Citrix ADC

Cómo registrar un seguimiento de paquetes en Citrix ADC

En este artículo de solución de problemas se explica cómo un administrador puede registrar un seguimiento de paquetes de red mediante la GUI de Citrix ADC.

Puntos que tener en cuenta

  • Citrix recomienda usar la versión reciente de Wireshark de la “sección de compilación automatizada” disponible en la siguiente página web:http://www.wireshark.org/download/automated.

  • En Citrix ADC versión 10.5 o posterior, para descifrar la captura y garantizar ECC (Criptografía de curva elíptica), los parámetros de Reutilización de sesión y DH se inhabilitan del servidor virtual antes de capturar el seguimiento.

Registro de seguimiento de paquetes en NetScaler versión 11.1

  1. Acceda a la página Sistema > Diagnósticos.
  2. haga clic en el enlace Iniciar nuevo seguimiento en la página Diagnóstico, como se muestra en la siguiente captura de pantalla.

    Acceder a la página Diagnóstico

  3. Actualice el tamaño del paquete a 0 en el campo Tamaño del paquete.

    Tamaño del paquete

  4. Haga clic en Inicio para iniciar el registro del seguimiento del paquete de red.
  5. Haga clic en Detener y descargar para detener la grabación del seguimiento del paquete de red una vez finalizada la prueba.

    Detener y descargar seguimiento

  6. Seleccione el archivo requerido y haga clic en Seleccionar y haga clic en Descargar.

    Descargar seguimiento de paquetes

  7. Abra el archivo de seguimiento de paquetes de red con la utilidad Wireshark para mostrar el contenido del archivo.

Registro de seguimiento de paquetes en el dispositivo NetScaler 10.5

  1. Acceda a la página Sistema > Diagnósticos.

    Página de diagnóstico de acceso

  2. Haga clic en el vínculo Iniciar nuevo seguimiento en Herramientas de soporte técnicos como se muestra en la siguiente captura de pantalla.
  3. Actualice el tamaño del paquete a 0 en el campo Tamaño del paquete.

    Tamaño del paquete

    Nota: Si no son necesarios los encabezados del dispositivo, seleccione Capturar seguimiento en formato.pcap.

  4. Haga clic en Inicio para iniciar el registro del seguimiento del paquete de red.
  5. Haga clic en Aceptar para detener la grabación del seguimiento del paquete de red una vez finalizada la prueba.

    Detener la grabación de seguimiento

    Se genera un archivo nstrace.cap, que contiene el seguimiento del paquete de red.

  6. Resalte el archivo requerido y haga clic en Descargar.

    Descargar el archivo

  7. Especifique un destino y guarde el seguimiento del paquete.
  8. Abra el archivo de seguimiento de paquetes de red con la utilidad Wireshark para mostrar el contenido del archivo.

    Nota: Seleccione Paquetes SSL descifrados (SSLPLAIN) para descifrar el seguimiento del paquete sin la clave privada.

    Paquetes SSL descifrados

Capturar claves maestras SSL

En la versión 11.0, 11.1 y superior hay una opción para capturar las claves de sesión que es válida solo para esa sesión/nstrace en particular y esta opción se puede utilizar si no quiere compartir la clave privada o usar el modo SSLPLANIN. Para obtener más información, consulte https://support.citrix.com/article/CTX135889.

Exportar claves de sesión sin compartir clave privada

En la mayoría de los casos, la clave privada no está disponible o compartida. En estos casos podemos sugerir exportar las claves de sesión SSL en lugar de la clave privada. Lea, [Cómo exportar y utilizar claves de sesión SSL para descifrar trazas SSL sin compartir la clave privada SSL, consulte https://support.citrix.com/article/CTX135889.

Filtros

Además, siempre se recomienda agregar filtros basados en IP mientras se toman rastros. El proceso garantiza que solo captura el tráfico interesado, lo que facilita la solución de problemas. Si se agregan filtros, también se reducirá la carga en el dispositivo mientras se toman rastros.

Sección de filtro

Los filtros basados en IP simples son suficientes para obtener las capturas correctas. Para obtener una lista detallada de filtros y ejemplos, consulte Citrix Documentation: Ns trace.

