Enregistrement et surveillance NAT64 à grande échelle

Vous pouvez enregistrer des informations NAT64 à grande échelle pour diagnostiquer et résoudre les problèmes, et pour respecter les exigences légales. Vous pouvez surveiller les performances du déploiement NAT64 à grande échelle en utilisant des compteurs statistiques et en affichant les sessions en cours associées.

Enregistrement de données NAT64 à grande échelle

L’enregistrement d’informations NAT64 à grande échelle est nécessaire pour que les FAI respectent les exigences légales et identifient la source du trafic à tout moment.

Un message de journal pour une entrée de mappage NAT64 à grande échelle contient les informations suivantes :

• Adresse IP appartenant à NetScaler (adresse NSIP ou adresse SNIP) d’où provient le message du journal.
• Horodatage.
• Type d’entrée (MAPPING).
• Si l’entrée de mappage a été créée ou supprimée.
• Adresse IP, port et ID de domaine de trafic de l’abonné.
• Adresse IP et port NAT.
• Nom du protocole.
• L’adresse IP de destination, le port et l’ID du domaine de trafic peuvent être présents, selon les conditions suivantes :
  • L’adresse IP et le port de destination ne sont pas enregistrés pour le mappage indépendant du point de terminaison.
  • Seule l’adresse IP de destination est enregistrée pour le mappage dépendant de l’adresse. Le port n’est pas enregistré.
  • L’adresse IP et le port de destination sont enregistrés pour un mappage dépendant du port d’adresse.

Un message de journal pour une session NAT64 à grande échelle contient les informations suivantes :

• Adresse IP appartenant à NetScaler (adresse NSIP ou adresse SNIP) d’où provient le message du journal
• Horodatage
• Type d’entrée (SESSION)
• Si la session est créée ou supprimée
• Adresse IP, port et ID de domaine de trafic de l’abonné
• Adresse IP et port NAT
• Nom du protocole
• Adresse IP de destination, port et ID de domaine de trafic

Le tableau suivant présente des exemples d’entrées de journal NAT64 à grande échelle de chaque type stockées sur les serveurs de journaux configurés. Les entrées du journal indiquent qu’un abonné dont l’adresse IPv6 est 2001:db 8:5001 : :9 a été connecté à l’adresse IP de destination 23.0.0. 1:80 via l’adresse NAT IP:port 203.0.113. 63:45195 le 7 avril 2016, de 14:07:57 GMT à 14:010:59 GMT.

Étapes de configuration

Vous pouvez configurer la journalisation des informations NAT64 à grande échelle pour une configuration NAT64 à grande échelle en définissant les paramètres de journalisation et de journalisation de session des groupes LSN. Il s’agit de paramètres au niveau du groupe qui sont désactivés par défaut. L’appliance NetScaler enregistre les sessions NAT64 à grande échelle pour un groupe LSN uniquement lorsque les paramètres de journalisation et de journalisation de session sont activés.

Le tableau suivant présente le comportement de journalisation d’un groupe LSN pour différents paramètres de journalisation et de journalisation de session.

Pour enregistrer des informations NAT64 à grande échelle à l’aide de l’interface de ligne de commande

Pour définir les paramètres de journalisation et de journalisation de session lors de l’ajout d’un groupe LSN, à l’invite de commandes, tapez :

add lsn group <groupname> -clientname <string> [-logging (ENABLED|DISABLED)] [-sessionLogging (ENABLED|DISABLED)]

show lsn group
<!--NeedCopy-->

Pour définir les paramètres de journalisation et de journalisation de session pour un groupe LSN existant, à l’invite de commandes, tapez :

set lsn group <groupname> [-logging (ENABLED|DISABLED)] [-sessionLogging (ENABLED|DISABLED)]

show lsn group
<!--NeedCopy-->

Exemple de configuration

Dans cet exemple de configuration NAT64 à grande échelle, les paramètres de journalisation et de journalisation de session sont activés pour le groupe LSN LSN-NAT64-GROUP-1.

L’appliance NetScaler enregistre les informations de session NAT64 et de mappage à grande échelle pour les connexions des abonnés (sur le réseau 2001:DB 8:5001 : :/96).

