In Citrix ADC 13.0
In Citrix ADC
In All products
Produktdokumentation
In Citrix ADC 13.0
In Citrix ADC
In All products
Citrix ADC
13.0 12.1 12.0 11.1 10.5
PDF anzeigen

Integration von Citrix ADC Layer 3 mit passiven Sicherheitsgeräten (Intrusion Detection System)

September 1, 2020
Beigesteuert von: 
C

Eine Citrix ADC Appliance ist jetzt mit passiven Sicherheitsgeräten wie Intrusion Detection System (IDS) integriert. In diesem Setup sendet die Appliance eine Kopie des ursprünglichen Datenverkehrs sicher an entfernte IDS-Geräte. Diese passiven Geräte speichern Protokolle und lösen Warnungen aus, wenn ein schlechter oder nicht konformer Datenverkehr erkannt wird. Außerdem werden Berichte zu Compliance-Zwecken erstellt. Wenn die Citrix ADC Appliance mit zwei oder mehr IDS-Geräten integriert ist und ein hoher Datenverkehr vorliegt, kann die Appliance den Lastausgleich der Geräte durch Klonen des Datenverkehrs auf der Ebene des virtuellen Servers ausgleichen.

Für einen erweiterten Sicherheitsschutz ist eine Citrix ADC Appliance mit passiven Sicherheitsgeräten wie Intrusion Detection System (IDS) integriert, die nur im Erkennungsmodus bereitgestellt werden. Diese Geräte speichern Protokolle und lösen Warnungen aus, wenn ein schlechter oder nicht konformer Datenverkehr angezeigt wird. Außerdem werden Berichte zu Compliance-Zwecken erstellt. Im Folgenden sind einige der Vorteile der Integration von Citrix ADC mit einem IDS-Gerät aufgeführt.

  • Verschlüsselten Datenverkehr wird überprüft. Die meisten Sicherheitsgeräte umgehen verschlüsselten Datenverkehr, wodurch Server anfällig für Angriffe bleiben. Eine Citrix ADC Appliance kann Datenverkehr entschlüsseln und an IDS-Geräte senden, um die Netzwerksicherheit des Kunden zu verbessern.
  • Entladen von Inline-Geräten aus der TLS/SSL-Verarbeitung. TLS/SSL-Verarbeitung ist teuer und führt zu einer hohen System-CPU in Intrusion Detection Geräten, wenn sie den Datenverkehr entschlüsseln. Da der verschlüsselte Datenverkehr in einem rasanten Tempo wächst, können diese Systeme verschlüsselten Datenverkehr nicht entschlüsseln und untersuchen. Citrix ADC hilft beim Verschieben von Datenverkehr auf IDS-Geräte aus der TLS/SSL-Verarbeitung. Diese Art des Abladens von Daten führt dazu, dass ein IDS-Gerät ein hohes Volumen an Verkehrsinspektion unterstützt.
  • Laden von ausgleichenden IDS-Geräten. Die Citrix ADC Appliance gleicht mehrere IDS-Geräte aus, wenn ein hohes Datenvolumen besteht, indem Datenverkehr auf der Ebene des virtuellen Servers geklont wird.
  • Datenverkehr auf passive Geräte replizieren. Der Datenverkehr, der in die Appliance fließt, kann zur Erstellung von Compliance-Berichten auf andere passive Geräte repliziert werden. Zum Beispiel, nur wenige Behörden beauftragen jede Transaktion, in einigen passiven Geräten protokolliert zu werden.
  • Datenverkehr an mehrere passive Geräte fanning. Einige Kunden bevorzugen es, eingehenden Datenverkehr auf mehrere passive Geräte zu übertragen oder zu replizieren.
  • Intelligente Auswahl des Datenverkehrs. Jedes Paket, das in die Appliance fließt, muss möglicherweise nicht inspektiert werden, z. B. das Herunterladen von Textdateien. Benutzer können die Citrix ADC Appliance so konfigurieren, dass sie bestimmten Datenverkehr (z. B. EXE-Dateien) zur Überprüfung auswählen und den Datenverkehr an IDS-Geräte zur Datenverarbeitung senden.

