Documentation Produit
ADC
14.1 - Current Release 13.1 13.0 12.1
Voir PDF

Configuration d’un tunnel CloudBridge Connector entre un centre de données et le cloud Azure

May 5, 2023
Contributeur: 
C

L’appliance NetScaler fournit une connectivité entre les centres de données de votre entreprise et le fournisseur d’hébergement cloud Microsoft, Azure, faisant d’Azure une extension transparente du réseau d’entreprise. NetScaler chiffre la connexion entre le centre de données de l’entreprise et le cloud Azure afin que toutes les données transférées entre les deux soient sécurisées.

Fonctionnement du tunnel CloudBridge Connector

Pour connecter un centre de données au cloud Azure, vous configurez un tunnel CloudBridge Connector entre une appliance NetScaler résidant dans le centre de données et une passerelle résidant dans le cloud Azure. L’appliance NetScaler du centre de données et la passerelle du cloud Azure sont les points de terminaison du tunnel CloudBridge Connector et sont appelées homologues du tunnel CloudBridge Connector.

Image localisée

Un tunnel CloudBridge Connector entre un centre de données et le cloud Azure utilise la suite de protocoles IPsec (Internet Protocol Security) standard ouverte, en mode tunnel, pour sécuriser les communications entre homologues dans le tunnel CloudBridge Connector. Dans un tunnel CloudBridge Connector, IPsec garantit :

  • Intégrité des données
  • Authentification d’origine des données
  • Confidentialité des données (cryptage)
  • Protection contre les attaques par rediffusion

IPsec utilise le mode tunnel dans lequel le paquet IP complet est crypté puis encapsulé. Le chiffrement utilise le protocole ESP (Encapsulating Security Payload), qui garantit l’intégrité du paquet à l’aide d’une fonction de hachage HMAC et garantit la confidentialité à l’aide d’un algorithme de cryptage. Après avoir chiffré la charge utile et calculé le HMAC, le protocole ESP génère un en-tête ESP et l’insère avant le paquet IP crypté. Le protocole ESP génère également une bande-annonce ESP et l’insère à la fin du paquet.

Le protocole IPsec encapsule ensuite le paquet résultant en ajoutant un en-tête IP avant l’en-tête ESP. Dans l’en-tête IP, l’adresse IP de destination est définie sur l’adresse IP de l’homologue CloudBridge Connecter.

Les homologues du tunnel CloudBridge Connector utilisent le protocole IKEv1 (Internet Key Exchange version 1) (qui fait partie de la suite de protocoles IPsec) pour négocier des communications sécurisées, comme suit :

  1. Les deux homologues s’authentifient mutuellement à l’aide d’une authentification par clé pré-partagée, dans laquelle les pairs échangent une chaîne de texte appelée clé pré-partagée (PSK). Les clés pré-partagées sont comparées les unes aux autres à des fins d’authentification. Par conséquent, pour que l’authentification soit réussie, vous devez configurer la même clé pré-partagée sur chacun des homologues.

  2. Les pairs négocient ensuite pour parvenir à un accord sur :

    • Un algorithme de chiffrement
    • Clés cryptographiques permettant de chiffrer les données sur un homologue et de les déchiffrer sur l’autre.

    Cet accord sur le protocole de sécurité, l’algorithme de chiffrement et les clés cryptographiques est appelé Security Association (SA). Les AA sont unidirectionnels (simplex). Par exemple, lorsqu’un tunnel CloudBridge Connector est configuré entre une appliance NetScaler dans un centre de données et une passerelle dans un cloud Azure, l’appliance de centre de données et la passerelle Azure possèdent deux SA. Une SA est utilisée pour traiter les paquets sortants et l’autre SA est utilisée pour traiter les paquets entrants. Les SA expirent après un intervalle de temps spécifié, appelé durée de vie.

Exemple de configuration du tunnel CloudBridge Connector et de flux de données

Pour illustrer le tunnel CloudBridge Connector, prenons un exemple dans lequel un tunnel CloudBridge Connector est configuré entre l’appliance NetScaler CB_Appliance-1 dans un centre de données et la passerelle Azure_Gateway-1 dans le cloud Azure.

