Produktdokumentation
Citrix SD-WAN
Current Release 11.5 limited availability 11.3 11.2 11.1 11.0 10.2
PDF anzeigen

Bereitstellen von Appliances zur Verwendung mit Plug-Ins

October 28, 2021
Beitrag von: 
C

Die Clientbeschleunigung erfordert eine spezielle Konfiguration auf der WANOP Client-Plug-In-Appliance. Andere Überlegungen umfassen die Platzierung der Geräte. Plug-Ins werden typischerweise für VPN-Verbindungen eingesetzt.

Verwenden Sie nach Möglichkeit ein dediziertes Gerät

Der Versuch, dieselbe Appliance sowohl für die Plug-In-Beschleunigung als auch für die Verbindungsbeschleunigung zu verwenden, ist oft schwierig, da die beiden Anwendungen manchmal dazu führen, dass sich die Appliance an verschiedenen Stellen im Rechenzentrum befindet, und die beiden Anwendungen können unterschiedliche Regeln der Service-Klasse aufrufen.

Darüber hinaus kann eine einzelne Appliance als Endpunkt für die Plug-In-Beschleunigung oder als Endpunkt für die Standort-zu-Standort-Beschleunigung dienen, kann aber nicht beide Zwecke gleichzeitig für dieselbe Verbindung dienen. Wenn Sie eine Appliance sowohl für die Plug-In-Beschleunigung für Ihr VPN als auch für die Standort-zu-Standort-Beschleunigung auf ein Remote-Rechenzentrum verwenden, erhalten Plug-In-Benutzer daher keine Standort-zu-Standort-Beschleunigung. Die Schwere dieses Problems hängt davon ab, wie viele der von Plug-In-Benutzern verwendeten Daten von Remotesites stammen.

Da die Ressourcen einer dedizierten Appliance nicht zwischen Plug-In- und Standort-zu-Site-Anforderungen aufgeteilt sind, bieten sie jedem Plug-In-Benutzer mehr Ressourcen und damit eine höhere Leistung.

Verwenden Sie nach Möglichkeit den Inline-Modus

Eine Appliance sollte am selben Standort wie die VPN-Einheit bereitgestellt werden, die sie unterstützt. Typischerweise stehen die beiden Einheiten in einer Linie zueinander. Eine Inline-Bereitstellung bietet die einfachste Konfiguration, die meisten Funktionen und die höchste Leistung. Um beste Ergebnisse zu erzielen, sollte die Appliance direkt mit der VPN-Einheit in Einklang stehen.

Appliances können jedoch jeden Bereitstellungsmodus verwenden, mit Ausnahme des Gruppenmodus oder des Hochverfügbarkeitsmodus. Diese Modi eignen sich sowohl für die Beschleunigung von Gerät zu Gerät als auch für die Client-zu-Gerät-Beschleunigung. Sie können alleine (transparenter Modus) oder in Kombination mit dem Redirector-Modus verwendet werden.

Platzieren Sie die Geräte in einem sicheren Teil Ihres Netzwerks

Eine Appliance hängt genauso von Ihrer vorhandenen Sicherheitsinfrastruktur ab wie Ihre Server. Es sollte auf derselben Seite der Firewall (und der VPN-Einheit, falls verwendet) wie die Server platziert werden.

Vermeiden Sie NAT-Probleme

Network Address Translation (NAT) auf der Plug-In-Seite wird transparent behandelt und ist kein Problem. Auf der Geräteseite kann NAT problematisch sein. Wenden Sie die folgenden Richtlinien an, um eine reibungslose Bereitstellung zu gewährleisten:

  • Legen Sie die Appliance in denselben Adressraum wie die Server, damit alle Adressänderungen, die verwendet werden, um die Server zu erreichen, auch auf die Appliance angewendet werden.

  • Greifen Sie niemals mit einer Adresse auf die Appliance zu, die die Appliance nicht mit sich selbst verknüpft.

  • Die Appliance muss auf die Server zugreifen können, indem sie dieselben IP-Adressen verwenden, unter denen Plug-In-Benutzer auf dieselben Server zugreifen.

  • Kurz gesagt, wenden Sie NAT nicht auf die Adressen von Servern oder Appliances an.

Wählen Sie den Softboost-Modus

Wählen Sie auf der Seite Einstellungen konfigurieren: Bandbreitenmanagement den Softboost-Modus aus. Softboost ist die einzige Art der Beschleunigung, die mit dem WANOP Client Plug-In Plug-In unterstützt wird.

Definieren von Plug-In-Beschleunigungsregeln

Die Appliance führt eine Liste von Beschleunigungsregeln, die den Clients mitteilen, welcher Datenverkehr beschleunigt werden soll. Jede Regel gibt eine Adresse oder ein Subnetz und einen Portbereich an, den die Appliance beschleunigen kann.

Was beschleunigt werden soll-Die Wahl des zu beschleunigenden Datenverkehrs hängt von der Verwendung ab, für die die Appliance verwendet wird:

  • VPN-Beschleuniger - Wenn die Appliance als VPN-Beschleuniger verwendet wird und der gesamte VPN-Verkehr durch die Appliance fließt, sollte der gesamte TCP-Verkehr unabhängig vom Ziel beschleunigt werden.

  • Umleitungsmodus - Im Gegensatz zum transparenten Modus ist eine Appliance im Redirector-Modus ein expliziter Proxy, der dazu führt, dass das Plug-In seinen Datenverkehr an die Redirector-Modus-Appliance weiterleitet, selbst wenn dies nicht wünschenswert ist. Eine Beschleunigung kann kontraproduktiv sein, wenn der Client Datenverkehr an eine Appliance weiterleitet, die vom Server entfernt ist, insbesondere wenn diese “Dreiecksroute” eine langsame oder unzuverlässige Verbindung herstellt. Daher empfiehlt Citrix, Beschleunigungsregeln so zu konfigurieren, dass eine bestimmte Appliance nur ihre eigene Site beschleunigen kann.

