Citrix ADC

Trafic équilibré de charge sécurisé à l’aide de SSL

La fonctionnalité de déchargement SSL de Citrix ADC améliore de manière transparente les performances des sites Web qui effectuent des transactions SSL. En déchargeant les tâches de chiffrement et de déchiffrement SSL à forte intensité de CPU du serveur Web local vers l’appliance, le déchargement SSL garantit la livraison sécurisée des applications Web sans les pénalités de performances encourues lorsque le serveur traite les données SSL. Une fois le trafic SSL décrypté, il peut être traité par tous les services standard. Le protocole SSL fonctionne en toute transparence avec différents types de données HTTP et TCP et fournit un canal sécurisé pour les transactions utilisant de telles données.

Pour configurer SSL, vous devez d’abord l’activer. Ensuite, vous configurez les services HTTP ou TCP et un serveur virtuel SSL sur l’appliance, puis liez les services au serveur virtuel. Vous devez également ajouter une paire de clés de certificat et la lier au serveur virtuel SSL. Si vous utilisez des serveurs Outlook Web Access, vous devez créer une action pour activer la prise en charge SSL et une stratégie pour appliquer l’action. Un serveur virtuel SSL intercepte le trafic crypté entrant et le déchiffre à l’aide d’un algorithme négocié. Le serveur virtuel SSL transmet ensuite les données déchiffrées aux autres entités de l’appliance pour un traitement approprié.

Pour plus d’informations sur le déchargement SSL, reportez-vous à la section Déchargement et accélération SSL.

Séquence de tâches de configuration SSL

Pour configurer SSL, vous devez d’abord l’activer. Ensuite, vous devez créer un serveur virtuel SSL et des services HTTP ou TCP sur l’appliance Citrix ADC. Enfin, vous devez lier un certificat SSL valide et les services configurés au serveur virtuel SSL.

Un serveur virtuel SSL intercepte le trafic crypté entrant et le déchiffre à l’aide d’un algorithme négocié. Le serveur virtuel SSL transfère ensuite les données déchiffrées aux autres entités de l’appliance Citrix ADC pour un traitement approprié.

L’organigramme suivant montre la séquence des tâches de configuration d’une configuration de déchargement SSL de base.

Figure 1. Séquence des tâches pour configurer le déchargement SSL

image

Activer le déchargement SSL

Vous devez activer la fonctionnalité SSL avant de configurer le déchargement SSL. Vous pouvez configurer des entités SSL sur l’appliance sans activer la fonctionnalité SSL, mais elles ne fonctionneront pas tant que vous n’avez pas activé SSL.

Activer SSL à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez les commandes suivantes pour activer le déchargement SSL et vérifier la configuration :

  • activer la fonctionnalité ns SSL
  • show ns feature
> enable ns feature ssl




Done


> show ns feature


Feature Acronym Status


------- ------- ------


1) Web Logging WL ON


2) SurgeProtection SP OFF


3) Load Balancing LB ON . . .


 9) SSL Offloading SSL ON


10) Global Server Load Balancing GSLB ON . .


Done >

Activer SSL à l’aide de l’interface graphique

Suivez ces étapes :

  1. Dans le volet de navigation, développez Système, puis cliquez sur Paramètres.
  2. Dans le volet d’informations, sous Modes et fonctionnalités, cliquez sur Modifier les fonctions de base.
  3. Activez la case à cocher Déchargement SSL, puis cliquez sur OK.
  4. Dans la ou les fonctions Activer/Désactiver ?, cliquez sur Oui.

Créer des services HTTP

Un service sur l’appliance représente une application sur un serveur. Une fois configurés, les services sont désactivés jusqu’à ce que l’appliance puisse atteindre le serveur sur le réseau et surveiller son état. Cette rubrique décrit les étapes de création d’un service HTTP.

Remarque : Pour le trafic TCP, effectuez les procédures de cette rubrique et des rubriques suivantes, mais créez des services TCP au lieu des services HTTP.

