Documentación de productos
ADC
14.1 - Current Release 13.1 13.0 12.1
Ver PDF

Entorno de varios firewall

October 4, 2021
Contribución de: 
C

En un entorno de varios firewall, el dispositivo Citrix ADC se coloca entre dos conjuntos de firewalls, el conjunto externo que se conecta a Internet público y el conjunto interno que se conecta a la red privada interna. El conjunto externo normalmente maneja el tráfico de salida. Estos firewalls implementan principalmente listas de control de acceso para permitir o denegar el acceso a recursos externos. El conjunto interno normalmente maneja el tráfico de entrada. Estos firewalls implementan la seguridad para proteger la intranet de ataques maliciosos, además de equilibrar la carga del tráfico de entrada. El entorno de firewall múltiple le permite equilibrar la carga del tráfico procedente de otro firewall. De forma predeterminada, el tráfico procedente de un firewall no está equilibrado de carga en el otro firewall en un dispositivo Citrix ADC. Tener habilitado el equilibrio de carga del firewall en ambos lados de Citrix ADC mejora el flujo de tráfico en la dirección de salida y entrada y garantiza un procesamiento más rápido del tráfico.

La siguiente ilustración muestra un entorno de equilibrio de carga de varios firewall

Ilustración 1. Equilibrio de carga del firewall (firewall múltiple)

Entorno de varios firewall

Con una configuración como la que se muestra en la Ilustración 1, puede configurar Citrix ADC para equilibrar la carga del tráfico a través de un firewall interno, incluso si la carga está balanceada por un firewall externo. Por ejemplo, con esta función configurada, el tráfico procedente de los firewalls externos (firewalls 1, 2 y 3) se equilibra la carga en los firewalls internos (firewalls 4, 5 y 6) y viceversa.

El equilibrio de carga del firewall solo es compatible con el servidor virtual LB en modo MAC.

El tipo de servicio ANY configura Citrix ADC para aceptar todo el tráfico.

Para aprovechar los beneficios relacionados con HTTP y TCP, configure el servicio y el servidor virtual con el tipo HTTP o TCP. Para que FTP funcione, configure el servicio con el tipo FTP.

Configuración del Citrix ADC en un entorno de múltiples firewall

Para configurar un dispositivo Citrix ADC en un entorno de varios firewall, debe habilitar la función de equilibrio de carga, configurar un servidor virtual para equilibrar la carga del tráfico de salida a través de los firewalls externos, configurar un servidor virtual para equilibrar la carga del tráfico de entrada a través de los firewalls internos y habilite el equilibrio de carga del firewall en el dispositivo Citrix ADC. Para configurar un servidor virtual para equilibrar la carga del tráfico a través de un firewall en el entorno de varios firewall, debe:

  1. Configurar un servicio comodín para cada firewall
  2. Configurar un monitor para cada servicio comodín
  3. Configurar un servidor virtual comodín para equilibrar la carga del tráfico enviado a los firewalls
  4. Configurar el servidor virtual en el modo de reescritura MAC
  5. Vincular servicios de firewall al servidor virtual comodín

Activación de la función de equilibrio de carga

Para configurar e implementar entidades de equilibrio de carga como servicios y servidores virtuales, debe habilitar la función de equilibrio de carga en el dispositivo Citrix ADC.

Para habilitar el equilibrio de carga mediante la CLI:

En el símbolo del sistema, escriba el siguiente comando para habilitar el equilibrio de carga y verificar la configuración:

enable ns feature <featureName>
show ns feature
<!--NeedCopy-->

Ejemplo:

enable ns feature LoadBalancing
Done
show ns feature
Feature Acronym Status
------- ------- ------
1) Web Logging WL OFF
2) Surge Protection SP ON
3) Load Balancing LB ON
.
.
.
24) NetScaler Push push OFF
Done
<!--NeedCopy-->

Para habilitar el equilibrio de carga mediante la GUI:

  1. En el panel de navegación, expanda Sistemay, a continuación, haga clic en Configuración.
  2. En el panel Configuración, en Modos y funciones, haga clic en Cambiar funciones básicas.
  3. En el cuadro de diálogo Configurar funciones básicas, active la casilla Equilibrio de carga y, a continuación, haga clic en Aceptar.

