製品ドキュメント
Citrix SD-WAN
Current Release 11.5 limited availability 11.3 11.2 11.1 11.0 10.2
PDFを表示

アプリケーション分類

May 10, 2021
寄稿者: 
C

Citrix SD-WANアプライアンスは、次の3つの手法を使用してアプリケーションを識別および分類します。

  • ディープパケットインスペクション（DPI）
  • シトリックス独自の独立コンピューティングアーキテクチャ（ICA）プロトコル
  • アプリケーションベンダー API (たとえば、Office 365 用の Microsoft REST API)

ディープパケットインスペクション (DPI) ライブラリは、数千もの商用アプリケーションを認識します。これにより、アプリケーションのリアルタイムの検出とクラス分けが可能になります。SD-WAN アプライアンスは DPI テクノロジーを使用して、着信パケットを分析し、トラフィックを特定のアプリケーションまたはアプリケーションファミリに属するものとして分類します。各接続のアプリケーション分類には、数個のパケットが必要です。

DPI ライブラリ分類を有効にするには、 構成エディタで、[ グローバル] > [アプリケーション] > [DPI 設定 ] に移動し、[ ディープパケットインスペクションを有効にする ] チェックボックスをオンにします。

Citrix SD-WANアプライアンスでは、Virtual Apps and DesktopsのCitrix HDXトラフィックを識別および分類することもできます。Citrix SD-WANは、ICAプロトコルの次のバリエーションを認識します。

  • ICA
  • ICA-CGP
  • シングルストリームICA（SSI）
  • マルチストリームICA（MSI）
  • TCP経由のICA
  • ICAオーバーUDP/EDT
  • 非標準ポート経由のICA（マルチポートICAを含む）
  • HDX アダプティブ トランスポート
  • WebSocket経由のICA（HTML5レシーバで使用）

注

SSL/TLSまたはDTLS 経由で配信されるシングルポートのICAトラフィックを、HDX優先度タグ（個々のICAストリーム）に基づいて別々のクラスに分類することは、SD-WAN Standard Editionではサポートされませんが、SD-WAN Premium EditionとSD-WAN WANOP Editionではサポートされます。

ネットワークトラフィックの分類は、初期接続またはフロー確立時に行われます。したがって、既存の接続はICAに分類されません。接続テーブルを手動でクリアすると、接続の分類も失われます。

FramehawkトラフィックとオーディオオーバーUDP/RTPは、HDXアプリケーションには分類されません。これらのレガシー仮想チャネルは、「UDP」または「不明なプロトコル」のいずれかとして報告されます。

リリース10バージョン1以降、SD-WAN Standard Editionはシングルポート構成でもマルチストリームICAの各ICAデータストリームを区別できる。各ICAストリームは、優先順位付けのための独自のデフォルトQoSクラスを持つ個別のアプリケーションとして分類されます。

シングルポートのマルチストリームICA機能を正しく動作させるには、次のものが必要です。

  • SD-WAN Standard Editionリリース 10 バージョン 1 以上、または SD-WAN Premium Edition。
  • XenAppおよびXenDesktop 7.17で前提となる機能が導入され、7.15長期サービスリリースには含まれていないため、Citrix Virtual Apps アプリケーションおよびデスクトップ（旧XenAppおよびXenDesktop）の最新リリース。
  • HDX情報仮想チャネルCTXNSAPをサポートするCitrix Workspaceアプリ（またはその前身であるCitrix Receiver）のバージョン。Citrix Workspaceアプリの機能マトリックスの「NSAP VC での HDX Insight」を探します。現在サポートされているリリースバージョンについては、HDXインサイトを参照してください。

分類されると、ICAアプリケーションをアプリケーションルールで使用したり、他の分類済みアプリケーションと同様のアプリケーション統計を表示したりできます。

ICAアプリケーションには、以下の優先順位タグに対して5つのデフォルトのアプリケーションルールがあります。

  • ICA
  • ICA リアルタイム (ica_priority_0)
  • ICAインタラクティブ (ica_priority_1)
  • ICAバルクトランスファー (ica_prority_2)
  • ICAの背景 (ica_priority_3)
  • 独立コンピューティングアーキテクチャ（Citrix）（ICA）

詳しくは、「アプリケーション名による規則」を参照してください。

マルチストリームICAをサポートしていないソフトウェアを1つのポート上で組み合わせて実行している場合、QoSを実行するには、ICAストリームごとに1つずつ、複数のポートを設定する必要があります。

XenAppおよびXenDesktop topサーバーポリシーで構成された非標準ポートでHDXを分類するには、これらのポートをICAポート構成に追加する必要があります。また、これらのポートのトラフィックを有効なIPルールに一致させるには、ICA IPルールを更新する必要があります。

