Citrix Gateway

Configurer le serveur virtuel VPN DTLS à l’aide du serveur virtuel VPN SSL

Vous pouvez configurer un serveur virtuel VPN DTLS pour un dispositif Citrix ADC en utilisant la même adresse IP et le même numéro de port qu’un serveur virtuel VPN SSL configuré. La configuration des serveurs virtuels VPN DTLS vous permet de lier les chiffrements et certificats DTLS avancés au trafic DTLS pour une sécurité renforcée. À partir de la version 13.0 build 47.x, le protocole DTLS 1.2 est pris en charge en plus du protocole DTLS 1.0 précédemment pris en charge.

Important :

  • Par défaut, la fonctionnalité DTLS est définie sur ON pour le serveur virtuel VPN SSL existant. Désactivez la fonctionnalité du serveur avant de créer le serveur virtuel VPN DTLS.

  • Le serveur virtuel de passerelle SNI pour DTLS est pris en charge dans Citrix Gateway version 13.0 build 64.x et ultérieure.

  • À partir de Citrix ADC version 13.0 build 79.x, le paramètre helloverifyrequest est activé par défaut. L’activation du paramètre helloverifyrequest sur le profil DTLS permet d’atténuer le risque qu’un attaquant ou des bots submerge le débit réseau, entraînant potentiellement un épuisement de la bande passante sortante. C’est-à-dire qu’il aide à atténuer l’attaque d’amplification DDoS DTLS. Pour plus d’informations sur le paramètre helloverifyrequest, consultez la section Profil DTLS.

  • Lors de la gestion du trafic UDP, la consommation de mémoire de l’appliance Citrix ADC augmente si les serveurs principaux transmettent beaucoup de trafic. Par conséquent, l’appliance Citrix ADC ne peut pas envoyer ce trafic vers le client en raison de la connexion TCP MUX côté client. Dans ce cas, Citrix vous recommande d’utiliser le protocole DTLS.

Points à noter

  • Le serveur virtuel VPN DTLS sur une appliance Citrix ADC peut être configuré à partir de la version 13.0 build 58.x.

  • Avant de configurer un serveur virtuel VPN DTLS sur un dispositif Citrix ADC, vous devez avoir configuré un serveur virtuel VPN SSL sur l’appliance.

  • Le serveur virtuel VPN DTLS utilise l’adresse IP et le numéro de port du serveur virtuel VPN SSL configuré.

  • Si la connexion DTLS échoue, la connexion revient au protocole TLS.

  • Pour utiliser DTLS uniquement, vous pouvez désactiver le protocole TLS en liant uniquement les chiffrements DTLS au trafic DTLS.

  • Le multiplexage DTLS n’est pas pris en charge lorsque le trafic TCP est tunnelisé sur VPN.

Configurez le serveur virtuel VPN DTLS à l’aide de l’interface graphique

  1. Dans l’onglet Configuration, accédez à Citrix Gateway > Serveurs virtuels.
  2. Sur la page Serveurs virtuels Citrix Gateway, sélectionnez le serveur virtuel VPN SSL existant et cliquez sur Modifier.
  3. Sur la page Serveur virtuel VPN, cliquez sur l’icône Modifier et désactivez la case à cocher DTLS, puis cliquez sur OK.

    Désactivez la case à cocher DTLS

  4. Cliquez sur l’icône de flèche arrière sur le serveur virtuel VPN pour accéder à la page Serveurs virtuels Citrix Gateway, puis cliquez sur Ajouter.

    Page Serveurs virtuels

  5. Sous Paramètres de base, saisissez les valeurs des champs suivants, puis cliquez sur OK.

    • Nom : nom du serveur virtuel VPN DTLS
    • Protocole - Sélectionnez DTLS dans le menu déroulant
    • Adresse IP — Entrez l’adresse IP du serveur virtuel VPN SSL
    • Port : saisissez le numéro de port du serveur virtuel VPN SSL.

    Ajouter un serveur virtuel

  6. Sur la page Serveurs virtuels VPN, cliquez sur la flèche sous Certificats pour sélectionner la clé de certificat requise. Vous pouvez utiliser une clé de certificat SSL existante ou en créer une. Cliquez sur le bouton radio en regard de la clé de certificat souhaitée, puis cliquez sur Sélectionner.

    Sélectionnez une clé de certificat

  7. Cliquez sur Bind dans la page Liaison de certificat de serveur.

    Liaison d'une clé de certificat

  8. Pour utiliser DTLS 1.2, activez la même option. Sur la page Serveurs virtuels VPN, cliquez sur l’icône Modifier sous Paramètres SSL. Activez la case à cocher DTLS 1.2, puis cliquez sur OK.

