Konfigurieren eines CloudBridge连接器-隧道zwischen einem Rechenzentrum und einer Azure-Cloud
Die Citrix ADC Appliance bietet Konnektivität zwischen Ihren unternehmensdatenzentrn und dem Microsoft-Cloud-Hosting-Anbieter Azure, wodurch Azure eine nahtlose Erweiterung des Unternehmensnetzwerks darstellt。Citrix ADC verschlüsselt die verindung zwischen dem Enterprise-Rechenzentrum und under blue - cloud, soda alle zwischen den beiden übertragenen Daten sicher sind。
Funktionsweise des CloudBridge连接器-隧道
Um ein Datencenter mit der Azure-Cloud zu verbinden, richten Sie einen CloudBridge Connector-Tunnel zwischen einer Citrix ADC Appliance, die siich im Rechenzentrum befindet, und einem Gateway in der Azure-Cloud ein。Die Citrix ADC Appliance im Rechenzentrum和das Gateway in der Azure-Cloud信模Endpunkte des CloudBridge Connector-Tunnels和werden als Peers des CloudBridge Connector-Tunnels bezeichnet。
Ein CloudBridge Connector-Tunnel zwischen einem Rechenzentrum und einer Azure-Cloud verwendet die IPsec-Protokollsuite (Internet协议安全)im Tunnelmodus, um die Kommunikation zwischen Peers im CloudBridge Connector-Tunnel zu sichern。在einem CloudBridge连接器-隧道stellt IPsec Folgendes sicher:
- Datenintegritat
- Datenursprungauthentifizierung
- Datenvertraulichkeit (Verschlusselung)
- Schutz vor Replay-Angriffen
IPsec verwendet den Tunnelmodus, in dem das komplette IP-Paket verschlüsselt und dann gekapselt wid。Die Verschlüsselung verwendet das ESP-Protokoll(封装安全有效载荷)，das Die Integrität des Pakets mithilife einer HMAC-Hash-Funktion gewährleistet und Die Vertraulichkeit mithilife eines Verschlüsselungsalgorithmus gewährleistet。Das ESP-Protokoll generiert nach Verschlüsselung der Nutzlast und Berechnung des HMAC einen ESP-Header und fügt ihn vor dem verschlüsselten IP-Paket ein。Das ESP-Protokoll generiert auh einen ESP-Trailer und fügt ihn am Ende des Pakets ein。
Das IPsec-Protokoll kapselt dann Das resultierende Paket, indem ein IP-Header vor dem ESP-Header hinzugefügt wid。Im IP-Header wid die ziel - ip - address auf die ip - address des CloudBridge connect - peers festgeelegt。
peer im CloudBridge Connector-Tunnel verwenden das IKEv1 (Internet Key Exchange Version 1) -Protokoll (Teil der IPsec-Protokollsuite)， um eine sichere Kommunikation auszuhandeln, wie folgt:
peer authentifizieren siich gegenseitig, indem sie eine vorab geteilte Schlüsselauthentifizierung verwenden, bei der Die Peers eine Textzeichenfolge namens Pre-Shared Key (PSK) austauschen。Die vorab geteilten Schlüssel werden zur Authentifizierung gegeneinander zugeordnet。真爱我的朋友，müssen我的朋友Schlüssel我的朋友。
那是什么意思? über:
- 静脉Verschlusselungsalgorithmus
- 氪grafische Schlüssel zum Verschlüsseln von Daten auf einem Peer und zum Entschlüsseln auf dem anderen。
Diese Vereinbarung über das Sicherheitsprotokoll, den Verschlüsselungsalgorithmus und die kryptografischen Schlüssel野生动物安全协会(SA) bezeichnet。SAs sind einseitig(单纯型)。Wenn beispielsweise ein CloudBridge Connector-Tunnel zwischen einer Citrix ADC Appliance in einem Rechenzentrum und einem Gateway in einer Azure-Cloud eingerichet wid, verfügen sowohl die Datencenter-Appliance als auch das Azure-Gateway über zwei SAs。Eine SA wid für die Verarbeitung ausgehender Pakete verwendet, und die andere SA wid für die Verarbeitung eingehender Pakete verwendet。那是一种失落的感觉，那是一种奇妙的感觉。