CB_Appliance-1 fonctionne également comme un routeur L3, ce qui permet à un réseau privé du centre de données d’accéder à un réseau privé du cloud Azure via le tunnel CloudBridge Connector. En tant que routeur, CB_Appliance-1 permet la communication entre le client CL1 dans le centre de données et le serveur S1 dans le cloud Azure via le tunnel CloudBridge Connector. Le client CL1 et le serveur S1 se trouvent sur différents réseaux privés.

Sur CB_Appliance-1, la configuration du tunnel CloudBridge Connector inclut une entité de profil IPsec nommée CB_Azure_IPSEC_Profile, une entité de tunnel CloudBridge Connector nommée CB_Azure_Tunnel et une entité de routage basé sur des politiques (PBR) nommée CB_Azure_PBR.

L’entité de profil IPsec CB_Azure_IPSEC_Profile spécifie les paramètres du protocole IPsec, tels que la version IKE, l’algorithme de chiffrement et l’algorithme de hachage, à utiliser par le protocole IPsec dans le tunnel CloudBridge Connector. CB_Azure_IPSEC_Profile est lié à l’entité de tunnel IP CB_Azure_Tunnel.

L’entité de tunnel du CloudBridge Connector CB_Azure_Tunnel spécifie l’adresse IP locale (une adresse IP publique (SNIP) configurée sur l’appliance NetScaler), l’adresse IP distante (l’adresse IP de l’Azure_Gateway-1) et le protocole (IPsec) utilisé pour configurer le tunnel CloudBridge Connector. CB_Azure_Tunnel est lié à l’entité PBR CB_Azure_PBR.

L’entité PBR CB_Azure_PBR spécifie un ensemble de conditions et une entité de tunnel CloudBridge Connector (CB_Azure_Tunnel). La plage d’adresses IP source et la plage d’adresses IP de destination sont les conditions requises pour CB_Azure_PBR. La plage d’adresses IP source et la plage d’adresses IP de destination sont spécifiées en tant que sous-réseau dans le centre de données et en tant que sous-réseau dans le cloud Azure, respectivement. Tout paquet de demande provenant d’un client du sous-réseau du centre de données et destiné à un serveur du sous-réseau sur le cloud Azure répond aux conditions de CB_Azure_PBR. Ce paquet est ensuite pris en compte pour le traitement CloudBridge et est envoyé via le tunnel CloudBridge Connector (CB_Azure_Tunnel) lié à l’entité PBR.

Sur Microsoft Azure, la configuration du tunnel CloudBridge Connector inclut une entité réseau locale nommée My-Datacenter-Network, une entité réseau virtuelle nommée Azure-Network-for-Cloudbridge-Tunnel et une passerelle nommée Azure_Gateway-1.

L’entité réseau locale (locale pour Azure) My-Datacenter-Network spécifie l’adresse IP de l’appliance NetScaler côté centre de données et le sous-réseau du centre de données dont le trafic doit traverser le tunnel CloudBridge Connector. L’entité réseau virtuelle Azure-Network-for-CloudBridge-Tunnel définit un sous-réseau privé nommé Azure-Subnet-1 dans Azure. Le trafic du sous-réseau traverse le tunnel CloudBridge Connector. Le serveur S1 est provisionné dans ce sous-réseau.

L’entité réseau locale My-Datacenter-Network est associée à l’entité réseau virtuelle Azure-Network-for-Cloudbridge-Tunnel. Cette association définit les détails du réseau distant et local de la configuration du tunnel CloudBridge Connector dans Azure. Gateway Azure_Gateway-1 a été créé pour que cette association devienne le point de terminaison CloudBridge à l’extrémité Azure du tunnel CloudBridge Connector.

Image localisée

Pour plus d’informations sur les paramètres, reportez-vous au document PDF CloudBridge Connector Tunnel Settings .

