Documentation Produit
ADC
14.1 - Current Release 13.1 13.0 12.1
Voir PDF

Environnement de pare-feu multiple

October 4, 2021
Contributeur: 
C

Dans un environnement à pare-feu multiples, l’appliance Citrix ADC est placée entre deux ensembles de pare-feu, l’ensemble externe se connectant à Internet public et l’ensemble interne se connectant au réseau privé interne. L’ensemble externe gère généralement le trafic de sortie. Ces pare-feu implémentent principalement des listes de contrôle d’accès pour autoriser ou refuser l’accès à des ressources externes. L’ensemble interne gère généralement le trafic entrant. Ces pare-feu mettent en œuvre la sécurité pour protéger l’intranet contre les attaques malveillantes en dehors de l’équilibrage de charge du trafic entrant. L’environnement de pare-feu multiple vous permet d’équilibrer la charge du trafic provenant d’un autre pare-feu. Par défaut, le trafic provenant d’un pare-feu n’est pas équilibré de charge sur l’autre pare-feu sur une appliance Citrix ADC. L’équilibrage de charge du pare-feu activé des deux côtés de Citrix ADC améliore le flux de trafic dans le sens de sortie et d’entrée et assure un traitement plus rapide du trafic.

La figure suivante illustre un environnement d’équilibrage de charge multipare-feu

Figure 1. Équilibrage de la charge du pare-feu (pare-feu multiple)

Environnement de pare-feu multiple

Avec une configuration comme celle illustrée à la figure 1, vous pouvez configurer Citrix ADC pour équilibrer la charge du trafic via un pare-feu interne, même s’il est équilibré par un pare-feu externe. Par exemple, avec cette fonctionnalité configurée, le trafic provenant des pare-feu externes (pare-feu 1, 2 et 3) est équilibré sur les pare-feu internes (pare-feu 4, 5 et 6) et vice versa.

L’équilibrage de charge du pare-feu est pris en charge uniquement pour le serveur virtuel LB en mode MAC.

Le type de service ANY configure Citrix ADC pour accepter tout le trafic.

Pour bénéficier des avantages liés à HTTP et TCP, configurez le service et le serveur virtuel avec le type HTTP ou TCP. Pour que FTP fonctionne, configurez le service avec le type FTP.

Configuration de Citrix ADC dans un environnement à pare-feu multiple

Pour configurer une appliance Citrix ADC dans un environnement à pare-feu multiples, vous devez activer la fonction d’équilibrage de charge, configurer un serveur virtuel pour équilibrer la charge du trafic de sortie sur les pare-feu externes, configurer un serveur virtuel pour équilibrer la charge du trafic d’entrée sur les pare-feu internes et activer l’équilibrage de charge du pare-feu sur l’appliance Citrix ADC. Pour configurer un serveur virtuel pour équilibrer la charge du trafic sur un pare-feu dans l’environnement à pare-feu multiple, vous devez :

  1. Configurer un service générique pour chaque pare-feu
  2. Configurer un moniteur pour chaque service générique
  3. Configurer un serveur virtuel générique pour équilibrer la charge du trafic envoyé aux pare-feu
  4. Configurer le serveur virtuel en mode réécriture MAC
  5. Liez les services de pare-feu au serveur virtuel générique

Activation de la fonction d’équilibrage de charge

Pour configurer et implémenter des entités d’équilibrage de charge telles que les services et les serveurs virtuels, vous devez activer la fonctionnalité d’équilibrage de charge sur le périphérique Citrix ADC.

Pour activer l’équilibrage de charge à l’aide de l’interface de ligne de commande :

À l’invite de commandes, tapez la commande suivante pour activer l’équilibrage de charge et vérifier la configuration :

enable ns feature <featureName>
show ns feature
<!--NeedCopy-->

Exemple :

enable ns feature LoadBalancing
Done
show ns feature
Feature Acronym Status
------- ------- ------
1) Web Logging WL OFF
2) Surge Protection SP ON
3) Load Balancing LB ON
.
.
.
24) NetScaler Push push OFF
Done
<!--NeedCopy-->

Pour activer l’équilibrage de charge à l’aide de l’interface graphique :

  1. Dans le volet de navigation, développez Système, puis cliquez sur Paramètres.
  2. Dans le volet Paramètres, sous Modes et fonctionnalités, cliquez sur Modifier les fonctions de base.
  3. Dans la boîte de dialogue Configurer les fonctionnalités de base, activez la case à cocher Équilibrage de charge, puis cliquez sur OK.

