Citrix ADC

Configurar particiones de administrador

Importante

  • Solo los superusuarios están autorizados a crear y configurar particiones de administración.
  • A menos que se especifique lo contrario, las configuraciones para configurar una partición admin deben realizarse desde la partición predeterminada.

Al particionar un dispositivo Citrix ADC, está creando varias instancias de un único dispositivo Citrix ADC. Cada instancia tiene sus propias configuraciones y el tráfico de cada una de estas particiones se aísla de la otra asignando a cada partición una VLAN dedicada o una VLAN compartida.

Un Citrix ADC particionado tiene una partición predeterminada y las particiones de administrador que se crean. Para configurar una partición de administrador, primero debe crear una partición con los recursos relevantes (memoria, ancho de banda máximo y conexiones). A continuación, especifique los usuarios que pueden acceder a la partición y el nivel de autorización para cada uno de los usuarios de la partición.

El acceso a un Citrix ADC particionado es lo mismo que acceder a un Citrix ADC no particionado: A través de la dirección NSIP o cualquier otra dirección IP de administración. Como usuario, después de proporcionar sus credenciales de inicio de sesión válidas, se le lleva a la partición a la que está vinculado. Las configuraciones que cree se guardan en esa partición. Si está asociado a más de una partición, se le lleva a la primera partición con la que se asoció. Si quiere configurar entidades en una de sus otras particiones, debe cambiar explícitamente a esa partición.

Después de acceder a la partición adecuada, las configuraciones que realice se guardan en esa partición y son específicas de esa partición.

Nota

  • Los superusuarios de Citrix ADC y otros usuarios que no son particiones se llevan a la partición predeterminada.
  • Los usuarios de todas las 512 particiones pueden iniciar sesión simultáneamente.

Sugerencia

Para acceder a un dispositivo Citrix ADC particionado a través de HTTPS mediante el SNIP (con acceso de administración habilitado), asegúrese de que cada partición tiene el certificado de su administrador de particiones. Dentro de la partición, el administrador de particiones debe hacer lo siguiente:

  1. Agregue el certificado al Citrix ADC.

    add ssl CertKey ns-server-certificate -cert ns-server.cert -key ns-server.key

  2. Vincúlelo a un servicio llamadonskrpcs-<SNIP>-3009, donde<SNIP>debe reemplazarse con la dirección SNIP, en este caso 100.10.10.1.

    • bind ssl service nskrpcs-100.10.10.1-3009
    • certkeyName** ns-server-certificate

Limitación de recursos de partición

En un dispositivo Citrix ADC con particiones, un administrador de red puede crear una partición con recursos de partición como memoria, ancho de banda y límite de conexión configurados como ilimitados. Esto se hace especificando Zero como valor de recurso de partición, donde Zero indica que el recurso es ilimitado en la partición y se puede consumir hasta los límites del sistema. La configuración de recursos de partición es útil cuando migra una implementación de dominio de tráfico a una partición administrativa o si no conoce el límite de asignación de recursos para una partición en una implementación determinada.

El límite de recursos para una partición administrativa es el siguiente:

  1. Memoria de partición. Esta es la memoria máxima asignada para una partición. Debe asegurarse de especificar los valores al crear una partición.

    Nota

    A partir de NetScaler 12.0, al crear una partición, puede establecer el límite de memoria en Zero. Si ya se ha creado una partición con un límite de memoria específico, puede reducir el límite a cualquier valor o establecer el límite como Cero.

    Parámetro: MaxMemLimit

    La memoria máxima se asigna en megabytes en una partición. Un valor cero indica que la memoria es ilimitada en la partición y puede consumir hasta los límites del sistema.

    Valor predeterminado: 10

  2. Ancho de banda de partición. Ancho de banda máximo asignado para una partición. Si especifica un límite, asegúrese de que esté dentro del rendimiento con licencia del dispositivo. De lo contrario, no está limitando el ancho de banda que puede utilizar la partición. El límite especificado es responsable del ancho de banda que requiere la aplicación. Si el ancho de banda de la aplicación supera el límite especificado, los paquetes se descartan.

    Nota

    A partir de NetScaler 12.0, cuando puede crear una partición, puede establecer el límite de ancho de banda de partición en Zero. Si ya se ha creado una partición con un ancho de banda específico, puede reducir el ancho de banda o establecer el límite como Cero.

    Parámetro: MaxBandwidth

    El ancho de banda máximo se asigna en Kbps en una partición. Un valor cero indica que el ancho de banda no está restringido. Es decir, la partición puede consumir hasta los límites del sistema.

