Un déploiement NetScaler en mode sandwich permet d'équilibrer la charge du trafic réseau via les pare-feux dans les deux sens : entrée (trafic entrant sur le réseau depuis l'extérieur, tel qu'Internet) et sortie (trafic sortant du réseau vers Internet).
Dans cette configuration, un NetScaler est situé de chaque côté d'un ensemble de pare-feux. Le NetScaler placé entre les pare-feux et Internet, appelé NetScaler externe qui gère le trafic entrant, sélectionne le meilleur pare-feu en fonction de la méthode configurée. Le NetScaler situé entre les pare-feux et le réseau privé, appelé NetScaler interne, suit le pare-feu à partir duquel le paquet initial d'une session est reçu. Il s'assure ensuite que tous les paquets suivants pour cette session sont envoyés au même pare-feu.
Le NetScaler interne peut être configuré comme un gestionnaire de trafic normal pour équilibrer la charge du trafic sur les serveurs du réseau privé. Cette configuration permet également d'équilibrer la charge du trafic provenant du réseau privé (sortie) entre les pare-feux.
Le schéma suivant montre l'environnement d'équilibrage de charge du pare-feu sandwich.
Figure 1. Équilibrage de charge du pare-feu (Sandwich)
Le type de service ANY configure NetScaler pour qu'il accepte tout le trafic.
Pour bénéficier des avantages liés au HTTP et au TCP, configurez le service et le serveur virtuel avec le type HTTP ou TCP. Pour que FTP fonctionne, configurez le service avec le type FTP.
Configuration du NetScaler externe dans un environnement sandwich
Effectuez les tâches suivantes pour configurer le NetScaler externe dans un environnement sandwich
-
Activez la fonction d'équilibrage de charge.
-
Configurez un service générique pour chaque pare-feu.
-
Configurez un moniteur pour chaque service générique.
-
Configurez un serveur virtuel générique pour le trafic provenant d'Internet.
-
Configurez le serveur virtuel en mode de réécriture MAC.
-
Liez les services au serveur virtuel Wildcard.
-
Enregistrez et vérifiez la configuration.
Activer la fonction d'équilibrage de charge
Pour activer l'équilibrage de charge à l'aide de l'interface de ligne de commande
À l'invite de commande, tapez la commande suivante pour activer l'équilibrage de charge et vérifier la configuration :
enable ns feature LB
show ns feature
Exemple :
> enable ns feature LoadBalancing
Done
> show ns feature
Feature Acronym Status
------- ------- ------
1) Web Logging WL OFF
2) Surge Protection SP ON
3) Load Balancing LB ON
.
.
.
24) NetScaler Push push OFF
Done
Pour activer l'équilibrage de charge à l'aide de l'utilitaire de configuration
Accédez à Système > Paramètres et, dans Configurer les fonctionnalités de base, sélectionnez Équilibrage de charge.
À l'invite de commandes, tapez :
add service <name> <serverName> ANY *
Exemple :
add service Service-HTTP-1 10.102.29.5 ANY *
Accédez à Gestion du trafic > Équilibrage de charge > Services et ajoutez un service. Spécifiez ANY dans le champ Protocole et * dans le champ Port.
Un moniteur PING est lié par défaut au service. Vous devez configurer un moniteur transparent pour surveiller les hôtes fiables via des pare-feux individuels. Vous pouvez ensuite lier le moniteur transparent aux services. Le moniteur PING par défaut surveille la connectivité uniquement entre l'appliance NetScaler et le périphérique en amont. Le moniteur transparent surveille tous les périphériques existant dans le chemin allant de l'appliance au périphérique qui possède l'adresse IP de destination spécifiée dans le moniteur. Si aucun moniteur transparent n'est configuré et que l'état du pare-feu est UP mais que l'un des périphériques de saut suivant de ce pare-feu est en panne, l'appliance inclut le pare-feu lors de l'équilibrage de charge et transmet le paquet au pare-feu. Cependant, le paquet n'est pas livré à la destination finale car l'un des périphériques de saut suivant est en panne. En liant un moniteur transparent, si l'un des périphériques (y compris le pare-feu) est en panne, le service est marqué comme étant DOWN et le pare-feu n'est pas inclus lorsque l'appliance effectue l'équilibrage de charge du pare-feu.
