In Citrix ADC 13.0
In Citrix ADC
In All products
Produktdokumentation
In Citrix ADC 13.0
In Citrix ADC
In All products
Citrix ADC
13.0 12.1 12.0 11.1 10.5
PDF anzeigen

Konfigurieren des RADIUS-Lastausgleichs mit Persistenz

September 1, 2020
Beigesteuert von: 
C

Die heutige komplexe Netzwerkumgebung erfordert häufig die Koordination einer Lastausgleichskonfiguration mit hoher Kapazität mit robuster Authentifizierung und Autorisierung. Anwendungsbenutzer können über mobile Zugangspunkte wie DSL- oder Kabelverbindungen, WiFi oder sogar DFÜ-Knoten eine Verbindung zu einem VPN herstellen. Diese Verbindungen verwenden normalerweise dynamische IPs, die sich während der Verbindung ändern können.

Wenn Sie den RADIUS-Lastenausgleich auf der Citrix ADC Appliance so konfigurieren, dass persistente Clientverbindungen zu RADIUS-Authentifizierungsservern unterstützt werden, verwendet die Appliance die Benutzeranmeldung oder das angegebene RADIUS-Attribut anstelle der Client-IP als Sitzungs-ID und leitet alle Verbindungen und Datensätze, die mit dieser -Benutzersitzung auf denselben RADIUS-Server. Benutzer können sich daher von mobilen Zugriffspunkten an Ihrem VPN anmelden, ohne dass die Verbindung getrennt wird, wenn sich die Client-IP oder WLAN-Zugriffspunkt ändert.

Um den RADIUS-Lastausgleich mit Persistenz zu konfigurieren, müssen Sie zuerst die RADIUS-Authentifizierung für Ihr VPN konfigurieren. Informationen und Anweisungen finden Sie im Kapitel Authentifizierung, Autorisierung, Auditing (AAA) inAAA Anwendungsdatenverkehr. Sie müssen auch die Funktion Lastenausgleich oder Inhaltswechsel als Grundlage für Ihre Konfiguration auswählen und sicherstellen, dass die ausgewählte Funktion aktiviert ist. Der Konfigurationsprozess mit beiden Funktionen ist fast identisch.

Anschließend konfigurieren Sie entweder zwei Load Balancing oder zwei Content-Switching virtuelle Server, einer für die Verarbeitung des RADIUS-Authentifizierungsdatenverkehrs und der andere für den Umgang mit RADIUS-Kontoführungsdatenverkehr. Als Nächstes konfigurieren Sie zwei Dienste, einen für jeden virtuellen Lastausgleichsserver, und binden jeden virtuellen Lastausgleichsserver an seinen Dienst. Schließlich erstellen Sie eine Lastausgleichspersistenzgruppe und legen den Persistenztyp auf RULE fest.

Aktivieren der Funktion Lastausgleich oder Inhaltswechsel

Um die Funktion Load Balancing oder Content Switching verwenden zu können, müssen Sie zunächst sicherstellen, dass das Feature aktiviert ist. Wenn Sie eine neue Citrix ADC Appliance konfigurieren, die noch nicht konfiguriert wurde, sind beide Funktionen bereits aktiviert, sodass Sie zum nächsten Abschnitt springen können. Wenn Sie eine Citrix ADC Appliance mit einer vorherigen Konfiguration konfigurieren und nicht sicher sind, dass die von Ihnen verwendete Funktion aktiviert ist, müssen Sie dies jetzt tun.

Konfigurieren virtueller Server

Nachdem Sie die Funktion Lastenausgleich oder Inhaltswechsel aktiviert haben, müssen Sie als nächstes zwei virtuelle Server zur Unterstützung der RADIUS-Authentifizierung konfigurieren:

  • Virtueller RADIUS-Authentifizierungsserver. Dieser virtuelle Server und der zugehörige Dienst verarbeiten den Authentifizierungsdatenverkehr zu Ihrem RADIUS-Server. Der Authentifizierungsdatenverkehr besteht aus Verbindungen, die mit Benutzern verbunden sind, die sich bei Ihrer geschützten Anwendung oder VPN (Virtual Private Network) anmelden.
  • RADIUS Accounting Virtual Server. Dieser virtuelle Server und der zugehörige Dienst verarbeiten Accounting-Verbindungen zu Ihrem RADIUS-Server. Accounting Traffic besteht aus Verbindungen, die die Aktivitäten eines authentifizierten Benutzers in Ihrer geschützten Anwendung oder VPN verfolgen.

Wichtig: Sie müssen entweder ein Paar virtueller Server mit Lastenausgleich oder ein Paar virtueller Server für den Content Switching erstellen, die in der RADIUS-Persistenzkonfiguration verwendet werden können. Virtuelle Servertypen können nicht gemischt werden.

