Citrix ADC

Configurer les nœuds HA-INC à l’aide du modèle de haute disponibilité Citrix avec Azure ILB

Vous pouvez déployer rapidement et efficacement une paire d’instances VPX en mode HA-INC en utilisant le modèle standard pour les applications intranet. L’équilibrage de charge interne (ILB) Azure utilise une adresse IP interne ou privée pour le front end, comme illustré à la figure 1. Le modèle crée deux nœuds, avec trois sous-réseaux et six cartes réseau. Les sous-réseaux sont destinés à la gestion, au client et au trafic côté serveur, chaque sous-réseau appartenant à une carte réseau différente sur chaque périphérique.

Figure 1 : paire Citrix ADC HA pour les clients d’un réseau interne

Paire HA dans un réseau interne

Vous pouvez également utiliser ce déploiement lorsque la paire Citrix ADC HA est derrière un pare-feu, comme illustré à la Figure 2. L’adresse IP publique appartient au pare-feu et est NAT à l’adresse IP frontale de l’ILB.

Figure 2 : paire Citrix ADC HA avec pare-feu ayant une adresse IP publique

Paire HA avec pare-feu

Vous pouvez obtenir le modèle de paire Citrix ADC HA pour les applications intranet à l’adresse portail Azure.

Procédez comme suit pour lancer le modèle et déployer une paire VPX haute disponibilité à l’aide des jeux de disponibilité Azure.

  1. À partir du portail Azure, accédez à la page Déploiement personnalisé.

  2. La page Bases s’affiche. Créez un groupe de ressources. Sous l’onglet Paramètres, entrez les détails de la région, du nom d’utilisateur administrateur, du mot de passe administrateur, du type de licence (sku de la machine virtuelle) et d’autres champs.

    Page Principes de base

  3. Cliquez sur Suivant : Revie+créer.

    Il peut prendre un moment avant que le groupe de ressources Azure soit créé avec les configurations requises. Une fois terminé, sélectionnez le groupe de ressources dans le portail Azure pour afficher les détails de configuration, tels que les règles de LB, les pools back-end, les sondes d’intégrité. La paire haute disponibilité apparaît sous la forme ADC-VPX-0 et ADC-VPX-1.

    Si d’autres modifications sont nécessaires pour votre configuration HA, telles que la création de règles et de ports de sécurité supplémentaires, vous pouvez le faire à partir du portail Azure.

    Une fois la configuration requise terminée, les ressources suivantes sont créées.

    Groupe de ressources HA ilb

  4. Vous devez vous connecter aux nœuds ADC-VPX-0 et ADC-VPX-1 pour valider la configuration suivante :

    • Les adresses NSIP pour les deux nœuds doivent se trouver dans le sous-réseau de gestion.
    • Sur les nœuds principal (ADC-VPX-0) et secondaire (ADC-VPX-1), vous devez voir deux adresses SNIP. Un SNIP (sous-réseau client) est utilisé pour répondre aux sondes ILB et l’autre SNIP (sous-réseau serveur) est utilisé pour la communication du serveur back-end.

    Remarque

    En mode HA-INC, l’adresse SNIP des machines virtuelles ADC-VPX-0 et ADC-VPX-1 est différente dans le même sous-réseau, contrairement au déploiement ADC HA local classique où les deux sont identiques. Pour prendre en charge les déploiements lorsque la paire VPX SNIP se trouve dans des sous-réseaux différents, ou à chaque fois que le VIP n’est pas dans le même sous-réseau qu’un SNIP, vous devez soit activer le transfert basé sur Mac (MBF), soit ajouter une route hôte statique pour chaque VIP à chaque nœud VPX.

