适用于本地 Citrix SD-WAN Orchestrator 14.3

设备设置

Citrix SD-WAN Orchestrator 服务允许您在站点级别配置设备设置并将其推送到远程设备。

您可以配置用户、网络适配器、NetFlow、AppFlow、SNMP、后备配置和清除流量设置。

注意

创建或编辑站点模板时,配置设备设置的选项不可用。

如果配置了 HA,请选择要更改其设备设置的主设备或辅助设备。

选择 HA 设备

管理界面

管理界面允许您添加和管理本地和远程用户帐户。远程用户帐户通过 RADIUS 或 TACACS+ 身份验证服务器进行身份验证。

管理用户

您可以为站点添加新的用户帐户。要添加新用户,请导航到 “ 配置 ” > “ 设备设置” > “管理员界面” > “管理用户”,然后单击 “+用户”。

管理用户

提供以下详细信息:

  • 用户名:用户帐户的用户名。
  • 新密码:用户帐户的密码。
  • 确认密码:重新输入密码进行确认。
  • 用户级别:选择以下帐户权限之一:
    • 管理员:管理员帐户对所有设置具有读写权限。管理员可以对网络执行配置和软件更新。
    • 查看者:查看者帐户是一个只读帐户,可以访问控制面板、报告和监控部分。
    • 网络管理员:网络管理员对网络设置具有读写访问权限,对其他设置具有只读访问权限。
    • 安全管理员:安全管理员对防火墙/安全相关设置具有读写权限,对其他设置具有只读访问权限。

      注意

      安全管理员有权禁用其他用户对防火墙的写入访问权限(管理员/查看器)。

添加用户

要删除用户,请选择一个用户名并单击 “ 删除选定用户”。用户帐户和本地文件将被删除。

更改本地用户密码

要更改本地用户密码,请导航到 配置 > 设备设置 > 管理界面 > 用户帐户 > 更改本地用户密码 并提供以下值:

  • 用户名:从站点配置的用户列表 中选择要更改密码的用户名。
  • 当前密码:输入当前密码。对于管理员用户,此字段是可选的。
  • 新密码:输入您选择的新密码。
  • 确认密码:重新输入密码进行确认。

更改本地用户密码

RADIUS 身份验证服务器

RADIUS 在设备上启用远程用户身份验证。要使用 RADIUS 身份验证,必须指定并配置至少一个 RADIUS 服务器。或者,您可以配置冗余的 RADIUS 服务器,最多可配置三台。服务器将按顺序进行检查。确保在 RADIUS 身份验证服务器上创建了所需的用户帐户。

要配置 RADIUS 身份验证,请导航到 配置 > 设备设置 > 管理界面 > RADIUS,然后单击 启用 RADIUS

注意

您可以在站点上启用 RADIUS 或 TACACS+ 身份验证。您不能同时启用两者。

提供 RADIUS 服务器的主机 IP 地址和身份验证端口号。默认端口号为 1812。输入服务器密钥并确认它是用于连接到 RADIUS 服务器的密钥。指定等待来自 RADIUS 服务器的身份验证响应的时间间隔。超时值必须小于或等于 60 秒。

注意

服务器密钥超时 设置应用于所有已配置的服务器。

RADIUS 设置

TACACS+ 身份验证服务器

TACACS+ 在设备上启用远程用户身份验证。要使用 TACACS+ 身份验证,必须指定并配置至少一个 TACACS+ 服务器。或者,您可以配置冗余备份 TACACS+ 服务器,最多可配置三台服务器。服务器将按顺序进行检查。确保在 TACACS+ 身份验证服务器上创建所需的用户帐户。

要配置 TACACS+ 身份验证,请导航到 配置 > 设备设置 > 管理界面 > TACACS+ ,然后单击 “ 启用 TACACS+”。

注意

您可以在站点上启用 RADIUS 或 TACACS+ 身份验证。您不能同时启用两者。

  1. 选择加密方法以将用户名和密码发送到 TACACS+ 服务器。
  2. 提供 TACACS+ 服务器的主机 IP 地址和身份验证端口号。默认端口号为 49。
  3. 输入服务器密钥并进行确认。它是用于连接到 TACACS+ 服务器的私有密钥。
  4. 指定等待 TACACS+ 服务器发出身份验证响应的时间间隔。超时值必须小于或等于 60 秒。

注意

身份验证类型服务器密钥超时设置 应用于所有已配置的服务器。

TACACS+ 设置

NetFlow 主机设置

NetFlow 收集器会在 IP 网络流量进入或退出 SD-WAN 接口时收集 IP 网络流量。您可以使用 NetFlow 数据确定流量的来源和目的地、服务类别以及流量拥塞的原因。有关更多信息,请参阅 多个 NetFlow 收集器