Points à considérer pour une configuration de tunnel CloudBridge Connector

Avant de configurer un tunnel CloudBridge Connector entre une appliance NetScaler dans un centre de données et Microsoft Azure, tenez compte des points suivants :

  1. L’appliance NetScaler doit disposer d’une adresse IPv4 publique (type SNIP) à utiliser comme adresse de point de terminaison du tunnel CloudBridge Connector. De plus, l’appliance NetScaler ne doit pas se trouver derrière un périphérique NAT.
  2. Azure prend en charge les paramètres IPsec suivants pour un tunnel CloudBridge Connector. Par conséquent, vous devez spécifier les mêmes paramètres IPsec lors de la configuration de NetScaler pour le tunnel CloudBridge Connector.
    • Version d’IKE = v1
    • Algorithme de chiffrement = AES
    • Algorithme de hachage = HMAC SHA1
  3. Vous devez configurer le pare-feu en périphérie du centre de données pour autoriser ce qui suit.
    • Tous les paquets UDP pour le port 500
    • Tous les paquets UDP pour le port 4500
    • Tous les paquets ESP (numéro de protocole IP 50)
  4. La retouche IKE, qui consiste à renégocier de nouvelles clés cryptographiques entre les points de terminaison du tunnel CloudBridge Connector afin d’établir de nouvelles SA, n’est pas prise en charge. Lorsque les associations de sécurité (SA) expirent, le tunnel passe à l’état DOWN. Par conséquent, vous devez définir une valeur très élevée pour la durée de vie des SA.
  5. Vous devez configurer Microsoft Azure avant de spécifier la configuration du tunnel sur NetScaler, car l’adresse IP publique de l’extrémité Azure (passerelle) du tunnel et du PSK sont automatiquement générées lorsque vous configurez la configuration du tunnel dans Azure. Vous avez besoin de ces informations pour spécifier la configuration du tunnel sur NetScaler.

Configuration du tunnel CloudBridge Connector

Pour configurer un tunnel CloudBridge Connector entre votre centre de données et Azure, vous devez installer CloudBridge VPX/MPX dans votre centre de données, configurer Microsoft Azure pour le tunnel CloudBridge Connector, puis configurer l’appliance NetScaler dans le centre de données pour le tunnel CloudBridge Connector.

La configuration d’un tunnel CloudBridge Connector entre une appliance NetScaler dans un centre de données et Microsoft Azure comprend les tâches suivantes :

  1. Configuration de l’appliance NetScaler dans lecentre de données. Cette tâche implique le déploiement et la configuration d’un dispositif physique NetScaler (MPX), ou le provisionnement et la configuration d’un dispositif virtuel NetScaler (VPX) sur une plate-forme de virtualisation du centre de données.
  2. Configuration de Microsoft Azure pour le tunnel CloudBridge Connector. Cette tâche implique la création d’entités de réseau local, de réseau virtuel et de passerelle dans Azure. L’entité réseau locale spécifie l’adresse IP du point de terminaison du tunnel CloudBridge Connector (l’appliance NetScaler) côté centre de données et le sous-réseau du centre de données dont le trafic doit traverser le tunnel CloudBridge Connector. Le réseau virtuel définit un réseau sur Azure. La création du réseau virtuel inclut la définition d’un sous-réseau dont le trafic doit traverser le tunnel CloudBridge Connector à former. Vous associez ensuite le réseau local au réseau virtuel. Enfin, vous créez une passerelle qui devient le point final à l’extrémité Azure du tunnel CloudBridge Connector.
  3. Configuration de l’appliance NetScaler dans le centre de données pour le tunnel CloudBridgeConnector. Cette tâche implique la création d’un profil IPsec, d’une entité de tunnel IP et d’une entité PBR dans l’appliance NetScaler du centre de données. L’entité de profil IPsec spécifie les paramètres du protocole IPsec, tels que la version IKE, l’algorithme de chiffrement, l’algorithme de hachage et le PSK, à utiliser dans le tunnel CloudBridge Connector. Le tunnel IP spécifie l’adresse IP des points de terminaison du tunnel CloudBridge Connector (l’appliance NetScaler dans le centre de données et la passerelle dans Azure) et le protocole à utiliser dans le tunnel CloudBridge Connector. Vous associez ensuite l’entité de profil IPsec à l’entité de tunnel IP. L’entité PBR spécifie les deux sous-réseaux, dans le centre de données et dans le cloud Azure, qui doivent communiquer entre eux via le tunnel CloudBridge Connector. Vous associez ensuite l’entité tunnel IP à l’entité PBR.

