Documentación de productos
ADC
14.1 - Current Release 13.1 13.0 12.1
Ver PDF

Entorno de firewalls múltiples

May 9, 2023
Contribución de: 
C

En un entorno de varios firewalls, el dispositivo NetScaler se coloca entre dos conjuntos de firewalls, el conjunto externo que se conecta a la Internet pública y el conjunto interno que se conecta a la red privada interna. El conjunto externo normalmente gestiona el tráfico de salida. Estos firewalls implementan principalmente listas de control de acceso para permitir o denegar el acceso a recursos externos. El conjunto interno normalmente gestiona el tráfico de entrada. Estos firewalls implementan medidas de seguridad para proteger la intranet de los ataques malintencionados, además de equilibrar la carga del tráfico de entrada. El entorno de varios firewalls le permite equilibrar la carga del tráfico que proviene de otro firewall. De forma predeterminada, el tráfico que proviene de un firewall no está equilibrado de carga en el otro firewall de un dispositivo NetScaler. Tener el equilibrio de carga del firewall activado en ambos lados de NetScaler mejora el flujo de tráfico tanto en la dirección de salida como en la de entrada y garantiza un procesamiento más rápido del tráfico.

La siguiente ilustración muestra un entorno de equilibrio de carga de varios firewall

Figura 1. Equilibrio de carga de firewall (varios firewalls)

Entorno de firewalls múltiples

Con una configuración como la que se muestra en la figura 1, puede configurar NetScaler para equilibrar la carga del tráfico a través de un firewall interno, incluso si lo equilibra la carga mediante un firewall externo. Por ejemplo, con esta función configurada, el tráfico que proviene de los firewalls externos (firewalls 1, 2 y 3) se equilibra en carga en los firewalls internos (firewalls 4, 5 y 6) y viceversa.

El equilibrio de carga del firewall solo se admite para el servidor virtual LB en modo MAC.

El tipo de servicio ANY configura NetScaler para que acepte todo el tráfico.

Para aprovechar las ventajas relacionadas con HTTP y TCP, configure el servicio y el servidor virtual con el tipo HTTP o TCP. Para que funcione FTP, configure el servicio con el tipo FTP.

Configuración de NetScaler en un entorno de varios firewalls

Para configurar un dispositivo NetScaler en un entorno de varios firewalls, debe habilitar la función de equilibrio de carga, configurar un servidor virtual para equilibrar la carga del tráfico de salida a través de los firewalls externos, configurar un servidor virtual para equilibrar la carga del tráfico de entrada en los firewalls internos y habilitar el equilibrio de carga del firewall en el dispositivo NetScaler. Para configurar un servidor virtual para equilibrar la carga del tráfico a través de un firewall en un entorno de varios firewalls, debe:

  1. Configurar un servicio comodín para cada firewall
  2. Configurar un monitor para cada servicio comodín
  3. Configurar un servidor virtual comodín para equilibrar la carga del tráfico enviado a los firewalls
  4. Configurar el servidor virtual en modo de reescritura MAC
  5. Enlazar los servicios de firewall al servidor virtual comodín

Habilitar la función de equilibrio de carga

Para configurar e implementar entidades de equilibrio de carga, como servicios y servidores virtuales, debe habilitar la función de equilibrio de carga en el dispositivo NetScaler.

Para habilitar el equilibrio de carga mediante la CLI:

En el símbolo del sistema, escriba el siguiente comando para habilitar el equilibrio de carga y verificar la configuración:

enable ns feature <featureName>
show ns feature
<!--NeedCopy-->

Ejemplo:

enable ns feature LoadBalancing
Done
show ns feature
Feature Acronym Status
------- ------- ------
1) Web Logging WL OFF
2) Surge Protection SP ON
3) Load Balancing LB ON
.
.
.
24) NetScaler Push push OFF
Done
<!--NeedCopy-->

Para habilitar el equilibrio de carga mediante la interfaz gráfica de usuario:

  1. En el panel de navegación, expanda Sistema y, a continuación, haga clic en Configuración.
  2. En el panel de configuración, en Modos y funciones, haga clic en Cambiar funciones básicas.
  3. En el cuadro de diálogo Configurar funciones básicas, active la casilla Equilibrio de carga y, a continuación, haga clic en Aceptar.

