Configurer l’équilibrage de charge RADIUS avec persistance

L’environnement réseau complexe d’aujourd’hui nécessite souvent la coordination d’une configuration d’équilibrage de charge à haut volume et haute capacité avec une authentification et une autorisation robustes. Les utilisateurs d’application peuvent se connecter à un VPN via des points d’accès mobiles tels que des connexions DSL ou câble de qualité grand public, WiFi ou même des nœuds d’accès à distance. Ces connexions utilisent généralement des adresses IP dynamiques, qui peuvent changer pendant la connexion.

Si vous configurez l’équilibrage de charge RADIUS sur l’appliance Citrix ADC pour prendre en charge les connexions clientes persistantes aux serveurs d’authentification RADIUS, l’appliance utilise l’ouverture de session de l’utilisateur ou l’attribut RADIUS spécifié au lieu de l’adresse IP du client comme ID de session, en dirigeant toutes les connexions et enregistrements associés à sur le même serveur RADIUS. Les utilisateurs peuvent donc se connecter à votre VPN à partir d’emplacements d’accès mobile sans subir de déconnexions lorsque le point d’accès IP ou WiFi du client change.

Pour configurer l’équilibrage de charge RADIUS avec persistance, vous devez d’abord configurer l’authentification RADIUS pour votre VPN. Pour plus d’informations et d’instructions, reportez-vous au chapitre Authentification, autorisation, audit (AAA) dansTrafic des applications AAA. Vous devez également choisir la fonction Équilibrage de charge ou Commutation de contenu comme base de votre configuration, et vous assurer que la fonction que vous avez choisie est activée. Le processus de configuration avec l’une ou l’autre des fonctions est presque le même.

Ensuite, vous configurez deux serveurs virtuels d’équilibrage de charge ou deux commutateurs de contenu, l’un pour gérer le trafic d’authentification RADIUS et l’autre pour gérer le trafic de comptabilité RADIUS. Ensuite, vous configurez deux services, un pour chaque serveur virtuel d’équilibrage de charge, et liez chaque serveur virtuel d’équilibrage de charge à son service. Enfin, vous créez un groupe de persistance d’équilibrage de charge et définissez le type de persistance sur RULE.

Activation de la fonction d’équilibrage de charge ou de commutation de contenu

Pour utiliser la fonction Équilibrage de charge ou Commutation de contenu, vous devez d’abord vous assurer que la fonction est activée. Si vous configurez une nouvelle appliance Citrix ADC qui n’a pas encore été configurée, ces deux fonctionnalités sont déjà activées. Vous pouvez donc passer à la section suivante. Si vous configurez un appliance Citrix ADC avec une configuration précédente et que vous n’êtes pas certain que la fonctionnalité que vous utiliserez est activée, vous devez le faire maintenant.

Configuration des serveurs virtuels

Après avoir activé la fonction d’équilibrage de charge ou de commutation de contenu, vous devez ensuite configurer deux serveurs virtuels pour prendre en charge l’authentification RADIUS :

  • Serveur virtuel d’authentification RADIUS. Ce serveur virtuel et son service associé géreront le trafic d’authentification vers votre serveur RADIUS. Le trafic d’authentification consiste en des connexions associées aux utilisateurs qui se connectent à votre application protégée ou à votre réseau privé virtuel (VPN).
  • Serveur virtuel de comptabilité RADIUS. Ce serveur virtuel et son service associé géreront les connexions comptables à votre serveur RADIUS. Le trafic comptable est constitué de connexions qui suivent les activités d’un utilisateur authentifié sur votre application protégée ou VPN.

Important : vous devez créer une paire de serveurs virtuels d’équilibrage de charge ou une paire de serveurs virtuels de commutation de contenu à utiliser dans votre configuration de persistance RADIUS. Vous ne pouvez pas mélanger les types de serveurs virtuels.

Pour configurer un serveur virtuel d’équilibrage de charge à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez les commandes suivantes pour créer un nouveau serveur virtuel d’équilibrage de charge et vérifier la configuration :

add lb vserver <name> RADIUS <IP address> <port> -lbmethod TOKEN -rule <rule>

show lb vserver <name>

Pour configurer un serveur virtuel d’équilibrage de charge existant, remplacez la commande add lb virtual server ci-dessus par la commande set lb vserver, qui prend les mêmes arguments.

Pour configurer un serveur virtuel de commutation de contenu à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez les commandes suivantes pour créer un nouveau serveur virtuel de commutation de contenu et vérifier la configuration :

add cs vserver <name> RADIUS <IP address> <port> -lbmethod TOKEN -rule <rule>

show cs vserver <name>

Pour configurer un serveur virtuel de commutation de contenu existant, remplacez la commande add cs vserver ci-dessus par la commande set cs vserver, qui prend les mêmes arguments.

Exemple :

add lb vserver radius_auth_vs1 RADIUS 192.168.46.33 1812 -lbmethod TOKEN -rule CLIENT.UDP.RADIUS.USERNAME

add lb vserver radius_acct_vs1 RADIUS 192.168.46.34 1813 -lbmethod TOKEN -rule CLIENT.UDP.RADIUS.USERNAME

set lb vserver radius_auth_vs1 RADIUS 192.168.46.33 1812 -lbmethod TOKEN -rule CLIENT.UDP.RADIUS.USERNAME

set lb vserver radius_auth_vs1 RADIUS 192.168.46.34 1813 -lbmethod TOKEN -rule CLIENT.UDP.RADIUS.USERNAME

Pour configurer un serveur virtuel d’équilibrage de charge ou de commutation de contenu à l’aide de l’utilitaire de configuration

Accédez à Gestion du trafic > Équilibrage de charge > Serveurs virtuels ou accédez à Gestion du trafic > Commutation de contenu > Serveurs virtuels» et configurez un serveur virtuel.