Integration von Citrix ADC in IDS-Gerät mit L3-Konnektivität

Das folgende Diagramm zeigt, wie Intrusion Detection System (IDS) in eine Citrix ADC Appliance integriert ist.

IDS-Integration

Die Komponenteninteraktion wird wie folgt angegeben:

  1. Ein Client sendet eine HTTP/HTTPS-Anforderung an die Citrix ADC Appliance.
  2. Die Appliance fängt den Datenverkehr ab und sendet die Daten an entfernte IDS-Geräte über verschiedene Rechenzentren oder sogar in einer Cloud. Diese Integration erfolgt über IP tunneled Layer 3. Weitere Informationen zum IP-Tunneling in einer Citrix ADC Appliance finden Sie unter IP-Tunnel Thema.
  3. Wenn der Datenverkehr verschlüsselt ist, entschlüsselt die Appliance die Daten und sendet sie als Nur-Text.
  4. Basierend auf der Richtlinienbewertung wendet die Appliance eine Inhaltsprüfung vom Typ MIRROR an.
  5. Für die Aktion ist der IDS-Dienst oder der Lastausgleichsdienst (für die Integration mehrerer IDS-Geräte) konfiguriert.
  6. Das IDS-Gerät ist auf der Appliance als Content-Inspection-Diensttyp Beliebig konfiguriert. Der Content Inspection Service wird dann dem Content-Inspection-Profil vom Typ MIRROR und dem Tunnelparameter zugeordnet, der die IP tunneled Layer 3 Schnittstelle angibt, über die die Daten an das IDS-Gerät weitergeleitet werden. Hinweis: Optional können Sie auch ein VLAN-Tag im Content-Inspektionsprofil konfigurieren.
  7. Wenn der Back-End-Server eine Antwort an Citrix ADC sendet, repliziert die Appliance die Daten und leitet sie an das IDS-Gerät weiter.
  8. Wenn Ihre Appliance in ein oder mehrere IDS-Geräte integriert ist und Sie den Lastausgleich der Geräte bevorzugen, können Sie den virtuellen Lastausgleichsserver verwenden.

Softwarelizenzierung

Um die Integration des Intrusion Detection Systems (IDS) bereitzustellen, muss Ihre Citrix ADC Appliance mit einer der folgenden Lizenzen bereitgestellt werden:

  1. ADC Premium
  2. ADC Advanced

Konfigurieren der Systemintegration von Intrusion Detection

Sie können IDS-Gerät in Citrix ADC auf zwei verschiedene Arten integrieren.

Szenario 1: Integration mit einem einzelnen IDS-Gerät

Im Folgenden sind die Schritte, die Sie über die Befehlszeilenschnittstelle konfigurieren müssen.

  1. Inhaltsüberprüfung aktivieren
  2. Fügen Sie das Content-Inspektionsprofil vom Typ MIRROR für den Dienst hinzu, der IDS-Gerät darstellt.
  3. Add IDS service of type “ANY”
  4. Inhaltsprüfung vom Typ MIRROR hinzufügen
  5. Richtlinie zur Inhaltsüberprüfung für IDS-Inspektion hinzufügen
  6. Binden Sie die Inhaltsüberprüfungsrichtlinie an Content-Switching oder den virtuellen Lastenausgleichsdienst vom Typ HTTP/SSL

Inhaltsprüfung aktivieren

Wenn Sie möchten, dass die Citrix ADC Appliance den Inhalt zur Inspektion an die IDS-Geräte sendet, müssen Sie die Funktionen Inhaltsprüfung und Lastausgleich unabhängig von der Entschlüsselung aktivieren.

Geben Sie an der Eingabeaufforderung Folgendes ein:

enable ns feature contentInspection LoadBalancing

Content-Inspektionsprofil vom Typ MIRROR hinzufügen

Das Content-Inspection-Profil vom Typ MIRROR erklärt, wie Sie eine Verbindung mit dem IDS-Gerät herstellen können. Geben Sie an der Eingabeaufforderung ein.

