Produktdokumentation
Citrix Application Delivery Management
Current Release 13.0 12.1
PDF anzeigen

Aktivieren der Datensammlung für Citrix Gateway Geräte, die im Double-Hop-Modus bereitgestellt werden

February 9, 2022
Beitrag von: 
C

Der Doppel-Hop-Modus von Citrix Gateway bietet zusätzlichen Schutz für das interne Netzwerk einer Organisation, da ein Angreifer mehrere Sicherheitszonen oder entmilitarisierte Zonen (DMZ) durchdringen muss, um die Server im sicheren Netzwerk zu erreichen. Wenn Sie die Anzahl der Hops (Citrix Gateway Geräte) analysieren möchten, über die die ICA-Verbindungen weitergeleitet werden, sowie die Details zur Latenz für jede TCP-Verbindung und wie sie mit der gesamten ICA-Latenz verglichen wird, die vom Client wahrgenommen wird, müssen Sie Citrix ADM installieren, damit die Citrix Gateway-Geräte diese wichtigen Statistiken zu berichten.

Abbildung 3. Citrix ADM im Double-Hop-Modus bereitgestellt

Doppel-Hop-Modus

Citrix Gateway in der ersten DMZ verarbeitet Benutzerverbindungen und führt die Sicherheitsfunktionen eines SSL-VPN aus. Dieses Citrix Gateway verschlüsselt Benutzerverbindungen, bestimmt, wie die Benutzer authentifiziert werden, und steuert den Zugriff auf die Server im internen Netzwerk.

Das Citrix Gateway in der zweiten DMZ dient als Citrix Gateway Proxygerät. Dieses Citrix Gateway ermöglicht es dem ICA-Datenverkehr, die zweite DMZ zu durchqueren, um Benutzerverbindungen zur Serverfarm herzustellen.

Citrix ADM kann entweder im Subnetz des Citrix Gateway -Geräts in der ersten DMZ oder im Subnetz bereitgestellt werden, das zur zweiten DMZ des Citrix Gateway-Geräts gehört. Im obigen Bild werden Citrix ADM und Citrix Gateway in der ersten DMZ im selben Subnetz bereitgestellt.

Im Double-Hop-Modus sammelt Citrix ADM TCP-Datensätze von einer Appliance und ICA-Einträge von der anderen Appliance. Nachdem Sie die Citrix Gateway-Appliances zum Citrix ADM-Bestand hinzugefügt und die Datenerfassung aktiviert haben, exportiert jede Appliance die Berichte, indem sie die Hop-Anzahl und die Verbindungsketten-ID verfolgt.

Damit Citrix ADM identifiziert, welche Appliance Datensätze exportiert, wird jede Appliance mit einer Hop-Anzahl angegeben, und jede Verbindung wird mit einer Verbindungsketten-ID angegeben. Die Hop-Anzahl stellt die Anzahl der Citrix Gateway Geräte dar, über die der Datenverkehr von einem Client zu den Servern fließt. Die Verbindungsketten-ID stellt die End- zu-Endverbindungen zwischen Client und Server dar.

Citrix ADM verwendet die Hop-Anzahl und die Verbindungsketten-ID, um die Daten der beiden Citrix Gateway Geräte miteinander zu verknüpfen und die Berichte zu generieren.

Um Citrix Gateway Geräte zu überwachen, die in diesem Modus bereitgestellt werden, müssen Sie zuerst Citrix Gateway zur Citrix ADM Bestandsliste hinzufügen, AppFlow auf Citrix ADM aktivieren und dann die Berichte auf dem Citrix ADM-Dashboard anzeigen.

Aktivieren der Datenerfassung auf Citrix ADM

Wenn Sie Citrix ADM aktivieren, um die ICA-Details von beiden Appliances zu erfassen, sind die erfassten Details redundant. Das ist, dass beide Appliances die gleichen Metriken melden. Um diese Situation zu umgehen, müssen Sie AppFlow für TCP auf einem der ersten Citrix Gateway-Appliances und dann AppFlow für ICA auf dem zweiten Gerät aktivieren. Auf diese Weise exportiert eine der Appliances ICA-AppFlow Datensätze, und die andere Appliance exportiert TCP-AppFlow-Datensätze. Dies spart auch die Verarbeitungszeit beim Analysieren des ICA-Datenverkehrs.

So aktivieren Sie die AppFlow Funktion von Citrix ADM:

  1. Navigieren Sie zu Infrastruktur > Instanzenund wählen Sie die Citrix ADC-Instanz aus, die Sie Analytics aktivieren möchten.