Caso de uso para capturar un seguimiento de paquetes con el filtro IP del servidor virtual (tanto front-end como back-end)

Mediante un filtro de la dirección IP del servidor virtual y habilitando la opción “—link” en CLI o seleccione la opción “Rastrear tráfico del par de conexión filtrada” en GUI (disponible 10.1 y superior), puede capturar tanto el tráfico front-end como el de back-end para esa dirección IP en particular. Con esta opción no se recomienda mencionar una IP de origen o un filtro IP de destino.

start nstrace -size 0 -filter "CONNECTION.IP.EQ(1.1.1.1)" -link ENABLED

show nstrace
        State:  RUNNING          Scope:  LOCAL            TraceLocation:  "/var/nstrace/24Mar2017_16_00_19/..." Nf:  24                  Time:  3600              Size:  0                 Mode:  TXB NEW_RX
        Traceformat:  NSCAP      PerNIC:  DISABLED        FileName:  24Mar2017_16_00_19 Filter:  "CONNECTION.IP.EQ(1.1.1.1)" Link:  ENABLED           Merge:  ONSTOP           Doruntimecleanup:  ENABLED
        TraceBuffers:  5000      SkipRPC:  DISABLED       Capsslkeys:  DISABLED    InMemoryTrace:  DISABLED

Fusionar

Captura de trazas cíclicas

Siempre es difícil solucionar un problema intermitente. El trazado cíclico es el más adecuado para los problemas que son intermitentes. Las trazas se pueden ejecutar en un lapso de pocas horas o días antes de que se produzca el problema. Además, puede utilizar un filtro específico y evaluar el tamaño de los archivos de seguimiento que se generan antes de ejecutarlo durante más tiempo.

Ejecute el siguiente comando desde la CLI:

start nstrace -nf 60 -time 30 -size 0
This particular trace will create 60 files each of them for 30 sec. This means the files will start getting overwritten after 60 trace files or 30 mins
Show nstrace à To check the status of the nstrace
Stop nstrace à To stop the nstrace.

Prácticas recomendadas

En una unidad que gestiona GB de tráfico por segundo, capturar tráfico es un proceso muy intensivo de recursos. El impacto en los recursos es principalmente en términos de la CPU y el espacio en disco. El impacto del espacio en disco se puede reducir mediante el uso de expresiones de filtrado. Sin embargo, el impacto en la CPU permanece y a veces causa un ligero aumento, ya que el dispositivo ahora necesita procesar paquetes según el filtro antes de capturarlos.

La mejor práctica con respecto al rastreo es:

  1. La duración para la que se ejecuta el seguimiento debe ser lo más limitada posible cuando se asegure de que se capturan los paquetes de interés.
  2. Programe la actividad de rastreo para que ocurra en un momento en que el número de usuarios (y, por lo tanto, el tráfico) se reduzca considerablemente, como durante las horas fuera de servicio.

Más recursos

Inhabilitar la reutilización de sesiones en el servidor virtual desde la GUI

La reutilización de la sesión se inhabilita cuando se captura un seguimiento para completar un protocolo de enlace SSL en el seguimiento. Cuando está habilitado, puede capturar un protocolo de enlace parcial en el seguimiento. Asegúrese de habilitar la opción después de la colección de seguimiento. No inhabilite la reutilización de una sesión SSL cuando el método de persistencia es sslsession, ya que rompe la persistencia de las conexiones existentes. Para obtener más información, consulte https://support.citrix.com/article/CTX121925.

  1. Abra el servidor virtual y vaya a Parámetros SSL.
  2. Inhabilite Enable Session Reuse si está habilitado.

    Habilitar la reutilización de sesiones

Inhabilitar la reutilización de sesiones en el servidor virtual desde la CLI

  1. SSH a la consola del dispositivo.
  2. Ejecute el siguiente comando para inhabilitar DH Param desde el servidor virtual:

    set ssl vserver "vServer_Name" -sessReuse DISABLED

Inhabilitar el parámetro DH en el servidor virtual desde la GUI

Consulte https://support.citrix.com/article/CTX213335 Para entender sobre el parámetro DH.

  1. Abra el servidor virtual y vaya a Parámetros SSL.
  2. Desactive DH Param si está activado.

    Parámetros SSL

Inhabilitar el parámetro DH en el servidor virtual desde la CLI

  1. SSH a la consola del dispositivo.
  2. Ejecute el siguiente comando para inhabilitar DH Param desde el servidor virtual:

    set ssl vserver "vServer_Name" -dh DISABLED

Inhabilitar la curva ECC en el servidor virtual desde la GUI

La curva ECC está inhabilitada para descifrar el seguimiento SSL capturado con clave privada. No debe inhabilitar las claves si se utilizan los cifrados SSL relacionados. Para obtener más información sobre la curva ECC, consulte https://support.citrix.com/article/CTX205289

  1. Abra el servidor virtual y vaya a ECC Curve.

    Curva ECC

  2. Si no hay ninguna curva ECC vinculada al servidor virtual, no se requiere ninguna otra acción.

    Sin curva CC

  3. Si alguna curva ECC está enlazada al servidor virtual, haga clic en la curva ECC y desvincularla del servidor virtual.

Inhabilitar la curva ECC en el servidor virtual desde la CLI

  1. SSH a la consola del dispositivo.
  2. Ejecute el siguiente comando para cada curva ECC enlazada al servidor virtual:

    unbind ssl vserver "vServer_Name" -eccCurveName "ECC_Curve_Name"