Ajouter un service HTTP à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez les commandes suivantes pour ajouter un service HTTP et vérifier la configuration :

  • add service <name> (<IP> | <serverName>) <serviceType> <port>
  • show service <name>

Exemple :

> add service SVC_HTTP1 10.102.29.18 HTTP 80


 Done


> show service SVC_HTTP1


        SVC_HTTP1 (10.102.29.18:80) - HTTP


        State: UP


        Last state change was at Wed Jul 15 06:13:05 2009


        Time since last state change: 0 days, 00:00:15.350


        Server Name: 10.102.29.18


        Server ID : 0   Monitor Threshold : 0


        Max Conn: 0     Max Req: 0      Max Bandwidth: 0 kbits


        Use Source IP: NO


        Client Keepalive(CKA): NO


        Access Down Service: NO


        TCP Buffering(TCPB): NO


        HTTP Compression(CMP): YES


        Idle timeout: Client: 180 sec   Server: 360 sec


        Client IP: DISABLED


        Cacheable: NO


        SC: OFF


        SP: OFF


        Down state flush: ENABLED





1)      Monitor Name: tcp-default


                State: UP       Weight: 1


                Probes: 4       Failed [Total: 0 Current: 0]


                Last response: Success - TCP syn+ack received.


                Response Time: N/A


 Done



Ajouter un service HTTP à l’aide de l’interface graphique

Procédez comme suit :

  1. Accédez à Gestion du trafic > Déchargement SSL > Services.
  2. Dans le volet d’informations, cliquez sur Ajouter.
  3. Dans la boîte de dialogue Créer un service, dans les zones de texte Nom du service, Serveur et Port, tapez le nom du service, l’adresse IP et le port (par exemple, SVC_HTTP1, 10.102.29.18 et 80).
  4. Dans la liste Protocole, sélectionnez le type du service (par exemple, HTTP).
  5. Cliquez sur Créer, puis sur Fermer. Le service HTTP que vous avez configuré apparaît dans la page Services.
  6. Vérifiez que les paramètres que vous avez configurés sont correctement configurés en sélectionnant le service et en affichant la section Détails en bas du volet.

Ajouter un serveur virtuel SSL

Dans une configuration de déchargement SSL de base, le serveur virtuel SSL intercepte le trafic chiffré, le déchiffre et envoie les messages texte clairs aux services liés au serveur virtuel. Le déchargement du traitement SSL à forte intensité de processeur vers l’appliance permet aux serveurs dorsaux de traiter un plus grand nombre de demandes.

Ajouter un serveur virtuel SSL à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez les commandes suivantes pour créer un serveur virtuel SSL et vérifier la configuration :

  • add lb vserver <name> <serviceType> [<IPAddress> <port>]
  • show lb vserver <name>

Attention : Pour garantir la sécurité des connexions, vous devez lier un certificat SSL valide au serveur virtuel SSL avant de l’activer.

Exemple :

> add lb vserver vserver-SSL-1 SSL 10.102.29.50 443




  Done


  > show lb vserver vserver-SSL-1


  vserver-SSL-1 (10.102.29.50:443) - SSL Type: ADDRESS


  State: DOWN[Certkey not bound] Last state change was at Tue Jun 16 06:33:08 2009 (+176 ms)


  Time since last state change: 0 days, 00:03:44.120


  Effective State: DOWN Client Idle Timeout: 180 sec


  Down state flush: ENABLED


  Disable Primary Vserver On Down : DISABLED


  No. of Bound Services : 0 (Total) 0 (Active)


  Configured Method: LEASTCONNECTION Mode: IP


  Persistence: NONE


  Vserver IP and Port insertion: OFF


  Push: DISABLED Push VServer: Push Multi Clients: NO Push Label Rule: Done

Ajouter un serveur virtuel SSL à l’aide de l’interface graphique

Procédez comme suit :