Configuración de un servicio comodín para cada firewall

Para aceptar el tráfico de todos los protocolos, debe configurar el servicio comodín para cada firewall especificando la compatibilidad con todos los protocolos y puertos.

Para configurar un servicio comodín para cada firewall mediante la CLI:

En la línea de comandos, escriba el siguiente comando para configurar la compatibilidad con todos los protocolos y puertos:

add service <name>@ <serverName> <serviceType> <port_number>
<!--NeedCopy-->

Ejemplo:

add service fw-svc1 10.102.29.5 ANY *
<!--NeedCopy-->

Para configurar un servicio comodín para cada firewall mediante la interfaz gráfica de usuario:

  1. Vaya a Traffic Management > Load Balancing > Services.

  2. En el panel de detalles, haga clic en Agregar.

  3. En el cuadro de diálogo Crear servicios, especifique los valores para los siguientes parámetros, tal como se muestra:

    • Nombre del servicio: nombre
    • server—nombreDeServidor

    -* Un parámetro obligatorio

  4. En Protocolo, seleccione Cualquiera y en Puerto, seleccione *.

  5. Haga clic en Creary, a continuación, en Cerrar. El servicio que creó aparece en el panel Servicios.

Configuración de un monitor para cada servicio

Un monitor PING está enlazado de forma predeterminada al servicio. Deberá configurar un monitor transparente para monitorear los hosts en el lado de confianza a través de firewalls individuales. A continuación, puede vincular el monitor transparente a los servicios. El monitor PING predeterminado supervisa la conectividad solo entre el dispositivo NetScaler y el dispositivo ascendente. El monitor transparente supervisa todos los dispositivos existentes en la ruta desde el dispositivo hasta el dispositivo que posee la dirección IP de destino especificada en el monitor. Si no se configura un monitor transparente y el estado del firewall es ACTIVO, pero uno de los dispositivos de siguiente salto de ese firewall está inactivo, el dispositivo incluye el firewall mientras realiza el equilibrio de carga y reenvía el paquete al firewall. Sin embargo, el paquete no se entrega al destino final porque uno de los dispositivos del siguiente salto está inactivo. Al vincular un monitor transparente, si alguno de los dispositivos (incluido el firewall) está inactivo, el servicio se marca como INACTIVO y el firewall no se incluye cuando el dispositivo realiza el equilibrio de carga del firewall.

La vinculación de un monitor transparente anulará el monitor PING. Para configurar un monitor PING además de un monitor transparente, después de crear y vincular un monitor transparente, debe vincular un monitor PING al servicio.

Para configurar un monitor transparente mediante la CLI:

En el símbolo del sistema, escriba los siguientes comandos para configurar un monitor transparente y verificar la configuración:

add lb monitor <monitorName> <type> [-destIP <ip_addr|ipv6_addr|*>] [-transparent (YES | NO )]
bind lb monitor <monitorName> <serviceName>
<!--NeedCopy-->

Ejemplo:

add monitor monitor-HTTP-1 HTTP -destip 10.10.10.11 -transparent YES
bind monitor monitor-HTTP-1 fw-svc1
<!--NeedCopy-->

El dispositivo NetScaler aprende los parámetros L2 del servidor del monitor que está enlazado al servicio. Para los monitores UDP-ECV, configure una cadena de recepción para permitir que el dispositivo aprenda los parámetros L2 del servidor. Si la cadena de recepción no está configurada y el servidor no responde, el dispositivo no aprende los parámetros L2, sino que el servicio está configurado en UP. El tráfico de este servicio está bloqueado.