Hinweis:Der IP-Tunnelparameter darf nur für Layer 3 IDS-Topologie verwendet werden. Andernfalls müssen Sie die Egress-Schnittstelle mit Egress-VLAN-Option verwenden.

add contentInspection profile <name> -type MIRROR -ipTunnel <iptunnel_name>

Beispiel:

add contentInspection profile IDS_profile1 -type MIRROR –ipTunnel ipsect-tunnel1

IDS-Dienst hinzufügen

Sie müssen für jedes IDS-Gerät, das in die Appliance integriert ist, einen Dienst vom Typ ANY konfigurieren. Der Dienst enthält die IDS-Gerätekonfigurationsdetails. Der Dienst stellt das IDS-Gerät dar.

Geben Sie an der Eingabeaufforderung Folgendes ein:

add service <Service_name> <IP> ANY <Port> - contentinspectionProfileName <Name> -healthMonitor OFF -usip ON –useproxyport OFF

Beispiel:

add service IDS_service 1.1.1.1 ANY 8080 -contentInspectionProfileName IDS_profile1 -healthMonitor OFF

Inhaltsprüfung vom Typ MIRROR für IDS-Dienst hinzufügen

Nachdem Sie die Inhaltsinspektion aktiviert und dann das IDS-Profil und den Dienst hinzugefügt haben, müssen Sie die Inhaltsprüfung Aktion für die Verarbeitung der Anforderung hinzufügen. Basierend auf der Inhaltsprüfung kann die Appliance Daten löschen, zurücksetzen, blockieren oder an IDS-Gerät senden.

Geben Sie an der Eingabeaufforderung Folgendes ein:

add ContentInspection action < action_name > -type MIRROR -serverName Service_name/Vserver_name>

Beispiel:

add ContentInspection action IDS_action -type MIRROR –serverName IDS_service

Richtlinie zur Inhaltsüberprüfung für IDS-Inspektion hinzufügen

Nachdem Sie eine Inhaltsprüfungsaktion erstellt haben, müssen Sie Inhaltsprüfungsrichtlinien hinzufügen, um Prüfungsanforderungen auszuwerten. Die Richtlinie basiert auf einer Regel, die aus einem oder mehreren Ausdrücken besteht. Die Richtlinie bewertet und wählt den Datenverkehr für die Inspektion basierend auf der Regel aus.

Geben Sie an der Eingabeaufforderung Folgendes ein:

add contentInspection policy < policy_name > –rule <Rule> -action <action_name>

Beispiel:

add contentInspection policy IDS_pol1 –rule true –action IDS_action

Binden Sie die Inhaltsüberprüfungsrichtlinie an Content-Switching oder den virtuellen Lastenausgleichsdienst vom Typ HTTP/SSL

Um den Webdatenverkehr zu empfangen, müssen Sie einen virtuellen Lastausgleichsserver hinzufügen. Geben Sie an der Eingabeaufforderung Folgendes ein:

add lb vserver <name> <vserver name>

Beispiel:

add lb vserver HTTP_vserver HTTP 1.1.1.3 8080

Content Inspection Policy an Content Switching virtueller Server oder Load Balancing virtueller Server vom Typ HTTP/SSL binden

Sie müssen den virtuellen Lastausgleichsserver oder den virtuellen Server zum Wechseln von Inhalten vom Typ HTTP/SSL an die Inhaltsinspektionsrichtlinie binden.

Geben Sie an der Eingabeaufforderung Folgendes ein:

bind lb vserver <vserver name> -policyName < policy_name > -priority < priority > -type <REQUEST>

Beispiel:

bind lb vserver HTTP_vserver -policyName IDS_pol1 -priority 100 -type REQUEST

Szenario 2: Lastenausgleich mehrerer IDS-Geräte

Wenn Sie zwei oder mehr IDS-Geräte verwenden, müssen Sie den Lastausgleich der IDS-Geräte über verschiedene Content-Inspektionsdienste verwenden. In diesem Fall gleicht das Lastenausgleich der Citrix ADC Appliance die Geräte zusätzlich zum Senden einer Teilmenge des Datenverkehrs an jedes Gerät aus. Grundlegende Konfigurationsschritte finden Sie unter Szenario 1.

Lastenausgleich mehrerer IDS-Geräte

Im Folgenden sind die Schritte, die Sie über die Befehlszeilenschnittstelle konfigurieren müssen.

