产品文档
ADC
14.1 - Current Release 13.1 13.0 12.1
查看 PDF

CloudBridge Connector interoperability – StrongSwan

August 15, 2023
投稿者: 
C

StrongSwan 是一款适用于 Linux 平台的开源 IPsec 实现方案。 您可以在 NetScaler 设备和 StrongSwan 设备之间配置 CloudBridge Connector ge 连接器通道，以连接两个数据中心或将您的网络扩展到云提供商。NetScaler 设备和 StrongSwan 设备构成 CloudBridge Connector 通道的端点，被称为对等方。

CloudBridge Connector 通道配置示例

举例说明 CloudBridge Connector 通道中的流量，请看一个在以下设备之间设置 CloudBridge Connector 通道的示例：

  • NetScaler 设备 NS_Appliance-1 位于指定为 Datacenter-1 的数据中心中
  • StrongSwan 设备 strongsWan-Appliance-1 位于指定为 Datacenter-2 的数据中心

NS_Appliance-1 和 StrongSwan-Appliance-1 允许通过 CloudBridge Connector 通道在 Datacenter-1 和 Datacenter-2 中的专用网络之间在示例中，NS_Appliance-1 和 StrongSwan-Appliance-1 允许通过 CloudBridge Connector 通道在 Datacenter-1 中的客户端 CL1 与 Datacenter-2 中的服务器 S1 之间进行通信。客户端 CL1 和服务器 S1 位于不同的专用网络上。

在 NS_Appliance-1 上，CloudBridge Connector 通道配置包括 IPsec 配置文件实体 NS_StrongSwan_IPSec_Profile、CloudBridge Connector通道实体 NS_StrongSwan_Tunnel 和基于策略的路由 (PBR) 实体 NS_StrongSwan_Pbr。

本地化后的图片

下表列出了此示例中使用的设置。

CloudBridge Connector 通道设置的主要设置

实体 详细信息
Datacenter-1 中 CloudBridge Connector 通道端点 (NS_Appliance-1) 的 IP 地址 198.51.100.100
Datacenter-2 中 CloudBridge Connector 通道端点 (strongswan-Appliance-1) 的 IP 地址 203.0.113.200
数据中心—1 的子网，其流量将通过 CloudBridge Connector 通道进行保护 10.102.147.0/24
数据中心—2 的子网，其流量将通过 CloudBridge Connector 通道进行保护 10.20.20.0/24

数据中心-1 中 NetScaler 设备 NS_Appliance-1 上的设置

|SNIP1（仅供参考）|198.51.100.100| |–|–|–| |IPsec Profile|ns_strongswan_ipsec_profile|IKE 版本：v1，加密算法：AES，哈希算法：HMAC_SHA1 psk = examplepresharedkey（注意：这是预共享 密钥的示例，举例说明。NetScaler 不建议在 CloudBridge Connector 配置中使用此字符串）| |CloudBridge Connector 通道|NS_StrongSwan_Tunnel|远程 IP = 203.0.113.200，本地 IP= 198.51.100.100，通道协议 = IPSEC，IPSec 配置文件= NS_StrongSwan_IPSec_Profile| |基于策略的路由|NS_StrongSwan_Pbr|源 IP 范围 = Datacenter-1 中的子网=10.102.147.0-10.102.147.255，目标 IP 范围 =Datacenter-2 中的子网=10.20.20.0-10.20.20.255，IP 通道 = NS_StrongSwan_Tunnel|

CloudBridge Connector 通道配置需要考虑的事项

在开始配置 CloudBridge Connector通道之前，请确保：

  • 您对 Linux 配置有基本的了解。
  • 您对 IPsec 协议套件有基本的了解。
  • StrongSwan 设备已启动并正在运行，已连接到互联网，还连接到私有子网，其流量将通过 CloudBridge Connector 通道进行保护。
  • NetScaler 设备已启动并正在运行，已连接到互联网，还连接到私有子网，这些子网的流量将通过 CloudBridge Connector 通道进行保护。
  • NetScaler 设备和 StrongSwan 设备之间的 CloudBridge Connector 通道支持以下 IPsec 设置。
    • IPsec 模式：通道模式
    • IKE 版本：版本 1
    • IKE 身份验证方法：预共享密钥
    • IKE 加密算法：AES
    • IKE 哈希算法：HMAC SHA1
    • ESP 加密算法：AES
    • ESP 哈希算法：HMAC SHA1
  • 您必须在 CloudBridge Connector 通道两端的 NetScaler 设备和 StrongSwan 设备上指定相同的 IPsec 设置。
  • NetScaler 提供了一个通用参数（在 IPsec 配置文件中），用于指定 IKE 哈希算法和 ESP 哈希算法。它还提供了另一个用于指定 IKE 加密算法和 ESP 加密算法的常用参数。 因此，在 StrongSwan 设备中，必须在 ipsec.conf 文件中的 IKE 和 ESP 参数中指定相同的哈希算法和相同的加密算法。
  • 您必须在 NetScaler 端和 StrongSwan 端配置防火墙才能允许执行以下操作。
    • 端口 500 的任何 UDP 数据包
    • 端口 4500 的任何 UDP 数据包
    • 任何 ESP（IP 协议编号 50）数据包

为CloudBridge Connector 通道配置 StrongSwan

要在 NetScaler 设备和 StrongSwan 设备之间配置 CloudBridge Connector通道，请在 StrongSwan 设备上执行以下任务：

  • 在 ipsec.conf 文件中指定 IPsec 连接信息。ipsec.conf 文件定义了 StrongSwan 设备中 IPsec 连接的所有控制和配置信息。
  • 在 ipsec.secrets 文件中指定预共享密钥。ipsec.secrets 文件为 StrongSwan 设备中的 IPsec 连接定义了 IKE/IPsec 身份验证的密钥。

在 StrongSwan 设备上配置 IPsec VPN（CloudBridge Connector 通道）的过程可能会随着时间的推移而更改，具体取决于 StrongSwan 发布周期。Citrix 建议您遵循有关 配置 IPSec VPN 通道的官方 StronSwan 文档。

以下 IPsec.conf 文件的示例摘录指定了用于设置 IPsec VPN 通道的 IPsec 信息，如 CloudBridge Connector 配置主题示例中所述。有关更多信息，请参阅 CloudBridge Connector 配置 pdf。

以下 IPsec.secrets 文件示例指定IKE 身份验证预共享密钥，用于设置 IPsec VPN 通道，如 CloudBridge Connector 配置主题示例中所述。

/etc/ipsec.secrets

PSK ‘示例预共享密钥’ #pre-用于 IPsec IKE 身份验证的共享密钥

为 CloudBridge Connector 通道配置 NetScaler 设备

要在 NetScaler 设备和 StrongSwan 设备之间配置 CloudBridge Connector 通道，请在 NetScaler 设备上执行以下任务。您可以使用 NetScaler 命令行或 NetScaler 图形用户界面 (GUI)：

  • 创建 IPsec 配置文件。IPsec 配置文件实体指定 IPsec 协议参数，例如 IKE 版本、加密算法、哈希算法和 IPsec 协议在 CloudBridge Connector 通道中使用的身份验证方法。
  • 创建使用 IPsec 协议的 IP 通道，并将 IPsec 配置文件与其关联。IP 通道指定本地 IP 地址（在 NetScaler 设备上配置的 CloudBridge Connector 通道端点 IP 地址（SNIP 类型））、远程 IP 地址（在 StrongSwan 设备上配置的 CloudBridge Connector 通道端点 IP 地址）、用于设置 CloudBridge Connector 通道的协议 (IPsec) 和 IPsec 配置文件实体。创建的 IP 通道实体也称为 CloudBridge Connector 通道实体。
  • 创建 PBR 规则并将其与 IP 通道关联。PBR 实体指定一组规则和一个 IP 通道（CloudBridge Connector 通道）实体。源 IP 地址范围和目标 IP 地址范围是 PBR 实体的条件。设置源 IP 地址范围以指定要通过通道保护其流量的 NetScaler 端子网，并设置目标 IP 地址范围以指定要通过通道保护流量的 StrongSwan 端子网。

使用 NetScaler 命令行创建 IPSEC 配置文件

在命令提示符下，键入：

  • add ipsec profile <name> -psk <string> -ikeVersion v1 -encAlgo AES -hashAlgo HMAC_SHA1
  • show ipsec profile <name>

使用 NetScaler 命令行创建 IPSEC 通道并将 IPSEC 配置文件绑定到该通道

在命令提示符下，键入：

  • add ipTunnel <name> <remote> <remoteSubnetMask> <local> -protocol IPSEC –ipsecProfileName <string>
  • show ipTunnel <name>

使用 NetScaler 命令行创建 PBR 规则并将 IPSEC 通道绑定到该规则

在命令提示符下，键入：

  • add pbr <pbrName> ALLOW –srcIP <subnet-range> -destIP <subnet-range> -ipTunnel <tunnelName>
  • apply pbrs
  • show pbr <pbrName>

使用 GUI 创建 IPSEC 配置文件

  1. 导航到系统 > CloudBridge 连接器 > IPSec 配置文件。
  2. 在详细信息窗格中，单击“添加”。
  3. 在 添加 IPsec 配置文件 页面中，设置以下参数：
    • 名称
    • 加密算法
    • 哈希算法
    • IKE 协议版本
  4. 将两个 CloudBridge Connector 隧道对等体使用的 IPsec 身份验证方法配置为相互身份验证：选择 预共享密钥身份验证方法 并设置 预共享密钥存在 参数。
  5. 单击“创建”，然后单击“关闭”。

使用 GUI 创建 IP 通道并将 IPSEC 配置文件绑定到该通道

  1. 导航到 系统 > CloudBridge Connector > IP 通道。
  2. 在 IPv4 隧道 选项卡上，单击 添加。
  3. 在 添加 IP 隧道 页面中，设置以下参数：
    • 名称
    • 远程 IP
    • 远程掩码
    • 本地 IP 类型（在本地 IP 类型下拉列表中，选择子网 IP）。
    • 本地 IP（所选 IP 类型的所有已配置 IP 地址都在“本地 IP”下拉列表中。从列表中选择所需的 IP。）
    • 协议
    • IPsec 配置文件
  4. 单击“创建”，然后单击“关闭”。

使用 GUI 创建 PBR 规则并将 IPSEC 通道绑定到该规则

  1. 导航到“系统”>“网络”>“PBR”。
  2. 在 PBR 选项卡上，单击 添加。
  3. 在 创建 PBR 页面中，设置以下参数：
    • 名称
    • 操作
    • 下一跳类型（选择 IP 通道）
    • IP 通道名称
    • 来源 IP 不足
    • 来源 IP High
    • 目标 IP 不足
    • 目标 IP 为高
  4. 单击“创建”，然后单击“关闭”。

NetScaler 设备上相应的新 CloudBridge Connector 通道配置显示在 GUI 中。CloudBridge Connector 通道的当前状态显示在“已配置的 CloudBridge Connector”窗格中。绿色圆点表示通道已向上。红点表示通道已关闭。 以下命令在“CloudBridge Connector 配置示例”中创建 NetScaler 设备 NS_Appliance-1 的设置：

    > add ipsec profile NS_StrongSwan_IPSec_Profile -psk examplepresharedkey -ikeVersion v1 –encAlgo AES –hashalgo HMAC_SHA1


    Done

    > add iptunnel NS_StrongSwan_Tunnel 203.0.113.200 255.255.255.255 198.51.100.100 –protocol IPSEC –ipsecProfileName NS_StrongSwan_IPSec_Profile


    Done

    > add pbr NS_StrongSwan_Pbr -srcIP 10.102.147.0-10.102.147.255 –destIP 10.20.0.0-10.20.255.255 –ipTunnel NS_StrongSwan_Tunnel


    Done

    > apply pbrs


    Done
<!--NeedCopy-->

监视CloudBridge Connector 通道

您可以使用 CloudBridge Connector 通道统计计数器监视 NetScaler 设备上的 CloudBridge Connector 通道的性能。有关在 NetScaler 设备上显示 CloudBridge Connector 通道统计数据的更多信息，请参阅监视 CloudBridge Connector 通道。

CloudBridge Connector interoperability – StrongSwan
August 15, 2023
投稿者: 
C
August 15, 2023
投稿者: 
C

在本文中

站点反馈 | Your privacy choices footer link您的隐私选择 | 隐私和法律条款 | Cookie 首选项 | 同意设置 | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.