Documentation Produit
ADC
14.1 - Current Release 13.1 13.0 12.1
Voir PDF

Configuration d’un tunnel CloudBridge Connector entre un centre de données et un nuage Azure

May 12, 2022
Contributeur: 
C

L’appliance Citrix ADC fournit une connectivité entre vos centres de données d’entreprise et Azure, fournisseur d’hébergement cloud Microsoft, ce qui fait d’Azure une extension transparente du réseau d’entreprise. Citrix ADC crypte la connexion entre le centre de données d’entreprise et le cloud Azure afin que toutes les données transférées entre les deux soient sécurisées.

Fonctionnement du tunnel CloudBridge Connector

Pour connecter un centre de données au cloud Azure, vous configurez un tunnel CloudBridge Connector entre une appliance Citrix ADC résidant dans le centre de données et une Gateway résidant dans le cloud Azure. L’appliance Citrix ADC dans le centre de données et la Gateway dans le cloud Azure sont les points d’extrémité du tunnel CloudBridge Connector et sont appelés homologues du tunnel CloudBridge Connector.

image localisée

Un tunnel CloudBridge Connector entre un centre de données et un nuage Azure utilise la suite de protocoles IPsec (Internet Protocol security) standard ouvert, en mode tunnel, pour sécuriser les communications entre pairs dans le tunnel CloudBridge Connector. Dans un tunnel CloudBridge Connector, IPsec garantit :

  • Intégrité des données
  • Authentification de l’origine des données
  • Confidentialité des données (cryptage)
  • Protection contre les attaques de relecture

IPsec utilise le mode tunnel dans lequel le paquet IP complet est chiffré, puis encapsulé. Le cryptage utilise le protocole ESP (Encapsulating Security Payload), qui assure l’intégrité du paquet à l’aide d’une fonction de hachage HMAC et assure la confidentialité à l’aide d’un algorithme de chiffrement. Le protocole ESP, après avoir chiffré la charge utile et calculé le HMAC, génère un en-tête ESP et l’insère avant le paquet IP crypté. Le protocole ESP génère également une remorque ESP et l’insère à la fin du paquet.

Le protocole IPsec encapsule ensuite le paquet résultant en ajoutant un en-tête IP avant l’en-tête ESP. Dans l’en-tête IP, l’adresse IP de destination est définie sur l’adresse IP de l’homologue CloudBridge Connecter.

Les homologues du tunnel CloudBridge Connector utilisent le protocole IKEv1 (Internet Key Exchange version 1) (partie de la suite de protocoles IPSec) pour négocier une communication sécurisée, comme suit :

  1. Les deux pairs s’authentifient mutuellement les uns avec les autres, en utilisant l’authentification de clé pré-partagée, dans laquelle les pairs échangent une chaîne de texte appelée clé pré-partagée (PSK). Les clés pré-partagées sont comparées les unes aux autres pour l’authentification. Par conséquent, pour que l’authentification réussisse, vous devez configurer la même clé pré-partagée sur chacun des homologues.

  2. Les pairs négocient ensuite pour parvenir à un accord sur :

    • Algorithme de chiffrement
    • Clés cryptographiques pour crypter des données sur un pair et les décrypter sur l’autre.

    Cet accord sur le protocole de sécurité, l’algorithme de chiffrement et les clés cryptographiques est appelé une association de sécurité (SA). Les SA sont unidirectionnelles (simplex). Par exemple, lorsqu’un tunnel CloudBridge Connector est configuré entre une appliance Citrix ADC dans un centre de données et une Gateway dans un nuage Azure, l’appliance du centre de données et la Gateway Azure disposent de deux SA. Une SA est utilisée pour le traitement des paquets sortants et l’autre SA pour le traitement des paquets entrants. Les SA expirent après un intervalle de temps spécifié, qui est appelé durée de vie.

Exemple de configuration du tunnel CloudBridge Connector et de flux de données

À titre d’illustration de CloudBridge Connector Tunnel, considérez un exemple dans lequel un tunnel CloudBridge Connector est configuré entre l’appliance Citrix ADC CB_Appliance-1 dans un centre de données et la Gateway Azure_Gateway-1 dans le cloud Azure.

