ADC

Configuración de un túnel de CloudBridge Connector entre un centro de datos y la nube de Azure

May 9, 2023

Contribución de:

El dispositivo NetScaler proporciona conectividad entre los centros de datos empresariales y el proveedor de alojamiento en la nube de Microsoft, Azure, lo que convierte a Azure en una extensión perfecta de la red empresarial. NetScaler cifra la conexión entre el centro de datos empresarial y la nube de Azure para que todos los datos transferidos entre ambos estén seguros.

Cómo funciona el túnel CloudBridge Connector

Para conectar un centro de datos a la nube de Azure, configure un túnel de CloudBridge Connector entre un dispositivo NetScaler que reside en el centro de datos y una puerta de enlace que reside en la nube de Azure. El dispositivo NetScaler del centro de datos y la puerta de enlace de la nube de Azure son los puntos finales del túnel CloudBridge Connector y se denominan pares del túnel CloudBridge Connector.

Imagen traducida

Un túnel de CloudBridge Connector entre un centro de datos y la nube de Azure utiliza el conjunto de protocolos de seguridad del protocolo de Internet (IPsec) de estándar abierto, en modo túnel, para proteger las comunicaciones entre pares en el túnel CloudBridge Connector. En un túnel de CloudBridge Connector, IPSec garantiza:

Integridad de datos
autenticación de origen de datos
Confidencialidad de los datos (cifrado)
Protección contra los ataques de repetición

IPSec utiliza el modo túnel en el que se cifra el paquete IP completo y, a continuación, se encapsula. El cifrado utiliza el protocolo Encapsulating Security Payload (ESP), que garantiza la integridad del paquete mediante una función de hash HMAC y garantiza la confidencialidad mediante un algoritmo de cifrado. El protocolo ESP, después de cifrar la carga útil y calcular el HMAC, genera un encabezado ESP y lo inserta antes del paquete IP cifrado. El protocolo ESP también genera un tráiler ESP y lo inserta al final del paquete.

A continuación, el protocolo IPSec encapsula el paquete resultante añadiendo un encabezado IP antes del encabezado ESP. En el encabezado IP, la dirección IP de destino se establece en la dirección IP del par de CloudBridge Connecter.

Los pares del túnel CloudBridge Connector utilizan el protocolo Internet Key Exchange versión 1 (IKEv1) (que forma parte del conjunto de protocolos IPSec) para negociar una comunicación segura, de la siguiente manera:

Los dos pares se autentican mutuamente mediante la autenticación de clave previamente compartida, en la que los pares intercambian una cadena de texto denominada clave precompartida (PSK). Las claves previamente compartidas se comparan entre sí para la autenticación. Por lo tanto, para que la autenticación se realice correctamente, debe configurar la misma clave previamente compartida en cada uno de los pares.
Luego, los pares negocian para llegar a un acuerdo sobre:
- Un algoritmo de cifrado
- Claves criptográficas para cifrar datos en un par y descifrarlos en el otro.
Este acuerdo sobre el protocolo de seguridad, el algoritmo de cifrado y las claves criptográficas se denomina Asociación de Seguridad (SA). Los SA son unidireccionales (simples). Por ejemplo, cuando se configura un túnel de CloudBridge Connector entre un dispositivo NetScaler en un centro de datos y una puerta de enlace en una nube de Azure, tanto el dispositivo del centro de datos como la puerta de enlace de Azure tienen dos SA. Una SA se usa para procesar paquetes salientes y la otra SA se usa para procesar paquetes entrantes. Los SA caducan después de un intervalo de tiempo específico, que se denomina vida útil.

Ejemplo de configuración del túnel de CloudBridge Connector y flujo de datos

Como ilustración del túnel de CloudBridge Connector, considere un ejemplo en el que se configura un túnel de CloudBridge Connector entre el dispositivo NetScaler CB_Appliance-1 en un centro de datos y la puerta de enlace Azure_Gateway-1 en la nube de Azure.