    Valor predeterminado: 10240

    Valor máximo: 4294967295

  3. Conexión de partición. Número máximo de conexiones simultáneas que se pueden abrir en una partición. El valor debe acomodar el flujo simultáneo máximo esperado dentro de la partición. Las conexiones de partición se contabilizan desde la memoria de cuota de partición. Anteriormente, las conexiones se contabilizaban desde la memoria de cuota de partición predeterminada. Está configurado solo en el lado del cliente, no en las conexiones TCP del lado del servidor back-end. No se pueden establecer nuevas conexiones más allá de este valor configurado.

    Nota

    A partir de NetScaler 12.0, puede crear una partición con el número de conexiones abiertas establecido en Zero. Si ya ha creado una partición con un número específico de conexiones abiertas, puede reducir el límite de conexión o establecer el límite como Cero.

    Parámetro: MaxConnections

    Número máximo de conexiones simultáneas que se pueden abrir en la partición. Un valor cero indica que no hay límite en el número de conexiones abiertas.

    Valor predeterminado: 1024

    Valor mínimo: 0

    Valor máximo: 4294967295

Configurar una partición de administrador

Para configurar una partición de administrador, complete las siguientes tareas.

Acceder a una partición de administrador

Para acceder en una partición de administración mediante la interfaz de línea de comandos

  1. Inicie sesión en el dispositivo Citrix ADC.
  2. Compruebe si está en la partición correcta. El símbolo del sistema muestra el nombre de la partición seleccionada actualmente.
  3. En caso afirmativo, vaya al siguiente paso.
  4. Si no, obtenga una lista de las particiones con las que está asociado y cambie a la partición adecuada.

    • show system user <username>
    • switch ns partition <partitionName>
  5. Ahora, puede realizar las configuraciones necesarias al igual que un Citrix ADC no particionado.

Para acceder a una partición de administración mediante la utilidad de configuración

  1. Inicie sesión en el dispositivo Citrix ADC.

  2. Compruebe si está en la partición correcta. La barra superior de la interfaz gráfica de usuario muestra el nombre de la partición seleccionada actualmente.

    • En caso afirmativo, vaya al siguiente paso.

    • Si no, vaya a Configuración > Sistema > Particiones administrativas > Particiones, haga clic con el botón derecho en la partición a la que quiere cambiar y seleccione Cambiar.

  3. Ahora, puede realizar las configuraciones necesarias al igual que un Citrix ADC no particionado.

Agregar una partición de administrador

El administrador raíz agrega una partición administrativa de la partición predeterminada y la vincula con VLAN 2.

Para crear una partición administrativa mediante la interfaz**de línea de comandos

En el símbolo del sistema, escriba:

<partitionname>agregar partición

Cambiar el acceso de usuario de la partición predeterminada a una partición de administrador

Ahora cambie el acceso de usuario de la partición predeterminada a la partición Par1.

Para cambiar una cuenta de usuario de una partición predeterminada a una partición de administración mediante la interfaz de línea de comandos:

En el símbolo del sistema, escriba:

<pname>Partición ns del switch

Agregar dirección SNIP a una cuenta de usuario de partición con acceso de administración habilitado

En la partición, cree una dirección SNIP con acceso de administración habilitado.

Para agregar la dirección SNIP a la cuenta de usuario de partición con acceso de administración habilitado mediante la interfaz de línea de comandos:

En el símbolo del sistema, escriba:

> add ns ip <ip address> <subnet mask> -mgmtAccess enabled

Crear y enlazar un usuario de partición con la directiva de comandos de partición

En la partición, cree un usuario del sistema de particiones y vincule al usuario con directivas de comando partition-admin.

Para crear y enlazar un usuario del sistema de particiones con la directiva de comandos de partición mediante la interfaz de línea de comandos:

En el símbolo del sistema, escriba:

> add system user <username> <password> Completado

Crear y vincular un grupo de usuarios de partición con directiva de comandos de partición

En Partition Par1, cree un grupo de usuarios del sistema de particiones y vincule el grupo con la directiva de comandos de partición, como partition admin, partition read-only, partition-operator o partition-network.

Para crear y enlazar un grupo de usuarios de partición con la directiva de comandos de partición mediante la interfaz de línea de comandos:

> add system group <groupName>
> bind system group <groupname> (-userName | -policyName <cmdpolicy> <priority> | -partitionName)

Configuración de la autenticación del servidor externo para usuarios externos

En la partición Par1 puede configurar una autenticación de servidor externo para autenticar usuarios externos de TACACS que acceden a la partición a través de la dirección SNIP.