CB_Appliance-1 fonctionne également comme un routeur L3, ce qui permet à un réseau privé du centre de données d’atteindre un réseau privé dans le cloud Azure via le tunnel CloudBridge Connector. En tant que routeur, CB_Appliance-1 permet la communication entre le client CL1 dans le centre de données et le serveur S1 dans le cloud Azure via le tunnel CloudBridge Connector. Le client CL1 et le serveur S1 se trouvent sur différents réseaux privés.

Sur CB_Appliance-1, la configuration du tunnel CloudBridge Connector inclut une entité de profil IPSec nommée CB_Azure_IPsec_profile, une entité de tunnel CloudBridge Connector nommée CB_Azure_Tunnel et une entité de routage basée sur des stratégies (PBR) nommée CB_Azure_PBR.

L’entité de profil IPsec CB_Azure_IPsec_profile spécifie les paramètres de protocole IPSec, tels que la version IKE, l’algorithme de chiffrement et l’algorithme de hachage, à utiliser par le protocole IPSec dans le tunnel CloudBridge Connector. CB_Azure_IPsec_profile est lié à l’entité de tunnel IP CB_Azure_Tunnel.

L’entité tunnel CloudBridge Connector CB_Azure_Tunnel spécifie l’adresse IP locale (adresse IP publique (SNIP) configurée sur l’appliance Citrix ADC), l’adresse IP distante (adresse IP du Azure_Gateway-1) et le protocole (IPsec) utilisé pour configurer le tunnel CloudBridge Connector. CB_Azure_Tunnel est lié à l’entité PBR CB_Azure_PBR.

L’entité PBR CB_Azure_PBR spécifie un ensemble de conditions et une entité tunnel CloudBridge Connector (CB_Azure_Tunnel). La plage d’adresses IP source et la plage d’adresses IP de destination sont les conditions de CB_Azure_PBR. La plage d’adresses IP source et la plage d’adresses IP de destination sont spécifiées en tant que sous-réseau dans le centre de données et sous-réseau dans le cloud Azure, respectivement. Tout paquet de requête provenant d’un client dans le sous-réseau du centre de données et destiné à un serveur dans le sous-réseau sur le cloud Azure correspond aux conditions de CB_Azure_PBR. Ce paquet est alors considéré pour le traitement CloudBridge et est envoyé à travers le tunnel CloudBridge Connector (CB_Azure_Tunnel) lié à l’entité PBR.

Sur Microsoft Azure, la configuration du tunnel CloudBridge Connector inclut une entité réseau locale nommée My-Datacenter-Network, une entité réseau virtuelle nommée Azure-Network-for-CloudBridge Tunnel et une Gateway nommée Azure_Gateway-1.

L’entité réseau locale (locale vers Azure) My-Datacenter-Network spécifie l’adresse IP de l’appliance Citrix ADC côté centre de données et le sous-réseau de centre de données dont le trafic doit traverser le tunnel CloudBridge Connector. L’entité réseau virtuel Azure-Network-for-CloudBridge-Tunnel définit un sous-réseau privé nommé Azure-Subnet-1 dans Azure. Le trafic du sous-réseau traverse le tunnel CloudBridge Connector. Le serveur S1 est provisionné dans ce sous-réseau.

L’entité réseau local My-Datacenter-Network est associée à l’entité réseau virtuel Azure-Network-for-CloudBridge-Tunnel. Cette association définit les détails du réseau local et distant de la configuration du tunnel CloudBridge Connector dans Azure. Gateway Azure_Gateway-1 a été créé pour que cette association devienne le point d’extrémité CloudBridge à l’extrémité Azure du tunnel CloudBridge Connector.

image localisée

Pour plus d’informations sur les paramètres, reportez-vous au document PDF CloudBridge Connector Tunnel Settings .