  1. Inhaltsinspektionsprofil 1 vom Typ MIRROR für IDS Service 1 hinzufügen
  2. Hinzufügen des Content-Inspektionsprofils 2 vom Typ MIRROR für IDS Service 2
  3. Add IDS service 1 of type ANY for IDS device 1
  4. Add IDS service 2 of type ANY for IDS device 2
  5. Hinzufügen eines virtuellen Lastausgleichsservers vom Typ ANY
  6. IDS-Dienst 1 zum Lastenausgleich eines virtuellen Servers binden
  7. IDS-Dienst 2 zum Lastenausgleich eines virtuellen Servers binden
  8. Hinzufügen von Inhaltsprüfungsaktion für den Lastausgleich von IDS-Geräten.
  9. Inhaltsüberprüfungsrichtlinie für die Inspektion hinzufügen
  10. Hinzufügen von Content-Switching oder Lastausgleichsserver vom Typ HTTP/SSL
  11. Richtlinie zur Inhaltsüberprüfung zum Lastenausgleich virtueller Server vom Typ HTTP/SSL binden

Inhaltsinspektionsprofil 1 vom Typ MIRROR für IDS Service 1 hinzufügen

Die IDS-Konfiguration kann in einer Entität namens Content-Inspection-Profil angegeben werden. Das Profil verfügt über eine Sammlung von Geräteeinstellungen. Das Content-Inspection-Profile1 wird für den IDS-Dienst 1 erstellt.

Hinweis: Der IP-Tunnelparameter darf nur für Layer 3 IDS-Topologie verwendet werden. Andernfalls müssen Sie die Egress-Schnittstelle mit Egress-VLAN-Option verwenden.

Geben Sie an der Eingabeaufforderung Folgendes ein:

add contentInspection profile <name> -type ANY – ipTunnel <iptunnel_name>

Beispiel:

add contentInspection profile IDS_profile1 -type MIRROR - ipTunnel ipsect_tunnel1

Inhaltsinspektionsprofil 2 für Typ MIRROR für IDS Service 2 hinzufügen

Das Content-Inspection-Profil 2 wird für Service 2 hinzugefügt, und das Inline-Gerät kommuniziert mit der Appliance über die Egress 1/1-Schnittstelle.

Geben Sie an der Eingabeaufforderung Folgendes ein:

add contentInspection profile <name> -type ANY – ipTunnel <iptunnel_name>

Beispiel:

add contentInspection profile IDS_profile2 -type ANY – ipTunnel ipsect_tunnel2

Add IDS service 1 of type ANY for IDS device 1

Nachdem Sie die Inhaltsinspektion aktiviert und das Inline-Profil hinzugefügt haben, müssen Sie einen Inline-Dienst 1 für Inline-Gerät 1 hinzufügen, um Teil des Lastausgleichs zu sein. Der Dienst, den Sie hinzufügen, enthält alle Inline-Konfigurationsdetails.

Geben Sie an der Eingabeaufforderung Folgendes ein:

add service <Service_name_1> <Pvt_IP1> ANY <Port> -contentInspectionProfileName <IDS_Profile_1> –usip ON –useproxyport OFF

Beispiel:

add service IDS_service1 1.1.1.1 ANY 80 -contentInspectionProfileName IDS_profile1 -usip ON -useproxyport OFF

Hinweis:

Die im Beispiel erwähnte IP-Adresse ist eine Dummy-Adresse.

Add IDS service 2 of type ANY for IDS device 2

Nachdem Sie die Inhaltsinspektion aktiviert und das Inline-Profil hinzugefügt haben, müssen Sie einen Inline-Dienst 2 für Inline-Gerät 2 hinzufügen. Der Dienst, den Sie hinzufügen, enthält alle Inline-Konfigurationsdetails.

Geben Sie an der Eingabeaufforderung Folgendes ein:

add service <Service_name_1> <Pvt_IP1> ANY -contentInspectionProfileName <Inline_Profile_2> -healthmonitor OFF –usip ON –useproxyport OFF

Beispiel:

add service IDS_service 1 1.1.2 ANY 80 -contentInspectionProfileName IDS_profile2

Hinweis:

Die im Beispiel erwähnte IP-Adresse ist eine Dummy-Adresse.

