Entorno de varios firewall
En un entorno de varios firewall, el dispositivo Citrix ADC se coloca entre dos conjuntos de firewalls, el conjunto externo que se conecta a Internet público y el conjunto interno que se conecta a la red privada interna. El conjunto externo normalmente maneja el tráfico de salida. Estos firewalls implementan principalmente listas de control de acceso para permitir o denegar el acceso a recursos externos. El conjunto interno normalmente maneja el tráfico de entrada. Estos firewalls implementan la seguridad para proteger la intranet de ataques maliciosos, además de equilibrar la carga del tráfico de entrada. El entorno de firewall múltiple le permite equilibrar la carga del tráfico procedente de otro firewall. De forma predeterminada, el tráfico procedente de un firewall no está equilibrado de carga en el otro firewall en un dispositivo Citrix ADC. Tener habilitado el equilibrio de carga del firewall en ambos lados de Citrix ADC mejora el flujo de tráfico en la dirección de salida y entrada y garantiza un procesamiento más rápido del tráfico.
La siguiente ilustración muestra un entorno de equilibrio de carga de varios firewall
Ilustración 1. Equilibrio de carga del firewall (firewall múltiple)
Con una configuración como la que se muestra en la Ilustración 1, puede configurar Citrix ADC para equilibrar la carga del tráfico a través de un firewall interno, incluso si la carga está balanceada por un firewall externo. Por ejemplo, con esta función configurada, el tráfico procedente de los firewalls externos (firewalls 1, 2 y 3) se equilibra la carga en los firewalls internos (firewalls 4, 5 y 6) y viceversa.
El equilibrio de carga del firewall solo es compatible con el servidor virtual LB en modo MAC.
El tipo de servicio ANY configura Citrix ADC para aceptar todo el tráfico.
Para aprovechar los beneficios relacionados con HTTP y TCP, configure el servicio y el servidor virtual con el tipo HTTP o TCP. Para que FTP funcione, configure el servicio con el tipo FTP.
Configuración del Citrix ADC en un entorno de múltiples firewall
Para configurar un dispositivo Citrix ADC en un entorno de varios firewall, debe habilitar la función de equilibrio de carga, configurar un servidor virtual para equilibrar la carga del tráfico de salida a través de los firewalls externos, configurar un servidor virtual para equilibrar la carga del tráfico de entrada a través de los firewalls internos y habilite el equilibrio de carga del firewall en el dispositivo Citrix ADC. Para configurar un servidor virtual para equilibrar la carga del tráfico a través de un firewall en el entorno de varios firewall, debe:
- Configurar un servicio comodín para cada firewall
- Configurar联合国监测对位每servicio comodin
- Configurar un servidor virtual comodín para equilibrar la carga del tráfico enviado a los firewalls
- Configurar el servidor virtual en el modo de reescritura MAC
- Vincular servicios de firewall al servidor virtual comodín
Activación de la función de equilibrio de carga
Para configurar e implementar entidades de equilibrio de carga como servicios y servidores virtuales, debe habilitar la función de equilibrio de carga en el dispositivo Citrix ADC.
Para habilitar el equilibrio de carga mediante la CLI:
En el símbolo del sistema, escriba el siguiente comando para habilitar el equilibrio de carga y verificar la configuración:
enable ns feature show ns feature
Ejemplo:
enable ns feature LoadBalancing Done show ns feature Feature Acronym Status ------- ------- ------ 1) Web Logging WL OFF 2) Surge Protection SP ON 3) Load Balancing LB ON . . . 24) NetScaler Push push OFF Done
Para habilitar el equilibrio de carga mediante la GUI:
- En el panel de navegación, expanda Sistemay, a continuación, haga clic en Configuración.
- En el panel Configuración, en Modos y funciones, haga clic en Cambiar funciones básicas.
- En el cuadro de diálogo Configurar funciones básicas, active la casilla Equilibrio de carga y, a continuación, haga clic en Aceptar.
Configuración de un servicio comodín para cada firewall
Para aceptar el tráfico de todos los protocolos, debe configurar el servicio comodín para cada firewall especificando compatibilidad con todos los protocolos y puertos.
Para configurar un servicio comodín para cada firewall mediante la CLI:
En el símbolo del sistema, escriba el siguiente comando para configurar la compatibilidad con todos los protocolos y puertos:
add service @
Ejemplo:
add service fw-svc1 10.102.29.5 ANY *
Para configurar un servicio comodín para cada firewall mediante la GUI:
Vaya a Administración de Tráfico > Equilibrio de carga > Servicios.