Points à considérer pour une configuration de tunnel CloudBridge Connector

Avant de configurer un tunnel CloudBridge Connector entre une appliance Citrix ADC dans le centre de données et Microsoft Azure, tenez compte des points suivants :

  1. L’appliance Citrix ADC doit disposer d’une adresse IPv4 publique (type SNIP) à utiliser comme adresse de point d’extrémité de tunnel pour le tunnel CloudBridge Connector. En outre, l’appliance Citrix ADC ne doit pas se trouver derrière un périphérique NAT.
  2. Azure prend en charge les paramètres IPsec suivants pour un tunnel CloudBridge Connector. Par conséquent, vous devez spécifier les mêmes paramètres IPSec lors de la configuration de Citrix ADC pour le tunnel CloudBridge Connector.
    • Version IKE = v1
    • Algorithme de chiffrement = AES
    • Algorithme de hachage = HMAC SHA1
  3. Vous devez configurer le pare-feu dans la périphérie du centre de données pour autoriser ce qui suit.
    • Tous les paquets UDP pour le port 500
    • Tous les paquets UDP pour le port 4500
    • Tous les paquets ESP (numéro de protocole IP 50)
  4. La nouvelle clé IKE, qui est la renégociation de nouvelles clés cryptographiques entre les points d’extrémité du tunnel CloudBridge Connector pour établir de nouvelles SA, n’est pas prise en charge. Lorsque les associations de sécurité (SA) expirent, le tunnel passe à l’état DOWN. Par conséquent, vous devez définir une très grande valeur pour la durée de vie des SA.
  5. Vous devez configurer Microsoft Azure avant de spécifier la configuration du tunnel sur Citrix ADC, car l’adresse IP publique de l’extrémité Azure (Gateway) du tunnel et du PSK sont générées automatiquement lorsque vous configurez la configuration du tunnel dans Azure. Vous avez besoin de ces informations pour spécifier la configuration du tunnel sur Citrix ADC.

Configuration du tunnel CloudBridge Connector

Pour configurer un tunnel CloudBridge Connector entre votre centre de données et Azure, vous devez installer CloudBridge VPX/MPX dans votre centre de données, configurer Microsoft Azure pour le tunnel CloudBridge Connector, puis configurer l’appliance Citrix ADC dans le centre de données pour le tunnel CloudBridge Connector.

La configuration d’un tunnel CloudBridge Connector entre une appliance Citrix ADC dans le centre de données et Microsoft Azure comporte les tâches suivantes :

  1. Configuration de l’appliance Citrix ADC dans le centre de données. Cette tâche implique le déploiement et la configuration d’une appliance physique Citrix ADC (MPX), ou le Provisioning et la configuration d’une appliance virtuelle Citrix ADC (VPX) sur une plate-forme de virtualisation du centre de données.
  2. Configuration de Microsoft Azure pour le tunnel CloudBridge Connector. Cette tâche implique la création d’entités réseau local, réseau virtuel et Gateway dans Azure. L’entité réseau locale spécifie l’adresse IP du point d’extrémité du tunnel CloudBridge Connector (l’appliance Citrix ADC) côté centre de données et le sous-réseau du centre de données dont le trafic doit traverser le tunnel CloudBridge Connector. Le réseau virtuel définit un réseau sur Azure. La création du réseau virtuel inclut la définition d’un sous-réseau dont le trafic doit traverser le tunnel CloudBridge Connector à former. Vous associez ensuite le réseau local au réseau virtuel. Enfin, vous créez une Gateway qui devient le point final à l’extrémité Azure du tunnel CloudBridge Connector.
  3. Configuration de l’appliance Citrix ADC dans le centre de données pour le tunnel CloudBridge Connector. Cette tâche implique la création d’un profil IPSec, d’une entité de tunnel IP et d’une entité PBR dans l’appliance Citrix ADC dans le centre de données. L’entité de profil IPsec spécifie les paramètres de protocole IPSec, tels que la version IKE, l’algorithme de chiffrement, l’algorithme de hachage et PSK, à utiliser dans le tunnel CloudBridge Connector. Le tunnel IP spécifie l’adresse IP des points d’extrémité du tunnel CloudBridge Connector (l’appliance Citrix ADC dans le centre de données et la Gateway dans Azure) et le protocole à utiliser dans le tunnel CloudBridge Connector. Vous associez ensuite l’entité de profil IPSec à l’entité de tunnel IP. L’entité PBR spécifie les deux sous-réseaux, dans le centre de données et dans le cloud Azure, qui doivent communiquer entre eux via le tunnel CloudBridge Connector. Vous associez ensuite l’entité de tunnel IP à l’entité PBR.