El CB_Appliance-1 también funciona como un enrutador L3, lo que permite que una red privada del centro de datos llegue a una red privada en la nube de Azure a través del túnel CloudBridge Connector. Como enrutador, CB_Appliance-1 permite la comunicación entre el cliente CL1 del centro de datos y el servidor S1 de la nube de Azure a través del túnel CloudBridge Connector. El cliente CL1 y el servidor S1 están en diferentes redes privadas.

En CB_Appliance-1, la configuración del túnel de CloudBridge Connector incluye una entidad de perfil IPSec denominada CB_Azure_IPSEC_Profile, una entidad de túnel de CloudBridge Connector denominada CB_Azure_Tunnel y una entidad de redirección basada en directivas (PBR) denominada CB_Azure_PBR.

La entidad de perfil IPSec cb_Azure_IPSec_Profile especifica los parámetros del protocolo IPSec, como la versión de IKE, el algoritmo de cifrado y el algoritmo de hash, que utilizará el protocolo IPSec en el túnel CloudBridge Connector. CB_Azure_IPSec_Profile está enlazado a la entidad de túnel IP CB_Azure_Tunnel.

La entidad del túnel de CloudBridge Connector CB_Azure_Tunnel especifica la dirección IP local (una dirección IP pública (SNIP) configurada en el dispositivo NetScaler), la dirección IP remota (la dirección IP del Azure_Gateway-1) y el protocolo (IPSec) utilizado para configurar el túnel CloudBridge Connector. CB_Azure_Tunnel está enlazado a la entidad PBR CB_Azure_PBR.

La entidad PBR CB_Azure_PBR especifica un conjunto de condiciones y una entidad de túnel de CloudBridge Connector (CB_Azure_Tunnel). El intervalo de direcciones IP de origen y el intervalo de direcciones IP de destino son las condiciones de CB_Azure_PBR. El rango de direcciones IP de origen y el rango de direcciones IP de destino se especifican como una subred en el centro de datos y una subred en la nube de Azure, respectivamente. Cualquier paquete de solicitud que provenga de un cliente de la subred del centro de datos y esté destinado a un servidor de la subred de la nube de Azure coincide con las condiciones de CB_Azure_PBR. A continuación, este paquete se considera para el procesamiento de CloudBridge y se envía a través del túnel CloudBridge Connector (CB_Azure_Tunnel) enlazado a la entidad PBR.

En Microsoft Azure, la configuración del túnel de CloudBridge Connector incluye una entidad de red local denominada My-Datacenter-Network, una entidad de red virtual denominada Azure-Network-for-CloudBridge-Tunnel y una puerta de enlace denominada Azure_Gateway-1.

La entidad de red local (local en Azure) My-Datacenter-Network especifica la dirección IP del dispositivo NetScaler en el lado del centro de datos y la subred del centro de datos cuyo tráfico debe atravesar el túnel de CloudBridge Connector. La entidad de red virtual Azure-Network-for-CloudBridge-Tunnel define una subred privada denominada Azure-Subnet-1 en Azure. El tráfico de la subred atraviesa el túnel de CloudBridge Connector. El servidor S1 está aprovisionado en esta subred.

La entidad de red local My-Datacenter-Network está asociada a la entidad de red virtual Azure-Network-for-CloudBridge-Tunnel. Esta asociación define los detalles de la red remota y local de la configuración del túnel de CloudBridge Connector en Azure. Gateway Azure_Gateway-1 se creó para que esta asociación se convirtiera en el punto final de CloudBridge en el extremo de Azure del túnel de CloudBridge Connector.

Imagen traducida

Para obtener más información sobre la configuración, consulte el pdf Configuración del túnel de CloudBridge Connector .