Configuración de un servicio comodín para cada firewall

Para aceptar el tráfico de todos los protocolos, debe configurar el servicio comodín para cada firewall especificando compatibilidad con todos los protocolos y puertos.

Para configurar un servicio comodín para cada firewall mediante la CLI:

En el símbolo del sistema, escriba el siguiente comando para configurar la compatibilidad con todos los protocolos y puertos:

add service <name>@ <serverName> <serviceType> <port_number>
<!--NeedCopy-->

Ejemplo:

add service fw-svc1 10.102.29.5 ANY *
<!--NeedCopy-->

Para configurar un servicio comodín para cada firewall mediante la GUI:

  1. Vaya a Administración de Tráfico > Equilibrio de carga > Servicios.

  2. En el panel de detalles, haga clic en Agregar.

  3. En el cuadro de diálogo Crear servicios, especifique valores para los siguientes parámetros como se muestra:

    • Nombre del servicio: Nombre
    • Servidor: NombreServidor

    -* Un parámetro requerido

  4. En Protocolo, seleccione Cualquiera y, en Puerto, seleccione *.

  5. Haga clic en Crear y, a continuación, en Cerrar. El servicio creado aparece en el panel Servicios.

Configuración de un monitor para cada servicio

Un monitor PING está enlazado de forma predeterminada al servicio. Deberá configurar un monitor transparente para supervisar los hosts del lado de confianza a través de firewalls individuales. A continuación, puede enlazar el monitor transparente a los servicios. El monitor PING predeterminado supervisa la conectividad solo entre el dispositivo Citrix ADC y el dispositivo ascendente. El monitor transparente supervisa todos los dispositivos existentes en la ruta de acceso desde el dispositivo al dispositivo que posee la dirección IP de destino especificada en el monitor. Si no se configura un monitor transparente y el estado del firewall es UP, pero uno de los dispositivos de salto siguiente de ese firewall está inactivado, el dispositivo incluye el firewall mientras realiza el equilibrio de carga y reenvía el paquete al firewall. Sin embargo, el paquete no se entrega al destino final porque uno de los dispositivos de salto siguiente está caído. Al vincular un monitor transparente, si alguno de los dispositivos (incluido el firewall) está inactivo, el servicio se marca como DOWN y el firewall no se incluye cuando el dispositivo realiza el equilibrio de carga del firewall.

Enlazar un monitor transparente anulará el monitor PING. Para configurar un monitor PING además de un monitor transparente, después de crear y enlazar un monitor transparente, debe enlazar un monitor PING al servicio.

Para configurar un monitor transparente mediante la CLI:

En el símbolo del sistema, escriba los siguientes comandos para configurar un monitor transparente y verificar la configuración:

add lb monitor <monitorName> <type> [-destIP <ip_addr|ipv6_addr|*>] [-transparent (YES | NO )]
bind lb monitor <monitorName> <serviceName>
<!--NeedCopy-->

Ejemplo:

add monitor monitor-HTTP-1 HTTP -destip 10.10.10.11 -transparent YES
bind monitor monitor-HTTP-1 fw-svc1
<!--NeedCopy-->

El dispositivo Citrix ADC aprende los parámetros L2 del servidor desde el monitor enlazado al servicio. Para los monitores UDP-ECV, configure una cadena de recepción para permitir que el dispositivo aprenda los parámetros L2 del servidor. Si la cadena de recepción no está configurada y el servidor no responde, el dispositivo no aprende los parámetros L2, pero el servicio está configurado en UP. El tráfico de este servicio está bloqueado.