Beispiel für CloudBridge Connector-Tunnelkonfiguration und Datenfluss
CloudBridge Connector Tunnels in Beispiel, in dem ein CloudBridge Connector- tunnel zwischen der Citrix ADC appliance CB_Appliance-1 in einem Rechenzentrum und dem Gateway Azure_Gateway-1 in der Azure-Cloud eingericet wid。
CB_Appliance-1 fungiert auch als L3-Router, der es einem privaten Netzwerk im Rechenzentrum ermöglicht， über den CloudBridge Connector-Tunnel ein privates Netzwerk in der Azure-Cloud zu erreichen。Als路由器ermöglicht CB_Appliance-1 die Kommunikation zwischen客户端CL1 im Rechenzentrum und服务器S1 in der Azure-Cloud über den CloudBridge Connector-Tunnel。客户端CL1和服务器S1信在verschiedenen privaten Netzwerken。
在cb_application -1 umfast die CloudBridge Connector-Tunnelkonfiguration eine IPsec-Profilentität mit dem Namen CB_Azure_IPsec_Profile, eine CloudBridge Connector-Tunnelentität namens CB_Azure_Tunnel und eine richtlinienbasierte Routing-Entität mit dem Namen CB_Azure_Pbr。
Die IPsec-Profilentität CB_Azure_IPsec_Profile gibt Die IPsec-Protokollparameter an, z. B. IKE-Version, Verschlüsselungsalgorithmus und Hash-Algorithmus, Die vom IPsec-Protokoll im CloudBridge Connector-Tunnel verwendet werden sollen。CB_Azure_IPsec_Profile ist an die IP-Tunnelentität CB_Azure_Tunnel gebunden。
CloudBridge Connector-Tunnelentität CB_Azure_Tunnel gibt die lokale ip - address (eine öffentliche ip - address (SNIP)， die auf der Citrix ADC Appliance konfiguriert ist)， die remote - ip - address (die ip - address des Azure_Gateway-1)和das Protokoll (IPsec) an, das zum Einrichten des CloudBridge Connector-Tunnels verwendet wid。CB_Azure_Tunnel ist an die PBR-Entität CB_Azure_Pbr gebunden。
Die PBR-Entität CB_Azure_Pbr gibt einen Satz von Bedingungen und eine CloudBridge Connector-Tunnelentität (CB_Azure_tunnel) an。Der quelle - ip - addressberich and under ziel - ip - addressberich sinind die Bedingungen für CB_Azure_PBR。子网数据中心bzw。Subnetz in der blue - cloud angegeben。Jedes Anforderungspaket, das von einem Client im Subnetz im Rechenzentrum stamt und für einen Server im Subnetz in der Azure-Cloud beestimmt ist, entspricht den Bedingungen in CB_Azure_PBR。Dieses Paket wd dann für die CloudBridge-Verarbeitung berücksichtigt und über den CloudBridge-Connector-Tunnel (CB_Azure_Tunnel) gesendet, der an die PBR-Entität gebunden ist。
Unter Microsoft Azure umfast die CloudBridge Connector-Tunnelkonfiguration eine lokale Netzwerkentität namens My-Datacenter-Network, eine virtuelle Netzwerkentität mit dem Namen Azure- network -for CloudBridge- tunnel und ein Gateway mit dem Namen Azure_Gateway-1。
Die lokale Netzwerkeinheit (lokal in Azure) My-Datacenter-Network gibt Die ip - address der Citrix ADC Appliance auf der Datencenterseite and das Datencenter-Subnetz an, dessen Datenverkehr den CloudBridge Connector-Tunnel durchqueren soll。Die virtuelle Netzwerkeinheit Azure- network for cloudbridge - tunnel定义在Azure ein private Subnetz mit dem Namen Azure- subnet -1。Der Datenverkehr des Subnetzes durchläuft den CloudBridge Connector-Tunnel。Der Server S1 wid in diesem Subnetz bereitgestellt。
