Documentation Produit
Gateway
Current Release 13.1 13.0 12.1
Voir PDF

Configurer le serveur virtuel VPN DTLS à l’aide du serveur virtuel VPN SSL

March 27, 2024
Contributeur: 
C

Vous pouvez configurer un serveur virtuel VPN DTLS pour NetScaler Gateway en utilisant la même adresse IP et le même numéro de port qu’un serveur virtuel VPN SSL configuré. La configuration des serveurs virtuels VPN DTLS vous permet de lier les chiffrements et certificats DTLS avancés au trafic DTLS pour une sécurité renforcée. À partir de la version 13.0 build 47.x, le protocole DTLS 1.2 est pris en charge en plus du protocole DTLS 1.0 précédemment pris en charge.

Important :

  • Par défaut, la fonctionnalité DTLS est définie sur ON pour le serveur virtuel VPN SSL existant. Désactivez la fonctionnalité du serveur avant de créer le serveur virtuel VPN DTLS.

  • Le serveur virtuel de passerelle SNI pour DTLS est pris en charge dans NetScaler Gateway version 13.0 build 64.x et versions ultérieures.

  • À partir de NetScaler version 13.0 build 79.x, le helloverifyrequest paramètre est activé par défaut. L’activation du paramètre helloverifyrequest sur le profil DTLS permet d’atténuer le risque qu’un attaquant ou des bots submerge le débit réseau, entraînant potentiellement un épuisement de la bande passante sortante. C’est-à-dire qu’il aide à atténuer l’attaque d’amplification DDoS DTLS. Pour plus d’informations sur le paramètre,helloverifyrequest consultez la section Profil DTLS.

  • Lors de la gestion du trafic UDP, la consommation de mémoire de l’appliance NetScaler augmente si les serveurs principaux acheminent un trafic important. Par conséquent, l’appliance NetScaler ne peut pas transférer ce trafic vers le client en raison de la connexion TCP MUX côté client. Dans ce cas, Citrix vous recommande d’utiliser le protocole DTLS.

Points à noter

  • Le serveur virtuel VPN DTLS sur une appliance NetScaler Gateway peut être configuré à partir de la version 13.0 build 58.x.

  • Avant de configurer un serveur virtuel VPN DTLS sur une appliance NetScaler Gateway, vous devez avoir configuré un serveur virtuel VPN SSL sur l’appliance.

  • Le serveur virtuel VPN DTLS utilise l’adresse IP et le numéro de port du serveur virtuel VPN SSL configuré.

  • Si la connexion DTLS échoue, la connexion revient au protocole TLS.

  • Pour utiliser DTLS uniquement, vous pouvez désactiver le protocole TLS en liant uniquement les chiffrements DTLS au trafic DTLS.

  • Le multiplexage DTLS n’est pas pris en charge lorsque le trafic TCP est tunnelisé sur VPN.

Configurer un serveur virtuel VPN DTLS à l’aide de l’interface graphique

  1. Dans l’onglet Configuration, accédez à NetScaler Gateway > Virtual Servers.
  2. Sur la page Serveurs virtuels NetScaler Gateway, sélectionnez le serveur virtuel VPN SSL existant et cliquez sur Modifier.
  3. Sur la page Serveur virtuel VPN, cliquez sur l’icône Modifier et désactivez la case à cocher DTLS, puis cliquez sur OK.
  4. Revenez à NetScaler Gateway > Virtual Servers et cliquez sur Ajouter.

  5. Sous Paramètres de base, saisissez les valeurs des champs suivants, puis cliquez sur OK.

    • Nom : nom du serveur virtuel VPN DTLS
    • Protocole - Sélectionnez DTLS
    • Adresse IP — Entrez l’adresse IP du serveur virtuel VPN SSL
    • Port — Entrez le numéro de port du serveur virtuel VPN SSL
  6. Sur la page Serveurs virtuels NetScaler Gateway, sélectionnez le serveur virtuel que vous avez ajouté précédemment et cliquez sur Modifier.
  7. Sous Certificats, cliquez sur l’icône en forme de flèche pour sélectionner la clé de certificat requise.
  8. Dans la section Liaison des certificats de serveur > Sélectionner un certificatde serveur, sélectionnez une clé de certificat SSL existante ou créez-en une.
  9. Cliquez sur Bind dans la page Liaison de certificat de serveur.

Remarque :

  • Pour utiliser DTLS 1.2, cliquez sur l’icône de modification sous Paramètres SSL et cochez la case DTLS 1.2.
  • L’indication de nom de serveur (SNI) est prise en charge pour les serveurs virtuels VPN de type DTLS.

