ADC

Configurer l’équilibrage de charge RADIUS avec persistance

August 11, 2023

Contributeur:

L’environnement réseau complexe d’aujourd’hui nécessite souvent la coordination d’une configuration d’équilibrage de charge à haut volume et haute capacité avec une authentification et une autorisation robustes. Les utilisateurs d’applications peuvent se connecter à un VPN via des points d’accès mobiles tels que des connexions DSL ou câble de qualité grand public, WiFi ou même des nœuds d’accès à distance. Ces connexions utilisent généralement des adresses IP dynamiques, qui peuvent changer pendant la connexion.

Si vous configurez l’équilibrage de charge RADIUS sur l’appliance NetScaler pour prendre en charge les connexions clients persistantes aux serveurs d’authentification RADIUS, l’appliance utilise l’ouverture de session utilisateur ou l’attribut RADIUS spécifié au lieu de l’adresse IP du client comme ID de session, dirigeant toutes les connexions et tous les enregistrements associés à cette session utilisateur vers le même serveur RADIUS. Les utilisateurs peuvent ainsi se connecter à votre VPN à partir d’emplacements d’accès mobiles sans être déconnectés lorsque l’adresse IP du client ou le point d’accès WiFi change.

Pour configurer l’équilibrage de charge RADIUS avec persistance, vous devez d’abord configurer l’authentification RADIUS pour votre VPN. Pour plus d’informations et instructions, reportez-vous au chapitre Authentification, Authentication, Auditing (AAA) dans le trafic d’applications AAA. Choisissez également la fonction d’équilibrage de charge ou de commutation de contenu comme base de votre configuration, et assurez-vous que la fonctionnalité que vous avez choisie est activée. Le processus de configuration avec l’une ou l’autre des fonctions est presque le même.

Ensuite, vous configurez deux serveurs virtuels d’équilibrage de charge ou de commutation de contenu, l’un pour gérer le trafic d’authentification RADIUS et l’autre pour gérer le trafic de comptabilité RADIUS. Ensuite, vous configurez deux services, un pour chaque serveur virtuel d’équilibrage de charge, et vous liez chaque serveur virtuel d’équilibrage de charge à son service. Enfin, vous créez un groupe de persistance d’équilibrage de charge et définissez le type de persistance sur RULE.

Activation de la fonctionnalité d’équilibrage de charge ou de commutation de contenu

Pour utiliser la fonctionnalité d’équilibrage de charge ou de commutation de contenu, vous devez d’abord vous assurer que la fonctionnalité est activée. Si vous configurez une nouvelle appliance NetScaler qui n’a pas encore été configurée, ces deux fonctionnalités sont déjà activées. Vous pouvez donc passer à la section suivante. Si vous configurez une appliance NetScaler avec une configuration précédente et que vous n’êtes pas certain que la fonctionnalité que vous utilisez est activée, vous devez le faire maintenant.

Pour obtenir des instructions sur l’activation de la fonction d’équilibrage de charge, reportez-vous à Activation de l’équilibra
Pour obtenir des instructions sur l’activation de la fonction de commutation de contenu, voir Activation du changement

Configuration des serveurs virtuels

Après avoir activé la fonctionnalité d’équilibrage de charge ou de commutation de contenu, vous devez ensuite configurer deux serveurs virtuels pour prendre en charge l’authentification RADIUS :

Serveur virtuel d’authentification RADIUS. Ce serveur virtuel et son service associé traitent le trafic d’authentification vers votre serveur RADIUS. Le trafic d’authentification consiste en des connexions associées aux utilisateurs qui se connectent à votre application protégée ou à votre réseau privé virtuel (VPN).
Serveur virtuel de comptabilité RADIUS. Ce serveur virtuel et son service associé gère les connexions comptables à votre serveur RADIUS. Le trafic comptable est constitué de connexions qui suivent les activités d’un utilisateur authentifié sur votre application protégée ou VPN.

Important : Vous devez créer une paire de serveurs virtuels d’équilibrage de charge ou une paire de serveurs virtuels de commutation de contenu à utiliser dans votre configuration de persistance RADIUS. Vous ne pouvez pas mélanger les types de serveurs virtuels.

Pour configurer un serveur virtuel d’équilibrage de charge à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez les commandes suivantes pour créer un serveur virtuel d’équilibrage de charge et vérifier la configuration :

add lb vserver <name> RADIUS <IP address> <port> -lbmethod TOKEN -rule <rule>

show lb vserver <name>
<!--NeedCopy-->

Pour configurer un serveur virtuel d’équilibrage de charge existant, remplacez la add lb virtual server commande précédente par la set lb vserver commande, qui prend les mêmes arguments.

