-
Bereitstellen einer NetScaler ADC VPX- Instanz
-
Optimieren der Leistung von NetScaler ADC VPX auf VMware ESX, Linux KVM und Citrix Hypervisors
-
Installieren einer NetScaler ADC VPX Instanz auf einem Bare-Metal-Server
-
Installieren einer NetScaler ADC VPX-Instanz auf Citrix Hypervisor
-
Installieren einer NetScaler ADC VPX-Instanz in der VMware Cloud auf AWS
-
Installieren einer NetScaler ADC VPX-Instanz auf Microsoft Hyper-V-Servern
-
Installieren einer NetScaler ADC VPX-Instanz auf der Linux-KVM-Plattform
-
Bereitstellen einer NetScaler ADC VPX-Instanz auf AWS
-
Bereitstellen einer eigenständigen NetScaler ADC VPX-Instanz auf AWS
-
Bereitstellen eines VPX-HA-Paar in derselben AWS-Verfügbarkeitszone
-
Bereitstellen eines VPX Hochverfügbarkeitspaars mit privaten IP-Adressen in verschiedenen AWS-Zonen
-
Bereitstellen einer NetScaler ADC VPX-Instanz auf AWS Outposts
-
Konfigurieren einer NetScaler ADC VPX-Instanz für die Verwendung der SR-IOV-Netzwerkschnittstelle
-
Konfigurieren einer NetScaler ADC VPX-Instanz für die Verwendung von Enhanced Networking mit AWS ENA
-
Bereitstellen einer NetScaler ADC VPX-Instanz auf Microsoft Azure
-
Netzwerkarchitektur für NetScaler ADC VPX-Instanzen auf Microsoft Azure
-
Mehrere IP-Adressen für eine eigenständige NetScaler ADC VPX-Instanz konfigurieren
-
Hochverfügbarkeitssetup mit mehreren IP-Adressen und NICs konfigurieren
-
Hochverfügbarkeitssetup mit mehreren IP-Adressen und NICs über PowerShell-Befehle konfigurieren
-
NetScaler ADC VPX-Instanz für beschleunigte Azure-Netzwerke konfigurieren
-
HA-INC-Knoten über die Citrix Hochverfügbarkeitsvorlage mit Azure ILB konfigurieren
-
NetScaler ADC VPX-Instanz auf der Azure VMware-Lösung installieren
-
Konfigurieren von GSLB in einem Active-Standby-Hochverfügbarkeitssetup
-
Konfigurieren von Adresspools (IIP) für eine NetScaler Gateway Appliance
-
NetScaler ADC VPX-Instanz auf der Google Cloud Platform bereitstellen
-
Bereitstellung und Konfigurationen von NetScaler ADC automatisieren
-
Lösungen für Telekommunikationsdienstleister
-
Authentifizierung, Autorisierung und Überwachung des Anwendungsverkehrs
-
Wie Authentifizierung, Autorisierung und Auditing funktionieren
-
Grundkomponenten der Authentifizierung, Autorisierung und Audit-Konfiguration
-
Lokal NetScaler Gateway als Identitätsanbieter für Citrix Cloud
-
Authentifizierungs-, Autorisierungs- und Überwachungskonfiguration für häufig verwendete Protokolle
-
-
-
-
Konfigurieren von erweiterten Richtlinienausdrücken: Erste Schritte
-
Erweiterte Richtlinienausdrücke: Arbeiten mit Datumsangaben, Zeiten und Zahlen
-
Erweiterte Richtlinienausdrücke: Analysieren von HTTP-, TCP- und UDP-Daten
-
Erweiterte Richtlinienausdrücke: Analysieren von SSL-Zertifikaten
-
Erweiterte Richtlinienausdrücke: IP- und MAC-Adressen, Durchsatz, VLAN-IDs
-
Erweiterte Richtlinienausdrücke: Stream-Analytics-Funktionen
-
Zusammenfassende Beispiele für Standardsyntaxausdrücke und -richtlinien
-
Tutorial Beispiele für Standardsyntaxrichtlinien für Rewrite
-
Migration von Apache mod_rewrite-Regeln auf die Standardsyntax
-
-
-
-
-
-
-
-
Verwalten eines virtuellen Cache-Umleitungsservers
-
Statistiken für virtuelle Server zur Cache-Umleitung anzeigen
-
Aktivieren oder Deaktivieren eines virtuellen Cache-Umleitungsservers
-
Direkte Richtlinieneinschläge auf den Cache anstelle des Ursprungs
-
