Produktdokumentation
Citrix ADC
Current Release 13.0 12.1
PDF anzeigen

Integration von Citrix ADC Layer 3 mit passiven Sicherheitsgeräten (Intrusion Detection System)

February 14, 2023
Beitrag von: 
C

Eine Citrix ADC-Appliance ist jetzt in passive Sicherheitsgeräte wie das Intrusion Detection System (IDS) integriert. In diesem Setup sendet die Appliance eine Kopie des ursprünglichen Datenverkehrs sicher an Remote-IDS-Geräte. Diese passiven Geräte speichern Protokolle und lösen Warnungen aus, wenn sie einen schlechten oder nicht konformen Datenverkehr erkennen. Es generiert auch Berichte für den Compliance-Zweck. Wenn eine Citrix ADC Appliance in zwei oder mehr IDS-Geräte integriert ist und ein hohes Verkehrsaufkommen besteht, kann die Appliance den Lastenausgleich der Geräte durchführen, indem der Datenverkehr auf virtueller Serverebene geklont wird.

Für erweiterten Sicherheitsschutz ist eine Citrix ADC-Appliance in passive Sicherheitsgeräte wie IDS integriert, die im Nur-Erkennungsmodus bereitgestellt werden. Diese Geräte speichern Protokolle und lösen Warnungen aus, wenn ein schlechter oder nicht konformer Datenverkehr festgestellt wird. Es generiert auch Berichte für den Compliance-Zweck. Im Folgenden sind einige der Vorteile der Integration des Citrix ADC in ein IDS-Gerät aufgeführt.

  • Überprüfung des verschlüsselten Datenverkehrs. Die meisten Sicherheitsgeräte Bypass den verschlüsselten Datenverkehr, wodurch Server anfällig für Angriffe sind. Eine Citrix ADC-Appliance kann den Datenverkehr entschlüsseln und an IDS-Geräte senden, um die Netzwerksicherheit des Kunden zu verbessern.
  • Entladen von Inline-Geräten von der TLS/SSL-Verarbeitung. Die TLS/SSL-Verarbeitung ist teuer und führt zu einer hohen System-CPU in Intrusion-Detection-Geräten, wenn sie den Datenverkehr entschlüsseln. Da der verschlüsselte Datenverkehr schnell zunimmt, können diese Systeme den verschlüsselten Datenverkehr nicht entschlüsseln und überprüfen. Citrix ADC hilft beim Auslagern des Datenverkehrs von der TLS/SSL-Verarbeitung auf IDS-Geräte. Diese Art der Datenauslagerung führt dazu, dass ein IDS-Gerät ein hohes Verkehrsaufkommen unterstützt.
  • Laden ausgleichender IDS-Geräte. Die Citrix ADC-Appliance gleicht mehrere IDS-Geräte aus, wenn ein hohes Verkehrsaufkommen besteht, indem der Datenverkehr auf virtueller Serverebene geklont wird.
  • Replikation des Datenverkehrs auf passive Geräte. Der in die Appliance fließende Datenverkehr kann auf andere passive Geräte repliziert werden, um Konformitätsberichte zu erstellen. Zum Beispiel schreiben nur wenige Regierungsbehörden vor, dass jede Transaktion in einigen passiven Geräten protokolliert wird.
  • Fächern des Datenverkehrs zu mehreren passiven Geräten. Einige Kunden ziehen es vor, eingehenden Datenverkehr auf mehrere passive Geräte aufzufächern oder zu replizieren.
  • Intelligente Auswahl des Verkehrs. Jedes Paket, das in die Appliance fließt, muss möglicherweise nicht inhaltlich geprüft werden, z. B. Der Benutzer kann die Citrix ADC-Appliance so konfigurieren, dass ein bestimmter Datenverkehr (z. B. EXE-Dateien) zur Überprüfung ausgewählt und der Datenverkehr zur Datenverarbeitung an IDS-Geräte gesendet wird.

Wie Citrix ADC in ein IDS-Gerät mit L3-Konnektivität integriert ist

Das folgende Diagramm zeigt, wie das IDS in eine Citrix ADC Appliance integriert ist.