Puntos a tener en cuenta para una configuración de túnel de CloudBridge Connector

Antes de configurar un túnel de CloudBridge Connector entre un dispositivo NetScaler del centro de datos y Microsoft Azure, tenga en cuenta los siguientes puntos:

El dispositivo NetScaler debe tener una dirección IPv4 de orientación pública (tipo SNIP) para utilizarla como dirección de punto final del túnel de CloudBridge Connector. Además, el dispositivo NetScaler no debe estar detrás de un dispositivo NAT.
Azure admite la siguiente configuración de IPSec para un túnel de CloudBridge Connector. Por lo tanto, debe especificar la misma configuración de IPSec al configurar NetScaler para el túnel CloudBridge Connector.
- Versión IKE = v1
- Algoritmo de cifrado = AES
- Algoritmo de hash = HMAC SHA1
Debe configurar el firewall en el borde del centro de datos para permitir lo siguiente.
- Cualquier paquete UDP para el puerto 500
- Cualquier paquete UDP para el puerto 4500
- Cualquier paquete ESP (protocolo IP número 50)
No se admite la recodificación de IKE, que consiste en la renegociación de nuevas claves criptográficas entre los puntos finales del túnel CloudBridge Connector para establecer nuevas SA. Cuando las asociaciones de seguridad (SA) caducan, el túnel pasa al estado INACTIVO. Por lo tanto, debe establecer un valor muy elevado para la vida útil de las SA.
Debe configurar Microsoft Azure antes de especificar la configuración del túnel en NetScaler, ya que la dirección IP pública del extremo de Azure (puerta de enlace) del túnel y el PSK se generan automáticamente al configurar la configuración del túnel en Azure. Necesita esta información para especificar la configuración del túnel en NetScaler.

Configuración del túnel CloudBridge Connector

Para configurar un túnel de CloudBridge Connector entre su centro de datos y Azure, debe instalar CloudBridge VPX/MPX en su centro de datos, configurar Microsoft Azure para el túnel CloudBridge Connector y, a continuación, configurar el dispositivo NetScaler en el centro de datos para el túnel CloudBridge Connector.

La configuración de un túnel de CloudBridge Connector entre un dispositivo NetScaler en un centro de datos y Microsoft Azure consiste en las siguientes tareas:

Configuración del dispositivo NetScaler en elcentro de datos. Esta tarea implica implementar y configurar un dispositivo físico de NetScaler (MPX) o aprovisionar y configurar un dispositivo virtual NetScaler (VPX) en una plataforma de virtualización del centro de datos.
Configuración de Microsoft Azure para el túnel CloudBridge Connector. Esta tarea implica crear entidades de red local, red virtual y puerta de enlace en Azure. La entidad de red local especifica la dirección IP del punto final del túnel de CloudBridge Connector (el dispositivo NetScaler) en el lado del centro de datos y de la subred del centro de datos cuyo tráfico debe atravesar el túnel de CloudBridge Connector. La red virtual define una red en Azure. La creación de la red virtual incluye la definición de una subred cuyo tráfico debe atravesar el túnel de CloudBridge Connector para formarse. A continuación, asocie la red local con la red virtual. Por último, crea una puerta de enlace que se convierte en el punto final en el extremo de Azure del túnel de CloudBridge Connector.
Configuración del dispositivo NetScaler en el centro de datos para el túnel CloudBridgeConnector. Esta tarea implica crear un perfil IPSec, una entidad de túnel IP y una entidad PBR en el dispositivo NetScaler del centro de datos. La entidad de perfil IPSec especifica los parámetros del protocolo IPSec, como la versión de IKE, el algoritmo de cifrado, el algoritmo de hash y el PSK, que se utilizarán en el túnel de CloudBridge Connector. El túnel IP especifica la dirección IP de los extremos del túnel de CloudBridge Connector (el dispositivo NetScaler del centro de datos y la puerta de enlace de Azure) y el protocolo que se utilizará en el túnel de CloudBridge Connector. A continuación, asocie la entidad de perfil IPSec a la entidad del túnel IP. La entidad PBR especifica las dos subredes, en el centro de datos y en la nube de Azure, que se comunicarán entre sí a través del túnel CloudBridge Connector. A continuación, asocie la entidad del túnel IP con la entidad PBR.

