Activer la collecte de données pour les appliances NetScaler Gateway déployées en mode double-saut
Le mode double-saut de NetScaler Gateway offre une protection supplémentaire au réseau interne d’une organisation, car un attaquant devrait pénétrer plusieurs zones de sécurité ou zones démilitarisées (DMZ) pour atteindre les serveurs du réseau sécurisé. Si vous souhaitez analyser le nombre de sauts (appliances NetScaler Gateway) par lesquels passent les connexions ICA, ainsi que les détails concernant la latence sur chaque connexion TCP et la manière dont elle se compare à la latence ICA totale perçue par le client, vous devez installer NetScaler ADM, afin que les appliances NetScaler Gateway signalent ces statistiques vitales.
Figure 3. NetScaler® ADM déployé en mode double-saut
L’appliance NetScaler Gateway de la première DMZ gère les connexions utilisateur et exécute les fonctions de sécurité d’un VPN SSL. Cette appliance NetScaler Gateway chiffre les connexions utilisateur, détermine la manière dont les utilisateurs sont authentifiés et contrôle l’accès aux serveurs du réseau interne.
L’appliance NetScaler Gateway de la deuxième DMZ sert de dispositif proxy NetScaler Gateway. Cette appliance NetScaler Gateway permet au trafic ICA de traverser la deuxième DMZ pour établir les connexions utilisateur avec la batterie de serveurs.
NetScaler ADM peut être déployé soit dans le sous-réseau appartenant à l’appliance NetScaler Gateway de la première DMZ, soit dans le sous-réseau appartenant à l’appliance NetScaler Gateway de la deuxième DMZ. Dans l’image ci-dessus, NetScaler ADM et NetScaler Gateway de la première DMZ sont déployés dans le même sous-réseau.
En mode double-saut, NetScaler ADM collecte les enregistrements TCP d’une appliance et les enregistrements ICA de l’autre appliance. Après avoir ajouté les appliances NetScaler Gateway à l’inventaire NetScaler ADM et activé la collecte de données, chaque appliance exporte les rapports en suivant le nombre de sauts et l’ID de chaîne de connexion.
Pour que NetScaler ADM identifie quelle appliance exporte les enregistrements, chaque appliance est spécifiée avec un nombre de sauts et chaque connexion est spécifiée avec un ID de chaîne de connexion. Le nombre de sauts représente le nombre d’appliances NetScaler Gateway par lesquelles le trafic circule d’un client vers les serveurs. L’ID de chaîne de connexion représente les connexions de bout en bout entre le client et le serveur.
NetScaler ADM utilise le nombre de sauts et l’ID de chaîne de connexion pour corréler les données des deux appliances NetScaler Gateway et génère les rapports.
Pour surveiller les appliances NetScaler Gateway déployées dans ce mode, vous devez d’abord ajouter l’appliance NetScaler Gateway à l’inventaire NetScaler ADM, activer AppFlow sur NetScaler ADM, puis consulter les rapports sur le tableau de bord NetScaler ADM.
Activer la collecte de données sur NetScaler ADM
Si vous activez NetScaler ADM pour commencer à collecter les détails ICA des deux appliances, les détails collectés sont redondants. C’est-à-dire que les deux appliances signalent les mêmes métriques. Pour remédier à cette situation, vous devez activer AppFlow pour TCP sur l’une des premières appliances NetScaler Gateway, puis activer AppFlow pour ICA sur la deuxième appliance. Ce faisant, l’une des appliances exporte les enregistrements AppFlow ICA et l’autre appliance exporte les enregistrements AppFlow TCP. Cela permet également de gagner du temps de traitement lors de l’analyse du trafic ICA.
Pour activer la fonctionnalité AppFlow® à partir de NetScaler ADM :
-
Accédez à Infrastructure > Instances, puis sélectionnez l’instance NetScaler pour laquelle vous souhaitez activer l’analyse.
-
Dans la liste Action, sélectionnez Activer/Désactiver Insight.
-
Sélectionnez les serveurs virtuels VPN, puis cliquez sur Activer AppFlow.
-
Dans le champ Activer AppFlow, saisissez true, puis sélectionnez ICA/TCP respectivement pour le trafic ICA et le trafic TCP.
Remarque
Si la journalisation AppFlow n’est pas activée pour les services ou les groupes de services sur l’appliance NetScaler, le tableau de bord NetScaler ADM n’affiche pas les enregistrements, même si la colonne Insight indique Activé.
-
Cliquez sur OK.
Configurer les appliances NetScaler Gateway pour exporter les données
Après avoir installé les appliances NetScaler Gateway, vous devez configurer les paramètres suivants sur les appliances NetScaler Gateway pour exporter les rapports vers NetScaler ADM :
-
Configurez les serveurs virtuels des appliances NetScaler Gateway de la première et de la deuxième DMZ pour qu’ils communiquent entre eux.
-
Liez le serveur virtuel NetScaler Gateway de la deuxième DMZ au serveur virtuel NetScaler Gateway de la première DMZ.
-
Activez le double-saut sur l’appliance NetScaler Gateway de la deuxième DMZ.
-
Désactivez l’authentification sur le serveur virtuel NetScaler Gateway de la deuxième DMZ.
-
Activez l’une des appliances NetScaler Gateway pour exporter les enregistrements ICA.
-
Activez l’autre appliance NetScaler Gateway pour exporter les enregistrements TCP :
-
Activez le chaînage de connexion sur les deux appliances NetScaler Gateway.