Exemple de configuration :

add lsn client LSN-NAT64-CLIENT-1 Done
Done
bind lsn client LSN-NAT64-CLIENT-1 -network6 2001:DB8:5001::/96
Done
add lsn pool LSN-NAT64-POOL-1
Done
bind lsn pool LSN-NAT64-POOL-1 203.0.113.61 - 203.0.113.70
Done
add lsn ip6profile LSN-NAT64-PROFILE-1 -type NAT64 -natprefix 2001:DB8:300::/96
Done
add lsn group LSN-NAT64-GROUP-1 -clientname LSN-NAT64-CLIENT-1  -ip6profile LSN-NAT64-PROFILE-1  -logging ENABLED -sessionLogging ENABLED
Done
bind lsn group LSN-NAT64-GROUP-1 -poolname LSN-NAT64-POOL-1
Done
<!--NeedCopy-->

Enregistrement des informations MSISDN pour un système NAT64 à grande échelle

Un numéro de répertoire d’abonnés intégré à une station mobile (MSISDN) est un numéro de téléphone identifiant de manière unique un abonné sur plusieurs réseaux mobiles. Le MSISDN est associé à un code de pays et à un code de destination national identifiant l’opérateur de l’abonné.

Vous pouvez configurer une appliance NetScaler pour inclure MsisDNS dans les entrées de journal LSN NAT64 à grande échelle pour les abonnés des réseaux mobiles. La présence de MSISDNS dans les journaux du LSN permet de retrouver plus rapidement et avec précision un abonné mobile qui a enfreint une politique ou une loi, ou dont les informations sont requises par des agences d’interception légales.

Les exemples d’entrées de journal LSN suivants incluent des informations MSISDN pour une connexion depuis un abonné mobile dans une configuration LSN. Les entrées du journal indiquent qu’un abonné mobile dont le MSISDN est E 164:5556543210 et l’adresse IPv6 est 2001:db 8:5001 : :9 a été connecté à l’adresse IP de destination 23.0.0. 1:80 via le port NAT 203.0.113. 63:45195 le 7 avril 2016, de 14:07:57 GMT à 14:010:59 GMT.

Étapes de configuration

Effectuez les tâches suivantes pour inclure les informations MSISDN dans les journaux LSN :

• Créez un profil de journal LSN. Un profil de journal LSN inclut le paramètre ID d’abonné au journal, qui indique s’il faut ou non inclure les informations MSISDN dans les journaux LSN d’une configuration LSN.
• Liez le profil de journal LSN à un groupe LSN d’une configuration LSN. Liez le profil de journal LSN créé à un groupe LSN d’une configuration LSN en définissant le paramètre de nom du profil de journal sur le nom du profil de journal LSN créé. Les informations MSISDN sont incluses dans tous les journaux LSN relatifs aux abonnés mobiles de ce groupe LSN.

Pour créer un profil de journal LSN à l’aide de l’interface de ligne de commande

À l’invite de commande, tapez :

add lsn logprofile <logprofilename> -logSubscriberID ( ENABLED | DISABLED )

show lsn logprofile
<!--NeedCopy-->

Pour lier un profil de journal LSN à un groupe LSN d’une configuration LSN NAT64 à l’aide de l’interface de ligne de commande

À l’invite de commande, tapez :

bind lsn group <groupname>  -logProfileName <lsnlogprofilename>

show lsn group
<!--NeedCopy-->

Exemple de configuration

Dans cet exemple de configuration LSN NAT64, le paramètre ID d’abonné au journal est activé pour le profil de journal LSN LOG-PROFILE-MSISDN-1. LOG-PROFILE-MSISDN-1 est lié au groupe LSN LSN-NAT64-GROUP-1. Les informations MSISDN sont incluses dans les journaux de session LSN et de mappage LSN pour les connexions des abonnés mobiles (dans le réseau 2001:DB 8:5001 : :/96).

add lsn logprofile  LOG-PROFILE-MSISDN-1  -logSubscriberID ENABLED
Done
add lsn client LSN-NAT64-CLIENT-1
Done
bind lsn client LSN-NAT64-CLIENT-1 -network6 2001:DB8:5001::/96
Done
add lsn pool LSN-NAT64-POOL-1
Done
bind lsn pool LSN-NAT64-POOL-1 203.0.113.61 - 203.0.113.70
Done
add lsn ip6profile LSN-NAT64-PROFILE-1 -type NAT64 -natprefix 2001:DB8:300::/96
Done
add lsn group LSN-NAT64-GROUP-1 -clientname LSN-NAT64-CLIENT-1  -ip6profile LSN-NAT64-PROFILE-1
Done
bind lsn group LSN-NAT64-GROUP-1 -poolname LSN-NAT64-POOL-1
Done
bind lsn group LSN-NAT64-GROUP-1 -logprofilename  LOG-PROFILE-MSISDN-1
Done
<!--NeedCopy-->

Journalisation compacte pour un NAT à grande échelle

L’enregistrement des informations LSN est l’une des fonctions importantes dont les FAI ont besoin pour répondre aux exigences légales et être en mesure d’identifier la source du trafic à tout moment. Cela se traduit finalement par un énorme volume de données de journalisation, obligeant les FAI à réaliser d’importants investissements pour maintenir l’infrastructure de journalisation.