  1. Accédez à Gestion du trafic > Déchargement SSL > Serveurs virtuels.
  2. Dans le volet d’informations, cliquez sur Ajouter.
  3. Dans la boîte de dialogue Créer un serveur virtuel (Déchargement SSL), dans les zones de texte Nom, Adresse IP et Port, tapez le nom du serveur virtuel, l’adresse IP et le port (par exemple, vServer-SSL-1, 10.102.29.50 et 443).
  4. Dans la liste Protocole, sélectionnez le type du serveur virtuel, par exemple SSL.
  5. Cliquez sur Créer, puis sur Fermer.
  6. Vérifiez que les paramètres que vous avez configurés sont correctement configurés en sélectionnant le serveur virtuel et en affichant la section Détails en bas du volet. Le serveur virtuel est marqué comme étant DOWN car une paire de clés de certificat et les services n’y ont pas été liés.

Attention : Pour garantir la sécurité des connexions, vous devez lier un certificat SSL valide au serveur virtuel SSL avant de l’activer.

Lier des services au serveur virtuel SSL

Après avoir déchiffré les données entrantes, le serveur virtuel SSL transmet les données aux services que vous avez liés au serveur virtuel.

Le transfert de données entre l’appliance et les serveurs peut être chiffré ou en texte clair. Si le transfert de données entre l’appliance et les serveurs est chiffré, l’intégralité de la transaction est sécurisée de bout en bout. Pour plus d’informations sur la configuration du système pour la sécurité de bout en bout, reportez-vous à la section Déchargement et accélération SSL.

Lier un service à un serveur virtuel à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez les commandes suivantes pour lier le service au serveur virtuel SSL et vérifiez la configuration :

  • bind lb vserver <name> <serviceName>
  • show lb vserver <name>

Exemple :

> bind lb vserver vserver-SSL-1 SVC_HTTP1




  Done


  > show lb vserver vserver-SSL-1 vserver-SSL-1 (10.102.29.50:443) - SSL Type:


  ADDRESS State: DOWN[Certkey not bound]


  Last state change was at Tue Jun 16 06:33:08 2009 (+174 ms)


  Time since last state change: 0 days, 00:31:53.70


  Effective State: DOWN Client Idle


  Timeout: 180 sec


  Down state flush: ENABLED Disable Primary Vserver On Down :


  DISABLED No. of Bound Services : 1 (Total) 0 (Active)


  Configured Method: LEASTCONNECTION Mode: IP Persistence: NONE Vserver IP and


  Port insertion: OFF Push: DISABLED Push VServer: Push Multi Clients: NO Push Label Rule:





  1) SVC_HTTP1 (10.102.29.18: 80) - HTTP


  State: DOWN Weight: 1


  Done

Lier un service à un serveur virtuel à l’aide de l’interface graphique

  1. Accédez à Gestion du trafic > Déchargement SSL > Serveurs virtuels.
  2. Dans le volet d’informations, sélectionnez un serveur virtuel, puis cliquez sur Ouvrir.
  3. Sous l’onglet Services, dans la colonne Actif, activez les cases à cocher en regard des services que vous souhaitez lier au serveur virtuel sélectionné.
  4. Cliquez sur OK.
  5. Vérifiez que le compteur Nombre de services liés dans la section Détails en bas du volet est incrémenté par le nombre de services que vous avez liés au serveur virtuel.

Ajouter une paire de clés de certificat

Un certificat SSL fait partie intégrante du processus d’échange de clés SSL et de chiffrement et de déchiffrement. Le certificat est utilisé lors de la liaison SSL pour établir l’identité du serveur SSL. Vous pouvez utiliser un certificat SSL valide existant que vous possédez sur l’appliance Citrix ADC, ou vous pouvez créer votre propre certificat SSL. L’appliance prend en charge les certificats RSA/DSA jusqu’à 4096 bits.

Remarque : Citrix vous recommande d’utiliser un certificat SSL valide émis par une autorité de certification approuvée. Les certificats non valides et les certificats auto-créés ne sont pas compatibles avec tous les clients SSL.

Avant qu’un certificat puisse être utilisé pour le traitement SSL, vous devez le jumeler avec sa clé correspondante. La paire de clés de certificat est ensuite liée au serveur virtuel et utilisée pour le traitement SSL.