ICA IPとポートの一覧では、XA/XDポリシーで使用する非標準ポートを指定して、HDX分類を処理できます。IP アドレスは、ポートを特定の宛先にさらに制限するために使用されます。任意の IP アドレス宛てのポートには ‘*’ を使用します。SSLポートを組み合わせたIPアドレスは、トラフィックが最終的にICAに分類されていない場合でも、トラフィックがICAである可能性が高いことを示すためにも使用されます。この表示は、Citrix Application Delivery Management でマルチホップレポートをサポートするためにL4 AppFlow レコードを送信するために使用されます。

ICAベースの分類を有効にするには、 構成エディタで［ グローバル］>［アプリケーション］>［DPI設定 ］に移動し、 ［Citrix ICAアプリケーションのディープパケットインスペクションを有効にする ］チェックボックスをオンにします。

アプリケーションベンダー API ベースの分類

Citrix SD-WANでは、次のアプリケーションベンダーAPIベースの分類がサポートされています。

暗号化されたトラフィックの分類

Citrix SD-WANアプライアンスは、アプリケーションレポートの一部として暗号化されたトラフィックを次の2つの方法で検出してレポートします。

  • HTTPS トラフィックの場合、DPI エンジンは SSL 証明書を検査して、サービスの名前 (たとえば Facebook、Twitter) を含む共通名を読み取ります。アプリケーションアーキテクチャによっては、複数のサービスタイプ (たとえば、電子メール、ニュースなど) に 1 つの証明書だけが使用されることがあります。異なるサービスで異なる証明書を使用する場合、DPI エンジンはサービスを区別できます。
  • 独自の暗号化プロトコルを使用するアプリケーションの場合、DPI エンジンはフロー内のバイナリパターンを検索します。たとえば、Skype の場合、DPI エンジンは証明書内のバイナリパターンを検索し、アプリケーションを決定します。

アプリケーション分類設定を構成するには、次の手順に従います。

  1. 構成エディタで、[ グローバル ] > [ アプリケーション ] > [ 設定] をクリックします。

    アプリケーション設定

    注

    マルチポート展開用にICAポートを追加する場合は、これらのポートをWAN最適化アプリケーション分類子に追加する必要があります。それ以外の場合、3 つの追加ポートのトラフィックは WANOP に転送されません。ICAが最適化するように構成されている場合、デフォルトの2598ポートのみが転送されます。

    WANOP アプリケーションクラシファイア

  2. [ ディープパケットインスペクションを有効にする] を選択します。これにより、アプライアンスでアプリケーションの分類が可能になります。SD-WAN Centerでは、アプリケーションの統計情報を表示、監視できます。詳しくは、「アプリケーションレポート」を参照してください。

    注

    デフォルトでは、 ディープパケットインスペクションの有効化（Enable Deep Packet Inspection ）は、分類されたデータの統計情報を収集します。

  3. ［ Citrix ICAアプリケーションのディープ・パケット・インスペクションを有効にする］を選択します。これにより、Citrix ICAアプリケーションの分類が可能になり、ユーザー、セッション、フロー数の統計が収集されます。このオプションを有効にしないと、HDXトラフィックのフレーバーの一部が分類され、QoEが計算されますが、SD-WAN Centerの統計情報は利用できません。SD-WAN Centerでは、ICAアプリケーションの統計情報を表示、監視できます。このオプションは、デフォルトで有効になっています。詳しくは、「HDXレポート」を参照してください。

  4. セッションで複数のICAストリームを許可するには、［マルチストリームICAを有効にする ］を選択します。このオプションはデフォルトでは無効になっており、ストリームタイプごとに QoS を提供するためにだけ有効にする必要があります。

  5. DPI ICAポートで、HDX分類を処理するXA/XDポリシーで使用される非標準ポートを指定します。標準ポート番号 2598 または 1494 は、内部的にすでに含まれているため、このリストには含めないでください。

  6. DPI ICA IPで、ポートを特定の宛先にさらに制限するために使用するIPアドレスを指定します。

    注

    任意の IP アドレス宛てのポートには ‘*’ を使用します。

  7. [ 適用] をクリックします。

アプリケーション分類設定は、各サイトで個別に構成できます。[ 接続] をクリックし、サイトを選択して、[ アプリケーション設定] をクリックします。また、グローバルアプリケーション設定を使用することもできます。

アプリケーションの検索

アプリケーションを検索して、アプリケーション・ファミリ名を特定できます。アプリケーションの簡単な説明も提供されます。

アプリケーションを検索する手順は、次のとおりです。

  1. 構成エディターで、[ グローバル ] > [ アプリケーション] > [ 検索] をクリックします。

  2. [検索] フィールドにアプリケーションの名前を入力し、[ Enter] をクリックします。

    アプリケーションとアプリケーション・ファミリ名の簡単な説明が表示されます。

    アプリケーション検索

次の機能は、マッチタイプとしてアプリケーションを使用します。

注

ディープパケットインスペクションを使用して SD-WAN アプライアンスが識別できるアプリケーションについては、アプリケーション署名ライブラリを参照してください。

アプリケーションオブジェクト

アプリケーションオブジェクトを使用すると、異なるタイプの一致基準を 1 つのオブジェクトにグループ化できます。このオブジェクトは、ファイアウォールポリシーおよびアプリケーションステアリングで使用できます。IP プロトコル、アプリケーション、およびアプリケーションファミリは、使用可能な一致タイプです。

次の機能では、アプリケーションオブジェクトを一致タイプとして使用します。

アプリケーション・オブジェクトを作成する手順は、次のとおりです。

  1. 構成エディターで、「 グローバル 」>「 アプリケーション 」>「 アプリケーションオブジェクト」をクリックします。

  2. [ 追加 ] をクリックし、[ 名前 ] フィールドにオブジェクトの名前を入力します。

    アプリケーションオブジェクト

  3. Citrix SD-WAN Centerでカスタムアプリケーションレポートを表示できるようにするには、［レポートを有効にする］を選択します。詳しくは、「アプリケーションレポート」を参照してください。

  4. [ Priority ] フィールドに、アプリケーションオブジェクトの優先度を入力します。着信パケットが 2 つ以上のアプリケーションオブジェクト定義と一致する場合、プライオリティが最も高いアプリケーションオブジェクト定義が適用されます。

  5. [ アプリケーション一致基準 ] セクションで [ + ] をクリックします。

  6. 次のいずれかのマッチタイプを選択します。

    • IP プロトコル: プロトコル、ネットワーク IP アドレス、ポート番号、および DSCP タグを指定します。
    • アプリケーション: アプリケーション名、ネットワーク IP アドレス、ポート番号、および DSCP タグを指定します。
    • アプリケーションファミリ：アプリケーションファミリを選択し、ネットワーク IP アドレス、ポート番号、および DSCP タグを指定します。

  7. アプリケーションの一致基準を追加するには、[ + ] をクリックします。

  8. ［追加］ をクリックします。

ファイアウォールでのアプリケーション分類の使用

トラフィックをアプリケーションおよびアプリケーションファミリとして分類すると、アプリケーション、アプリケーションファミリ、およびアプリケーションオブジェクトを一致タイプとして使用して、トラフィックをフィルタリングし、ファイアウォールポリシーおよびルールを適用できます。これは、すべてのプレポリシー、ポストポリシー、およびローカルポリシーに適用されます。ファイアウォールの詳細については、ステートフルファイアウォールと NAT のサポートを参照してください。

アプリ分類ファイアウォール

アプリケーション分類の表示

アプリケーションの分類を有効にすると、次のレポートでアプリケーション名とアプリケーション・ファミリの詳細を表示できます。

  • ファイアウォール接続の統計情報

  • フロー情報

  • アプリケーション統計

ファイアウォール接続の統計情報

構成エディタで、[監視] > [ファイアウォール]に移動します。[ 接続 ] セクションの [ アプリケーション ] 列と [ ファミリ ] 列には、アプリケーションとその関連ファミリが一覧表示されます。

アプリケーション分類によるファイアウォール接続

アプリケーションの分類を使用可能にしない場合、「 アプリケーション 」列と「 ファミリ 」列にはデータが表示されません。

アプリケーション分類なしのファイアウォール接続

フロー情報

構成エディタで、[監視] > [フロー]に移動します。「 フロー・データ 」セクションの「 アプリケーション 」列にアプリケーションの詳細がリストされます。

フロー情報

アプリケーション統計

構成エディタで、[監視] > [統計]に移動します。[ アプリケーション統計 ] セクションの [ アプリケーション ] 列に、アプリケーションの詳細が表示されます。

アプリケーション統計

トラブルシューティング

アプリケーションの分類を有効にした後、[ Monitoring ] セクションの下にレポートを表示し、アプリケーションの詳細が表示されることを確認できます。詳しくは、「アプリケーション分類の表示」を参照してください。

予期しない動作が発生した場合は、問題が発生している間にSTS診断バンドルを収集し、Citrixサポートチームと共有します。

STS バンドルは、 [構成] > [システムメンテナンス] > [診断] > [診断情報]を使用して作成およびダウンロードできます。

アプリケーション分類
May 10, 2021
寄稿者: 
C
May 10, 2021
寄稿者: 
C

この記事の概要

サイトに関するフィードバック | Your privacy choices footer linkプライバシーに関する選択肢 | プライバシーと法令 | Cookieの設定 | 同意設定 | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.