  • Sonstige Verwendung - Wenn das Plug-In weder als VPN-Beschleuniger noch im Redirector-Modus verwendet wird, sollten die Beschleunigungsregeln Adressen enthalten, die remote zu den Benutzern und lokal in Rechenzentren sind.

Definieren Sie die Regeln - Definieren Sie Beschleunigungsregeln für die Appliance auf der Registerkarte Konfiguration: WANOP Client Plug-in: Beschleunigungsregeln.

Regeln werden in der Reihenfolge ausgewertet, und die Aktion (Beschleunigen oder Ausschließen) wird von der ersten Übereinstimmungsregel übernommen. Damit eine Verbindung beschleunigt werden kann, muss sie mit einer Beschleunigungsregel übereinstimmen.

Die Standardaktion besteht darin, nicht zu beschleunigen.

Abbildung 1. Festlegen von Beschleunigungsregeln

lokalisiertes Bild

  1. Auf der Registerkarte Konfiguration: WANOP Plug-In: Beschleunigungsregeln:

    • Fügen Sie eine beschleunigte Regel für jedes lokale LAN-Subnetz hinzu, das von der Appliance erreicht werden kann. Das heißt, klicken Sie auf Hinzufügen, wählen Sie Beschleunigenaus und geben Sie die Subnetz-IP-Adresse und -Maske ein.

    • Wiederholen Sie dies für jedes Subnetz, das lokal auf der Appliance ist.

  2. Wenn Sie einen Teil des eingeschlossenen Bereichs ausschließen müssen, fügen Sie eine Ausschlussregel hinzu und verschieben Sie sie über die allgemeinere Regel. Beispielsweise sieht 10.217.1.99 wie eine lokale Adresse aus. Wenn es sich tatsächlich um den lokalen Endpunkt einer VPN-Einheit handelt, erstellen Sie eine Ausschlussregel für sie in einer Zeile über der Beschleunigungsregel für 10.217.1.0/24.

  3. Wenn Sie die Beschleunigung nur für einen einzelnen Port verwenden möchten (nicht empfohlen), z. B. Port 80 für HTTP, ersetzen Sie das Platzhalterzeichen im Feld Ports durch die spezifische Portnummer. Sie können zusätzliche Ports unterstützen, indem Sie zusätzliche Regeln hinzufügen, eine pro Port.

  4. Im Allgemeinen sollten Sie enge Regeln (in der Regel Ausnahmen) vor allgemeinen Regeln auflisten.

  5. Klicken Sie auf Apply. Änderungen werden nicht gespeichert, wenn Sie von dieser Seite weg navigieren, bevor Sie sie anwenden.

IP-Port-Nutzung

Verwenden Sie die folgenden Richtlinien für die Verwendung von IP-Ports:

  • Ports, die für die Kommunikation mit dem WANOP Client Plug-in verwendet werden—Das Plug-in unterhält einen Dialog mit der Appliance über eine Signalverbindung, die standardmäßig auf Port 443 (HTTPS) liegt, was durch die meisten Firewalls zulässig ist.

  • Für die Kommunikation mit Servern verwendete Ports— Die Kommunikation zwischen dem WANOP Client Plug-in und der Appliance verwendet dieselben Ports, die der Client für die Kommunikation mit dem Server verwenden würde, wenn das Plug-in und die Appliance nicht vorhanden wären. Das heißt, wenn ein Client eine HTTP-Verbindung an Port 80 öffnet, stellt er über Port 80 eine Verbindung zur Appliance her. Die Appliance wiederum kontaktiert den Server über Port 80.

    Im Redirector-Modus wird nur der bekannte Port (d. h. der Zielport des TCP-SYN-Pakets) beibehalten. Der vergängliche Port ist nicht erhalten. Im transparenten Modus bleiben beide Anschlüsse erhalten.

    Die Appliance geht davon aus, dass sie an jedem vom Client angeforderten Port mit dem Server kommunizieren kann, und der Client geht davon aus, dass er an jedem gewünschten Port mit der Appliance kommunizieren kann. Dies funktioniert gut, wenn die Appliance denselben Firewall-Regeln unterliegt wie die Server. Wenn dies der Fall ist, gelingt jede Verbindung, die in einer direkten Verbindung erfolgreich wäre, in einer beschleunigten Verbindung.

Verwendung von TCP-Optionen und Firewalls

Die Parameter des WANOP Client-Plug-Ins werden in den TCP-Optionen gesendet. TCP-Optionen können in jedem Paket vorkommen und sind garantiert in den SYN- und SYN-ACK-Paketen vorhanden, die die Verbindung herstellen.

Ihre Firewall darf TCP-Optionen im Bereich von 24-31 (Dezimal) nicht blockieren, sonst kann keine Beschleunigung stattfinden. Die meisten Firewalls blockieren diese Optionen nicht. Eine Cisco PIX- oder ASA-Firewall mit Version 7.x-Firmware kann dies jedoch standardmäßig tun, und daher müssen Sie die Konfiguration anpassen.

Bereitstellen von Appliances zur Verwendung mit Plug-Ins
October 28, 2021
Beitrag von: 
C
October 28, 2021
Beitrag von: 
C

In diesem Artikel

Feedback zur Site | Datenschutz und rechtliche Bestimmungen | Cookie-Einstellungen | Einstellungen für die Zustimmung | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.