Configurer NetScaler Gateway à l’aide de l’interface de ligne de commande :
-
Configurez le serveur virtuel NetScaler Gateway de la première DMZ pour qu’il communique avec le serveur virtuel NetScaler Gateway de la deuxième DMZ.
add vpn nextHopServer [**-secure**(ON OFF)] [-imgGifToPng] … add vpn nextHopServer nh1 10.102.2.33 8443 –secure ON <!--NeedCopy--> -
Liez le serveur virtuel NetScaler Gateway de la deuxième DMZ au serveur virtuel NetScaler Gateway de la première DMZ. Exécutez la commande suivante sur l’appliance NetScaler Gateway de la première DMZ :
bind vpn vserver <name> -nextHopServer <name>
bind vpn vserver vs1 -nextHopServer nh1 <!--NeedCopy--> -
Activez le double-saut et AppFlow sur l’appliance NetScaler Gateway de la deuxième DMZ.
set vpn vserver [**- doubleHop** ( ENABLED DISABLED )] [- appflowLog ( ENABLED DISABLED )] set vpn vserver vpnhop2 –doubleHop ENABLED –appFlowLog ENABLED <!--NeedCopy--> -
Désactivez l’authentification sur le serveur virtuel NetScaler Gateway de la deuxième DMZ.
set vpn vserver [**-authentication** (ON OFF)] set vpn vserver vs -authentication OFF <!--NeedCopy--> -
Activez l’une des appliances NetScaler Gateway pour exporter les enregistrements TCP.
bind vpn vserver<name> [-policy<string> -priority<positive_integer>] [-type<type>]
bind vpn vserver vpn1 -policy appflowpol1 -priority 101 –type OTHERTCP\_REQUEST <!--NeedCopy--> -
Activez l’autre appliance NetScaler Gateway pour exporter les enregistrements ICA :
bind vpn vserver<name> [-policy<string> -priority<positive_integer>] [-type<type>]
bind vpn vserver vpn2 -policy appflowpol1 -priority 101 -type ICA\_REQUEST <!--NeedCopy--> -
Activez le chaînage de connexion sur les deux appliances NetScaler Gateway :
set appFlow param [-connectionChaining (ENABLED DISABLED)] set appflow param -connectionChaining ENABLED <!--NeedCopy-->
Configuration de NetScaler Gateway à l’aide de l’utilitaire de configuration :
-
Configurez l’appliance NetScaler Gateway de la première DMZ pour qu’elle communique avec l’appliance NetScaler Gateway de la deuxième DMZ et liez l’appliance NetScaler Gateway de la deuxième DMZ à l’appliance NetScaler Gateway de la première DMZ.
-
Sous l’onglet Configuration, développez NetScaler Gateway, puis cliquez sur Serveurs virtuels.
-
Dans le volet droit, double-cliquez sur le serveur virtuel, puis dans le groupe Avancé, développez Applications publiées.
-
Cliquez sur Serveur de saut suivant et liez un serveur de saut suivant à la deuxième appliance NetScaler Gateway.
-
-
Activez le double-saut sur l’appliance NetScaler Gateway de la deuxième DMZ.
-
Sous l’onglet Configuration, développez NetScaler Gateway, puis cliquez sur Serveurs virtuels.
-
Dans le volet droit, double-cliquez sur le serveur virtuel, puis dans le groupe Paramètres de base, cliquez sur l’icône de modification.
-
Développez Plus, sélectionnez Double-saut, puis cliquez sur OK.
-
-
Désactivez l’authentification sur le serveur virtuel de l’appliance NetScaler Gateway de la deuxième DMZ.
-
Sous l’onglet Configuration, développez NetScaler Gateway, puis cliquez sur Serveurs virtuels.
-
Dans le volet droit, double-cliquez sur le serveur virtuel, puis dans le groupe Paramètres de base, cliquez sur l’icône de modification.
-
Développez Plus, puis désélectionnez Activer l’authentification.
-
-
Activez l’une des appliances NetScaler Gateway pour exporter les enregistrements TCP.
-
Sous l’onglet Configuration, développez NetScaler Gateway, puis cliquez sur Serveurs virtuels.
-
Dans le volet droit, double-cliquez sur le serveur virtuel, puis dans le groupe Avancé, développez Stratégies.
-
Cliquez sur l’icône +, puis dans la liste déroulante Choisir une stratégie, sélectionnez AppFlow, et dans la liste déroulante Choisir un type, sélectionnez Other TCP Request.
-
Cliquez sur Continuer.
-
Ajoutez une liaison de stratégie, puis cliquez sur Fermer.
-
-
Activez l’autre appliance NetScaler Gateway pour exporter les enregistrements ICA :
-
Sous l’onglet Configuration, développez NetScaler Gateway, puis cliquez sur Serveurs virtuels.
-
Dans le volet droit, double-cliquez sur le serveur virtuel, puis dans le groupe Avancé, développez Stratégies.
-
Cliquez sur l’icône +, puis dans la liste déroulante Choisir une stratégie, sélectionnez AppFlow, et dans la liste déroulante Choisir un type, sélectionnez Other TCP Request.
-
Cliquez sur Continuer.
-
Ajoutez une liaison de stratégie, puis cliquez sur Fermer.
-
-
Activez le chaînage de connexion sur les deux appliances NetScaler Gateway.
-
Sous l’onglet Configuration, accédez à Paramètres > AppFlow.
-
Dans le volet droit, dans le groupe Paramètres, cliquez sur Modifier les paramètres AppFlow.
-
Sélectionnez Chaînage de connexion, puis cliquez sur OK.
-