Documentación de productos
ADC
14.1 - Current Release 13.1 13.0 12.1
Ver PDF

Configurar particiones de administración

October 4, 2021
Contribución de: 
C

Importante

  • Solo los superusuarios están autorizados a crear y configurar particiones de administración.
  • A menos que se especifique lo contrario, las configuraciones para configurar una partición de administrador deben realizarse desde la partición predeterminada.

Al particionar un dispositivo Citrix ADC, está creando en efecto varias instancias de un único dispositivo Citrix ADC. Cada instancia tiene sus propias configuraciones y el tráfico de cada una de estas particiones queda aislado de la otra. Se realiza asignando a cada partición una VLAN dedicada o una VLAN compartida.

Un Citrix ADC particionado tiene una partición predeterminada y las particiones de administración que se crean. Para configurar una partición de administrador, primero debe crear una partición con los recursos pertinentes (memoria, ancho de banda máximo y conexiones). A continuación, especifique los usuarios que pueden acceder a la partición y el nivel de autorización de cada uno de los usuarios de la partición.

El acceso a un Citrix ADC particionado es lo mismo que acceder a un Citrix ADC no particionado: a través de la dirección NSIP o cualquier otra dirección IP de administración. Como usuario, después de proporcionar sus credenciales de inicio de sesión válidas, se le lleva a la partición a la que está vinculado. Cualquier configuración que cree se guarda en esa partición. Si está asociado a más de una partición, se le lleva a la primera partición a la que se asoció. Si desea configurar entidades en una de las otras particiones, debe cambiar explícitamente a esa partición.

Tras acceder a la partición adecuada, las configuraciones que realiza se guardan en esa partición y son específicas de esa partición.

Nota

  • Los superusuarios de Citrix ADC y otros usuarios que no son particiones se llevan a la partición predeterminada.
  • Los usuarios de todas las 512 particiones pueden iniciar sesión simultáneamente.

Sugerencia

Para acceder a un dispositivo Citrix ADC particionado a través de HTTPS mediante el SNIP (con el acceso de administración habilitado), asegúrese de que cada partición tenga el certificado de su administrador de particiones. Dentro de la partición, el administrador de particiones debe hacer lo siguiente:

  1. Agregue el certificado a Citrix ADC.

    add ssl certKey ns-server-certificate -cert ns-server.cert-key ns-server.key

  2. Enlazarlo a un servicio denominado nshttps-<SNIP>-3009, donde <SNIP> debe reemplazarse por la dirección SNIP, en este caso 100.10.10.1.

    bind ssl service nshttps-100.10.10.1-3009 -certkeyName ns-server-certificate

Limitación de recursos de particiones

En un dispositivo Citrix ADC con particiones, un administrador de red puede crear una partición con recursos de partición como memoria, ancho de banda y límite de conexión configurados como ilimitados. Se hace especificando Zero como valor de recurso de partición. Donde cero indica que el recurso es ilimitado en la partición y se puede consumir hasta los límites del sistema. La configuración de recursos de partición resulta útil cuando se migra una implementación de dominio de tráfico a una partición administrativa o si no conoce el límite de asignación de recursos para una partición de una implementación determinada.

El límite de recursos para una partición administrativa es el siguiente:

  1. Memoria de partición. Es la memoria máxima asignada para una partición. Asegúrese de especificar los valores al crear una partición.

    Nota

    A partir de NetScaler 12.0, al crear una partición, puede establecer el límite de memoria en Cero. Si ya se ha creado una partición con un límite de memoria específico, puede reducir el límite a cualquier valor o establecer el límite como Cero.

    Parámetro: maxMemLimit

    La memoria máxima se asigna en MB en una partición. Un valor cero indica que la memoria es ilimitada en la partición y puede consumirse hasta los límites del sistema.

    Valor predeterminado: 10

  2. Ancho debanda de particiones. Ancho de banda máximo asignado para una partición. Si especifica un límite, asegúrese de que se encuentra dentro del rendimiento con licencia del dispositivo. De lo contrario, no limitará el ancho de banda utilizado por la partición. El límite especificado es responsable del ancho de banda que requiere la aplicación. Si el ancho de banda de la aplicación supera el límite especificado, se eliminan los paquetes.

    Nota

    A partir de NetScaler 12.0, cuando puede crear una partición, puede establecer el límite de ancho de banda de la partición en Cero. Si ya se ha creado una partición con un ancho de banda específico, puede reducir el ancho de banda o establecer el límite como Cero.

