Citrix Gateway

Configurar el servidor virtual VPN DTLS mediante el servidor virtual VPN SSL

August 2, 2022

Contribución de:

Puede configurar un servidor virtual VPN DTLS para un dispositivo Citrix ADC con la misma IP y el mismo número de puerto de un servidor virtual VPN SSL configurado. La configuración de servidores virtuales DTLS VPN le permite vincular los cifrados y certificados DTLS avanzados al tráfico DTLS para mejorar la seguridad. A partir de la versión 13.0 build 47.x, el protocolo DTLS 1.2 es compatible además del protocolo DTLS 1.0 compatible anteriormente.

Importante:

De forma predeterminada, la funcionalidad DTLS está activada para el servidor virtual SSL VPN existente. Inhabilite la funcionalidad del servidor antes de crear el servidor virtual VPN DTLS.

El servidor virtual de puerta de enlace SNI para DTLS se admite en Citrix Gateway versión 13.0 compilación 64.x y posteriores.

A partir de la versión 13.0 compilación 79.x de Citrix ADC, el parámetro helloverifyrequest está habilitado de forma predeterminada. Habilitar el parámetro helloverifyrequest en el perfil DTLS ayuda a mitigar el riesgo de que un atacante o bots abruman el rendimiento de la red, lo que podría provocar un agotamiento del ancho de banda saliente. Es decir, ayuda a mitigar el ataque de amplificación DDoS DTLS. Para obtener más información sobre el parámetro helloverifyrequest, consulte Perfil DTLS.

Al controlar el tráfico UDP, el consumo de memoria del dispositivo Citrix ADC aumenta si los servidores back-end impulsan mucho tráfico. Como resultado, el dispositivo Citrix ADC no puede enviar este tráfico al cliente debido a la conexión TCP MUX en el lado del cliente. En tales casos, Citrix recomienda utilizar el protocolo DTLS.

Puntos que tener en cuenta

El servidor virtual VPN DTLS en un dispositivo Citrix ADC se puede configurar a partir de la versión 13.0 build 58.x.
Antes de configurar un servidor virtual VPN DTLS en un dispositivo Citrix ADC, debe haber configurado un servidor virtual VPN SSL en el dispositivo.
El servidor virtual VPN de DTLS utiliza la dirección IP y el número de puerto del servidor virtual VPN SSL configurado.
Si se produce un error en el protocolo de enlace DTLS, la conexión vuelve a ser TLS.
Para usar solo DTLS, puede inhabilitar TLS vinculando solo los cifrados DTLS al tráfico DTLS.
La multiplexación DTLS no se admite cuando el tráfico TCP se canaliza a través de una VPN.

Configurar el servidor virtual VPN DTLS mediante la interfaz gráfica de usuario

En la ficha Configuración, vaya a Citrix Gateway > Servidores virtuales.
En la página Servidores virtuales de Citrix Gateway, seleccione el servidor virtual SSL VPN existente y haga clic en Modificar.
En la página Servidor virtual VPN, haga clic en el icono de modificación, desactive la casilla de verificación DTLS y haga clic en Aceptar.
Haga clic en el icono de flecha hacia atrás del servidor virtual VPN para ir a la página Servidores virtuales de Citrix Gateway y haga clic en Agregar.
En Configuración básica, introduzca los valores de los campos siguientes y haga clic en Aceptar.
- Nombre: nombre para el servidor virtual VPN de DTLS
- Protocolo: Seleccione DTLS en el menú desplegable
- Dirección IP: introduzca la dirección IP del servidor virtual SSL VPN
- Puerto: introduzca el número de puerto del servidor virtual SSL VPN.
En la página Servidores virtuales VPN, haga clic en la flecha situada debajo de Certificados para seleccionar la clave de certificado necesaria. Puede usar una clave de certificado SSL existente o crear una. Haga clic en el botón de opción situado junto a la clave de certificado deseada y haga clic en Seleccionar.
Haga clic en Enlazar en la página Enlace de certificado de servidor.
Para utilizar DTLS 1.2, habilite el mismo. En la página Servidores virtuales VPN, haga clic en el icono de modificación en Parámetros SSL. Active la casilla de verificación DTLS 1.2 y haga clic en Aceptar.
Nota:
- La indicación del nombre del servidor (SNI) es compatible con el servidor virtual VPN de tipo DTLS.
La configuración del servidor virtual VPN DTLS ya está completa.

Configurar el servidor virtual VPN de DTLS mediante la CLI

En el símbolo del sistema, escriba los siguientes conjuntos de comandos:

set vpn vserver <ssl vpnvserver name> -dtls off
add vpn vserver <dtls vpnvserver name> dtls <ssl vpn vserver IP> <ssl vpn vserver port>
bind ssl vservser <dtls vpnvserver name> -certkeyName <existing ssl cert key or newly created cert key>
<!--NeedCopy-->

DTLS 1.0 funciona como de costumbre, para usar DTLS 1.2, escriba el siguiente comando:

set ssl vserver < dtls vpnvserver name > -dtls12 ENABLED
<!--NeedCopy-->

Ejemplo

set vpn vserver vpnvserver  -dtls off
add vpn vserver vpnvserver_dtls dtls 10.108.45.220 443
bind ssl vservser vpnvserver_dtls -certkeyName sslcertkey
set ssl vserver vpnvserver_dtls -dtls12 ENABLED
<!--NeedCopy-->

Importante:

Los siguientes parámetros no son compatibles con el servidor virtual VPN de tipo DTLS.

