Documentation Produit
ADC
14.1 - Current Release 13.1 13.0 12.1
Voir PDF

Cas d’utilisation 11 : Isolation du trafic réseau à l’aide de stratégies d’écoute

October 4, 2021
Contributeur: 
C

Remarque

La solution d’isolation du trafic utilisant des serveurs virtuels clichés pour simuler l’isolement multilocataire n’est plus recommandée. Citrix vous recommande également d’utiliser la fonctionnalité Citrix ADC Admin Partitioning pour de tels déploiements. Pour plus d’informations, voir Partitionnement administrateur.

Une exigence de sécurité courante dans un centre de données consiste à maintenir l’isolement du chemin réseau entre le trafic de diverses applications ou locataires. Le trafic d’une application ou d’un locataire doit être isolé du trafic d’autres applications ou locataires. Par exemple, une société de services financiers voudrait garder le trafic des applications de son service d’assurance distinct de celui de ses applications de services financiers. Par le passé, cela a été facilement réalisé grâce à la séparation physique des périphériques de service réseau tels que les pare-feu, les équilibreurs de charge et les IdP, ainsi qu’à la surveillance du réseau et à la séparation logique dans la structure de commutation.

À mesure que les architectures de datacenter évoluent vers des datacenters virtualisés multilocataires, les services de mise en réseau dans la couche d’agrégation d’un datacenter sont consolidés. Ce développement a fait de l’isolation des chemins de réseau un composant essentiel pour les périphériques de service réseau et conduit à la nécessité pour les ADC de pouvoir isoler le trafic aux niveaux L4 à L7. En outre, tout le trafic d’un locataire particulier doit passer par un pare-feu avant d’atteindre la couche de service.

Pour répondre à la nécessité d’isoler les chemins réseau, une appliance Citrix ADC identifie les domaines réseau et contrôle le trafic entre les domaines. La solution Citrix ADC comporte deux composants principaux : les stratégies d’écoute et les serveurs virtuels instantanés.

Chaque chemin réseau à isoler se voit attribuer un serveur virtuel sur lequel une stratégie d’écoute est définie afin que le serveur virtuel écoute uniquement le trafic à partir d’un domaine réseau spécifié.

Pour isoler le trafic, les stratégies d’écoute peuvent être basées sur plusieurs paramètres client ou leurs combinaisons, et les stratégies peuvent se voir attribuer des priorités. Le tableau suivant répertorie les paramètres qui peuvent être utilisés dans les stratégies d’écoute pour identifier le trafic.

Catégorie Paramètres
Protocole Ethernet Adresse MAC source, adresse MAC de destination
Interface réseau ID réseau, débit de réception, débit d’envoi, débit de transmission
Protocole IP Adresse IP source, adresse IP de destination
Protocole IPv6 Adresse IPv6 source, adresse IPv6 de destination
Protocole TCP Port source, port de destination, taille maximale du segment, charge utile et autres options
Protocole UDP Port source, port de destination
VLAN ID

Tableau 1. Paramètres client utilisés pour définir des stratégies d’écoute

Sur l’appliance Citrix ADC, un serveur virtuel est configuré pour chaque domaine, avec une stratégie d’écoute spécifiant que le serveur virtuel doit écouter uniquement le trafic de ce domaine. Un serveur virtuel d’équilibrage de charge instantanée est également configuré pour chaque domaine, qui écoute le trafic destiné à n’importe quel domaine. Chacun des serveurs virtuels d’équilibrage de charge instantanée a une adresse IP et un port génériques (*), et son type de service est défini sur ANY.

Dans chaque domaine, un pare-feu pour le domaine est lié en tant que service au serveur virtuel d’équilibrage de charge instantanée, qui transfère tout le trafic via le pare-feu. Le trafic local est transféré vers sa destination et le trafic destiné à un autre domaine est transféré vers le pare-feu de ce domaine. Les serveurs virtuels d’équilibrage de charge instantanée sont configurés pour la redirection en mode MAC.

Comment les chemins réseau sont isolés

La figure suivante montre un flux de trafic typique entre les domaines. Tenez compte du flux de trafic dans le domaine réseau 1 et entre le domaine réseau 1 et le domaine réseau 2.

Figure 1. Isolation du chemin d’accès réseau

Domaines de trafic - Isolation de chemin réseau

Trafic au sein du domaine réseau 1

Le domaine réseau 1 comporte trois VLAN : VLAN 11, VLAN110 et VLAN120. Les étapes suivantes décrivent le flux de trafic.

