Citrix ADC

日志记录和监视 DS-Lite

您可以记录 DS-Lite 信息以诊断或排除问题,并满足法律要求。Citrix ADC 设备支持用于记录 DS-Lite 信息的所有 LSN 日志记录功能。要配置 DS-Lite 日志记录,请使用配置 LSN 日志记录的过程,如 日志记录和监视 LSN中所述。

DS-lite LSN 映射条目的日志消息包含以下信息:

  • Citrix ADC 拥有的 IP 地址(NSIP 地址或 SNIP 地址),其中日志消息源自该地址
  • 时间戳
  • 输入类型(映射)
  • DS-lite LSN 映射条目是否已创建或删除
  • B4 的 IPv6 地址
  • 订阅者的 IP 地址、端口和流量域 ID
  • NAT IP 地址和端口
  • 协议名称
  • 可能存在目标 IP 地址、端口和流量域 ID,具体取决于以下条件:
    • 不记录与端点点无关的映射的目标 IP 地址和端口。
    • 仅记录与地址相关的映射的目标 IP 地址。端口未记录。
    • 将记录目标 IP 地址和端口以进行与地址端口相关的映射。

DS-Lite 会话的日志消息包含以下信息:

  • Citrix ADC 拥有的 IP 地址(NSIP 地址或 SNIP 地址),其中日志消息源自该地址
  • 时间戳
  • 输入类型(会话)
  • 是创建还是删除 DS-Lite 会话
  • B4 的 IPv6 地址
  • 订阅者的 IP 地址、端口和流量域 ID
  • NAT IP 地址和端口
  • 协议名称
  • 目标 IP 地址、端口和流量域 ID

下表显示了存储在配置的日志服务器上的每种类型的 DS-Lite 日志条目示例。这些日志条目由其 NSIP 地址为 10.102.37.115 的 Citrix ADC 设备生成。您可以记录 DS-Lite 信息以诊断或排除问题,并满足法律要求。Citrix ADC 设备支持用于记录 DS-Lite 信息的所有 LSN 日志记录功能。要配置 DS-Lite 日志记录,请使用配置 LSN 日志记录的过程,如 日志记录和监视 LSN中所述。

DS-lite LSN 映射条目的日志消息包含以下信息:

  • Citrix ADC 拥有的 IP 地址(NSIP 地址或 SNIP 地址),其中日志消息源自该地址
  • 时间戳
  • 输入类型(映射)
  • DS-lite LSN 映射条目是否已创建或删除
  • B4 的 IPv6 地址
  • 订阅者的 IP 地址、端口和流量域 ID
  • NAT IP 地址和端口
  • 协议名称
  • 可能存在目标 IP 地址、端口和流量域 ID,具体取决于以下条件:
    • 不记录与端点点无关的映射的目标 IP 地址和端口。
    • 仅记录与地址相关的映射的目标 IP 地址。端口未记录。
    • 将记录目标 IP 地址和端口以进行与地址端口相关的映射。

DS-Lite 会话的日志消息包含以下信息:

  • Citrix ADC 拥有的 IP 地址(NSIP 地址或 SNIP 地址),其中日志消息源自该地址
  • 时间戳
  • 输入类型(会话)
  • 是创建还是删除 DS-Lite 会话
  • B4 的 IPv6 地址
  • 订阅者的 IP 地址、端口和流量域 ID
  • NAT IP 地址和端口
  • 协议名称
  • 目标 IP 地址、端口和流量域 ID

下表显示了存储在配置的日志服务器上的每种类型的 DS-Lite 日志条目示例。这些日志条目由其 NSIP 地址为 10.102.37.115 的 Citrix ADC 设备生成。

   
LSN 日志条目类型 示例日志条目
DS-Lite 会话创建 Local4.Informational 10.102.37.115 08/14/2015:13:35:38 GMT 0-PPE-1 : default LSN LSN_SESSION 37647607 0 : SESSION CREATED 2001:DB8::3:4 Client IP:Port:TD 192.0.2.51:2552:0, NatIP:NatPort 203.0.113.61:3002, Destination IP:Port:TD 198.51.100.250:80:0, Protocol:TCP
DS-Lite 会话删除 Local4.Informational 10.102.37.115 08/14/2015:13:38:22 GMT 0-PPE-1 : default LSN LSN_SESSION 37647617 0 : SESSION DELETED 2001:DB8::3:4 Client IP:Port:TD 192.0.2.51:2552:0, NatIP:NatPort 203.0.113.61:3002, Destination IP:Port:TD 198.51.100.250:80:0, Protocol: TCP
DS-Lite LSN 映射创建 Local4.Informational 10.102.37.115 08/14/2015:13:35:39 GMT 0-PPE-1 : default LSN LSN_EIM_MAPPING 37647610 0 : EIM CREATED 2001:DB8::3:4 Client IP:Port:TD 192.0.2.51:2552:0, NatIP:NatPort 198.51.100.250:80, Protocol: TCP
DS-Lite LSN 映射删除 Local4.Informational 10.102.37.115 08/14/2015:13:38:25 GMT 0-PPE-1 : default LSN LSN_EIM_MAPPING 37647618 0 : EIM DELETED 2001:DB8::3:4 Client IP:Port:TD 192.0.2.51:2552:0, NatIP:NatPort 198.51.100.250:80, Protocol: TCP