Configuration d’un service générique pour chaque pare-feu

Pour accepter le trafic provenant de tous les protocoles, vous devez configurer le service générique pour chaque pare-feu en spécifiant la prise en charge de tous les protocoles et ports.

Pour configurer un service générique pour chaque pare-feu à l’aide de l’interface de ligne de commande :

À l’invite de commandes, tapez la commande suivante pour configurer la prise en charge de tous les protocoles et ports :

add service <name>@ <serverName> <serviceType> <port_number>
<!--NeedCopy-->

Exemple :

add service fw-svc1 10.102.29.5 ANY *
<!--NeedCopy-->

Pour configurer un service générique pour chaque pare-feu à l’aide de l’interface graphique :

  1. Accédez à Gestion du trafic > Équilibrage de charge > Services.

  2. Dans le volet d’informations, cliquez sur Ajouter.

  3. Dans la boîte de dialogue Créer des services, spécifiez les valeurs des paramètres suivants comme indiqué :

    • Nom du service : nom
    • serveur—Nom du serveur

    -* Un paramètre obligatoire

  4. Dans Protocole, sélectionnez Tout et dans Port, sélectionnez *.

  5. Cliquez sur Créer, puis sur Fermer. Le service que vous avez créé apparaît dans le volet Services.

Configuration d’un moniteur pour chaque service

Un moniteur PING est lié par défaut au service. Vous devrez configurer un moniteur transparent pour surveiller les hôtes du côté approuvé via des pare-feu individuels. Vous pouvez ensuite lier le moniteur transparent aux services. Le moniteur PING par défaut surveille la connectivité uniquement entre l’appliance Citrix ADC et le périphérique en amont. Le moniteur transparent surveille tous les périphériques existants dans le chemin d’accès entre l’appliance et le périphérique qui possède l’adresse IP de destination spécifiée dans le moniteur. Si un moniteur transparent n’est pas configuré et que l’état du pare-feu est UP mais que l’un des périphériques de saut suivants de ce pare-feu est en panne, l’appliance inclut le pare-feu lors de l’équilibrage de charge et transmet le paquet au pare-feu. Cependant, le paquet n’est pas livré à la destination finale car l’un des périphériques de saut suivants est en panne. En liant un moniteur transparent, si l’un des périphériques (y compris le pare-feu) est en panne, le service est marqué comme étant DOWN et le pare-feu n’est pas inclus lorsque l’appliance effectue l’équilibrage de charge du pare-feu.

La liaison d’un moniteur transparent remplace le moniteur PING. Pour configurer un moniteur PING en plus d’un moniteur transparent, après avoir créé et lié un moniteur transparent, vous devez lier un moniteur PING au service.

Pour configurer un moniteur transparent à l’aide de l’interface de ligne de commande :

À l’invite de commandes, tapez les commandes suivantes pour configurer un moniteur transparent et vérifier la configuration :

add lb monitor <monitorName> <type> [-destIP <ip_addr|ipv6_addr|*>] [-transparent (YES | NO )]
bind lb monitor <monitorName> <serviceName>
<!--NeedCopy-->

Exemple :

add monitor monitor-HTTP-1 HTTP -destip 10.10.10.11 -transparent YES
bind monitor monitor-HTTP-1 fw-svc1
<!--NeedCopy-->

L’appliance Citrix ADC apprend les paramètres L2 du serveur à partir du moniteur lié au service. Pour les moniteurs UDP-ECV, configurez une chaîne de réception pour permettre à l’appliance d’apprendre les paramètres L2 du serveur. Si la chaîne de réception n’est pas configurée et que le serveur ne répond pas, l’appliance n’apprend pas les paramètres L2, mais le service est défini sur UP. Le trafic de ce service est en trou noir.