Ajouter une paire de clés de certificat à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez les commandes suivantes pour créer une paire de clés de certificat et vérifier la configuration :

  • add ssl certKey <certkeyName> -cert <string> [-key <string>]
  • <name>montrer sslcertkey

Exemple :

> add ssl certKey CertKey-SSL-1 -cert ns-root.cert -key ns-root.key




 Done


> show sslcertkey CertKey-SSL-1


   Name: CertKey-SSL-1 Status: Valid,


   Days to expiration:4811 Version: 3


   Serial Number: 00 Signature Algorithm: md5WithRSAEncryption Issuer: C=US,ST=California,L=San


   Jose,O=Citrix ANG,OU=NS Internal,CN=de fault


   Validity Not Before: Oct 6 06:52:07 2006 GMT Not After : Aug 17 21:26:47 2022 GMT


   Subject: C=US,ST=California,L=San Jose,O=Citrix ANG,OU=NS Internal,CN=d efault Public Key


   Algorithm: rsaEncryption Public Key


   size: 1024


 Done

Ajouter une paire de clés de certificat à l’aide de l’interface graphique

Procédez comme suit :

  1. Accédez à Gestion du trafic > SSL > Certificats.
  2. Dans le volet d’informations, cliquez sur Ajouter.
  3. Dans la boîte de dialogue Installer le certificat, dans la zone de texte Nom de la paire de clés de certificat, tapez un nom pour la paire de clés de certificat que vous souhaitez ajouter, par exemple, CertKey-SSL-1.
  4. Sous Détails, dans Nom du fichier de certificat, cliquez sur Parcourir (Appliance) pour localiser le certificat. Le certificat et la clé sont tous deux stockés dans le dossier /nsconfig/ssl/ de l’appliance. Pour utiliser un certificat présent sur le système local, sélectionnez Local.
  5. Sélectionnez le certificat à utiliser, puis cliquez sur Sélectionner.
  6. Dans Nom du fichier de clé privée, cliquez sur Parcourir (Appliance) pour localiser le fichier de clé privée. Pour utiliser une clé privée présente sur le système local, sélectionnez Local.
  7. Sélectionnez la clé à utiliser, puis cliquez sur Sélectionner. Pour chiffrer la clé utilisée dans la paire de clés de certificat, tapez le mot de passe à utiliser pour le chiffrement dans la zone de texte Mot de passe.
  8. Cliquez sur Installer.
  9. Double-cliquez sur la paire de clés de certificat et, dans la fenêtre Détails du certificat, vérifiez que les paramètres ont été correctement configurés et enregistrés.

Liez une paire de clés de certificat SSL au serveur virtuel

Après avoir jumelé un certificat SSL avec sa clé correspondante, vous devez lier la paire de clés de certificat au serveur virtuel SSL afin qu’il puisse être utilisé pour le traitement SSL. Les sessions sécurisées nécessitent l’établissement d’une connexion entre l’ordinateur client et un serveur virtuel SSL sur l’appliance. Le traitement SSL est ensuite effectué sur le trafic entrant sur le serveur virtuel. Par conséquent, avant d’activer le serveur virtuel SSL sur l’appliance, vous devez lier un certificat SSL valide au serveur virtuel SSL.

Liez une paire de clés de certificat SSL à un serveur virtuel à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez les commandes suivantes pour lier une paire de clés de certificat SSL à un serveur virtuel et vérifiez la configuration :

  • bind ssl vserver <vServerName> -certkeyName <string>
  • show ssl vserver <name>

Exemple :

> bind ssl vserver Vserver-SSL-1 -certkeyName CertKey-SSL-1




Done


> show ssl vserver Vserver-SSL-1





     Advanced SSL configuration for VServer Vserver-SSL-1:


     DH: DISABLED


     Ephemeral RSA: ENABLED Refresh Count: 0


     Session Reuse: ENABLED Timeout: 120 seconds


     Cipher Redirect: ENABLED


     SSLv2 Redirect: ENABLED


     ClearText Port: 0


     Client Auth: DISABLED


     SSL Redirect: DISABLED


     Non FIPS Ciphers: DISABLED


     SSLv2: DISABLED SSLv3: ENABLED TLSv1: ENABLED





1) CertKey Name: CertKey-SSL-1 Server Certificate


1) Cipher Name: DEFAULT


   Description: Predefined Cipher Alias


Done

Liez une paire de clés de certificat SSL à un serveur virtuel à l’aide de l’interface graphique

Procédez comme suit :

  1. Accédez à Gestion du trafic > Déchargement SSL > Serveurs virtuels.
  2. Sélectionnez le serveur virtuel auquel vous souhaitez lier la paire de clés de certificat, par exemple, vServer-SSL-1, puis cliquez sur Ouvrir.
  3. Dans la boîte de dialogue Configurer le serveur virtuel (Déchargement SSL), sous l’onglet Paramètres SSL, sous Disponible, sélectionnez la paire de clés de certificat que vous souhaitez lier au serveur virtuel (par exemple, CertKey-SSL-1), puis cliquez sur Ajouter.
  4. Cliquez sur OK.
  5. Vérifiez que la paire de clés de certificat que vous avez sélectionnée s’affiche dans la zone Configuré.

Configurer la prise en charge pour Outlook Web Access

Si vous utilisez des serveurs Outlook Web Access (OWA) sur votre appliance Citrix ADC, vous devez configurer l’appliance pour qu’elle insère un champ d’en-tête spécial, FRONT-END-HTTPS : ON, dans les requêtes HTTP dirigées vers les serveurs OWA, afin que les serveurs génèrent des liens URLhttps:// au lieu de http://.

Remarque : Vous pouvez activer la prise en charge OWA pour les serveurs et services virtuels SSL basés sur HTTP uniquement. Vous ne pouvez pas l’appliquer pour les serveurs et services virtuels SSL basés sur TCP.

Pour configurer la prise en charge OWA, procédez comme suit :

  • Créez une action SSL pour activer le support OWA.
  • Créez une stratégie SSL.
  • Liez la stratégie au serveur virtuel SSL.

Créer une action SSL pour activer la prise en charge OWA

Avant de pouvoir activer la prise en charge d’Outlook Web Access (OWA), vous devez créer une action SSL. Les actions SSL sont liées aux stratégies SSL et déclenchées lorsque les données entrantes correspondent à la règle spécifiée par la stratégie.

Créer une action SSL pour activer la prise en charge OWA à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez les commandes suivantes pour créer une action SSL pour activer la prise en charge OWA et vérifier la configuration :

  • add ssl action <name> -OWASupport ENABLED
  • <name>Afficher l’action SSL

Exemple :

```
> add ssl action Action-SSL-OWA -OWASupport enabled




Done


> montrer l'action SSL-SSL-OWA


Nom : Action-SSL-owa


Action d'insertion de données : OWA


Prise en charge : ENABLED


Done
```

Créer une action SSL pour activer la prise en charge OWA à l’aide de l’interface graphique

Procédez comme suit :

  1. Accédez à Gestion du trafic > SSL > Stratégies.
  2. Dans le volet d’informations, sous l’onglet Actions, cliquez sur Ajouter.
  3. Dans la boîte de dialogue Créer une action SSL, dans la zone de texte Nom, tapez Action-SSL-OWA.
  4. Sous Outlook Web Access, sélectionnez Activé.
  5. Cliquez sur Créer, puis sur Fermer.
  6. Vérifiez que l’action SSL-OWA s’affiche dans la page Actions SSL .

Créer des stratégies SSL

Les stratégies SSL sont créées à l’aide de l’infrastructure de stratégies. Chaque stratégie SSL a une action SSL qui lui est liée, et l’action est effectuée lorsque le trafic entrant correspond à la règle configurée dans la stratégie.