Netzwerkeinheit My-Datacenter-Network ist der virtuellen Netzwerkeinheit azure - network for cloudbridge - tunnel zugeordnet。Diese Zuordnung definert die Remote und lokalen Netzwerkdetails der CloudBridge Connector-Tunnelkonfiguration in Azure。网关Azure_Gateway-1 wurde für diese Zuordnung als CloudBridge- endpunkt am Azure Ende des CloudBridge连接器-隧道erstellt。
关于爱因斯坦的信息是pdf文档CloudBridge连接器隧道设置．
Punkte, die für eine CloudBridge Connector-Tunnelkonfiguration zu beachten sind
Bevor Sie einen CloudBridge Connector-Tunnel zwischen einer Citrix ADC Appliance im Rechenzentrum und Microsoft Azure konfigurieren, sollten Sie die folgenden Punkte beachten:
- Die Citrix ADC Appliance muss über eine öffentliche ipv4 - address (Typ SNIP) verfügen, Die als Tunnelendpunktadresse für den CloudBridge连接器- tunnel verwendet werden kann。Außerdem sollte sich die Citrix ADC Appliance nicht hinter einem NAT-Gerät befinden。
- Azure unterstützt die folgenden IPsec-Einstellungen für einen CloudBridge连接器-隧道。Daher müssen Sie bei der Konfiguration des Citrix ADC für den CloudBridge Connector-Tunnel dieselben IPsec-Einstellungen angeben。
- IKE版本= v1
- Verschlüsselungsalgorithmus = AES
- 哈希算法= HMAC SHA1
- Sie müssen die Firewall im Rechenzentrumsrand so konfigurieren, dass Folgendes zulässig ist。
- Alle UDP-Pakete für端口500
- Alle UDP-Pakete für端口4500
- Alle ESP-Pakete (IP-Protokollnummer 50)
- IKE Re-Keying, d.h. Neuverhandlung neuer kryptografischer Schlüssel zwischen den CloudBridge Connector-Tunnelendpunkten, um neue SAs einzurichten, wid nicht unterstützt。Wenn die Sicherheitszuordnungen (SAs) ablaufen, wechselt der Tunnel in den Status DOWNDaher müssen Sie einen sehr großen Wert für die Lebensdauer von sa festlegen。
- Sie müssen Microsoft Azure konfigurieren, bevor Sie die Tunnelkonfiguration auf dem Citrix ADC angeben, da beim Einrichten der Tunnelkonfiguration in Azure die öffentliche ip - address des Azure- endes(网关)des Tunnels und under PSK automatisch generiert werden。Sie benötigen diese Informationen, um die Tunnelkonfiguration auf dem Citrix ADC anzugeben。
Konfigurieren des CloudBridge连接器隧道
Zum Einrichten eines CloudBridge Connector-Tunnels zwischen Ihrem Rechenzentrum und Azure müssen Sie CloudBridge VPX/MPX in Ihrem Rechenzentrum installieren, Microsoft Azure für den CloudBridge Connector-Tunnel konfigurieren und dann die Citrix ADC Appliance im Rechenzentrum für den CloudBridge Connector-Tunnel konfigurieren。
Das Konfigurieren eines CloudBridge Connector-Tunnels zwischen einer Citrix ADC Appliance im Rechenzentrum und Microsoft Azure umfastdie folgenden Aufgaben:
- Einrichten der Citrix ADC Appliance im Rechenzentrum．Citrix ADC Appliance (VPX) auf einer Virtualisierungsplattform im Rechenzentrum。
- Konfigurieren von微软Azure für den CloudBridge连接器-隧道．Bei dieser Aufgabe werden lokale Netzwerk-， virtuelle Netzwerk- und Gateway -Entitäten在Azure erstellt。Die lokale Netzwerkentität gibt Die ip - address des CloudBridge Connector-Tunnelendpunkts (der Citrix ADC Appliance) auf der Datencenterseite und das Datencenter-Subnetz an, dessen Datenverkehr den CloudBridge Connector-Tunnel durchqueren soll。Das virtuelle Netzwerk定义ein Netzwerk in Azure。网络快速定义子网络，云桥连接隧道。Anschließend verknüpfen Sie das lokale Netzwerk mit dem virtuellen Netzwerk。Schließlich erstellen Sie ein Gateway, das zum Endpunkt am Azure-Ende des CloudBridge连接器-隧道。