Pour configurer une chaîne de réception à l’aide de l’interface de ligne de commande :

À l’invite de commandes, tapez la commande suivante :

add lb monitor <monitorName> <type> [-destIP <ip_addr|ipv6_addr|*>] [-transparent (YES | NO )] [-send <string>] [-recv <string>]
<!--NeedCopy-->

Exemple :

add lb monitor monitor-udp-1 udp-ecv -destip 10.10.10.11 -transparent YES –send "test message" –recv "site_is_up"
<!--NeedCopy-->

Pour créer et lier un moniteur transparent à l’aide de l’interface graphique :

  1. Accédez à Gestion du trafic > Équilibrage de charge > Moniteurs.

  2. Dans le volet d’informations, cliquez sur Ajouter.

  3. Dans la boîte de dialogue Créer un moniteur, spécifiez les valeurs des paramètres suivants comme indiqué :

    • Nom*
    • Type*—type
    • IP destination
    • Transparent

    -* Un paramètre obligatoire

  4. Cliquez sur Créer, puis sur Fermer. Dans le volet Moniteurs, sélectionnez le moniteur que vous venez de configurer et vérifiez que les paramètres affichés en bas de l’écran sont corrects.

Configuration d’un serveur virtuel pour équilibrer la charge du trafic envoyé aux pare-feu

Pour équilibrer la charge n’importe quel type de trafic, vous devez configurer un serveur virtuel générique spécifiant le protocole et le port comme n’importe quelle valeur.

Pour configurer un serveur virtuel pour équilibrer la charge du trafic envoyé aux pare-feu à l’aide de l’interface de lignede commande :

À l’invite de commandes, tapez la commande suivante :

add lb vserver <name>@ <serviceType> <IPAddress> <port_number>
<!--NeedCopy-->

Exemple :

add lb vserver Vserver-LB-1 ANY * *
<!--NeedCopy-->

Pour configurer un serveur virtuel pour équilibrer la charge du trafic envoyé aux pare-feu à l’aide de l’interface graphique :

  1. Accédez à Gestion du trafic > Équilibrage de charge > Serveurs virtuels.
  2. Dans le volet d’informations, cliquez sur Ajouter.
  3. Dans Protocole, sélectionnez Tout, et dans Adresse IP et port, sélectionnez *.
  4. Cliquez sur Créer, puis sur Fermer. Le serveur virtuel que vous avez créé apparaît dans le volet Serveurs virtuels d’équilibrage de charge.

Configuration du serveur virtuel en mode de réécriture MAC

Pour configurer le serveur virtuel pour utiliser l’adresse MAC pour transférer le trafic entrant, vous devez activer le mode de réécriture MAC.

Pour configurer le serveur virtuel en mode réécriture MAC à l’aide de l’interface de ligne de commande :

À l’invite de commandes, tapez la commande suivante :

set lb vserver <name>@ -m <RedirectionMode>
<!--NeedCopy-->

Exemple :

set lb vserver Vserver-LB-1 -m MAC
<!--NeedCopy-->

Pour configurer le serveur virtuel en mode réécriture MAC à l’aide de l’interface graphique :

  1. Accédez à Gestion du trafic > Équilibrage de charge > Serveurs virtuels.
  2. Dans le volet d’informations, sélectionnez le serveur virtuel pour lequel vous souhaitez configurer le mode de redirection (par exemple, vServer-lb1), puis cliquez sur Ouvrir.
  3. Sous l’onglet Avancé, sous le mode Redirection Mode, cliquez sur Ouvrir.
  4. Cliquez sur OK.

Liaison des services de pare-feu au serveur virtuel

Pour accéder à un service sur l’appliance Citrix ADC, vous devez le lier à un serveur virtuel générique.

Pour lier des services de pare-feu au serveur virtuel à l’aide de l’interface de ligne de commande :

À l’invite de commandes, tapez la commande suivante :

bind lb vserver <name>@ <serviceName>
<!--NeedCopy-->

Exemple :

bind lb vserver Vserver-LB-1 Service-HTTP-1
<!--NeedCopy-->

Pour lier des services de pare-feu au serveur virtuel à l’aide de l’interface graphique :

  1. Accédez à Gestion du trafic > Équilibrage de charge > Serveurs virtuels.
  2. Dans le volet d’informations, sélectionnez le serveur virtuel pour lequel vous souhaitez configurer le mode de redirection (par exemple, vServer-lb1), puis cliquez sur Ouvrir.
  3. Dans la boîte de dialogue Configurer le serveur virtuel (équilibrage de charge), sous l’onglet Services, activez la case à cocher Actif en regard du service que vous souhaitez lier au serveur virtuel (par exemple, Service-HTTP-1).
  4. Cliquez sur OK.