  • Un client de VLAN 11 envoie une demande pour un service disponible à partir du pool de services dans VLAN 120.
  • Le serveur virtuel d’équilibrage de charge LB-VIP1, qui est configuré pour écouter le trafic du VLAN 11, reçoit la demande et transmet la demande au VLAN 110. Le serveur virtuel du VLAN 110 transmet la demande au serveur virtuel d’équilibrage de charge instantanée FW-VIP-1.
  • FW-VIP-1, qui est configuré pour écouter le trafic à partir du VLAN 110, reçoit la demande et la transmet au VLAN 120.
  • Le serveur virtuel d’équilibrage de charge dans VLAN 120 équilibre la charge de la demande à l’un des serveurs physiques, App11, App12 ou App13.
  • La réponse envoyée par le serveur physique renvoie par le même chemin d’accès au client dans VLAN 11.

Cette configuration garantit que le trafic est toujours séparé à l’intérieur de Citrix ADC pour tout le trafic provenant d’un client.

Trafic entre le domaine réseau 1 et le domaine réseau 2

Le domaine réseau 1 comporte trois VLAN : VLAN 11, VLAN110 et VLAN120. Le domaine réseau 2 dispose également de trois VLAN : VLAN 22, VLAN 210 et VLAN 220. Les étapes suivantes décrivent le flux de trafic entre VALN 11 et VLAN 22.

  • Un client de VLAN 11, qui appartient au domaine réseau 1, envoie une demande pour un service disponible à partir du pool de services dans VLAN 220, qui appartient au domaine réseau 2.
  • Dans le domaine réseau 1, le serveur virtuel d’équilibrage de charge LB-VIP1, qui est configuré pour écouter le trafic du VLAN 11, reçoit la demande et transmet la demande au VLAN 110.
  • Le serveur virtuel d’équilibrage de charge instantanée FW-VIP-1, qui est configuré pour écouter le trafic VLAN 110 destiné à tout autre domaine, reçoit la demande et la transmet au serveur virtuel FW-VIP-2 de pare-feu car la demande est destinée à un serveur physique dans le domaine réseau 2.
  • Dans le domaine réseau 2, FW-VIP-2 transmet la demande au VLAN 220.
  • Le serveur virtuel d’équilibrage de charge dans VLAN 220 équilibre la charge de la demande à l’un des serveurs physiques, App21, App22 ou App23.
  • La réponse envoyée par le serveur physique renvoie par le même chemin d’accès via le pare-feu dans le domaine réseau 2, puis vers le domaine réseau 1 pour atteindre le client dans VLAN 11.

Étapes de configuration

Pour configurer l’isolement de chemin réseau à l’aide de stratégies d’écoute, procédez comme suit :

  • Ajouter des expressions de stratégie d’écoute. Chaque expression spécifie un domaine auquel le trafic est destiné. Vous pouvez utiliser l’ID VLAN ou d’autres paramètres pour identifier le trafic.
  • Pour chaque domaine réseau, configurez deux serveurs virtuels comme suit :

    • Créez un serveur virtuel d’équilibrage de charge pour lequel vous spécifiez une stratégie d’écoute qui identifie le trafic destiné à ce domaine. Vous pouvez spécifier le nom d’une expression créée précédemment ou vous pouvez créer une expression lors de la création du serveur virtuel.

    • Créez un autre serveur virtuel d’équilibrage de charge, appelé serveur virtuel instantané, pour lequel vous spécifiez une expression de stratégie d’écoute qui s’applique au trafic destiné à n’importe quel domaine. Sur ce serveur virtuel, définissez le type de service sur ANY et l’adresse IP et le port sur un astérisque (*). Activez le transfert basé sur Mac sur ce serveur virtuel.

    • Activez l’option Connexion L2 sur les deux serveurs virtuels.

      En règle générale, pour identifier une connexion, l’appliance Citrix ADC utilise le 4-tuple de l’adresse IP du client, du port client, de l’adresse IP de destination et du port de destination. Lorsque vous activez l’option Connexion L2, les paramètres de couche 2 de la connexion (numéro de canal, adresse MAC et ID VLAN) sont utilisés en plus du 4-tuple normal.