Verwalten von Clientverbindungen für einen virtuellen Server
-
Externe TCP-Integritätsprüfung für virtuelle UDP-Server aktivieren
-
-
Übersetzen die Ziel-IP-Adresse einer Anfrage in die Ursprungs-IP-Adresse
-
-
Unterstützung für NetScaler ADC-Konfiguration in einem Cluster
-
Verwalten des NetScaler ADC Clusters
-
Knotengruppen für gepunktete und teilweise gestreifte Konfigurationen
-
Entfernen eines Knotens aus einem Cluster, der mit Cluster-Link-Aggregation bereitgestellt wird
-
Überwachen von Fehlern bei der Befehlsausbreitung in einer Clusterbereitstellung
-
VRRP-Interface-Bindung in einem aktiven Cluster mit einem einzigen Knoten
-
-
-
Konfigurieren von NetScaler ADC als nicht-validierenden sicherheitsbewussten Stub-Resolver
-
Jumbo-Frames Unterstützung für DNS zur Handhabung von Reaktionen großer Größen
-
Zwischenspeichern von EDNS0-Client-Subnetzdaten bei einer NetScaler ADC-Appliance im Proxymodus
-
-
GSLB-Entitäten einzeln konfigurieren
-
Anwendungsfall: Bereitstellung einer Domänennamen-basierten Autoscale-Dienstgruppe
-
Anwendungsfall: Bereitstellung einer IP-Adressbasierten Autoscale-Dienstgruppe
-
-
-
IP-Adresse und Port eines virtuellen Servers in den Request-Header einfügen
-
Angegebene Quell-IP für die Back-End-Kommunikation verwenden
-
Quellport aus einem bestimmten Portbereich für die Back-End-Kommunikation verwenden
-
Quell-IP-Persistenz für Back-End-Kommunikation konfigurieren
-
Lokale IPv6-Linkadressen auf der Serverseite eines Load Balancing-Setups
-
Erweiterte Load Balancing-Einstellungen
-
Allmählich die Belastung eines neuen Dienstes mit virtuellem Server-Level erhöhen
-
Anwendungen vor Verkehrsspitzen auf geschützten Servern schützen
-
Bereinigung von virtuellen Server- und Dienstverbindungen ermöglichen
-
Persistenzsitzung auf TROFS-Diensten aktivieren oder deaktivieren
-
Externe TCP-Integritätsprüfung für virtuelle UDP-Server aktivieren
-
Standortdetails von der Benutzer-IP-Adresse mit der Geolocation-Datenbank abrufen
-
Quell-IP-Adresse des Clients beim Verbinden mit dem Server verwenden
-
Limit für die Anzahl der Anfragen pro Verbindung zum Server festlegen
-
Festlegen eines Schwellenwerts für die an einen Dienst gebundenen Monitore
-
Grenzwert für die Bandbreitenauslastung durch Clients festlegen
-
-
-
Lastausgleichs für häufig verwendete Protokolle konfigurieren
-
Anwendungsfall 5: DSR-Modus beim Verwenden von TOS konfigurieren
-
Anwendungsfall 6: Lastausgleich im DSR-Modus für IPv6-Netzwerke mit dem TOS-Feld konfigurieren
-
Anwendungsfall 7: Konfiguration des Lastenausgleichs im DSR-Modus mithilfe von IP Over IP
-
Anwendungsfall 8: Lastausgleich im Einarmmodus konfigurieren
-
Anwendungsfall 9: Lastausgleich im Inlinemodus konfigurieren
-
Anwendungsfall 10: Lastausgleich von Intrusion-Detection-System-Servern
-
Anwendungsfall 11: Netzwerkverkehr mit Listenrichtlinien isolieren
-
Anwendungsfall 12: Citrix Virtual Desktops für den Lastausgleich konfigurieren
-
Anwendungsfall 13: Citrix Virtual Apps für den Lastausgleich konfigurieren
-
Anwendungsfall 14: ShareFile-Assistent zum Lastausgleich Citrix ShareFile
-
Anwendungsfall 15: Layer-4-Lastausgleich auf der NetScaler ADC-Appliance konfigurieren
-
SSL-Offload und Beschleunigung
-
Unterstützung des TLSv1.3-Protokolls wie in RFC 8446 definiert
-
Unterstützungsmatrix für Serverzertifikate auf der ADC-Appliance
-
