产品文档
Citrix SD-WAN
Current Release 11.5 limited availability 11.3 11.2 11.1 11.0 10.2
查看 PDF

部署设备以便与插件一起使用

November 1, 2021
投稿者: 
C

客户端加速需要在 WANOP 客户端插件设备上进行特殊配置。其他注意事项包括设备放置。插件通常部署用于 VPN 连接。

尽可能使用专用设备

尝试将同一设备用于插件加速和链路加速通常很困难，因为这两种用途有时要求设备位于数据中心的不同点，而这两种用途可以调用不同的服务类规则。

此外，单个设备可以用作插件加速的端点节点或用作站点到站点加速的端点节点，但不能同时用于同一连接。因此，当您将设备用于 VPN 的插件加速和站点到站点加速到远程数据中心时，插件用户不会接收站点到站点加速。此问题的严重程度取决于插件用户使用的数据有多少来自远程站点。

最后，由于专用设备的资源不会在插件和站点到站点需求之间划分，因此它们可为每个插件用户提供更多的资源，从而提高性能。

尽可能使用内联模式

应将设备部署在与其支持的 VPN 单元相同的站点上。通常情况下，这两个单位是相互一致的。内联部署提供最简单的配置、最多的功能和最高的性能。为了获得最佳效果，设备应直接与 VPN 单元保持一致。

但是，设备可以使用除组模式或高可用性模式之外的任何部署模式。这些模式适用于设备到设备和客户端到设备加速。它们可以单独使用（透明模式）或与重定向器模式结合使用。

将设备置于网络的安全部分

设备依赖于您的现有安全基础结构，与服务器相同。它应该与服务器放置在防火墙（和 VPN 单元，如果使用）的同一侧。

避免 NAT 问题

插件端的网络地址转换 (NAT) 是透明处理的，不是一个问题。在设备方面，NAT 可能会很麻烦。应用以下准则以确保顺利部署：

  • 将设备放在与服务器相同的地址空间中，以便用于访问服务器的任何地址修改也应用于设备。

  • 切勿使用设备未与其自身关联的地址访问设备。

  • 设备必须能够通过使用插件用户访问相同服务器的相同 IP 地址来访问服务器。

  • 简而言之，请勿将 NAT 应用于服务器或设备的地址。

选择软提升模式

在配置设置：带宽管理页面上，选择 Softboost 模式。Softboost 是唯一支持 WANOP 客户端插件插件的加速类型。

定义插件加速规则

设备维护一个加速规则列表，用于告知客户端要加速哪些流量。每个规则都指定一个地址或子网以及设备可以加速的端口范围。

加速什么-加速什么流量的选择取决于设备的使用情况：

  • VPN 加速器-如果设备被用作 VPN 加速器，所有 VPN 流量都通过设备，则无论目的地如何，所有 TCP 流量都应加速。

  • 重定向器模式-与透明模式不同，处于重定向器模式的设备是显式代理，导致插件将其流量转发到重定向器模式设备，即使这样做是不可取的。如果客户端将流量转发到远离服务器的设备，特别是如果此 “三角形路由” 引入了缓慢或不可靠的链接，则加速可能会起反作用。因此，Citrix 建议将加速规则配置为允许给定设备仅加速其自己的站点。

  • 其他用途-当插件既不用作 VPN 加速器，也不用于重定向器模式时，加速规则应包括远程用户和数据中心本地的地址。

在 配置：WANOP 客户端插件：加速规则选项卡上定义规则-在设备上定义加速规则 。

按顺序计算规则，并从第一个匹配规则执行操作（加速或排除）。要加速连接，它必须与加速规则匹配。

默认操作是不加速。

图 1. 设置加速规则

本地化后的图像

  1. 在配置：WANOP 插件：加速规则选项卡上：

    • 为设备可以访问的每个本地 LAN 子网添加加速规则。也就是说，单击 添加，选择加 速，然后键入子网 IP 地址和掩码。

    • 对设备本地的每个子网重复此操作。

  2. 如果您需要排除包含范围的某些部分，请添加 “排除” 规则并将其移动到更常规的规则之上。例如，10.217.1.99 看起来像一个本地地址。如果它实际上是 VPN 单元的本地端点节点，请在 10.217.1.0/24 的加速规则上方的行上创建一个排除规则。

  3. 如果要仅对单个端口（不推荐）使用加速，例如 HTTP 端口 80，请将 “端口” 字段中的通配符替换为特定端口号。您可以通过添加额外的规则（每个端口一个）来支持其他端口。

  4. 一般来说，在一般规则之前列出狭窄的规则（通常是例外）。

  5. 单击应用。如果您在应用更改之前离开此页面，则不会保存更改。

IP 端口使用情况

对于 IP 端口使用，请使用以下指南：

  • 用于与 WANOP 客户端插件通信的端口 — 插件通过信令连接维护与设备的对话框，默认情况下，信令连接位于端口 443 (HTTPS) 上，大多数防火墙都允许这样做。

  • 用于与服务器通信的端口— 如果插件和装置不存在，WANOP 客户端插件与装置之间的通信使用的端口与客户端用于与服务器通信的端口相同。也就是说，当客户端在端口 80 上打开 HTTP 连接时，它会连接到端口 80 上的设备。设备依次与端口 80 上的服务器联系。

    在重定向器模式下，只保留已知端口（即 TCP SYN 数据包上的目标端口）。临时端口不会被保留。在透明模式下，保留两个端口。

    设备假定它可以在客户端请求的任何端口上与服务器通信，而客户端假定它可以在任何所需端口上与设备通信。如果设备遵守与服务器相同的防火墙规则，则此功能很好。在这种情况下，在直接连接中成功的任何连接都会在加速连接中成功。

TCP 选项使用和防火墙

WANOP 客户端插件参数在 TCP 选项中发送。TCP 选项可以出现在任何数据包中，并保证存在于建立连接的 SYN 和 SYN-ACK 数据包中。

防火墙不得阻止 24-31（十进制）范围内的 TCP 选项，否则无法进行加速。大多数防火墙不会阻止这些选项。但是，默认情况下，具有版本 7.x 固件的思科 PIX 或 ASA 防火墙可能会这样做，因此您可能需要调整其配置。

部署设备以便与插件一起使用
November 1, 2021
投稿者: 
C
November 1, 2021
投稿者: 
C

在本文中

站点反馈 | Your privacy choices footer link您的隐私选择 | 隐私和法律条款 | Cookie 首选项 | 同意设置 | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.