So konfigurieren Sie einen virtuellen Lastausgleichsserver mit der Befehlszeilenschnittstelle

Geben Sie an der Eingabeaufforderung die folgenden Befehle ein, um einen neuen virtuellen Lastausgleichsserver zu erstellen und die Konfiguration zu überprüfen:

add lb vserver <name> RADIUS <IP address> <port> -lbmethod TOKEN -rule <rule>

show lb vserver <name>

Um einen vorhandenen virtuellen Lastausgleichsserver zu konfigurieren, ersetzen Sie den obigen Befehl add lb virtual server durch den Befehl set lb vserver, der dieselben Argumente verwendet.

So konfigurieren Sie einen virtuellen Server zum Wechseln von Inhalten mit der Befehlszeilenschnittstelle

Geben Sie an der Eingabeaufforderung die folgenden Befehle ein, um einen neuen virtuellen Server zum Wechseln von Inhalten zu erstellen und die Konfiguration zu überprüfen:

add cs vserver <name> RADIUS <IP address> <port> -lbmethod TOKEN -rule <rule>

show cs vserver <name>

Um einen vorhandenen virtuellen Server für die Inhaltsvermittlung zu konfigurieren, ersetzen Sie den obigen Befehl add cs vserver durch den Befehl set cs vserver, der dieselben Argumente verwendet.

Beispiel:

add lb vserver radius_auth_vs1 RADIUS 192.168.46.33 1812 -lbmethod TOKEN -rule CLIENT.UDP.RADIUS.USERNAME

add lb vserver radius_acct_vs1 RADIUS 192.168.46.34 1813 -lbmethod TOKEN -rule CLIENT.UDP.RADIUS.USERNAME

set lb vserver radius_auth_vs1 RADIUS 192.168.46.33 1812 -lbmethod TOKEN -rule CLIENT.UDP.RADIUS.USERNAME

set lb vserver radius_auth_vs1 RADIUS 192.168.46.34 1813 -lbmethod TOKEN -rule CLIENT.UDP.RADIUS.USERNAME

So konfigurieren Sie einen Load Balancing- oder Content-Switching-Server mit dem Konfigurationsdienstprogramm

Navigieren Sie zu Traffic Management > Load Balancing > Virtuelle Server, oder navigieren Sie zu Traffic Management > Content Switching > Virtuelle Server », und konfigurieren Sie einen virtuellen Server.

Konfigurieren von Diensten

Nachdem Sie die virtuellen Server konfiguriert haben, müssen Sie als nächstes zwei Dienste konfigurieren, einen für jeden der von Ihnen erstellten virtuellen Server.

Hinweis: Nach der Konfiguration befinden sich diese Dienste im Status DEAKTIVIERT, bis die Citrix ADC Appliance eine Verbindung mit den Authentifizierungs- und Accounting-IPs Ihres RADIUS-Servers herstellen und deren Status überwachen kann. Anweisungen finden Sie unter Konfigurieren von Diensten.

Binden virtueller Server an Dienste

Nachdem Sie Ihre Dienste konfiguriert haben, müssen Sie die virtuellen Server, die Sie erstellt haben, als nächstes an den entsprechenden Dienst binden.Anweisungen finden Sie unterBinden von Diensten an den virtuellen Server.

Konfigurieren einer Persistenzgruppe für Radius

Nachdem Sie die virtuellen Load Balancing Server an die entsprechenden Dienste gebunden haben, müssen Sie die RADIUS-Lastausgleichskonfiguration so einrichten, dass die Persistenz unterstützt wird. Dazu konfigurieren Sie eine Persistenzgruppe für Lastausgleich, die Ihre virtuellen RADIUS-Load Balancing Server und -Dienste enthält, und konfigurieren Sie diese Lastausgleichspersistenzgruppe für die Verwendung regelbasierter Persistenz. Eine Persistenzgruppe ist erforderlich, da die virtuellen Authentifizierungs- und Buchhaltungsserver unterschiedlich sind und sowohl die Authentifizierungs- als auch die Buchhaltungsnachricht für einen einzelnen Benutzer denselben RADIUS-Server erreichen sollten. Durch die Konfiguration einer Persistenzgruppe wird dieselbe Sitzung für beide virtuellen Server verwendet. Anweisungen finden Sie unter Persistenzgruppen konfigurieren.

Konfigurieren von RADIUS Shared Secret

Ab Release 12.0 unterstützt eine Citrix ADC Appliance RADIUS Shared Secret. Ein RADIUS-Client und ein Server kommunizieren miteinander über einen gemeinsamen Schlüssel, der auf dem Client und auf dem Server konfiguriert ist. Transaktionen zwischen einem RADIUS-Client und einem Server werden durch die Verwendung eines gemeinsamen Geheimnisses authentifiziert. Dieses Geheimnis wird auch verwendet, um einige der Informationen im RADIUS-Paket zu verschlüsseln.

