Citrix ADC

CloudBridge-Connector

August 19, 2021

Beigesteuert von:

Hinweis: Die aktuelle Version von Citrix ADC 1000V unterstützt diese Funktion nicht.

Die CloudBridge Connector-Funktion der Citrix ADC Appliance verbindet Rechenzentren von Unternehmen mit externen Clouds und Hosting-Umgebungen und macht die Cloud zu einer sicheren Erweiterung Ihres Unternehmensnetzwerks. Cloud-gehostete Anwendungen werden so angezeigt, als ob sie in einem zusammenhängenden Unternehmensnetzwerk ausgeführt würden. Mit Citrix CloudBridge Connector können Sie Ihre Rechenzentren um die Kapazität und Effizienz von Cloud-Anbietern erweitern.

Mit dem CloudBridge Connector können Sie Ihre Anwendungen in die Cloud verschieben, um Kosten zu senken und die Zuverlässigkeit zu erhöhen.

Zusätzlich zur Verwendung von CloudBridge Connector zwischen einem Rechenzentrum und einer Cloud können Sie damit zwei Rechenzentren für eine sichere und beschleunigte Verbindung mit hoher Kapazität verbinden.

Grundlegendes zu CloudBridge Connector

Um die Citrix CloudBridge Connector-Lösung zu implementieren, verbinden Sie ein Datencenter mit einem anderen Datencenter oder einer externen Cloud, indem Sie einen Tunnel namens CloudBridge Connector-Tunnel einrichten.

Um ein Datencenter mit einem anderen Datencenter zu verbinden, richten Sie einen CloudBridge Connector-Tunnel zwischen zwei Citrix ADC Appliances ein, eine in jedem Rechenzentrum.

Um ein Rechenzentrum mit einer externen Cloud (z. B. Amazon AWS-Cloud) zu verbinden, richten Sie einen CloudBridge Connector-Tunnel zwischen einer Citrix ADC Appliance im Rechenzentrum und einer virtuellen Appliance (VPX) ein, die sich in der Cloud befindet. Der Remote-Endpunkt kann ein CloudBridge Connector oder ein Citrix ADC VPX mit Premium-Lizenz sein.

Die folgende Abbildung zeigt einen CloudBridge Connector-Tunnel, der zwischen einem Rechenzentrum und einer externen Cloud eingerichtet wurde. lokalisierte Grafik

Die Appliances, zwischen denen ein CloudBridge Connector-Tunnel eingerichtet ist, werden als Endpunkte oder Peers des CloudBridge Connector-Tunnels bezeichnet.

Ein CloudBridge Connector-Tunnel verwendet die folgenden Protokolle:

Generisches Routing Encapsulation (GRE) -Protokoll
Open-Standard-IPsec-Protokoll-Suite, im Transportmodus

Das GRE-Protokoll bietet einen Mechanismus zum Einkapseln von Paketen aus einer Vielzahl von Netzwerkprotokollen, die über ein anderes Protokoll weitergeleitet werden. GRE wird verwendet, um:

Verbinden Sie Netzwerke mit Nicht-IP- und nicht-routingfähigen Protokollen.
Brücke über ein WAN (Wide Area Network).
Erstellen Sie einen Transporttunnel für jede Art von Datenverkehr, der unverändert über ein anderes Netzwerk gesendet werden muss.

Das GRE-Protokoll kapselt Pakete, indem ein GRE-Header und ein GRE-IP-Header zu den Paketen hinzugefügt wird.

Die IPsec-Protokollsuite (Internet Protocol Security) sichert die Kommunikation zwischen Peers im CloudBridge Connector-Tunnel.

In einem CloudBridge Connector-Tunnel stellt IPsec Folgendes sicher:

Datenintegrität
Datenursprungauthentifizierung
Datenvertraulichkeit (Verschlüsselung)
Schutz vor Replay-Angriffen

IPsec verwendet den Transportmodus, in dem das gekapselte GRE-Paket verschlüsselt ist. Die Verschlüsselung erfolgt durch das ESP-Protokoll (Encapsulating Security Payload). Das ESP-Protokoll stellt die Integrität des Pakets mithilfe einer HMAC-Hash-Funktion sicher und gewährleistet die Vertraulichkeit mithilfe eines Verschlüsselungsalgorithmus. Nachdem das Paket verschlüsselt und der HMAC berechnet wurde, wird ein ESP-Header generiert. Der ESP-Header wird nach dem GRE-IP-Header eingefügt und am Ende der verschlüsselten Nutzlast wird ein ESP-Trailer eingefügt.