Hinzufügen eines virtuellen Lastausgleichsservers

Nachdem Sie das Inline-Profil und die Dienste hinzugefügt haben, müssen Sie einen virtuellen Lastausgleichsserver für den Lastenausgleich der Dienste hinzufügen.

Geben Sie an der Eingabeaufforderung Folgendes ein:

add lb vserver <vserver_name> ANY <Pvt_IP3> <port>

Beispiel:

add lb vserver lb-IDS_vserver ANY 1.1.1.2

IDS-Dienst 1 zum Lastenausgleich eines virtuellen Servers binden

Nachdem Sie den virtuellen Lastausgleichsserver hinzugefügt haben, binden Sie nun den virtuellen Lastausgleichsserver an den ersten Dienst.

Geben Sie an der Eingabeaufforderung Folgendes ein:

bind lb vserver <Vserver_name> <Service_name_1>

Beispiel:

bind lb vserver lb-IDS_vserver IDS_service1

IDS-Dienst 2 zum Lastenausgleich eines virtuellen Servers binden

Nachdem Sie den virtuellen Lastausgleichsserver hinzugefügt haben, binden Sie den Server nun an den zweiten Dienst.

Geben Sie an der Eingabeaufforderung Folgendes ein:

bind lb vserver <Vserver_name> <Service_name_1>

Beispiel:

bind lb vserver lb-IDS_vserver IDS_service2

Hinzufügen von Inhaltsüberprüfungsaktion für den IDS-Dienst

Nachdem Sie die Funktion Inhaltsüberprüfung aktiviert haben, müssen Sie die Aktion Inhaltsüberprüfung für die Verarbeitung der Inline-Anforderungsinformationen hinzufügen. Basierend auf der ausgewählten Aktion löscht die Appliance Datenverkehr, setzt sie zurück, blockiert oder sendet sie an das IDS-Gerät.

Geben Sie an der Eingabeaufforderung Folgendes ein:

add contentInspection action <name> -type <type> (-serverName <string> [-ifserverdown <ifserverdown>]

Beispiel:

add ContentInspection action IDS_action -type MIRROR –serverName lb-IDS_vserver

Inhaltsüberprüfungsrichtlinie für die Inspektion hinzufügen

Nachdem Sie eine Inhaltsprüfung Aktion erstellt haben, müssen Sie die Richtlinie zur Inhaltsüberprüfung hinzufügen, um Anforderungen für den Dienst auszuwerten.

Geben Sie an der Eingabeaufforderung Folgendes ein:

add contentInspection policy <policy_name> –rule <Rule> -action <action_name>

Beispiel:

add contentInspection policy IDS_pol1 –rule true –action IDS_action

Hinzufügen von Content-Switching oder Lastausgleichsserver vom Typ HTTP/SSL

Fügen Sie einen virtuellen Server zum Wechseln von Inhalten oder zum Lastenausgleich hinzu, um Webdatenverkehr zu akzeptieren. Außerdem müssen Sie die Layer2-Verbindung auf dem virtuellen Server aktivieren.

Weitere Informationen zum Lastenausgleich finden Sie imFunktionsweise des LastenausgleichsThema.

Geben Sie an der Eingabeaufforderung Folgendes ein:

add lb vserver <name> <vserver name>

Beispiel:

add lb vserver http_vserver HTTP 1.1.1.1 8080

Bind Content Inspection Policy für den Lastenausgleich virtueller Server vom Typ HTTP/SSL

Sie müssen den virtuellen Server des Typs HTTP/SSL für die Inhaltsüberprüfung oder den Lastenausgleich an die Inhaltsüberprüfungsrichtlinie binden.