Configuration de Microsoft Azure pour le tunnel CloudBridge Connector

Pour créer une configuration de tunnel CloudBridge Connector sur Microsoft Azure, utilisez le portail de gestion Microsoft Windows Azure, qui est une interface graphique Web permettant de créer et de gérer des ressources sur Microsoft Azure.

Avant de commencer la configuration du tunnel CloudBridge Connector sur le cloud Azure, assurez-vous que :

  • Vous avez un compte d’utilisateur pour Microsoft Azure.
  • Vous avez une compréhension conceptuelle de Microsoft Azure.
  • Vous connaissez le portail de gestion Microsoft Windows Azure.

Pour configurer un tunnel CloudBridge Connector entre un centre de données et un nuage Azure, effectuez les tâches suivantes sur Microsoft Azure à l’aide du portail de gestion Microsoft Windows Azure :

  • Créez une entité de réseau local. Créez une entité réseau locale dans Windows Azure pour spécifier les détails réseau du centre de données. Une entité réseau locale spécifie l’adresse IP du point d’extrémité du tunnel CloudBridge Connector (Citrix ADC) côté centre de données et du sous-réseau du centre de données dont le trafic doit traverser le tunnel CloudBridge Connector.
  • Créez un réseau virtuel. Créez une entité de réseau virtuel qui définit un réseau sur Azure. Cette tâche comprend la définition d’un espace d’adressage privé, dans lequel vous fournissez une plage d’adresses privées et de sous-réseaux appartenant à la plage spécifiée dans l’espace d’adressage. Le trafic des sous-réseaux traverse le tunnel CloudBridge Connector. Vous associez ensuite une entité de réseau local à l’entité de réseau virtuel. Cette association permet à Azure de créer une configuration pour un tunnel CloudBridge Connector entre le réseau virtuel et le réseau du centre de données. Une Gateway (à créer) dans Azure pour ce réseau virtuel sera le point d’extrémité CloudBridge à l’extrémité Azure du tunnel CloudBridge Connector. Vous définissez ensuite un sous-réseau privé pour la Gateway à créer. Ce sous-réseau appartient à la plage spécifiée dans l’espace d’adressage dans l’entité de réseau virtuel.
  • Créez une Gateway dans Windows Azure. Créez une Gateway qui devient le point final à l’extrémité Azure du tunnel CloudBridge Connector. Azure, à partir de son pool d’adresses IP publiques, affecte une adresse IP à la Gateway créée.
  • Rassemblez l’adresse IP publique de la Gateway et la clé pré-partagée. Pour une configuration de tunnel CloudBridge Connector sur Azure, l’adresse IP publique de la Gateway et la clé pré-partagée (PSK) sont automatiquement générées par Azure. Prenez note de cette information. Vous en aurez besoin pour configurer le tunnel CloudBridge Connector sur Citrix ADC dans le centre de données.

Remarque :

Les procédures de configuration de Microsoft Azure pour un tunnel CloudBridge Connector peuvent changer au fil du temps, en fonction du cycle de publication de Microsoft Azure. Pour connaître les procédures les plus récentes, consultez la documentation Microsoft Azure.