显示当前 DS-Lite 会话

您可以显示当前 DS-Lite 会话,以检测 Citrix ADC 设备上的任何不需要或低效的会话。您可以根据选择参数显示所有或部分 DS-Lite 会话。

使用命令行界面显示所有 DS-Lite 会话

在命令提示窗口中,键入:

show lsn session –nattype DS-Lite

使用命令行界面显示选定的 DS-Lite 会话

在命令提示窗口中,键入:

show lsn session –nattype DS-Lite [-clientname <string>] [-network <ip_addr> [-netmask <netmask>] [-td <positive_integer>]] [-natIP <ip_addr> [-natPort <port>]]

以下示例输出显示 Citrix ADC 设备上现有的所有 DS-Lite 会话:

show lsn session –nattype DS-Lite

  B4-Address SubscrIP SubscrPort SubscrTD DstIP DstPort DstTD NatIP NatPort Proto Dir

1. 2001:DB8::3:4 192.0.2.51 2552 0 198.51.100.250 80 0 203.0.113.61 3002 TCP OUT

2. 2001:DB8::3:4 192.0.2.51 3551 0 198.51.100.300 80 0 203.0.113.61 52862 TCP OUT

3. 2001:DB8::3:4 192.0.2.100 4556 0 198.51.100.250 0 0 203.0.113.61 48116 ICMP OUT

4. 2001: DB8::190 192.0.2.150 3881 0 198.51.100.199 80 0 203.0.113.69 48305 TCP OUT
Done

使用配置实用程序进行配置

使用配置实用程序显示所有或选定的 DS-Lite 会话

  1. 导航到“系统 > 大规模 NAT > 会话,然后单击DS-Lite选项卡。
  2. 要根据选择参数显示 DS-Lite 会话,请单击搜索

清除 DS-Lite 会话

您可以从 Citrix ADC 设备中删除任何不需要或低效的 DS-Lite 会话。设备立即释放为这些会话分配的资源(如 NAT IP 地址、端口和内存),从而使资源可用于新会话。设备还会删除与这些已删除会话相关的所有后续数据包。您可以从 Citrix ADC 设备中删除所有或选定的 DS-Lite 会话。

使用命令行界面清除所有 DS-Lite 会话

在命令提示窗口中,键入:

flush lsn session –nattype DS-Lite

show lsn session –nattype DS-Lite

使用命令行界面清除选定的 DS-Lite 会话

在命令提示窗口中,键入:

flush lsn session –nattype DS-Lite [-clientname <string>] [-network <ip_addr> [-netmask <netmask>] [-td <positive_integer>]] [-natIP <ip_addr> [-natPort <port>]]

show lsn session –nattype DS-Lite

使用配置实用程序清除所有或选定的 DS-Lite 会话

  1. 导航到系统 > 大规模 NAT > 会话,然后单击DS-Lite选项卡。
  2. 点击刷新会话

日志 HTTP 标头信息

Citrix ADC 设备可以记录使用 DS-Lite 功能的 HTTP 连接的请求标头信息。可以记录 HTTP 请求数据包的以下标头信息:

  • HTTP 请求注定到的 URL
  • HTTP 请求中指定的 HTTP 方法
  • HTTP 请求中使用的 HTTP 版本
  • 发送 HTTP 请求的订阅者的 IPv4 地址

ISP 可以使用 HTTP 标头日志查看一组订阅者之间与 HTTP 协议相关的趋势。例如,ISP 可以使用此功能找出一组订阅者中最受欢迎的网站。

配置步骤

执行以下任务以配置 Citrix ADC 设备以记录 HTTP 标头信息:

  • 创建 HTTP 标头日志配置文件。HTTP 标头日志配置文件是 HTTP 标头属性(例如,URL 和 HTTP 方法)的集合,可以启用或禁用以进行日志记录。
  • HTTP 标头绑定到 DS-Lite LSN 配置的 LSN 组。通过将 HTTP 标头日志配置文件名称参数设置为创建的 HTTP 标头日志配置文件的名称,将 HTTP 标头日志配置文件绑定到 LSN 配置的 LSN 组。然后,Citrix ADC 设备会记录与 LSN 组相关的任何 HTTP 请求的 HTTP 标头信息。HTTP 标头日志配置文件可以绑定到多个 LSN 组,但 LSN 组只能有一个 HTTP 标头日志配置文件。