  2. Wählen Sie in der Liste Aktion die Option Insight aktivieren/deaktivierenaus.

  3. Wählen Sie die virtuellen VPN-Server aus, und klicken Sie auf AppFlow aktivieren.

  4. Geben Sie im Feld Enable AppFlow den Wert true ein, und wählen Sie ICA/TCP für ICA-Verkehr einen TCP-Verkehr aus.

    Hinweis

    Wenn die AppFlow-Protokollierung für die Dienste oder Dienstgruppen auf der Citrix ADC Appliance nicht aktiviert ist, zeigt das Citrix ADM Dashboard die Datensätze nicht an, selbst wenn in der Spalte Insight Aktiviert angezeigt wird.

  5. Klicken Sie auf OK.

    AppFlow

Konfigurieren von Citrix Gateway-Appliances zum Expor

Nach der Installation der Citrix Gateway Geräte müssen Sie die folgenden Einstellungen auf den Citrix Gateway-Geräten konfigurieren, um die Berichte in Citrix ADM zu exportieren:

  • Konfigurieren Sie virtuelle Server der Citrix Gateway Geräte in der ersten und zweiten DMZ für die Kommunikation miteinander.

  • Binden Sie den virtuellen Citrix Gateway -Server in der zweiten DMZ an den virtuellen Citrix Gateway-Server in der ersten DMZ.

  • Aktivieren Sie den Double-Hop auf dem Citrix Gateway in der zweiten DMZ.

  • Deaktivieren Sie die Authentifizierung auf dem virtuellen Citrix Gateway -Server in der zweiten DMZ.

  • Aktivieren eines der Citrix Gateway Geräte zum Exportieren von ICA-Datensätzen

  • Aktivieren Sie das andere Citrix Gateway Gerät zum Exportieren von TCP-Datensätzen:

  • Aktivieren Sie die Verbindungsverkettung auf beiden Citrix Gateway Geräten.

Konfigurieren Sie Citrix Gateway mit der Befehlszeilenschnittstelle:

  1. Konfigurieren Sie den virtuellen Citrix Gateway -Server in der ersten DMZ für die Kommunikation mit dem virtuellen Citrix Gateway-Server in der zweiten DMZ.

    add vpn nextHopServer <name> <nextHopIP> <nextHopPort> \[-secure (ON OFF)] [-imgGifToPng] … 
    add vpn nextHopServer nh1 10.102.2.33 8443 –secure ON
<!--NeedCopy-->

  2. Binden Sie den virtuellen Citrix Gateway -Server in der zweiten DMZ an den virtuellen Citrix Gateway-Server in der ersten DMZ. Führen Sie den folgenden Befehl auf dem Citrix Gateway in der ersten DMZ aus:

    bind vpn vserver <name> **-nextHopServer** <name>

    bind vpn vserver vs1 -nextHopServer nh1
<!--NeedCopy-->

  3. Aktivieren Sie Double-Hop und AppFlow auf dem Citrix Gateway in der zweiten DMZ.

    set vpn vserver <name> \[- doubleHop ( ENABLED DISABLED )] [- appflowLog ( ENABLED DISABLED )] 
    set vpn vserver vpnhop2 –doubleHop ENABLED –appFlowLog ENABLED
<!--NeedCopy-->

  4. Deaktivieren Sie die Authentifizierung auf dem virtuellen Citrix Gateway -Server in der zweiten DMZ.

    set vpn vserver<name> \[-authentication (ON OFF)] 
    set vpn vserver vs -authentication OFF
<!--NeedCopy-->

  5. Aktivieren Sie eines der Citrix Gateway Geräte zum Exportieren von TCP-Datensätzen.

    bind vpn vserver<name> \[-policy <string> -priority <positive_integer>] [-type <type>\]

    bind vpn vserver vpn1 -policy appflowpol1 -priority 101 –type OTHERTCP_REQUEST
<!--NeedCopy-->

  6. Aktivieren Sie das andere Citrix Gateway Gerät zum Exportieren von ICA-Datensätzen:

    bind vpn vserver<name> \[-policy <string> -priority <positive_integer>] [-type <type>\]

    bind vpn vserver vpn2 -policy appflowpol1 -priority 101 -type ICA_REQUEST
<!--NeedCopy-->

  7. Aktivieren Sie die Verbindungsverkettung auf beiden Citrix Gateway Geräten:

    set appFlow param [-connectionChaining (ENABLED DISABLED)] 
    set appflow param -connectionChaining ENABLED
<!--NeedCopy-->

Konfigurieren von Citrix Gateway mit dem Konfigurationsprogramm:

  1. Konfigurieren Sie das Citrix Gateway in der ersten DMZ für die Kommunikation mit dem Citrix Gateway in der zweiten DMZ, und binden Sie das Citrix Gateway in der zweiten DMZ an das Citrix Gateway in der ersten DMZ.