La liaison d'un moniteur transparent remplace le moniteur PING. Pour configurer un moniteur PING en plus d'un moniteur transparent, après avoir créé et lié un moniteur transparent, vous devez lier un moniteur PING au service.
À l'invite de commandes, tapez les commandes suivantes pour configurer un moniteur transparent et vérifier la configuration :
add lb monitor <monitorName> <type> [-destIP <ip_addr|ipv6_addr|*>] [-transparent (YES | NO )]
bind lb monitor <monitorName> <serviceName>
Exemple :
add monitor monitor-HTTP-1 HTTP -destip 10.10.10.11 -transparent YES
bind monitor monitor-HTTP-1 fw-svc1
To bind a PING monitor, type the following command:
bind monitor PING fw-svc1
Pour créer et lier un moniteur transparent à l'aide de l'utilitaire de configuration
Accédez à Gestion du trafic > Équilibrage de charge > Moniteurs, puis créez et liez un moniteur transparent.
À l'invite de commandes, tapez :
add lb vserver <name> ANY * *
Exemple :
add lb vserver Vserver-LB-1 ANY * *
Accédez à Gestion du trafic > Équilibrage de charge > Serveurs virtuels et créez un serveur virtuel générique. Spécifiez ANY dans le champ Protocole et * dans le champ Port.
À l'invite de commandes, tapez :
set lb vserver <name>@ -m <RedirectionMode>
Exemple :
set lb vserver Vserver-LB-1 -m MAC
-
Accédez à Gestion du trafic > Équilibrage de charge > Serveurs virtuels, puis sélectionnez le serveur virtuel pour lequel vous souhaitez configurer le mode de redirection (par exemple, vServer-LB-1).
-
Modifiez la section Paramètres de base, puis cliquez sur plus.
-
Dans la liste déroulante Mode de redirection, sélectionnez Base MAC.
Liez les services au serveur virtuel Wildcard
Pour lier un service au serveur virtuel générique à l'aide de l'interface de ligne de commande
À l'invite de commandes, tapez :
bind lb vserver <name> <serviceName>
Exemple :
bind lb vserver Vserver-LB-1 Service-HTTP-1
Pour lier un service au serveur virtuel générique à l'aide de l'utilitaire de configuration
-
Accédez à Gestion du trafic > Équilibrage de charge > Serveurs virtuels et sélectionnez le serveur virtuel auquel vous souhaitez lier le service.
-
Cliquez dans la section Services et sélectionnez le service à lier.
Enregistrer et vérifier la configuration
Lorsque vous avez terminé les tâches de configuration, veillez à enregistrer la configuration. Assurez-vous que les paramètres sont corrects.
Pour enregistrer et vérifier la configuration à l'aide de l'interface de ligne de commande
À l'invite de commandes, tapez les commandes suivantes pour configurer un moniteur transparent et vérifier la configuration :
save ns config
show vserver
Exemple :
save config
sh lb vserver FWLBVIP1
FWLBVIP1 (\*:\*) - ANY Type: ADDRESS
State: UP
Last state change was at Mon Jun 14 06:40:14 2010
Time since last state change: 0 days, 00:00:11.240
Effective State: UP ARP:DISABLED
Client Idle Timeout: 120 sec
Down state flush: ENABLED
Disable Primary Vserver On Down : DISABLED
No. of Bound Services : 2 (Total) 2 (Active)
Configured Method: SRCIPDESTIPHASH
Mode: MAC
Persistence: NONE
Connection Failover: DISABLED
1) fw_svc_1 (10.102.29.251: *) - ANY State: UP Weight: 1
2) fw_svc_2 (10.102.29.18: \*) - ANY State: UP Weight: 1
Done
show service fw-svc1
fw-svc1 (10.102.29.251:\*) - ANY
State: DOWN
Last state change was at Thu Jul 8 10:04:50 2010
Time since last state change: 0 days, 00:00:38.120
Server Name: 10.102.29.251
Server ID : 0 Monitor Threshold : 0
Max Conn: 0 Max Req: 0 Max Bandwidth: 0 kbits
Use Source IP: NO
Client Keepalive(CKA): NO
Access Down Service: NO
TCP Buffering(TCPB): YES
HTTP Compression(CMP): NO
Idle timeout: Client: 120 sec Server: 120 sec
Client IP: DISABLED
Cacheable: NO
SC: OFF
SP: OFF
Down state flush: ENABLED
1) Monitor Name: monitor-HTTP-1
State: DOWN Weight: 1
Probes: 5 Failed [Total: 5 Current: 5]
Last response: Failure - Time out during TCP connection establishment stage
Response Time: 2000.0 millisec
2) Monitor Name: ping
State: UP Weight: 1
Probes: 3 Failed [Total: 0 Current: 0]
Last response: Success - ICMP echo reply received.