En el panel de detalles, haga clic en Agregar.
En el cuadro de diálogo Crear servicios, especifique valores para los siguientes parámetros como se muestra:
- Nombre del servicio: Nombre
- Servidor: NombreServidor
-* Un parámetro requerido
En Protocolo, seleccione Cualquiera y, en Puerto, seleccione *.
Haga clic en Crear y, a continuación, en Cerrar. El servicio creado aparece en el panel Servicios.
Configuración de un monitor para cada servicio
Un monitor PING está enlazado de forma predeterminada al servicio. Deberá configurar un monitor transparente para supervisar los hosts del lado de confianza a través de firewalls individuales. A continuación, puede enlazar el monitor transparente a los servicios. El monitor PING predeterminado supervisa la conectividad solo entre el dispositivo Citrix ADC y el dispositivo ascendente. El monitor transparente supervisa todos los dispositivos existentes en la ruta de acceso desde el dispositivo al dispositivo que posee la dirección IP de destino especificada en el monitor. Si no se configura un monitor transparente y el estado del firewall es UP, pero uno de los dispositivos de salto siguiente de ese firewall está inactivado, el dispositivo incluye el firewall mientras realiza el equilibrio de carga y reenvía el paquete al firewall. Sin embargo, el paquete no se entrega al destino final porque uno de los dispositivos de salto siguiente está caído. Al vincular un monitor transparente, si alguno de los dispositivos (incluido el firewall) está inactivo, el servicio se marca como DOWN y el firewall no se incluye cuando el dispositivo realiza el equilibrio de carga del firewall.
Enlazar un monitor transparente anulará el monitor PING. Para configurar un monitor PING además de un monitor transparente, después de crear y enlazar un monitor transparente, debe enlazar un monitor PING al servicio.
Para configurar un monitor transparente mediante la CLI:
En el símbolo del sistema, escriba los siguientes comandos para configurar un monitor transparente y verificar la configuración:
add lb monitor [-destIP ] [-transparent (YES | NO )] bind lb monitor
Ejemplo:
add monitor monitor-HTTP-1 HTTP -destip 10.10.10.11 -transparent YES bind monitor monitor-HTTP-1 fw-svc1
El dispositivo Citrix ADC aprende los parámetros L2 del servidor desde el monitor enlazado al servicio. Para los monitores UDP-ECV, configure una cadena de recepción para permitir que el dispositivo aprenda los parámetros L2 del servidor. Si la cadena de recepción no está configurada y el servidor no responde, el dispositivo no aprende los parámetros L2, pero el servicio está configurado en UP. El tráfico de este servicio está bloqueado.
Para configurar una cadena de recepción mediante la CLI:
En el símbolo del sistema, escriba el siguiente comando:
add lb monitor [-destIP ] [-transparent (YES | NO )] [-send ] [-recv ]
Ejemplo:
add lb monitor monitor-udp-1 udp-ecv -destip 10.10.10.11 -transparent YES –send "test message" –recv "site_is_up"
Para crear y enlazar un monitor transparente mediante la interfaz gráfica de usuario:
Vaya a Administración del Tráfico > Equilibrio de carga > Monitores.
En el panel de detalles, haga clic en Agregar.
En el cuadro de diálogo Crear monitor, especifique valores para los siguientes parámetros como se muestra:
- Nombre*
- tipo*: Tipo
- IP de destino
- Transparencia
-* Un parámetro requerido
Haga clic en Crear y, a continuación, en Cerrar. En el panel Monitores, seleccione el monitor que acaba de configurar y compruebe que la configuración mostrada en la parte inferior de la pantalla sea correcta.
Configurar un servidor virtual para equilibrar la carga del tráfico enviado a los firewalls
Para equilibrar la carga cualquier tipo de tráfico, debe configurar un servidor virtual comodín especificando el protocolo y el puerto como cualquier valor.
Para configurar un servidor virtual para equilibrar la carga del tráfico enviado a los firewalls mediante la CLI:
En el símbolo del sistema, escriba el siguiente comando:
add lb vserver @
Ejemplo:
add lb vserver Vserver-LB-1 ANY * *
Para configurar un servidor virtual para equilibrar la carga del tráfico enviado a los firewalls mediante la GUI:
- Vaya a Administración del tráfico > Equilibrio de carga > Servidores virtuales.
- En el panel de detalles, haga clic en Agregar.