Configuración de Microsoft Azure para el túnel CloudBridge Connector

Para crear una configuración de túnel de CloudBridge Connector en Microsoft Azure, utilice el portal de administración de Microsoft Windows Azure, que es una interfaz gráfica basada en la web para crear y administrar recursos en Microsoft Azure.

Antes de comenzar la configuración del túnel de CloudBridge Connector en la nube de Azure, asegúrese de que:

Tiene una cuenta de usuario de Microsoft Azure.
Tiene un conocimiento conceptual de Microsoft Azure.
Está familiarizado con el portal de administración de Microsoft Windows Azure.

Para configurar un túnel de CloudBridge Connector entre un centro de datos y una nube de Azure, realice las siguientes tareas en Microsoft Azure mediante el portal de administración de Microsoft Windows Azure:

Cree una entidad de red local. Cree una entidad de red local en Windows Azure para especificar los detalles de la red del centro de datos. Una entidad de red local especifica la dirección IP del punto final del túnel de CloudBridge Connector (el NetScaler) en el lado del centro de datos y de la subred del centro de datos cuyo tráfico debe atravesar el túnel de CloudBridge Connector.
Crear una red virtual. Cree una entidad de red virtual que defina una red en Azure. Esta tarea incluye la definición de un espacio de direcciones privado, en el que se proporciona un rango de direcciones privadas y subredes que pertenezcan al rango especificado en el espacio de direcciones. El tráfico de las subredes atravesará el túnel de CloudBridge Connector. A continuación, asocie una entidad de red local a la entidad de red virtual. Esta asociación permite a Azure crear una configuración para un túnel de CloudBridge Connector entre la red virtual y la red del centro de datos. Una puerta de enlace (que se creará) en Azure para esta red virtual será el punto final de CloudBridge en el extremo de Azure del túnel de CloudBridge Connector. A continuación, defina una subred privada para la puerta de enlace que se va a crear. Esta subred pertenece al rango especificado en el espacio de direcciones de la entidad de red virtual.
Cree una puerta de enlace en Windows Azure. Cree una puerta de enlace que se convierta en el punto final en el extremo de Azure del túnel de CloudBridge Connector. Azure, a partir de su conjunto de direcciones IP públicas, asigna una dirección IP a la puerta de enlace creada.
Recopile la dirección IP pública de la puerta de enlace y la clave previamente compartida. Para una configuración de túnel de CloudBridge Connector en Azure, Azure genera automáticamente la dirección IP pública de la puerta de enlace y la clave precompartida (PSK). Tome nota de esta información. Lo necesitará para configurar el túnel CloudBridge Connector en el NetScaler del centro de datos.

Nota:

Los procedimientos para configurar Microsoft Azure para un túnel de CloudBridge Connector pueden cambiar con el tiempo, dependiendo del ciclo de lanzamiento de Microsoft Azure. Para obtener los procedimientos más recientes, consulte la documentación de Microsoft Azure.

Configuración de NetScaler Appliance en el centro de datos para el túnel de CloudBridge Connector

Para configurar un túnel de CloudBridge Connector entre un centro de datos y una nube de Azure, realice las siguientes tareas en el NetScaler del centro de datos. Puede utilizar la línea de comandos de NetScaler o la GUI:

Cree un perfil IPSec. Una entidad de perfil IPSec especifica los parámetros del protocolo IPSec, como la versión de IKE, el algoritmo de cifrado, el algoritmo de hash y el PSK, que utilizará el protocolo IPSec en el túnel de CloudBridge Connector.
Cree un túnel IP con el protocolo IPSec y asocie el perfil IPSec a él. Un túnel IP especifica la dirección IP local (una dirección SNIP pública configurada en el dispositivo NetScaler), la dirección IP remota (la dirección IP pública de la puerta de enlace en Azure), el protocolo (IPSec) utilizado para configurar el túnel CloudBridge Connector y una entidad de perfil IPSec. La entidad de túnel IP creada también se denomina entidad de túnel CloudBridge Connector.
Cree una regla PBR y asocie el túnel IP a ella. Una entidad PBR especifica un conjunto de condiciones y una entidad de túnel IP (túnel de CloudBridge Connector). El intervalo de direcciones IP de origen y el intervalo IP de destino son las condiciones para la entidad PBR. Debe configurar el rango de direcciones IP de origen para especificar la subred del centro de datos cuyo tráfico debe atravesar el túnel y el rango de direcciones IP de destino para especificar la subred de Azure cuyo tráfico debe atravesar el túnel de CloudBridge Connector. Cualquier paquete de solicitud originado en un cliente de la subred del centro de datos y destinado a un servidor de la subred de la nube de Azure coincide con el rango de IP de origen y destino de la entidad PBR. A continuación, este paquete se considera para el procesamiento del túnel de CloudBridge Connector y se envía a través del túnel de CloudBridge Connector asociado a la entidad PBR.

La GUI combina todas estas tareas en un único asistente llamado asistente de CloudBridge Connector. Para crear un perfil IPSEC mediante la línea de comandos de NetScaler:

En el símbolo del sistema, escriba:

add ipsec profile <name> -psk <string> -ikeVersion v1

Para crear un túnel IPSEC y enlazar el perfil IPSEC a él mediante la línea de comandos de NetScaler:

En el símbolo del sistema, escriba:

add ipTunnel <name> <remote> <remoteSubnetMask> <local> -protocol IPSEC –ipsecProfileName <string>

Para crear una regla PBR y vincular el túnel IPSEC a ella mediante la línea de comandos de NetScaler

add pbr <pbrName> ALLOW –srcIP <subnet-range> -destIP <subnet-range> ipTunnel <tunnelName> apply pbrs

Configuración de ejemplo

Los siguientes comandos crean todos los ajustes del dispositivo NetScaler CB_Appliance-1 utilizado en el “Ejemplo de configuración y flujo de datos de CloudBridge Connector”.

> add ipsec profile CB_Azure_IPSec_Profile -psk  DkiMgMdcbqvYREEuIvxsbKkW0FOyDiLM  -ikeVersion v1 –lifetime 31536000
Done

>  add iptunnel CB_Azure_Tunnel 168.63.252.133 255.255.255.255 66.165.176.15 –protocol IPSEC –ipsecProfileName CB_Azure_IPSec_Profile
Done

> add pbr CB_Azure_Pbr -srcIP 10.102.147.0-10.102.147.255 –destIP 10.20.0.0-10.20.255.255 –ipTunnelCB_Azure_Tunnel
Done

> apply pbrs
Done
<!--NeedCopy-->

Para configurar un túnel de CloudBridge Connector en un dispositivo NetScaler mediante la interfaz gráfica de usuario

Acceda a la GUI mediante un navegador web para conectarse a la dirección IP del dispositivo NetScaler en el centro de datos.
Vaya a Sistema > CloudBridge Connector.
En el panel derecho, en Introducción, haga clic en Crear/monitorearCloudBridge.
Haga clic en Get Started.

Nota: Si ya tiene configurado algún túnel de CloudBridge Connector en el dispositivo NetScaler, esta pantalla no aparecerá y accederá al panel de configuración de CloudBridge Connector.
En el panel de configuración de CloudBridge, haga clic en Microsoft Windows Azure.
En el panel de configuración de Azure, en el campo Dirección IP de la puerta de enlace, escriba la dirección IP de la puerta de enlace de Azure. A continuación, se configura el túnel CloudBridge Connector entre el dispositivo NetScaler y la puerta de enlace. En los cuadros de texto Subred (rango de IP), especifique un rango de subredes (en la nube de Azure), cuyo tráfico debe atravesar el túnel de CloudBridge Connector. Haga clic en Continuar.
En el panel de configuración de NetScaler, en la lista desplegable de IP de subred local, seleccione una dirección SNIP de acceso público configurada en el dispositivo NetScaler. En los cuadros de texto de subred (rango de IP), especifique un rango de subred local, cuyo tráfico debe atravesar el túnel de CloudBridge Connector. Haga clic en Continuar.
En el panel de configuración de CloudBridge, en el cuadro de texto Nombre de CloudBridge, escriba el nombre del CloudBridge que desee crear.
En las listas desplegables Algoritmo de cifrado y Algoritmo de hash, seleccione los algoritmos AES y HMAC_SHA1, respectivamente. En el cuadro de texto Clave de seguridad precompartida, escriba la clave de seguridad.
Haga clic en Listo.