RADIUS-Validierungsszenarien für gemeinsame geheime Schlüssel

Die Validierung des gemeinsamen geheimen RADIUS-Schlüssels erfolgt in den folgenden Szenarien:

  • Dergemeinsam genutzte geheime RADIUS-Schlüssel ist sowohl für den Radiusclient als auch für den Radius-Server konfiguriert: Die Citrix ADC Appliance verwendet den geheimen RADIUS-Schlüssel sowohl für die Client- als auch für die Serverseite. Wenn die Überprüfung erfolgreich ist, lässt die Appliance die RADIUS-Nachricht durchlaufen. Andernfalls wird die RADIUS-Nachricht abgelegt.
  • Dergemeinsam genutzte geheime RADIUS-Schlüssel ist weder für den Radiusclient noch für den Radius-Server konfiguriert: Die Citrix ADC Appliance löscht die RADIUS-Nachricht, da die Freigabe-Secret-Schlüsselüberprüfung nicht auf einem Knoten durchgeführt werden kann, für den kein Radkey konfiguriert ist.
  • Dergemeinsame geheime RADIUS-Schlüssel ist nicht sowohl für den RADIUS-Client als auch für den RADIUS-Server konfiguriert: Die Citrix ADC Appliance umgeht die Überprüfung des geheimen RADIUS-Schlüssels und ermöglicht das Durchlaufen der RADIUS-Nachrichten.

Sie können einen standardmäßigen RADIUS-gemeinsamen Schlüssel konfigurieren oder auf Client- oder Subnetzbasis konfigurieren. Es wird empfohlen, einen gemeinsam genutzten geheimen RADIUS-Schlüssel für alle Bereitstellungen mit konfigurierter RADIUS-Richtlinie hinzuzufügen. Die Appliance verwendet die Quell-IP-Adresse des RADIUS-Pakets, um zu entscheiden, welcher gemeinsame Schlüssel verwendet werden soll. Sie können einen RADIUS-Client und einen Server und den entsprechenden gemeinsamen Schlüssel wie folgt konfigurieren:

Geben Sie an der CLI-Eingabeaufforderung Folgendes ein:

add radiusNode <clientPrefix/Subnet> -radKey <Shared_secret_key>

Argumente

IP-Adresse

IP-Adresse oder Subnetz des RADIUS-Clients im CIDR-Format. Die Appliance verwendet die Quell-IP-Adresse eines eingehenden Anforderungspakets, um der Client-IP-Adresse zuzustimmen. Anstatt eine Client-IP-Adresse zu konfigurieren, können Sie die Client-Netzwerkadresse konfigurieren. Das längste Präfix wird zugeordnet, um den gemeinsamen Schlüssel für eine eingehende Clientanforderung zu identifizieren.

Radkey

Gemeinsamer geheimer Schlüssel zwischen dem Client, der Citrix ADC Appliance und dem Server. Maximale Länge: 31

add lb vserver radius_auth_vs1 RADIUS 192.168.46.33 1812 -lbmethod TOKEN -rule CLIENT.UDP.RADIUS.USERNAME

add lb vserver radius_acct_vs1 RADIUS 192.168.46.34 1813 -lbmethod TOKEN -rule CLIENT.UDP.RADIUS.USERNAME

add service radius_auth_service1 192.168.41.68 RADIUS 1812

add service radius_acct_service1 192.168.41.70 RADIUS 1813

bind lb vserver radius_auth_vs1 radius_auth_service1

bind lb vserver radius_acct_vs1 radius_acct_service[1-3]

add radiusNode 192.168.41.0/24 -radKey  serverkey123

add radiusNode 203.0.113.0/24 -radkey clientkey123

Ein gemeinsamer Schlüssel muss sowohl für einen RADIUS-Client als auch für einen Server konfiguriert werden. Der Befehl ist derselbe. Das Subnetz bestimmt, ob der gemeinsame Schlüssel für einen Client oder einen Server ist.

Wenn das angegebene Subnetz beispielsweise ein Client-Subnetz ist, gilt der gemeinsame Schlüssel für den Client. Wenn das angegebene Subnetz ein Serversubnetz ist (192.168.41.0/24 im obigen Beispiel), ist der gemeinsame Schlüssel für den Server.

Ein Subnetz von 0.0.0.0/0 bedeutet, dass es der Standardgeheimnis für alle Clients und Server ist.

Hinweis:

Nur die PAP- und CHAP-Authentifizierungsmethoden werden mit RADIUS Shared Secret unterstützt.

Konfigurieren des RADIUS-Lastausgleichs mit Persistenz

September 1, 2020
Beigesteuert von: 
C
September 1, 2020
Beigesteuert von: 
C

In diesem Artikel