Documentación de productos
Citrix ADC
Current Release 13.0 12.1 11.1
Ver PDF

Cómo registrar un seguimiento de paquetes en Citrix ADC

August 20, 2021
Contribuido por: 
C

En este artículo de solución de problemas se explica cómo un administrador puede registrar un seguimiento de paquetes de red mediante la GUI de Citrix ADC.

Puntos que tener en cuenta

  • Citrix recomienda usar la versión reciente de Wireshark de la “sección de compilación automatizada” disponible en la siguiente página web:http://www.wireshark.org/download/automated.

  • En Citrix ADC 10.5 o posterior, para descifrar la captura y garantizar que los parámetros ECC (Criptografía de curva elíptica), Reutilización de sesión y DH estén inhabilitados desde el servidor virtual. Debes hacerlo antes de capturar un rastro.

Grabar seguimiento de paquetes en NetScaler versión 11.1

  1. Acceda a la página Sistema > Diagnósticos.

  2. haga clic en el enlace Iniciar nuevo seguimiento en la página Diagnóstico, como se muestra en la siguiente captura de pantalla.

    Acceder a la página Diagnóstico

  3. Actualice el tamaño del paquete a 0 en el campo Tamaño del paquete.

    Tamaño del paquete

  4. Haga clic en Inicio para iniciar el registro del seguimiento del paquete de red.

  5. Haga clic en Detener y descargar para detener la grabación del seguimiento del paquete de red una vez finalizada la prueba.

    Detener y descargar seguimiento

  6. Seleccione el archivo requerido y haga clic en Seleccionar y haga clic en Descargar.

    Descargar seguimiento de paquetes

  7. Abra el archivo de seguimiento de paquetes de red con la utilidad Wireshark para mostrar el contenido del archivo.

Registro de seguimiento de paquetes en el dispositivo NetScaler 10.5

  1. Acceda a la página Sistema > Diagnósticos.

    Página de diagnóstico de acceso

  2. Haga clic en el vínculo Iniciar nuevo seguimiento en la herramienta de soporte técnicos como se muestra en la siguiente captura de pantalla.

  3. Actualice el tamaño del paquete a 0 en el campo Tamaño del paquete.

    Tamaño del paquete

    Nota: Si no se requieren cabeceras de dispositivo, seleccione Capturar seguimiento en formato.pcap.

  4. Haga clic en Inicio para iniciar el registro del seguimiento del paquete de red.

  5. Haga clic en Aceptar para detener la grabación del seguimiento del paquete de red una vez finalizada la prueba.

    Detener la grabación de seguimiento

    Se genera un archivo nstrace.cap, que contiene el seguimiento del paquete de red.

  6. Resalte el archivo requerido y haga clic en Descargar.

    Descargar el archivo

  7. Especifique un destino y guarde el seguimiento del paquete.

  8. Abra el archivo de seguimiento de paquetes de red con la utilidad Wireshark para mostrar el contenido del archivo.

    Nota: Seleccione Paquetes SSL descifrados (SSLPLAIN) para descifrar el seguimiento del paquete sin la clave privada.

    Paquetes SSL descifrados

Capturar claves maestras SSL

En la versión 11.0, 11.1 y superior hay una opción para capturar las claves de sesión que es válida solo para esa sesión/nstrace en particular y esta opción se puede utilizar si no quiere compartir la clave privada o usar el modo SSLPLANIN. Para obtener más información, consulte https://support.citrix.com/article/CTX135889.

Exportar claves de sesión sin compartir clave privada

En la mayoría de los casos, la clave privada no está disponible o compartida. En estos casos podemos sugerir exportar las claves de sesión SSL en lugar de la clave privada. Consulte [Cómo exportar y utilizar claves de sesión SSL para descifrar rastros SSL sin compartir la clave privada SSL, consulte https://support.citrix.com/article/CTX135889.

Filtros

Además, siempre se recomienda agregar filtros basados en IP mientras se toman rastros. El proceso garantiza que solo captura el tráfico interesado, lo que facilita la solución de problemas. La adición de filtros también disminuye la carga en el dispositivo mientras se toman rastros.

Sección de filtro

Los filtros simples basados en IP son suficientes para obtener las capturas correctas. Para obtener más información sobre nstrace filtros y ejemplos, consulte la página Documentación de Citrix .