- Konfigurieren der Citrix ADC Appliance im Rechenzentrum für den CloudBridge Connector-Tunnel．Diese Aufgabe umfastdas Erstellen eines IPsec-Profils, einer IP-Tunnelentität和einer PBR-Entität在der Citrix ADC Appliance im Rechenzentrum。Die IPsec-Profilentität gibt Die IPsec-Protokollparameter an, z. B. IKE-Version, Verschlüsselungsalgorithmus, Hash-Algorithmus und PSK, Die im CloudBridge Connector-Tunnel verwendet werden sollen。Der IP-Tunnel gibt die ip - address sowohl Der CloudBridge Connector-Tunnelendpunkte (Der Citrix ADC Appliance im Rechenzentrum und des Gateway in Azure) als auh des Protokolls an, das im CloudBridge Connector-Tunnel verwendet werden soll。Anschließend verknüpfen Sie die IPsec-Profilentität mit der IP-Tunnelentität。Die PBR-Entität gibt Die beiden Subnetze im Datencenter und in der Azure-Cloud an, Die über den CloudBridge Connector-Tunnel miteinander kommunizieren sollen。Anschließend ordnen Sie die IP-Tunnelentität der PBR-Entität zu。
Konfigurieren von微软Azure für den CloudBridge连接器-隧道
Um eine CloudBridge Connector-Tunnelkonfiguration in Microsoft Azure zu erstellen, verwenden Sie das Microsoft Windows Azure- verwaltungsportal, das eine webbasierte grafische Oberfläche zum erstellen und Verwalten von Ressourcen in Microsoft Azure ist。
Bevor Sie mit der CloudBridge Connector-Tunnelkonfiguration in der Azure-Cloud beginen, stellen Sie sicher, dass:
- Sie haben ein Benutzerkonto für微软Azure。
- Sie haben ein konzeptionelles Verständnis von Microsoft Azure。
- 你用的是微软Windows Azure-Verwaltungsportal vertraut。
Um einen CloudBridge连接器-隧道zwischen einem Rechenzentrum und einer Azure- cloud zu konfigurieren, führen Sie die folgenden Aufgaben unter Microsoft Azure mithilife des Microsoft Windows Azure- verwaltungsportal aus:
- Erstellen Sie eine lokale Netzwerkentität．Erstellen Sie eine lokale Netzwerkentität在Windows Azure, um die Netzwerkdetails des Rechenzentrums anzugeben。Eine lokale Netzwerkentität gibt die ip - address des CloudBridge Connector-Tunnelendpunkts (Citrix ADC) auf der Datencenterseite und das Datencenter-Subnetz an, dessen Datenverkehr den CloudBridge Connector-Tunnel durchqueren soll。
- 我在虚拟网络中．Erstellen Sie eine virtuelle Netzwerkentität, die ein Netzwerk in Azure definert。私人地址地址，私人地址地址和子网地址，私人地址地址地址gehören。Der datenverkerhr Der Subnetze durchquert den CloudBridge Connector-Tunnel。Anschließend verknüpfen Sie eine lokale Netzwerkentität mit der virtuellen Netzwerkentität。Mit dieser Zuordnung kann Azure eine配置für einen CloudBridge连接器-隧道zwischen dem virtuellen Netzwerk und dem Rechenzentrumsnetzwerk erstellen。Ein Gateway (das erstellwerden soll)在Azure für dieses virtuelle Netzwerk ist der CloudBridge-Endpunkt am Azure Ende des cloudbridge -连接器-隧道。Anschließend definieren Sie ein privates Subnetz für das zu erstellende Gateway。迪斯·亚涅兹gehört祖祖伯利奇，在德高德高Netzwerkentität安杰本斯特。
- Erstellen Sie ein网关在Windows Azure．Erstellen Sie ein Gateway, das zum Endpunkt am Azure-Ende des CloudBridge连接器-隧道。Azure weist aus seinem Pool öffentlicher ip - address dem erstellten网关ip - address zu。
- Sammeln Sie die öffentliche ip - address des Gateway und den vorab freigegebenen Schlüssel。beeiner CloudBridge Connector-Tunnelkonfiguration in Azure werden die öffentliche ip地址网关和预共享密钥(PSK)自动满足Azure generiert。Notieren Sie sicese diese Informationen。Sie benötigen es für die Konfiguration des CloudBridge Connector-Tunnels auf dem Citrix ADC im Rechenzentrum。
