 11, recibe la solicitud y la reenvía a la VLAN 110.
El servidor virtual de equilibrio de carga oculto FW-VIP-1, que está configurado para escuchar el tráfico de la VLAN 110 destinado a cualquier otro dominio, recibe la solicitud y la reenvía al servidor virtual del firewall FW-VIP-2 porque la solicitud está destinada a un servidor físico del dominio de red 2.
En el dominio de red 2, el FW-VIP-2 reenvía la solicitud a la VLAN 220.
El servidor virtual de equilibrio de carga de la VLAN 220 equilibra la carga de la solicitud con uno de los servidores físicos, App21, App22 o App23.
La respuesta enviada por el servidor físico regresa por la misma ruta a través del firewall en el dominio de red 2 y luego al dominio de red 1 para llegar al cliente en la VLAN 11.

Pasos de configuración

Para configurar el aislamiento de rutas de red mediante directivas de escucha, haga lo siguiente:

Añada expresiones de directiva de escucha. Cada expresión especifica un dominio al que se destina el tráfico. Puede usar el ID de VLAN u otros parámetros para identificar el tráfico.
Para cada dominio de red, configure dos servidores virtuales de la siguiente manera:
- Cree un servidor virtual de equilibrio de carga para el que especifique una directiva de escucha que identifique el tráfico destinado a este dominio. Puede especificar el nombre de una expresión creada anteriormente o crear una expresión mientras crea el servidor virtual.
- Cree otro servidor virtual de equilibrio de carga, denominado servidor virtual de sombra, para el que especifique una expresión de directiva de escucha que se aplique al tráfico destinado a cualquier dominio. En este servidor virtual, defina el tipo de servicio en CUALQUIER y la dirección IP y el puerto en un asterisco (*). Habilite el reenvío basado en MAC en este servidor virtual.
- Habilite la opción de conexión L2 en ambos servidores virtuales.
  
  Por lo general, para identificar una conexión, el dispositivo NetScaler utiliza las cuatro tuplas de dirección IP del cliente, puerto del cliente, dirección IP de destino y puerto de destino. Al habilitar la opción Conexión L2, los parámetros de Capa 2 de la conexión (número de canal, dirección MAC e ID de VLAN) se utilizan además de las 4 tuplas normales.
Agregue servicios que representan los grupos de servidores en el dominio y vincularlos al servidor virtual.
Configure el firewall para cada dominio como servicio y vincule todos los servicios de firewall al servidor virtual en la sombra.

Para aislar el tráfico de red mediante la interfaz de línea de comandos

En el símbolo del sistema, escriba los comandos siguientes:

add policy expression <expressionName> <listenPolicyExpression>

add lb vserver <name> <serviceType> <ip> <port> -l2conn ON -listenPolicy <expressionName>
<!--NeedCopy-->

Agregue un servidor virtual de equilibrio de carga para cada dominio. Este servidor virtual es para el tráfico del mismo dominio.

add lb vserver <name> ANY * * -l2conn ON -m MAC -listenPolicy <expressionName>
<!--NeedCopy-->

Agregue un servidor virtual de equilibrio de carga oculta para cada dominio. Este servidor virtual es para el tráfico de otros dominios.

Ejemplo:

add policy expression e110 client.vlan.id==110
add policy expression e210 client.vlan.id==210
add policy expression e310 client.vlan.id==310
add policy expression e11 client.vlan.id==11
add policy expression e22 client.vlan.id==22
add policy expression e33 client.vlan.id==33

add lb vserver LB-VIP1 HTTP 10.1.1.254 80 -persistenceType NONE -listenPolicy e11
-cltTimeout 180 -l2Conn ON

add lb vserver LB-VIP2 HTTP 10.2.2.254 80 -persistenceType NONE - listenPolicy e22
-cltTimeout 180 -l2Conn ON

add lb vserver LB-VIP3 HTTP 10.3.3.254 80 -persistenceType NONE - listenPolicy e33
-cltTimeout 180 -l2Conn ON


add lb vserver FW-VIP-1 ANY * * -persistenceType NONE -lbMethod ROUNDROBIN - listenPolicy e110 -Listenpriority 1 -m MAC -cltTimeout 120

add lb vserver FW-VIP-2 ANY * * -persistenceType NONE -lbMethod ROUNDROBIN - listenPolicy e210 -Listenpriority 2 -m MAC -cltTimeout 120

add lb vserver FW-VIP-3 ANY * * -persistenceType NONE -lbMethod ROUNDROBIN - listenPolicy e310 -Listenpriority 3 -m MAC -cltTimeout 120


add service RD-1 10.1.1.1 ANY * -gslb NONE -maxClient 0 -maxReq 0 -cip DISABLED
-usip NO -useproxyport NO -sp ON -cltTimeout 120 -svrTimeout 120 -CKA NO -TCPB NO -CMP NO

add service RD-2 10.2.2.1 ANY * -gslb NONE -maxClient 0 -maxReq 0 -cip DISABLED
-usip NO -useproxyport NO -sp ON -cltTimeout 120 -svrTimeout 120 -CKA NO -TCPB NO -CMP NO

add service RD-3 10.3.3.1 ANY * -gslb NONE -maxClient 0 -maxReq 0 -cip DISABLED
-usip NO -useproxyport NO -sp ON -cltTimeout 120 -svrTimeout 120 -CKA NO -TCPB NO -CMP NO


bind lb vserver FW-VIP-1 RD-1

bind lb vserver FW-VIP-2 RD-2

bind lb vserver FW-VIP-3 RD-3
<!--NeedCopy-->

Para aislar el tráfico de red mediante la utilidad de configuración

Agregue servicios que representan los servidores, tal como se describe en Creación de un servicio.
Agregue cada firewall como servicio:
1. Vaya a Traffic Management > Load Balancing > Services.
2. Cree un servicio, especificando el protocolo como CUALQUIER, el servidor como la dirección IP del firewall y el puerto como 80.
Configure un servidor virtual de equilibrio de carga.
Configure el servidor virtual de equilibrio de carga oculta.
Para cada dominio de red, repita los pasos 3 y 4.
En el panel Servidores virtuales de equilibrio de carga, abra los servidores virtuales que ha creado y compruebe la configuración.

La versión oficial de este contenido está en inglés. Para mayor comodidad, parte del contenido de la documentación de Cloud Software Group solo tiene traducción automática. Cloud Software Group no puede controlar el contenido con traducción automática, que puede contener errores, imprecisiones o un lenguaje inadecuado. No se ofrece ninguna garantía, ni implícita ni explícita, en cuanto a la exactitud, la fiabilidad, la idoneidad o la precisión de las traducciones realizadas del original en inglés a cualquier otro idioma, o que su producto o servicio de Cloud Software Group se ajusten a cualquier contenido con traducción automática, y cualquier garantía provista bajo el contrato de licencia del usuario final o las condiciones de servicio, o cualquier otro contrato con Cloud Software Group, de que el producto o el servicio se ajusten a la documentación no se aplicará en cuanto dicha documentación se ha traducido automáticamente. Cloud Software Group no se hace responsable de los daños o los problemas que puedan surgir del uso del contenido traducido automáticamente.

Caso de uso 11: Aislamiento del tráfico de red mediante directivas de escucha

August 11, 2023

Contribución de:

August 11, 2023

Contribución de: