ADC

Configuración de un túnel de CloudBridge Connector entre un centro de datos y la nube de Azure

June 2, 2022

Contribución de:

El dispositivo Citrix ADC proporciona conectividad entre los centros de datos empresariales y el proveedor de alojamiento en la nube de Microsoft, Azure, lo que convierte a Azure en una extensión perfecta de la red empresarial. Citrix ADC cifra la conexión entre el centro de datos empresarial y la nube de Azure para que todos los datos transferidos entre ambos sean seguros.

Cómo funciona el túnel de CloudBridge Connector

Para conectar un centro de datos a la nube de Azure, configure un túnel de CloudBridge Connector entre un dispositivo Citrix ADC que reside en el centro de datos y una Gateway que reside en la nube de Azure. El dispositivo Citrix ADC en el centro de datos y la Gateway en la nube de Azure son los puntos finales del túnel de CloudBridge Connector y se denominan pares del túnel de CloudBridge Connector.

Imagen localizada

Un túnel de CloudBridge Connector entre un centro de datos y la nube de Azure utiliza el conjunto de protocolos de seguridad de protocolo Internet (IPSec) de estándar abierto, en modo túnel, para proteger las comunicaciones entre pares en el túnel de CloudBridge Connector. En un túnel de CloudBridge Connector, IPSec garantiza:

Integridad de los datos
Autenticación de origen de datos
Confidencialidad de los datos (cifrado)
Protección contra ataques de repetición

IPSec utiliza el modo de túnel en el que se cifra y, a continuación, se encapsula el paquete IP completo. El cifrado utiliza el protocolo Encapsulating Security Payload (ESP), que garantiza la integridad del paquete mediante una función hash HMAC y garantiza la confidencialidad mediante un algoritmo de cifrado. El protocolo ESP, después de cifrar la carga útil y calcular el HMAC, genera un encabezado ESP y lo inserta antes del paquete IP cifrado. El protocolo ESP también genera un remolque ESP y lo inserta al final del paquete.

A continuación, el protocolo IPSec encapsula el paquete resultante agregando un encabezado IP antes del encabezado ESP. En el encabezado IP, la dirección IP de destino se establece en la dirección IP del par CloudBridge Connecter.

Los pares del túnel de CloudBridge Connector utilizan el protocolo de intercambio de claves de Internet versión 1 (IKEv1) (parte del conjunto de protocolos IPSec) para negociar la comunicación segura, como se indica a continuación:

Los dos pares se autentican mutuamente, mediante la autenticación de clave previamente compartida, en la que los pares intercambian una cadena de texto denominada clave previamente compartida (PSK). Las claves previamente compartidas se comparan entre sí para la autenticación. Por lo tanto, para que la autenticación sea correcta, debe configurar la misma clave previamente compartida en cada uno de los pares.
A continuación, los pares negocian para llegar a un acuerdo sobre:
- Un algoritmo de cifrado
- Claves criptográficas para cifrar datos en un par y descifrarlos en el otro.
Este acuerdo sobre el protocolo de seguridad, el algoritmo de cifrado y las claves criptográficas se denomina Asociación de Seguridad (SA). Las SA son unidireccionales (simplex). Por ejemplo, cuando se configura un túnel de CloudBridge Connector entre un dispositivo Citrix ADC en un centro de datos y una Gateway en una nube de Azure, tanto el dispositivo del centro de datos como la Gateway de Azure tienen dos SA. Una SA se utiliza para procesar paquetes de salida y la otra SA se utiliza para procesar paquetes de entrada. Las SA caducan después de un intervalo de tiempo especificado, que se denomina duración.

Ejemplo de configuración del túnel de CloudBridge Connector y flujo de datos

Como ilustración de CloudBridge Connector Tunnel, considere un ejemplo en el que se configura un túnel de CloudBridge Connector entre el dispositivo CB_Appliance-1 de Citrix ADC en un centro de datos y una Gateway Azure_Gateway-1 en la nube de Azure.

