产品文档
Gateway
Current Release 13.1 13.0 12.1
查看 PDF

使用 SSL VPN 虚拟服务器配置 DTLS VPN 虚拟服务器

April 1, 2024
投稿者: 
C

您可以使用与已配置的 SSL VPN 虚拟服务器相同的 IP 地址和端口号为 NetScaler Gateway 配置 DTLS VPN 虚拟服务器。配置 DTLS VPN 虚拟服务器使您能够将高级 DTLS 密码和证书绑定到 DTLS 流量以增强安全性。

重要：

  • 默认情况下，对于现有 SSL VPN 虚拟服务器，DTLS 功能设置为“ON”（开）。在创建 DTLS VPN 虚拟服务器之前，请禁用服务器的功能。

  • NetScaler Gateway 版本 13.0 版本 64.x 及更高版本支持适用于 DTLS 网关虚拟服务器的 SNI。

  • 从 NetScaler 版本 13.0 版本 79.x 开始，默认情况下启用 helloverifyrequest 参数。在 DTLS 配置文件上启用 helloverifyrequest 参数有助于降低攻击者或机器人压倒网络吞吐量的风险，从而可能导致出站带宽耗尽的风险。也就是说，它有助于缓解 DTLS DDoS 扩增攻击。有关 helloverifyrequest 参数的详细信息，请参阅 DTLS 配置文件。

  • 处理 UDP 流量时，如果后端服务器推送大量流量，NetScaler 设备的内存消耗会增加。因此，由于客户端上有 TCP MUX 连接，NetScaler 设备无法将此流量推送到客户端。在这种情况下，Citrix 建议您使用 DTLS 协议。

需要注意的事项

  • 可以从 13.0 Build 58.x 开始配置 NetScaler Gateway 设备上的 DTLS VPN 虚拟服务器。

  • 在 NetScaler Gateway 设备上配置 DTLS VPN 虚拟服务器之前，必须已在设备上配置 SSL VPN 虚拟服务器。

  • DTLS VPN 虚拟服务器使用配置的 SSL VPN 虚拟服务器的 IP 地址和端口号。

  • 如果 DTLS 握手失败，则连接将回退到 TLS。

  • 要仅使用 DTLS，您可以通过仅将 DTLS 密码绑定到 DTLS 流量来禁用 TLS。

  • 当 TCP 流量通过 VPN 进行通道传输时，不支持 DTLS 多路复用。

使用 GUI 配置 DTLS VPN 虚拟服务器

  1. 在“配置”选项卡上，导航到 NetScaler Gateway > 虚拟服务器。
  2. 在 NetScaler Gateway Virtual Servers（NetScaler Gateway 虚拟服务器）页面上，选择现有的 SSL VPN 虚拟服务器，然后单击 Edit（编辑）。
  3. 在 VPN 虚拟服务器页面上，单击编辑图标并清除 DTLS 复选框，然后单击确定。
  4. 导航回 NetScaler Gateway > 虚拟服务器，然后单击添加。

  5. 在“基本设置”下，输入以下字段的值，然后单击“确定”。

    • 名称 - DTLS VPN 虚拟服务器的名称
    • 协议- 选择“DTLS”
    • IP 地址 - 输入 SSL VPN 虚拟服务器 IP 地址
    • 端口 - 输入 SSL VPN 虚拟服务器端口号
  6. 在 NetScaler Gateway 虚拟服务器页面上，选择您之前添加的虚拟服务器，然后单击编辑。
  7. 在证书下，单击箭头图标以选择所需的证书密钥。
  8. 在服务器证书绑定 > 选择服务器证书中，选择现有的 SSL 证书密钥或创建一个证书。
  9. 单击 Server Certificate Binding（服务器证书绑定）页面上的 Bind（绑定）。

注意：

  • 要使用 DTLS 1.2，请单击 SSL 参数下的编辑图标，然后选中 DTLS 1.2 复选框。
  • DTLS 类型的 VPN 虚拟服务器支持服务器名称指示 (SNI)。

使用 CLI 配置 DTLS VPN 虚拟服务器

在命令提示符下，键入下面的一组命令：

set vpn vserver <ssl vpnvserver name> -dtls off
add vpn vserver <dtls vpnvserver name> dtls <ssl vpn vserver IP> <ssl vpn vserver port>
bind ssl vservser <dtls vpnvserver name> -certkeyName <existing ssl cert key or newly created cert key>
<!--NeedCopy-->