Configuration de Microsoft Azure pour le tunnel CloudBridge Connector

Pour créer une configuration de tunnel CloudBridge Connector sur Microsoft Azure, utilisez le portail de gestion Microsoft Windows Azure, qui est une interface graphique basée sur le Web permettant de créer et de gérer des ressources sur Microsoft Azure.

Avant de commencer la configuration du tunnel CloudBridge Connector sur le cloud Azure, assurez-vous que :

  • Vous disposez d’un compte utilisateur pour Microsoft Azure.
  • Vous avez une compréhension conceptuelle de Microsoft Azure.
  • Vous connaissez le portail de gestion Microsoft Windows Azure.

Pour configurer un tunnel CloudBridge Connector entre un centre de données et un cloud Azure, effectuez les tâches suivantes sur Microsoft Azure à l’aide du portail de gestion Microsoft Windows Azure :

  • Créez une entité de réseau local. Créez une entité réseau locale dans Windows Azure pour spécifier les détails du réseau du centre de données. Une entité réseau locale spécifie l’adresse IP du point de terminaison du tunnel CloudBridge Connector (NetScaler) côté centre de données et du sous-réseau du centre de données dont le trafic doit traverser le tunnel CloudBridge Connector.
  • Créez un réseau virtuel. Créez une entité réseau virtuelle qui définit un réseau sur Azure. Cette tâche inclut la définition d’un espace d’adressage privé, dans lequel vous fournissez une plage d’adresses privées et de sous-réseaux appartenant à la plage spécifiée dans l’espace d’adresses. Le trafic des sous-réseaux traversera le tunnel CloudBridge Connector. Vous associez ensuite une entité réseau locale à l’entité réseau virtuelle. Cette association permet à Azure de créer une configuration pour un tunnel CloudBridge Connector entre le réseau virtuel et le réseau du centre de données. Une passerelle (à créer) dans Azure pour ce réseau virtuel sera le point de terminaison CloudBridge à l’extrémité Azure du tunnel CloudBridge Connector. Vous définissez ensuite un sous-réseau privé pour la passerelle à créer. Ce sous-réseau appartient à la plage spécifiée dans l’espace d’adressage de l’entité réseau virtuelle.
  • Créez une passerelle dans Windows Azure. Créez une passerelle qui deviendra le point final à l’extrémité Azure du tunnel CloudBridge Connector. Azure, à partir de son pool d’adresses IP publiques, attribue une adresse IP à la passerelle créée.
  • Rassemblez l’adresse IP publique de la passerelle et la clé pré-partagée. Pour une configuration de tunnel CloudBridge Connector sur Azure, l’adresse IP publique de la passerelle et la clé pré-partagée (PSK) sont automatiquement générées par Azure. Prenez note de ces informations. Vous en aurez besoin pour configurer le tunnel CloudBridge Connector sur le centre de données NetScaler.

Remarque :

Les procédures de configuration de Microsoft Azure pour un tunnel CloudBridge Connector peuvent changer au fil du temps, en fonction du cycle de publication de Microsoft Azure. Pour connaître les procédures les plus récentes, consultez la documentation Microsoft Azure.