    Sur le nœud principal (ADC-VPX-0)

    Afficher l'interface de ligne de commande IP sur le nœud principal

    Afficher l'interface de ligne de commande de noeud ha sur le nœud principal

    Sur le nœud secondaire (ADC-VPX-1)

    Afficher l'interface de ligne de commande IP sur le nœud secondaire

    Afficher l'interface de ligne de commande de noeud ha sur le nœud secondaire

  5. Une fois que les nœuds principal et secondaire sont UP et que l’ état de synchronisation est SUCCESS, vous devez configurer le serveur virtuel d’équilibrage de charge ou le serveur virtuel de passerelle sur le nœud principal (ADC-VPX-0) avec l’adresse IP flottante privée (FIP) de l’équilibreur de charge Azure ADC. Pour plus d’informations, consultez la section Exemple de configuration.

  6. Pour rechercher l’adresse IP privée de l’équilibreur de charge ADC Azure, accédez au portail Azure > AdC Azure Load Balancer > Configuration IP frontend.

    Configuration IP frontend ALB

  7. Dans la page de configuration d’ Azure Load Balancer, le déploiement de modèles ARM permet de créer la règle de la LB, les pools back-end et les sondes d’intégrité.

    Modèle ARM crée une règle LB

    • La règle LB (LBrule1) utilise le port 80, par défaut.

      Règle LB utilise le port 80

    • Modifiez la règle pour utiliser le port 443 et enregistrez les modifications.

      Remarque

      Pour une sécurité accrue, Citrix vous recommande d’utiliser le port SSL 443 pour le serveur virtuel LB ou le serveur virtuel de passerelle.

      Règle LB utilise le port 443

Pour ajouter d’autres adresses VIP sur ADC, effectuez les opérations suivantes :

  1. Accédez à Azure Load Balancer > Configuration IP frontend, puis cliquez sur Ajouter pour créer une adresse IP d’équilibrage de charge interne.

    Ajouter d'autres adresses VIP

  2. Dans la page Ajouter une adresse IP frontale, entrez un nom, choisissez le sous-réseau client, attribuez une adresse IP dynamique ou statique, puis cliquez sur Ajouter.

    Ajouter une adresse IP frontale

  3. L’adresse IP frontale est créée mais aucune règle de LB n’est associée. Créez une nouvelle règle d’équilibrage de charge et associez-la à l’adresse IP frontale.

    Créer une nouvelle règle d'équilibrage de charge

  4. Dans la page Équilibreur de charge Azure, sélectionnez Règles d’équilibrage de charge, puis cliquez sur Ajouter.

    Ajouter des règles LB

  5. Créez une nouvelle règle de LB en choisissant la nouvelle adresse IP frontale et le port. Le champIP flottant doit être défini sur Activé.

    IP flottante activée

  6. Maintenant, la configuration IP frontend affiche la règle LB qui est appliquée.

    Appliquer la règle LB

Exemple de configuration

Pour configurer un serveur virtuel VPN de passerelle et un serveur virtuel d’équilibrage de charge, exécutez les commandes suivantes sur le nœud principal (ADC-VPX-0). La configuration se synchronise automatiquement avec le nœud secondaire (ADC-VPX-1).

Exemple de configuration de passerelle

enable feature aaa LB SSL SSLVPN
enable ns mode MBF
add vpn vserver vpn_ssl SSL 10.11.1.4 443
add ssl certKey ckp -cert wild-cgwsanity.cer -key wild-cgwsanity.key
bind ssl vserver vpn_ssl -certkeyName ckp

Exemple de configuration d’équilibrage de charge

enable feature LB SSL
enable ns mode MBF
add lb vserver lb_vs1 SSL 10.11.1.7 443
bind ssl vserver lb_vs1 -certkeyName ckp

Vous pouvez désormais accéder au serveur virtuel d’équilibrage de charge ou VPN à l’aide du nom de domaine complet (FQDN) associé à l’adresse IP interne d’ILB.

Reportez-vous à la section Ressources pour plus d’informations sur la configuration du serveur virtuel d’équilibrage de charge.

Ressources :

Les liens suivants fournissent des informations supplémentaires relatives au déploiement HA et à la configuration du serveur virtuel :

Ressources connexes :

Configurer les nœuds HA-INC à l’aide du modèle de haute disponibilité Citrix avec Azure ILB