IDS-Integration

Die Wechselwirkung der Komponenten ist wie folgt gegeben:

  1. Ein Client sendet eine HTTP/HTTPS-Anforderung an die Citrix ADC-Appliance.
  2. Die Appliance fängt den Datenverkehr ab und sendet die Daten an entfernte IDS-Geräte in verschiedenen Rechenzentren oder sogar in einer Cloud. Diese Integration erfolgt über die IP-Tunnellayer 3. Weitere Informationen zum IP-Tunneling in einer Citrix ADC-Appliance finden Sie unter IP-Tunneln.
  3. Wenn der Datenverkehr verschlüsselt ist, entschlüsselt die Appliance die Daten und sendet sie als Nur-Text.
  4. Basierend auf der Bewertung der Richtlinien wendet die Appliance eine Inhaltsinspektionsaktion vom Typ “MIRROR” an
  5. Für die Aktion ist ein IDS-Dienst oder ein Load-Balancing-Dienst (für mehrere IDS-Geräteintegrationen) konfiguriert.
  6. Das IDS-Gerät ist auf der Appliance als Content-Inspection-Diensttyp “Beliebig” konfiguriert. Der Inhaltsinspektionsdienst wird dann dem Inhaltsprüfungsprofil vom Typ „MIRROR“ und dem Tunnelparameter zugeordnet, der die getunnelte IP-Layer-3-Schnittstelle angibt, über die die Daten an das IDS-Gerät weitergeleitet werden.

Hinweis:

Optional können Sie auch ein VLAN-Tag im Inhaltsprüfungsprofil konfigurieren.

  1. Wenn der Back-End-Server eine Antwort an den Citrix ADC sendet, repliziert die Appliance die Daten und leitet sie an das IDS-Gerät weiter.
  2. Wenn Ihre Appliance in ein oder mehrere IDS-Geräte integriert ist und Sie den Lastausgleich der Geräte bevorzugen, können Sie den virtuellen Lastausgleichsserver verwenden.

Softwarelizenzierung

Um die IDS-Integration bereitzustellen, muss Ihre Citrix ADC Appliance mit einer der folgenden Lizenzen ausgestattet sein:

  1. ADC Premium
  2. ADC Advanced

Konfigurieren der Einbruchmelde-Systemintegration

Sie können das IDS-Gerät auf zwei verschiedene Arten in einen Citrix ADC integrieren.

Szenario 1: Integration mit einem einzigen IDS-Gerät

Im Folgenden sind die Schritte aufgeführt, die Sie mithilfe der Befehlszeilenschnittstelle konfigurieren müssen.

  1. Inhaltsüberprüfung aktivieren
  2. Inhaltsüberprüfungsprofil vom Typ MIRROR für den Dienst, der das IDS-Gerät
  3. IDS-Dienst vom Typ “ANY” hinzufügen
  4. Inhaltsüberprüfungsaktion vom Typ “MIRROR” hinzugefügt
  5. Inhaltsüberprüfungsrichtlinie für die IDS-Überprüfung hinzufügen
  6. Binden Sie die Inhaltsüberprüfungsrichtlinie an den virtuellen Content Switching- oder Lastausgleichsdienst des Typs HTTP/SSL

Inhaltsüberprüfung aktivieren

Wenn Sie möchten, dass die Citrix ADC-Appliance den Inhalt zur Überprüfung an die IDS-Geräte sendet, müssen Sie die Funktionen Inhaltsüberprüfung und den Lastausgleich unabhängig von der Entschlüsselung aktivieren.

Geben Sie in der Befehlszeile Folgendes ein:

enable ns feature contentInspection LoadBalancing

Fügen Sie ein Inhaltsinspektionsprofil vom Typ „MIRROR“ hinzu

Das Inhaltsüberprüfungsprofil vom Typ “MIRROR” erklärt, wie Sie eine Verbindung zum IDS-Gerät herstellen können. Geben Sie an der Eingabeaufforderung ein.

Hinweis:

Der IP-Tunnelparameter darf nur für die Layer-3-IDS-Topologie verwendet werden. Andernfalls müssen Sie die Ausgangsschnittstelle mit der Ausgangs-VLAN-Option verwenden. GRE/IPIP-Tunneltypen werden mit der Layer-3-IDS-Topologie unterstützt.

add contentInspection profile <name> -type MIRROR -ipTunnel <iptunnel_name>

Beispiel:

add contentInspection profile IDS_profile1 -type MIRROR –ipTunnel ipsect-tunnel1

IDS-Dienst hinzufügen

Sie müssen einen Dienst vom Typ “ANY” für jedes IDS-Gerät konfigurieren, das in die Appliance integriert ist. Der Dienst hat die IDS-Gerätekonfigurationsdetails. Der Dienst stellt das IDS-Gerät dar.