Unterstützung für Intel Coleto SSL-Chip-basierte Plattformen
-
Unterstützung für Thales Luna Network Hardwaresicherheitsmodul
-
-
-
-
CloudBridge Connector-Tunnels zwischen zwei Rechenzentren konfigurieren
-
CloudBridge Connector zwischen Datacenter und AWS Cloud konfigurieren
-
CloudBridge Connector Tunnels zwischen einem Rechenzentrum und Azure Cloud konfigurieren
-
CloudBridge Connector Tunnels zwischen Datacenter und SoftLayer Enterprise Cloud konfigurieren
-
-
Konfigurationsdateien in einem Hochverfügbarkeitssetup synchronisieren
-
Hochverfügbarkeitsknoten in verschiedenen Subnetzen konfigurieren
-
Beschränken von Failovers, die durch Routenmonitore im Nicht-INC-Modus verursacht werden
-
HA-Heartbeat-Meldungen auf einer NetScaler ADC-Appliance verwalten
-
NetScaler ADC in einem Hochverfügbarkeitssetup entfernen und ersetzen
This content has been machine translated dynamically.
Dieser Inhalt ist eine maschinelle Übersetzung, die dynamisch erstellt wurde. (Haftungsausschluss)
Cet article a été traduit automatiquement de manière dynamique. (Clause de non responsabilité)
Este artículo lo ha traducido una máquina de forma dinámica. (Aviso legal)
此内容已经过机器动态翻译。 放弃
このコンテンツは動的に機械翻訳されています。免責事項
이 콘텐츠는 동적으로 기계 번역되었습니다. 책임 부인
Este texto foi traduzido automaticamente. (Aviso legal)
Questo contenuto è stato tradotto dinamicamente con traduzione automatica.(Esclusione di responsabilità))
This article has been machine translated.
Dieser Artikel wurde maschinell übersetzt. (Haftungsausschluss)
Ce article a été traduit automatiquement. (Clause de non responsabilité)
Este artículo ha sido traducido automáticamente. (Aviso legal)
この記事は機械翻訳されています.免責事項
이 기사는 기계 번역되었습니다.책임 부인
Este artigo foi traduzido automaticamente.(Aviso legal)
这篇文章已经过机器翻译.放弃
Questo articolo è stato tradotto automaticamente.(Esclusione di responsabilità))
Translation failed!
Anwendungsfall: Konformität und Sicherheit des Internetzugangs im Unternehmen
Der Direktor der Netzwerksicherheit in einer Finanzorganisation will das Unternehmensnetzwerk vor externen Bedrohungen aus dem Web in Form von Malware schützen. Um dies zu tun, muss der Direktor Einblick in den anderweitig umgangen verschlüsselten Datenverkehr und den Zugriff auf bösartige Websites kontrollieren. Der Direktor ist verpflichtet, Folgendes zu tun:
- Abfangen und Überprüfen des gesamten Datenverkehrs, einschließlich SSL/TLS (verschlüsselter Datenverkehr), der in das Unternehmensnetzwerk eingeht und aus diesem herausgeht.
- Übergehen Sie Interception von Anfragen an Websites, die sensible Informationen enthalten, wie z. B. finanziellen Benutzerinformationen oder E-Mails.
- Blockieren Sie den Zugriff auf schädliche URLs, die als schädliche oder nicht erwachsene Inhalte identifiziert wurden.
- Identifizieren Sie Endbenutzer (Mitarbeiter) im Unternehmen, die auf bösartige Websites zugreifen, und blockieren Sie den Internetzugriff für diese Benutzer oder sperren Sie die schädlichen URLs.
Um alle oben genannten Punkte zu erreichen, kann der Director einen Proxyserver einrichten. Der Proxyserver fängt den gesamten verschlüsselten und unverschlüsselten Datenverkehr ab, der durch das Unternehmensnetzwerk fließt. Es fordert zur Benutzerauthentifizierung auf und ordnet den Datenverkehr einem Benutzer zu. URL-Kategorien können angegeben werden, um den Zugriff auf illegale/schädliche, adulte, Malware und SPAM-Websites zu blockieren.