  • Ajoutez des services représentant les pools de serveurs dans le domaine et liez-les au serveur virtuel.
  • Configurez le pare-feu pour chaque domaine en tant que service et liez tous les services de pare-feu au serveur virtuel Shadow.

Pour isoler le trafic réseau à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez les commandes suivantes :

add policy expression <expressionName> <listenPolicyExpression>

add lb vserver <name> <serviceType> <ip> <port> -l2conn ON -listenPolicy <expressionName>
<!--NeedCopy-->

Ajoutez un serveur virtuel d’équilibrage de charge pour chaque domaine. Ce serveur virtuel est destiné au trafic du même domaine.

add lb vserver <name> ANY * * -l2conn ON -m MAC -listenPolicy <expressionName>
<!--NeedCopy-->

Ajoutez un serveur virtuel d’équilibrage de charge instantanée pour chaque domaine. Ce serveur virtuel est destiné au trafic d’autres domaines.

Exemple :

add policy expression e110 client.vlan.id==110
add policy expression e210 client.vlan.id==210
add policy expression e310 client.vlan.id==310
add policy expression e11 client.vlan.id==11
add policy expression e22 client.vlan.id==22
add policy expression e33 client.vlan.id==33

add lb vserver LB-VIP1 HTTP 10.1.1.254 80 -persistenceType NONE -listenPolicy e11
-cltTimeout 180 -l2Conn ON

add lb vserver LB-VIP2 HTTP 10.2.2.254 80 -persistenceType NONE - listenPolicy e22
-cltTimeout 180 -l2Conn ON

add lb vserver LB-VIP3 HTTP 10.3.3.254 80 -persistenceType NONE - listenPolicy e33
-cltTimeout 180 -l2Conn ON


add lb vserver FW-VIP-1 ANY * * -persistenceType NONE -lbMethod ROUNDROBIN - listenPolicy e110 -Listenpriority 1 -m MAC -cltTimeout 120

add lb vserver FW-VIP-2 ANY * * -persistenceType NONE -lbMethod ROUNDROBIN - listenPolicy e210 -Listenpriority 2 -m MAC -cltTimeout 120

add lb vserver FW-VIP-3 ANY * * -persistenceType NONE -lbMethod ROUNDROBIN - listenPolicy e310 -Listenpriority 3 -m MAC -cltTimeout 120


add service RD-1 10.1.1.1 ANY * -gslb NONE -maxClient 0 -maxReq 0 -cip DISABLED
-usip NO -useproxyport NO -sp ON -cltTimeout 120 -svrTimeout 120 -CKA NO -TCPB NO -CMP NO

add service RD-2 10.2.2.1 ANY * -gslb NONE -maxClient 0 -maxReq 0 -cip DISABLED
-usip NO -useproxyport NO -sp ON -cltTimeout 120 -svrTimeout 120 -CKA NO -TCPB NO -CMP NO

add service RD-3 10.3.3.1 ANY * -gslb NONE -maxClient 0 -maxReq 0 -cip DISABLED
-usip NO -useproxyport NO -sp ON -cltTimeout 120 -svrTimeout 120 -CKA NO -TCPB NO -CMP NO


bind lb vserver FW-VIP-1 RD-1

bind lb vserver FW-VIP-2 RD-2

bind lb vserver FW-VIP-3 RD-3
<!--NeedCopy-->

Pour isoler le trafic réseau à l’aide de l’utilitaire de configuration

  1. Ajoutez des services représentant les serveurs, comme décrit dans la section Création d’un service.
  2. Ajoutez chaque pare-feu en tant que service :
    1. Accédez à Gestion du trafic > Équilibrage de charge > Services.
    2. Créez un service en spécifiant le protocole ANY, le serveur comme adresse IP du pare-feu et le port 80.
  3. Configurez un serveur virtuel d’équilibrage de charge.
  4. Configurez le serveur virtuel d’équilibrage de charge instantanée.
  5. Pour chaque domaine réseau, répétez les étapes 3 et 4.
  6. Dans le volet Serveurs virtuels d’équilibrage de charge, ouvrez les serveurs virtuels que vous avez créés et vérifiez les paramètres.
Cas d’utilisation 11 : Isolation du trafic réseau à l’aide de stratégies d’écoute
October 4, 2021
Contributeur: 
C
October 4, 2021
Contributeur: 
C

Dans cet article

Commentaires sur le site | Confidentialité et conditions légales | Préférences de cookies | Paramètres de consentement | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.