Para configurar la autenticación de servidor externo para usuarios externos mediante la interfaz de línea de comandos:

En el símbolo del sistema, escriba:

> add authentication tacacsaction <name> -serverip <IP> -tacacsSecret <secret key> -authorization ON -accounting ON
> add authentication policy <policname> -rule true -action <name>
> bind system global <policyname> -priority <value>1

Configurar cuentas de usuario del sistema de particiones en una partición mediante la interfaz gráfica de usuario

Para configurar una cuenta de usuario de partición en una partición administrativa, debe crear un usuario de partición o un grupo de usuarios de partición y vincularlo a las directivas de comando de partición. Además, puede configurar la autenticación del servidor externo para un usuario externo.

Para crear una cuenta de usuario de partición en una partición mediante la interfaz gráfica de usuario

Desplácese hasta Sistema > Administraciónde usuarios, haga clic en Usuariospara agregar un usuario del sistema de particiones y enlazar el usuario a las directivas de comando (partitionadmin/partitionread-only/partition-operator/partition-network).

Para crear una cuenta de grupo de usuarios de partición en una partición mediante la interfaz gráfica de usuario

Desplácese hasta Sistema > Administración de usuarios, haga clic en Grupospara agregar un grupo de usuarios del sistema de particiones y enlazar el grupo de usuarios a las directivas de comando (partitionadmin/partitionread-only/partition-operator/partition-network).

Para configurar la autenticación de servidor externo para usuarios externos mediante la interfaz gráfica de usuario

Vaya a Sistema > Autenticación > Acciones básicas y haga clic en TACACS para configurar el servidor TACACS para autenticar usuarios externos que acceden a la partición.

Configuración de ejemplo

La siguiente configuración muestra cómo crear un usuario de partición o un grupo de usuarios de partición y vincularlo a las directivas de comando de partición. Además, cómo configurar la autenticación del servidor externo para autenticar a un usuario externo.

> add partition Par1
> switch partición ns Par1
> add ns ip 10.102.29.203 255.255.255.0 -mgmtAccessenabled
> add system user John Password
> bind system user Jane partition-read-only -priority 1
> add system group Retail
> bind system group Retail -policyname partition-network 1 (where 1 is the priority number)
> bind system group Retail –username Jane
> add authentication tacacssaction tacuser –serverip 10.102.29.200 –tacacsSecret Password –authorization ON –accounting ON
> add authentication policy polname –rule true –action tacacsAction
> bind system global polname –priority 1

Directivas de comando para una partición Usuarios y grupos de usuarios de partición en partición administrativa

Comandos para autorizar una cuenta de usuario dentro de la partición administrativa Directivas de comando disponibles dentro de una partición administrativa (directivas integradas) Tipo de acceso de cuenta de usuario
agregar usuario del sistema Partition-admin SNIP (con acceso de administración habilitado)
agregar grupo de sistema Partición-red SNIP (con acceso de administración habilitado)
agregar autenticación<action, policy>, enlazar el sistema global<policy name> Partición-solo lectura SNIP (con acceso de administración habilitado)
quitar usuario del sistema Partition-admin SNIP (con acceso de administración habilitado)
eliminar grupo de sistema Partition-admin SNIP (con acceso de administración habilitado)
enlazar cmdpolicy del sistema al usuario del sistema; enlazar cmdpolicy del sistema al grupo del sistema Partition-admin SNIP (con acceso de administración habilitado)

Configurar un canal Ethernet LACP en la partición de administración predeterminada

Con el Protocolo de control de agregación de enlaces (LACP), puede combinar varios puertos en un único enlace de alta velocidad (también denominado canal). Un dispositivo habilitado para LACP intercambia unidades de datos LACP (LACPDU) a través del canal.

Existen tres modos de configuración LACP que puede habilitar en la partición predeterminada de un dispositivo Citrix ADC:

  1. Activa. Un puerto en modo activo envía LACPDU. La agregación de enlaces se forma si el otro extremo del enlace Ethernet está en el modo activo o pasivo LACP.
  2. Pasivo. Un puerto en modo pasivo envía LACPDU solo cuando recibe LACPDU. La agregación de enlaces se forma si el otro extremo del enlace Ethernet está en el modo activo LACP.
  3. Inhabilitar: No se forma la agregación de enlaces.