CB_Appliance-1 también funciona como un enrutador L3, lo que permite que una red privada en el centro de datos llegue a una red privada en la nube de Azure a través del túnel CloudBridge Connector. Como enrutador, CB_Appliance-1 permite la comunicación entre el cliente CL1 en el centro de datos y el servidor S1 en la nube de Azure a través del túnel CloudBridge Connector. El cliente CL1 y el servidor S1 están en diferentes redes privadas.

En CB_Appliance-1, la configuración del túnel de CloudBridge Connector incluye una entidad de perfil IPSec denominada CB_Azure_IPSEC_Profile, una entidad de túnel de CloudBridge Connector denominada CB_Azure_Tunnel y una entidad de redirección basada en directivas (PBR) denominada CB_Azure_PBR.

La entidad de perfil IPSec CB_Azure_IPSec_Profile especifica los parámetros del protocolo IPSec, como la versión IKE, el algoritmo de cifrado y el algoritmo hash, que utilizará el protocolo IPSec en el túnel del conector de CloudBridge. CB_Azure_IPSec_Profile está enlazado a la entidad de túnel IP CB_Azure_tunnel.

La entidad de túnel del conector de CloudBridge CB_Azure_tunnel especifica la dirección IP local (una dirección IP pública (SNIP) configurada en el dispositivo Citrix ADC), la dirección IP remota (la dirección IP de Azure_Gateway-1) y el protocolo (IPSec) utilizado para configurar el túnel del conector de CloudBridge. CB_Azure_tunnel está enlazado a la entidad PBR CB_Azure_PBR.

La entidad PBR CB_Azure_PBR especifica un conjunto de condiciones y una entidad de túnel CloudBridge Connector (CB_Azure_Tunnel). El intervalo de direcciones IP de origen y el intervalo de direcciones IP de destino son las condiciones para CB_Azure_PBR. El intervalo de direcciones IP de origen y el intervalo de direcciones IP de destino se especifican como una subred en el centro de datos y una subred en la nube de Azure, respectivamente. Cualquier paquete de solicitud procedente de un cliente de la subred del centro de datos y destinado a un servidor de la subred de la nube de Azure coincide con las condiciones de CB_Azure_PBR. A continuación, este paquete se considera para el procesamiento de CloudBridge y se envía a través del túnel de CloudBridge Connector (CB_Azure_Tunnel) vinculado a la entidad PBR.

En Microsoft Azure, la configuración del túnel de CloudBridge Connector incluye una entidad de red local denominada My-Datacenter-Network, una entidad de red virtual denominada Azure-Network-for-CloudBridge-Tunnel y una Gateway denominada Azure_Gateway-1.

La entidad de red local (local de Azure) My-Datacenter-Network especifica la dirección IP del dispositivo Citrix ADC en el lado del centro de datos y la subred del centro de datos cuyo tráfico va a atravesar el túnel de CloudBridge Connector. La entidad de red virtual Azure-Network-for-CloudBridge-Tunnel define una subred privada denominada Azure-Subnet-1 en Azure. El tráfico de la subred atraviesa el túnel CloudBridge Connector. El servidor S1 se aprovisiona en esta subred.

La entidad de red local My-Datacenter-Network está asociada a la entidad de red virtual Azure-Network-for-CloudBridge-Tunnel. Esta asociación define los detalles de red local y remota de la configuración del túnel de CloudBridge Connector en Azure. Gateway Azure_Gateway-1 se creó para que esta asociación se convirtiera en el punto final de CloudBridge en el extremo de Azure del túnel de CloudBridge Connector.

Imagen localizada

Para obtener más información sobre la configuración, consulte el pdf Configuración del túnel de CloudBridge Connector .

Puntos a tener en cuenta para una configuración de túnel de CloudBridge Connector

Antes de configurar un túnel de CloudBridge Connector entre un dispositivo Citrix ADC en el centro de datos y Microsoft Azure, tenga en cuenta los siguientes puntos:

El dispositivo Citrix ADC debe tener una dirección IPv4 pública (tipo SNIP) para utilizarla como dirección de punto final del túnel para el túnel CloudBridge Connector. Además, el dispositivo Citrix ADC no debe estar detrás de un dispositivo NAT.
Azure admite la siguiente configuración de IPSec para un túnel de CloudBridge Connector. Por lo tanto, debe especificar la misma configuración de IPSec al configurar Citrix ADC para el túnel de CloudBridge Connector.
- Versión IKE = v1
- Algoritmo de cifrado = AES
- Algoritmo hash = HMAC SHA1
Debe configurar el firewall en el borde del centro de datos para permitir lo siguiente.
- Cualquier paquete UDP para el puerto 500
- Cualquier paquete UDP para el puerto 4500
- Cualquier paquete ESP (protocolo IP número 50)
No se admite la reconversión de claves IKE, que es la renegociación de nuevas claves criptográficas entre los puntos finales del túnel de CloudBridge Connector para establecer nuevas SA. Cuando caducan las asociaciones de seguridad (SA), el túnel pasa al estado DOWN. Por lo tanto, debe establecer un valor muy grande para las vidas de las SA.
Debe configurar Microsoft Azure antes de especificar la configuración del túnel en Citrix ADC, porque la dirección IP pública del extremo (Gateway) de Azure del túnel y el PSK se generan automáticamente al configurar la configuración del túnel en Azure. Necesita esta información para especificar la configuración del túnel en Citrix ADC.

Configuración del túnel de CloudBridge Connector

Para configurar un túnel de CloudBridge Connector entre el centro de datos y Azure, debe instalar CloudBridge VPX/MPX en el centro de datos, configurar Microsoft Azure para el túnel de CloudBridge Connector y, a continuación, configurar el dispositivo Citrix ADC en el centro de datos para el túnel de CloudBridge Connector.

La configuración de un túnel de CloudBridge Connector entre un dispositivo Citrix ADC en el centro de datos y Microsoft Azure consiste en las siguientes tareas:

Configuración del dispositivo Citrix ADC en el centro de datos. Esta tarea implica la implementación y configuración de un dispositivo físico Citrix ADC (MPX) o el Provisioning y configuración de un dispositivo virtual Citrix ADC (VPX) en una plataforma de virtualización del centro de datos.
Configuración de Microsoft Azure para el túnel de CloudBridge Connector. Esta tarea implica la creación de entidades de red local, red virtual y Gateway en Azure. La entidad de red local especifica la dirección IP del punto final del túnel de CloudBridge Connector (el dispositivo Citrix ADC) en el lado del centro de datos y la subred del centro de datos cuyo tráfico va a atravesar el túnel de CloudBridge Connector. La red virtual define una red en Azure. La creación de la red virtual incluye la definición de una subred cuyo tráfico es atravesar el túnel de CloudBridge Connector que se va a formar. A continuación, asocie la red local con la red virtual. Por último, se crea una Gateway que se convierte en el punto final en el extremo de Azure del túnel de CloudBridge Connector.
Configuración del dispositivo Citrix ADC en el centro de datos para el túnel de CloudBridge Connector. Esta tarea implica la creación de un perfil IPSec, una entidad de túnel IP y una entidad PBR en el dispositivo Citrix ADC en el centro de datos. La entidad de perfil IPSec especifica los parámetros del protocolo IPSec, como la versión IKE, el algoritmo de cifrado, el algoritmo hash y PSK, que se utilizarán en el túnel de CloudBridge Connector. El túnel IP especifica la dirección IP de los puntos finales del túnel de CloudBridge Connector (el dispositivo Citrix ADC en el centro de datos y la Gateway en Azure) y el protocolo que se utilizará en el túnel de CloudBridge Connector. A continuación, asocie la entidad de perfil IPSec con la entidad de túnel IP. La entidad PBR especifica las dos subredes, en el centro de datos y en la nube de Azure, que deben comunicarse entre sí a través del túnel CloudBridge Connector. A continuación, asocie la entidad de túnel IP con la entidad PBR.