Pour configurer un serveur virtuel de commutation de contenu à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez les commandes suivantes pour créer un serveur virtuel de commutation de contenu et vérifier la configuration :

add cs vserver <name> RADIUS <IP address> <port> -lbmethod TOKEN -rule <rule>

show cs vserver <name>
<!--NeedCopy-->

Pour configurer un serveur virtuel de commutation de contenu existant, remplacez la add cs vserver commande précédente par la set cs vserver commande, qui prend les mêmes arguments.

Exemple :

add lb vserver radius_auth_vs1 RADIUS 192.168.46.33 1812 -lbmethod TOKEN -rule CLIENT.UDP.RADIUS.USERNAME

add lb vserver radius_acct_vs1 RADIUS 192.168.46.34 1813 -lbmethod TOKEN -rule CLIENT.UDP.RADIUS.USERNAME

set lb vserver radius_auth_vs1 RADIUS 192.168.46.33 1812 -lbmethod TOKEN -rule CLIENT.UDP.RADIUS.USERNAME

set lb vserver radius_auth_vs1 RADIUS 192.168.46.34 1813 -lbmethod TOKEN -rule CLIENT.UDP.RADIUS.USERNAME
<!--NeedCopy-->

Pour configurer un serveur virtuel d’équilibrage de charge ou de commutation de contenu à l’aide de l’utilitaire de configuration

Accédez à Gestion du trafic > Équilibrage de charge > Serveurs virtuels ou accédez à Gestion du trafic > Commutation de contenu > Serveurs virtuels>, puis configurez un serveur virtuel.

Configuration des services

Après avoir configuré vos serveurs virtuels, vous devez ensuite configurer deux services, un pour chacun des serveurs virtuels que vous avez créés.

Remarque : Une fois configurés, ces services sont dans l’état DÉSACTIVÉ jusqu’à ce que l’appliance NetScaler puisse se connecter aux adresses IP d’authentification et de comptabilité de votre serveur RADIUS et surveiller leur état. Pour obtenir des instructions, reportez-vous à la section Configuration des services.

Liaison de serveurs virtuels aux services

Après avoir configuré vos services, vous devez ensuite lier chacun des serveurs virtuels que vous avez créés au service approprié.Pour obtenir des instructions, reportez-vous à la section Liaison des services au serveur virtuel.

Configuration d’un groupe de persistance pour Rayon

Après avoir lié vos serveurs virtuels d’équilibrage de charge aux services correspondants, vous devez configurer votre configuration d’équilibrage de charge RADIUS pour prendre en charge la persistance. Pour ce faire, vous configurez un groupe de persistance d’équilibrage de charge qui contient vos serveurs et services virtuels d’équilibrage de charge RADIUS, et vous configurez ce groupe de persistance d’équilibrage de charge pour utiliser la persistance basée sur des règles. Un groupe de persistance est requis car les serveurs virtuels d’authentification et de comptabilité sont différents et le message d’authentification et de comptabilisation pour un seul utilisateur doit atteindre le même serveur RADIUS. Le groupe de persistance permet d’utiliser la même session pour les deux serveurs virtuels. Pour obtenir des instructions, reportez-vous à la section Configuration des groupes de persistance.

Configuration du secret partagé RADIUS

À partir de la version 12.0, une appliance NetScaler prend en charge le secret partagé RADIUS. Un client et un serveur RADIUS communiquent entre eux à l’aide d’un secret partagé configuré sur le client et sur le serveur. Les transactions entre un client RADIUS et un serveur sont authentifiées à l’aide d’un secret partagé. Ce secret est également utilisé pour crypter certaines informations dans le paquet RADIUS.

Scénarios de validation de clés secrètes partagées RADIUS

La validation de la clé secrète partagée RADIUS se produit dans les scénarios suivants :

Laclé secrète partagée RADIUS est configurée à la fois pour le client Radius et pour le serveur Radius : l’appliance NetScaler utilise la clé secrète RADIUS à la fois côté client et côté serveur. Si la vérification aboutit, l’appliance autorise le message RADIUS à passer. Dans le cas contraire, il supprime le message RADIUS.
Laclé secrète partagée RADIUS n’est configurée ni pour le client RADIUS ni pour le serveur RADIUS : l’appliance NetScaler supprime le message RADIUS, car la validation par clé secrète partagée ne peut pas être effectuée sur un nœud sur lequel aucune clé radkey n’est configurée.
La clé secrète partagée RADIUS n’est pas configurée à la fois pour le client RADIUS et pour le serveur RADIUS : l’appliance NetScaler contourne la validation de la clé secrète RADIUS et autorise le passage des messages RADIUS.

