Produktdokumentation
Citrix ADC
Current Release 13.0 12.1 11.1
PDF anzeigen

Anwendungsfall 10: Lastausgleich von Intrusion Detection Systemservern

August 19, 2021
Beitrag von: 
C

Damit die Citrix ADC Appliance den Lastenausgleich von IDS-Servern (Intrusion Detection System) unterstützen kann, müssen die IDS-Server und -Clients über einen Switch mit aktivierter Portspiegelung verbunden sein. Der Client sendet eine Anforderung an den Server. Da die Portspiegelung auf dem Switch aktiviert ist, werden die Anforderungspakete kopiert oder an den virtuellen Serverport der Citrix ADC Appliance gesendet. Die Appliance verwendet dann die konfigurierte Lastausgleichsmethode, um einen IDS-Server auszuwählen, wie im folgenden Diagramm dargestellt.

Abbildung 1. Topologie von IDS-Servern mit Lastausgleich

Topologie

Hinweis: Derzeit unterstützt die Appliance nur den Lastausgleich passiver IDS-Geräte.

Wie im vorhergehenden Diagramm dargestellt, funktioniert das IDS-Lastausgleichs-Setup wie folgt:

  1. Die Clientanforderung wird an den IDS-Server gesendet, und ein Switch mit aktiviertem Spiegelungsport leitet diese Pakete an den IDS-Server weiter. Die Quell-IP-Adresse ist die IP-Adresse des Clients, und die Ziel-IP-Adresse ist die IP-Adresse des Servers. Die Quell-MAC-Adresse ist die MAC-Adresse des Routers, und die Ziel-MAC-Adresse ist die MAC-Adresse des Servers.
  2. Der Datenverkehr, der über den Switch fließt, wird auf die Appliance gespiegelt. Die Appliance verwendet die Layer-3-Informationen (Quell-IP-Adresse und Ziel-IP-Adresse), um das Paket an den ausgewählten IDS-Server weiterzuleiten, ohne die Quell-IP-Adresse oder Ziel-IP-Adresse zu ändern. Es ändert die Quell-MAC-Adresse und die Ziel-MAC-Adresse in die MAC-Adresse des ausgewählten IDS-Servers.

Hinweis: Beim Lastenausgleich von IDS-Servern können Sie die Lastenausgleichsmethoden SRCIPHASH, DESTIPHASH oder SRCIPDESTIPHASH konfigurieren. Die SRCIPDESTIPHASH-Methode wird empfohlen, da Pakete, die vom Client zu einem Dienst auf der Appliance fließen, an einen einzelnen IDS-Server gesendet werden müssen.

Angenommen, service-ANY-1, service-ANY-2 und service-ANY-3 werden erstellt und an Vserver-LB-1 gebunden. Der virtuelle Server gleicht die Last der Dienste aus. In der folgenden Tabelle sind die Namen und Werte der auf der Appliance konfigurierten Entitäten aufgeführt.

Entitätstyp Name IP-Adresse Port Protokoll
Virtueller Server Vserver-LB-1 * * ANY
Services Service-ANY-1 10.102.29.101 * ANY
  Service-ANY-2 10.102.29.102 * ANY
  Service-ANY-3 10.102.29.103 * ANY
Monitore Ping Ohne Ohne Ohne

Hinweis: Sie können den Inline-Modus oder den Einarmmodus für eine IDS-Lastausgleichseinrichtung verwenden.

Das folgende Diagramm zeigt die Lastausgleichseinheiten und die Werte der Parameter, die auf der Appliance konfiguriert werden sollen.

Abbildung 2. Entitätsmodell für Load Balancing IDS Server

Entity-Modell

Um ein IDS-Load Balancing-Setup zu konfigurieren, müssen Sie zunächst die MAC-basierte Weiterleitung aktivieren. Deaktivieren Sie auch die Layer-2- und Layer-3-Modi auf der Appliance.