La journalisation compacte est une technique qui permet de réduire la taille du journal en utilisant un changement de notation impliquant des codes courts pour les noms d’événements et de protocoles. Par exemple, C pour le client, SC pour la session créée et T pour TCP. La journalisation compacte entraîne une réduction moyenne de 40 % de la taille des journaux.

Étapes de configuration

Effectuez les tâches suivantes pour enregistrer les informations LSN au format compact :

1. Créez un profil de journal LSN. Un profil de journal LSN inclut le paramètre Log Compact, qui indique si les informations doivent être enregistrées au format compact pour une configuration LSN.
2. Liez le profil de journal LSN à un groupe LSN d’une configuration LSN. Liez le profil de journal LSN créé à un groupe LSN d’une configuration LSN en définissant le paramètre Nom du profil de journal sur le nom du profil de journal LSN créé. Toutes les sessions et tous les mappages de ce groupe LSN sont enregistrés au format compact.

Pour créer un profil de journal LSN à l’aide de l’interface de ligne de commande

À l’invite de commande, tapez :

add lsn logprofile <logprofilename> -logCompact (ENABLED|DISABLED)

show lsn logprofile
<!--NeedCopy-->

Pour lier un profil de journal LSN à un groupe LSN d’une configuration LSN à l’aide de l’interface de ligne de commande

À l’invite de commande, tapez :

bind lsn group <groupname> -logProfileName <lsnlogprofilename>

show lsn group
<!--NeedCopy-->

Exemple de configuration pour NAT64 :

add lsn logprofile  LOG-PROFILE-COMPACT-1 -logCompact ENABLED
Done
add lsn client LSN-NAT64-CLIENT-1
Done
bind lsn client LSN-NAT64-CLIENT-1 -network6 2001:DB8:5001::/96
Done
add lsn pool LSN-NAT64-POOL-1
Done
bind lsn pool LSN-NAT64-POOL-1 203.0.113.61 - 203.0.113.70
Done
add lsn ip6profile LSN-NAT64-PROFILE-1 -type NAT64 -natprefix 2001:DB8:300::/96
Done
add lsn group LSN-NAT64-PROFILE-1 -clientname LSN-NAT64-CLIENT-1  -ip6profile LSN-NAT64-PROFILE-1
Done
bind lsn group LSN-NAT64-GROUP-1 -poolname LSN-NAT64-POOL-1
Done
bind lsn group LSN-NAT64-GROUP-1 –logProfileName LOG-PROFILE-COMPACT-1
Done
<!--NeedCopy-->

Enregistrement des informations d’en-tête HTTP

L’appliance NetScaler peut enregistrer les informations d’en-tête de demande d’une connexion HTTP qui utilise la fonctionnalité NAT64 à grande échelle de NetScaler. Les informations d’en-tête suivantes d’un paquet de requête HTTP peuvent être enregistrées :

• URL à laquelle la requête HTTP est destinée
• Méthode HTTP spécifiée dans la requête HTTP
• Version HTTP utilisée dans la requête HTTP
• Adresse IPv6 de l’abonné qui a envoyé la requête HTTP

Les journaux d’en-tête HTTP peuvent être utilisés par les FAI pour voir les tendances liées au protocole HTTP parmi un ensemble d’abonnés. Par exemple, un fournisseur de services Internet peut utiliser cette fonctionnalité pour trouver le site Web le plus populaire parmi un ensemble d’abonnés.

Étapes de configuration

Effectuez les tâches suivantes pour configurer l’appliance NetScaler afin qu’elle enregistre les informations d’en-tête HTTP :

• Créez un profil de journal d’en-tête HTTP. Un profil de journal d’en-tête HTTP est un ensemble d’attributs d’en-tête HTTP (par exemple, URL et méthode HTTP) qui peuvent être activés ou désactivés pour la journalisation.
• Liez l’en-tête HTTP à un groupe LSN d’une configuration NAT64 à grande échelle. Liez le profil de journal d’en-tête HTTP à un groupe LSN d’une configuration LSN en définissant le paramètre de nom du profil de journal d’en-tête HTTP sur le nom du profil de journal d’en-tête HTTP créé. L’appliance NetScaler enregistre ensuite les informations d’en-tête HTTP de toutes les requêtes HTTP liées au groupe LSN. Un profil de journal d’en-tête HTTP peut être lié à plusieurs groupes LSN, mais un groupe LSN ne peut avoir qu’un seul profil de journal d’en-tête HTTP.

