Documentación de productos
Gateway
Current Release 13.1 13.0 12.1
Ver PDF

Configurar el servidor virtual de VPN DTLS mediante el servidor virtual de VPN SSL

March 27, 2024
Contribución de: 
C

Puede configurar un servidor virtual VPN DTLS para NetScaler Gateway con la misma dirección IP y número de puerto que un servidor virtual VPN SSL configurado. La configuración de servidores virtuales DTLS VPN le permite vincular los cifrados y certificados DTLS avanzados al tráfico DTLS para mejorar la seguridad. A partir de la versión 13.0 build 47.x, el protocolo DTLS 1.2 es compatible además del protocolo DTLS 1.0 compatible anteriormente.

Importante:

  • De forma predeterminada, la funcionalidad DTLS está activada para el servidor virtual SSL VPN existente. Inhabilite la funcionalidad del servidor antes de crear el servidor virtual de VPN DTLS.

  • El servidor virtual de puerta de enlace SNI para DTLS se admite en NetScaler Gateway versión 13.0 compilación 64.x y posteriores.

  • A partir de la versión 13.0 compilación 79.x de NetScaler, el parámetro helloverifyrequest está habilitado de forma predeterminada. Habilitar el parámetro helloverifyrequest en el perfil DTLS ayuda a mitigar el riesgo de que un atacante o bots abruman el rendimiento de la red, lo que podría provocar un agotamiento del ancho de banda saliente. Es decir, ayuda a mitigar el ataque de amplificación DDoS DTLS. Para obtener más información sobre el parámetro helloverifyrequest, consulte Perfil DTLS.

  • Al controlar el tráfico UDP, el consumo de memoria del dispositivo NetScaler aumenta si los servidores back-end impulsan mucho tráfico. Como resultado, el dispositivo NetScaler no puede enviar este tráfico al cliente debido a la conexión TCP MUX en el lado del cliente. En tales casos, Citrix recomienda utilizar el protocolo DTLS.

Puntos que tener en cuenta

  • El servidor virtual de VPN DTLS en un dispositivo con NetScaler Gateway se puede configurar a partir de la versión 13.0, compilación 58.x.

  • Antes de configurar un servidor virtual de VPN DTLS en un dispositivo con NetScaler Gateway, debe haber configurado un servidor virtual de VPN SSL en el dispositivo.

  • El servidor virtual de VPN de DTLS utiliza la dirección IP y el número de puerto del servidor virtual de VPN SSL configurado.

  • Si se produce un error en el protocolo de enlace DTLS, la conexión vuelve a ser TLS.

  • Para usar solo DTLS, puede inhabilitar TLS vinculando solo los cifrados DTLS al tráfico DTLS.

  • La multiplexación DTLS no se admite cuando el tráfico TCP se canaliza a través de una VPN.

Configurar un servidor virtual VPN con DTLS mediante la GUI

  1. En la pestaña Configuración, vaya a NetScaler Gateway > Servidores virtuales.
  2. En la página Servidores virtuales de NetScaler Gateway, seleccione el servidor virtual SSL VPN existente y haga clic en Modificar.
  3. En la página Servidor virtual VPN, haga clic en el icono de edición, desactive la casilla de verificación DTLS y haga clic en Aceptar.
  4. Vuelva a NetScaler Gateway > Servidores virtuales y haga clic en Agregar.

  5. En Configuración básica, introduzca los valores de los campos siguientes y haga clic en Aceptar.

    • Nombre: nombre para el servidor virtual de VPN de DTLS
    • Protocolo: Seleccione DTLS
    • Dirección IP: Introduzca la dirección IP del servidor virtual VPN SSL
    • Puerto: Introduzca el número de puerto del servidor virtual VPN SSL
  6. En la página Servidores virtuales de NetScaler Gateway, seleccione el servidor virtual que agregó anteriormente y haga clic en Modificar.
  7. En Certificados, haga clic en el icono de flecha para seleccionar la clave de certificado requerida.
  8. En Vinculación de certificados de servidor > Seleccionar certificado de servidor, seleccione una clave de certificado SSL existente o cree una.
  9. Haga clic en Enlazar en la página Enlace de certificado de servidor.

Nota:

  • Para usar DTLS 1.2, haga clic en el icono de modificación en Parámetros SSL y seleccione la casilla de verificación DTLS 1.2.
  • La indicación del nombre del servidor (SNI) es compatible con el servidor virtual de VPN de tipo DTLS.

