Citrix ADC

Konfigurieren des RADIUS-Lastausgleichs mit Persistenz

October 5, 2021

Beitrag von:

Die heutige komplexe Netzwerkumgebung erfordert häufig die Koordination einer Lastausgleichskonfiguration mit hoher Kapazität mit robuster Authentifizierung und Autorisierung. Anwendungsbenutzer können sich über mobile Zugangspunkte wie DSL- oder Kabelverbindungen für Verbraucher, WiFi oder sogar DFÜ-Knoten mit einem VPN verbinden. Diese Verbindungen verwenden normalerweise dynamische IPs, die sich während der Verbindung ändern können.

Wenn Sie den RADIUS-Lastenausgleich auf der Citrix ADC Appliance so konfigurieren, dass persistente Clientverbindungen zu RADIUS-Authentifizierungsservern unterstützt werden, verwendet die Appliance die Benutzeranmeldung oder das angegebene RADIUS-Attribut anstelle der Client-IP als Sitzungs-ID und leitet alle Verbindungen und Datensätze, die mit dieser -Benutzersitzung auf denselben RADIUS-Server. Benutzer können sich daher von mobilen Zugriffspunkten an Ihrem VPN anmelden, ohne dass die Verbindung getrennt wird, wenn sich die Client-IP oder WLAN-Zugriffspunkt ändert.

Um den RADIUS-Lastausgleich mit Persistenz zu konfigurieren, müssen Sie zuerst die RADIUS-Authentifizierung für Ihr VPN konfigurieren. Informationen und Anweisungen finden Sie im Kapitel Authentifizierung, Autorisierung, Auditing (AAA) in AAA Application Traffic. Wählen Sie auch entweder die Funktion Load Balancing oder Content Switching als Grundlage für Ihre Konfiguration und stellen Sie sicher, dass die von Ihnen gewählte Funktion aktiviert ist. Der Konfigurationsprozess mit beiden Funktionen ist fast identisch.

Anschließend konfigurieren Sie entweder zwei virtuelle Load Balancing- oder zwei Content Switching-Server, einer für die Verarbeitung des RADIUS-Authentifizierungsdatenverkehrs und der andere für den Umgang mit RADIUS-Kontoführungsdatenverkehr. Als Nächstes konfigurieren Sie zwei Dienste, einen für jeden virtuellen Lastausgleichsserver, und binden jeden virtuellen Lastausgleichsserver an seinen Dienst. Schließlich erstellen Sie eine Lastausgleichspersistenzgruppe und legen den Persistenztyp auf RULE fest.

Aktivieren der Funktion Lastausgleich oder Content Switching

Um die Funktion Load Balancing oder Content Switching verwenden zu können, müssen Sie zunächst sicherstellen, dass das Feature aktiviert ist. Wenn Sie eine neue Citrix ADC Appliance konfigurieren, die noch nicht konfiguriert wurde, sind beide Funktionen bereits aktiviert, sodass Sie zum nächsten Abschnitt springen können. Wenn Sie eine Citrix ADC Appliance mit einer vorherigen Konfiguration konfigurieren und Sie nicht sicher sind, ob die von Ihnen verwendete Funktion aktiviert ist, müssen Sie dies jetzt tun.

Anweisungen zum Aktivieren der Lastenausgleichsfunktion finden Sie unter Load Balancing aktivieren.
Anweisungen zum Aktivieren der Content Switching-Funktion finden Sie unter Aktivieren des Inhaltswechsels

Konfigurieren virtueller Server

Nachdem Sie die Funktion Lastenausgleich oder Content Switching aktiviert haben, müssen Sie als nächstes zwei virtuelle Server zur Unterstützung der RADIUS-Authentifizierung konfigurieren:

Virtueller RADIUS-Authentifizierungsserver. Dieser virtuelle Server und der zugehörige Dienst verarbeiten den Authentifizierungsdatenverkehr zu Ihrem RADIUS-Server. Der Authentifizierungsdatenverkehr besteht aus Verbindungen, die mit Benutzern verbunden sind, die sich bei Ihrer geschützten Anwendung oder VPN (Virtual Private Network) anmelden.
RADIUS Accounting Virtual Server. Dieser virtuelle Server und der zugehörige Service verarbeiten Buchhaltungsverbindungen zu Ihrem RADIUS-Server. Accounting Traffic besteht aus Verbindungen, die die Aktivitäten eines authentifizierten Benutzers in Ihrer geschützten Anwendung oder VPN verfolgen.

