Documentación de productos
Citrix ADC
Current Release 13.0 12.1 11.1
Ver PDF

Configuración de un túnel de CloudBridge Connector entre un dispositivo Citrix ADC y un dispositivo FortiGate fortinet

August 20, 2021
Contribución de: 
C

Puede configurar un túnel de CloudBridge Connector entre un dispositivo Citrix ADC y un dispositivo Fortinet FortiGate para conectar dos centros de datos o ampliar la red a un proveedor de nube. El dispositivo Citrix ADC y el dispositivo FortiGate forman los puntos finales del túnel CloudBridge Connector y se denominan pares.

Ejemplo de configuración de túnel de CloudBridge Connector

Como ilustración del flujo de tráfico en un túnel de CloudBridge Connector, considere un ejemplo en el que se configura un túnel de CloudBridge Connector entre los siguientes dispositivos:

  • Dispositivo Citrix ADC NS_Appliance-1 en un centro de datos designado como Datacenter-1
  • Dispositivo FortiGate Fortigate-Appliance-1 en un centro de datos designado como Datacenter-2

NS_Appliance-1 y Fortigate-Appliance-1 permiten la comunicación entre redes privadas en Datacenter-1 y Datacenter-2 a través del túnel CloudBridge Connector. En el ejemplo, NS_Appliance-1 y Fortigate-Appliance-1 permiten la comunicación entre el cliente CL1 en Datacenter-1 y el servidor S1 en Datacenter-2 a través del túnel CloudBridge Connector. El cliente CL1 y el servidor S1 están en diferentes redes privadas.

En NS_Appliance-1, la configuración del túnel de CloudBridge Connector incluye la entidad de perfil IPSec NS_Fortinet_IPSEC_Profile, la entidad de túnel de CloudBridge Connector NS_Fortinet_Tunnel y la entidad de redirección basada en directivas (PBR) NS_Fortinet_PBR.

Imagen localizada

Para obtener más información, consulte Tabla de configuración de túneles de CloudBridge Connector pdf

Para obtener información sobre la configuración de Fortinet Fortigate-Appliance-1 en Datacenter-2, consulte la tabla.

Puntos a tener en cuenta para una configuración de túnel de CloudBridge Connector

Antes de configurar un túnel de CloudBridge Connector entre un dispositivo Citrix ADC y un dispositivo FortiGate, tenga en cuenta los siguientes puntos:

  • La siguiente configuración de IPSec se admite para un túnel de CloudBridge Connector entre un dispositivo Citrix ADC y un dispositivo FortiGate.

    Propiedades IPSec Parámetros
    Modo IPSec Modo túnel
    Versión de IKE Versión 1
    Grupo IKE DH Grupo DH 2 (algoritmo MODP de 1024 bits)
    Método de autenticación IKE Clave previamente compartida
    Algoritmo de cifrado IKE AES
    Algoritmo hash IKE HMAC SHA1
    Algoritmo de cifrado ESP AES
    Algoritmo hash ESP HMAC SHA1
  • Debe especificar la misma configuración de IPSec en el dispositivo Citrix ADC y en el dispositivo FortiGate en los dos extremos de CloudBridge Connector.
  • Citrix ADC proporciona un parámetro común (en perfiles IPSec) para especificar un algoritmo hash IKE y un algoritmo hash ESP. También proporciona otro parámetro común para especificar un algoritmo de cifrado IKE y un algoritmo de cifrado ESP. Por lo tanto, en el dispositivo FortiGate, debe especificar el mismo algoritmo hash y el mismo algoritmo de cifrado en IKE (configuración de fase 1) y ESP (configuración de fase 2).
  • Debe configurar el firewall en el extremo Citrix ADC y en el extremo FortiGate para permitir lo siguiente.
    • Cualquier paquete UDP para el puerto 500
    • Cualquier paquete UDP para el puerto 4500
    • Cualquier paquete ESP (protocolo IP número 50)
  • El dispositivo FortiGate admite dos tipos de túneles VPN: Basados en directivas y basados en rutas. Solo se admite el túnel VPN basado en directivas entre un dispositivo FortiGate y un dispositivo Citrix ADC.

Configuración del dispositivo FortiGate para el túnel CloudBridge Connector

Para configurar un túnel de CloudBridge Connector en un dispositivo FortiGate, utilice el Administrador basado en web de Fortinet, que es la interfaz de usuario principal para configurar, supervisar y mantener los dispositivos FortiGate.

Antes de comenzar la configuración del túnel de CloudBridge Connector en un dispositivo FortiGate, asegúrese de que:

  • Tiene una cuenta de usuario con credenciales de administrador en el dispositivo FortiGate.
  • Está familiarizado con el Administrador basado en web de Fortinet.
  • El dispositivo FortiGate está en funcionamiento, está conectado a Internet y también está conectado a las subredes privadas cuyo tráfico se va a proteger a través del túnel CloudBridge Connector.