- En Protocolo, seleccione Cualquiera y, en Dirección IP y Puerto, seleccione *.
- Haga clic en Crear y, a continuación, en Cerrar. El servidor virtual creado aparece en el panel Servidores virtuales de equilibrio de carga.
Configuración del servidor virtual en el modo de reescritura MAC
Para configurar el servidor virtual para que use la dirección MAC para reenviar el tráfico entrante, debe habilitar el modo de reescritura MAC.
Para configurar el servidor virtual en el modo de reescritura MAC mediante la CLI:
En el símbolo del sistema, escriba el siguiente comando:
set lb vserver @ -m
Ejemplo:
set lb vserver Vserver-LB-1 -m MAC
Para configurar el servidor virtual en el modo de reescritura MAC mediante la GUI:
- Vaya a Administración del tráfico > Equilibrio de carga > Servidores virtuales.
- En el panel de detalles, seleccione el servidor virtual para el que quiere configurar el modo de redirección (por ejemplo, VServer-LB1) y, a continuación, haga clic en Abrir.
- En la ficha Avanzadas, en el modo Modo de redirección, haga clic en Abrir.
- Haga clic en Aceptar.
Enlace de servicios de firewall al servidor virtual
Para acceder a un servicio en el dispositivo Citrix ADC, debe vincularlo a un servidor virtual comodín.
Para enlazar servicios de firewall al servidor virtual mediante la CLI:
En el símbolo del sistema, escriba el siguiente comando:
bind lb vserver @
Ejemplo:
bind lb vserver Vserver-LB-1 Service-HTTP-1
Para enlazar servicios de firewall al servidor virtual mediante la GUI:
- Vaya a Administración del tráfico > Equilibrio de carga > Servidores virtuales.
- En el panel de detalles, seleccione el servidor virtual para el que quiere configurar el modo de redirección (por ejemplo, VServer-LB1) y, a continuación, haga clic en Abrir.
- En el cuadro de diálogo Configurar servidor virtual (equilibrio de carga), en la ficha Servicios, active la casilla de verificación Activo junto al servicio que quiere enlazar al servidor virtual (por ejemplo, Service-HTTP-1).
- Haga clic en Aceptar.
Configuración del equilibrio de carga de varios firewall en el dispositivo Citrix ADC
Para equilibrar la carga del tráfico en ambos lados de un dispositivo Citrix ADC mediante el equilibrio de carga del firewall, debe habilitar el equilibrio de carga entre varios firewall mediante el parámetro vServerSpecificMac.
帕拉configurar el equilibrio de carga de各类firewall mediante la CLI:
En el símbolo del sistema, escriba el siguiente comando:
set lb parameter -vServerSpecificMac
Ejemplo:
set lb parameter -vServerSpecificMac ENABLED
帕拉configurar el equilibrio de carga de各类firewall mediante la interfaz gráfica de usuario:
- Vaya a Administración del tráfico > Equilibrio de carga > Servidores virtuales.
- En el panel de detalles, seleccione el servidor virtual para el que quiere configurar el modo de redirección (por ejemplo, Configurar parámetros de equilibrio de carga).
- En el cuadro de diálogo Establecer parámetros de equilibrio de carga, active la casilla de verificación MAC específico del servidor virtual.
- Haga clic en Aceptar.
Guardar y verificar la configuración
Cuando haya terminado las tareas de configuración, asegúrese de guardar la configuración. También debe verificar para asegurarse de que la configuración sea correcta.