Configuración de Microsoft Azure para el túnel de CloudBridge Connector

Para crear una configuración de túnel de CloudBridge Connector en Microsoft Azure, utilice el Portal de administración de Microsoft Windows Azure, que es una interfaz gráfica basada en web para crear y administrar recursos en Microsoft Azure.

Antes de comenzar la configuración del túnel de CloudBridge Connector en la nube de Azure, asegúrese de que:

Tiene una cuenta de usuario para Microsoft Azure.
Tiene un conocimiento conceptual de Microsoft Azure.
Está familiarizado con el Portal de administración de Microsoft Windows Azure.

Para configurar un túnel de CloudBridge Connector entre un centro de datos y una nube de Azure, realice las siguientes tareas en Microsoft Azure mediante el Portal de administración de Microsoft Windows Azure:

Cree una entidad de red local. Cree una entidad de red local en Windows Azure para especificar los detalles de red del centro de datos. Una entidad de red local especifica la dirección IP del punto final del túnel de CloudBridge Connector (Citrix ADC) en el lado del centro de datos y la subred del centro de datos cuyo tráfico va a atravesar el túnel de CloudBridge Connector.
Crear una red virtual. Cree una entidad de red virtual que defina una red en Azure. Esta tarea incluye definir un espacio de direcciones privado, donde se proporciona un rango de direcciones privadas y subredes pertenecientes al rango especificado en el espacio de direcciones. El tráfico de las subredes atravesará el túnel CloudBridge Connector. A continuación, asociará una entidad de red local con la entidad de red virtual. Esta asociación permite a Azure crear una configuración para un túnel de CloudBridge Connector entre la red virtual y la red del centro de datos. Una Gateway (que se creará) en Azure para esta red virtual será el punto final de CloudBridge en el extremo de Azure del túnel de CloudBridge Connector. A continuación, defina una subred privada para la Gateway que se va a crear. Esta subred pertenece al intervalo especificado en el espacio de direcciones de la entidad de red virtual.
Cree una Gateway en Windows Azure. Cree una Gateway que se convierta en el punto final en el extremo de Azure del túnel de CloudBridge Connector. Azure, desde su grupo de direcciones IP públicas, asigna una dirección IP a la Gateway creada.
Reúna la dirección IP pública de la Gateway y la clave previamente compartida. Para una configuración de túnel de CloudBridge Connector en Azure, Azure genera automáticamente la dirección IP pública de la Gateway y la clave previamente compartida (PSK). Tome nota de esta información. Lo necesitará para configurar el túnel de CloudBridge Connector en el Citrix ADC en el centro de datos.

Nota:

Los procedimientos para configurar Microsoft Azure para un túnel de CloudBridge Connector pueden cambiar con el tiempo, dependiendo del ciclo de lanzamiento de Microsoft Azure. Para obtener los procedimientos más recientes, consulte la documentación de Microsoft Azure.

Configuración de Citrix ADC Appliance en el centro de datos para el túnel de CloudBridge Connector

Para configurar un túnel de CloudBridge Connector entre un centro de datos y una nube de Azure, realice las siguientes tareas en el Citrix ADC en el centro de datos. Puede usar la línea de comandos Citrix ADC o la GUI:

Cree un perfil IPSec. Una entidad de perfil IPSec especifica los parámetros del protocolo IPSec, como la versión IKE, el algoritmo de cifrado, el algoritmo hash y PSK, que utilizará el protocolo IPSec en el túnel de CloudBridge Connector.
Cree un túnel IP con el protocolo IPSec y asocie el perfil IPSec a él. Un túnel IP especifica la dirección IP local (una dirección SNIP pública configurada en el dispositivo Citrix ADC), la dirección IP remota (la dirección IP pública de la Gateway en Azure), el protocolo (IPSec) utilizado para configurar el túnel CloudBridge Connector y una entidad de perfil IPSec. La entidad de túnel IP creada también se denomina entidad de túnel CloudBridge Connector.
Cree una regla PBR y asocie el túnel IP a ella. Una entidad PBR especifica un conjunto de condiciones y una entidad de túnel IP (túnel CloudBridge Connector). El intervalo de direcciones IP de origen y el intervalo IP de destino son las condiciones para la entidad PBR. Debe establecer el intervalo de direcciones IP de origen para especificar la subred del centro de datos cuyo tráfico va a atravesar el túnel, y el intervalo de direcciones IP de destino para especificar la subred de Azure cuyo tráfico va a atravesar el túnel de CloudBridge Connector. Cualquier paquete de solicitud originado desde un cliente de la subred del centro de datos y destinado a un servidor de la subred de la nube de Azure coincide con el rango IP de origen y destino de la entidad PBR. Este paquete se considera entonces para el procesamiento del túnel de CloudBridge Connector y se envía a través del túnel de CloudBridge Connector asociado con la entidad PBR.

La interfaz gráfica de usuario combina todas estas tareas en un único asistente denominado asistente de CloudBridge Connector. Para crear un perfil IPSEC mediante la línea de comandos de Citrix ADC:

En el símbolo del sistema, escriba:

add ipsec profile <name> -psk <string> -ikeVersion v1

Para crear un túnel IPSEC y enlazar el perfil IPSEC con él mediante la línea de comandos de Citrix ADC:

En el símbolo del sistema, escriba:

add ipTunnel <name> <remote> <remoteSubnetMask> <local> -protocol IPSEC –ipsecProfileName <string>

Para crear una regla PBR y enlazar el túnel IPSEC con ella mediante la línea de comandos de Citrix ADC

add pbr <pbrName> ALLOW –srcIP <subnet-range> -destIP <subnet-range> ipTunnel <tunnelName> apply pbrs

Configuración de ejemplo

Los siguientes comandos crean toda la configuración del dispositivo Citrix ADC CB_Appliance-1 utilizado en “Ejemplo de configuración y flujo de datos de CloudBridge Connector”.

> add ipsec profile CB_Azure_IPSec_Profile -psk  DkiMgMdcbqvYREEuIvxsbKkW0FOyDiLM  -ikeVersion v1 –lifetime 31536000
Done

>  add iptunnel CB_Azure_Tunnel 168.63.252.133 255.255.255.255 66.165.176.15 –protocol IPSEC –ipsecProfileName CB_Azure_IPSec_Profile
Done

> add pbr CB_Azure_Pbr -srcIP 10.102.147.0-10.102.147.255 –destIP 10.20.0.0-10.20.255.255 –ipTunnelCB_Azure_Tunnel
Done

> apply pbrs
Done
<!--NeedCopy-->

Para configurar un túnel de CloudBridge Connector en un dispositivo Citrix ADC mediante la interfaz gráfica de usuario

Acceda a la GUI mediante un explorador web para conectarse a la dirección IP del dispositivo Citrix ADC en el centro de datos.
Vaya a Sistema > Conector de CloudBridge.
En el panel derecho, en Introducción, haga clic en Crear/Supervisar CloudBridge.
Haga clic en Get Started.

Nota: Si ya tiene configurado un túnel de CloudBridge Connector en el dispositivo Citrix ADC, esta pantalla no aparece y se le lleva al panel Configuración de CloudBridge Connector.
En el panel Configuración de CloudBridge, haga clic en Microsoft Windows Azure.
En el panel Configuración de Azure, en el campo Dirección IP de puerta de enlace, escriba la dirección IP de la puerta de enlace de Azure. A continuación, el túnel de CloudBridge Connector se configura entre el dispositivo Citrix ADC y la Gateway. En los cuadros de texto Subred (Rango IP), especifique un rango de subred (en la nube de Azure) cuyo tráfico atraviesa el túnel de CloudBridge Connector. Haga clic en Continuar.
En el panel Configuración de Citrix ADC, en la lista desplegable IP de subred local, seleccione una dirección SNIP accesible públicamente configurada en el dispositivo Citrix ADC. En los cuadros de texto Subred (Rango IP), especifique un rango de subred local cuyo tráfico atraviesa el túnel de CloudBridge Connector. Haga clic en Continuar.
En el panel Configuración de CloudBridge, en el cuadro de texto Nombre de CloudBridge, escriba un nombre para el CloudBridge que quiera crear.
En las listas desplegables Algoritmo de cifrado y Algoritmo hash, seleccione los algoritmos AES y HMAC_SHA1, respectivamente. En el cuadro de texto Clave de seguridad previamente compartida, escriba la clave de seguridad.
Haga clic en Done.