Para configurar una cadena de recepción mediante la CLI:

En el símbolo del sistema, escriba el siguiente comando:

add lb monitor <monitorName> <type> [-destIP <ip_addr|ipv6_addr|*>] [-transparent (YES | NO )] [-send <string>] [-recv <string>]
<!--NeedCopy-->

Ejemplo:

add lb monitor monitor-udp-1 udp-ecv -destip 10.10.10.11 -transparent YES –send "test message" –recv "site_is_up"
<!--NeedCopy-->

Para crear y enlazar un monitor transparente mediante la interfaz gráfica de usuario:

  1. Vaya a Administración del Tráfico > Equilibrio de carga > Monitores.

  2. En el panel de detalles, haga clic en Agregar.

  3. En el cuadro de diálogo Crear monitor, especifique valores para los siguientes parámetros como se muestra:

    • Nombre*
    • tipo*: Tipo
    • IP de destino
    • Transparencia

    -* Un parámetro requerido

  4. Haga clic en Crear y, a continuación, en Cerrar. En el panel Monitores, seleccione el monitor que acaba de configurar y compruebe que la configuración mostrada en la parte inferior de la pantalla sea correcta.

Configurar un servidor virtual para equilibrar la carga del tráfico enviado a los firewalls

Para equilibrar la carga cualquier tipo de tráfico, debe configurar un servidor virtual comodín especificando el protocolo y el puerto como cualquier valor.

Para configurar un servidor virtual para equilibrar la carga del tráfico enviado a los firewalls mediante la CLI:

En el símbolo del sistema, escriba el siguiente comando:

add lb vserver <name>@ <serviceType> <IPAddress> <port_number>
<!--NeedCopy-->

Ejemplo:

add lb vserver Vserver-LB-1 ANY * *
<!--NeedCopy-->

Para configurar un servidor virtual para equilibrar la carga del tráfico enviado a los firewalls mediante la GUI:

  1. Vaya a Administración del tráfico > Equilibrio de carga > Servidores virtuales.
  2. En el panel de detalles, haga clic en Agregar.
  3. En Protocolo, seleccione Cualquiera y, en Dirección IP y Puerto, seleccione *.
  4. Haga clic en Crear y, a continuación, en Cerrar. El servidor virtual creado aparece en el panel Servidores virtuales de equilibrio de carga.

Configuración del servidor virtual en el modo de reescritura MAC

Para configurar el servidor virtual para que use la dirección MAC para reenviar el tráfico entrante, debe habilitar el modo de reescritura MAC.

Para configurar el servidor virtual en el modo de reescritura MAC mediante la CLI:

En el símbolo del sistema, escriba el siguiente comando:

set lb vserver <name>@ -m <RedirectionMode>
<!--NeedCopy-->

Ejemplo:

set lb vserver Vserver-LB-1 -m MAC
<!--NeedCopy-->

Para configurar el servidor virtual en el modo de reescritura MAC mediante la GUI:

  1. Vaya a Administración del tráfico > Equilibrio de carga > Servidores virtuales.
  2. En el panel de detalles, seleccione el servidor virtual para el que quiere configurar el modo de redirección (por ejemplo, VServer-LB1) y, a continuación, haga clic en Abrir.
  3. En la ficha Avanzadas, en el modo Modo de redirección, haga clic en Abrir.
  4. Haga clic en Aceptar.

Enlace de servicios de firewall al servidor virtual

Para acceder a un servicio en el dispositivo Citrix ADC, debe vincularlo a un servidor virtual comodín.

Para enlazar servicios de firewall al servidor virtual mediante la CLI:

En el símbolo del sistema, escriba el siguiente comando:

bind lb vserver <name>@ <serviceName>
<!--NeedCopy-->

Ejemplo:

bind lb vserver Vserver-LB-1 Service-HTTP-1
<!--NeedCopy-->

Para enlazar servicios de firewall al servidor virtual mediante la GUI:

  1. Vaya a Administración del tráfico > Equilibrio de carga > Servidores virtuales.
  2. En el panel de detalles, seleccione el servidor virtual para el que quiere configurar el modo de redirección (por ejemplo, VServer-LB1) y, a continuación, haga clic en Abrir.
  3. En el cuadro de diálogo Configurar servidor virtual (equilibrio de carga), en la ficha Servicios, active la casilla de verificación Activo junto al servicio que quiere enlazar al servidor virtual (por ejemplo, Service-HTTP-1).
  4. Haga clic en Aceptar.