Response Time: 1.415 millisec
Done
Configuration du NetScaler interne dans un environnement sandwich
Effectuez les tâches suivantes pour configurer le NetScaler interne dans un environnement sandwich
Pour le trafic provenant du serveur (sortie)
-
Activez la fonction d'équilibrage de charge.
-
Configurez un service générique pour chaque pare-feu.
-
Configurez un moniteur pour chaque service générique.
-
Configurez un serveur virtuel générique pour équilibrer la charge du trafic envoyé aux pare-feu.
-
Configurez le serveur virtuel en mode de réécriture MAC.
-
Liez les services de pare-feu au serveur virtuel générique.
Pour le trafic sur les serveurs de réseaux privés
-
Configurez un service pour chaque serveur virtuel.
-
Configurez un moniteur pour chaque service.
-
Configurez un serveur virtuel HTTP pour équilibrer le trafic envoyé aux serveurs.
-
Liez les services HTTP au serveur virtuel HTTP.
-
Enregistrez et vérifiez la configuration.
Activer la fonction d'équilibrage de charge
Vous pouvez configurer des entités d'équilibrage de charge telles que des services et des serveurs virtuels lorsque la fonctionnalité d'équilibrage de charge est désactivée. Mais ils ne fonctionneront pas tant que vous n'aurez pas activé la fonctionnalité.
Pour activer l'équilibrage de charge à l'aide de l'interface de ligne de commande
À l'invite de commande, tapez la commande suivante pour activer l'équilibrage de charge et vérifier la configuration :
enable ns feature LB
show ns feature
Exemple :
> enable ns feature LoadBalancing
Done
> show ns feature
Feature Acronym Status
------- ------- ------
1) Web Logging WL OFF
2) Surge Protection SP ON
3) Load Balancing LB ON
.
.
.
24) NetScaler Push push OFF
Done
Pour activer l'équilibrage de charge à l'aide de l'utilitaire de configuration
Accédez à Système > Paramètres et, dans Configurer les fonctionnalités de base, sélectionnez Équilibrage de charge.
À l'invite de commandes, tapez :
add service <name> <serverName> ANY *
Exemple :
add service Service-HTTP-1 10.102.29.5 ANY *
Accédez à Gestion du trafic > Équilibrage de charge > Services et ajoutez un service. Spécifiez ANY dans le champ Protocole et * dans le champ Port.
Un moniteur PING est lié par défaut au service. Vous devez configurer un moniteur transparent pour surveiller les hôtes fiables via des pare-feux individuels. Vous pouvez ensuite lier le moniteur transparent aux services. Le moniteur PING par défaut surveille la connectivité uniquement entre l'appliance NetScaler et le périphérique en amont. Le moniteur transparent surveille tous les périphériques existant dans le chemin allant de l'appliance au périphérique qui possède l'adresse IP de destination spécifiée dans le moniteur. Si aucun moniteur transparent n'est configuré et que l'état du pare-feu est UP mais que l'un des périphériques de saut suivant de ce pare-feu est en panne, l'appliance inclut le pare-feu lors de l'équilibrage de charge et transmet le paquet au pare-feu. Cependant, le paquet n'est pas livré à la destination finale car l'un des périphériques de saut suivant est en panne. En liant un moniteur transparent, si l'un des périphériques (y compris le pare-feu) est en panne, le service est marqué comme étant DOWN et le pare-feu n'est pas inclus lorsque l'appliance effectue l'équilibrage de charge du pare-feu.