Nota

De forma predeterminada, la agregación de vínculos está inhabilitada en la partición predeterminada del dispositivo.

LACP intercambia LACPDU entre dispositivos conectados por un enlace Ethernet. Estos dispositivos suelen denominarse actor o socio.

Una unidad de datos LACPDU contiene los siguientes parámetros:

  • Modo LACP. Activo, pasivo o desactivado.
  • Tiempo de espera de LACP. El período de espera antes de cronometrar el socio o actor. Valores posibles: Largo y Corto. Valor predeterminado: Long.
  • Clave de puerto. Para distinguir entre el canal diferente. Cuando la clave es 1, se crea LA/1. Cuando la clave es 2, se crea LA/2. Valores posibles: Integer del 1 al 8. 4 al 8 es para el clúster CLAG.
  • Prioridad de puerto. Valor mínimo: 1. Valor máximo: 65535. Valor predeterminado: 32768.
  • Prioridad del sistema. Utiliza esta prioridad junto con el MAC del sistema para formar el ID del sistema para identificar de forma única el sistema durante la negociación LACP con el asociado. Establece la prioridad del sistema de 1 y 65535. El valor predeterminado se establece en 32768.
  • de gestión. Admite 8 interfaces por canal en el dispositivo NetScaler 10.1 y admite 16 interfaces por canal en los dispositivos NetScaler 10.5 y 11.0.

Después de intercambiar LACPDU, el actor y el socio negocian la configuración y deciden si agregar los puertos a la agregación.

Configurar y verificar LACP

Para configurar y verificar LACP en un dispositivo Citrix ADC mediante la línea de comandos

  1. Habilite LACP en cada interfaz.

    En el símbolo del sistema, escriba:

    set interface <Interface_ID> -lacpMode PASSIVE -lacpKey 1

    Cuando habilita LACP en una interfaz, los canales se crean dinámicamente. Además, cuando habilita LACP en una interfaz y establece LACPKey en 1, la interfaz se vincula automáticamente al canal LA/1.

    Nota

    Cuando vincula una interfaz a un canal, los parámetros del canal tienen prioridad sobre los parámetros de la interfaz, por lo que se ignoran los parámetros de la interfaz. Si LACP creó un canal dinámicamente, no podrá realizar operaciones de adición, enlace, desenlace o eliminación en el canal. Un canal creado dinámicamente por LACP se elimina automáticamente cuando inhabilita LACP en todas las interfaces del canal.

  2. Establezca la prioridad del sistema.

    En el símbolo del sistema, escriba:

    set lacp -sysPriority <Positive_Integer>

  3. Compruebe que LACP funciona como se esperaba.

    show interface <Interface_ID>

    show channel

    show LACP

    Nota

    En algunas versiones de Cisco IOS, la ejecución del <VLAN_ID> comando switchport trunk native vlan hace que el switch Cisco etiqueta PDU LACP. Esto hace que falle el canal LACP entre el conmutador Cisco y el dispositivo Citrix ADC. Sin embargo, este problema no afecta a los canales de agregación de enlaces estáticos configurados en el procedimiento anterior.

Guardar la configuración de todas las particiones administrativas de la partición predeterminada

Los administradores ahora pueden guardar la configuración de todas las particiones admin a la vez desde la partición predeterminada.

Para guardar todas las particiones de administración de la partición predeterminada mediante la CLI

En el símbolo del sistema, escriba:

save ns config -all

Compatibilidad con informes personalizados basados en particiones y clústeres

La GUI de Citrix ADC muestra ahora solo los informes personalizados creados en la partición de visualización actual o en el clúster.

Anteriormente, la GUI de Citrix ADC solía almacenar los nombres de los informes personalizados directamente en el archivo back-end sin mencionar el nombre de partición o clúster que se quiere diferenciar.

Para ver los informes personalizados de la partición o clúster actual en la GUI

  • Acceda a la ficha Informes.

  • Haga clic en Informes personalizados para ver los informes creados en la partición actual o en el clúster.

Soporte para enlazar certificados globales de VPN en una configuración particionada para el IdP de OAuth

En una configuración con particiones, ahora puede vincular los certificados a VPN global para implementaciones de IdP de OAuth.

Para enlazar los certificados en Configuración con particiones mediante la CLI

En el símbolo del sistema, escriba:

bind vpn global [-CertKeyName <string>] [-UserDataEncryptionKey <string>]