Citrix ADC

Configurar el equilibrio de carga RADIUS con persistencia

August 20, 2021

Contribución de:

El complejo entorno de red actual a menudo requiere coordinar una configuración de equilibrio de carga de gran volumen y gran capacidad con autenticación y autorización sólidas. Los usuarios de aplicaciones pueden conectarse a una VPN a través de puntos de acceso móviles, como conexiones DSL o por cable de nivel de consumidor, WiFi o incluso nodos de acceso telefónico. Esas conexiones suelen utilizar IP dinámicas, que pueden cambiar durante la conexión.

Si configura el equilibrio de carga RADIUS en el dispositivo Citrix ADC para admitir conexiones de cliente persistentes a los servidores de autenticación RADIUS, el dispositivo utiliza el inicio de sesión de usuario o el atributo RADIUS especificado en lugar de la IP del cliente como ID de sesión, dirigiendo todas las conexiones y registros asociados a esa en el mismo servidor RADIUS. Por lo tanto, los usuarios pueden iniciar sesión en su VPN desde ubicaciones de acceso móvil sin experimentar desconexiones cuando cambia la IP del cliente o el punto de acceso WiFi.

Para configurar el equilibrio de carga RADIUS con persistencia, primero debe configurar la autenticación RADIUS para su VPN. Para obtener información e instrucciones, consulte el capítulo Autenticación, Autorización, Auditoría (AAA) en Tráfico de aplicaciones AAA. Elija también la función Equilibrio de carga o Content Switching como base para la configuración y asegúrese de que la función elegida esté habilitada. El proceso de configuración con cualquiera de las funciones es casi el mismo.

A continuación, configure dos servidores virtuales de equilibrio de carga o dos servidores virtuales de conmutación de contenido, uno para controlar el tráfico de autenticación RADIUS y el otro para controlar el tráfico de cuentas RADIUS. A continuación, configure dos servicios, uno para cada servidor virtual de equilibrio de carga y vincule cada servidor virtual de equilibrio de carga a su servicio. Por último, se crea un grupo de persistencia de equilibrio de carga y se establece el tipo de persistencia en regla.

Activación de la función Equilibrio de carga o Content Switching

Para utilizar la función Equilibrio de carga o Content Switching, primero debe asegurarse de que la función está habilitada. Si está configurando un nuevo dispositivo Citrix ADC que no se haya configurado previamente, ambas funciones ya están habilitadas, por lo que puede pasar a la sección siguiente. Si está configurando un dispositivo Citrix ADC con una configuración anterior en él y no está seguro de que la función que utiliza esté habilitada, debe hacerlo ahora.

Para obtener instrucciones sobre cómo habilitar la función de equilibrio de carga, consulte Habilitación del equilibrio de carga.
Para obtener instrucciones sobre cómo habilitar la función de cambio de contenido, consulte Habilitación de la conmutación

Configuración de Servidores Virtuales

Después de habilitar la función de equilibrio de carga o conmutación de contenido, debe configurar dos servidores virtuales para admitir la autenticación RADIUS:

Servidor virtual de autenticación RADIUS. Este servidor virtual y su servicio asociado gestiona el tráfico de autenticación hacia el servidor RADIUS. El tráfico de autenticación consiste en conexiones asociadas con los usuarios que inician sesión en su aplicación protegida o red privada virtual (VPN).
Servidor virtual de cuentas RADIUS. Este servidor virtual y su servicio asociado gestiona las conexiones contables al servidor RADIUS. El tráfico de cuentas consiste en conexiones que realizan un seguimiento de las actividades de un usuario autenticado en su aplicación protegida o VPN.

Importante: Debe crear un par de servidores virtuales de equilibrio de carga o un par de servidores virtuales de conmutación de contenido para utilizarlos en la configuración de persistencia RADIUS. No se pueden mezclar tipos de servidores virtuales.

Para configurar un servidor virtual de equilibrio de carga mediante la interfaz de línea de comandos

En el símbolo del sistema, escriba los siguientes comandos para crear un servidor virtual de equilibrio de carga y verificar la configuración:

add lb vserver <name> RADIUS <IP address> <port> -lbmethod TOKEN -rule <rule>

show lb vserver <name>
<!--NeedCopy-->

Para configurar un servidor virtual de equilibrio de carga existente, sustituya el add lb virtual server comando anterior por el set lb vserver comando, que toma los mismos argumentos.