So aktivieren Sie die MAC-basierte Weiterleitung mit der Befehlszeilenschnittstelle

Geben Sie an der Eingabeaufforderung Folgendes ein:

enable ns mode <ConfigureMode>
<!--NeedCopy-->

Beispiel:

enable ns mode MAC
<!--NeedCopy-->

So aktivieren Sie die MAC-basierte Weiterleitung mit dem Konfigurationsdienstprogramm

Navigieren Sie zu System > Einstellungen > Modi konfigurierenund wählen Sie MAC-basierte Weiterleitungaus.

Als Nächstes finden Sie unter “Einrichten des Basic Load Balancing”, um ein grundlegendes Load Balancing-Setup zu konfigurieren.

Nachdem Sie das grundlegende Lastausgleichs-Setup konfiguriert haben, müssen Sie es für IDS anpassen, indem Sie eine unterstützte Lastausgleichsmethode konfigurieren (z. B. die SRCIPDESTIP-Hash-Methode auf einem virtuellen Server ohne Sitzungsfunktion) und den MAC-Modus aktivieren. Die Appliance behält den Status der Verbindung nicht bei und leitet die Pakete nur an die IDS-Server weiter, ohne sie zu verarbeiten. Die Ziel-IP-Adresse und der Port bleiben unverändert, da sich der virtuelle Server im MAC-Modus befindet.

So konfigurieren Sie eine Load Balancing-Methode und einen Umleitungsmodus für einen sitzungslosen virtuellen Server mithilfe der Befehlszeilenschnittstelle

Geben Sie an der Eingabeaufforderung Folgendes ein:

set lb vserver <vServerName> -lbMethod <LBMethodOption> -m <RedirectionMode> -sessionless <Value>
<!--NeedCopy-->

Beispiel:

set lb vserver Vserver-LB-1 -lbMethod SourceIPDestIPHash -m MAC -sessionless enabled
<!--NeedCopy-->

Hinweis:

Für einen Dienst, der an einen virtuellen Server gebunden ist, auf dem die Option -m MAC aktiviert ist, müssen Sie einen Nicht-Benutzermonitor binden.

So konfigurieren Sie eine Load Balancing-Methode und einen Umleitungsmodus für einen sitzungslosen virtuellen Server mithilfe des Konfigurationsdienstprogramms

  1. Navigieren Sie zu Traffic Management > Load Balancing > Virtuelle Server.
  2. Öffnen Sie einen virtuellen Server, und wählen Sie im Umleitungsmodus MAC-basiert aus.
  3. Klicken Sie unter Erweiterte Einstellungen auf Methoden, und wählen Sie SRCIPDESTIPHASH aus. Klicken Sie auf Verkehrseinstellungen, und wählen Sie Sitzungsloser Lastenausgleich aus.

So legen Sie einen Dienst zur Verwendung der Quell-IP-Adresse mithilfe der Befehlszeilenschnittstelle fest

Geben Sie an der Eingabeaufforderung Folgendes ein:

set service <ServiceName> -usip <Value>
<!--NeedCopy-->

Beispiel:

set service Service-ANY-1 -usip yes
<!--NeedCopy-->

So legen Sie einen Dienst zur Verwendung der Quell-IP-Adresse mit dem Konfigurationsdienstprogramm fest

  1. Navigieren Sie zu Traffic Management > Load Balancing > Dienste.
  2. Öffnen Sie einen Dienst, und wählen Sie unter Einstellungen Quell-IP-Adresse verwendenaus.

Damit USIP korrekt funktioniert, müssen Sie es global festlegen. Weitere Informationen zum globalen Konfigurieren von USIP finden Sie unter IP-Adressierung.

Anwendungsfall 10: Lastausgleich von Intrusion Detection Systemservern
August 19, 2021
Beitrag von: 
C
August 19, 2021
Beitrag von: 
C

In diesem Artikel

Feedback zur Site | Datenschutz und rechtliche Bestimmungen | Cookie-Einstellungen | Einstellungen für die Zustimmung
© 1999- Citrix Systems, Inc. All rights reserved.