Configuration des services

Après avoir configuré vos serveurs virtuels, vous devez ensuite configurer deux services, un pour chacun des serveurs virtuels que vous avez créés.

Remarque : une fois configurés, ces services sont dans l’état DISABLED jusqu’à ce que l’appliance Citrix ADC puisse se connecter aux adresses IP d’authentification et de comptabilité de votre serveur RADIUS et surveiller leur état. Pour obtenir des instructions, veuillez consulter la section Configuration des services.

Liaison de serveurs virtuels aux services

Après avoir configuré vos services, vous devez ensuite lier chacun des serveurs virtuels que vous avez créés au service approprié.Pour plus d’instructions, reportez-vous à la section Reliure des services au serveur virtuel.

Configuration d’un groupe de persistance pour Rayon

Après avoir lié vos serveurs virtuels d’équilibrage de charge aux services correspondants, vous devez configurer votre configuration d’équilibrage de charge RADIUS pour prendre en charge la persistance. Pour ce faire, vous configurez un groupe de persistance d’équilibrage de charge qui contient vos serveurs et services virtuels d’équilibrage de charge RADIUS, et configurez ce groupe de persistance d’équilibrage de charge pour utiliser la persistance basée sur des règles. Un groupe de persistance est requis car les serveurs virtuels d’authentification et de comptabilité sont différents et le message d’authentification et de comptabilisation pour un seul utilisateur doit atteindre le même serveur RADIUS. En configurant un groupe de persistance, la même session est utilisée pour les deux serveurs virtuels. Pour obtenir des instructions, veuillez consulter la section Configuration des groupes de persistance.

Configuration du secret partagé RADIUS

À partir de la version 12.0, une appliance Citrix ADC prend en charge le secret partagé RADIUS. Un client et un serveur RADIUS communiquent entre eux à l’aide d’un secret partagé configuré sur le client et sur le serveur. Les transactions entre un client RADIUS et un serveur sont authentifiées par l’utilisation d’un secret partagé. Ce secret est également utilisé pour crypter certaines informations dans le paquet RADIUS.

Scénarios de validation de clé secrète partagée RADIUS

La validation de la clé secrète partagée RADIUS se produit dans les scénarios suivants :

  • La clé secrète partagée RADIUS est configurée pour le client radius et le serveur radius : l’appliance Citrix ADC utilise la clé secrète RADIUS pour le côté client et le côté serveur. Si la vérification réussit, l’appliance autorise le message RADIUS à passer en revue. Sinon, il supprime le message RADIUS.
  • Laclé secrète partagée RADIUS n’est configurée ni pour le client radius ni pour le serveur radius : l’appliance Citrix ADC supprime le message RADIUS, car la validation de la clé secrète partagée ne peut pas être effectuée sur un nœud qui n’a pas de clé radicale configuré.
  • La clé secrète partagée RADIUS n’est pas configurée pour le client RADIUS et le serveur RADIUS : l’appliance Citrix ADC contourne la validation de la clé secrète RADIUS et permet aux messages RADIUS de passer en revue.

Vous pouvez configurer un secret partagé RADIUS par défaut ou configurer sur une base par client ou sous-réseau. Il est recommandé d’ajouter une clé secrète partagée RADIUS pour tous les déploiements avec la stratégie RADIUS configurée. L’appliance utilise l’adresse IP source du paquet RADIUS pour décider quel secret partagé utiliser. Vous pouvez configurer un client et un serveur RADIUS ainsi que le secret partagé correspondant comme suit :

À l’invite CLI, tapez :

add radiusNode <clientPrefix/Subnet> -radKey <Shared_secret_key>

Arguments

Adresse IP

Adresse IP ou sous-réseau du client RADIUS au format CIDR. L’appliance utilise l’adresse IP source d’un paquet de requête entrant pour correspondre à l’adresse IP du client. Au lieu de configurer une adresse IP du client, vous pouvez configurer l’adresse réseau du client. Le préfixe le plus long est mis en correspondance pour identifier le secret partagé pour une demande client entrante.

Radkey

Secret partagé entre le client, l’appliance Citrix ADC et le serveur. Longueur maximale : 31.

add lb vserver radius_auth_vs1 RADIUS 192.168.46.33 1812 -lbmethod TOKEN -rule CLIENT.UDP.RADIUS.USERNAME

add lb vserver radius_acct_vs1 RADIUS 192.168.46.34 1813 -lbmethod TOKEN -rule CLIENT.UDP.RADIUS.USERNAME

add service radius_auth_service1 192.168.41.68 RADIUS 1812

add service radius_acct_service1 192.168.41.70 RADIUS 1813

bind lb vserver radius_auth_vs1 radius_auth_service1

bind lb vserver radius_acct_vs1 radius_acct_service[1-3]

add radiusNode 192.168.41.0/24 -radKey  serverkey123

add radiusNode 203.0.113.0/24 -radkey clientkey123

Un secret partagé doit être configuré à la fois pour un client et un serveur RADIUS. La commande est la même. Le sous-réseau détermine si le secret partagé est pour un client ou un serveur.

Par exemple, si le sous-réseau spécifié est un sous-réseau client, le secret partagé est pour le client. Si le sous-réseau spécifié est un sous-réseau serveur (192.168.41.0/24 dans l’exemple ci-dessus), le secret partagé est pour le serveur.

Un sous-réseau de 0.0.0.0/0 implique qu’il s’agit du secret partagé par défaut pour tous les clients et serveurs.

Remarque :

Seules les méthodes d’authentification PAP et CHAP sont prises en charge avec le secret partagé RADIUS.