Configuration de l’équilibrage de charge multipare-feu sur l’appliance Citrix ADC

Pour équilibrer la charge du trafic des deux côtés d’un Citrix ADC à l’aide de l’équilibrage de charge du pare-feu, vous devez activer l’équilibrage de charge de plusieurs pare-feu à l’aide du paramètre vServerSpecificMac.

Pour configurer l’équilibrage de charge de plusieurs pare-feu à l’aide de l’interface de ligne de commande :

À l’invite de commandes, tapez la commande suivante :

set lb parameter -vServerSpecificMac <status>
<!--NeedCopy-->

Exemple :

set lb parameter -vServerSpecificMac ENABLED
<!--NeedCopy-->

Pour configurer l’équilibrage de charge de plusieurs pare-feu à l’aide de l’interface graphique :

  1. Accédez à Gestion du trafic > Équilibrage de charge > Serveurs virtuels.
  2. Dans le volet d’informations, sélectionnez le serveur virtuel pour lequel vous souhaitez configurer le mode de redirection (par exemple, Configurer les paramètres d’équilibrage de charge).
  3. Dans la boîte de dialogue Définir les paramètres d’équilibrage de charge, activez la case à cocher MAC spécifique au serveur virtuel.
  4. Cliquez sur OK.

Enregistrement et vérification de la configuration

Lorsque vous avez terminé les tâches de configuration, veillez à enregistrer la configuration. Vous devez également vérifier que les paramètres sont corrects.

Pour enregistrer et vérifier la configuration à l’aide de l’interface de ligne de commande :

À l’invite de commandes, tapez les commandes suivantes pour configurer un moniteur transparent et vérifier la configuration :

  • save ns config
  • show vserver

Exemple :

save config
show lb vserver FWLBVIP2
        FWLBVIP2 (\*:\*) - ANY    Type: ADDRESS
        State: UP
        Last state change was at Mon Jun 14 07:22:54 2010
        Time since last state change: 0 days, 00:00:32.760
        Effective State: UP
        Client Idle Timeout: 120 sec
        Down state flush: ENABLED
        Disable Primary Vserver On Down : DISABLED
        No. of Bound Services :  2 (Total)       2 (Active)
        Configured Method: LEASTCONNECTION
        Current Method: Round Robin, Reason: A new service is bound
        Mode: MAC
        Persistence: NONE
        Connection Failover: DISABLED

1) fw-int-svc1 (10.102.29.5: *) - ANY State: UP Weight: 1
2) fw-int-svc2 (10.102.29.9: \*) - ANY State: UP Weight: 1
 Done
show service fw-int-svc1
        fw-int-svc1 (10.102.29.5:\*) - ANY
        State: DOWN
        Last state change was at Thu Jul  8 14:44:51 2010
        Time since last state change: 0 days, 00:01:50.240
        Server Name: 10.102.29.5
        Server ID : 0   Monitor Threshold : 0
        Max Conn: 0     Max Req: 0      Max Bandwidth: 0 kbits
        Use Source IP: NO
        Client Keepalive(CKA): NO
        Access Down Service: NO
        TCP Buffering(TCPB): NO
        HTTP Compression(CMP): NO
        Idle timeout: Client: 120 sec   Server: 120 sec
        Client IP: DISABLED
        Cacheable: NO
        SC: OFF
        SP: OFF
        Down state flush: ENABLED

1)      Monitor Name: monitor-HTTP-1
                State: DOWN     Weight: 1
                Probes: 9       Failed [Total: 9 Current: 9]
                Last response: Failure - Time out during TCP connection establishment stage
                Response Time: 2000.0 millisec
2)      Monitor Name: ping
                State: UP       Weight: 1
                Probes: 3       Failed [Total: 0 Current: 0]
                Last response: Success - ICMP echo reply received.
                Response Time: 1.275 millisec
 Done
<!--NeedCopy-->