Configuration de l’appliance Citrix ADC dans le centre de données pour le tunnel CloudBridge Connector

Pour configurer un tunnel CloudBridge Connector entre un centre de données et un nuage Azure, effectuez les tâches suivantes sur Citrix ADC dans le centre de données. Vous pouvez utiliser la ligne de commande Citrix ADC ou l’interface graphique :

  • Créez un profil IPSec. Une entité de profil IPsec spécifie les paramètres du protocole IPSec, tels que la version IKE, l’algorithme de chiffrement, l’algorithme de hachage et PSK, à utiliser par le protocole IPSec dans le tunnel CloudBridge Connector.
  • Créez un tunnel IP avec le protocole IPSec et associez le profil IPSec à celui-ci. Un tunnel IP spécifie l’adresse IP locale (une adresse SNIP publique configurée sur l’appliance Citrix ADC), l’adresse IP distante (l’adresse IP publique de la Gateway dans Azure), le protocole (IPsec) utilisé pour configurer le tunnel CloudBridge Connector et une entité de profil IPsec. L’entité de tunnel IP créée est également appelée entité de tunnel CloudBridge Connector.
  • Créez une règle PBR et associez-y le tunnel IP. Une entité PBR spécifie un ensemble de conditions et une entité tunnel IP (tunnel CloudBridge Connector). La plage d’adresses IP source et la plage d’adresses IP de destination sont les conditions de l’entité PBR. Vous devez définir la plage d’adresses IP source pour spécifier le sous-réseau du centre de données dont le trafic doit traverser le tunnel, et la plage d’adresses IP de destination pour spécifier le sous-réseau Azure dont le trafic doit traverser le tunnel CloudBridge Connector. Tout paquet de requête provenant d’un client dans le sous-réseau sur le centre de données et destiné à un serveur dans le sous-réseau sur le cloud Azure correspond à la plage IP source et de destination de l’entité PBR. Ce paquet est alors considéré pour le traitement du tunnel CloudBridge Connector et est envoyé à travers le tunnel CloudBridge Connector associé à l’entité PBR.

L’interface graphique combine toutes ces tâches dans un seul assistant appelé Assistant CloudBridge Connector. Pour créer un profil IPSEC à l’aide de la ligne de commande Citrix ADC :

À l’invite de commande, tapez :

add ipsec profile <name> -psk <string> -ikeVersion v1

Pour créer un tunnel IPSEC et y lier le profil IPSEC à l’aide de la ligne de commande Citrix ADC :

À l’invite de commande, tapez :

add ipTunnel <name> <remote> <remoteSubnetMask> <local> -protocol IPSEC –ipsecProfileName <string>

Pour créer une règle PBR et y lier le tunnel IPSEC à l’aide de la ligne de commande Citrix ADC

add pbr <pbrName> ALLOW –srcIP <subnet-range> -destIP <subnet-range> ipTunnel <tunnelName> apply pbrs

Exemple de configuration

Les commandes suivantes créent tous les paramètres du dispositif Citrix ADC CB_Appliance-1 utilisé dans « Exemple de configuration et de flux de données CloudBridge Connector ».

> add ipsec profile CB_Azure_IPSec_Profile -psk  DkiMgMdcbqvYREEuIvxsbKkW0FOyDiLM  -ikeVersion v1 –lifetime 31536000
Done

>  add iptunnel CB_Azure_Tunnel 168.63.252.133 255.255.255.255 66.165.176.15 –protocol IPSEC –ipsecProfileName CB_Azure_IPSec_Profile
Done

> add pbr CB_Azure_Pbr -srcIP 10.102.147.0-10.102.147.255 –destIP 10.20.0.0-10.20.255.255 –ipTunnelCB_Azure_Tunnel
Done

> apply pbrs
Done
<!--NeedCopy-->

Pour configurer un tunnel CloudBridge Connector dans une appliance Citrix ADC à l’aide de l’interface graphique graphique

  1. Accédez à l’interface graphique à l’aide d’un navigateur Web pour vous connecter à l’adresse IP de l’appliance Citrix ADC dans le centre de données.

  2. Accédez à Système > CloudBridge Connector.

  3. Dans le volet droit, sous Mise en route, cliquez sur Créer/surveiller CloudBridge.

  4. Cliquez sur Démarrer.

    image localisée

    Remarque : si vous avez déjà un tunnel CloudBridge Connector configuré sur l’appliance Citrix ADC, cet écran n’apparaît pas et vous accédez au volet Configuration du connecteur CloudBridge.

