ADC

Caso de uso 11: Aislamiento del tráfico de red mediante directivas de escucha

October 4, 2021

Contribución de:

NotaYa no se recomienda

la solución de aislamiento de tráfico que utiliza servidores virtuales instantáneas para simular el aislamiento de varios arrendatarios. Como alternativa, Citrix recomienda utilizar la función de partición de administración de Citrix ADC para dichas implementaciones. Para obtener más información, consulte Partición de administración.

Un requisito de seguridad común en un centro de datos es mantener el aislamiento de rutas de red entre el tráfico de varias aplicaciones o arrendatarios. El tráfico de una aplicación o de un arrendatario debe estar aislado del tráfico de otras aplicaciones o arrendatarios. Por ejemplo, una empresa de servicios financieros querría mantener el tráfico de las solicitudes de su departamento de seguros separado del de sus aplicaciones de servicios financieros. En el pasado, esto se lograba fácilmente mediante la separación física de dispositivos de servicio de red como firewalls, balanceadores de carga e IdP, y supervisión de red y separación lógica en la estructura de conmutación.

A medida que las arquitecturas de centros de datos evolucionan hacia centros de datos virtualizados multiarrendatarios, los servicios de red en la capa de agregación de un centro de datos se están consolidando. Este desarrollo ha convertido el aislamiento de rutas de red en un componente crítico para los dispositivos de servicio de red y está impulsando el requisito de que los ADC puedan aislar el tráfico en los niveles de L4 a L7. Además, todo el tráfico de un arrendatario en particular debe pasar por un firewall antes de llegar a la capa de servicio.

Para resolver el requisito de aislar las rutas de red, un dispositivo Citrix ADC identifica los dominios de red y controla el tráfico entre los dominios. La solución Citrix ADC tiene dos componentes principales: Directivas de escucha y servidores virtuales de sombra.

A cada ruta de red que se va a aislar se le asigna un servidor virtual en el que se define una directiva de escucha para que el servidor virtual escuche el tráfico solo desde un dominio de red especificado.

Para aislar el tráfico, las directivas de escucha se pueden basar en varios parámetros de cliente o en sus combinaciones, y se pueden asignar prioridades a las directivas. En la tabla siguiente se enumeran los parámetros que se pueden utilizar en las directivas de escucha para identificar el tráfico.

Categoría	Parámetros
Protocolo Ethernet	Dirección MAC de origen, dirección MAC de destino
Interfaz de red	ID de red, rendimiento de recepción, rendimiento de envío, rendimiento de transmisión
Protocolo IP	Dirección IP de origen, dirección IP de destino
Protocolo IPv6	Dirección IPv6 de origen, dirección IPv6 de destino
Protocolo TCP	Puerto de origen, puerto de destino, tamaño máximo del segmento, carga útil y otras opciones
Protocolo UDP	Puerto de origen, puerto de destino
VLAN	ID

Cuadro 1 Parámetros de cliente utilizados para definir directivas de escucha

En el dispositivo Citrix ADC, se configura un servidor virtual para cada dominio, con una directiva de escucha que especifica que el servidor virtual debe escuchar solo el tráfico de ese dominio. También está configurado para cada dominio un servidor virtual de equilibrio de carga de sombra, que escucha el tráfico destinado a cualquier dominio. Cada uno de los servidores virtuales de equilibrio de carga de sombra tiene una dirección IP comodín (*) y un puerto, y su tipo de servicio se establece en CUALQUIERA.

En cada dominio, un firewall para el dominio está enlazado como servicio al servidor virtual de equilibrio de carga de sombra, que reenvía todo el tráfico a través del firewall. El tráfico local se reenvía a su destino y el tráfico destinado a otro dominio se reenvía al firewall de ese dominio. Los servidores virtuales de equilibrio de carga de sombra están configurados para la redirección del modo MAC.

Cómo se aíslan las rutas de red

La siguiente ilustración muestra un flujo de tráfico típico entre dominios. Considere el flujo de tráfico dentro del dominio de red 1 y entre el dominio de red 1 y el dominio de red 2.

Ilustración 1. Aislamiento de ruta de red

Dominios de tráfico: Aislamiento de rutas de red

Tráfico dentro del dominio de red 1

El dominio de red 1 tiene tres VLAN: VLAN 11, VLAN110 y VLAN120. Los pasos siguientes describen el flujo de tráfico.