Para configurar un servidor virtual de conmutación de contenido mediante la interfaz de línea de comandos

En el símbolo del sistema, escriba los siguientes comandos para crear un servidor virtual de conmutación de contenido y verificar la configuración:

add cs vserver <name> RADIUS <IP address> <port> -lbmethod TOKEN -rule <rule>

show cs vserver <name>
<!--NeedCopy-->

Para configurar un servidor virtual de conmutación de contenido existente, sustituya el add cs vserver comando anterior por el set cs vserver comando, que toma los mismos argumentos.

Ejemplo:

add lb vserver radius_auth_vs1 RADIUS 192.168.46.33 1812 -lbmethod TOKEN -rule CLIENT.UDP.RADIUS.USERNAME

add lb vserver radius_acct_vs1 RADIUS 192.168.46.34 1813 -lbmethod TOKEN -rule CLIENT.UDP.RADIUS.USERNAME

set lb vserver radius_auth_vs1 RADIUS 192.168.46.33 1812 -lbmethod TOKEN -rule CLIENT.UDP.RADIUS.USERNAME

set lb vserver radius_auth_vs1 RADIUS 192.168.46.34 1813 -lbmethod TOKEN -rule CLIENT.UDP.RADIUS.USERNAME
<!--NeedCopy-->

Para configurar un servidor virtual de equilibrio de carga o conmutación de contenido mediante la utilidad de configuración

Vaya a Administración del tráfico > Equilibrio de carga > Servidores virtuales o vaya a Administración del tráfico > Cambio de contenido > Servidores virtuales>y configure un servidor virtual.

Configuración de servicios

Después de configurar los servidores virtuales, debe configurar dos servicios, uno para cada uno de los servidores virtuales creados.

Nota: Una vez configurados, estos servicios se encuentran en el estado DISABLED hasta que el dispositivo Citrix ADC pueda conectarse a las direcciones IP de cuentas y autenticación del servidor RADIUS y supervisar su estado. Para obtener instrucciones, consulte Configuración de servicios.

Vinculación de servidores virtuales a servicios

Después de configurar los servicios, debe enlazar a continuación cada uno de los servidores virtuales que creó al servicio apropiado.Para obtener instrucciones, consulte Vinculación de servicios al servidor virtual.

Configuración de un grupo de persistencia para Radius

Después de vincular los servidores virtuales de equilibrio de carga a los servicios correspondientes, debe configurar la configuración de equilibrio de carga RADIUS para admitir la persistencia. Para ello, configure un grupo de persistencia de equilibrio de carga que contenga los servidores y servicios virtuales de equilibrio de carga RADIUS, y configure ese grupo de persistencia de equilibrio de carga para utilizar la persistencia basada en reglas. Se requiere un grupo de persistencia porque los servidores virtuales de autenticación y contabilidad son diferentes y el mensaje de autenticación y contabilidad para un solo usuario debe llegar al mismo servidor RADIUS. El grupo de persistencia permite utilizar la misma sesión para ambos servidores virtuales. Para obtener instrucciones, consulte Configuración de grupos de persistencia.

Configuración de RADIUS Shared Secret

A partir de la versión 12.0, un dispositivo Citrix ADC admite el secreto compartido RADIUS. Un cliente y un servidor RADIUS se comunican entre sí mediante un secreto compartido configurado en el cliente y en el servidor. Las transacciones entre un cliente RADIUS y un servidor se autentican mediante un secreto compartido. Este secreto también se utiliza para cifrar parte de la información del paquete RADIUS.

Casos de validación de clave secreta compartida RADIUS

La validación de la clave secreta compartida RADIUS se produce en los siguientes casos:

La clave secreta compartida RADIUS está configurada tanto para el cliente radius como para el servidor radius: el dispositivo Citrix ADC utiliza la clave secreta RADIUS tanto para el lado cliente como para el servidor. Si la verificación se realiza correctamente, el dispositivo permite que el mensaje RADIUS pase. De lo contrario, descarta el mensaje RADIUS.
La clave secreta compartida RADIUS no está configurada para el cliente radius ni para el servidor radius: el dispositivo Citrix ADC elimina el mensaje RADIUS, ya que la validación de clave secreta compartida no se puede realizar en un nodo que no tiene configurado radkey.
La clave secreta compartida RADIUS no está configurada tanto para el cliente RADIUS como para el servidor RADIUS: el dispositivo Citrix ADC omite la validación de la clave secreta RADIUS y permite que los mensajes RADIUS pasen.