La liaison d'un moniteur transparent remplace le moniteur PING. Pour configurer un moniteur PING en plus d'un moniteur transparent, après avoir créé et lié un moniteur transparent, vous devez lier un moniteur PING au service.
À l'invite de commandes, tapez les commandes suivantes pour configurer un moniteur transparent et vérifier la configuration :
add lb monitor <monitorName> <type> [-destIP <ip_addr|ipv6_addr|*>] [-transparent (YES | NO )]
bind lb monitor <monitorName> <serviceName>
Exemple :
add monitor monitor-HTTP-1 HTTP -destip 10.10.10.11 -transparent YES
bind monitor monitor-HTTP-1 fw-svc1
Pour créer et lier un moniteur transparent à l'aide de l'utilitaire de configuration
-
Accédez à Gestion du trafic > Équilibrage de charge > Moniteurs et créez un moniteur.
-
Dans la boîte de dialogue Créer un moniteur, entrez les paramètres requis, puis sélectionnez Transparent.
À l'invite de commandes, tapez :
add lb vserver <name> ANY * *
Exemple :
add lb vserver Vserver-LB-1 ANY * *
-
Accédez à Gestion du trafic > Équilibrage de charge > Serveurs virtuels et créez un serveur virtuel générique.
-
Spécifiez ANY dans le champ Protocole et * dans le champ Port.
-
Accédez à Gestion du trafic > Équilibrage de charge > Serveurs virtuels.
-
Dans le volet de détails, cliquez sur Ajouter.
-
Dans la boîte de dialogue Créer un serveur virtuel (équilibrage de charge), spécifiez les valeurs des paramètres suivants, comme indiqué :
-
Dans Protocole, sélectionnez ANY, et dans IP Address and Port, sélectionnez *.
-
Cliquez sur Créer, puis sur Fermer. Le serveur virtuel que vous avez créé apparaît dans le volet Serveurs virtuels d'équilibrage de charge.
À l'invite de commandes, tapez :
set lb vserver <name>@ -m <RedirectionMode>
Exemple :
set lb vserver Vserver-LB-1 -m MAC
-
Accédez à Gestion du trafic > Équilibrage de charge > Serveurs virtuels, puis sélectionnez le serveur virtuel pour lequel vous souhaitez configurer le mode de redirection (par exemple, vServer-LB-1).
-
Modifiez la section Paramètres de base, puis cliquez sur plus.
-
Dans la liste déroulante Mode de redirection, sélectionnez Base MAC.
Liez les services de pare-feu au serveur virtuel générique
Pour lier les services de pare-feu au serveur virtuel générique à l'aide de l'interface de ligne de commande
À l'invite de commandes, tapez :
bind lb vserver <name> <serviceName>
Exemple :
bind lb vserver Vserver-LB-1 Service-HTTP-1
Pour lier les services de pare-feu au serveur virtuel générique à l'aide de l'utilitaire de configuration
-
Accédez à Gestion du trafic > Équilibrage de charge > Serveurs virtuels, puis sélectionnez un serveur virtuel.
-
Cliquez dans la section Service et sélectionnez le service à lier.
Remarque : Vous pouvez lier un service à plusieurs serveurs virtuels.
À l'invite de commandes, tapez :
add service <name> <serverName> HTTP <port>
Exemple :
add service Service-HTTP-1 10.102.29.5 HTTP 80
-
Accédez à Gestion du trafic > Équilibrage de charge > Services, puis configurez un service pour chaque serveur virtuel.
-
Spécifiez HTTP dans le champ Protocole, puis sélectionnez HTTP sous Moniteurs disponibles.
