Gateway

Configurer le serveur virtuel VPN DTLS à l’aide du serveur virtuel VPN SSL

May 23, 2023

Contributeur:

Vous pouvez configurer un serveur virtuel VPN DTLS pour une appliance NetScaler Gateway en utilisant la même adresse IP et le même numéro de port qu’un serveur virtuel VPN SSL configuré. La configuration des serveurs virtuels VPN DTLS vous permet de lier les chiffrements et certificats DTLS avancés au trafic DTLS pour une sécurité renforcée. À partir de la version 13.0 build 47.x, le protocole DTLS 1.2 est pris en charge en plus du protocole DTLS 1.0 précédemment pris en charge.

Important :

Par défaut, la fonctionnalité DTLS est définie sur ON pour le serveur virtuel VPN SSL existant. Désactivez la fonctionnalité du serveur avant de créer le serveur virtuel VPN DTLS.

Le serveur virtuel de passerelle SNI pour DTLS est pris en charge dans NetScaler Gateway version 13.0 build 64.x et versions ultérieures.

À partir de NetScaler version 13.0 build 79.x, le helloverifyrequest paramètre est activé par défaut. L’activation du paramètre helloverifyrequest sur le profil DTLS permet d’atténuer le risque qu’un attaquant ou des bots submerge le débit réseau, entraînant potentiellement un épuisement de la bande passante sortante. C’est-à-dire qu’il aide à atténuer l’attaque d’amplification DDoS DTLS. Pour plus d’informations sur le paramètre helloverifyrequest, consultez la section Profil DTLS.

Lors de la gestion du trafic UDP, la consommation de mémoire de l’appliance NetScaler augmente si les serveurs principaux acheminent un trafic important. Par conséquent, l’appliance NetScaler ne peut pas transférer ce trafic vers le client en raison de la connexion TCP MUX côté client. Dans ce cas, Citrix vous recommande d’utiliser le protocole DTLS.

Points à noter

Le serveur virtuel VPN DTLS sur une appliance NetScaler Gateway peut être configuré à partir de la version 13.0 build 58.x.
Avant de configurer un serveur virtuel VPN DTLS sur une appliance NetScaler Gateway, vous devez avoir configuré un serveur virtuel VPN SSL sur l’appliance.
Le serveur virtuel VPN DTLS utilise l’adresse IP et le numéro de port du serveur virtuel VPN SSL configuré.
Si la connexion DTLS échoue, la connexion revient au protocole TLS.
Pour utiliser DTLS uniquement, vous pouvez désactiver le protocole TLS en liant uniquement les chiffrements DTLS au trafic DTLS.
Le multiplexage DTLS n’est pas pris en charge lorsque le trafic TCP est tunnelisé sur VPN.

Configurez le serveur virtuel VPN DTLS à l’aide de l’interface graphique

Dans l’onglet Configuration, accédez à NetScaler Gateway > Serveurs virtuels.
Sur la pageServeurs virtuels NetScaler Gateway, sélectionnez le serveur virtuel VPN SSL existant et cliquez sur Modifier.
Sur la page Serveur virtuel VPN, cliquez sur l’icône Modifier et désactivez la case à cocher DTLS, puis cliquez sur OK.
Cliquez sur l’icône représentant une flèche de retour sur leserveur virtuel VPNpour accéder à la pageServeurs virtuels NetScaler Gatewayet cliquez sur Ajouter.
Sous Paramètres de base, saisissez les valeurs des champs suivants, puis cliquez sur OK.
- Nom : nom du serveur virtuel VPN DTLS
- Protocole - Sélectionnez DTLS dans le menu déroulant
- Adresse IP — Entrez l’adresse IP du serveur virtuel VPN SSL
- Port : saisissez le numéro de port du serveur virtuel VPN SSL.
Sur la page Serveurs virtuels VPN, cliquez sur la flèche sous Certificats pour sélectionner la clé de certificat requise. Vous pouvez utiliser une clé de certificat SSL existante ou en créer une. Cliquez sur le bouton radio en regard de la clé de certificat souhaitée, puis cliquez sur Sélectionner.
Cliquez sur Bind dans la page Liaison de certificat de serveur.
Pour utiliser DTLS 1.2, activez la même option. Sur la page Serveurs virtuels VPN, cliquez sur l’icône Modifier sous Paramètres SSL. Activez la case à cocher DTLS 1.2, puis cliquez sur OK.
Remarque :
- L’indication de nom de serveur (SNI) est prise en charge pour les serveurs virtuels VPN de type DTLS.
La configuration du serveur virtuel DTLS VPN est maintenant terminée.

Configurez le serveur virtuel VPN DTLS à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez les jeux de commandes suivants :

set vpn vserver <ssl vpnvserver name> -dtls off
add vpn vserver <dtls vpnvserver name> dtls <ssl vpn vserver IP> <ssl vpn vserver port>
bind ssl vservser <dtls vpnvserver name> -certkeyName <existing ssl cert key or newly created cert key>
<!--NeedCopy-->

DTLS 1.0 fonctionne comme d’habitude. Pour utiliser DTLS 1.2, tapez la commande suivante :

set ssl vserver < dtls vpnvserver name > -dtls12 ENABLED
<!--NeedCopy-->

Exemple

set vpn vserver vpnvserver  -dtls off
add vpn vserver vpnvserver_dtls dtls 10.108.45.220 443
bind ssl vservser vpnvserver_dtls -certkeyName sslcertkey
set ssl vserver vpnvserver_dtls -dtls12 ENABLED
<!--NeedCopy-->

Important :

Les paramètres suivants ne sont pas pris en charge pour le serveur virtuel VPN de type DTLS.