Caso de uso para capturar un seguimiento de paquetes con filtro IP del servidor virtual (tanto front-end como back-end)

Mediante un filtro de la dirección IP del servidor virtual y habilitando la opción “—link” en CLI o seleccionando la opción “Rastrear tráfico de pares de conexión filtrada” en GUI (disponible 10.1 y superior), puede capturar el tráfico front-end y back-end de la dirección IP.

start nstrace -size 0 -filter "CONNECTION.IP.EQ(1.1.1.1)" -link ENABLED

show nstrace
        State:  RUNNING          Scope:  LOCAL            TraceLocation:  "/var/nstrace/24Mar2017_16_00_19/..." Nf:  24                  Time:  3600              Size:  0                 Mode:  TXB NEW_RX
        Traceformat:  NSCAP      PerNIC:  DISABLED        FileName:  24Mar2017_16_00_19 Filter:  "CONNECTION.IP.EQ(1.1.1.1)" Link:  ENABLED           Merge:  ONSTOP           Doruntimecleanup:  ENABLED
        TraceBuffers:  5000      SkipRPC:  DISABLED       Capsslkeys:  DISABLED    InMemoryTrace:  DISABLED
<!--NeedCopy-->

Merge

Captura de rastros cíclicos

Siempre es difícil solucionar un problema intermitente. El trazado cíclico es el más adecuado para los problemas que son intermitentes. Los rastros se pueden ejecutar en un lapso de pocas horas o días antes de que se produzca el problema. Además, puede utilizar un filtro específico y evaluar el tamaño de los archivos de seguimiento que se generan antes de ejecutarlo durante más tiempo.

Ejecute el siguiente comando desde la CLI:

start nstrace -nf 60 -time 30 -size 0
This particular trace will create 60 files each of them for 30 sec. This means the files will start getting overwritten after 60 trace files or 30 mins
Show nstrace à To check the status of the nstrace
Stop nstrace à To stop the nstrace.

<!--NeedCopy-->

Prácticas recomendadas

En una unidad que maneja GB de tráfico por segundo, capturar tráfico es un proceso que requiere muchos recursos. El impacto en los recursos es principalmente en términos de la CPU y el espacio en disco. El impacto en el espacio en disco se puede reducir mediante el uso de expresiones de filtrado. Sin embargo, el impacto en la CPU permanece y a veces causa un ligero aumento, ya que el dispositivo ahora necesita procesar paquetes de acuerdo con el filtro antes de capturarlos.

La mejor práctica en relación con el rastreo es:

  1. La duración durante la que se ejecuta la traza debe ser lo más limitada posible cuando siga asegurándose de que se capturan los paquetes de interés.
  2. Programe la actividad de rastreo para que ocurra en un momento en que el número de usuarios (y, por lo tanto, el tráfico) se reduzca considerablemente, como durante las horas fuera de servicio.

Más recursos

Inhabilitar la reutilización de sesiones en el servidor virtual desde la GUI

La reutilización de la sesión se inhabilita cuando se captura un seguimiento para completar un protocolo de enlace SSL en el seguimiento. Cuando está habilitado, puede capturar un apretón de manos parcial en la traza. Asegúrese de habilitar la opción después de la colección de seguimiento. No inhabilite la reutilización de una sesión SSL cuando el método de persistencia es sslsession, ya que rompe la persistencia de las conexiones existentes. Para obtener más información, consulte https://support.citrix.com/article/CTX121925.

  1. Abra el servidor virtual y vaya a Parámetros SSL.

  2. Inhabilite Enable Session Reuse si está habilitado.

    Habilitar la reutilización de sesiones

Inhabilitar la reutilización de sesiones en el servidor virtual desde la CLI

  1. SSH a la consola del dispositivo.

  2. Ejecute el siguiente comando para inhabilitar DH Param desde el servidor virtual:

    set ssl vserver "vServer_Name" -sessReuse DISABLED

Inhabilitar el parámetro DH en el servidor virtual desde la GUI

Consulte https://support.citrix.com/article/CTX213335 Para entender sobre el parámetro DH.

  1. Abra el servidor virtual y vaya a Parámetros SSL.

  2. Desactive DH Param si está activado.

    Parámetros SSL

Inhabilitar el parámetro DH en el servidor virtual desde la CLI

  1. SSH a la consola del dispositivo.

  2. Ejecute el siguiente comando para inhabilitar DH Param desde el servidor virtual:

    set ssl vserver "vServer_Name" -dh DISABLED

Inhabilitar la curva ECC en el servidor virtual desde la GUI

La curva ECC está inhabilitada para descifrar el seguimiento SSL capturado con clave privada. No debe inhabilitar las claves si se utilizan los cifrados SSL relacionados. Para obtener más información acerca de la curva ECC, consulte https://support.citrix.com/article/CTX205289

  1. Abra el servidor virtual y vaya a ECC Curve.

    Curva ECC

  2. Si no hay Curva ECC enlazada al servidor virtual, entonces no se requiere otra acción.

    Sin curva CC

  3. Si alguna curva ECC está enlazada al servidor virtual, haga clic en la curva ECC y desvincularla del servidor virtual.

Inhabilitar la curva ECC en el servidor virtual desde la CLI

  1. SSH a la consola del dispositivo.

  2. Ejecute el siguiente comando para cada curva ECC enlazada al servidor virtual:

    unbind ssl vserver "vServer_Name" -eccCurveName "ECC_Curve_Name"

Cómo registrar un seguimiento de paquetes en Citrix ADC
August 20, 2021
Contribuido por: 
C
August 20, 2021
Contribuido por: 
C

En este artículo

Comentarios sobre el sitio | Privacidad y términos legales | Preferencias de cookies | Consent settings
© 1999- Citrix Systems, Inc. All rights reserved.