Vous pouvez configurer un secret partagé RADIUS par défaut ou le configurer par client ou par sous-réseau. Il est recommandé d’ajouter une clé secrète partagée RADIUS pour tous les déploiements pour lesquels la stratégie RADIUS est configurée. L’appliance utilise l’adresse IP source du paquet RADIUS pour décider quel secret partagé utiliser. Vous pouvez configurer un client et un serveur RADIUS ainsi que le secret partagé correspondant comme suit :

À l’invite CLI, tapez :

add radiusNode <clientPrefix/Subnet> -radKey <Shared_secret_key>
<!--NeedCopy-->

Arguments

Adresse IP

Adresse IP ou sous-réseau du client RADIUS au format CIDR. L’appliance utilise l’adresse IP source d’un paquet de demande entrant pour correspondre à l’adresse IP du client. Au lieu de configurer une adresse IP client, vous pouvez configurer l’adresse réseau du client. Le préfixe le plus long est mis en correspondance pour identifier le secret partagé pour une demande client entrante.

Radkey

Secret partagé entre le client, l’appliance NetScaler et le serveur. Longueur maximale : 31.

add lb vserver radius_auth_vs1 RADIUS 192.168.46.33 1812 -lbmethod TOKEN -rule CLIENT.UDP.RADIUS.USERNAME

add lb vserver radius_acct_vs1 RADIUS 192.168.46.34 1813 -lbmethod TOKEN -rule CLIENT.UDP.RADIUS.USERNAME

add service radius_auth_service1 192.168.41.68 RADIUS 1812

add service radius_acct_service1 192.168.41.70 RADIUS 1813

bind lb vserver radius_auth_vs1 radius_auth_service1

bind lb vserver radius_acct_vs1 radius_acct_service[1-3]

add radiusNode 192.168.41.0/24 -radKey  serverkey123

add radiusNode 203.0.113.0/24 -radkey clientkey123
<!--NeedCopy-->

Un secret partagé doit être configuré à la fois pour un client et un serveur RADIUS. La commande est la même. Le sous-réseau détermine si le secret partagé est destiné à un client ou à un serveur.

Par exemple, si le sous-réseau spécifié est un sous-réseau client, le secret partagé est pour le client. Si le sous-réseau spécifié est un sous-réseau serveur (192.168.41.0/24 dans l’exemple précédent), le secret partagé concerne le serveur.

Un sous-réseau de 0.0.0.0/0 implique qu’il s’agit du secret partagé par défaut pour tous les clients et serveurs.

Remarque :

Seules les méthodes d’authentification PAP et CHAP sont prises en charge avec le secret partagé RADIUS.

La version officielle de ce document est en anglais. Certains contenus de la documentation Cloud Software Group ont été traduits de façon automatique à des fins pratiques uniquement. Cloud Software Group n'exerce aucun contrôle sur le contenu traduit de façon automatique, qui peut contenir des erreurs, des imprécisions ou un langage inapproprié. Aucune garantie, explicite ou implicite, n'est fournie quant à l'exactitude, la fiabilité, la pertinence ou la justesse de toute traduction effectuée depuis l'anglais d'origine vers une autre langue, ou quant à la conformité de votre produit ou service Cloud Software Group à tout contenu traduit de façon automatique, et toute garantie fournie en vertu du contrat de licence de l'utilisateur final ou des conditions d'utilisation des services applicables, ou de tout autre accord avec Cloud Software Group, quant à la conformité du produit ou service à toute documentation ne s'applique pas dans la mesure où cette documentation a été traduite de façon automatique. Cloud Software Group ne pourra être tenu responsable de tout dommage ou problème dû à l'utilisation de contenu traduit de façon automatique.

Configurer l’équilibrage de charge RADIUS avec persistance

August 11, 2023

Contributeur:

August 11, 2023

Contributeur:

Dans cet article

Activation de la fonctionnalité d’équilibrage de charge ou de commutation de contenu
Configuration des serveurs virtuels
Configuration des services
Liaison de serveurs virtuels aux services
Configuration d’un groupe de persistance pour Rayon
Configuration du secret partagé RADIUS