Un cliente de VLAN 11 envía una solicitud de un servicio disponible desde el pool de servicios en VLAN 120.
El servidor virtual de equilibrio de carga LB-VIP1, que está configurado para escuchar el tráfico de la VLAN 11, recibe la solicitud y la reenvía a la VLAN 110. El servidor virtual de la VLAN 110 reenvía la solicitud para el servidor virtual de equilibrio de carga de sombra FW-VIP-1.
FW-VIP-1, que está configurado para escuchar el tráfico de la VLAN 110, recibe la solicitud y la reenvía a la VLAN 120.
El servidor virtual de equilibrio de carga de la VLAN 120 equilibra la solicitud a uno de los servidores físicos, App11, App12 o App13.
La respuesta enviada por el servidor físico devuelve por la misma ruta al cliente en VLAN 11.

Esta configuración garantiza que el tráfico siempre esté segregado dentro del Citrix ADC para todo el tráfico que se origina en un cliente.

Tráfico entre el dominio de red 1 y el dominio de red 2

El dominio de red 1 tiene tres VLAN: VLAN 11, VLAN 110 y VLAN 120. El dominio de red 2 también tiene tres VLAN: VLAN 22, VLAN 210 y VLAN 220. Los pasos siguientes describen el flujo de tráfico de VALN 11 a VLAN 22.

Un cliente de VLAN 11, que pertenece al dominio de red 1, envía una solicitud de un servicio disponible desde el grupo de servicios en la VLAN 220, que pertenece al dominio de red 2.
En el dominio de red 1, el servidor virtual de equilibrio de carga LB-VIP1, que está configurado para escuchar el tráfico de la VLAN 11, recibe la solicitud y la reenvía a la VLAN 110.
El servidor virtual de equilibrio de carga de sombra FW-VIP-1, que está configurado para escuchar el tráfico VLAN 110 destinado a cualquier otro dominio, recibe la solicitud y la reenvía al servidor virtual de firewall FW-VIP-2 porque la solicitud está destinada a un servidor físico en el dominio de red 2.
En Network Domain 2, FW-VIP-2 reenvía la solicitud a VLAN 220.
El servidor virtual de equilibrio de carga de la VLAN 220 equilibra la solicitud a uno de los servidores físicos, App21, App22 o App23.
La respuesta enviada por el servidor físico devuelve por la misma ruta a través del firewall en el dominio de red 2 y, a continuación, al dominio de red 1 para llegar al cliente en la VLAN 11.

Pasos de configuración

Para configurar el aislamiento de rutas de red mediante directivas de escucha, haga lo siguiente:

Agregar expresiones de directiva de escucha. Cada expresión especifica un dominio al que está destinado el tráfico. Puede utilizar el ID de VLAN u otros parámetros para identificar el tráfico.
Para cada dominio de red, configure dos servidores virtuales de la siguiente manera:
- Cree un servidor virtual de equilibrio de carga para el que especifique una directiva de escucha que identifique el tráfico destinado a este dominio. Puede especificar el nombre de una expresión creada anteriormente o crear una expresión mientras crea el servidor virtual.
- Cree otro servidor virtual de equilibrio de carga, denominado servidor virtual de sombra, para el que especifique una expresión de directiva de escucha que se aplique al tráfico destinado a cualquier dominio. En este servidor virtual, establezca el tipo de servicio en ANY y la dirección IP y el puerto en un asterisco (*). Habilite el reenvío basado en Mac en este servidor virtual.
- Habilite la opción Conexión L2 en ambos servidores virtuales.
  
  Por lo general, para identificar una conexión, el dispositivo Citrix ADC utiliza las cuatro tuplas de dirección IP del cliente, puerto del cliente, dirección IP de destino y puerto de destino. Al habilitar la opción Conexión L2, los parámetros de Capa 2 de la conexión (número de canal, dirección MAC e ID de VLAN) se utilizan además de las 4 tuplas normales.
Agregue servicios que representan los grupos de servidores en el dominio y vincularlos al servidor virtual.
Configure el firewall para cada dominio como servicio y vincule todos los servicios de firewall al servidor virtual en la sombra.

Para aislar el tráfico de red mediante la interfaz de línea de comandos

En el símbolo del sistema, escriba los siguientes comandos:

add policy expression <expressionName> <listenPolicyExpression>

add lb vserver <name> <serviceType> <ip> <port> -l2conn ON -listenPolicy <expressionName>
<!--NeedCopy-->

Agregue un servidor virtual de equilibrio de carga para cada dominio. Este servidor virtual es para el tráfico del mismo dominio.

add lb vserver <name> ANY * * -l2conn ON -m MAC -listenPolicy <expressionName>
<!--NeedCopy-->

Agregue un servidor virtual de equilibrio de carga de sombra para cada dominio. Este servidor virtual es para el tráfico de otros dominios.