Para configurar una cadena de recepción mediante la CLI:

En el símbolo del sistema, escriba el siguiente comando:

add lb monitor <monitorName> <type> [-destIP <ip_addr|ipv6_addr|*>] [-transparent (YES | NO )] [-send <string>] [-recv <string>]
<!--NeedCopy-->

Ejemplo:

add lb monitor monitor-udp-1 udp-ecv -destip 10.10.10.11 -transparent YES –send "test message" –recv "site_is_up"
<!--NeedCopy-->

Para crear y vincular un monitor transparente mediante la interfaz gráfica de usuario:

  1. Vaya a Administración del tráfico > Equilibrio de carga > Monitores.

  2. En el panel de detalles, haga clic en Agregar.

  3. En el cuadro de diálogo Crear monitor, especifique los valores de los siguientes parámetros, tal como se muestra:

    • Nombre*
    • Tipo*: tipo
    • IP de destino
    • Transparente

    -* Un parámetro obligatorio

  4. Haga clic en Creary, a continuación, en Cerrar. En el panel Monitores, seleccione el monitor que acaba de configurar y compruebe que la configuración que se muestra en la parte inferior de la pantalla es correcta.

Configuración de un servidor virtual para equilibrar la carga del tráfico enviado a los firewalls

Para equilibrar la carga de cualquier tipo de tráfico, debe configurar un servidor virtual comodín que especifique el protocolo y el puerto como cualquier valor.

Para configurar un servidor virtual para equilibrar la carga del tráfico enviado a los firewalls mediante la CLI:

En el símbolo del sistema, escriba el siguiente comando:

add lb vserver <name>@ <serviceType> <IPAddress> <port_number>
<!--NeedCopy-->

Ejemplo:

add lb vserver Vserver-LB-1 ANY * *
<!--NeedCopy-->

Para configurar un servidor virtual para equilibrar la carga del tráfico enviado a los firewalls mediante la interfaz gráfica de usuario:

  1. Vaya a Administración del tráfico > Equilibrio de carga > Servidores virtuales.
  2. En el panel de detalles, haga clic en Agregar.
  3. En Protocolo, seleccione Cualquiera y, en Dirección IP y puerto, seleccione *.
  4. Haga clic en Creary, a continuación, en Cerrar. El servidor virtual que creó aparece en el panel Servidores virtuales de equilibrio de carga.

Configuración del servidor virtual en modo de reescritura MAC

Para configurar el servidor virtual para que utilice la dirección MAC para reenviar el tráfico entrante, debe habilitar el modo de reescritura MAC.

Para configurar el servidor virtual en modo de reescritura MAC mediante la CLI:

En el símbolo del sistema, escriba el siguiente comando:

set lb vserver <name>@ -m <RedirectionMode>
<!--NeedCopy-->

Ejemplo:

set lb vserver Vserver-LB-1 -m MAC
<!--NeedCopy-->

Para configurar el servidor virtual en modo de reescritura MAC mediante la interfaz gráfica de usuario:

  1. Vaya a Administración del tráfico > Equilibrio de carga > Servidores virtuales.
  2. En el panel de detalles, seleccione el servidor virtual para el que desea configurar el modo de redirección (por ejemplo, vServer-LB1) y, a continuación, haga clic en Abrir.
  3. En la ficha Avanzado, en el modo Modo de redirección, haga clic en Abrir.
  4. Haga clic en Aceptar.

Enlazar los servicios de firewall al servidor virtual

Para acceder a un servicio en el dispositivo NetScaler, debe vincularlo a un servidor virtual comodín.

Para vincular los servicios de firewall al servidor virtual mediante la CLI:

En el símbolo del sistema, escriba el siguiente comando:

bind lb vserver <name>@ <serviceName>
<!--NeedCopy-->

Ejemplo:

bind lb vserver Vserver-LB-1 Service-HTTP-1
<!--NeedCopy-->

Para vincular los servicios de firewall al servidor virtual mediante la interfaz gráfica de usuario:

  1. Vaya a Administración del tráfico > Equilibrio de carga > Servidores virtuales.
  2. En el panel de detalles, seleccione el servidor virtual para el que desea configurar el modo de redirección (por ejemplo, vServer-LB1) y, a continuación, haga clic en Abrir.
  3. En el cuadro de diálogo Configurar servidor virtual (equilibrio de carga), en la ficha Servicios, active la casilla Activa situada junto al servicio que desea vincular al servidor virtual (por ejemplo, Service-HTTP-1).
  4. Haga clic en Aceptar.