Geben Sie in der Befehlszeile Folgendes ein:

add service <Service_name> <IP> ANY <Port> - contentinspectionProfileName <Name> -healthMonitor OFF -usip ON –useproxyport OFF

Beispiel:

add service IDS_service 1.1.1.1 ANY 8080 -contentInspectionProfileName IDS_profile1 -healthMonitor OFF

Inhaltsüberprüfungsaktion vom Typ MIRROR für IDS-Dienst hinzufügen

Nachdem Sie die Funktion Inhaltsüberprüfung aktiviert und anschließend das IDS-Profil und den Dienst hinzugefügt haben, müssen Sie die Aktion Inhaltsüberprüfung für die Bearbeitung der Anforderung hinzufügen. Basierend auf der Inhaltsüberprüfungsaktion kann die Appliance Daten löschen, zurücksetzen, blockieren oder an das IDS-Gerät senden.

Geben Sie in der Befehlszeile Folgendes ein:

add ContentInspection action < action_name > -type MIRROR -serverName Service_name/Vserver_name>

Beispiel:

add ContentInspection action IDS_action -type MIRROR –serverName IDS_service

Inhaltsüberprüfungsrichtlinie für die IDS-Überprüfung hinzufügen

Nachdem Sie eine Inhaltsüberprüfungsaktion erstellt haben, müssen Sie Richtlinien für die Inhaltsüberprüfung hinzufügen, um Überprüfungsanfragen zu bewerten. Die Richtlinie basiert auf einer Regel, die aus einem oder mehreren Ausdrücken besteht. Die Richtlinie bewertet und wählt den zu überprüfenden Verkehr basierend auf der Regel aus.

Geben Sie an der Eingabeaufforderung Folgendes ein:

add contentInspection policy < policy_name > –rule <Rule> -action <action_name>

Beispiel:

add contentInspection policy IDS_pol1 –rule true –action IDS_action

Binden Sie die Inhaltsüberprüfungsrichtlinie an den virtuellen Content Switching- oder Lastausgleichsdienst des Typs HTTP/SSL

Um den Webverkehr zu empfangen, müssen Sie einen virtuellen Lastausgleichsserver hinzufügen. Geben Sie in der Befehlszeile Folgendes ein:

add lb vserver <name> <vserver name>

Beispiel:

add lb vserver HTTP_vserver HTTP 1.1.1.3 8080

Binden der Richtlinie zur Inhaltsüberprüfung an den virtuellen Server mit Content Switching oder den virtuellen Lastausgleichsserver vom Typ

Sie müssen den virtuellen Load Balancing-Server oder den virtuellen Content Switching-Server vom Typ HTTP/SSL an die Inhaltsüberprüfungsrichtlinie binden.

Geben Sie an der Eingabeaufforderung Folgendes ein:

bind lb vserver <vserver name> -policyName < policy_name > -priority < priority > -type <REQUEST>

Beispiel:

bind lb vserver HTTP_vserver -policyName IDS_pol1 -priority 100 -type REQUEST

Szenario 2: Lastenausgleich für mehrere IDS-Geräte

Wenn Sie zwei oder mehr IDS-Geräte verwenden, müssen Sie den Lastenausgleich zwischen den IDS-Geräten mithilfe verschiedener Content Inspection Services durchführen. In diesem Fall gleicht die Citrix ADC-Appliance die Geräte aus, zusätzlich zum Senden einer Teilmenge des Datenverkehrs an jedes Gerät. Grundlegende Konfigurationsschritte finden Sie in Szenario 1.

Lastenausgleich für mehrere IDS-Geräte

Im Folgenden sind die Schritte aufgeführt, die Sie mithilfe der Befehlszeilenschnittstelle konfigurieren müssen.

