Documentation Produit
Citrix SD-WAN
Current Release 11.5 limited availability 11.3 11.2 11.1 11.0 10.2
Voir PDF

Configurer la segmentation du pare-

November 1, 2021
Contributeur: 
C

La segmentation du pare-feu VRF (Virtual Route Forwarding) fournit plusieurs domaines de routage accès à Internet via une interface commune, le trafic de chaque domaine étant isolé de celui des autres. Par exemple, les employés et les invités peuvent accéder à Internet via la même interface, sans aucun accès au trafic de l’autre.

  • Accès Internet invité-utilisateur local
  • Accès à Internet employeur-utilisateur pour des applications définies
  • Les employé-utilisateurs peuvent continuer à épingler tout autre trafic vers le MCN
  • Autoriser l’utilisateur à ajouter des itinéraires spécifiques pour des domaines de routage spécifiques.
  • Lorsqu’elle est activée, cette fonctionnalité s’applique à tous les domaines de routage.

Vous pouvez également créer plusieurs interfaces d’accès pour accueillir des adresses IP publiques distinctes. L’une ou l’autre option fournit la sécurité requise pour chaque groupe d’utilisateurs.

Remarque

Pour plus d’informations, consultez la section Comment configurer les VRF.

Pour configurer les services Internet pour tous les domaines de routage :

  1. Créer un service Internet pour un site. Accédez à Connexions > Afficher la région > Afficher le site > [Nom du site] > Service Internet > Section > Liens WAN et, sous Liens WAN, activez la case à cocher Utiliser .

    Image localisée

    Remarque

    Vous devriez voir que 0.0.0.0/0 routes ajoutées, une par domaine de routage, sous Connexions > Afficher la région > Afficher le site >[Nom du site] > Itinéraires.

    Image localisée

    Il n’est plus nécessaire que tous les domaines de routage soient activés sur le MCN.

  2. Si vous désactivez les domaines de routage sur le MCN, le message suivant s’affiche si les domaines sont en cours d’utilisation sur une succursale :

    Image localisée

  3. Vous pouvez vérifier que chaque domaine de routage utilise le service Internet en consultant la colonne Domaine de routage dans le tableau Flux de l’interface de gestion Web sous Surveiller > Flux.

    Image localisée

  4. Vous pouvez également consulter la table de routage de chaque domaine de routage sous Surveiller > Statistiques > Itinéraires.

    Image localisée

Cas d’utilisation

Dans les versions précédentes de Citrix SD-WAN, le routage virtuel et le transfert présentaient les problèmes suivants, qui ont été résolus.

  • Les clients ont plusieurs domaines de routage sur un site de succursale sans qu’il soit nécessaire d’inclure tous les domaines du datacenter (MCN). Ils ont besoin de la capacité d’isoler le trafic des différents clients de manière sécurisée
  • Les clients doivent pouvoir disposer d’une seule adresse IP publique accessible pare-feu pour que plusieurs domaines de routage puissent accéder à Internet sur un site (au-delà de VRF lite).
  • Les clients ont besoin d’une route Internet pour chaque domaine de routage prenant en charge différents services.
  • Plusieurs domaines de routage sur un site de succursale.
  • Accès Internet pour différents domaines de routage.

Plusieurs domaines de routage sur un site de succursale

Grâce aux améliorations de segmentation Virtual Forwarding and Routing Firewall, vous pouvez :

  • Fournir une infrastructure, sur le site de la succursale, qui prend en charge la connectivité sécurisée pour au moins deux groupes d’utilisateurs, tels que les employés et les invités. L’infrastructure peut prendre en charge jusqu’à 16 domaines de routage.
  • Isolez le trafic de chaque domaine de routage du trafic de tout autre domaine de routage.

  • Fournir un accès Internet pour chaque domaine de routage,

    • Une interface d’accès commune est requise et acceptable

    • Une interface d’accès pour chaque groupe avec des adresses IP publiques distinctes

  • Le trafic pour l’employé peut être acheminé directement vers l’Internet local (applications spécifiques)
  • Le trafic de l’employé peut être acheminé ou rétroacheminé vers le MCN pour un filtrage étendu (route 0)
  • Le trafic pour le domaine de routage peut être acheminé directement vers l’Internet local (route 0)
  • Prend en charge des itinéraires spécifiques par domaine de routage, si nécessaire
  • Les domaines de routage sont basés sur VLAN
  • Supprime l’exigence selon laquelle le Bureau à distance doit résider au MCN
  • Le domaine de routage peut désormais être configuré sur un site de succursale uniquement
  • Permet d’affecter plusieurs services Bureau à distance à une interface d’accès (une fois activée)
  • Chaque RD se voit attribuer un itinéraire 0.0.0.0
  • Permet d’ajouter des itinéraires spécifiques pour un service RD
  • Permet au trafic de différents services Bureau à distance de quitter Internet à l’aide de la même interface d’accès
  • Permet de configurer une interface d’accès différente pour chaque Bureau à distance
  • Doit être des sous-réseaux uniques (les services Bureau à distance sont affectés à un VLAN)
  • Chaque Bureau à distance peut utiliser la même zone FW par défaut
  • Le trafic est isolé via le domaine de routage
  • Les flux sortants ont le Bureau à distance en tant que composant de l’en-tête de flux. Permet au SD-WAN de mapper les flux de retour au domaine de routage correct.

Conditions préalables à la configuration de plusieurs domaines de routage :

  • L’accès Internet est configuré et affecté à un lien WAN.
  • Pare-feu configuré pour NAT et stratégies correctes appliquées.
  • Deuxième domaine de routage ajouté globalement.
  • Chaque domaine de routage ajouté à un site.
  • Dans Sites > Nom du site > Liens WAN > [Nom] WL2 > Interface d’accès, vérifiez que la case à cocher est disponible et que le service Internet a été correctement défini. Si vous ne pouvez pas activer la case à cocher, le service Internet n’est pas défini ni affecté à un lien WAN pour le site.

Scénarios de déploiement

Image localisée

Image localisée

Limitations

  • Le service Internet doit être ajouté au lien WAN avant de pouvoir activer l’accès Internet pour tous les domaines de routage. (Jusqu’à ce que vous le fassiez, la case à cocher pour activer cette option est grisée).

    Après avoir activé l’accès Internet pour tous les domaines de routage, ajoutez automatiquement une règle Dynamic-NAT.

  • Jusqu’à 16 domaines de routage par site.
  • Interface d’accès (AI) : IA unique par sous-réseau.
  • Plusieurs AI nécessitent un VLAN distinct pour chaque IA.

  • Si vous disposez de deux domaines de routage sur un site et que vous disposez d’un seul lien WAN, les deux domaines utilisent la même adresse IP publique.

  • Si l’accès Internet pour tous les domaines de routage est activé, tous les sites peuvent être acheminés vers Internet. (Si un domaine de routage ne nécessite pas d’accès à Internet, vous pouvez utiliser le pare-feu pour bloquer son trafic.)

  • Aucune prise en charge du même sous-réseau dans plusieurs domaines de routage.

  • Il n’y a pas de fonctionnalité d’audit

  • Les liens WAN sont partagés pour l’accès Internet.
  • Pas de QOS par domaine de routage ; premier arrivé, premier service.
Configurer la segmentation du pare-
November 1, 2021
Contributeur: 
C
November 1, 2021
Contributeur: 
C

Dans cet article

Commentaires sur le site | Your privacy choices footer linkVos préférences de confidentialité | Confidentialité et conditions légales | Préférences de cookies | Paramètres de consentement | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.