Hinweis:
Die Verfahren zum Konfigurieren von Microsoft Azure für einen CloudBridge Connector-Tunnel können sich je nach Microsoft Azure- release - zyklus im Laufe der Zeit ändern。新生的德国人在德国找到了你微软Azure-Dokumentation．
Konfigurieren der Citrix ADC Appliance im Rechenzentrum für den CloudBridge Connector-Tunnel
Um einen CloudBridge connect - tunnel zwischen einem Rechenzentrum und einer Azure-Cloud zu konfigurieren, führen Sie die folgenden Aufgaben auf dem Citrix ADC im Rechenzentrum aus。Sie können entweder die Citrix ADC Befehlszeile oder die GUI verwenden:
- Erstellen Sie ein ipsec - profile．Eine IPsec-Profilentität gibt die IPsec-Protokollparameter an, z. B. IKE-Version, Verschlüsselungsalgorithmus, Hash-Algorithmus und PSK, die vom IPsec-Protokoll im CloudBridge Connector-Tunnel verwendet werden sollen。
- 旧的IP-Tunnel和ipsec - protocol和ordnen的IP-Tunnel和ipsec - profile．Ein IP-Tunnel gibt die lokale ip - address (eine öffentliche snip - address, die auf der Citrix ADC Appliance konfiguriert ist)， die remote - ip - address (die öffentliche ip - address des Gateway in Azure)， das zum Einrichten des CloudBridge Connector-Tunnels verwendet wid, und eine IPsec-Profilentität an。Die erstellte IP-Tunnelentität weird auch als CloudBridge Connector-Tunnelentität bezeichnet。
- 我是PBR-Regel，我是IP-Tunnel祖．Eine PBR-Entität gibt einen Satz von Bedingungen und Eine IP-Tunnelentität (CloudBridge连接器隧道)an。Der quel - ip - ip - bereich und Der Ziel-IP-Bereich sinind die Bedingungen für die PBR-Entität。Sie müssen den quel - ip - addressbereich festlegen，嗯das Datencenter-Subnetz anzugeben, dessen Datenverkehr den Tunnel durchqueren soll, und den ip - zieladdressbereich，嗯das Azure-Subnetz anzugeben, dessen Datenverkehr den CloudBridge Connector-Tunnel durchqueren soll。Jedes Anforderungspaket, das von einem客户端im Subnetz im Rechenzentrum stamt und für einen服务器im Subnetz in der Azure-Cloud bestimmt ist, entspricht dem Quell und zielip - bereich der PBR-Entität。Dieses Paket wd dann für die CloudBridge Connector-Tunnelverarbeitung berücksichtigt und über den CloudBridge Connector-Tunnel gesendet, der der PBR-Entität zugeordnet ist。
Die GUI kombiniert所有diese Aufgaben在einem einzigen Assistenten namens CloudBridge连接器向导。所以erstellen Sie ein ipsec - proffil der Citrix ADC Befehlszeile:
Geben Sie and der eingabeauforforderung Folgendes ein:
add ipsec profile
所以erstellen Sie einen IPSEC-Tunnel und bden das ipsec - profile mithilife der Citrix ADC Befehlszeile an dieses profile:
Geben Sie and der eingabeauforforderung Folgendes ein:
add ipTunnel
所以erstellen Sie eine PBR-Regel und binden den IPSEC-Tunnel mit der Citrix ADC Befehlszeile
add pbr
Beispielkonfiguration
Mit den folgenden Befehlen werden alle Einstellungen der Citrix ADC Appliance CB_Appliance-1 erstellt, die in Beispiel für CloudBridge Connector-Konfiguration und Datenfluss verwendet werden。
> add ipsec profile CB_Azure_IPSec_Profile -psk DkiMgMdcbqvYREEuIvxsbKkW0FOyDiLM -ikeVersion v1 -lifetime 31536000 Done > add iptunnel CB_Azure_Tunnel 168.63.252.133 255.255.255.255 66.165.176.15 -protocol ipsec -ipsecProfileName CB_Azure_IPSec_Profile Done > add策略br CB_Azure_Pbr -srcIP 10.102.147.0-10.102.147.255 -destIP 10.20.0.0-10.20.255.255 -ipTunnelCB_Azure_Tunnel Done > apply pbrs Done 所以konfigurieren Sie einen CloudBridge连接器-隧道在艾纳Citrix ADC设备的图形用户界面