  1. Inhaltsüberprüfungsprofil 1 vom Typ MIRROR für IDS-Dienst 1 hinzufügen
  2. Inhaltsüberprüfungsprofil 2 vom Typ MIRROR für IDS-Dienst 2 hinzufügen
  3. IDS-Dienst 1 vom Typ ANY für IDS-Gerät 1 hinzufügen
  4. IDS-Dienst 2 vom Typ ANY für IDS-Gerät 2 hinzufügen
  5. Hinzufügen eines virtuellen Lastausgleichsservers vom Typ ANY
  6. IDS-Dienst 1 an den virtuellen Lastausgleichsserver binden
  7. IDS-Dienst 2 an den virtuellen Lastausgleichsserver binden
  8. Fügen Sie eine Inhaltsüberprüfungsaktion für den Lastausgleich von IDS-Geräten hinzu.
  9. Inhaltsüberprüfungsrichtlinie zur Überprüfung hinzufügen
  10. Hinzufügen eines virtuellen Content Switching- oder Lastausgleichsservers vom Typ HTTP/SSL
  11. Richtlinie zur Inhaltsüberprüfung an einen virtuellen Lastausgleichsserver vom Typ HTTP/SSL binden

Inhaltsüberprüfungsprofil 1 vom Typ MIRROR für IDS-Dienst 1 hinzufügen

Die IDS-Konfiguration kann in einer Entität angegeben werden, die als Inhaltsprüfprofil bezeichnet wird. Das Profil hat eine Sammlung von Geräteeinstellungen. Das Inhaltsüberprüfungsprofil1 wird für den IDS-Dienst 1 erstellt.

Hinweis: Der IP-Tunnelparameter darf nur für die Layer-3-IDS-Topologie verwendet werden. Andernfalls müssen Sie die Ausgangsschnittstelle mit der Ausgangs-VLAN-Option verwenden.

Geben Sie in der Befehlszeile Folgendes ein:

add contentInspection profile <name> -type ANY – ipTunnel <iptunnel_name>

Beispiel:

add contentInspection profile IDS_profile1 -type MIRROR - ipTunnel ipsect_tunnel1

Inhaltsüberprüfungsprofil 2 für den Typ MIRROR für IDS-Dienst 2

Das Inhaltsinspektionsprofil 2 wird für Dienst 2 hinzugefügt, und das Inline-Gerät kommuniziert mit der Appliance über die Ausgangsschnittstelle 1/1.

Geben Sie in der Befehlszeile Folgendes ein:

add contentInspection profile <name> -type ANY – ipTunnel <iptunnel_name>

Beispiel:

add contentInspection profile IDS_profile2 -type ANY – ipTunnel ipsect_tunnel2

IDS-Dienst 1 vom Typ ANY für IDS-Gerät 1 hinzufügen

Nachdem Sie die Funktion Inhaltsüberprüfung aktiviert und das Inline-Profil hinzugefügt haben, müssen Sie einen Inline-Dienst 1 für das Inline-Gerät 1 hinzufügen, um Teil des Lastausgleichs-Setups zu sein. Der Dienst, den Sie hinzufügen, enthält alle Inline-Konfigurationsdetails.

Geben Sie in der Befehlszeile Folgendes ein:

add service <Service_name_1> <Pvt_IP1> ANY <Port> -contentInspectionProfileName <IDS_Profile_1> –usip ON –useproxyport OFF

Beispiel:

add service IDS_service1 1.1.1.1 ANY 80 -contentInspectionProfileName IDS_profile1 -usip ON -useproxyport OFF

Hinweis:

Bei der im Beispiel genannten IP-Adresse handelt es sich um eine Scheinadresse.

IDS-Dienst 2 vom Typ ANY für IDS-Gerät 2 hinzufügen

Nachdem Sie die Inhaltsinspektionsfunktion aktiviert und das Inline-Profil hinzugefügt haben, müssen Sie einen Inline-Dienst 2 für das Inline-Gerät 2 hinzufügen. Der Dienst, den Sie hinzufügen, enthält alle Inline-Konfigurationsdetails.

Geben Sie in der Befehlszeile Folgendes ein:

add service <Service_name_1> <Pvt_IP1> ANY -contentInspectionProfileName <Inline_Profile_2> -healthmonitor OFF –usip ON –useproxyport OFF

Beispiel:

add service IDS_service 1 1.1.2 ANY 80 -contentInspectionProfileName IDS_profile2

Hinweis:

Bei der im Beispiel genannten IP-Adresse handelt es sich um eine Scheinadresse.