您最多可以配置三台 NetFlow 主机。要配置 NetFlow 主机设置,请导航到 配置 > 设备设置 > NetFlow 主机设置。选择 启用 NetFlow 并提供 NetFlow 主机的 IP 地址和端口号。

NetFlow 主机设置

网络适配器

对于 Citrix SD-WAN 设备,您可以手动更改管理网络首选项、管理 IP 地址和其他网络参数。您可以更改设备的 IPv4 地址、子网掩码、网关 IP 地址、IPv6 地址和前缀,或者启用 DHCP 或 SLAAC(仅适用于 IPv6 地址)来自动获取 IP 地址。有关更多信息,请参阅 动态主机配置协议

注意

  • 如果接口用于带内管理,则无法更改 IP 地址。有关带内管理的更多信息,请参阅 带内管理
  • 仅当您将数据端口配置为带内管理端口并且配置了 Internet 服务时,带内选项才有效。在设置管理首选项之前,请确保您的配置支持对 SD-WAN 设备进行带内管理。
  • 如果设备运行的是 11.4.2 或更高版本的软件版本,则可以看到 “管理网络首选项(带内和带外)” 部分。

要配置网络适配器设置,请导航到 配置 > 设备设置 > 网络适配器

网络适配器

AppFlow 主机设置

AppFlow 和 IPFIX 是流导出标准,用于识别和收集网络基础架构中的应用程序和事务数据。此数据可更好地了解应用程序流量利用率和性能。

收集到的数据(称为流记录)被传输到一个或多个 IPv4 收集器。收集器可聚合流记录,并生成实时或历史报告。有关更多信息,请参阅 AppFlow 和 IPFIX

SNMP

SNMP 用于在网络设备之间交换管理信息。SNMPv1 是 SNMP 协议的第一个版本。SNMPv2 是修订后的协议,其中包括协议数据包类型、传输映射和 MIB 结构元素的增强功能。SNMPv3 定义了 SNMP 的安全版本。SNMPv3 协议还有助于 SNMP 实体的远程配置。

SNMP 代理会在本地从设备收集管理信息,并在查询时将其发送给 SNMP 管理器。如果座席检测到设备上的紧急事件,它会向经理发出警告消息,而无需等待查询数据。这个紧急信息被称为陷阱。启用所需的 SNMP 版本代理、相应的陷阱,并提供所需的信息。有关更多详细信息,请参阅 SNMP。

要配置 SNMP 设置,请导航到 配置 > 设备设置 > SNMP

SNMP

回退配置

回退配置可确保在发生链路故障、配置不匹配或软件不匹配时设备保持与零接触部署服务的连接。默认情况下,在具有默认配置文件的设备上启用回退配置。您还可以根据现有 LAN 网络设置编辑备用配置。有关更多信息,请参阅 备用配置

流量部分允许您在设备上启用或禁用 Citrix Virtual WAN 服务。启用该服务可启用并启动虚拟 WAN 守护进程。如果禁用了 Citrix 虚拟广域网服务,则可以选择启用该服务。

启用虚拟 WAN 服务

禁用 Citrix 虚拟广域网服务

如果启用了 Citrix 虚拟 WAN 服务,则禁 用 Citrix 虚拟广域网服务选项可用。禁用该服务会停止设备上的 Virtual WAN 守护程序。

在禁用 Citrix Virtual WAN 服务之前,您可以选择收集虚拟 WAN 网络的诊断转储。

禁用虚拟 WAN 服务

重启动态路由

您可以通过 OSPF 和 BGP 路由协议重新启动动态路由学习进程。重启动态路由选项仅用于故障排除。

警告

重新启动动态路由可能会导致网络中断。

重启动态路由

虚拟路径

您可以选择启用或禁用 2 个站点之间的虚拟路径。您可以选择底层的各个路径(任一方向),也可以选择叠加虚拟路径。禁用单个路径会禁用整个虚拟路径。

注意

重新启动 Citrix 虚拟广域网服务后,所有路径都将重新启用。

启用虚拟路径

WAN 链路上的所有路径

您可以选择启用或禁用 2 个站点之间的 WAN 链接禁用所有 WAN 链接,禁用虚拟路径。

注意

重新启动 Citrix 虚拟广域网服务后,所有广域网链接都将重新启用。

启用 WAN 链接

清除所有当前流量

清除流量会结束所有电流流,清除流表,重新建立流量连接,然后重新填充流表。

清除流量

日期和时间

您可以手动或使用 NTP 服务器更改设备的日期和时间。要手动配置日期和时间,请确保未选择 “ 使用 NTP 服务器 ” 选项,并提供日期和时间。

日期和时间

如果选择 “ 使用 NTP 服务器 ” 选项,则无法手动输入当前日期和时间。您最多可以指定 4 个 NTP 服务器,但必须至少指定一个。它们充当备用 NTP 服务器,如果一台服务器出现故障,则设备会自动与另一台 NTP 服务器同步。如果您为 NTP 服务器指定域名,则还必须配置 DNS 服务器,除非您已经这样做了。