    Parámetro: MaxBandwidth

    El ancho de banda máximo se asigna en Kbps en una partición. Un valor cero indica que el ancho de banda no está restringido. Es decir, la partición puede consumir hasta los límites del sistema.

    Valor predeterminado: 10240

    Valor máximo: 42949672,95

  3. Conexión de partición. Número máximo de conexiones simultáneas que se pueden abrir en una partición. El valor debe acomodar el flujo simultáneo máximo esperado dentro de la partición. Las conexiones de partición se contabilizan desde la memoria de cuota de partición. Anteriormente, las conexiones se contabilizaban desde la memoria de cuota de partición predeterminada. Se configura solo en el lado del cliente, no en las conexiones TCP del servidor back-end. No se pueden establecer nuevas conexiones más allá de este valor configurado.

    Nota

    A partir de NetScaler 12.0, puede crear una partición con el número de conexiones abiertas establecido en Cero. Si ya ha creado una partición con un número específico de conexiones abiertas, puede reducir el límite de conexión o establecer el límite como Cero.

    Parámetro: MaxConnections

    Número máximo de conexiones simultáneas que se pueden abrir en la partición. Un valor cero indica que no hay límite en el número de conexiones abiertas.

    Valor predeterminado: 1024

    Valor mínimo: 0

    Valor máximo: 42949672,95

Configurar una partición de administrador

Para configurar una partición de administrador, complete las siguientes tareas.

Para acceder en una partición de administrador mediante la CLI

  1. Inicie sesión en el dispositivo Citrix ADC.
  2. Comprueba si estás en la partición correcta. El símbolo del sistema muestra el nombre de la partición seleccionada actualmente.
  3. En caso afirmativo, vaya al siguiente paso.

  4. En caso negativo, obtenga una lista de las particiones con las que está asociado y cambie a la partición adecuada.

    • show system user <username>
    • switch ns partition <partitionName>
  5. Ahora, puede realizar las configuraciones necesarias al igual que un Citrix ADC no particionado.

Para acceder a una partición de administrador mediante la GUI

  1. Inicie sesión en el dispositivo Citrix ADC.

  2. Comprueba si estás en la partición correcta. La barra superior de la GUI muestra el nombre de la partición seleccionada actualmente.

    • En caso afirmativo, vaya al siguiente paso.

    • En caso negativo, vaya a Configuración > Sistema > Administración de particiones > Particiones, haga clic con el botón derecho en la partición a la que desea cambiar y seleccione Cambiar.

  3. Ahora, puede realizar las configuraciones necesarias al igual que un Citrix ADC no particionado.

Agregar una partición de administrador

El administrador raíz agrega una partición administrativa desde la partición predeterminada y vincula la partición con la VLAN 2.

Para crear una partición administrativa mediante la CLI

En el símbolo del sistema, escriba:

add partition <partitionname>

Cambiar el acceso de usuario de la partición predeterminada a una partición de administrador

Ahora puede cambiar el acceso de usuario de la partición predeterminada a la partición Par1.

Para cambiar una cuenta de usuario de una partición predeterminada a una partición de administrador mediante la CLI:

En el símbolo del sistema, escriba:

Switch ns partition <pname>

Agregar dirección SNIP a una cuenta de usuario de partición con acceso de administración habilitado

En la partición, cree una dirección SNIP con el acceso de administración habilitado.

Para agregar una dirección SNIP a la cuenta de usuario de partición con acceso de administración habilitado mediante la interfaz de línea de comandos:

En el símbolo del sistema, escriba:

> add ns ip <ip address> <subnet mask> -mgmtAccess enabled

Crear y vincular un usuario de partición con la directiva de comandos de partición

En la partición, cree un usuario del sistema de particiones y vincule al usuario con políticas de comandos partition-admin.

Para crear y enlazar un usuario del sistema de particiones con la directiva de comandos de partición mediante la CLI:

En el símbolo del sistema, escriba:

> add system user <username> <password>

Done

Creación y vinculación de grupos de usuarios de particiones con directiva de comandos de partición

En Partition Par1, cree un grupo de usuarios del sistema de particiones y vincule el grupo con una política de comandos de partición, como administrador de particiones, solo lectura de particiones, operador de partición o red de particiones.

Para crear y enlazar un grupo de usuarios de partición con la directiva de comandos de partición mediante la interfaz de línea de comandos:

> add system group <groupName>
> bind system group <groupname> \(-userName | -policyName <cmdpolicy> <priority> | -partitionName)

Configuración de la autenticación del servidor externo para usuarios externos

En la partición Par1, puede configurar una autenticación de servidor externo para autenticar a los usuarios TACACS externos que accedan a la partición a través de una dirección SNIP.