    1. Erweitern Sie auf der RegisterkarteKonfiguration die Option Citrix Gateway und klicken Sie auf Virtuelle Server.

    2. Doppelklicken Sie im rechten Bereich auf den virtuellen Server, und erweitern Sie in der Gruppe “Erweitert” die Option Published Applications.

    3. Klicken Sie aufNext Hop Server, und binden Sie einen nächsten Hop-Server an das zweite Citrix Gateway Gerät.

  2. Aktivieren Sie den Double-Hop auf dem Citrix Gateway in der zweiten DMZ.

    1. Erweitern Sie auf der RegisterkarteKonfiguration die Option Citrix Gateway und klicken Sie auf Virtuelle Server.

    2. Doppelklicken Sie im rechten Bereich auf den virtuellen Server, und klicken Sie in der GruppeGrundeinstellungen auf das Symbol Bearbeiten.

    3. Erweitern Sie More, wählen Sie Double Hop, und klicken Sie aufOK.

  3. Deaktivieren Sie die Authentifizierung auf dem virtuellen Server auf dem Citrix Gateway in der zweiten DMZ.

    1. Erweitern Sie auf der RegisterkarteKonfiguration die Option Citrix Gateway und klicken Sie auf Virtuelle Server.

    2. Doppelklicken Sie im rechten Bereich auf den virtuellen Server, und klicken Sie in der GruppeGrundeinstellungen auf das Symbol Bearbeiten.

    3. Erweitern SieMehr, und deaktivieren Sie Authentifizierung aktivieren.

  4. Aktivieren Sie eines der Citrix Gateway Geräte zum Exportieren von TCP-Datensätzen.

    1. Erweitern Sie auf der RegisterkarteKonfiguration die Option Citrix Gateway und klicken Sie auf Virtuelle Server.

    2. Doppelklicken Sie im rechten Bereich auf den virtuellen Server, und erweitern Sie in der Gruppe Erweitert die Option Richtlinien.

    3. Klicken Sie auf das Symbol +, undwählen Sie in der Liste Choose policy die OptionAppFlowaus, undwählen Sie in der Dropdownliste Typauswählen die OptionAndere TCP-Anforderungaus.

    4. Klicken Sie auf Weiter.

    5. Fügen Sie eine Richtlinienbindung hinzu, und klicken Sie auf Schließen.

  5. Aktivieren Sie das andere Citrix Gateway Gerät zum Exportieren von ICA-Datensätzen:

    1. Erweitern Sie auf der RegisterkarteKonfiguration die Option Citrix Gateway und klicken Sie auf Virtuelle Server.

    2. Doppelklicken Sie im rechten Bereich auf den virtuellen Server, und erweitern Sie in der GruppeErweitert die OptionRichtlinien.

    3. Klicken Sie auf das Symbol + und wählen Sie in der Dropdownliste Richtlinie auswählen die Option AppFlow aus, und wählen Sie in der Dropdownliste “Typ wählen” die Option Andere TCP-Anforderung aus.

    4. Klicken Sie auf Weiter.

    5. Fügen Sie eine Richtlinienbindung hinzu, und klicken Sie auf Schließen.

  6. Aktivieren Sie die Verbindungsverkettung auf beiden Citrix Gateway Geräten.

    1. Navigieren Sie auf der RegisterkarteKonfiguration zu System > Appflow.

    2. Klicken Sie im rechten Bereich in der GruppeEinstellungen auf Appflow-Einstellungen ändern.

    3. Wählen Sie Verbindungsverkettung aus, und klicken Sie auf OK.

Aktivieren der Datensammlung für Citrix Gateway Geräte, die im Double-Hop-Modus bereitgestellt werden
February 9, 2022
Beitrag von: 
C
February 9, 2022
Beitrag von: 
C

In diesem Artikel

Feedback zur Site | Datenschutz und rechtliche Bestimmungen | Cookie-Einstellungen | Einstellungen für die Zustimmung
© 1999- Cloud Software Group, Inc. All rights reserved.