Wichtig: Sie müssen entweder ein Paar virtueller Server mit Lastenausgleich oder ein Paar virtueller Server für Content Switching erstellen, die in der RADIUS-Persistenzkonfiguration verwendet werden können. Virtuelle Servertypen können nicht gemischt werden.

So konfigurieren Sie einen virtuellen Lastausgleichsserver mit der Befehlszeilenschnittstelle

Geben Sie an der Eingabeaufforderung die folgenden Befehle ein, um einen virtuellen Lastausgleichsserver zu erstellen und die Konfiguration zu überprüfen:

add lb vserver <name> RADIUS <IP address> <port> -lbmethod TOKEN -rule <rule>

show lb vserver <name>
<!--NeedCopy-->

Um einen vorhandenen virtuellen Lastenausgleichsserver zu konfigurieren, ersetzen Sie den vorhergehenden add lb virtual server Befehl durch den set lb vserver Befehl, der dieselben Argumente annimmt.

So konfigurieren Sie einen virtuellen Content Switching-Server über die Befehlszeilenschnittstelle

Geben Sie an der Eingabeaufforderung die folgenden Befehle ein, um einen virtuellen Content Switching Server zu erstellen und die Konfiguration zu überprüfen:

add cs vserver <name> RADIUS <IP address> <port> -lbmethod TOKEN -rule <rule>

show cs vserver <name>
<!--NeedCopy-->

Um einen vorhandenen virtuellen Content Switching-Server zu konfigurieren, ersetzen Sie den vorherigen add cs vserver Befehl durch den set cs vserver Befehl, der dieselben Argumente annimmt.

Beispiel:

add lb vserver radius_auth_vs1 RADIUS 192.168.46.33 1812 -lbmethod TOKEN -rule CLIENT.UDP.RADIUS.USERNAME

add lb vserver radius_acct_vs1 RADIUS 192.168.46.34 1813 -lbmethod TOKEN -rule CLIENT.UDP.RADIUS.USERNAME

set lb vserver radius_auth_vs1 RADIUS 192.168.46.33 1812 -lbmethod TOKEN -rule CLIENT.UDP.RADIUS.USERNAME

set lb vserver radius_auth_vs1 RADIUS 192.168.46.34 1813 -lbmethod TOKEN -rule CLIENT.UDP.RADIUS.USERNAME
<!--NeedCopy-->

So konfigurieren Sie einen virtuellen Lastausgleichs- oder Content Switching-Server mit dem Konfigurationsdienstprogramm

Navigieren Sie zu Traffic Management > Load Balancing > Virtuelle Server oder navigieren Sie zu Traffic Management > Content Switching > Virtuelle Server>und konfigurieren Sie einen virtuellen Server.

Konfigurieren von Diensten

Nachdem Sie die virtuellen Server konfiguriert haben, müssen Sie als nächstes zwei Dienste konfigurieren, einen für jeden der von Ihnen erstellten virtuellen Server.

Hinweis: Nach der Konfiguration befinden sich diese Dienste im Status DEAKTIVIERT, bis die Citrix ADC Appliance eine Verbindung mit den Authentifizierungs- und Accounting-IPs Ihres RADIUS-Servers herstellen und deren Status überwachen kann. Anweisungen finden Sie unter Dienste konfigurieren.

Binden virtueller Server an Dienste

Nach der Konfiguration Ihrer Dienste müssen Sie als Nächstes jeden der von Ihnen erstellten virtuellen Server an den entsprechenden Dienst binden.Anweisungen finden Sie unter Binding Services an den virtuellen Server.