LinuxEPAPluginUpgrade

WindowsEPAPluginUpgrade

maxAAAUsers

icaProxySessionMigration

loginOnce

cginfraHomePageRedirect

logoutOnSmartcardRemoval

l2Conn

MacEPAPluginUpgradeRHIstate

icaOnly

maxLoginAttempts

failedLoginTimeout

vserverFqdn

deviceCert

rdpServerProfileName

pcoipVserverProfileName

tcpProfileName

netProfile

authnProfile

Listenpriority

Listenpolicy

ipset

certkeyNames

Pour activer le SNI pour le serveur virtuel VPN de type DTLS, tapez la commande suivante :

set ssl vserver <vServerName>@ [-SNIEnable ( ENABLED | DISABLED )
bind ssl vservser <dtls vpnvserver name> -certkeyName <existing ssl cert key or newly created cert key> <-SNICert>
<!--NeedCopy-->

Exemple

set ssl vserver _XD_10.106.40.225_443_DTLS -sniEnable eNABLED
bind ssl vserver \_XD_10.106.40.225_443_DTLS -certkeyName "Insight/*.insight.net.cer_CERT\_" -snICert

<!--NeedCopy-->

La liste des paramètres de serveur virtuel DTLS VPN pris en charge est la suivante :

Ipaddress
Port
State
Double saut
downstateflush
Commentaire
Appflowlog
Icmpvsrresponse

Configuration d’un serveur virtuel DTLS à l’aide de l’assistant XA/XD

Dans l’assistant d’installation XA/XD, sélectionnez StoreFront et cliquez sur Continuer.
Sur la pageParamètres de NetScaler Gateway, cochez la caseConfigurer un écouteur DTLS pour ce serveur virtuel VPNet cliquez sur Continuer.
Notez que l’écouteur DTLS est maintenant configuré. Cliquez sur Choisir un fichier pour sélectionner le certificat de serveur, puis cliquez sur Continuer.
Spécifiez le fichier de certificat et le nom du fichier clé, puis cliquez sur Continuer.
Dans la section StoreFront, indiquez les valeurs des paramètres requis comme suit, puis cliquez sur Continuer.
Indiquez les valeurs des paramètres requis comme suit, puis cliquez sur Tester la connexion.
Assurez-vous que le serveur est accessible, indiquez la valeur de délai d’exécution et l’attribut de nom d’ouverture de session du serveur, puis cliquez sur Continuer.
Enfin, cliquez sur Terminé pour terminer la configuration.

Limitations

DTLS 1.2 est pris en charge sur les clients Windows uniquement.
Le serveur virtuel VPN avec DTLS ne prend pas en charge les adresses IPv6.
La stratégie SSL et le profil SSL ne sont pas pris en charge sur un serveur virtuel VPN DTLS. De plus, la liaison de la stratégie de serveur virtuel VPN n’est pas prise en charge.
Le serveur virtuel VPN NetScaler Gateway DTLS ne prend pas en charge les fonctionnalités suivantes. Toutefois, le serveur virtuel VPN SSL NetScaler Gateway prend en charge les fonctionnalités suivantes :
- Unified Gateway avec serveur virtuel de commutation de contenu
- UDP MUX
- Vidéo UDP
- Audio UDP
- PCOIP
La stat vpn vserver commande relative aux statistiques du serveur virtuel VPN DTLS n’est pas prise en charge.
Les clés HSM ne sont pas prises en charge par le serveur virtuel DTLS.
La configuration du cluster n’est pas prise en charge

La version officielle de ce document est en anglais. Certains contenus de la documentation Cloud Software Group ont été traduits de façon automatique à des fins pratiques uniquement. Cloud Software Group n'exerce aucun contrôle sur le contenu traduit de façon automatique, qui peut contenir des erreurs, des imprécisions ou un langage inapproprié. Aucune garantie, explicite ou implicite, n'est fournie quant à l'exactitude, la fiabilité, la pertinence ou la justesse de toute traduction effectuée depuis l'anglais d'origine vers une autre langue, ou quant à la conformité de votre produit ou service Cloud Software Group à tout contenu traduit de façon automatique, et toute garantie fournie en vertu du contrat de licence de l'utilisateur final ou des conditions d'utilisation des services applicables, ou de tout autre accord avec Cloud Software Group, quant à la conformité du produit ou service à toute documentation ne s'applique pas dans la mesure où cette documentation a été traduite de façon automatique. Cloud Software Group ne pourra être tenu responsable de tout dommage ou problème dû à l'utilisation de contenu traduit de façon automatique.

Cela vous a-t-il été utile ?

Configurer le serveur virtuel VPN DTLS à l’aide du serveur virtuel VPN SSL

May 23, 2023

Contributeur:

May 23, 2023

Contributeur:

Dans cet article

Points à noter
Configurez le serveur virtuel VPN DTLS à l’aide de l’interface graphique
Configurez le serveur virtuel VPN DTLS à l’aide de l’interface de ligne de commande
Configuration d’un serveur virtuel DTLS à l’aide de l’assistant XA/XD
Limitations

Cela vous a-t-il été utile ?