NTP 服务器

如果必须更改时区,请在设置日期和时间之前进行更改,否则您的设置将无法保留。更改时区后重新启动设备。

时区

Syslog 服务器设置

您可以使用 Citrix SD-WAN Orchestrator 服务配置 SD-WAN 设备的 Syslog 服务器设置。通过启用 Syslog 设置,您可以将 SD-WAN 设备的系统警报和事件详细信息发送到外部 Syslog 服务器。但是,您必须导航到 配置 > 设备 设置 >记录/监控>警报选项,在 SD-WAN 设备用户界面上选择事件类型。有关更多信息,请参阅 配置警报

Syslog 服务器设置

以下 Syslog 服务器设置可通过 Citrix SD-WAN Orchestrator 服务进行配置:

  • 启用 Syslog 消息:启用或禁用向 Syslog 服务器发送日志或事件消息。
  • 服务器 IP 地址:系统日志服务器的 IP 地址。
  • 服务器端口:Syslog 服务器的端口号。
  • 向 Syslog进行身份验证:启用或禁用向 Syslog 服务器发送身份验证日志或事件消息。
  • Syslog 发送防火墙日志:启用或禁用向 Syslog 服务器发送防火墙日志。

证书身份验证

Citrix SD-WAN Orchestrator 服务使用网络加密和虚拟路径 IPsec 隧道等安全技术,确保在 SD-WAN 网络中的设备之间建立安全路径。除了现有的安全措施外,Citrix SD-WAN Orchestrator 服务中还引入了基于证书的身份验证。

证书身份验证允许组织使用其私有证书颁发机构 (CA) 颁发的证书对设备进行身份验证。设备在建立虚拟路径之前进行身份验证。例如,如果分支设备尝试连接到数据中心,并且分支中心的证书与数据中心期望的证书不匹配,则不会建立虚拟路径。

CA 颁发的证书将公钥绑定到设备名称。公钥与证书标识的设备所拥有的相应私钥一起工作。

要启用设备身份验证,请在网络级别导航到 配置 > 安全 > 网络安全 ,然后选择 启用设备身份验证。单击保存

证书身份验证

在部署期间,如果启用了设备身份验证,但设备中未安装 PKI 证书,则暂存会显示失败状态。

证书身份验证

查看证书

您可以前往设备详细信息页面验证 PKI 证书是否已安装。为此,请导航到 配置 > 网络主页 >单击要验证证书的站点的 操作 符号,然后单击 查看详细信息

证书身份验证

以下屏幕填充了站点和设备详细信息:

证书身份验证

在 “ 设备详细信息 ” 部分下,您可以查看 PKI 证书安装状态。

上载身份包

身份包包括私钥和与私钥关联的证书。您可以将 CA 颁发的设备证书上载到设备中。证书包是一个 PKCS12 文件,扩展名为 .p12。您可以选择使用密码保护它。拖放 PKCS12 文件,输入密码并单击 “ 上传”。如果将密码字段留空,则视为无密码保护。

证书身份验证

上载证书颁发机构包

上传与证书签名机构对应的 PKCS12 包。证书颁发机构捆绑包包括完整的签名链、根签名和所有中间签名机构。拖动 PKCS12 捆绑包并点击 上传

证书身份验证

创建认证签名请求

设备可以生成未签名的证书并创建证书签名请求 (CSR)。要为设备创建 CSR,请提供组织名称、单位、城镇/市、省/地区/县/市、国家和电子邮件地址。设备常用名称是自动填充且不可编辑的站点名称。单击 Create CSR(创建 CSR)。

证书身份验证

管理证书签名请求

成功从后端生成 CSR 后,您需要从设备下载 CSR 并由其 CA 签名,然后以 PEM 或 DER 格式将其上传回设备。这用作设备的身份证书。首先上传 CA 以签署证书。

证书身份验证

上传 CA 后,上传已签名的 CSR。

证书身份验证

证书吊销列表管理器

证书吊销列表 (CRL) 是在网络中不再有效的证书序列号的已发布列表。CRL 文件定期下载并在本地所有设备上存储。当验证证书时,响应程序会检查 CRL 以查看启动程序证书是否已被吊销。Citrix SD-WAN 目前支持 PEM 和 DER 格式的版本 1 CRL。