使用命令行界面创建 HTTP 标头日志配置文件

在命令提示窗口中,键入:

add lsn httphdrlogprofile <httphdrlogprofilename> [-logURL ( ENABLED | DISABLED )] [-logMethod ( ENABLED | DISABLED )] [-logVersion ( ENABLED | DISABLED )] [-logHost ( ENABLED | DISABLED )]

show lsn httphdrlogprofile

使用命令行界面将 HTTP 标头日志配置文件绑定到 LSN 组

在命令提示窗口中,键入:

bind lsn group <groupname> -httphdrlogprofilename <string>

show lsn group <groupname>

示例配置

在下面的 DS-Lite LSN 配置中,HTTP 标头日志配置文件 HTTP-Header-LOG-1 绑定到 LSN 组 LSN-DSLITE-GROUP-1。日志配置文件启用了用于日志记录的所有 HTTP 属性(URL、HTTP 方法、HTTP 版本和主机 IP 地址),因此,所有这些属性都会记录来自 B4 设备的任何 HTTP 请求(在网络 2001:DB8:5001::/96 中)。

示例配置:

add lsn httphdrlogprofile HTTP-HEADER-LOG-1

Done

add lsn client LSN-DSLITE-CLIENT-1

Done

bind lsn client LSN-DSLITE-CLIENT-1 -network6 2001:DB8::3:0/100

Done

add lsn pool LSN-DSLITE-POOL-1

Done

bind lsn pool LSN-DSLITE-POOL-1 203.0.113.61 - 203.0.113.70

Done

add lsn ip6profile LSN-DSLITE-PROFILE-1 -type DS-Lite -network6 2001:DB8::5:6

Done

add lsn group LSN-DSLITE-GROUP-1 -clientname LSN-DSLITE-CLIENT-1 -portblocksize 1024 -ip6profile LSN-DSLITE-PROFILE-1

Done

bind lsn group LSN-DSLITE-GROUP-1 -poolname LSN-DSLITE-POOL-1

Done

bind lsn group LSN-DSLITE-GROUP-1 -httphdrlogprofilename HTTP-HEADER-LOG-1

Done

IPFIX 日志记录

Citrix ADC 设备支持以 Internet 协议流信息导出 (IPFIX) 格式将有关 LSN 事件的信息发送到配置的 IPFIX 收集器集。设备使用现有的 AppFlow 功能以 IPFIX 格式将 LSN 事件发送到 IPFIX 收集器。

基于 IPFIX 的日志记录可用于以下 DS_Lite 相关事件:

  • 创建或删除 LSN 会话。
  • 创建或删除 LSN 映射条目。
  • 在确定性 NAT 上下文中分配或取消分配端口块。
  • 在动态 NAT 上下文中分配或取消分配端口块。
  • 每当超过订阅者会话配额时。

配置 IPFIX 日志记录之前要考虑的事项

在开始配置 IPsec ALG 之前,请考虑以下几点:

  • 必须在 Citrix ADC 设备上配置 AppFlow 功能和 IPFIX 收集器。相关说明,请参阅配置 AppFlow 功能

配置步骤

执行以下任务以 IPFIX 格式记录 LSN 信息:

  • AppFlow 配置中启用 LSN 日志记录。启用 LSN 日志记录参数作为 AppFlow 配置的一部分。
  • 创建 LSN 日志配置文件。LSN 日志配置文件包括 IPFIX 参数,用于启用或禁用 IPFIX 格式的日志信息。
  • 将 LSN 日志配置文件绑定到 LSN 配置的 LSN 组。将 LSN 日志配置文件绑定到一个或多个 LSN 组。与绑定 LSN 组相关的事件将以 IPFIX 格式记录。

使用 CLI 在 AppFlow 配置中启用 LSN 日志记录

在命令提示窗口中,键入:

set appflow param -lsnLogging (ENABLED |DISABLED )

show appflow param

若要使用命令提示符创建 LSN 日志配置文件,请键入

在命令提示窗口中,键入:

set lsn logprofile <logProfileName>  -logipfix ( ENABLED | DISABLED )

show lsn logprofile

使用 CLI 将 LSN 日志配置文件绑定到 LSN 配置的 LSN 组

在命令提示窗口中,键入:

bind lsn group <groupname>  -logProfileName <lsnlogprofilename>

show lsn group

使用 GUI 创建 LSN 日志配置文件

导航到系统 > 大规模 NAT > 置文件”,单击日志选项卡,然后添加日志配置文件。

使用 GUI 将 LSN 日志配置文件绑定到 LSN 配置的 LSN 组

  1. 导航到系统 > 大规模 NAT > LSN 组”, 打开 LSN 组。
  2. 高级设置中, 单击 + 日志配置文件 将创建的日志配置文件绑定到 LSN 组。

日志记录和监视 DS-Lite