    Remarque :

    • L’indication de nom de serveur (SNI) est prise en charge pour les serveurs virtuels VPN de type DTLS.

    Activer DTLS 1.2

    La configuration du serveur virtuel DTLS VPN est maintenant terminée.

Configurez le serveur virtuel VPN DTLS à l’aide de l’interface de ligne de commande

À l’invite de commandes, tapez les jeux de commandes suivants :

set vpn vserver <ssl vpnvserver name> -dtls off
add vpn vserver <dtls vpnvserver name> dtls <ssl vpn vserver IP> <ssl vpn vserver port>
bind ssl vservser <dtls vpnvserver name> -certkeyName <existing ssl cert key or newly created cert key>
<!--NeedCopy-->

DTLS 1.0 fonctionne comme d’habitude. Pour utiliser DTLS 1.2, tapez la commande suivante :

set ssl vserver < dtls vpnvserver name > -dtls12 ENABLED
<!--NeedCopy-->

Exemple

set vpn vserver vpnvserver  -dtls off
add vpn vserver vpnvserver_dtls dtls 10.108.45.220 443
bind ssl vservser vpnvserver_dtls -certkeyName sslcertkey
set ssl vserver vpnvserver_dtls -dtls12 ENABLED
<!--NeedCopy-->

Pour activer le SNI pour le serveur virtuel VPN de type DTLS, tapez la commande suivante :

set ssl vserver <vServerName>@ [-SNIEnable ( ENABLED | DISABLED )
bind ssl vservser <dtls vpnvserver name> -certkeyName <existing ssl cert key or newly created cert key> <-SNICert>
<!--NeedCopy-->

Exemple

set ssl vserver _XD_10.106.40.225_443_DTLS -sniEnable eNABLED
bind ssl vserver \_XD_10.106.40.225_443_DTLS -certkeyName "Insight/*.insight.net.cer_CERT\_" -snICert

<!--NeedCopy-->

La liste des paramètres de serveur virtuel DTLS VPN pris en charge est la suivante :

  • Ipaddress
  • Port
  • State
  • Double saut
  • downstateflush
  • Commentaire
  • Appflowlog
  • Icmpvsrresponse

Configuration d’un serveur virtuel DTLS à l’aide de l’assistant XA/XD

  1. Dans l’assistant d’installation XA/XD, sélectionnez StoreFront et cliquez sur Continuer.

    Assistant de configuration XA/XD

  2. Sur la page Paramètres de Citrix Gateway, activez la case à cocher Configurer un écouteur DTLS pour ce vServer VPN et cliquez sur Continuer.

    Page Paramètres Citrix Gateway

  3. Notez que l’écouteur DTLS est maintenant configuré. Cliquez sur Choisir un fichier pour sélectionner le certificat de serveur, puis cliquez sur Continuer.

    Sélectionner un certificat de serveur

  4. Spécifiez le fichier de certificat et le nom du fichier clé, puis cliquez sur Continuer.

    Spécifier le fichier de certificat et le nom du fichier clé

  5. Dans la section StoreFront, indiquez les valeurs des paramètres requis comme suit, puis cliquez sur Continuer.

    Section StoreFront

  6. Indiquez les valeurs des paramètres requis comme suit, puis cliquez sur Tester la connexion.

    Connexion de test

  7. Assurez-vous que le serveur est accessible, indiquez la valeur de délai d’exécution et l’attribut de nom d’ouverture de session du serveur, puis cliquez sur Continuer.

    Spécifier les valeurs de configuration

  8. Enfin, cliquez sur Terminé pour terminer la configuration.

    Configuration terminée

Limitations

  • DTLS 1.2 est pris en charge sur les clients Windows uniquement.
  • Le serveur virtuel VPN avec DTLS ne prend pas en charge les adresses IPv6.
  • La stratégie SSL et le profil SSL ne sont pas pris en charge sur un serveur virtuel VPN DTLS. De plus, la liaison de la stratégie de serveur virtuel VPN n’est pas prise en charge.
  • Les fonctionnalités suivantes ne sont pas prises en charge pour le serveur virtuel VPN DTLS.
    • Unified Gateway avec serveur virtuel de commutation de contenu
    • PCOIP
    • UDP MUX
    • Autre trafic UDP
    • audio UDP
  • La commande stat vpn vserver liée aux statistiques du serveur virtuel VPN DTLS n’est pas prise en charge.
  • Les clés HSM ne sont pas prises en charge par le serveur virtuel DTLS.
  • La configuration du cluster n’est pas prise en charge
Configurer le serveur virtuel VPN DTLS à l’aide du serveur virtuel VPN SSL