-
Accédez à Traffic Management > Load Balancing > Services.
-
Dans le volet de détails, cliquez sur Ajouter.
-
Dans la boîte de dialogue Créer un service, spécifiez des valeurs pour les paramètres suivants, comme indiqué :
-
Nom du service : nom
-
Serveur—Nom du serveur
-
Port-port
-
Dans Protocole, spécifiez HTTP. Sous Moniteurs disponibles, sélectionnez HTTP.
-
Cliquez sur Créer, puis sur Fermer. Le service que vous avez créé apparaît dans le volet Services.
Pour lier un moniteur à un service à l'aide de l'interface de ligne de commande
À l'invite de commandes, tapez :
bind lb monitor <monitorName> <ServiceName>
Exemple :
bind mon monitor-HTTP-1 Service-HTTP-1
Pour lier un moniteur à un service à l'aide de l'utilitaire de configuration
Accédez à Gestion du trafic > Équilibrage de charge > Services, double-cliquez sur un service et ajoutez un moniteur.
À l'invite de commandes, tapez :
add lb vserver <name> HTTP <ip> <port>
Exemple :
add lb vserver Vserver-LB-1 HTTP 10.102.29.60 80
-
Accédez à Gestion du trafic > Équilibrage de charge > Services virtuels, puis configurez un serveur virtuel HTTP.
-
Spécifiez HTTP dans le champ Protocole .
-
Accédez à Gestion du trafic > Équilibrage de charge > Serveurs virtuels.
-
Dans le volet de détails, cliquez sur Ajouter.
-
Dans la boîte de dialogue Créer un serveur virtuel (équilibrage de charge), spécifiez les valeurs des paramètres suivants, comme indiqué :
-
Sous Protocole, sélectionnez HTTP.
-
Cliquez sur Créer, puis sur Fermer. Le serveur virtuel que vous avez créé apparaît dans le volet Serveurs virtuels d'équilibrage de charge.
Enregistrer et vérifier la configuration
Lorsque vous avez terminé les tâches de configuration, veillez à enregistrer la configuration. Vous devez également vérifier que les paramètres sont corrects.
Pour enregistrer et vérifier la configuration à l'aide de l'interface de ligne de commande
À l'invite de commandes, tapez les commandes suivantes pour configurer un moniteur transparent et vérifier la configuration :
-
save ns config
-
show vserver
Exemple :
save config
show lb vserver FWLBVIP2
FWLBVIP2 (\*:\*) - ANY Type: ADDRESS
State: UP
Last state change was at Mon Jun 14 07:22:54 2010
Time since last state change: 0 days, 00:00:32.760
Effective State: UP
Client Idle Timeout: 120 sec
Down state flush: ENABLED
Disable Primary Vserver On Down : DISABLED
No. of Bound Services : 2 (Total) 2 (Active)
Configured Method: LEASTCONNECTION
Current Method: Round Robin, Reason: A new service is bound
Mode: MAC
Persistence: NONE
Connection Failover: DISABLED
1) fw-int-svc1 (10.102.29.5: *) - ANY State: UP Weight: 1
2) fw-int-svc2 (10.102.29.9: \*) - ANY State: UP Weight: 1
Done
show service fw-int-svc1
fw-int-svc1 (10.102.29.5:\*) - ANY
State: DOWN
Last state change was at Thu Jul 8 14:44:51 2010
Time since last state change: 0 days, 00:01:50.240
Server Name: 10.102.29.5
Server ID : 0 Monitor Threshold : 0
Max Conn: 0 Max Req: 0 Max Bandwidth: 0 kbits
Use Source IP: NO
Client Keepalive(CKA): NO
Access Down Service: NO
TCP Buffering(TCPB): NO
HTTP Compression(CMP): NO
Idle timeout: Client: 120 sec Server: 120 sec
Client IP: DISABLED
Cacheable: NO
SC: OFF
SP: OFF
Down state flush: ENABLED
1) Monitor Name: monitor-HTTP-1
State: DOWN Weight: 1
Probes: 9 Failed [Total: 9 Current: 9]
Last response: Failure - Time out during TCP connection establishment stage
Response Time: 2000.0 millisec
2) Monitor Name: ping
State: UP Weight: 1
Probes: 3 Failed [Total: 0 Current: 0]
Last response: Success - ICMP echo reply received.