Configuración del equilibrio de carga de varios firewalls en el dispositivo NetScaler

Para equilibrar la carga del tráfico en ambos lados de un NetScaler mediante el balanceo de carga del firewall, debe habilitar el equilibrio de carga multipl-firewall mediante el parámetro vServerSpeciMac.

Para configurar el equilibrio de carga de varios firewalls mediante la CLI:

En el símbolo del sistema, escriba el siguiente comando:

set lb parameter -vServerSpecificMac <status>
<!--NeedCopy-->

Ejemplo:

set lb parameter -vServerSpecificMac ENABLED
<!--NeedCopy-->

Para configurar el equilibrio de carga de varios firewalls mediante la GUI:

  1. Vaya a Administración del tráfico > Equilibrio de carga > Servidores virtuales.
  2. En el panel de detalles, seleccione el servidor virtual para el que desea configurar el modo de redirección (por ejemplo, configurar los parámetros de equilibrio de carga).
  3. En el cuadro de diálogo Establecer parámetros de equilibrio de carga, active la casilla MAC específica del servidor virtual.
  4. Haga clic en Aceptar.

Guardar y verificar la configuración

Cuando haya terminado las tareas de configuración, asegúrese de guardar la configuración. También debe comprobar que la configuración es correcta.

Para guardar y verificar la configuración mediante la CLI:

En el símbolo del sistema, escriba los siguientes comandos para configurar un monitor transparente y verificar la configuración:

  • guardar configuración ns
  • mostrar vserver

Ejemplo:

save config
show lb vserver FWLBVIP2
        FWLBVIP2 (\*:\*) - ANY    Type: ADDRESS
        State: UP
        Last state change was at Mon Jun 14 07:22:54 2010
        Time since last state change: 0 days, 00:00:32.760
        Effective State: UP
        Client Idle Timeout: 120 sec
        Down state flush: ENABLED
        Disable Primary Vserver On Down : DISABLED
        No. of Bound Services :  2 (Total)       2 (Active)
        Configured Method: LEASTCONNECTION
        Current Method: Round Robin, Reason: A new service is bound
        Mode: MAC
        Persistence: NONE
        Connection Failover: DISABLED

1) fw-int-svc1 (10.102.29.5: *) - ANY State: UP Weight: 1
2) fw-int-svc2 (10.102.29.9: \*) - ANY State: UP Weight: 1
 Done
show service fw-int-svc1
        fw-int-svc1 (10.102.29.5:\*) - ANY
        State: DOWN
        Last state change was at Thu Jul  8 14:44:51 2010
        Time since last state change: 0 days, 00:01:50.240
        Server Name: 10.102.29.5
        Server ID : 0   Monitor Threshold : 0
        Max Conn: 0     Max Req: 0      Max Bandwidth: 0 kbits
        Use Source IP: NO
        Client Keepalive(CKA): NO
        Access Down Service: NO
        TCP Buffering(TCPB): NO
        HTTP Compression(CMP): NO
        Idle timeout: Client: 120 sec   Server: 120 sec
        Client IP: DISABLED
        Cacheable: NO
        SC: OFF
        SP: OFF
        Down state flush: ENABLED

1)      Monitor Name: monitor-HTTP-1
                State: DOWN     Weight: 1
                Probes: 9       Failed [Total: 9 Current: 9]
                Last response: Failure - Time out during TCP connection establishment stage
                Response Time: 2000.0 millisec
2)      Monitor Name: ping
                State: UP       Weight: 1
                Probes: 3       Failed [Total: 0 Current: 0]
                Last response: Success - ICMP echo reply received.
                Response Time: 1.275 millisec
 Done
<!--NeedCopy-->

