网络配置的最佳实践
以下部分介绍了在 Citrix ADC 设备上配置网络功能的一些最佳实践。
路由和默认路由
以下是在 Citrix ADC 设备上配置第 3 层功能的一些最佳做法。
-
Citrix ADC 设备或 Citrix SDX 设备
0/x上的接口不得用于生产流量 。在 MPX 或 SDX 上，名为的接口0/x被引用到管理接口。这并不意味着您必须使用这些接口进行管理。这意味着这些接口不是为生产流量设计的。它们没有实现持续 1 Gbps 吞吐量所需的硬件缓冲区和优化。因此，如果您的默认路由与 NSIP 位于同一子网中，则必须更改默认路由或使用管理网络的接1/x口，因为这些1/x接口已完全针对生产 1Gbps 的流量。注意：
这不适用于 Citrix ADC VPX 设备。
-
备选案文 1. 请勿连接到接口
0/x— 从接口断开电缆0/1。NetScaler 侦听其他接口上的 NSIP。（注意：这不是 SDX 的选项，因为 SVM 和 XenServer 只能与接0/x口交谈） -
选项 2. 将默认路由更改为其他界面，详见下一节。
-
-
默认 Gateway（路由 0.0.0.0）应位于生产网络上，而不是位于任何
0/x接口 上。首次设置 NetScaler 时，它会要求您输入 NSIP、子网掩码和网关地址。这为管理员创建的问题是，他们只是将默认路由配置为使用接口 0/1 在其管理网络上。-
要检查路由是什么，请在 CLI
show route中运行，您的默认 Gateway 是网络和网络掩码为 0.0.0.0 的行中的 IP。以下是网关位于第 1 行的示例：> sh route Network Netmask Gateway/OwnedIP State Traffic Domain Type ------- ------- --------------- ----- -------------- ---- 1) 0.0.0.0 0.0.0.0 10.25.213.65 UP 0 STATIC 2) 127.0.0.0 255.0.0.0 127.0.0.1 UP 0 PERMANENT 3) 10.25.213.64 255.255.255.192 10.25.213.68 UP 0 DIRECT 4) 172.16.0.0 255.255.255.0 172.16.0.1 UP 0 DIRECT <!--NeedCopy--> -
要检查用于默认网关的接口和 VLAN，请
sh arp在 CLI 中使用检查 ARP 表。您也可以使用搜索特定的 IPshow arp | grep 10.25.213.65。以下是您看到网关 10.25.213.65 正在使用接口 1/1 和 VLAN 1 的示例：> sh arp IP MAC Iface VLAN Origin TTL Traffic Domain -- --- ----- ---- ------ --- -------------- 1) 127.0.0.1 02:00:18:a4:00:1e LO/1 1 PERMANENT N/A 0 2) 10.25.213.70 02:00:0f:46:00:28 1/1 1 DYNAMIC 967 0 3) 10.25.213.68 02:00:18:a4:00:1e LO/1 1 PERMANENT N/A 0 4) 10.25.213.67 02:00:0f:46:00:28 1/1 1 DYNAMIC 641 0 5) 10.25.213.65 00:08:e3:ff:fd:90 1/1 1 DYNAMIC 483 0 <!--NeedCopy--> -
将默认路由更改为在生产子网和接口上使用网关。假设您的管理网络是 10.0.0.0/24，网关 10.0.0.1，生产网络是 10.1.1.0/24，网关 10.1.1.1。像这样设置您的配置：
- SNIP: (管理访问禁用) 10.1.1.2
- NSIP: (已启用管理访问权限) 10.0.0.2
-
默认路由：0.0.0.0 0.0.0.0 10.1.1.1（系统 > 网络 > 路由）。这使用 SNIP 网络上的路由器，而不是 NSIP 网络。
注意：
更改默认 Gateway 可能会中断管理流量，除非您配置静态路由、基于策略的路由或启用基于 MAC 的转发。
-
接口、通道和 VLAN
以下是在 Citrix ADC 设备上配置第 2 层功能的一些最佳做法。
-
不要将多个接口/通道连接到同一个 VLAN，包括 VLAN 1：
-
如果您没有正确配置 VLAN，则可能会导致网络中出现意外的数据包路由和第 2 层循环，只要有多个具有相同 VLAN 的活动接口（本机或已标记）。
-
默认情况下，所有接口和通道都位于本机 VLAN 1 上。这会产生两个可能的问题：
-
NetScaler 认为接收到的所有流量都位于同一网络上，因此它使用任何接口来发送流量。如果您在其发送数据的接口上有不同的本机 VLAN，则流量将不会按预期路由。
-
如果 NetScaler 在一个端口上接收广播数据包，它可能会在另一个端口上重新传输。如果两个交换机端口位于同一 VLAN 上，则您只需创建了一个第 2 层循环。
-
-
若要从 VLAN 1 中删除接口/通道，请执行以下操作：
-
如果您没有在交换机接口/端口通道上使用本机 VLAN。将 NetScaler 接口/通道上的本机 VLAN 更改为未使用的 VLAN 编号，如 999。对于多个通道或接口，不应使用相同的未使用 VLAN 号码，因为它会创建第 2 层循环。
-
如果您在交换机接口/端口通道上使用本机 VLAN。更改 NetScaler 接口/通道上的本机 VLAN 以匹配。但是，请注意不要在同一个 VLAN 上有多个活动接口或通道，因为这样做会创建第 2 层循环。
-
您无法删除本机 VLAN。相反，您可以更改它或为接口或频道设置 TagAll。如果交换机端口未配置未标记的本机 VLAN，则在接口上启用 tagall，以便将标记高可用性检测信号数据包。
-
-
要在接口上查看本机 VLAN，请
sh interface在 CLI 中运行。这也会通知您界面是否使用 TAGAll 选项。
-
-
将接口绑定到您的 VLAN -默认情况下，NetScaler 不会将新的 VLAN 附加到接口。这意味着在将 VLAN 绑定到接口之前，才会使用 VLAN。当新的 VLAN 未绑定到接口，并且该 VLAN 被标记时，NetScaler 会删除该 VLAN 中的所有入站流量。此外，不要将同一个 VLAN 绑定到多个接口。
-
将子网绑定到您的 VLAN。NetScaler 不像典型的路由器一样工作。大多数路由器将 IP 连接到接口。在 NetScaler 上，除非另有配置，否则 IP 会浮动在任何接口上。因此，要确保 NetScaler 通过特定 VLAN 发送的任何子网，尤其是当 NetScaler 正在启动该流量时，您必须将该子网内的 SNIP 绑定到 VLAN。
-
我们听到反对这种情况的一个常见论点是，它曾经工作正常，现在它不会没有将子网绑定到 VLAN。这通常是因为 NetScaler 会知道要发送流量的 VLAN，但在构建其 ARP 表时，这可能需要一些时间。重新启动或固件升级后，当它再次开始构建 ARP 表时，它最初可能会学习，因此使用不同于您想要的路径，例如默认路由。最好通过将 SNIP 绑定到 VLAN 来指示它采取哪个路径。一旦 SNIP 绑定到 VLAN，该 SNIP 的整个子网将绑定到 VLAN。
-
确保每个 SNIP 都绑定到 VLAN（除非在子网中有多个 SNIP，则只必须绑定一个），并且 VLAN 只绑定到一个接口或通道。通常最好在每个子网中都有 SNIP，但这并不是必需的，因为最具体的路由将用于任何没有 SNIP 的目标子网。
-
-
要识别子网使用的 VLAN 和接口，请执行以下操作：
-
转到 系统 > 网络 > VLAN。
-
依次编辑配置的每个 VLAN，直到找到正确的 IP 地址，如下一步所述。
-
单击“IP 绑定”选项卡可查看哪个 IP，以及哪个子网被绑定，因此正在使用此 VLAN。
-
确定绑定到该 IP 的 VLAN 后，该 IP 位于默认路由的子网中，然后单击接口绑定。将使用绑定到此 VLAN 的每个接口或频道。
-
示例
假定默认路由为0.0.0.0 0.0.0.0 10.1.1.1。
假设您有两个剪本，分别为 10.0.0.5 和 10.1.1.69。由于 10.1.1.69 位于默认路由的子网中，所以这是您想要查找的路由。在下面的屏幕截图中，我们正在审查 VLAN 1，我们看到 IP 10.1.1.69 绑定到此 VLAN，所以我们知道我们正在查看正确的 VLAN。
现在点击界面绑定。在 VLAN 接口绑定中，我们看到1/1 接口用于此子网，因此用于默认路由。
注意：
如果您没有任何 IP 绑定到您的 VLAN，那么默认情况下它将被发出 VLAN 1，所以在这种情况下，看看哪些接口绑定到 VLAN 1。这也意味着除非您将 IP 绑定到新 VLAN，否则 NetScaler 将不会对其启动的流量使用已配置的 VLAN。
Gratuitous ARP
如果 GARP 不起作用，请使用 VMAC-默认情况下，NetScaler 使用 GARP 将其 IP 通告到 MAC 地址绑定到其他网络设备。这通常没有问题，但是，当您在 NetScaler 中创建更多服务时，您可能会在 HA 对上进行故障转移时遇到问题。最常见的问题是，由于某些网络设备没有使用新的 MAC 地址更新其 ARP 表，故障转移到的 NetScaler 中的服务保持关闭状态。您可以通过检查其 ARP 表以查看 MAC 地址是否与现在主 NetScaler 上的地址相匹配来轻松验证这一点。发生这种情况时，您的某些网络设备很可能会限制他们遵守的 GARP 广告的数量。在这种情况下，有必要在所有活动接口和/或通道上配置 VMAC。如果您希望在 NetScaler 上进行大型配置，则最好在初始部署期间为所有接口和通道配置 VMAC。
注意：
不要忘记为默认路由使用的接口或频道配置 VMAC。
Citrix ADC 拥有的 IP 地址
本节介绍配置 Citrix ADC 拥有的 IP 地址的最佳实践：
-
Citrix ADC IP (NSIP)：通常此 IP 用于管理，因为它是 HA 或群集环境中单个 NetScaler 唯一的 IP。同样重要的是，LDAP、RADIUS 和用户脚本监视器流量（如 LDAP 监视器和 StoreFront 监视器）将从 NSIP 源，从而通过 NSIP 绑定到的 VLAN 和接口路由（默认本机 VLAN 1）。如果需要来自 SNIP 的 LDAP 和 RADIUS 流量，则为后端服务器创建 LB 虚拟服务器。
-
子网 IP (SNIP)：此 IP 地址用于启动与后端服务器的通信，并始终启动流量。也就是说，在这些情况下，它可以是流量的目的地：
-
在 NetScaler 上执行第 3 层路由时，它可以用作其他设备上的网关地址。
-
启用后，它可以接受管理服务，例如访问 GUI、SSH 和 SNMP。
-
-
虚拟 IP (VIP)：VIP 是独一无二的，因为它永远不会被用于启动出站流量。它仅用于接收流量。接收流量后，它会回复并将出站流量发送回客户端。换句话说，VIP 地址不会启动出站流量。
请注意，这也意味着它不用作与 LB 虚拟服务器中使用的后端服务器进行通信的源。