Pour créer un profil de journal d’en-tête HTTP à l’aide de l’interface de ligne de commande

À l’invite de commande, tapez :

add lsn httphdrlogprofile <httphdrlogprofilename> [-logURL ( ENABLED | DISABLED )] [-logMethod ( ENABLED | DISABLED )] [-logVersion ( ENABLED | DISABLED )] [-logHost ( ENABLED | DISABLED )]

show lsn httphdrlogprofile
<!--NeedCopy-->

Pour lier un profil de journal d’en-tête HTTP à un groupe LSN à l’aide de l’interface de ligne de commande

À l’invite de commande, tapez :

bind lsn group <groupname> -httphdrlogprofilename <string>

show lsn group <groupname>
<!--NeedCopy-->

Exemple de configuration

add lsn httphdrlogprofile HTTP-HEADER-LOG-1
Done
add lsn client LSN-NAT64-CLIENT-1 Done
Done
bind lsn client LSN-NAT64-CLIENT-1 -network6 2001:DB8:5001::/96
Done
add lsn pool LSN-NAT64-POOL-1
Done
bind lsn pool LSN-NAT64-POOL-1 203.0.113.61 - 203.0.113.70
Done
add lsn ip6profile LSN-NAT64-PROFILE-1 -type NAT64 -natprefix 2001:DB8:300::/96
Done
add lsn group LSN-NAT64-GROUP-1 -clientname LSN-NAT64-CLIENT-1  -ip6profile LSN-NAT64-PROFILE-1
Done
bind lsn group LSN-NAT64-GROUP-1 -poolname LSN-NAT64-POOL-1
Done
bind lsn group LSN-NAT64-GROUP-1 -httphdrlogprofilename HTTP-HEADER-LOG-1
Done
<!--NeedCopy-->

Affichage des sessions NAT64 à grande échelle en cours

Vous pouvez afficher les sessions NAT64 à grande échelle actuelles afin de détecter toute session indésirable ou inefficace sur l’appliance NetScaler. Vous pouvez afficher toutes les sessions NAT64 à grande échelle ou certaines d’entre elles en fonction des paramètres de sélection.

Remarque

Lorsque plus d’un million de sessions NAT64 à grande échelle existent sur l’appliance NetScaler, Citrix recommande d’utiliser les paramètres de sélection pour afficher les sessions NAT64 à grande échelle sélectionnées au lieu de les afficher toutes.

Pour afficher toutes les sessions NAT64 à grande échelle à l’aide de l’interface de ligne de commande

À l’invite de commande, tapez :

show lsn session –nattype NAT64
<!--NeedCopy-->

Pour afficher des sessions NAT64 sélectives à grande échelle à l’aide de l’interface de ligne de commande

À l’invite de commande, tapez :

show lsn session –nattype NAT64 [-network6 <ipv6_addr|*>] [-clientname <string>] [-natIP <ip_addr> [-natPort <port>]]
<!--NeedCopy-->

Affichage de statistiques NAT64 à grande échelle

Vous pouvez afficher des statistiques relatives au module NAT64 à grande échelle et évaluer ses performances ou résoudre des problèmes. Vous pouvez afficher un résumé des statistiques de toutes les configurations NAT64 à grande échelle ou d’une configuration NAT64 à grande échelle particulière. Les compteurs statistiques reflètent les événements survenus depuis le dernier redémarrage de l’appliance NetScaler. Tous ces compteurs sont remis à 0 lorsque l’appliance NetScaler est redémarrée.

Pour afficher les statistiques totales de NAT64 à grande échelle à l’aide de l’interface de ligne de commande

À l’invite de commande, tapez :

stat lsn nat64
<!--NeedCopy-->

Pour afficher les statistiques d’une configuration NAT64 à grande échelle spécifiée à l’aide de l’interface de ligne de commande

À l’invite de commande, tapez :

stat lsn group <groupname>
<!--NeedCopy-->

Effacement de sessions NAT64 à grande échelle

Vous pouvez supprimer toutes les sessions NAT64 à grande échelle indésirables ou inefficaces de l’appliance NetScaler. L’appliance libère immédiatement les ressources (telles que l’adresse IP NAT, le port et la mémoire) allouées à ces sessions, les rendant ainsi disponibles pour de nouvelles sessions. L’appliance supprime également tous les paquets suivants liés à ces sessions supprimées. Vous pouvez supprimer toutes les sessions NAT64 à grande échelle ou certaines d’entre elles de l’appliance NetScaler.