Configuración del equilibrio de carga de varios firewall en el dispositivo Citrix ADC

Para equilibrar la carga del tráfico en ambos lados de un dispositivo Citrix ADC mediante el equilibrio de carga del firewall, debe habilitar el equilibrio de carga entre varios firewall mediante el parámetro vServerSpecificMac.

Para configurar el equilibrio de carga de varios firewall mediante la CLI:

En el símbolo del sistema, escriba el siguiente comando:

set lb parameter -vServerSpecificMac <status>
<!--NeedCopy-->

Ejemplo:

set lb parameter -vServerSpecificMac ENABLED
<!--NeedCopy-->

Para configurar el equilibrio de carga de varios firewall mediante la interfaz gráfica de usuario:

  1. Vaya a Administración del tráfico > Equilibrio de carga > Servidores virtuales.
  2. En el panel de detalles, seleccione el servidor virtual para el que quiere configurar el modo de redirección (por ejemplo, Configurar parámetros de equilibrio de carga).
  3. En el cuadro de diálogo Establecer parámetros de equilibrio de carga, active la casilla de verificación MAC específico del servidor virtual.
  4. Haga clic en Aceptar.

Guardar y verificar la configuración

Cuando haya terminado las tareas de configuración, asegúrese de guardar la configuración. También debe verificar para asegurarse de que la configuración sea correcta.

Para guardar y verificar la configuración mediante la CLI:

En el símbolo del sistema, escriba los siguientes comandos para configurar un monitor transparente y verificar la configuración:

  • save ns config
  • show vserver

Ejemplo:

save config
show lb vserver FWLBVIP2
        FWLBVIP2 (\*:\*) - ANY    Type: ADDRESS
        State: UP
        Last state change was at Mon Jun 14 07:22:54 2010
        Time since last state change: 0 days, 00:00:32.760
        Effective State: UP
        Client Idle Timeout: 120 sec
        Down state flush: ENABLED
        Disable Primary Vserver On Down : DISABLED
        No. of Bound Services :  2 (Total)       2 (Active)
        Configured Method: LEASTCONNECTION
        Current Method: Round Robin, Reason: A new service is bound
        Mode: MAC
        Persistence: NONE
        Connection Failover: DISABLED

1) fw-int-svc1 (10.102.29.5: *) - ANY State: UP Weight: 1
2) fw-int-svc2 (10.102.29.9: \*) - ANY State: UP Weight: 1
 Done
show service fw-int-svc1
        fw-int-svc1 (10.102.29.5:\*) - ANY
        State: DOWN
        Last state change was at Thu Jul  8 14:44:51 2010
        Time since last state change: 0 days, 00:01:50.240
        Server Name: 10.102.29.5
        Server ID : 0   Monitor Threshold : 0
        Max Conn: 0     Max Req: 0      Max Bandwidth: 0 kbits
        Use Source IP: NO
        Client Keepalive(CKA): NO
        Access Down Service: NO
        TCP Buffering(TCPB): NO
        HTTP Compression(CMP): NO
        Idle timeout: Client: 120 sec   Server: 120 sec
        Client IP: DISABLED
        Cacheable: NO
        SC: OFF
        SP: OFF
        Down state flush: ENABLED

1)      Monitor Name: monitor-HTTP-1
                State: DOWN     Weight: 1
                Probes: 9       Failed [Total: 9 Current: 9]
                Last response: Failure - Time out during TCP connection establishment stage
                Response Time: 2000.0 millisec
2)      Monitor Name: ping
                State: UP       Weight: 1
                Probes: 3       Failed [Total: 0 Current: 0]
                Last response: Success - ICMP echo reply received.
                Response Time: 1.275 millisec
 Done
<!--NeedCopy-->