Konfigurieren Sie die folgenden Entitäten:
- DNS-Namensserver zum Auflösen von Hostnamen.
- Subnet IP (SNIP) -Adresse, um eine Verbindung mit den Ursprungsservern herzustellen. Die SNIP-Adresse muss über einen Internetzugang verfügen.
- Proxyserver im expliziten Modus, um den gesamten ausgehenden HTTP- und HTTPS-Datenverkehr abzufangen.
- SSL-Profil zum Definieren von SSL-Einstellungen, wie Verschlüsselungen und Parameter, für Verbindungen.
- Zertifizierungsstellen-Schlüsselpaar, um das Serverzertifikat für SSL-Interception zu signieren.
- SSL-Richtlinie zur Definition der Websites, die abgefangen und umgangen werden sollen.
- Authentifizierung virtueller Server, Richtlinie und Aktion, um sicherzustellen, dass nur gültige Benutzer Zugriff gewährt werden.
- AppFlow Collector zum Senden von Daten an Citrix Application Delivery Management (ADM).
Für diese Beispielkonfiguration werden sowohl CLI- als auch GUI-Prozeduren aufgelistet. Die folgenden Beispielwerte werden verwendet. Ersetzen Sie sie durch gültige Daten für IP-Adressen, SSL-Zertifikat und Schlüssel sowie LDAP-Parameter.
Name | In der Beispielkonfiguration verwendete Werte |
---|---|
NSIP-Adresse | 192.0.2.5 |
Subnetz-IP-Adresse | 198.51.100.5 |
IP-Adresse des virtuellen LDAP-Servers | 192.0.2.116 |
IP-Adresse des DNS-Nameservers | 203.0.113.2 |
IP-Adresse des Proxyservers | 192.0.2.100 |
MAS-IP-Adresse | 192.0.2.41 |
Zertifizierungsstellenzertifikat für SSL-Interception |
ns-swg-ca-certkey (Zertifikat: ns_swg_ca.crt und Schlüssel: ns_swg_ca.key) |
LDAP-Basis-DN | CN = Benutzer, DC = CTXNSSFB, DC = COM |
LDAP-Bindung DN | CN = Administrator, CN = Benutzer, DC = CTXNSSFB, DC = COM |
LDAP-Bind-DN-Kennwort | zzzzz |
Verwenden des SSL-Forward-Proxyassistenten zum Konfigurieren von Interception und Untersuchung des Datenverkehrs zum und vom Unternehmensnetzwerk
Das Erstellen einer Konfiguration zum Abfangen und Untersuchen von verschlüsseltem Datenverkehr zusätzlich zum und von einem Netzwerk erfordert die Konfiguration der Einstellungen für Proxy, SSL-Interception, Benutzerauthentifizierung und URL-Filterung. Die folgenden Verfahren enthalten Beispiele für die eingegebenen Werte.
Konfigurieren der Proxy-Einstellungen
-
Navigieren Sie zu Sicherheit > SSL-Forward-Proxy > SSL-Forward-Proxy-Assistent.
-
Klicken Sie auf Erste Schritte und dann auf Weiter.
-
Geben Sie im Dialogfeld Proxyeinstellungen einen Namen für den expliziten Proxyserver ein.
-
Wählen Sie für Aufnahmemodus Explizitaus.
-
Geben Sie eine IP-Adresse und Portnummer ein.
-
Klicken Sie auf Weiter.
Konfigurieren der Einstellungen für SSL-Interception
-
Wählen Sie SSL-Abfangen aktivierenaus.
-
Klicken Sie in SSL-Profil auf +, um ein neues Front-End-SSL-Profil hinzuzufügen und SSL-Interception für Sitzungen in diesem Profil zu aktivieren.
-
Klicken Sie auf OK und dann auf Fertig.
-
Klicken Sie unter Select SSL Interception CA Certificate-Key Pair auf +, um ein CA-Zertifikatschlüsselpaar für die SSL-Interception zu installieren.
-
Klicken Sie auf Installieren und dann auf Schließen.
-
Fügen Sie eine Richtlinie hinzu, um den gesamten Datenverkehr abzufangen. Klicken Sie auf Binden und dann auf Hinzufügen .