Virtuellen Lastausgleichsserver hinzufügen

Nachdem Sie das Inline-Profil und die Dienste hinzugefügt haben, müssen Sie einen virtuellen Lastausgleichsserver für den Lastenausgleich der Dienste hinzufügen.

Geben Sie in der Befehlszeile Folgendes ein:

add lb vserver <vserver_name> ANY <Pvt_IP3> <port>

Beispiel:

add lb vserver lb-IDS_vserver ANY 1.1.1.2

IDS-Dienst 1 an den virtuellen Lastausgleichsserver binden

Nachdem Sie den virtuellen Lastausgleichsserver hinzugefügt haben, binden Sie nun den virtuellen Lastausgleichsserver an den ersten Dienst.

Geben Sie in der Befehlszeile Folgendes ein:

bind lb vserver <Vserver_name> <Service_name_1>

Beispiel:

bind lb vserver lb-IDS_vserver IDS_service1

IDS-Dienst 2 an den virtuellen Lastausgleichsserver binden

Nachdem Sie den virtuellen Lastausgleichsserver hinzugefügt haben, binden Sie den Server nun an den zweiten Dienst.

Geben Sie in der Befehlszeile Folgendes ein:

bind lb vserver <Vserver_name> <Service_name_1>

Beispiel:

bind lb vserver lb-IDS_vserver IDS_service2

Inhaltsüberprüfungsaktion für den IDS-Dienst hinzufügen

Nachdem Sie die Funktion Inhaltsüberprüfung aktiviert haben, müssen Sie die Aktion Inhaltsüberprüfung für die Verarbeitung der Inline-Anforderungsinformationen hinzufügen. Basierend auf der ausgewählten Aktion verwirft, setzt die Appliance den Datenverkehr zurück, blockiert oder sendet ihn an das IDS-Gerät.

Geben Sie in der Befehlszeile Folgendes ein:

add contentInspection action <name> -type <type> (-serverName <string> [-ifserverdown <ifserverdown>]

Beispiel:

add ContentInspection action IDS_action -type MIRROR –serverName lb-IDS_vserver

Inhaltsüberprüfungsrichtlinie zur Überprüfung hinzufügen

Nachdem Sie eine Inhaltsinspektionsaktion erstellt haben, müssen Sie die Inhaltsinspektionsrichtlinie hinzufügen, um Serviceanfragen zu bewerten.

Geben Sie an der Eingabeaufforderung Folgendes ein:

add contentInspection policy <policy_name> –rule <Rule> -action <action_name>

Beispiel:

add contentInspection policy IDS_pol1 –rule true –action IDS_action

Hinzufügen eines virtuellen Content Switching- oder Lastausgleichsservers vom Typ HTTP/SSL

Fügen Sie einen virtuellen Content Switching- oder Lastausgleichsserver hinzu, um Webverkehr zu akzeptieren Außerdem müssen Sie die Layer2-Verbindung auf dem virtuellen Server aktivieren.

Weitere Informationen zum Lastenausgleich finden Sie unter Funktionsweise des Lastenausgleichs .

Geben Sie in der Befehlszeile Folgendes ein:

add lb vserver <name> <vserver name>

Beispiel:

add lb vserver http_vserver HTTP 1.1.1.1 8080

Richtlinie zur Inhaltsüberprüfung an einen virtuellen Lastausgleichsserver vom Typ HTTP/SSL binden

Sie müssen den virtuellen Content Switching- oder Load Balancing-Server vom Typ HTTP/SSL an die Richtlinie zur Inhaltsüberprüfung binden.

Geben Sie an der Eingabeaufforderung Folgendes ein:

bind lb vserver <vserver name> -policyName < policy_name > -priority <> -type <REQUEST>

Beispiel:

bind lb vserver http_vserver -policyName IDS_pol1 -priority 100 -type REQUEST

Konfigurieren der Inline-Serviceintegration mithilfe der Citrix ADC GUI

  1. Navigieren Sie zu Sicherheit > Inhaltsinspektion > ContentInspection-Profile.
  2. Klicken Sie auf der ContentInspection-Profilseite auf Hinzufügen.
  3. Stellen Sie auf der Seite „ ContentInspectionProfile erstellen “ die folgenden Parameter ein.
    1. Name des Profils. Name des Inhaltsinspektionsprofils für IDS.
    2. Typ. Wählen Sie die Profiltypen als MIRROR aus.
    3. Konnektivität. Layer-2- oder Layer-3-Schnittstelle.
    4. IP-Tunnel. Wählen Sie den Netzwerkkommunikationskanal zwischen den beiden Netzwerken aus.