  5. Dans le volet d’installation de CloudBridge, cliquez sur Microsoft Windows Azure.

    image localisée

  6. Dans le volet Paramètres Azure, dans le champ Adresse IP de la passerelle, tapez l’adresse IP de la passerelle Azure. Le tunnel CloudBridge Connector est ensuite configuré entre l’appliance Citrix ADC et la Gateway. Dans les zones de texte Subnet (plage IP), spécifiez une plage de sous-réseaux (dans le cloud Azure) dont le trafic doit traverser le tunnel CloudBridge Connector. Cliquez sur Continuer.

    image localisée

  7. Dans le volet Paramètres Citrix ADC, dans la liste déroulante IP du sous-réseau local, sélectionnez une adresse SNIP accessible publiquement configurée sur l’appliance Citrix ADC. Dans les zones de texte Subnet (IP Range), spécifiez une plage de sous-réseau local dont le trafic doit traverser le tunnel CloudBridge Connector. Cliquez sur Continuer.

    image localisée

  8. Dans le volet Paramètres de CloudBridge, dans la zone de texte Nom de CloudBridge, tapez un nom pour le CloudBridge que vous souhaitez créer.

    image localisée

  9. Dans les listes déroulantes Algorithme de chiffrement et Algorithme de hachage, sélectionnez respectivement les algorithmes AES et HMAC_SHA1. Dans la zone de texte Clé de sécurité pré-partagée, tapez la clé de sécurité.

  10. Cliquez sur Terminé.

Surveillance du tunnel CloudBridge Connector

Vous pouvez afficher des statistiques pour surveiller les performances d’un tunnel CloudBridge Connector entre l’appliance Citrix ADC dans le centre de données et Microsoft Azure. Pour afficher les statistiques de tunnel CloudBridge Connector sur l’appliance Citrix ADC, utilisez l’interface graphique ou la ligne de commande Citrix ADC. Pour afficher les statistiques de tunnel CloudBridge Connector dans Microsoft Azure, utilisez le portail de gestion Microsoft Windows Azure.

Affichage des statistiques du tunnel CloudBridge Connector dans l’appliance Citrix ADC

Pour plus d’informations sur l’affichage des statistiques de tunnel CloudBridge Connector sur une appliance Citrix ADC, reportez-vous à Monitoring CloudBridge Connector Tunnels.

Affichage des statistiques de tunnel CloudBridge Connector dans Microsoft Azure

Le tableau suivant répertorie les compteurs statistiques disponibles pour la surveillance des tunnels CloudBridge Connector dans Microsoft Azure.

Compteur statistique Spécifie
DATA IN Nombre total de kilo-octets reçus par la Gateway Azure via le tunnel CloudBridge Connector depuis la création de la Gateway.
DATA OUT Nombre total de kilo-octets envoyés par la Gateway Azure via le tunnel CloudBridge Connector depuis la création de la Gateway.

Pour afficher les statistiques de tunnel CloudBridge Connector à l’aide du portail de gestion Microsoft Windows Azure

  1. Connectez-vous au portail de gestion Windows Azure à l’aide des informations d’identification de votre compte Microsoft Azure.

  2. Dans le volet gauche, cliquez sur RÉSEAUX.

  3. Sous l’onglet Réseau virtuel, dans la colonne Nom, sélectionnez l’entité réseau virtuel associée à un tunnel CloudBridge Connector dont vous souhaitez afficher les statistiques.

    image localisée

  4. Sur la page DASHBOARD du réseau virtuel, affichez les compteurs DATA IN et DATA OUT pour le tunnel CloudBridge Connector.

    image localisée

Configuration d’un tunnel CloudBridge Connector entre un centre de données et un nuage Azure
May 12, 2022
Contributeur: 
C
May 12, 2022
Contributeur: 
C

Dans cet article

Commentaires sur le site | Your privacy choices footer linkVos préférences de confidentialité | Confidentialité et conditions légales | Préférences de cookies | Paramètres de consentement | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.