Para guardar y verificar la configuración mediante la interfaz gráfica de usuario:

  1. En el panel de detalles, haga clic en Guardar.
  2. En el cuadro de diálogo Guardar configuración, haga clic en Sí.
  3. Vaya a Administración del tráfico > Equilibrio de carga > Servidores virtuales.
  4. En el panel de detalles, seleccione el servidor virtual que creó en el paso 5 y compruebe que la configuración mostrada en el panel Detalles es correcta.
  5. Vaya a Administración de Tráfico > Equilibrio de carga > Servicios.
  6. En el panel de detalles, seleccione el servicio que creó en el paso 5 y compruebe que la configuración mostrada en el panel Detalles es correcta.

Supervisión de una configuración de equilibrio de carga de firewall en un entorno de varios firewall

Después de que la configuración esté activa y en ejecución, debe ver las estadísticas de cada servicio y servidor virtual para comprobar si hay posibles problemas.

Visualización de las estadísticas de un servidor virtual

Para evaluar el rendimiento de los servidores virtuales o solucionar problemas, puede mostrar detalles de los servidores virtuales configurados en el dispositivo Citrix ADC. Puede mostrar un resumen de estadísticas para todos los servidores virtuales o puede especificar el nombre de un servidor virtual para mostrar las estadísticas solo para ese servidor virtual. Puede mostrar los siguientes detalles:

  • Nombre
  • Dirección IP
  • Port
  • Protocolo
  • Estado del servidor virtual
  • Tasa de solicitudes recibidas
  • Tasa de visitas

Para mostrar las estadísticas del servidor virtual mediante la interfaz de línea de comandos

Para mostrar un resumen de las estadísticas de todos los servidores virtuales configurados actualmente en el dispositivo Citrix ADC, o de un único servidor virtual, en el símbolo del sistema, escriba:

stat lb vserver [-detail] [<name>]
<!--NeedCopy-->

Ejemplo:

>stat lb vserver -detail
Virtual Server(s) Summary
                      vsvrIP  port     Protocol        State    Req/s   Hits/s
One                        *    80         HTTP           UP      5/s      0/s
Two                        *     0          TCP         DOWN      0/s      0/s
Three                      *  2598          TCP         DOWN      0/s      0/s
dnsVirtualNS    10.102.29.90    53          DNS         DOWN      0/s      0/s
BRVSERV            10.10.1.1    80         HTTP         DOWN      0/s      0/s
LBVIP           10.102.29.66    80         HTTP           UP      0/s      0/s
 Done


<!--NeedCopy-->

Para mostrar las estadísticas del servidor virtual mediante la GUI:

  1. Vaya a Administración del tráfico > Equilibrio de carga > Servidores virtuales > Estadísticas.
  2. Si quiere mostrar las estadísticas de un solo servidor virtual, en el panel de detalles seleccione el servidor virtual y haga clic en Estadísticas.

Visualización de las estadísticas de un servicio

Puede ver la tasa de solicitudes, respuestas, bytes de solicitud, bytes de respuesta, conexiones de cliente actuales, solicitudes en cola de sobretensiones, conexiones de servidor actuales, etc. mediante las estadísticas de servicio.

Para ver las estadísticas de un servicio mediante la CLI:

En el símbolo del sistema, escriba:

stat service <name>
<!--NeedCopy-->

Ejemplo:

stat service Service-HTTP-1
<!--NeedCopy-->

Para ver las estadísticas de un servicio mediante la GUI:

  1. Vaya a Administración del Tráfico > Equilibrio de carga > Servicios > Estadísticas.
  2. Si quiere mostrar las estadísticas de un solo servicio, seleccione el servicio y haga clic en Estadísticas.
Entorno de varios firewall
October 4, 2021
Contribución de: 
C
October 4, 2021
Contribución de: 
C

En este artículo

Comentarios sobre el sitio | Your privacy choices footer linkSus opciones de privacidad | Condiciones legales y de privacidad | Preferencias de cookies | Parámetros de consentimiento | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.