  4. Klicken Sie auf Erstellen.

    Erstellen eines Inhaltsprüfprofils

  5. Navigieren Sie zu Traffic Management > Load Balancing > Services und klicken Sie auf Hinzufügen
  6. Geben Sie auf der Seite Load Balancing Service die Details des Inhaltsüberprüfungsdienstes ein.
  7. Klicken Sie im Abschnitt “Erweiterte Einstellungen “ auf “ Profile”.
  8. Gehen Sie zum Abschnitt Profile und klicken Sie auf das Bleistiftsymbol, um das Inhaltsüberprüfungsprofil hinzuzufügen.

  9. Klicken Sie auf OK.

    Erstellen eines Inhaltsprüfprofils

  10. Navigieren Sie zu Load Balancing > Server. Fügen Sie einen virtuellen Server vom Typ HTTP oder SSL hinzu.
  11. Nachdem Sie die Serverdetails eingegeben haben, klicken Sie auf OK und erneut auf OK.
  12. Klicken Sie im Abschnitt “Erweiterte Einstellungen “ auf Richtlinien.
  13. Gehen Sie zum Abschnitt Richtlinien und klicken Sie auf das Stiftsymbol, um die Inhaltsüberprüfungsrichtlinie zu konfigurieren.
  14. Wählen Sie auf der Seite Richtlinie auswählen die Option Inhaltsübersicht aus. Klicken Sie auf Weiter.
  15. Klicken Sie im Abschnitt Richtlinienbindung auf “+”, um eine Richtlinie zur Inhaltsüberprüfung hinzuzufügen.
  16. Geben Sie auf der Seite CI-Richtlinie erstellen einen Namen für die Richtlinie zur Inline-Inhaltsüberprüfung ein.
  17. Klicken Sie im Feld Aktion auf das “+” -Zeichen, um eine IDS-Inhaltsüberprüfungsaktion vom Typ MIRROR zu erstellen.
  18. Stellen Sie auf der Seite CI-Aktion erstellen die folgenden Parameter ein.
    1. Name. Name der Inline-Richtlinie zur Inhaltsüberprüfung.
    2. Typ. Wählen Sie den Typ als MIRROR.
    3. Servername. Wählen Sie den Server-/Dienstnamen als Inline-Geräte aus.
    4. Wenn Server ausgefallen ist. Wählen Sie einen Vorgang aus, wenn der Server ausfällt.
    5. Zeitüberschreitung anfragen. Wählen Sie einen Timeoutwert aus. Standardwerte können verwendet werden.
    6. Timeout-Aktion anfordern. Wählen Sie eine Zeitüberschreitungsaktion aus. Standardwerte können verwendet werden.

  19. Klicken Sie auf Erstellen.

    Aktion zur Inhaltsüberprüfung erstellen

  20. Geben Sie auf der Seite CI-Richtlinie erstellen weitere Details ein.
  21. Klicken Sie auf OK und Schließen.

Informationen zur Citrix ADC GUI-Konfiguration für den Lastenausgleich und das Replizieren des Datenverkehrs auf IDS-Geräte finden Sie unter Load Balancing.

Richtlinie zur Inhaltsüberprüfung erstellen

Informationen zur Citrix ADC GUI-Konfiguration für den Lastenausgleich und das Weiterleiten des Datenverkehrs nach der Inhaltstransformation an den Back-End-Ursprungsserver finden Sie unter Load Balancing.

Integration von Citrix ADC Layer 3 mit passiven Sicherheitsgeräten (Intrusion Detection System)
February 14, 2023
Beitrag von: 
C
February 14, 2023
Beitrag von: 
C

In diesem Artikel

Feedback zur Site | Datenschutz und rechtliche Bestimmungen | Cookie-Einstellungen | Einstellungen für die Zustimmung
© 1999- Cloud Software Group, Inc. All rights reserved.