Configurer un serveur virtuel VPN DTLS à l’aide de l’interface de ligne de commande

À l’invite de commandes, saisissez le jeu de commandes suivant :

set vpn vserver <ssl vpnvserver name> -dtls off
add vpn vserver <dtls vpnvserver name> dtls <ssl vpn vserver IP> <ssl vpn vserver port>
bind ssl vservser <dtls vpnvserver name> -certkeyName <existing ssl cert key or newly created cert key>
<!--NeedCopy-->

DTLS 1.0 fonctionne comme d’habitude. Pour utiliser DTLS 1.2, tapez la commande suivante :

set ssl vserver < dtls vpnvserver name > -dtls12 ENABLED
<!--NeedCopy-->

Exemple

set vpn vserver vpnvserver  -dtls off
add vpn vserver vpnvserver_dtls dtls 10.108.45.220 443
bind ssl vservser vpnvserver_dtls -certkeyName sslcertkey
set ssl vserver vpnvserver_dtls -dtls12 ENABLED
<!--NeedCopy-->

Pour activer le SNI pour le serveur virtuel VPN de type DTLS, tapez la commande suivante :

set ssl vserver <vServerName>@ [-SNIEnable ( ENABLED | DISABLED )
bind ssl vservser <dtls vpnvserver name> -certkeyName <existing ssl cert key or newly created cert key> <-SNICert>
<!--NeedCopy-->

Exemple

set ssl vserver _XD_10.106.40.225_443_DTLS -sniEnable eNABLED
bind ssl vserver _XD_10.106.40.225_443_DTLS -certkeyName "Insight/*.insight.net.cer_CERT_" -snICert

<!--NeedCopy-->

Paramètres de serveur virtuel VPN DTLS pris en charge

Seuls les paramètres suivants sont pris en charge pour le serveur virtuel VPN de type DTLS.

  • Ipaddress
  • Port
  • État
  • Double saut
  • downstateflush
  • Commentaire
  • Appflowlog
  • Icmpvsrresponse

Paramètres de serveur virtuel VPN DTLS non pris en charge

Les paramètres suivants ne sont pas pris en charge pour le serveur virtuel VPN de type DTLS.

  • LinuxEPAPluginUpgrade
  • WindowsEPAPluginUpgrade
  • maxAAAUsers
  • icaProxySessionMigration
  • loginOnce
  • cginfraHomePageRedirect
  • logoutOnSmartcardRemoval
  • l2Conn
  • MacEPAPluginUpgradeRHIstate
  • icaOnly
  • maxLoginAttempts
  • failedLoginTimeout
  • vserverFqdn
  • deviceCert
  • rdpServerProfileName
  • pcoipVserverProfileName
  • tcpProfileName
  • netProfile
  • authnProfile
  • Listenpriority
  • Listenpolicy
  • ipset
  • certkeyNames

Configurer un serveur virtuel DTLS à l’aide de l’assistant XenApp et XenDesktop

  1. Cliquez sur XenApp et XenDesktop sous Intégrer aux produits Citrix.

  2. Dans l’assistant d’installation de XenApp et XenDesktop, sélectionnez StoreFront et cliquez sur Continuer.

  3. Sur la page Paramètres NetScaler Gateway, activez la case à cocher Configurer un écouteur DTLS pour ce vServer VPN et cliquez sur Continuer.

    L’écouteur DTLS est maintenant configuré.

  4. Dans Certificat de serveur, cliquez sur Choisir un fichier pour sélectionner un certificat de serveur, puis cliquez sur Continuer.

  5. Spécifiez le fichier de certificat et le nom du fichier clé, puis cliquez sur Continuer.

  6. Dans la section StoreFront, indiquez les valeurs des paramètres requis comme suit et cliquez sur Continuer.

  7. Dans la section Authentification, saisissez les valeurs des paramètres requis comme suit et cliquez sur Tester la connexion.

    Assurez-vous que le serveur est accessible, indiquez la valeur de délai d’exécution et l’attribut de nom d’ouverture de session du serveur, puis cliquez sur Continuer.

    Spécifier les valeurs de configuration

  8. Cliquez sur OK pour terminer la configuration.

    Configuration terminée

Limitations

  • DTLS 1.2 est pris en charge sur les clients Windows uniquement.
  • Le serveur virtuel VPN avec DTLS ne prend pas en charge les adresses IPv6.
  • La stratégie SSL et le profil SSL ne sont pas pris en charge sur un serveur virtuel VPN DTLS. De plus, la liaison de la stratégie de serveur virtuel VPN n’est pas prise en charge.
  • Le serveur virtuel VPN NetScaler Gateway DTLS ne prend pas en charge les fonctionnalités suivantes. Toutefois, le serveur virtuel VPN SSL NetScaler Gateway prend en charge les fonctionnalités suivantes :
    • Unified Gateway avec serveur virtuel de commutation de contenu
    • UDP MUX
    • Vidéo UDP
    • Audio UDP
    • PCOIP
  • La stat vpn vserver commande relative aux statistiques du serveur virtuel VPN DTLS n’est pas prise en charge.
  • Les clés HSM ne sont pas prises en charge par le serveur virtuel DTLS.
  • La configuration du cluster n’est pas prise en charge
Configurer le serveur virtuel VPN DTLS à l’aide du serveur virtuel VPN SSL
March 27, 2024
Contributeur: 
C
March 27, 2024
Contributeur: 
C

Dans cet article

Commentaires sur le site | Your privacy choices footer linkVos préférences de confidentialité | Confidentialité et conditions légales | Préférences de cookies | Paramètres de consentement | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.