要启用 CRL,请选中 “启用 CRL” 复选框。提供 CRL 文件的维护位置。支持 HTTP、HTTPS 和 FTP 位置。指定检查和下载 CRL 文件的时间间隔,范围为 1—1440 分钟。单击 “ 上传设置”

证书身份验证

注意

virtua1 路径的重新身份验证周期可能在 10 到 15 分钟之间,如果 CRL 更新间隔设置为较短的持续时间,则更新的 CRL 列表可能包含当前有效的序列号。让被主动吊销的证书在短时间内在您的网络中可用。

移动宽带设置

Citrix SD-WAN Orchestrator 服务允许您使用移动宽带连接将 Citrix SD-WAN 设备从分支站点连接到网络。

要配置移动宽带设置,请在站点级别导航到 配置 > 设备设置 > 移动宽带设置

目前,可以在 Citrix SD-WAN 110 和 Citrix SD-WAN-210 设备上配置移动宽带设置。

您可以在 Citrix SD-WAN Orchestrator 服务上配置以下移动宽带设置。

SIM PIN 状态

如果您插入了使用 PIN 锁定的 SIM 卡,则 SIM 卡的状态为 “ 启用”。在使用 SIM 卡进行验证之前,您无法使用 SIM PIN。您可以从运营商处获取 SIM PIN。单击 Verify(验证)。

输入运营商提供的 SIM PIN,然后单击验证

禁用 SIM PIN

对于已启用并验证 SIM PIN 的 SIM 卡,您可以禁用 SIM PIN 功能。单击禁用。输入 SIM PIN,然后单击禁用

启用 SIM PIN

要启用 SIM PIN,请单击 “ 启用”。输入运营商提供的 SIM PIN,然后单击启用

如果 SIM PIN 状态更改为 “已 启用” 和 “未验证”,则表示 PIN 未经过验证,并且在 PIN 通过验证之前您无法执行任何操作。

单击 验证 PIN。输入运营商提供的 SIM PIN,然后单击 验证 PIN 码

修改 SIM PIN

PIN 处于“已 启用”和“已验证”状态后,您可以选择更改 PIN。

单击 Modify(修改)。输入运营商提供的 SIM PIN。输入新的 SIM PIN 并进行确认。单击 Modify(修改)。

取消阻止 SIM 卡

如果您忘记了 SIM PIN,可以使用从运营商获得的 SIM PUK 重置 SIM PIN。

要取消阻止 SIM 卡,请单击 取消阻止。输入从运营商处获取的 SIM PIN 和 SIM 卡 PUK,然后单击解除封锁

注意

SIM 卡被永久封锁,因为 10 次尝试 PUK 失败,同时取消阻止 SIM 卡。请联系运营商以获取新的 SIM 卡。

APN 设置

要配置 APN 设置,请输入运营商提供的 APN、用户名、密码和身份验证。您可以从 PAP、CHAP或 P APCHAP 身份验证协议中进行选择。如果运营商未提供任何身份验证类型,请将其设置为

网络设置

您可以在支持内部调制解调器的 Citrix SD-WAN 设备上选择移动网络。

漫游

默认情况下,漫游选项在您的设备上处于启用状态。你可以选择禁用它。

管理固件

每个启用了 LTE 的设备都将拥有一组可用固件。您可以从现有的固件列表中选择或上载固件并应用它。如果您不确定要使用哪个固件,请选择 AUTO-SIM 选项,允许 LTE 调制解调器根据设备中插入的 SIM 卡选择最匹配的固件。

注意

目前,该固件只能应用于 SD-WAN SE 210 LTE 设备。

启用/禁用调制解调器

根据您使用宽带功能的意图启用或禁用调制解调器。默认情况下,调制解调器处于启用状态。

重启调制解调器

重新启动调制解调器。此过程最多可能需要 3-5 分钟才能完成重启操作。

刷新 SIM 卡

当您热插拔 SIM 卡以检测新的 SIM 卡时,请使用此选项。

移动宽带设置

移动宽带状态

移动宽带状态部分显示您的宽带配置设置的状态。要查看移动宽带状态,请在站点级别导航到 配置 > 设备设置 > 移动宽带状态。您可以查看设备和活动的 SIM 卡的状态。

移动宽带状态

以太网接口设置

以太网接口状态部分显示以太网端口的连接状态、接口类型、MAC 地址、自动协商和双工设置信息。要查看以太网接口设置,请在站点级别导航到 配置 > 设备设置 > 以太网接口设置。管理性关闭的端口以红色表示。

注意

此设置目前在 Citrix SD-WAN Orchestrator 服务用户界面上以只读模式可用。如果要修改以太网接口设置,可以使用 SD-WAN 设备的新用户界面进行修改。

以太网接口设置