Response Time: 1.275 millisec
Done
Pour enregistrer et vérifier la configuration à l'aide de l'utilitaire de configuration
-
Dans le volet Détails, cliquez sur Enregistrer.
-
Dans la boîte de dialogue Enregistrer la configuration, cliquez sur Oui.
-
Accédez à Gestion du trafic > Équilibrage de charge > Serveurs virtuels.
-
Dans le volet Détails, sélectionnez le serveur virtuel que vous avez créé à l'étape 5.
-
Vérifiez que les paramètres affichés dans le volet Détails sont corrects.
-
Accédez à Traffic Management > Load Balancing > Services.
-
Dans le volet Détails, sélectionnez les services que vous avez créés à l'étape 5.
-
Vérifiez que les paramètres affichés dans le volet Détails sont corrects.
Surveillance de l'équilibrage de charge d'un pare-feu configuré dans un environnement sandwich
Une fois la configuration installée et exécutée, vous devez consulter les statistiques de chaque service et serveur virtuel afin de vérifier les éventuels problèmes.
Affichage des statistiques d'un serveur virtuel
Pour évaluer les performances des serveurs virtuels ou pour résoudre des problèmes, vous pouvez afficher les détails des serveurs virtuels configurés sur l'appliance NetScaler. Vous pouvez afficher un résumé des statistiques pour tous les serveurs virtuels, ou vous pouvez spécifier le nom d'un serveur virtuel pour afficher les statistiques uniquement pour ce serveur virtuel. Vous pouvez afficher les informations suivantes :
-
Nom
-
Adresse IP
-
Port
-
Protocole
-
État du serveur virtuel
-
Taux de demandes reçues
-
Taux de succès
Pour afficher les statistiques du serveur virtuel à l'aide de l'interface de ligne de commande
Pour afficher un résumé des statistiques pour tous les serveurs virtuels actuellement configurés sur NetScaler, ou pour un seul serveur virtuel, à l'invite de commande, tapez :
stat lb vserver [-detail] [<name>]
Exemple :
>stat lb vserver -detail
Virtual Server(s) Summary
vsvrIP port Protocol State Req/s Hits/s
One * 80 HTTP UP 5/s 0/s
Two * 0 TCP DOWN 0/s 0/s
Three * 2598 TCP DOWN 0/s 0/s
dnsVirtualNS 10.102.29.90 53 DNS DOWN 0/s 0/s
BRVSERV 10.10.1.1 80 HTTP DOWN 0/s 0/s
LBVIP 10.102.29.66 80 HTTP UP 0/s 0/s
Done
Pour afficher les statistiques du serveur virtuel à l'aide de l'utilitaire de configuration
-
Accédez à Gestion du trafic > Équilibrage de charge > Serveurs virtuels > Statistiques.
-
Si vous souhaitez afficher les statistiques d'un seul serveur virtuel, dans le volet de détails, sélectionnez le serveur virtuel, puis cliquez sur Statistiques.
Affichage des statistiques d'un service
Vous pouvez afficher le taux de demandes, de réponses, d'octets de demande, d'octets de réponse, de connexions client actuelles, de demandes dans la file d'attente de surtension, de connexions au serveur en cours, etc. à l'aide des statistiques de service.
Pour afficher les statistiques d'un service à l'aide de l'interface de ligne de commande
À l'invite de commandes, tapez :
stat service <name>
Exemple :
stat service Service-HTTP-1
Pour afficher les statistiques d'un service à l'aide de l'utilitaire de configuration
-
Accédez à Gestion du trafic > Équilibrage de charge > Services > Statistiques.
-
Si vous souhaitez afficher les statistiques d'un seul service, sélectionnez le service et cliquez sur Statistiques.