Architecture réseau pour les instances NetScaler VPX sur Microsoft Azure
Dans Azure Resource Manager (ARM), une machine virtuelle (VM) NetScaler VPX réside dans un réseau virtuel. Une seule interface réseau peut être créée dans un sous-réseau donné du réseau virtuel et peut être attachée à l’instance VPX. Vous pouvez filtrer le trafic réseau vers et depuis une instance VPX dans un réseau virtuel Azure avec un groupe de sécurité réseau. Un groupe de sécurité réseau contient des règles de sécurité qui autorisent ou refusent le trafic réseau entrant ou sortant d’une instance VPX. Pour plus d’informations, consultez Groupes de sécurité.
Le groupe de sécurité réseau filtre les requêtes vers l’instance NetScaler VPX, et l’instance VPX les envoie aux serveurs. La réponse d’un serveur suit le même chemin en sens inverse. Le groupe de sécurité réseau peut être configuré pour filtrer une seule VM VPX, ou, avec des sous-réseaux et des réseaux virtuels, peut filtrer le trafic dans le déploiement de plusieurs instances VPX.
La carte réseau (NIC) contient les détails de configuration réseau tels que le réseau virtuel, les sous-réseaux, l’adresse IP interne et l’adresse IP publique.
Sous ARM, il est bon de connaître les adresses IP suivantes qui sont utilisées pour accéder aux machines virtuelles déployées avec une seule carte réseau (NIC) et une seule adresse IP :
- L’adresse IP publique (PIP) est l’adresse IP accessible depuis Internet, configurée directement sur la carte réseau virtuelle de la VM NetScaler®. Cela vous permet d’accéder directement à une VM depuis le réseau externe.
- L’adresse IP NetScaler (également appelée NSIP) est l’adresse IP interne configurée sur la VM. Elle n’est pas routable.
- L’adresse IP virtuelle (VIP) est configurée en utilisant la NSIP et un numéro de port. Les clients accèdent aux services NetScaler via l’adresse PIP, et lorsque la requête atteint la carte réseau de la VM NetScaler VPX™ ou l’équilibreur de charge Azure, la VIP est traduite en adresse IP interne (NSIP) et en numéro de port interne.
- L’adresse IP interne est l’adresse IP interne privée de la VM provenant du pool d’espace d’adressage du réseau virtuel. Cette adresse IP ne peut pas être atteinte depuis le réseau externe. Cette adresse IP est dynamique par défaut, sauf si vous la définissez comme statique. Le trafic provenant d’Internet est acheminé vers cette adresse conformément aux règles créées sur le groupe de sécurité réseau. Le groupe de sécurité réseau s’intègre à la carte réseau (NIC) pour envoyer sélectivement le bon type de trafic au bon port sur la carte réseau, ce qui dépend des services configurés sur la VM.
La figure suivante montre comment le trafic circule d’un client vers un serveur via une instance NetScaler VPX provisionnée dans ARM.
Flux de trafic via la traduction d’adresses réseau
Vous pouvez également demander une adresse IP publique (PIP) pour votre instance NetScaler VPX (au niveau de l’instance). Si vous utilisez cette PIP directe au niveau de la VM, vous n’avez pas besoin de définir de règles entrantes et sortantes pour intercepter le trafic réseau. La requête entrante depuis Internet est reçue directement sur la VM. Azure effectue une traduction d’adresses réseau (NAT) et transmet le trafic à l’adresse IP interne de l’instance VPX.
La figure suivante montre comment Azure effectue la traduction d’adresses réseau pour mapper l’adresse IP interne de NetScaler.
Dans cet exemple, l’adresse IP publique attribuée au groupe de sécurité réseau est 140.x.x.x et l’adresse IP interne est 10.x.x.x. Lorsque les règles de trafic entrant et sortant sont définies, le port HTTP public 80 est défini comme le port sur lequel les requêtes client sont reçues, et un port privé correspondant, 10080, est défini comme le port sur lequel l’instance NetScaler VPX écoute. La requête client est reçue sur l’adresse IP publique (140.x.x.x). Azure effectue une traduction d’adresses réseau pour mapper l’adresse IP publique (PIP) à l’adresse IP interne 10.x.x.x sur le port 10080, et transmet la requête client.
Remarque :
Les machines virtuelles NetScaler VPX en haute disponibilité sont contrôlées par des équilibreurs de charge externes ou internes sur lesquels des règles de trafic entrant sont définies pour contrôler le trafic d’équilibrage de charge. Le trafic externe est d’abord intercepté par ces équilibreurs de charge, puis le trafic est redirigé selon les règles d’équilibrage de charge configurées, qui comportent des pools de back-end, des règles NAT et des sondes d’intégrité définies sur les équilibreurs de charge.
Directives d’utilisation des ports
Vous pouvez configurer davantage de règles de trafic entrant et sortant dans le groupe de sécurité réseau lors de la création de l’instance NetScaler VPX ou après le provisionnement de la machine virtuelle. Chaque règle de trafic entrant et sortant est associée à un port public et à un port privé.
Avant de configurer les règles du groupe de sécurité réseau, tenez compte des directives suivantes concernant les numéros de port que vous pouvez utiliser :
-
L’instance NetScaler VPX réserve les ports suivants. Vous ne pouvez pas les définir comme ports privés lorsque vous utilisez l’adresse IP publique pour les requêtes provenant d’Internet.
Ports 21, 22, 80, 443, 8080, 67, 161, 179, 500, 520, 3003, 3008, 3009, 3010, 3011, 4001, 5061, 9000, 7000.
Cependant, si vous souhaitez que des services accessibles depuis Internet, tels que le VIP, utilisent un port standard (par exemple, le port 443), vous devez créer un mappage de port à l’aide du groupe de sécurité réseau. Le port standard est ensuite mappé à un port différent configuré sur le NetScaler pour ce service VIP.
Par exemple, un service VIP peut s’exécuter sur le port 8443 de l’instance VPX mais être mappé au port public 443. Ainsi, lorsque l’utilisateur accède au port 443 via l’adresse IP publique, la requête est dirigée vers le port privé 8443.
-
L’adresse IP publique ne prend pas en charge les protocoles dans lesquels le mappage de port est ouvert dynamiquement, tels que le FTP passif ou l’ALG.
-
La haute disponibilité ne fonctionne pas pour le trafic qui utilise une adresse IP publique (PIP) associée à une instance VPX, au lieu d’une PIP configurée sur l’équilibreur de charge Azure.
Remarque :
Dans Azure Resource Manager, une instance NetScaler VPX est associée à deux adresses IP : une adresse IP publique (PIP) et une adresse IP interne. Alors que le trafic externe se connecte à la PIP, l’adresse IP interne ou NSIP n’est pas routable. Pour configurer le VIP dans VPX, utilisez l’adresse IP interne et l’un des ports libres disponibles. N’utilisez pas la PIP pour configurer le VIP.