Puede configurar un secreto compartido RADIUS predeterminado o configurarlo por cliente o por subred. Se recomienda agregar una clave secreta compartida RADIUS para todas las implementaciones con directiva RADIUS configurada. El dispositivo utiliza la dirección IP de origen del paquete RADIUS para decidir qué secreto compartido utilizar. Puede configurar un cliente y un servidor RADIUS y el secreto compartido correspondiente de la siguiente manera:

En el símbolo del CLI, escriba:

add radiusNode <clientPrefix/Subnet> -radKey <Shared_secret_key>
<!--NeedCopy-->

Argumentos

Dirección IP

Dirección IP o subred del cliente RADIUS en formato CIDR. El dispositivo utiliza la dirección IP de origen de un paquete de solicitud entrante para que coincida con la dirección IP del cliente. En lugar de configurar una dirección IP de cliente, puede configurar la dirección de red del cliente. El prefijo más largo se compara para identificar el secreto compartido para una solicitud de cliente entrante.

Radkey

Secreto compartido entre el cliente, el dispositivo Citrix ADC y el servidor. Longitud máxima: 31.

add lb vserver radius_auth_vs1 RADIUS 192.168.46.33 1812 -lbmethod TOKEN -rule CLIENT.UDP.RADIUS.USERNAME

add lb vserver radius_acct_vs1 RADIUS 192.168.46.34 1813 -lbmethod TOKEN -rule CLIENT.UDP.RADIUS.USERNAME

add service radius_auth_service1 192.168.41.68 RADIUS 1812

add service radius_acct_service1 192.168.41.70 RADIUS 1813

bind lb vserver radius_auth_vs1 radius_auth_service1

bind lb vserver radius_acct_vs1 radius_acct_service[1-3]

add radiusNode 192.168.41.0/24 -radKey  serverkey123

add radiusNode 203.0.113.0/24 -radkey clientkey123
<!--NeedCopy-->

Se debe configurar un secreto compartido tanto para un cliente RADIUS como para un servidor. El comando es el mismo. La subred determina si el secreto compartido es para un cliente o para un servidor.

Por ejemplo, si la subred especificada es una subred de cliente, el secreto compartido es para el cliente. Si la subred especificada es una subred de servidor (192.168.41.0/24 en el ejemplo anterior), el secreto compartido es para el servidor.

Una subred de 0.0.0.0/0 implica que es el secreto compartido predeterminado para todos los clientes y servidores.

Nota:

Solo los métodos de autenticación PAP y CHAP son compatibles con el secreto compartido RADIUS.

La versión oficial de este contenido está en inglés. Para mayor comodidad, parte del contenido de la documentación de Citrix solo tiene traducción automática. Citrix no puede controlar el contenido con traducción automática, que puede contener errores, imprecisiones o un lenguaje inadecuado. No se ofrece ninguna garantía, ni implícita ni explícita, en cuanto a la exactitud, la fiabilidad, la idoneidad o la precisión de las traducciones realizadas del original en inglés a cualquier otro idioma, o que su producto o servicio de Citrix se ajusten a cualquier contenido con traducción automática, y cualquier garantía provista bajo el contrato de licencia del usuario final o las condiciones de servicio, o cualquier otro contrato con Citrix, de que el producto o el servicio se ajusten a la documentación no se aplicará en cuanto dicha documentación se ha traducido automáticamente. Citrix no se hace responsable de los daños o los problemas que puedan surgir del uso del contenido traducido automáticamente.

Configurar el equilibrio de carga RADIUS con persistencia

August 20, 2021

Contribución de:

August 20, 2021

Contribución de:

En este artículo

Activación de la función Equilibrio de carga o Content Switching
Configuración de Servidores Virtuales
Configuración de servicios
Vinculación de servidores virtuales a servicios
Configuración de un grupo de persistencia para Radius
Configuración de RADIUS Shared Secret