Para guardar y verificar la configuración mediante la interfaz gráfica de usuario:

  1. En el panel de detalles, haga clic en Guardar.
  2. En el cuadro de diálogo Guardar configuración, haga clic en Sí.
  3. Vaya a Administración del tráfico > Equilibrio de carga > Servidores virtuales.
  4. En el panel de detalles, seleccione el servidor virtual que creó en el paso 5 y compruebe que la configuración que se muestra en el panel Detalles es correcta.
  5. Vaya a Traffic Management > Load Balancing > Services.
  6. En el panel de detalles, seleccione el servicio que creó en el paso 5 y compruebe que la configuración que se muestra en el panel Detalles es correcta.

Supervisión de una configuración de equilibrio de carga de firewall en un entorno de varios firewalls

Una vez que la configuración esté en funcionamiento, debe ver las estadísticas de cada servicio y servidor virtual para comprobar si hay posibles problemas.

Visualización de las estadísticas de un servidor virtual

Para evaluar el rendimiento de los servidores virtuales o solucionar problemas, puede mostrar detalles de los servidores virtuales configurados en el dispositivo NetScaler. Puede mostrar un resumen de las estadísticas de todos los servidores virtuales o puede especificar el nombre de un servidor virtual para mostrar las estadísticas solo de ese servidor virtual. Puede mostrar los siguientes detalles:

  • Name
  • Dirección IP
  • Puerto
  • Protocolo
  • Estado del servidor virtual
  • Tasa de solicitudes recibidas
  • Tasa de aciertos

Para mostrar las estadísticas del servidor virtual mediante la interfaz de línea de comandos

Para mostrar un resumen de las estadísticas de todos los servidores virtuales actualmente configurados en el dispositivo NetScaler, o de un solo servidor virtual, en el símbolo del sistema, escriba:

stat lb vserver [-detail] [<name>]
<!--NeedCopy-->

Ejemplo:

>stat lb vserver -detail
Virtual Server(s) Summary
                      vsvrIP  port     Protocol        State    Req/s   Hits/s
One                        *    80         HTTP           UP      5/s      0/s
Two                        *     0          TCP         DOWN      0/s      0/s
Three                      *  2598          TCP         DOWN      0/s      0/s
dnsVirtualNS    10.102.29.90    53          DNS         DOWN      0/s      0/s
BRVSERV            10.10.1.1    80         HTTP         DOWN      0/s      0/s
LBVIP           10.102.29.66    80         HTTP           UP      0/s      0/s
 Done


<!--NeedCopy-->

Para mostrar las estadísticas del servidor virtual mediante la interfaz gráfica de usuario:

  1. Vaya a Administración del tráfico > Equilibrio de carga > Servidores virtuales > Estadísticas.
  2. Si desea mostrar las estadísticas de un solo servidor virtual, en el panel de detalles, seleccione el servidor virtual y haga clic en Estadísticas.

Visualización de las estadísticas de un servicio

Puede ver la tasa de solicitudes, respuestas, bytes de solicitud, bytes de respuesta, conexiones de clientes actuales, solicitudes en cola de sobretensión, conexiones de servidor actuales, etc. mediante las estadísticas de servicio.

Para ver las estadísticas de un servicio mediante la CLI:

En la línea de comandos, escriba:

stat service <name>
<!--NeedCopy-->

Ejemplo:

stat service Service-HTTP-1
<!--NeedCopy-->

Para ver las estadísticas de un servicio mediante la interfaz gráfica de usuario:

  1. Vaya a Administración del tráfico > Equilibrio de carga > Servicios > Estadísticas.
  2. Si desea mostrar las estadísticas de un solo servicio, selecciónelo y haga clic en Estadísticas.
Entorno de firewalls múltiples
May 9, 2023
Contribución de: 
C
May 9, 2023
Contribución de: 
C

En este artículo

Comentarios sobre el sitio | Your privacy choices footer linkSus opciones de privacidad | Condiciones legales y de privacidad | Preferencias de cookies | Parámetros de consentimiento | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.