Greifen Sie mithilife eines Webbrowsers auf die Benutzeroberfläche zu, um eine Verbindung mit der ip address der Citrix ADC Appliance im Rechenzentrum herzustellen。
航海家Sie zu系统>CloudBridge连接器．
你在我的世界里奥地利第一储蓄Schritte汪汪汪CloudBridge erstellen / uberwachen．
祝你好运奥地利第一储蓄Schritte．
Hinweis: Wenn Sie bereits einen CloudBridge Connector- tunnel auf der Citrix ADC Appliance konfiguriert haben, wid dieser Bildschirm nicht angezeigt, und Sie gelangen zum设置- bereich von CloudBridge连接器。
Klicken Sie im Bereich CloudBridge-Setup auf微软Windows Azure．
Geben Sie im Bereich blue - einstein im FeldGateway-IP-Adressedie ip - address des azure - gateway ein。CloudBridge连接器-隧道wdann zwischen Der Citrix ADC设备和网关设备。Geben Sie in den Textfeldern子网(IP-Bereich)einen Subnetzbereich (in der Azure-Cloud) an, dessen Datenverkehr den CloudBridge连接器-隧道durchqueren soll。祝你好运魏特．
Wählen Sie im Bereich Citrix ADC-Einstellungen aus der DropdownlisteLokale Subnetz-IPeine öffentlich zugängliche SNIP-Adresse aus, die auf der Citrix ADC Appliance konfiguriert ist。Geben Sie在Subnetz-Textfeldern (IP-Bereich)位于德国南部的云桥连接隧道。祝你好运魏特．
Geben Sie im BereichCloudBridge-Einstellungim Textfeld CloudBridge- name einen Namen für die CloudBridge ein, die Sie erstellen möchten。
Wählen Sie in den Dropdownlisten Verschlüsselungsalgorithmus und Hash-Algorithmus die Algorithmen AES bzw。HMAC_SHA1来自。Geben Sie im Textfeld Pre共享安全密钥den Sicherheitsschlüssel ein。
祝你好运多数时候．
Überwachung des CloudBridge连接器-隧道
Sie können statistics zur Überwachung der Leistung eines CloudBridge Connector-Tunnels zwischen der Citrix ADC Appliance im Rechenzentrum und Microsoft Azure anzeigen。Verwenden Sie GUI- oder Citrix ADC Befehlszeile, um CloudBridge connector - tunnelstatiken auf der Citrix ADC- appliance anzuzeigen。Verwenden Sie das Microsoft Windows Azure- verwaltungsportal，恩CloudBridge连接器- tunnelstatistics在微软Azure anzuzeigen。
Anzeigen von CloudBridge connector - tunnelstatistics in der Citrix ADC Appliance
Informationen zum Anzeigen von CloudBridge Connector-Tunnelstatistiken auf einer Citrix ADC Appliance finden Sie unter监控CloudBridge连接器隧道．
Anzeigen von CloudBridge连接器- tunnelstatistics在微软Azure
在der folgenden Tabelle sind die statisschen Leistungsindikatoren aufgeführt, die für die Überwachung von CloudBridge Connector-Tunneln In Microsoft Azure verfügbar sind。
| Statistischer学院 | 有一个 |
|---|---|
| 数据 | Gesamtanzahl der Kilobyte, die vom Azure-Gateway über den CloudBridge connect - tunnel seit der Erstellung des gateway empfangen wurden。 |
| 数据 | Gesamtanzahl der Kilobyte, die vom Azure-Gateway über den CloudBridge connect - tunnel seit der Erstellung des gateway gesendet wurden。 |
所以zeigen Sie CloudBridge连接器-隧道统计mithilife des微软Windows Azure-Verwaltungsportal an
Melden Sie sich mit den Anmeldeinformationen Ihres MicrosoftAzure- kontos是Windows Azure管理门户一个。
Klicken Sie im linken Bereich auf网络．
Wählen Sie auf der RegisterkarteVirtuelles Netzwerk在der Spalte Name die virtuelle Netzwerkentität aus, die einem CloudBridge Connector-Tunnel zugeordnet ist, dessen统计Sie anzeigen möchten。
Zeigen Sie auf der Seite指示板des virtuellen Netzwerks die Leistungsindikatoren DATA IN und DATA OUT für den CloudBridge Connector-Tunnel an。