Pour effacer toutes les sessions NAT64 à grande échelle à l’aide de l’interface de ligne de commande

À l’invite de commande, tapez :

flush lsn session –nattype NAT64

show lsn session –nattype NAT64
<!--NeedCopy-->

Pour effacer des sessions NAT64 sélectives à grande échelle à l’aide de l’interface de ligne de commande

À l’invite de commande, tapez :

flush lsn session –nattype NAT64 [-network6 <ipv6_addr|*>] [-clientname <string>] [-natIP <ip_addr> [-natPort <port>]]

show lsn session –nattype NAT64 [-network6 <ipv6_addr|*>] [-clientname <string>] [-natIP <ip_addr> [-natPort <port>]]
<!--NeedCopy-->

Exemple de configuration :

Effacez toutes les sessions NAT64 à grande échelle existantes sur une appliance NetScaler

flush lsn session  –nattype NAT64
Done
<!--NeedCopy-->

Efface toutes les sessions NAT64 à grande échelle liées à l’entité cliente LSN-NAT64-CLIENT-1

flush lsn session –nattype NAT64 -clientname LSN-NAT64-CLIENT-1
Done
<!--NeedCopy-->

Efface toutes les sessions NAT64 à grande échelle liées à un réseau d’abonnés (2001:DB 8:5001 : :/96) de l’entité cliente LSN LSN-NAT64-CLIENT-2

flush lsn session –nattype NAT64 –network6 2001:DB8:5001::/96 -clientname LSN-NAT64-CLIENT-2
Done
<!--NeedCopy-->

Journalisation IPFIX

L’appliance NetScaler prend en charge l’envoi d’informations sur les événements LSN au format IPFIX (Internet Protocol Flow Information Export) vers l’ensemble configuré de collecteurs IPFIX. L’appliance utilise la fonctionnalité AppFlow existante pour envoyer des événements LSN au format IPFIX aux collecteurs IPFIX.

La journalisation basée sur IPFIX est disponible pour les événements suivants liés à NAT64 :

• Création ou suppression d’une session LSN.
• Création ou suppression d’une entrée de mappage LSN.
• Allocation ou désallocation de blocs de ports dans le contexte d’un NAT déterministe.
• Allocation ou désallocation de blocs de ports dans le contexte d’un NAT dynamique.
• Chaque fois que le quota de sessions d’abonnés est dépassé.

Points à prendre en compte avant de configurer la journalisation IPFIX

Avant de commencer à configurer IPsec ALG, tenez compte des points suivants :

• Vous devez configurer la fonctionnalité AppFlow et le ou les collecteurs IPFIX sur l’appliance NetScaler. Pour obtenir des instructions, reportez-vous à la section Configuration de la fonctionnalité AppFlow.

Étapes de configuration

Effectuez les tâches suivantes pour enregistrer les informations LSN au format IPFIX :

• Activez la journalisation LSN dans la configuration AppFlow. Activez le paramètre de journalisation LSN dans le cadre de la configuration d’AppFlow.
• Créez un profil de journal LSN. Un profil de journal LSN inclut le paramètre IPFIX qui active ou désactive les informations du journal au format IPFIX.
• Liez le profil de journal LSN à un groupe LSN d’une configuration LSN. Liez le profil du journal LSN à un ou plusieurs groupes LSN. Les événements liés au groupe LSN lié seront enregistrés au format IPFIX.

Pour activer la journalisation LSN dans la configuration AppFlow à l’aide de l’interface de ligne de commande

À l’invite de commande, tapez :

set appflow param -lsnLogging ( ENABLED | DISABLED )

show appflow param
<!--NeedCopy-->

Pour créer un profil de journal LSN à l’aide de la CLI à l’invite de commande, tapez

À l’invite de commande, tapez :

set lsn logprofile <logProfileName>  -logipfix ( ENABLED | DISABLED )

show lsn logprofile
<!--NeedCopy-->

Pour lier le profil de journal LSN à un groupe LSN d’une configuration LSN à l’aide de l’interface de ligne de commande

À l’invite de commande, tapez :

bind lsn group <groupname>  -logProfileName <lsnlogprofilename>

show lsn group
<!--NeedCopy-->

Pour créer un profil de journal LSN à l’aide de l’interface graphique

Accédez à Système > NAT à grande échelle > Profils, cliquez sur l’onglet Journal, puis ajoutez un profil de journal.

Pour lier le profil de journal LSN à un groupe LSN d’une configuration LSN à l’aide de l’interface graphique

1. Accédez à Système > NAT à grande échelle > Groupe LSN, puis ouvrez le groupeLSN.
2. Dans Paramètres avancés, cliquez sur + Profil de journal pour lier le profil de journal créé au groupe LSN.