Konfigurieren einer Persistenzgruppe für Radius

Nachdem Sie die virtuellen Load Balancing Server an die entsprechenden Dienste gebunden haben, müssen Sie die RADIUS-Lastausgleichskonfiguration so einrichten, dass die Persistenz unterstützt wird. Dazu konfigurieren Sie eine Persistenzgruppe für Lastausgleich, die Ihre virtuellen RADIUS-Load Balancing Server und -Dienste enthält, und konfigurieren Sie diese Lastausgleichspersistenzgruppe für die Verwendung regelbasierter Persistenz. Eine Persistenzgruppe ist erforderlich, da die virtuellen Authentifizierungs- und Buchhaltungsserver unterschiedlich sind und sowohl die Authentifizierungs- als auch die Buchhaltungsnachricht für einen einzelnen Benutzer denselben RADIUS-Server erreichen sollten. Persistenzgruppe ermöglicht es, dieselbe Sitzung für beide virtuellen Server zu verwenden. Anweisungen finden Sie unter Konfigurieren von Persistenzgruppen.

Konfigurieren von RADIUS Shared Secret

Ab Release 12.0 unterstützt eine Citrix ADC Appliance RADIUS Shared Secret. Ein RADIUS-Client und ein Server kommunizieren miteinander über einen gemeinsamen Schlüssel, der auf dem Client und auf dem Server konfiguriert ist. Transaktionen zwischen einem RADIUS-Client und Server werden mithilfe eines Shared Secret authentifiziert. Dieses Geheimnis wird auch verwendet, um einige der Informationen im RADIUS-Paket zu verschlüsseln.

RADIUS-Validierungsszenarien für gemeinsame geheime Schlüssel

Die Validierung des freigegebenen geheimen RADIUS-Schlüssels erfolgt in den folgenden Szenarien:

Dergemeinsam genutzte geheime RADIUS-Schlüssel ist sowohl für den Radiusclient als auch für den Radius-Server konfiguriert: Die Citrix ADC Appliance verwendet den geheimen RADIUS-Schlüssel sowohl für die Client- als auch für die Serverseite. Wenn die Überprüfung erfolgreich ist, lässt die Appliance die RADIUS-Nachricht durchlaufen. Andernfalls wird die RADIUS-Nachricht abgelegt.
Dergemeinsam genutzte geheime RADIUS-Schlüssel ist weder für den Radiusclient noch für den Radius-Server konfiguriert: Die Citrix ADC Appliance löscht die RADIUS-Nachricht, da die Freigabe-Secret-Schlüsselüberprüfung nicht auf einem Knoten durchgeführt werden kann, für den kein Radkey konfiguriert ist.
Dergemeinsame geheime RADIUS-Schlüssel ist nicht sowohl für den RADIUS-Client als auch für den RADIUS-Server konfiguriert: Die Citrix ADC Appliance umgeht die Überprüfung des geheimen RADIUS-Schlüssels und ermöglicht das Durchlaufen der RADIUS-Nachrichten.

Sie können einen standardmäßigen RADIUS-gemeinsamen Schlüssel konfigurieren oder auf Client- oder Subnetzbasis konfigurieren. Es wird empfohlen, einen gemeinsam genutzten geheimen RADIUS-Schlüssel für alle Bereitstellungen mit konfigurierter RADIUS-Richtlinie hinzuzufügen. Die Appliance verwendet die Quell-IP-Adresse des RADIUS-Pakets, um zu entscheiden, welcher gemeinsame Schlüssel verwendet werden soll. Sie können einen RADIUS-Client und Server und den entsprechenden Shared Secret wie folgt konfigurieren:

Geben Sie an der CLI-Eingabeaufforderung Folgendes ein:

add radiusNode <clientPrefix/Subnet> -radKey <Shared_secret_key>
<!--NeedCopy-->

Argumente

IP-Adresse

IP-Adresse oder Subnetz des RADIUS-Clients im CIDR-Format. Die Appliance verwendet die Quell-IP-Adresse eines eingehenden Anforderungspakets, um der Client-IP-Adresse zuzustimmen. Anstatt eine Client-IP-Adresse zu konfigurieren, können Sie die Client-Netzwerkadresse konfigurieren. Das längste Präfix wird zugeordnet, um den gemeinsamen Schlüssel für eine eingehende Clientanforderung zu identifizieren.