Configuration de l’appliance NetScaler dans le centre de données pour le tunnel CloudBridge Connector

Pour configurer un tunnel CloudBridge Connector entre un centre de données et un cloud Azure, effectuez les tâches suivantes sur le NetScaler du centre de données. Vous pouvez utiliser la ligne de commande NetScaler ou l’interface graphique :

  • Créez un profil IPsec. Une entité de profil IPsec spécifie les paramètres du protocole IPsec, tels que la version IKE, l’algorithme de chiffrement, l’algorithme de hachage et le PSK, à utiliser par le protocole IPsec dans le tunnel CloudBridge Connector.
  • Créez un tunnel IP avec le protocole IPsec et associez-y le profil IPsec. Un tunnel IP spécifie l’adresse IP locale (une adresse SNIP publique configurée sur l’appliance NetScaler), l’adresse IP distante (l’adresse IP publique de la passerelle dans Azure), le protocole (IPsec) utilisé pour configurer le tunnel CloudBridge Connector et une entité de profil IPsec. L’entité de tunnel IP créée est également appelée entité de tunnel CloudBridge Connector.
  • Créez une règle PBR et associez-y le tunnel IP. Une entité PBR spécifie un ensemble de conditions et une entité de tunnel IP (tunnel CloudBridge Connector). La plage d’adresses IP source et la plage d’adresses IP de destination sont les conditions de l’entité PBR. Vous devez définir la plage d’adresses IP source pour spécifier le sous-réseau du centre de données dont le trafic doit traverser le tunnel, et la plage d’adresses IP de destination pour spécifier le sous-réseau Azure dont le trafic doit traverser le tunnel CloudBridge Connector. Tout paquet de demande provenant d’un client du sous-réseau du centre de données et destiné à un serveur du sous-réseau sur le cloud Azure correspond à la plage d’adresses IP source et de destination de l’entité PBR. Ce paquet est ensuite pris en compte pour le traitement du tunnel CloudBridge Connector et est envoyé via le tunnel CloudBridge Connector associé à l’entité PBR.

L’interface graphique regroupe toutes ces tâches dans un seul assistant appelé assistant CloudBridge Connector. Pour créer un profil IPSEC à l’aide de la ligne de commande NetScaler :

À l’invite de commande, tapez :

add ipsec profile <name> -psk <string> -ikeVersion v1

Pour créer un tunnel IPSEC et y lier le profil IPSEC à l’aide de la ligne de commande NetScaler :

À l’invite de commande, tapez :

add ipTunnel <name> <remote> <remoteSubnetMask> <local> -protocol IPSEC –ipsecProfileName <string>

Pour créer une règle PBR et y lier le tunnel IPSEC à l’aide de la ligne de commande NetScaler

add pbr <pbrName> ALLOW –srcIP <subnet-range> -destIP <subnet-range> ipTunnel <tunnelName> apply pbrs

Exemple de configuration

Les commandes suivantes créent tous les paramètres de l’appliance NetScaler CB_Appliance-1 utilisés dans « Exemple de configuration et de flux de données du CloudBridge Connector ».

> add ipsec profile CB_Azure_IPSec_Profile -psk  DkiMgMdcbqvYREEuIvxsbKkW0FOyDiLM  -ikeVersion v1 –lifetime 31536000
Done

>  add iptunnel CB_Azure_Tunnel 168.63.252.133 255.255.255.255 66.165.176.15 –protocol IPSEC –ipsecProfileName CB_Azure_IPSec_Profile
Done

> add pbr CB_Azure_Pbr -srcIP 10.102.147.0-10.102.147.255 –destIP 10.20.0.0-10.20.255.255 –ipTunnelCB_Azure_Tunnel
Done

> apply pbrs
Done
<!--NeedCopy-->

Pour configurer un tunnel CloudBridge Connector dans une appliance NetScaler à l’aide de l’interface graphique

  1. Accédez à l’interface graphique à l’aide d’un navigateur Web pour vous connecter à l’adresse IP de l’appliance NetScaler dans le centre de données.

  2. Accédez à Système > CloudBridge Connector.

  3. Dans le volet droit, sous Mise en route, cliquez sur Créer/Surveiller CloudBridge.

  4. Cliquez sur Commencer.

    Image localisée

    Remarque : Si un tunnel CloudBridge Connector est déjà configuré sur l’appliance NetScaler, cet écran ne s’affiche pas et vous êtes redirigé vers le volet de configuration de CloudBridge Connector.