Supervisión del túnel de CloudBridge Connector

Puede ver las estadísticas para supervisar el rendimiento de un túnel de CloudBridge Connector entre el dispositivo NetScaler del centro de datos y Microsoft Azure. Para ver las estadísticas del túnel de CloudBridge Connector en el dispositivo NetScaler, utilice la GUI o la línea de comandos de NetScaler. Para ver las estadísticas del túnel de CloudBridge Connector en Microsoft Azure, utilice el portal de administración de Microsoft Windows Azure.

Visualización de estadísticas del túnel de CloudBridge Connector en el dispositivo NetScaler

Para obtener información sobre cómo mostrar estadísticas de túnel de CloudBridge Connector en un dispositivo NetScaler, consulte Supervisión de túneles de CloudBridge Connector.

Visualización de estadísticas del túnel de CloudBridge Connector en Microsoft Azure

La siguiente tabla muestra los contadores estadísticos disponibles para monitorear los túneles de CloudBridge Connector en Microsoft Azure.

Contador estadístico	Qué especifica
DATOS EN	Número total de kilobytes recibidos por la puerta de enlace de Azure a través del túnel de CloudBridge Connector desde que se creó la puerta de enlace.
SALIDA DE DATOS	Número total de kilobytes enviados por la puerta de enlace de Azure a través del túnel de CloudBridge Connector desde que se creó la puerta de enlace.

Para mostrar las estadísticas del túnel de CloudBridge Connector mediante el Portal de administración de Microsoft Windows Azure

Inicie sesión en el portal de administración de Windows Azure mediante las credenciales de su cuenta de Microsoft Azure.
En el panel izquierdo, haga clic en REDES.
En la ficha Red virtual, en la columna Nombre, seleccione la entidad de red virtual asociada a un túnel de CloudBridge Connector cuyas estadísticas desee mostrar.
En la página DASHBOARD de la red virtual, consulte los contadores de ENTRADA y SALIDA DE DATOS del túnel CloudBridge Connector.

La versión oficial de este contenido está en inglés. Para mayor comodidad, parte del contenido de la documentación de Cloud Software Group solo tiene traducción automática. Cloud Software Group no puede controlar el contenido con traducción automática, que puede contener errores, imprecisiones o un lenguaje inadecuado. No se ofrece ninguna garantía, ni implícita ni explícita, en cuanto a la exactitud, la fiabilidad, la idoneidad o la precisión de las traducciones realizadas del original en inglés a cualquier otro idioma, o que su producto o servicio de Cloud Software Group se ajusten a cualquier contenido con traducción automática, y cualquier garantía provista bajo el contrato de licencia del usuario final o las condiciones de servicio, o cualquier otro contrato con Cloud Software Group, de que el producto o el servicio se ajusten a la documentación no se aplicará en cuanto dicha documentación se ha traducido automáticamente. Cloud Software Group no se hace responsable de los daños o los problemas que puedan surgir del uso del contenido traducido automáticamente.

¿Le ha resultado útil?

Configuración de un túnel de CloudBridge Connector entre un centro de datos y la nube de Azure

May 9, 2023

Contribución de:

May 9, 2023

Contribución de:

En este artículo

Cómo funciona el túnel CloudBridge Connector
Ejemplo de configuración del túnel de CloudBridge Connector y flujo de datos
Puntos a tener en cuenta para una configuración de túnel de CloudBridge Connector
Configuración del túnel CloudBridge Connector
Supervisión del túnel de CloudBridge Connector

¿Le ha resultado útil?