Para configurar la autenticación de servidor externo para usuarios externos mediante la interfaz de línea de comandos:

En el símbolo del sistema, escriba:

> add authentication tacacsaction <name> -serverip <IP> -tacacsSecret <secret key> -authorization ON -accounting ON
> add authentication policy <policname> -rule true -action <name>
> bind system global <policyname> -priority <value>1

Configurar una cuenta de usuario del sistema de particiones en una partición mediante la GUI

Para configurar una cuenta de usuario de partición en una partición administrativa, debe crear un usuario de partición o un grupo de usuarios de particiones y vincularlo a las directivas de comandos de partición. Además, puede configurar la autenticación del servidor externo para un usuario externo.

Para crear una cuenta de usuario de partición en una partición mediante la GUI

Vaya a Sistema > Administraciónde usuarios, haga clic en Usuarios para agregar un usuario del sistema de particiones y vincular al usuario a las políticas de comandos (partitionadmin/partition-only/partition-operator/partition-network).

Para crear una cuenta de grupo de usuarios de particiones en una partición mediante la GUI

Vaya a Sistema > Administración de usuarios, haga clic en Grupos para agregar un grupo de usuarios del sistema de particiones y vincular el grupo de usuarios a las políticas de comandos (partitionadmin/partition-only/partition-operator/partition-network).

Para configurar la autenticación de servidor externo para usuarios externos mediante la GUI

Vaya a Sistema > Autenticación > Acciones básicas y haga clic en TACACS para configurar un servidor TACACS para autenticar a los usuarios externos que acceden a la partición.

Configuración de ejemplo

La siguiente configuración muestra cómo crear un usuario de partición o un grupo de usuarios de particiones y vincularlo a las directivas de comandos de partición. Además, cómo configurar la autenticación del servidor externo para autenticar a un usuario externo.

> add partition Par1
> switch ns partition Par1
> add ns ip 10.102.29.203 255.255.255.0 -mgmtAccessenabled
> add system user John Password
> bind system user Jane partition-read-only -priority 1
> add system group Retail
> bind system group Retail -policyname partition-network 1 (where 1 is the priority number)
> bind system group Retail –username Jane
> add authentication tacacssaction tacuser –serverip 10.102.29.200 –tacacsSecret Password –authorization ON –accounting ON
> add authentication policy polname –rule true –action tacacsAction
> bind system global polname –priority 1

Directivas de comandos para usuarios de particiones y grupos de usuarios de particiones en partición administrativa

Comandos para autorizar una cuenta de usuario dentro de una partición administrativa Directivas de comandos disponibles dentro de una partición administrativa (políticas integradas) Tipo de acceso a cuenta de usuario
agregar usuario del sistema Administrador de particiones SNIP (con acceso de administración habilitado)
agregar grupo de sistemas Red de particiones SNIP (con acceso de administración habilitado)
agregar autenticación <action, policy>, enlazar sistema global <policy name> Partición de sólo lectura SNIP (con acceso de administración habilitado)
quitar usuario del sistema Administrador de particiones SNIP (con acceso de administración habilitado)
quitar grupo de sistemas Administrador de particiones SNIP (con acceso de administración habilitado)
bind system cmdpolicy al usuario del sistema; bind system cmdpolicy al grupo de sistemas Administrador de particiones SNIP (con acceso de administración habilitado)

Configurar un canal Ethernet LACP en la partición administrativa predeterminada

Con el Protocolo de control de agregación de enlaces (LACP), puede combinar varios puertos en un único enlace de alta velocidad (también denominado canal). Un dispositivo habilitado para LACP intercambia unidades de datos LACP (LACPDU) a través del canal.

Hay tres modos de configuración de LACP que puede habilitar en la partición predeterminada de un dispositivo Citrix ADC:

  1. Activo. Un puerto en modo activo envía LACPDU. La agregación de enlaces se forma si el otro extremo del enlace Ethernet está en modo activo o pasivo LACP.
  2. pasiva. Un puerto en modo pasivo envía LACPDU solo cuando recibe LACPDU. La agregación de enlaces se forma si el otro extremo del enlace Ethernet está en modo activo LACP.
  3. Inhabilitar: No se forma la agregación de enlaces.

Nota

De forma predeterminada, la agregación de vínculos está deshabilitada en la partición predeterminada del dispositivo.

LACP intercambia LACPDU entre dispositivos conectados mediante un enlace Ethernet. Estos dispositivos suelen denominarse actor o socio.

