製品ドキュメント
NetScaler コンソールサービス
PDFを表示

ダブルホップモードで展開されたNetScaler Gatewayアプライアンスのデータ収集を有効にする

March 10, 2024
寄稿者: 
C

NetScaler Gatewayのダブルホップモードでは、攻撃者が複数のセキュリティゾーンまたは非武装ゾーン（DMZ）を侵入して安全なネットワーク内のサーバーに到達する必要があるため、組織の内部ネットワークをさらに保護します。

管理者は、NetScaler コンソールを使用して以下を分析できます。

  • ICA接続が通過するホップ数（NetScaler ADCゲートウェイアプライアンス）

  • 各TCP接続のレイテンシーと、クライアントが認識する合計ICA遅延に対してそれがどのようにフェアされるかの詳細

次の画像は、最初のDMZ内のNetScalerコンソールとNetScaler Gatewayが同じサブネットに展開されていることを示しています。

ダブルホップ

最初のDMZのNetScaler Gatewayは、ユーザー接続を処理し、SSL VPNのセキュリティ機能を実行します。このNetScaler Gatewayは、ユーザー接続を暗号化し、ユーザーの認証方法を決定し、内部ネットワークのサーバーへのアクセスを制御します。

2つ目のDMZのNetScaler ゲートウェイは、NetScaler ゲートウェイのプロキシデバイスとして機能します。このNetScaler Gatewayを使用すると、ICAトラフィックが2番目のDMZを通過してサーバーファームへのユーザー接続を完了できます。

NetScaler コンソールは、最初のDMZにあるNetScaler Gatewayアプライアンスに属するサブネットか、2つ目のDMZにあるNetScaler Gatewayアプライアンスのサブネットのいずれかにデプロイできます。

ダブルホップモードでは、NetScaler Consoleは一方のアプライアンスからTCPレコードを収集し、もう一方のアプライアンスからICAレコードを収集します。NetScaler GatewayアプライアンスをNetScaler Consoleインベントリに追加してデータ収集を有効にすると、各アプライアンスはホップ数と接続チェーンIDを追跡してレポートをエクスポートします。

NetScaler Consoleがレコードをエクスポートしているアプライアンスを識別できるように、各アプライアンスはホップ数で指定され、各接続は接続チェーンIDで指定されます。ホップカウントは、クライアントからサーバーへのトラフィックが流れるNetScaler Gatewayアプライアンスの数を表します。接続チェーンIDは、クライアントとサーバー間のエンドツーエンド接続を表します。

NetScaler Consoleは、ホップ数と接続チェーンIDを使用して両方のNetScaler Gatewayアプライアンスからのデータを相互に関連付け、レポートを生成します。

このモードで展開されたNetScaler Gatewayアプライアンスを監視するには、まずNetScaler GatewayをNetScaler Consoleインベントリに追加し、NetScalerコンソールでAppFlowを有効にしてから、NetScalerコンソールのダッシュボードでレポートを表示する必要があります。

NetScaler コンソールでのデータ収集の有効化

NetScaler Consoleを有効にして両方のアプライアンスからのICA詳細の収集を開始すると、収集された詳細情報は重複します。この状況を克服するには、最初のNetScaler ADC GatewayアプライアンスでAppFlow for TCPを有効にし、次に2番目のアプライアンスでAppFlow for ICAを有効にする必要があります。これにより、一方のアプライアンスがICA AppFlow レコードをエクスポートし、もう一方のアプライアンスがTCP AppFlowレコードをエクスポートします。これにより、ICAトラフィックを解析するときの処理時間も短縮されます。

NetScalerコンソールからAppFlow機能を有効にするには：

  1. [ インフラストラクチャ ] > [ インスタンス] に移動し、分析を有効にするNetScalerインスタンスを選択します。

  2. [ アクションの選択 ] リストから、[ Analyticsの設定] を選択します。

  3. 仮想サーバーを選択し、「 セキュリティと分析を有効にする」をクリックします。

  4. Web インサイトを選択

  5. 「 OK」をクリックします。

データをエクスポートするようにNetScaler ゲートウェイアプライアンスを構成する

NetScaler Gatewayアプライアンスをインストールした後、レポートをNetScaler Consoleにエクスポートするには、NetScalerゲートウェイアプライアンスで次の設定を構成する必要があります。

  • 最初のDMZと2番目のDMZのNetScaler Gatewayアプライアンスの仮想サーバーを相互に通信するように構成します。

  • 2番目のDMZのNetScaler ゲートウェイ仮想サーバーを最初のDMZのNetScaler ゲートウェイ仮想サーバーにバインドします。

  • 2番目のDMZのNetScaler Gatewayでダブルホップを有効にします。

  • 2番目のDMZのNetScaler Gateway仮想サーバーでの認証を無効にします。

  • いずれかのNetScaler ゲートウェイアプライアンスでICAレコードをエクスポートできるようにする

  • 他のNetScaler ゲートウェイアプライアンスを有効にして、TCPレコードをエクスポートします。

  • 両方のNetScaler Gatewayアプライアンスで、接続チェーンを有効にします。

コマンドラインインターフェイスを使用してNetScaler Gatewayを構成します。

  1. 最初のDMZのNetScaler Gateway仮想サーバーを構成して、2番目のDMZのNetScaler Gateway仮想サーバーと通信します。

    add vpn nextHopServer [**-secure** (ON OFF)] [-imgGifToPng] … 
    add vpn nextHopServer nh1 10.102.2.33 8443 –secure ON
<!--NeedCopy-->

  2. 2番目のDMZのNetScaler ゲートウェイ仮想サーバーを最初のDMZのNetScaler ゲートウェイ仮想サーバーにバインドします。最初のDMZのNetScaler ゲートウェイで次のコマンドを実行します。

    VPN 仮想サーバのバインド\ -ネクストホップサーバ <name\ >\ <name\ >

    bind vpn vserver vs1 -nextHopServer nh1
<!--NeedCopy-->

  3. 2つ目のDMZのNetScaler ゲートウェイでダブルホップとAppFlowを有効にします。

    VPN 仮想サーバーを設定 \ <name\ >\ [-ダブルホップ (有効) DISABLED )] [- appflowLog ( ENABLED DISABLED )] 
    set vpn vserver vpnhop2 –doubleHop ENABLED –appFlowLog ENABLED
<!--NeedCopy-->

  4. 2番目のDMZのNetScaler Gateway仮想サーバーでの認証を無効にします。

    VPN 仮想サーバー\ <name\ >\ [-認証の設定 (オン) OFF)] 
    set vpn vserver vs -authentication OFF
<!--NeedCopy-->

  5. いずれかのNetScaler ゲートウェイアプライアンスでTCPレコードをエクスポートできるようにします。

    bind vpn vserver<name> [-policy<string> -priority<positive_integer>] [-type<type>]

    bind vpn vserver vpn1 -policy appflowpol1 -priority 101 –type OTHERTCP_REQUEST
<!--NeedCopy-->

  6. 他のNetScaler GatewayアプライアンスでICAレコードをエクスポートできるようにします。

    bind vpn vserver<name> [-policy<string> -priority<positive_integer>] [-type<type>]

    bind vpn vserver vpn2 -policy appflowpol1 -priority 101 -type ICA_REQUEST
<!--NeedCopy-->

  7. NetScaler Gatewayアプライアンスの両方の接続チェーンを有効にします：

    AppFlow パラメータを設定 [-コネクションチェーン(有効) DISABLED)] 
    set appflow param -connectionChaining ENABLED
<!--NeedCopy-->

構成ユーティリティを使用してNetScaler ゲートウェイを構成します。

  1. 最初のDMZのNetScaler Gateway を構成して、2番目のDMZのNetScaler Gateway と通信し、2番目のDMZのNetScaler Gatewayを最初のDMZのNetScaler Gatewayにバインドします。

    1. 「 構成 」タブで「 NetScaler Gateway 」を展開し、「 仮想サーバー」をクリックします。

    2. 右側のペインで仮想サーバーをダブルクリックし、「詳細設定」グループで「 公開アプリケーション」を展開します。

    3. 「 ネクストホップサーバー 」をクリックし、ネクストホップサーバーを2つ目のNetScaler Gatewayアプライアンスにバインドします。

  2. 2番目のDMZのNetScaler Gatewayでダブルホップを有効にします。

    1. 「 構成 」タブで「 NetScaler Gateway 」を展開し、「 仮想サーバー」をクリックします。

    2. 右側のペインで仮想サーバーをダブルクリックし、 基本設定グループで編集アイコンをクリックします 。

    3. 「 詳細 」を展開し、「 ダブルホップ 」を選択して「 OK」をクリックします。

  3. 2つ目のDMZにあるNetScaler Gatewayの仮想サーバーでの認証を無効にします。

    1. 「 構成 」タブで「 NetScaler Gateway 」を展開し、「 仮想サーバー」をクリックします。

    2. 右側のペインで仮想サーバーをダブルクリックし、 基本設定グループで編集アイコンをクリックします 。

    3. [ その他] を展開し、[ 認証を有効にする] を選択解除します。

  4. いずれかのNetScaler ゲートウェイアプライアンスでTCPレコードをエクスポートできるようにします。

    1. 「 構成 」タブで「 NetScaler Gateway 」を展開し、「 仮想サーバー」をクリックします。

    2. 右側のペインで仮想サーバーをダブルクリックし、[詳細設定] グループで [ポリシー] を展開します。

    3. ［+］アイコンをクリックし、［ ポリシーの選択 ］リストから［ AppFlow ］を選択し、［ タイプの選択 ］リストから［ その他のTCP要求］を選択します。

    4. ［続行］ をクリックします。

    5. ポリシーバインディングを追加し、「 閉じる」をクリックします。

  5. 他のNetScaler GatewayアプライアンスでICAレコードをエクスポートできるようにします。

    1. 「 構成 」タブで「 NetScaler Gateway 」を展開し、「 仮想サーバー」をクリックします。

    2. 右側のペインで仮想サーバーをダブルクリックし、[ 詳細設定 ] グループで [ ポリシー] を展開します。

    3. ［+］アイコンをクリックし、［ ポリシーの選択 ］リストから［ AppFlow ］を選択し、［ タイプの選択 ］リストから［ その他のTCP要求］を選択します。

    4. ［続行］ をクリックします。

    5. ポリシーバインディングを追加し、「 閉じる」をクリックします。

  6. 両方のNetScaler Gatewayアプライアンスで、接続チェーンを有効にします。

    1. [ 構成 ] タブで、[ システム ] > [ Appflow] に移動します。

    2. 右側のペインの [ 設定 ] グループで、[ Appflow 設定の変更] をクリックします。

    3. 「 コネクションチェーン 」を選択し、「 OK」をクリックします。

ダブルホップモードで展開されたNetScaler Gatewayアプライアンスのデータ収集を有効にする
March 10, 2024
寄稿者: 
C
March 10, 2024
寄稿者: 
C

この記事の概要

サイトに関するフィードバック | Your privacy choices footer linkプライバシーに関する選択肢 | プライバシーと法令 | Cookieの設定 | 同意設定 | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.