-
Geben Sie einen Namen für die Richtlinie ein, und wählen Sie Erweitert aus. Geben Sie im Ausdruckseditor true ein.
-
Wählen Sie unter Aktion die Option INTERCEPT aus.
-
Klicken Sie auf Erstellen und dann auf Hinzufügen, um eine weitere Richtlinie hinzuzufügen, um vertrauliche Informationen zu umgehen.
-
Geben Sie einen Namen für die Richtlinie ein, und klicken Sie unter URL-Kategorien auf Hinzufügen.
-
Wählen Sie die Kategorien Finanzen und E-Mail aus, und verschieben Sie sie in die Liste Konfiguriert.
-
Wählen Sie unter Aktion die Option BYPASS aus.
-
Klicken Sie auf Erstellen.
-
Wählen Sie die beiden zuvor erstellten Richtlinien aus, und klicken Sie auf Einfügen.
-
Klicken Sie auf Weiter.
Konfigurieren der Benutzerauthentifizierungseinstellungen
-
Wählen Sie Benutzerauthentifizierung aktivierenaus. Wählen Sie im Feld Authentifizierungstyp die Option LDAP aus.
-
Fügen Sie LDAP-Serverdetails hinzu.
-
Klicken Sie auf Erstellen.
-
Klicken Sie auf Weiter.
Einstellungen für die URL-Filterung konfigurieren
-
Wählen Sie URL-Kategorisierung aktivieren aus, und klicken Sie dann auf Binden .
-
Klicken Sie auf Hinzufügen.
-
Geben Sie einen Namen für die Richtlinie ein. Wählen Sie unter Aktiondie Option Verweigernaus. Wählen Sie unter URL-Kategoriendie Option Illegal/Schädlich, Erwachsenesowie Malware und SPAMaus und verschieben Sie sie in die Liste Konfiguriert.
-
Klicken Sie auf Erstellen.
-
Wählen Sie die Richtlinie aus, und klicken Sie dann auf Einfügen.
-
Klicken Sie auf Weiter.
-
Klicken Sie auf Weiter.
-
Klicken Sie auf Analytics aktivieren.
-
Geben Sie die IP-Adresse von Citrix ADM ein, und geben Sie für Port5557 an.
-
Klicken Sie auf Weiter.
-
Klicken Sie auf Fertig.
Verwenden Sie Citrix ADM, um Schlüsselmetriken für Benutzer anzuzeigen und Folgendes zu bestimmen:
- Das Surfverhalten der Nutzer in Ihrem Unternehmen.
- URL-Kategorien, auf die die Benutzer in Ihrem Unternehmen zugreifen.
- Browser, die für den Zugriff auf die URLs oder Domänen verwendet werden.
Verwenden Sie diese Informationen, um festzustellen, ob das System des Benutzers mit Malware infiziert ist, oder verstehen Sie das Bandbreitenverbrauchsmuster des Benutzers. Sie können die Richtlinien auf Ihrer Citrix SWG-Appliance verfeinern, um diese Benutzer einzuschränken, oder einige weitere Websites blockieren. Weitere Informationen zum Anzeigen der Metriken auf MAS finden Sie im Anwendungsfall “Endpoints prüfen” in ADM-Anwendungsfällen.
Hinweis:
Legen Sie die folgenden Parameter mit der CLI fest.
set syslogparams -sslInterception ENABLED
set cacheparameter -memLimit 100
set appflow param -AAAUserName ENABLED
<!--NeedCopy-->
CLI-Beispiel
Das folgende Beispiel enthält alle Befehle, die zum Konfigurieren von Interception und der Überprüfung des Datenverkehrs zum und vom Unternehmensnetzwerk verwendet werden.