Nota

Los procedimientos para configurar el túnel de CloudBridge Connector en un dispositivo FortiGate pueden cambiar con el tiempo, dependiendo del ciclo de lanzamiento de Fortinet. Citrix recomienda que siga la documentación oficial del producto de Fortinet para configurar túneles VPN IPSec.

Para configurar un túnel de conector CloudBridge entre un dispositivo Citrix ADC y un dispositivo FortiGate, realice las siguientes tareas en el dispositivo FortiGate mediante el administrador web de Fortinet:

  • Habilitar la función VPN IPSec basadaen directivas. Habilite esta función para crear túneles VPN basados en directivas en el dispositivo FortiGate. Solo se admite el tipo de túnel VPN basado en directivas entre un dispositivo FortiGate y un dispositivo Citrix ADC. Una configuración de túnel VPN basada en directivas en un dispositivo FortiGate incluye opciones de fase 1, configuración de fase 2 y una directiva de seguridad IPSec.
  • Defina los parámetros de fase 1. El dispositivo FortiGate utiliza los parámetros de fase 1 para la autenticación IKE antes de formar un túnel seguro para el dispositivo Citrix ADC.
  • Defina los parámetros de fase 2. El dispositivo FortiGate utiliza los parámetros de fase 2 para formar un túnel seguro para el dispositivo Citrix ADC mediante el establecimiento de asociaciones de seguridad IKE (SA).
  • Especifique subredes privadas. Defina las subredes privadas de Fortigate y Citrix ADC cuyo tráfico IP se va a transportar a través del túnel.
  • Defina una directiva de seguridad IPSec para el túnel. Una directiva de seguridad permite que el tráfico IP pase entre las interfaces de un dispositivo FortiGate. Una directiva de seguridad IPSec especifica la interfaz a la subred privada y la interfaz que conecta el dispositivo Citrix ADC a través del túnel.

Para habilitar la función VPN IPSec basada en directivas mediante el administrador web de Fortinet

  1. Vaya a Sistema > Config > Funciones.
  2. En la página Configuración de funciones, seleccione Mostrar más y active VPN IPSec basada en directivas.

Para definir parámetros de fase 1 mediante el administrador web de Fortinet

  1. Vaya a VPN > IPSec > Clave automática (IKE) y haga clic en Crear fase 1.
  2. En la página Nueva fase 1, establezca los siguientes parámetros:
    • Nombre: Introduzca un nombre para esta configuración de fase 1.
    • Puerta de enlace remota: Seleccione Dirección IP estática.
    • Modo: Seleccione Principal (Protección de ID).
    • Método de autenticación: Seleccione la clave previamente compartida.
    • Clave previamente compartida: Introduzca una clave previamente compartida. La misma clave previamente compartida debe configurarse en el dispositivo Citrix ADC.
    • Opciones del mismo nivel: Defina los siguientes parámetros IKE para autenticar un dispositivo Citrix ADC.
      • Versión IKE: Seleccione 1.
      • Configuración del modo: Desactive esta opción si está seleccionada.
      • IP de puerta de enlace local: Seleccione IP de interfaz principal.
      • Propuesta P1: Seleccione los algoritmos de cifrado y autenticación para la autenticación IKE antes de formar un túnel seguro para el dispositivo Citrix ADC.
        • 1: Cifrado: Seleccione AES128.
        • Autenticación: Seleccione SHA1.
        • Vida clave: Introduzca una cantidad de tiempo (en segundos) para la vida de la clave de fase 1.
        • Grupo DH: Seleccione 2.
      • X-Auth: Seleccione Desactivar.
      • Detección de pares de escritura: Seleccione esta opción.
  3. Haga clic en Aceptar.

Para especificar subredes privadas mediante el administrador web de Fortinet

  1. Vaya a Objetos de firewall > Dirección > Direcciones y seleccione Crear nuevo.
  2. En la página Nueva dirección, establezca los siguientes parámetros:
    • Nombre: Introduzca un nombre para la subred Fortigate.
    • Tipo: Seleccione Subred.
    • Subred/ Rango IP: Introduzca la dirección de la subred Fortigate.
    • Interfaz: Seleccione la interfaz local para esta subred.
  3. Haga clic en Aceptar.
  4. Repita los pasos 1 a 3 para especificar la subred del lado de Citrix ADC.