Una unidad de datos LACPDU contiene los siguientes parámetros:

  • Modo LACP. Activo, pasivo o deshabilitado.
  • Tiempo de espera de LACP. El período de espera antes de que se agote el tiempo de espera del compañero o actor. Valores posibles: Largo y Corto. Predeterminado: Long.
  • Llave de puerto. Distinguir entre los diferentes canales. Cuando la clave es 1, se crea LA/1. Cuando la clave es 2, se crea LA/2. Valores posibles: Entero del 1 al 8. 4 a 8 es para CLAG de clúster.
  • Prioridad de puerto. Valor mínimo: 1. Valor máximo: 65535. Predeterminado: 32768.
  • Prioridad del sistema. Utiliza esta prioridad junto con el MAC del sistema para formar el ID del sistema para identificar de forma exclusiva el sistema durante la negociación de LACP con el socio. Establece la prioridad del sistema entre 1 y 65535. El valor predeterminado se establece en 32768.
  • Interfaz. Admite 8 interfaces por canal en el dispositivo NetScaler 10.1 y admite 16 interfaces por canal en dispositivos NetScaler 10.5 y 11.0.

Después de intercambiar LACPDU, el actor y el socio negocian la configuración y deciden si agregan los puertos a la agregación.

Configurar y verificar LACP

En la siguiente sección se muestra cómo configurar y verificar LACP en la partición de administración.

Para configurar y verificar LACP en un dispositivo Citrix ADC mediante la CLI

  1. Habilite LACP en cada interfaz.

    set interface <Interface_ID> -lacpMode PASSIVE -lacpKey 1<!--NeedCopy-->

    Cuando habilita LACP en una interfaz, los canales se crean dinámicamente. Además, cuando habilita LACP en una interfaz y configura LACPKey en 1, la interfaz se enlaza automáticamente al canal LA/1.

    Nota

    Cuando vincula una interfaz a un canal, los parámetros del canal tienen prioridad sobre los parámetros de la interfaz, por lo que se ignoran los parámetros de la interfaz. Si LACP crea un canal dinámicamente, no puede realizar las operaciones de adición, enlace, desvinculación o eliminación del canal. Un canal creado dinámicamente por LACP se elimina automáticamente cuando deshabilita LACP en todas las interfaces del canal.

  2. Establezca la prioridad del sistema.

    set lacp -sysPriority <Positive_Integer><!--NeedCopy-->

  3. Compruebe que LACP funciona según lo esperado.

    ```show interface 

    
```show channel<!--NeedCopy-->

    show LACP<!--NeedCopy-->

    Nota

    En algunas versiones del Cisco Internetwork Operating System (iOS), la ejecución del <VLAN_ID>comando switchport trunk native VLAN hace que el switch de Cisco etiquete las PDU LACP. Hace que falle el canal LACP entre el conmutador Cisco y el dispositivo Citrix ADC. Sin embargo, este problema no afecta a los canales de agregación de enlaces estáticos configurados en el procedimiento anterior.

Guardar la configuración de todas las particiones de administrador de la partición predeterminada

Los administradores pueden guardar la configuración de todas las particiones de administrador a la vez desde la partición predeterminada.

Guardar todas las particiones de administrador de la partición predeterminada mediante la CLI

En el símbolo del sistema, escriba:

save ns config -all

Compatibilidad con informes personalizados basados en particiones y clústeres

La GUI de Citrix ADC muestra solo los informes personalizados creados en la partición de visualización actual o en el clúster.

Anteriormente, la GUI de Citrix ADC se utilizaba para almacenar los nombres de los informes personalizados directamente en el archivo back-end sin mencionar el nombre de la partición o el clúster para diferenciarlo.

Para ver los informes personalizados de la partición o clúster actuales en la GUI

  • Vaya a la pestaña Informes .

  • Haga clic en Informes personalizados para ver los informes creados en la partición actual o en el clúster.

Compatibilidad para vincular certificados globales de VPN en una configuración particionada para IdP de OAuth

En una configuración particionada, ahora puede vincular los certificados a VPN global para implementaciones de IdP de OAuth.

Para enlazar los certificados en Configuración particionada mediante la CLI

En el símbolo del sistema, escriba:

bind vpn global [-certkeyName <string>] [-userDataEncryptionKey <string>]
Configurar particiones de administración
October 4, 2021
Contribución de: 
C
October 4, 2021
Contribución de: 
C

En este artículo

Comentarios sobre el sitio | Your privacy choices footer linkSus opciones de privacidad | Condiciones legales y de privacidad | Preferencias de cookies | Parámetros de consentimiento | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.