LinuxEPAPluginUpgrade

WindowsEPAPluginUpgrade

maxAAAUsers

icaProxySessionMigration

loginOnce

cginfraHomePageRedirect

logoutOnSmartcardRemoval

l2Conn

MacEPAPluginUpgradeRHIstate

icaOnly

maxLoginAttempts

failedLoginTimeout

vserverFqdn

deviceCert

rdpServerProfileName

pcoipVserverProfileName

tcpProfileName

netProfile

authnProfile

Listenpriority

Listenpolicy

ipset

certkeyNames

Para habilitar SNI para el servidor virtual VPN de tipo DTLS, escriba el siguiente comando:

set ssl vserver <vServerName>@ [-SNIEnable ( ENABLED | DISABLED )
bind ssl vservser <dtls vpnvserver name> -certkeyName <existing ssl cert key or newly created cert key> <-SNICert>
<!--NeedCopy-->

Ejemplo

set ssl vserver _XD_10.106.40.225_443_DTLS -sniEnable eNABLED
bind ssl vserver \_XD_10.106.40.225_443_DTLS -certkeyName "Insight/*.insight.net.cer_CERT\_" -snICert

<!--NeedCopy-->

La lista de parámetros del servidor virtual DTLS VPN compatibles es la siguiente:

Ipaddress
Puerto
State
Doble salto
downstateflush
Comentario
Appflowlog
Icmpvsrresponse

Configurar un servidor virtual DTLS mediante el asistente XA/XD

En el asistente de configuración XA/XD, seleccione StoreFront y haga clic en Continuar.
En la página Configuración de Citrix Gateway, active la casilla de verificación Configurar un agente de escucha DTLS para este servidor virtual VPN y haga clic en Continuar.
Observe que la escucha DTLS ya está configurada. Haga clic en Elegir archivo para seleccionar certificado de servidor y haga clic en Continuar.
Especifique el archivo de certificado y el nombre del archivo de clave y haga clic en Continuar.
En la sección StoreFront, proporcione los valores de los parámetros necesarios de la siguiente manera y haga clic en Continuar.
Proporcione los valores de los parámetros necesarios de la siguiente manera y haga clic en Probar conexión.
Asegúrese de que el servidor es accesible, proporcione el valor de tiempo de espera y el atributo Nombre de inicio de sesión del servidor y haga clic en Continuar.
Por último, haga clic en Listo para completar la configuración.

Limitaciones

DTLS 1.2 solo es compatible con clientes Windows.
El servidor virtual VPN con DTLS no admite direcciones IPv6.
La directiva SSL y el perfil SSL no son compatibles con un servidor virtual VPN de DTLS. Además, no se admite el enlace de la directiva de servidor virtual VPN.
Las siguientes funciones no son compatibles con el servidor virtual VPN de DTLS.
- Unified Gateway con servidor virtual de cambio de contenido
- PCOIP
- UDP MUX
- Otro tráfico UDP
- Audio UDP
No se admite el comando stat vpn vserver relacionado con las estadísticas del servidor virtual VPN de DTLS.
Las claves HSM no se admiten en el servidor virtual DTLS.
No se admite la configuración de clústeres.

La versión oficial de este contenido está en inglés. Para mayor comodidad, parte del contenido de la documentación de Citrix solo tiene traducción automática. Citrix no puede controlar el contenido con traducción automática, que puede contener errores, imprecisiones o un lenguaje inadecuado. No se ofrece ninguna garantía, ni implícita ni explícita, en cuanto a la exactitud, la fiabilidad, la idoneidad o la precisión de las traducciones realizadas del original en inglés a cualquier otro idioma, o que su producto o servicio de Citrix se ajusten a cualquier contenido con traducción automática, y cualquier garantía provista bajo el contrato de licencia del usuario final o las condiciones de servicio, o cualquier otro contrato con Citrix, de que el producto o el servicio se ajusten a la documentación no se aplicará en cuanto dicha documentación se ha traducido automáticamente. Citrix no se hace responsable de los daños o los problemas que puedan surgir del uso del contenido traducido automáticamente.

¿Le ha resultado útil?

Configurar el servidor virtual VPN DTLS mediante el servidor virtual VPN SSL

August 2, 2022

Contribución de:

August 2, 2022

Contribución de:

En este artículo

Puntos que tener en cuenta
Configurar el servidor virtual VPN DTLS mediante la interfaz gráfica de usuario
Configurar el servidor virtual VPN de DTLS mediante la CLI
Configurar un servidor virtual DTLS mediante el asistente XA/XD
Limitaciones

¿Le ha resultado útil?