Para guardar y verificar la configuración mediante la CLI:
En el símbolo del sistema, escriba los siguientes comandos para configurar un monitor transparente y verificar la configuración:
- save ns config
- show vserver
Ejemplo:
save config show lb vserver FWLBVIP2 FWLBVIP2 (\*:\*) - ANY Type: ADDRESS State: UP Last state change was at Mon Jun 14 07:22:54 2010 Time since last state change: 0 days, 00:00:32.760 Effective State: UP Client Idle Timeout: 120 sec Down state flush: ENABLED Disable Primary Vserver On Down : DISABLED No. of Bound Services : 2 (Total) 2 (Active) Configured Method: LEASTCONNECTION Current Method: Round Robin, Reason: A new service is bound Mode: MAC Persistence: NONE Connection Failover: DISABLED 1) fw-int-svc1 (10.102.29.5: *) - ANY State: UP Weight: 1 2) fw-int-svc2 (10.102.29.9: \*) - ANY State: UP Weight: 1 Done show service fw-int-svc1 fw-int-svc1 (10.102.29.5:\*) - ANY State: DOWN Last state change was at Thu Jul 8 14:44:51 2010 Time since last state change: 0 days, 00:01:50.240 Server Name: 10.102.29.5 Server ID : 0 Monitor Threshold : 0 Max Conn: 0 Max Req: 0 Max Bandwidth: 0 kbits Use Source IP: NO Client Keepalive(CKA): NO Access Down Service: NO TCP Buffering(TCPB): NO HTTP Compression(CMP): NO Idle timeout: Client: 120 sec Server: 120 sec Client IP: DISABLED Cacheable: NO SC: OFF SP: OFF Down state flush: ENABLED 1) Monitor Name: monitor-HTTP-1 State: DOWN Weight: 1 Probes: 9 Failed [Total: 9 Current: 9] Last response: Failure - Time out during TCP connection establishment stage Response Time: 2000.0 millisec 2) Monitor Name: ping State: UP Weight: 1 Probes: 3 Failed [Total: 0 Current: 0] Last response: Success - ICMP echo reply received. Response Time: 1.275 millisec Done
Para guardar y verificar la configuración mediante la interfaz gráfica de usuario:
- En el panel de detalles, haga clic en Guardar.
- En el cuadro de diálogo Guardar configuración, haga clic en Sí.
- Vaya a Administración del tráfico > Equilibrio de carga > Servidores virtuales.
- En el panel de detalles, seleccione el servidor virtual que creó en el paso 5 y compruebe que la configuración mostrada en el panel Detalles es correcta.
- Vaya a Administración de Tráfico > Equilibrio de carga > Servicios.
- En el panel de detalles, seleccione el servicio que creó en el paso 5 y compruebe que la configuración mostrada en el panel Detalles es correcta.
Supervisión de una configuración de equilibrio de carga de firewall en un entorno de varios firewall
Después de que la configuración esté activa y en ejecución, debe ver las estadísticas de cada servicio y servidor virtual para comprobar si hay posibles problemas.
Visualización de las estadísticas de un servidor virtual
Para evaluar el rendimiento de los servidores virtuales o solucionar problemas, puede mostrar detalles de los servidores virtuales configurados en el dispositivo Citrix ADC. Puede mostrar un resumen de estadísticas para todos los servidores virtuales o puede especificar el nombre de un servidor virtual para mostrar las estadísticas solo para ese servidor virtual. Puede mostrar los siguientes detalles:
- Nombre
- Dirección IP
- Port
- Protocolo
- Estado del servidor virtual
- Tasa de solicitudes recibidas
- Tasa de visitas
Para mostrar las estadísticas del servidor virtual mediante la interfaz de línea de comandos
Para mostrar un resumen de las estadísticas de todos los servidores virtuales configurados actualmente en el dispositivo Citrix ADC, o de un único servidor virtual, en el símbolo del sistema, escriba:
stat lb vserver [-detail] []
Ejemplo:
>stat lb vserver -detail Virtual Server(s) Summary vsvrIP port Protocol State Req/s Hits/s One * 80 HTTP UP 5/s 0/s Two * 0 TCP DOWN 0/s 0/s Three * 2598 TCP DOWN 0/s 0/s dnsVirtualNS 10.102.29.90 53 DNS DOWN 0/s 0/s BRVSERV 10.10.1.1 80 HTTP DOWN 0/s 0/s LBVIP 10.102.29.66 80 HTTP UP 0/s 0/s Done
Para mostrar las estadísticas del servidor virtual mediante la GUI:
- Vaya a Administración del tráfico > Equilibrio de carga > Servidores virtuales > Estadísticas.
- Si quiere mostrar las estadísticas de un solo servidor virtual, en el panel de detalles seleccione el servidor virtual y haga clic en Estadísticas.
Visualización de las estadísticas de un servicio
Puede ver la tasa de solicitudes, respuestas, bytes de solicitud, bytes de respuesta, conexiones de cliente actuales, solicitudes en cola de sobretensiones, conexiones de servidor actuales, etc. mediante las estadísticas de servicio.
Para ver las estadísticas de un servicio mediante la CLI:
En el símbolo del sistema, escriba:
stat service
Ejemplo:
stat service Service-HTTP-1
Para ver las estadísticas de un servicio mediante la GUI:
- Vaya a Administración del Tráfico > Equilibrio de carga > Servicios > Estadísticas.
- Si quiere mostrar las estadísticas de un solo servicio, seleccione el servicio y haga clic en Estadísticas.