Configurar un servidor virtual VPN DTLS mediante la CLI

En la línea de comandos, escriba el siguiente conjunto de comandos:

set vpn vserver <ssl vpnvserver name> -dtls off
add vpn vserver <dtls vpnvserver name> dtls <ssl vpn vserver IP> <ssl vpn vserver port>
bind ssl vservser <dtls vpnvserver name> -certkeyName <existing ssl cert key or newly created cert key>
<!--NeedCopy-->

DTLS 1.0 funciona como de costumbre, para usar DTLS 1.2, escriba el siguiente comando:

set ssl vserver < dtls vpnvserver name > -dtls12 ENABLED
<!--NeedCopy-->

Ejemplo

set vpn vserver vpnvserver  -dtls off
add vpn vserver vpnvserver_dtls dtls 10.108.45.220 443
bind ssl vservser vpnvserver_dtls -certkeyName sslcertkey
set ssl vserver vpnvserver_dtls -dtls12 ENABLED
<!--NeedCopy-->

Para habilitar SNI para el servidor virtual de VPN de tipo DTLS, escriba el siguiente comando:

set ssl vserver <vServerName>@ [-SNIEnable ( ENABLED | DISABLED )
bind ssl vservser <dtls vpnvserver name> -certkeyName <existing ssl cert key or newly created cert key> <-SNICert>
<!--NeedCopy-->

Ejemplo

set ssl vserver _XD_10.106.40.225_443_DTLS -sniEnable eNABLED
bind ssl vserver _XD_10.106.40.225_443_DTLS -certkeyName "Insight/*.insight.net.cer_CERT_" -snICert

<!--NeedCopy-->

Parámetros de servidor virtual DTLS VPN compatibles

Solo se admiten los siguientes parámetros para el servidor virtual VPN de tipo DTLS.

  • Ipaddress
  • Puerto
  • State
  • Doble salto
  • downstateflush
  • Comment
  • Appflowlog
  • Icmpvsrresponse

Parámetros de servidor virtual DTLS VPN no compatibles

Los siguientes parámetros no son compatibles con el servidor virtual VPN de tipo DTLS.

  • LinuxEPAPluginUpgrade
  • WindowsEPAPluginUpgrade
  • maxAAAUsers
  • icaProxySessionMigration
  • loginOnce
  • cginfraHomePageRedirect
  • logoutOnSmartcardRemoval
  • l2Conn
  • MacEPAPluginUpgradeRHIstate
  • icaOnly
  • maxLoginAttempts
  • failedLoginTimeout
  • vserverFqdn
  • deviceCert
  • rdpServerProfileName
  • pcoipVserverProfileName
  • tcpProfileName
  • netProfile
  • authnProfile
  • Listenpriority
  • Listenpolicy
  • ipset
  • certkeyNames

Configurar un servidor virtual DTLS mediante el asistente de XenApp y XenDesktop

  1. Haga clic en XenApp y XenDesktop en Integrar en productos Citrix.

  2. En el asistente de configuración de XenApp y XenDesktop, seleccione StoreFront y haga clic en Continuar.

  3. En la página Configuración de NetScaler Gateway, active la casilla de verificación Configurar un agente de escucha DTLS para este servidor virtual de VPN y haga clic en Continuar.

    La escucha DTLS ya está configurada.

  4. En Certificado de servidor, haga clic en Elegir archivo para seleccionar el certificado de servidor y haga clic en Continuar.

  5. Especifique el archivo de certificado y el nombre del archivo clave y haga clic en Continuar.

  6. En la sección StoreFront, proporcione los valores de los parámetros necesarios de la siguiente manera y haga clic en Continuar.

  7. En la sección Autenticación, proporcione los valores de los parámetros requeridos de la siguiente manera y haga clic en Probar conexión.

    Asegúrese de que el servidor es accesible, proporcione el valor de tiempo de espera y el atributo Nombre de inicio de sesión del servidor y haga clic en Continuar.

    Especificar valores de configuración

  8. Haga clic en Listo para completar la configuración.

    Configuración finalizada

Limitaciones

  • DTLS 1.2 solo es compatible con clientes Windows.
  • El servidor virtual de VPN con DTLS no admite direcciones IPv6.
  • La directiva SSL y el perfil SSL no son compatibles con un servidor virtual de VPN de DTLS. Además, no se admite el enlace de la directiva de servidor virtual de VPN.
  • El servidor virtual de VPN DTLS de NetScaler Gateway no admite las siguientes funciones. Sin embargo, el servidor virtual de VPN SSL de NetScaler Gateway admite estas funciones:
    • Gateway unificado con servidor virtual de cambio de contenido
    • UDP MUX
    • Vídeo UDP
    • Audio UDP
    • PCOIP
  • No se admite el comando stat vpn vserver relacionado con las estadísticas del servidor virtual de VPN DTLS.
  • Las claves HSM no se admiten en el servidor virtual DTLS.
  • No se admite la configuración de clústeres.
Configurar el servidor virtual de VPN DTLS mediante el servidor virtual de VPN SSL
March 27, 2024
Contribución de: 
C
March 27, 2024
Contribución de: 
C

En este artículo

Comentarios sobre el sitio | Condiciones legales y de privacidad | Preferencias de cookies | Parámetros de consentimiento | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.