Allgemeine Konfiguration:
add ns ip 192.0.2.5 255.255.255.0
add ns ip 198.51.100.5 255.255.255.0 -type SNIP
add dns nameServer 203.0.113.2
add ssl certKey ns-swg-ca-certkey -cert ns_swg_ca.crt -key ns_swg_ca.key
set syslogparams -sslInterception ENABLED
set cacheparameter -memLimit 100
set appflow param -AAAUserName ENABLED
<!--NeedCopy-->
Authentifizierungskonfiguration:
add authentication vserver explicit-auth-vs SSL
bind ssl vserver explicit-auth-vs -certkeyName ns-swg-ca-certkey
add authentication ldapAction swg-auth-action-explicit -serverIP 192.0.2.116 -ldapBase "CN=Users,DC=CTXNSSFB,DC=COM" -ldapBindDn "CN=Administrator,CN=Users,DC=CTXNSSFB,DC=COM" -ldapBindDnPassword zzzzzz -ldapLoginName sAMAccountName
add authenticationpolicy swg-auth-policy -rule true -action swg-auth-action-explicit
bind authentication vserver explicit-auth-vs -policy swg-auth-policy -priority 1
<!--NeedCopy-->
Proxyserver- und SSL-Interceptionkonfiguration:
add cs vserver explicitswg PROXY 192.0.2.100 80 –Authn401 ENABLED –authnVsName explicit-auth-vs
set ssl parameter -defaultProfile ENABLED
add ssl profile swg_profile -sslInterception ENABLED
bind ssl profile swg_profile -ssliCACertkey ns-swg-ca-certkey
set ssl vserver explicitswg -sslProfile swg_profile
add ssl policy ssli-pol_ssli -rule true -action INTERCEPT
bind ssl vserver explicitswg -policyName ssli-pol_ssli -priority 100 -type INTERCEPT_REQ
<!--NeedCopy-->
Konfiguration der URL-Kategorien:
add ssl policy cat_pol1_ssli -rule "client.ssl.client_hello.SNI.URL_CATEGORIZE(0,0).GROUP.EQ("Finance") || client.ssl.client_hello.SNI.URL_CATEGORIZE(0,0).GROUP.EQ("Email")" -action BYPASS
bind ssl vserver explicitswg -policyName cat_pol1_ssli -priority 10 -type INTERCEPT_REQ
add ssl policy cat_pol2_ssli -rule "client.ssl.client_hello.sni.url_categorize(0,0).GROUP.EQ("Adult") || client.ssl.client_hello.sni.url_categorize(0,0).GROUP.EQ("Malware and SPAM") || client.ssl.client_hello.SNI.URL_CATEGORIZE(0,0).GROUP.EQ("Illegal/Harmful")" -action RESET
bind ssl vserver explicitswg -policyName cat_pol2_ssli -priority 20 -type INTERCEPT_REQ
<!--NeedCopy-->
AppFlow-Konfiguration zum Abrufen von Daten in Citrix ADM:
add appflow collector _swg_testswg_apfw_cl -IPAddress 192.0.2.41 -port 5557 -Transport logstream
set appflow param -templateRefresh 60 -httpUrl ENABLED -AAAUserName ENABLED -httpCookie ENABLED -httpReferer ENABLED -httpMethod ENABLED -httpHost ENABLED -httpUserAgent ENABLED -httpContentType ENABLED -httpVia ENABLED -httpLocation ENABLED -httpDomain ENABLED -cacheInsight ENABLED -urlCategory ENABLED
add appflow action _swg_testswg_apfw_act -collectors _swg_testswg_apfw_cl -distributionAlgorithm ENABLED
add appflow policy _swg_testswg_apfw_pol true _swg_testswg_apfw_act
bind cs vserver explicitswg -policyName _swg_testswg_apfw_pol -priority 1
<!--NeedCopy-->
Teilen
Teilen
In diesem Artikel
- Verwenden des SSL-Forward-Proxyassistenten zum Konfigurieren von Interception und Untersuchung des Datenverkehrs zum und vom Unternehmensnetzwerk
- Konfigurieren der Proxy-Einstellungen
- Konfigurieren der Einstellungen für SSL-Interception
- Konfigurieren der Benutzerauthentifizierungseinstellungen
- Einstellungen für die URL-Filterung konfigurieren
- CLI-Beispiel
This Preview product documentation is Cloud Software Group Confidential.
You agree to hold this documentation confidential pursuant to the terms of your Cloud Software Group Beta/Tech Preview Agreement.
The development, release and timing of any features or functionality described in the Preview documentation remains at our sole discretion and are subject to change without notice or consultation.
The documentation is for informational purposes only and is not a commitment, promise or legal obligation to deliver any material, code or functionality and should not be relied upon in making Cloud Software Group product purchase decisions.
If you do not agree, select I DO NOT AGREE to exit.