Peers im CloudBridge Connector-Tunnel verwenden das IKE-Protokoll (Internet Key Exchange Version) (Teil der IPsec-Protokollsuite), um eine sichere Kommunikation auszuhandeln, wie folgt:

Die beiden Peers authentifizieren sich gegenseitig mit einer der folgenden Authentifizierungsmethoden:
- Authentifizierung mit vorab freigegebenen Schlüsseln. Eine Textzeichenfolge, die als Pre-Shared Key bezeichnet wird, wird auf jedem Peer manuell konfiguriert. Die vorab geteilten Schlüssel der Peers werden zur Authentifizierung gegeneinander zugeordnet. Damit die Authentifizierung erfolgreich ist, müssen Sie daher den gleichen vorab freigegebenen Schlüssel auf jedem Peers konfigurieren.
- Digitale Zertifikatauthentifizierung. Der Initiator (Absender) Peer signiert Nachrichtenaustauschdaten mithilfe seines privaten Schlüssels, und der andere Empfängerpeer verwendet den öffentlichen Schlüssel des Absenders, um die Signatur zu überprüfen. Normalerweise wird der öffentliche Schlüssel in Nachrichten ausgetauscht, die ein X.509v3-Zertifikat enthalten. Dieses Zertifikat bietet eine Sicherheitsstufe, dass die Identität eines Peers, wie im Zertifikat dargestellt, einem bestimmten öffentlichen Schlüssel zugeordnet ist.
Die Kollegen verhandeln dann, um eine Einigung zu erzielen über:
- Ein Verschlüsselungsalgorithmus.
- Kryptografische Schlüssel zum Verschlüsseln von Daten in einem Peer und zum Entschlüsseln der Daten in der anderen.

Diese Vereinbarung über das Sicherheitsprotokoll, den Verschlüsselungsalgorithmus und die kryptografischen Schlüssel wird als Security Association (SA) bezeichnet. SAs sind einseitig (Simplex). Wenn beispielsweise zwei Peers, CB1 und CB2, über einen Connector-Tunnel kommunizieren, verfügt CB1 über zwei Sicherheitszuordnungen. Eine SA wird für die Verarbeitung ausgehender Pakete verwendet, und die andere SA wird für die Verarbeitung eingehender Pakete verwendet.

SAs verfallen nach einer bestimmten Zeitspanne, die als Lebensdauerbezeichnet wird. Die beiden Peers verwenden das IKE-Protokoll (Internet Key Exchange) (Teil der IPsec-Protokollsuite), um neue kryptografische Schlüssel auszuhandeln und neue SAs einzurichten. Der Zweck der begrenzten Lebensdauer ist es, Angreifer daran zu hindern, einen Schlüssel zu knacken.

In der folgenden Tabelle sind einige IPsec-Vorteile aufgeführt, die von einer Citrix ADC Appliance unterstützt werden:

IPsec-Eigenschaften	Unterstützte Typen
IKE-Versionen	V1, V2
IKE DH-Gruppe	Eine Citrix ADC Appliance unterstützt nur die DH-Gruppe 2 (1024-Bit-MODP-Algorithmus) sowohl für iKEV1 als auch für iKEv2.
IKE-Authentifizierungsmethoden	Authentifizierung mit vordefinierten Schlüsseln, Digitale Zertifikatauthentifizierung
Verschlüsselungsalgorithmus	AES (128 Bit), AES 256 (256 Bit), 3DES
Hash-Algorithmus	HMAC SHA1, HMAC SHA256, HMAC SHA384, HMAC SHA512, HMAC MD5

Die offizielle Version dieses Inhalts ist auf Englisch. Für den einfachen Einstieg wird Teil des Inhalts der Citrix Dokumentation maschinell übersetzt. Citrix hat keine Kontrolle über maschinell übersetzte Inhalte, die Fehler, Ungenauigkeiten oder eine ungeeignete Sprache enthalten können. Es wird keine Garantie, weder ausdrücklich noch stillschweigend, für die Genauigkeit, Zuverlässigkeit, Eignung oder Richtigkeit von Übersetzungen aus dem englischen Original in eine andere Sprache oder für die Konformität Ihres Citrix Produkts oder Ihres Diensts mit maschinell übersetzten Inhalten gegeben, und jegliche Garantie, die im Rahmen der anwendbaren Endbenutzer-Lizenzvereinbarung oder der Vertragsbedingungen oder einer anderen Vereinbarung mit Citrix gegeben wird, dass das Produkt oder den Dienst mit der Dokumentation übereinstimmt, gilt nicht in dem Umfang, in dem diese Dokumentation maschinell übersetzt wurde. Citrix kann nicht für Schäden oder Probleme verantwortlich gemacht werden, die durch die Verwendung maschinell übersetzter Inhalte entstehen können.

CloudBridge-Connector

August 19, 2021

Beigesteuert von:

August 19, 2021

Beigesteuert von:

In diesem Artikel

Grundlegendes zu CloudBridge Connector