Para definir parámetros de fase 2 mediante el administrador web de Fortinet

  1. Vaya a VPN > IPSec > Clave automática (IKE) y haga clic en Crear fase 2.
  2. En la página Nueva fase 2, establezca los siguientes parámetros:
    • Nombre: Introduzca un nombre para esta configuración de fase 2.
    • Fase 1: Seleccione la configuración de Fase 1 de la lista desplegable.
  3. Haga clic en Avanzadas y defina los siguientes parámetros:
    • Propuesta de P2: Seleccione los algoritmos de cifrado y autenticación para formar un túnel seguro para el dispositivo Citrix ADC.
      • 1: Cifrado: Seleccione AES128.
      • Autenticación: Seleccione SHA1.
      • Activar detección de reproducción: Seleccione esta opción.
      • Habilitar el secreto directo perfecto (PFS): Seleccione esta opción.
      • Grupo DH: Seleccione 2.
    • Vida clave: Introduzca una cantidad de tiempo (en segundos) para la vida de la clave de fase 2.
    • Autoclave Keep Alive: Seleccione esta opción.
    • Negociación automática: Seleccione esta opción.
    • Selector de modo rápido: Especifique las subredes privadas de Fortigate y Citrix ADC cuyo tráfico se recorra a través del túnel.
      • Dirección de origen: Seleccione la subred Fortigate de la lista desplegable.
      • Puerto de origen: Escriba 0.
      • Dirección de destino: Seleccione la subred del lado de Citrix ADC en la lista desplegable.
      • Puerto de destino: Escriba 0.
      • Protocolo: Escriba 0.
  4. Haga clic en Aceptar.

Para definir una directiva de seguridad IPSec mediante el administrador web de Fortinet

  1. Vaya a Directiva > Directiva > Directiva y haga clic en Crear nuevo.
  2. En la página Modificar directiva, establezca los siguientes parámetros:
    • Tipo de directiva: Seleccione VPN.
    • Subtipo de directiva: Seleccione IPSec.
    • Interfaz local: Seleccione la interfaz local a la red interna (privada).
    • Subred protegida local: Seleccione la subred Fortigate de la lista desplegable cuyo tráfico se recorra a través del túnel.
    • Interfaz VPN saliente: Seleccione la interfaz local para la red externa (pública).
    • Subred protegida remota: Seleccione la subred del lado de Citrix ADC de la lista desplegable cuyo tráfico se recorra a través del túnel.
    • Programar: Mantenga la configuración predeterminada (siempre) a menos que se necesiten cambios para cumplir requisitos específicos.
    • Servicio: Mantenga la configuración predeterminada (CUALQUIERA) a menos que se necesiten cambios para cumplir con sus requisitos específicos.
    • Túnel VPN: Seleccione Usar existente y seleccione el túnel en la lista desplegable.
    • Permitir que el tráfico se inicie desde el sitio remoto: Seleccione si el tráfico de la red remota podrá iniciar el túnel.
  3. Haga clic en Aceptar.

Configuración del dispositivo Citrix ADC para el túnel de CloudBridge Connector

Para configurar un túnel de CloudBridge Connector entre un dispositivo Citrix ADC y un dispositivo FortiGate, realice las siguientes tareas en el dispositivo Citrix ADC. Puede utilizar la línea de comandos de Citrix ADC o la interfaz gráfica de usuario (GUI) de Citrix ADC:

  • Cree un perfil IPSec. Una entidad de perfil IPSec especifica los parámetros del protocolo IPSec, como la versión IKE, el algoritmo de cifrado, el algoritmo hash y el método de autenticación que utilizará el protocolo IPSec en el túnel de CloudBridge Connector.
  • Cree un túnel IP que utilice el protocolo IPSec y asocie el perfil IPSec con él. Un túnel IP especifica la dirección IP local (dirección IP de punto final del túnel de CloudBridge Connector (de tipo SNIP) configurada en el dispositivo Citrix ADC), la dirección IP remota (dirección IP del extremo del túnel de CloudBridge Connector configurada en el dispositivo FortiGate), el protocolo (IPSec) utilizado para configurar CloudBridge Túnel de conector y una entidad de perfil IPSec. La entidad de túnel IP creada también se denomina entidad de túnel CloudBridge Connector.
  • Cree una regla PBR y asociarla con el túnel IP. Una entidad PBR especifica un conjunto de reglas y una entidad de túnel IP (túnel CloudBridge Connector). El intervalo de direcciones IP de origen y el intervalo de direcciones IP de destino son las condiciones para la entidad PBR. Establezca el intervalo de direcciones IP de origen para especificar la subred del lado de Citrix ADC cuyo tráfico se va a proteger a través del túnel, y establezca el intervalo de direcciones IP de destino para especificar la subred del lado del dispositivo FortiGate cuyo tráfico se va a proteger a través del túnel.