Ejemplo:

add policy expression e110 client.vlan.id==110
add policy expression e210 client.vlan.id==210
add policy expression e310 client.vlan.id==310
add policy expression e11 client.vlan.id==11
add policy expression e22 client.vlan.id==22
add policy expression e33 client.vlan.id==33

add lb vserver LB-VIP1 HTTP 10.1.1.254 80 -persistenceType NONE -listenPolicy e11
-cltTimeout 180 -l2Conn ON

add lb vserver LB-VIP2 HTTP 10.2.2.254 80 -persistenceType NONE - listenPolicy e22
-cltTimeout 180 -l2Conn ON

add lb vserver LB-VIP3 HTTP 10.3.3.254 80 -persistenceType NONE - listenPolicy e33
-cltTimeout 180 -l2Conn ON


add lb vserver FW-VIP-1 ANY * * -persistenceType NONE -lbMethod ROUNDROBIN - listenPolicy e110 -Listenpriority 1 -m MAC -cltTimeout 120

add lb vserver FW-VIP-2 ANY * * -persistenceType NONE -lbMethod ROUNDROBIN - listenPolicy e210 -Listenpriority 2 -m MAC -cltTimeout 120

add lb vserver FW-VIP-3 ANY * * -persistenceType NONE -lbMethod ROUNDROBIN - listenPolicy e310 -Listenpriority 3 -m MAC -cltTimeout 120


add service RD-1 10.1.1.1 ANY * -gslb NONE -maxClient 0 -maxReq 0 -cip DISABLED
-usip NO -useproxyport NO -sp ON -cltTimeout 120 -svrTimeout 120 -CKA NO -TCPB NO -CMP NO

add service RD-2 10.2.2.1 ANY * -gslb NONE -maxClient 0 -maxReq 0 -cip DISABLED
-usip NO -useproxyport NO -sp ON -cltTimeout 120 -svrTimeout 120 -CKA NO -TCPB NO -CMP NO

add service RD-3 10.3.3.1 ANY * -gslb NONE -maxClient 0 -maxReq 0 -cip DISABLED
-usip NO -useproxyport NO -sp ON -cltTimeout 120 -svrTimeout 120 -CKA NO -TCPB NO -CMP NO


bind lb vserver FW-VIP-1 RD-1

bind lb vserver FW-VIP-2 RD-2

bind lb vserver FW-VIP-3 RD-3
<!--NeedCopy-->

Para aislar el tráfico de red mediante la utilidad de configuración

Agregue servicios que representan los servidores, tal como se describe en Creación de un servicio.
Agregue cada firewall como servicio:
1. Vaya a Administración de Tráfico > Equilibrio de carga > Servicios.
2. Cree un servicio, especificando el protocolo como CUALQUIERA, servidor como dirección IP del firewall y puerto como 80.
Configure un servidor virtual de equilibrio de carga.
Configure el servidor virtual de equilibrio de carga de sombra.
Para cada dominio de red, repita los pasos 3 y 4.
En el panel Servidores virtuales de equilibrio de carga, abra los servidores virtuales que ha creado y compruebe la configuración.

La versión oficial de este contenido está en inglés. Para mayor comodidad, parte del contenido de la documentación de Cloud Software Group solo tiene traducción automática. Cloud Software Group no puede controlar el contenido con traducción automática, que puede contener errores, imprecisiones o un lenguaje inadecuado. No se ofrece ninguna garantía, ni implícita ni explícita, en cuanto a la exactitud, la fiabilidad, la idoneidad o la precisión de las traducciones realizadas del original en inglés a cualquier otro idioma, o que su producto o servicio de Cloud Software Group se ajusten a cualquier contenido con traducción automática, y cualquier garantía provista bajo el contrato de licencia del usuario final o las condiciones de servicio, o cualquier otro contrato con Cloud Software Group, de que el producto o el servicio se ajusten a la documentación no se aplicará en cuanto dicha documentación se ha traducido automáticamente. Cloud Software Group no se hace responsable de los daños o los problemas que puedan surgir del uso del contenido traducido automáticamente.

Caso de uso 11: Aislamiento del tráfico de red mediante directivas de escucha

October 4, 2021

Contribución de:

October 4, 2021

Contribución de: