产品文档
ADC
14.1 - Current Release 13.1 13.0 12.1
查看 PDF

在 Citrix ADC 设备和 fortiGate 设备之间配置 CloudBridge Connector 通道

October 7, 2021
投稿者: 
C

您可以在 Citrix ADC 设备和 Fortinet FortiGate 设备之间配置 CloudBridge Connector 通道，以连接两个数据中心或将网络扩展到云提供商。Citrix ADC 设备和 FortiGate 设备构成 CloudBridge Connector 通道的终点，称为对等。

CloudBridge Connector 通道配置示例

作为 CloudBridge Connector 通道中流量的示例，请考虑在以下设备之间设置 CloudBridge Connector 通道的示例：

  • 数据中心指定为 Datacenter-1 的 Citrix ADC 设备 NS_Appliance-1
  • 指定为 Datacenter-2 的数据中心中的 FortiGate 设备 FortiGate-Appliance-1

NS_Appliance-1 和 FortiGate-Appliance-1 可通过 CloudBridge Connector 通道在 Datacenter-1 和 Datacenter-2 中的专用网络之间进行通信。在此示例中，NS_Appliance-1 和 FortiGate-Appliance-1 通过 CloudBridge Connector 通道启用 Datacenter-1 中的客户端 CL1 与 Datacenter-2 中的服务器 S1 之间的通信。客户端 CL1 和服务器 S1 位于不同的专用网络上。

在 NS_Appliance-1 上，CloudBridge Connector 通道配置包括 IPsec 配置文件实体 NS_Fortinet_IPsec_Profile、CloudBridge Connector 通道实体 NS_Fortinet_Tunnel 和基于策略的路由 (PBR) 实体 NS_Fortinet_Pbr。

本地化后的图片

有关更多信息，请参阅 CloudBridge Connector 隧道配置表 pdf。

有关数据中心 2 中 Fortinet Fortigate 设备 1 上的设置的信息，请参阅 表格。

CloudBridge Connector 通道配置需要考虑的事项

在 Citrix ADC 设备和 FortGate 设备之间配置 CloudBridge Connector 隧道之前，请考虑以下几点：

  • Citrix ADC 设备和 FortiGate 设备之间的 CloudBridge Connector 通道支持以下 IPsec 设置。

    IPsec 属性 设置
    IPsec 模式 通道模式
    IKE 版本 版本 1
    IKE DH 组 DH 组 2（1024 位 MODP 算法）
    IKE 身份验证方法 预共享密钥
    IKE 加密算法 AES
    IKE 哈希算法 HMAC SHA1
    ESP 加密算法 AES
    ESP 哈希算法 HMAC SHA1
  • 您必须在 Citrix ADC 设备和 CloudBridge Connector 两端的 FortiGate 设备上指定相同的 IPsec 设置。
  • Citrix ADC 提供了一个通用参数（在 IPsec 配置文件中），用于指定 IKE 哈希算法和 ESP 哈希算法。它还提供了另一个用于指定 IKE 加密算法和 ESP 加密算法的常见参数。 因此，在 FortiGate 设备中，必须在 IKE（阶段 1 配置）和 ESP（阶段 2 配置）中指定相同的哈希算法和相同的加密算法。
  • 必须在 Citrix ADC 端和 FortiGate 端配置防火墙，以允许执行以下操作。
    • 端口 500 的任何 UDP 数据包
    • 端口 4500 的任何 UDP 数据包
    • 任何 ESP（IP 协议编号 50）数据包
  • FortiGate 设备支持两种类型的 VPN 通道：基于策略和基于路由的 VPN 通道。FortiGate 设备和 Citrix ADC 设备之间仅支持基于策略的 VPN 通道。

为CloudBridge Connector 通道配置 FortiGate 设备

要在 FortiGate 设备上配置 CloudBridge Connector 通道，请使用基于 Fortinet 的基于 Web 的管理器，该管理器是配置、监控和维护 FortiGate 设备的主用户界面。

在 FortiGate 设备上开始 CloudBridge Connector 通道配置之前，请确保：

  • 您在 FortiGate 设备上有一个具有管理员凭据的用户帐户。
  • 您熟悉 Fortinet 基于 Web 的管理器。
  • FortiGate 设备正在运行，连接到 Internet，并且还连接到专用子网，其流量将通过 CloudBridge Connector 通道受到保护。

注意

在 FortiGate 设备上配置 CloudBridge Connector 通道的过程可能会随着时间的推移而改变，具体取决于 Fortinet 发布周期。Citrix 建议您遵循 Fortinet 官方产品文档了 解配置 IPsec VPN 隧道。

要在 Citrix ADC 设备和 FortiGate 设备之间配置 CloudBridge Connector 通道，请使用基于 Web 的 Fortinet 管理器在 FortiGate 设备上执行以下任务：

  • 启用基于策略的 IPsec VPN 功能。启用此功能以在 FortiGate 设备上创建基于策略的 VPN 通道。FortiGate 设备和 Citrix ADC 设备之间仅支持基于策略的 VPN 通道类型。FortiGate 设备上基于策略的 VPN 通道配置包括阶段 1 设置、阶段 2 设置和 IPsec 安全策略。
  • 确定阶段 1 参数。在构建与 Citrix ADC 设备的安全通道之前，FortiGate 设备使用阶段 1 参数进行 IKE 身份验证。
  • 定义阶段 2 参数。FortiGate 设备使用第 2 阶段参数通过建立 IKE 安全关联 (SA) 来形成与 Citrix ADC 设备的安全通道。
  • 指定专用子网。定义要通过通道传输其 IP 流量的 FortiGate 端和 Citrix ADC 端专用子网。
  • 定义通道的 IPsec 安全策略。安全策略允许 IP 流量在 FortiGate 设备上的接口之间传递。IPsec 安全策略指定通往专用子网的接口以及通过通道连接 Citrix ADC 设备的接口。

使用 Fortinet 基于 Web 的管理器启用基于策略的 IPsec VPN 功能

  1. 导航到 系统 > 配置 > 功能。
  2. 在“功能设置”页面上，选择“显示更多”并打开基于策略的 IPsec VPN。

使用 Fortinet 基于 Web 的管理器定义阶段 1 参数

  1. 导航到 VPN > IPsec > 自动密钥 (IKE)，然后单击创建阶段 1。
  2. 在“新建阶段 1”页面上，设置以下参数：
    • 名称：输入此阶段 1 配置的名称。
    • 远程网关：选择静态 IP 地址。
    • 模式：选择主（ID 保护）。
    • 身份验证方法：选择预共享密钥。
    • 预共享密钥：输入预共享密钥。必须在 Citrix ADC 设备上配置相同的预共享密钥。
    • 对等选项：设置以下 IKE 参数，用于对 Citrix ADC 设备进行身份验证。
      • IKE 版本：选择 1。
      • 模式配置：如果选中此选项，请清除此选项。
      • 本地网关 IP：选择主接口 IP。
      • P1 提案：在构建 Citrix ADC 设备的安全通道之前，选择 IKE 身份验证的加密和身份验证算法。
        • 1 - 加密：选择 AES128。
        • 身份验证：选择 SHA1。
        • 密钥生命：输入阶段 1 的密钥生命周期的时间量（以秒为单位）。
        • DH 组：选择 2。
      • X 身份验证：选择禁用。
      • 契约对等检测：选择此选项。
  3. 单击 OK（确定）。

使用 Fortinet 基于 Web 的管理器指定专用子网

  1. 导航到“防火墙对象”>“地址”>“地址”，然后选择“新建”。
  2. 在“新建地址”页上，设置以下参数：
    • 名称：输入 FortiGate 端子网的名称。
    • 类型：选择子网。
    • 子网/IP 范围：输入 FortiGate 端子网的地址。
    • 接口：选择此子网的本地接口。
  3. 单击 OK（确定）。
  4. 重复步骤 1-3 以指定 Citrix ADC 端子网。

使用 Fortinet 基于 Web 的管理器定义阶段 2 参数

  1. 导航到 VPN > IPsec > 自动密钥 (IKE)，然后单击创建阶段 2。
  2. 在“新建阶段 2”页面上，设置以下参数：
    • 名称：输入此阶段 2 配置的名称。
    • 阶段 1：从下拉列表中选择阶段 1 配置。
  3. 单击“高级”并设置以下参数：
    • P2 提案：选择加密和身份验证算法，以形成到 Citrix ADC 设备的安全通道。
      • 1 - 加密：选择 AES128。
      • 身份验证：选择 SHA1。
      • 启用重播检测：选择此选项。
      • 启用完全正向保密 (PFS)：选择此选项。
      • DH 组：选择 2。
    • 钥匙生命：输入阶段 2 密钥生命周期的时间量（以秒为单位）。
    • 自动密钥保持活动状态：选择此选项。
    • 自动协商：选择此选项。
    • 快速模式选择器：指定要通过通道遍历其流量的 FortiGate 端和 Citrix ADC 端专用子网。
      • 源地址：从下拉列表中选择 FortiGate 端子网。
      • 源端口：输入 0。
      • 目标地址：从下拉列表中选择 Citrix ADC 端子网。
      • 目的地端口：输入 0。
      • 协议：输入 0。
  4. 单击 OK（确定）。

使用 Fortinet 基于 Web 的管理器定义 IPsec 安全策略

  1. 导航到“策略”>“策略”>“策略”，然后单击“创建新”。
  2. 在“编辑策略”页面上，设置以下参数：
    • 策略类型：选择 VPN。
    • 策略子类型： 选择 IPsec。
    • 本地接口：选择内部（专用）网络的本地接口。
    • 本地受保护子网：从下拉列表中选择要通过通道遍历其流量的 FortiGate 端子网。
    • 传出 VPN 接口：选择外部（公共）网络的本地接口。
    • 远程受保护的子网：从下拉列表中选择要通过通道遍历其流量的 Citrix ADC 端子网。
    • 计划：保留默认设置（始终），除非需要更改以满足特定要求。
    • 服务：保留默认设置 (任何)，除非需要进行更改以满足您的特定要求。
    • VPN 通道：选择“使用现有”，然后从下拉列表中选择通道。
    • 允许从远程站点启动流量：选择是否允许来自远程网络的流量启动通道。
  3. 单击 OK（确定）。

为 CloudBridge Connector 通道配置 Citrix ADC 设备

要在 Citrix ADC 设备和 FortiGate 设备之间配置 CloudBridge Connector 通道，请在 Citrix ADC 设备上执行以下任务。您可以使用 Citrix ADC 命令行或 Citrix ADC 图形用户界面 (GUI)：

  • 创建 IPsec 配置文件。IPsec 配置文件实体指定 IPsec 协议参数，如 IKE 版本、加密算法、哈希算法和身份验证方法，以供 CloudBridge Connector 通道中的 IPsec 协议使用。
  • 创建使用 IPsec 协议的 IP 通道，并将 IPsec 配置文件与其关联。IP 通道指定本地 IP 地址（Citrix ADC 设备上配置的 CloudBridge Connector 通道端点 IP 地址（SNIP 类型））、远程 IP 地址（FortiGate 设备上配置的 CloudBridge Connector 通道端点 IP 地址）、用于设置 CloudBridge 的协议 (IPsec)连接器通道和 IPsec 配置文件实体。创建的 IP 通道实体也称为 CloudBridge Connector 通道实体。
  • 创建 PBR 规则并将其与 IP 隧道相关联。PBR 实体指定一组规则和一个 IP 通道（CloudBridge Connector 通道）实体。源 IP 地址范围和目标 IP 地址范围是 PBR 实体的条件。设置源 IP 地址范围以指定要通过通道保护其流量的 Citrix ADC 端子网，并设置目标 IP 地址范围以指定通过通道保护其流量的 FortiGate 设备端子网。

使用 Citrix ADC 命令行创建 IPsec 配置文件

在命令提示符下，键入：

  • add ipsec profile <name> -psk <string> -ikeVersion v1 -encAlgo AES -hashAlgo HMAC_SHA1 -perfectForwardSecrecy ENABLE
  • show ipsec profile <name>

使用 Citrix ADC 命令行创建 IPsec 通道并将 IPsec 配置文件绑定到该通道

在命令提示符下，键入：

  • add ipTunnel <name> <remote> <remoteSubnetMask> <local> -protocol IPSEC –ipsecProfileName** <string>
  • show ipTunnel <name>

使用 Citrix ADC 命令行创建 PBR 规则并将 IPsec 通道绑定到该规则

在命令提示符下，键入：

  • add pbr <pbrName> ALLOW –srcIP <subnet-range> -destIP <subnet-range> -ipTunnel <tunnelName>
  • apply pbrs
  • show pbr <pbrName>

使用 GUI 创建 IPsec 配置文件

  1. 导航到 系统 > CloudBridge 连接器 > IPsec 配置文件。
  2. 在详细信息窗格中，单击 Add（添加）。
  3. 在“添加 IPsec 配置文件”页面中，设置以下参数：
    • 名称
    • 加密算法
    • 哈希算法
    • IKE 协议版本
    • 完全正向保密（启用此参数）
  4. 将两个 CloudBridge Connector 隧道对等体使用的 IPsec 身份验证方法配置为相互身份验证：选择 预共享密钥身份验证方法 并设置 预共享密钥存在 参数。
  5. 单击 Create（创建），然后单击 Close（关闭）。

创建 IP 通道并使用 GUI 将 IPsec 配置文件绑定到它

  1. 导航到系统 > CloudBridge Connector > IP 通道。
  2. 在 IPv4 隧道 选项卡上，单击 添加。
  3. 在“添加 IP 隧道”页中，设置以下参数：
    • 名称
    • 远程 IP
    • 远程屏蔽
    • 本地 IP 类型（在本地 IP 类型下拉列表中，选择子网 IP）。
    • 本地 IP（所选 IP 类型的所有已配置的 IP 地址都位于“本地 IP”下拉列表中。从列表中选择所需的 IP。）
    • 协议
    • IPsec 配置文件
  4. 单击 Create（创建），然后单击 Close（关闭）。

创建 PBR 规则并使用 GUI 将 IPsec 通道绑定到它

  1. 导航到系统 > 网络 > PBR。
  2. 在 PBR 选项卡上，单击 添加。
  3. 在 “ 创建 PBR ” 页中，设置以下参数：
    • 名称
    • 操作
    • 下一个跳类型（选择 IP 通道）
    • IP 通道名称
    • 源 IP 低
    • 源 IP 高
    • 目标 IP 低
    • 目标 IP 高
  4. 单击 Create（创建），然后单击 Close（关闭）。

Citrix ADC 设备上相应的新 CloudBridge Connector 通道配置显示在 GUI 中。

CloudBridge Connector 通道的当前状态显示在已配置的 CloudBridge Connector 窗格中。绿色圆点表示通道已向上。红点表示通道已关闭。

以下命令在“CloudBridge Connector 配置示例”中创建 Citrix ADC 设备 NS_Appliance-1 的设置。

    >  add ipsec profile NS_Fortinet_IPSec_Profile -psk  examplepresharedkey -ikeVersion v1 –encAlgo AES –hashalgo HMAC_SHA1 –lifetime 315360 -perfectForwardSecrecy ENABLE

     Done
    >  add iptunnel NS_Fortinet_Tunnel 203.0.113.200 255.255.255.255 198.51.100.100 –protocol IPSEC –ipsecProfileName NS_Fortinet_IPSec_Profile

     Done
    > add pbr NS_Fortinet_Pbr -srcIP 10.102.147.0-10.102.147.255 –destIP 10.20.0.0-10.20.255.255 –ipTunnel NS_Fortinet_Tunnel

     Done
    > apply pbrs

     Done
<!--NeedCopy-->

监视 CloudBridge Connector 通道

您可以使用 CloudBridge Connector 通道统计计数器监视 Citrix ADC 设备上的 CloudBridge Connector 通道的性能。有关在 Citrix ADC 设备上显示 CloudBridge Connector 隧道统计信息的更多信息，请参阅 监视 CloudBridge Connector 隧道。

在 Citrix ADC 设备和 fortiGate 设备之间配置 CloudBridge Connector 通道
October 7, 2021
投稿者: 
C
October 7, 2021
投稿者: 
C

在本文中

站点反馈 | Your privacy choices footer link您的隐私选择 | 隐私和法律条款 | Cookie 首选项 | 同意设置 | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.