Pour enregistrer et vérifier la configuration à l’aide de l’interface graphique :

  1. Dans le volet d’informations, cliquez sur Enregistrer.
  2. Dans la boîte de dialogue Enregistrer la configuration, cliquez sur Oui.
  3. Accédez à Gestion du trafic > Équilibrage de charge > Serveurs virtuels.
  4. Dans le volet d’informations, sélectionnez le serveur virtuel que vous avez créé à l’étape 5 et vérifiez que les paramètres affichés dans le volet d’informations sont corrects.
  5. Accédez à Gestion du trafic > Équilibrage de charge > Services.
  6. Dans le volet d’informations, sélectionnez le service que vous avez créé à l’étape 5 et vérifiez que les paramètres affichés dans le volet d’informations sont corrects.

Surveillance d’une configuration d’équilibrage de charge du pare-feu dans un environnement à pare-feu multiple

Une fois la configuration terminée, vous devez afficher les statistiques de chaque service et serveur virtuel pour vérifier les éventuels problèmes.

Affichage des statistiques d’un serveur virtuel

Pour évaluer les performances des serveurs virtuels ou pour résoudre les problèmes, vous pouvez afficher les détails des serveurs virtuels configurés sur l’appliance Citrix ADC. Vous pouvez afficher un résumé des statistiques pour tous les serveurs virtuels ou spécifier le nom d’un serveur virtuel pour afficher les statistiques uniquement pour ce serveur virtuel. Vous pouvez afficher les détails suivants :

  • Nom
  • Adresse IP
  • Port
  • Protocole
  • État du serveur virtuel
  • Taux de demandes reçues
  • Taux de succès

Pour afficher les statistiques du serveur virtuel à l’aide de l’interface de ligne de commande

Pour afficher un résumé des statistiques de tous les serveurs virtuels actuellement configurés sur l’appliance Citrix ADC, ou pour un seul serveur virtuel, à l’invite de commandes, tapez :

stat lb vserver [-detail] [<name>]
<!--NeedCopy-->

Exemple :

>stat lb vserver -detail
Virtual Server(s) Summary
                      vsvrIP  port     Protocol        State    Req/s   Hits/s
One                        *    80         HTTP           UP      5/s      0/s
Two                        *     0          TCP         DOWN      0/s      0/s
Three                      *  2598          TCP         DOWN      0/s      0/s
dnsVirtualNS    10.102.29.90    53          DNS         DOWN      0/s      0/s
BRVSERV            10.10.1.1    80         HTTP         DOWN      0/s      0/s
LBVIP           10.102.29.66    80         HTTP           UP      0/s      0/s
 Done


<!--NeedCopy-->

Pour afficher les statistiques du serveur virtuel à l’aide de l’interface graphique :

  1. Accédez à Gestion du trafic > Équilibrage de charge > Serveurs virtuels > Statistiques.
  2. Si vous souhaitez afficher les statistiques pour un seul serveur virtuel, dans le volet d’informations, sélectionnez le serveur virtuel, puis cliquez sur Statistiques.

Affichage des statistiques d’un service

Vous pouvez afficher le taux de demandes, de réponses, d’octets de demande, d’octets de réponse, de connexions client actuelles, de demandes dans la file d’attente de surtension, de connexions serveur actuelles, etc. à l’aide des statistiques de service.

Pour afficher les statistiques d’un service à l’aide de l’interface de ligne de commande :

À l’invite de commandes, tapez :

stat service <name>
<!--NeedCopy-->

Exemple :

stat service Service-HTTP-1
<!--NeedCopy-->

Pour afficher les statistiques d’un service à l’aide de l’interface graphique :

  1. Accédez à Gestion du trafic > Équilibrage de charge > Services > Statistiques.
  2. Si vous souhaitez afficher les statistiques pour un seul service, sélectionnez-le, puis cliquez sur Statistiques.
Environnement de pare-feu multiple
October 4, 2021
Contributeur: 
C
October 4, 2021
Contributeur: 
C

Dans cet article

Commentaires sur le site | Your privacy choices footer linkVos préférences de confidentialité | Confidentialité et conditions légales | Préférences de cookies | Paramètres de consentement | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.