Para crear un perfil IPSEC mediante la línea de comandos de Citrix ADC

En el símbolo del sistema, escriba:

  • add ipsec profile <name> -psk <string> -ikeVersion v1 -encAlgo AES -hashAlgo HMAC_SHA1 -perfectForwardSecrecy ENABLE
  • show ipsec profile <name>

Para crear un túnel IPSEC y enlazar el perfil IPSEC con él mediante la línea de comandos de Citrix ADC

En el símbolo del sistema, escriba:

  • add ipTunnel <name> <remote> <remoteSubnetMask> <local> -protocol IPSEC –ipsecProfileName** <string>
  • show ipTunnel <name>

Para crear una regla PBR y enlazar el túnel IPSEC con ella mediante la línea de comandos de Citrix ADC

En el símbolo del sistema, escriba:

  • add pbr <pbrName> ALLOW –srcIP <subnet-range> -destIP <subnet-range> -ipTunnel <tunnelName>
  • apply pbrs
  • show pbr <pbrName>

Para crear un perfil IPSEC mediante la interfaz gráfica de usuario

  1. Vaya a Sistema > Conector de CloudBridge > Perfil IPSec.
  2. En el panel de detalles, haga clic en Agregar.
  3. En la página Agregar perfil IPSec, establezca los siguientes parámetros:
    • Nombre
    • Algoritmo de cifrado
    • Algoritmo hash
    • Versión del protocolo IKE
    • Secreto directo perfecto (Habilitar este parámetro)
  4. Configure el método de autenticación IPSec que utilizarán los dos pares de túnel de CloudBridge Connector para autenticarse mutuamente: seleccione el método de autenticación de clave previamente compartida y establezca el parámetro Pre-Shared Key Exists.
  5. Haga clic en Crear y, a continuación, en Cerrar.

Para crear un túnel IP y enlazar el perfil IPSEC con él mediante la interfaz gráfica de usuario

  1. Vaya a Sistema > Conector de CloudBridge > Túneles IP.
  2. En la ficha Túneles IPv4, haga clic en Agregar.
  3. En la página Agregar túnel IP, establezca los siguientes parámetros:
    • Nombre
    • IP remota
    • Máscara remota
    • Tipo de IP local (en la lista desplegable Tipo de IP local, seleccione IP de subred).
    • IP local (todas las direcciones IP configuradas del tipo IP seleccionado se encuentran en la lista desplegable de IP local. Seleccione la IP deseada de la lista.)
    • Protocolo
    • Perfil IPSec
  4. Haga clic en Crear y, a continuación, en Cerrar.

Para crear una regla PBR y enlazar el túnel IPSEC con ella mediante la interfaz gráfica de usuario

  1. Vaya a Sistema > Red > PBR.
  2. En la ficha PBR, haga clic en Agregar.
  3. En la página Crear PBR, establezca los siguientes parámetros:
    • Nombre
    • Action
    • Tipo de salto siguiente (Seleccionar túnel IP)
    • Nombre del túnel IP
    • IP de origen bajo
    • IP de origen alto
    • IP de destino bajo
    • IP de destino alto
  4. Haga clic en Crear y, a continuación, en Cerrar.

La nueva configuración de túnel de CloudBridge Connector correspondiente en el dispositivo Citrix ADC aparece en la GUI.

El estado actual del túnel del conector de CloudBridge se muestra en el panel Connector configurado de CloudBridge. Un punto verde indica que el túnel está arriba. Un punto rojo indica que el túnel está caído.

Los siguientes comandos crean la configuración del dispositivo Citrix ADC NS_Appliance-1 en “Ejemplo de una configuración de conector de CloudBridge.”

    >  add ipsec profile NS_Fortinet_IPSec_Profile -psk  examplepresharedkey -ikeVersion v1 –encAlgo AES –hashalgo HMAC_SHA1 –lifetime 315360 -perfectForwardSecrecy ENABLE

     Done
    >  add iptunnel NS_Fortinet_Tunnel 203.0.113.200 255.255.255.255 198.51.100.100 –protocol IPSEC –ipsecProfileName NS_Fortinet_IPSec_Profile

     Done
    > add pbr NS_Fortinet_Pbr -srcIP 10.102.147.0-10.102.147.255 –destIP 10.20.0.0-10.20.255.255 –ipTunnel NS_Fortinet_Tunnel

     Done
    > apply pbrs

     Done
<!--NeedCopy-->

Supervisión del túnel de CloudBridge Connector

Puede supervisar el rendimiento de los túneles de CloudBridge Connector en un dispositivo Citrix ADC mediante contadores estadísticos del túnel de CloudBridge Connector. Para obtener más información sobre cómo mostrar estadísticas de túnel de CloudBridge Connector en un dispositivo Citrix ADC, consulte Supervisión de túneles de CloudBridge Connector.

Configuración de un túnel de CloudBridge Connector entre un dispositivo Citrix ADC y un dispositivo FortiGate fortinet
August 20, 2021
Contribución de: 
C
August 20, 2021
Contribución de: 
C

En este artículo

Comentarios sobre el sitio | Condiciones legales y de privacidad | Preferencias de cookies | Parámetros de consentimiento
© 1999- Citrix Systems, Inc. All rights reserved.