Radkey

Gemeinsamer geheimer Schlüssel zwischen dem Client, der Citrix ADC Appliance und dem Server. Maximale Länge: 31

add lb vserver radius_auth_vs1 RADIUS 192.168.46.33 1812 -lbmethod TOKEN -rule CLIENT.UDP.RADIUS.USERNAME

add lb vserver radius_acct_vs1 RADIUS 192.168.46.34 1813 -lbmethod TOKEN -rule CLIENT.UDP.RADIUS.USERNAME

add service radius_auth_service1 192.168.41.68 RADIUS 1812

add service radius_acct_service1 192.168.41.70 RADIUS 1813

bind lb vserver radius_auth_vs1 radius_auth_service1

bind lb vserver radius_acct_vs1 radius_acct_service[1-3]

add radiusNode 192.168.41.0/24 -radKey  serverkey123

add radiusNode 203.0.113.0/24 -radkey clientkey123
<!--NeedCopy-->

Ein gemeinsamer Schlüssel muss sowohl für einen RADIUS-Client als auch für einen Server konfiguriert werden. Der Befehl ist derselbe. Das Subnetz bestimmt, ob der gemeinsame Schlüssel für einen Client oder einen Server ist.

Wenn das angegebene Subnetz beispielsweise ein Client-Subnetz ist, gilt der gemeinsame Schlüssel für den Client. Wenn das angegebene Subnetz ein Serversubnetz ist (192.168.41.0/24 im vorherigen Beispiel), ist das Shared Secret für den Server.

Ein Subnetz von 0.0.0.0/0 bedeutet, dass es der Standardgeheimnis für alle Clients und Server ist.

Hinweis:

Nur die PAP- und CHAP-Authentifizierungsmethoden werden mit RADIUS Shared Secret unterstützt.

Die offizielle Version dieses Inhalts ist auf Englisch. Für den einfachen Einstieg wird Teil des Inhalts der Citrix Dokumentation maschinell übersetzt. Citrix hat keine Kontrolle über maschinell übersetzte Inhalte, die Fehler, Ungenauigkeiten oder eine ungeeignete Sprache enthalten können. Es wird keine Garantie, weder ausdrücklich noch stillschweigend, für die Genauigkeit, Zuverlässigkeit, Eignung oder Richtigkeit von Übersetzungen aus dem englischen Original in eine andere Sprache oder für die Konformität Ihres Citrix Produkts oder Ihres Diensts mit maschinell übersetzten Inhalten gegeben, und jegliche Garantie, die im Rahmen der anwendbaren Endbenutzer-Lizenzvereinbarung oder der Vertragsbedingungen oder einer anderen Vereinbarung mit Citrix gegeben wird, dass das Produkt oder den Dienst mit der Dokumentation übereinstimmt, gilt nicht in dem Umfang, in dem diese Dokumentation maschinell übersetzt wurde. Citrix kann nicht für Schäden oder Probleme verantwortlich gemacht werden, die durch die Verwendung maschinell übersetzter Inhalte entstehen können.

Konfigurieren des RADIUS-Lastausgleichs mit Persistenz

October 5, 2021

Beitrag von:

October 5, 2021

Beitrag von:

In diesem Artikel

Aktivieren der Funktion Lastausgleich oder Content Switching
Konfigurieren virtueller Server
Konfigurieren von Diensten
Binden virtueller Server an Dienste
Konfigurieren einer Persistenzgruppe für Radius
Konfigurieren von RADIUS Shared Secret