Supervisión del túnel de CloudBridge Connector

Puede ver estadísticas para supervisar el rendimiento de un túnel de CloudBridge Connector entre el dispositivo Citrix ADC en el centro de datos y Microsoft Azure. Para ver las estadísticas del túnel de CloudBridge Connector en el dispositivo Citrix ADC, utilice la línea de comandos GUI o Citrix ADC. Para ver las estadísticas del túnel de CloudBridge Connector en Microsoft Azure, utilice el Portal de administración de Microsoft Windows Azure.

Visualización de estadísticas del túnel de CloudBridge Connector en el dispositivo Citrix ADC

Para obtener información sobre cómo mostrar estadísticas de túnel de CloudBridge Connector en un dispositivo Citrix ADC, consulte Supervisión de túneles de CloudBridge Connector.

Visualización de estadísticas del túnel de CloudBridge Connector en Microsoft Azure

En la siguiente tabla se enumeran los contadores estadísticos disponibles para supervisar los túneles de CloudBridge Connector en Microsoft Azure.

Contador estadístico	Especifica
DATOS EN	Número total de kilobytes recibidos por la Gateway de Azure a través del túnel de CloudBridge Connector desde que se creó la Gateway.
SALIDA DE DATOS	Número total de kilobytes enviados por la Gateway de Azure a través del túnel de CloudBridge Connector desde que se creó la Gateway.

Para mostrar las estadísticas del túnel de CloudBridge Connector mediante el Portal de administración de Microsoft Windows Azure

Inicie sesión en el portal de administración de Windows Azure mediante las credenciales de su cuenta de Microsoft Azure.
En el panel izquierdo, haga clic en REDES.
En la ficha Red virtual, en la columna Nombre, seleccione la entidad de red virtual asociada a un túnel de CloudBridge Connector cuyas estadísticas quiere mostrar.
En la página DASHboard de la red virtual, vea los contadores DATA IN y DATA OUT del túnel CloudBridge Connector.

La versión oficial de este contenido está en inglés. Para mayor comodidad, parte del contenido de la documentación de Cloud Software Group solo tiene traducción automática. Cloud Software Group no puede controlar el contenido con traducción automática, que puede contener errores, imprecisiones o un lenguaje inadecuado. No se ofrece ninguna garantía, ni implícita ni explícita, en cuanto a la exactitud, la fiabilidad, la idoneidad o la precisión de las traducciones realizadas del original en inglés a cualquier otro idioma, o que su producto o servicio de Cloud Software Group se ajusten a cualquier contenido con traducción automática, y cualquier garantía provista bajo el contrato de licencia del usuario final o las condiciones de servicio, o cualquier otro contrato con Cloud Software Group, de que el producto o el servicio se ajusten a la documentación no se aplicará en cuanto dicha documentación se ha traducido automáticamente. Cloud Software Group no se hace responsable de los daños o los problemas que puedan surgir del uso del contenido traducido automáticamente.

Configuración de un túnel de CloudBridge Connector entre un centro de datos y la nube de Azure

June 2, 2022

Contribución de:

June 2, 2022

Contribución de:

En este artículo

Cómo funciona el túnel de CloudBridge Connector
Ejemplo de configuración del túnel de CloudBridge Connector y flujo de datos
Puntos a tener en cuenta para una configuración de túnel de CloudBridge Connector
Configuración del túnel de CloudBridge Connector
Supervisión del túnel de CloudBridge Connector