Créer une stratégie SSL à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez les commandes suivantes pour configurer une stratégie SSL et vérifier la configuration :

  • add ssl policy <name> -rule <expression> -reqAction <string>
  • <name>afficher la stratégie ssl

Exemple :

> add ssl policy Policy-SSL-1 -rule ns_true -reqaction Action-SSL-OWA

Done

> show ssl policy Policy-SSL-1

Name: Policy-SSL-1 Rule: ns_true

Action: Action-SSL-OWA Hits: 0

Policy is bound to following entities

1) PRIORITY : 0

Done

Créer une stratégie SSL à l’aide de l’interface graphique

Procédez comme suit :

  1. Accédez à Gestion du trafic > SSL > Stratégies.
  2. Dans le volet d’informations, cliquez sur Ajouter.
  3. Dans la boîte de dialogue Créer une stratégie SSL, dans la zone de texte Nom, tapez le nom de la stratégie SSL (par exemple, Policy-SSL-1).
  4. Dans Demande d’action, sélectionnez l’action SSL configurée que vous souhaitez associer à cette stratégie (par exemple, Action-SSL-OWA). L’expression générale ns_true applique la stratégie à tout le trafic de handshake SSL réussi. Toutefois, si vous devez filtrer des réponses spécifiques, vous pouvez créer des stratégies avec un niveau de détail plus élevé. Pour plus d’informations sur la configuration des expressions de stratégie granulaire, reportez-vous à la section Actions et stratégies SSL.
  5. Dans Expressions nommées, choisissez l’expression générale intégrée ns_true et cliquez sur Ajouter une expression. L’expression ns_true apparaît désormais dans la zone de texte Expression.
  6. Cliquez sur Créer, puis sur Fermer.
  7. Vérifiez que la stratégie est correctement configurée en sélectionnant la stratégie et en affichant la section Détails en bas du volet.

Liez la stratégie SSL au serveur virtuel SSL

Après avoir configuré une stratégie SSL pour Outlook Web Access, liez la stratégie à un serveur virtuel qui interceptera le trafic Outlook entrant. Si les données entrantes correspondent à l’une des règles configurées dans la stratégie SSL, la stratégie est déclenchée et l’action qui y est associée est exécutée.

Liez une stratégie SSL à un serveur virtuel SSL à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez les commandes suivantes pour lier une stratégie SSL à un serveur virtuel SSL et vérifiez la configuration :

  • bind ssl vserver <vServerName> -policyName <string>
  • show ssl vserver <name>

Exemple :

> bind ssl vserver Vserver-SSL-1 -policyName Policy-SSL-1

 Done

> show ssl vserver Vserver-SSL-1

Advanced SSL configuration for VServer Vserver-SSL-1:

DH: DISABLED

Ephemeral RSA: ENABLED

Refresh Count: 0

Session Reuse: ENABLED

Timeout: 120 seconds

Cipher Redirect: ENABLED

SSLv2 Redirect: ENABLED

ClearText Port: 0

Client Auth: DISABLED

SSL Redirect: DISABLED

Non FIPS Ciphers: DISABLED

SSLv2: DISABLED SSLv3: ENABLED TLSv1: ENABLED

1) CertKey Name: CertKey-SSL-1 Server Certificate

1) Policy Name: Policy-SSL-1 Priority: 0

1) Cipher Name: DEFAULT Description: Predefined Cipher Alias

Done

Liez une stratégie SSL à un serveur virtuel SSL à l’aide de l’interface graphique

Procédez comme suit :

  1. Accédez à Gestion du trafic > Déchargement SSL > Serveurs virtuels.
  2. Dans le volet d’informations, sélectionnez le serveur virtuel (par exemple, vServer-SSL-1), puis cliquez sur Ouvrir.
  3. Dans la boîte de dialogue Configurer le serveur virtuel (Déchargement SSL), cliquez sur Insérer une stratégie, puis sélectionnez la stratégie que vous souhaitez lier au serveur virtuel SSL. Vous pouvez également double-cliquer sur le champ Priorité et saisir un nouveau niveau de priorité.
  4. Cliquez sur OK.