  5. Dans le volet Configuration de CloudBridge, cliquez sur Microsoft Windows Azure.

    Image localisée

  6. Dans le volet Paramètres Azure, dans le champ Adresse IP de la passerelle, tapez l’adresse IP de la passerelle Azure. Le tunnel CloudBridge Connector est ensuite configuré entre l’appliance NetScaler et la passerelle. Dans les zones de texte Sous-réseau (plage d’adresses IP), spécifiez une plage de sous-réseaux (dans le cloud Azure) dont le trafic doit traverser le tunnel CloudBridge Connector. Cliquez sur Continuer.

    Image localisée

  7. Dans le volet Paramètres NetScaler, dans la liste déroulante IP du sous-réseau local, sélectionnez une adresse SNIP accessible au public configurée sur l’appliance NetScaler. Dans les zones de texte Sous-réseau (plage d’adresses IP), spécifiez une plage de sous-réseaux locaux dont le trafic doit traverser le tunnel CloudBridge Connector. Cliquez sur Continuer.

    Image localisée

  8. Dans le volet Paramètres de CloudBridge, dans la zone de texte CloudBridge Name, tapez le nom du CloudBridge que vous souhaitez créer.

    Image localisée

  9. Dans les listes déroulantes Algorithme de chiffrement et Algorithme de hachage, sélectionnez respectivement les algorithmes AES et HMAC_SHA1. Dans la zone de texte Clé de sécurité pré-partagée, tapez la clé de sécurité.

  10. Cliquez sur Terminé.

Surveillance du tunnel CloudBridge Connector

Vous pouvez consulter les statistiques permettant de surveiller les performances d’un tunnel CloudBridge Connector entre l’appliance NetScaler du centre de données et Microsoft Azure. Pour consulter les statistiques du tunnel CloudBridge Connector sur l’appliance NetScaler, utilisez l’interface graphique ou la ligne de commande NetScaler. Pour consulter les statistiques du tunnel CloudBridge Connector dans Microsoft Azure, utilisez le portail de gestion Microsoft Windows Azure.

Affichage des statistiques du tunnel CloudBridge Connector dans l’appliance NetScaler

Pour plus d’informations sur l’affichage des statistiques des tunnels CloudBridge Connector sur une appliance NetScaler, consultez la section Surveillance des tunnels CloudBridgeConnector.

Affichage des statistiques de tunnel CloudBridge Connector dans Microsoft Azure

Le tableau suivant répertorie les compteurs statistiques disponibles pour la surveillance des tunnels CloudBridge Connector dans Microsoft Azure.

Compteur statistique Spécifie
DONNÉES DANS Nombre total de kilo-octets reçus par la passerelle Azure via le tunnel CloudBridge Connector depuis la création de la passerelle.
SORTIE DE DONNÉES Nombre total de kilo-octets envoyés par la passerelle Azure via le tunnel CloudBridge Connector depuis la création de la passerelle.

Pour afficher les statistiques de tunnel CloudBridge Connector à l’aide du portail de gestion Microsoft Windows Azure

  1. Connectez-vous au portail de gestion Windows Azure à l’aide des informations d’identification de votre compte Microsoft Azure.

  2. Dans le volet gauche, cliquez sur RÉSEAUX.

  3. Dans l’onglet Réseau virtuel, dans la colonne Nom, sélectionnez l’entité réseau virtuelle associée à un tunnel CloudBridge Connector dont vous souhaitez afficher les statistiques.

    Image localisée

  4. Sur la page DASHBOARD du réseau virtuel, consultez les compteurs d’entrées et de sorties de données pour le tunnel CloudBridge Connector.

    Image localisée

Configuration d’un tunnel CloudBridge Connector entre un centre de données et le cloud Azure
May 5, 2023
Contributeur: 
C
May 5, 2023
Contributeur: 
C

Dans cet article

Commentaires sur le site | Confidentialité et conditions légales | Préférences de cookies | Paramètres de consentement | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.