DTLS 1.0 照常运行，要使用 DTLS 1.2，请键入以下命令：

set ssl vserver < dtls vpnvserver name > -dtls12 ENABLED
<!--NeedCopy-->

示例

set vpn vserver vpnvserver  -dtls off
add vpn vserver vpnvserver_dtls dtls 10.108.45.220 443
bind ssl vservser vpnvserver_dtls -certkeyName sslcertkey
set ssl vserver vpnvserver_dtls -dtls12 ENABLED
<!--NeedCopy-->

要为 DTLS 类型 VPN 虚拟服务器启用 SNI，请键入以下命令：

set ssl vserver <vServerName>@ [-SNIEnable ( ENABLED | DISABLED )
bind ssl vservser <dtls vpnvserver name> -certkeyName <existing ssl cert key or newly created cert key> <-SNICert>
<!--NeedCopy-->

示例

set ssl vserver _XD_10.106.40.225_443_DTLS -sniEnable eNABLED
bind ssl vserver _XD_10.106.40.225_443_DTLS -certkeyName "Insight/*.insight.net.cer_CERT_" -snICert

<!--NeedCopy-->

支持的 DTLS VPN 虚拟服务器参数

DTLS 类型的 VPN 虚拟服务器仅支持以下参数。

  • Ipaddress
  • 端口
  • 状态
  • 双跃点
  • downstateflush
  • 评论
  • Appflowlog
  • Icmpvsrresponse

不支持的 DTLS VPN 虚拟服务器参数

DTLS 类型的 VPN 虚拟服务器不支持以下参数。

  • LinuxEPAPluginUpgrade
  • WindowsEPAPluginUpgrade
  • maxAAAUsers
  • icaProxySessionMigration
  • loginOnce
  • cginfraHomePageRedirect
  • logoutOnSmartcardRemoval
  • l2Conn
  • MacEPAPluginUpgradeRHIstate
  • icaOnly
  • maxLoginAttempts
  • failedLoginTimeout
  • vserverFqdn
  • deviceCert
  • rdpServerProfileName
  • pcoipVserverProfileName
  • tcpProfileName
  • netProfile
  • authnProfile
  • Listenpriority
  • Listenpolicy
  • ipset
  • certkeyNames

使用 XenApp 和 XenDesktop 向导配置 DTLS 虚拟服务器

  1. 单击与 Citrix 产品集成下的 XenApp 和 XenDesktop。

  2. 在 XenApp 和 XenDesktop 安装向导中，选择 StoreFront 并单击继续。

  3. 在 NetScaler Gateway 设置页面上，启用为此 VPN 虚拟服务器配置 DTLS 侦听器复选框，然后单击继续。

    现已配置 DTLS 侦听器。

  4. 在“服务器证书”中，单击选择文件以选择服务器证书，然后单击继续。

  5. 指定证书文件和密钥文件名，然后单击继续。

  6. 在 StoreFront 部分下，按如下所示提供所需参数的值，然后单击继续。

  7. 在身份验证部分下，按如下所示提供所需参数的值，然后单击测试连接。

    确保服务器可访问，提供超时值和服务器登录名称属性，然后单击 Continue（继续）。

    指定配置值

  8. 单击 Done（完成）完成配置。

    配置完成

限制

  • DTLS 1.2 仅在 Windows 客户端上受支持。
  • 带有 DTLS 的 VPN 虚拟服务器不支持 IPv6 地址。
  • DTLS VPN 虚拟服务器不支持 SSL 策略和 SSL 配置文件。此外，不支持绑定 VPN 虚拟服务器策略。
  • NetScaler Gateway DTLS VPN 虚拟服务器不支持以下功能。但是，NetScaler Gateway SSL VPN 虚拟服务器支持以下功能：
    • 带内容交换虚拟服务器的 Unified Gateway
    • UDP MUX
    • UDP 视频
    • UDP 音频
    • PCOIP
  • 不支持与 DTLS VPN 虚拟服务器统计数据相关的 stat vpn vserver 命令。
  • DTLS 虚拟服务器不支持 HSM 密钥。
  • 不支持群集配置。
使用 SSL VPN 虚拟服务器配置 DTLS VPN 虚拟服务器
April 1, 2024
投稿者: 
C
April 1, 2024
投稿者: 
C

在本文中

站点反馈 | Your privacy choices footer link您的隐私选择 | 隐私和法律条款 | Cookie 首选项 | 同意设置 | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.