Geben Sie an der Eingabeaufforderung Folgendes ein:

bind lb vserver <vserver name> -policyName < policy_name > -priority <> -type <REQUEST>

Beispiel:

bind lb vserver http_vserver -policyName IDS_pol1 -priority 100 -type REQUEST

Konfigurieren der Inline-Dienstintegration über die Citrix ADC GUI

  1. Navigieren Sie zu Sicherheit > Inhaltsinspektion > ContentInspection-Profile .
  2. Klicken Sie auf der Seite ContentInspection-Profil auf Hinzufügen .
  3. Legen Sie auf der Seite ContentInspectionProfile erstellen die folgenden Parameter fest.
    1. Profilname. Name des Content-Inspektionsprofils für IDS.
    2. Geben Sie ein. Wählen Sie die Profiltypen als MIRROR aus.
    3. Konnektivität. Layer-2- oder Layer-3-Schnittstelle.
    4. IP-Tunnel. Wählen Sie den Netzwerkkommunikationskanal zwischen zwei Netzwerken aus.

  4. Klicken Sie auf Erstellen.

    Content-Inspektionsprofil erstellen

  5. Navigieren Sie zu Traffic Management > Load Balancing > Services, und klicken Sie auf Hinzufügen.
  6. Geben Sie auf der Seite Load Balancing Service die Details des Content-Inspektionsdienstes ein.
  7. Klicken Sie im Abschnitt Erweiterte Einstellungen auf Profile.
  8. Gehen Sie zum Abschnitt Profile und klicken Sie auf das Bleistiftsymbol, um das Content-Inspektionsprofil hinzuzufügen.

  9. Klicken Sie auf OK.

    Content-Inspektionsprofil erstellen

  10. Navigieren Sie zu Lastenausgleich > Server . Fügen Sie einen virtuellen Server vom Typ HTTP oder SSL hinzu.
  11. Nachdem Sie die Serverdetails eingegeben haben, klicken Sie auf OK und erneut auf OK.
  12. Klicken Sie im Abschnitt Erweiterte Einstellungen auf Richtlinien.
  13. Gehen Sie zum Abschnitt Richtlinien und klicken Sie auf das Stiftsymbol, um die Richtlinie zur Inhaltsüberprüfung zu konfigurieren.
  14. Wählen Sie auf der Seite Richtlinie auswählen die Option Inhaltsprüfungaus. Klicken Sie auf Weiter.
  15. Klicken Sie im Abschnitt Richtlinienbindung auf +, um eine Richtlinie zur Inhaltsüberwachung hinzuzufügen.
  16. Geben Sie auf der Seite CI-Richtlinie erstellen einen Namen für die Inline-Inhaltsüberprüfungsrichtlinie ein.
  17. Klicken Sie im Feld Aktion auf das Zeichen +, um eine IDS-Inhaltsprüfung vom Typ MIRROR zu erstellen.
  18. Legen Sie auf der Seite CI-Aktion erstellen die folgenden Parameter fest.
    1. Name. Name der Inhaltsüberprüfung Inline-Richtlinie.
    2. Geben Sie ein. Wählen Sie den Typ als MIRROR aus.
    3. Servername: Wählen Sie den Server-/Dienstnamen als Inline-Geräte aus.
    4. Wenn Server heruntergefahren ist. Wählen Sie einen Vorgang aus, wenn der Server ausfällt.
    5. Zeitüberschreitung der Anforderung. Wählen Sie einen Zeitüberschreitungswert aus. Standardwerte können verwendet werden.
    6. Zeitüberschreitungsaktion anfordern. Wählen Sie eine Zeitüberschreitungsaktion aus. Standardwerte können verwendet werden.

  19. Klicken Sie auf Erstellen.

    Content-Inspektionsaktion erstellen

  20. Geben Sie auf der Seite CI-Richtlinie erstellen weitere Details ein.
  21. Klicken Sie auf OK und schließen .

Hinweise zur Citrix ADC GUI-Konfiguration für den Lastausgleich und die Replikation des Datenverkehrs auf IDS-Geräte finden Sie unterLastausgleich.

Richtlinie zur Inhaltsüberprüfung erstellen

Weitere Informationen zur Citrix ADC GUI-Konfiguration für den Lastenausgleich und Weiterleitung des Datenverkehrs an den Back-End-Ursprungsserver nach der Content-Transformation finden Sie unter Lastenausgleich.

Integration von Citrix ADC Layer 3 mit passiven Sicherheitsgeräten (Intrusion Detection System)

September 1, 2020
Beigesteuert von: 
C
September 1, 2020
Beigesteuert von: 
C

In diesem Artikel