Environnement à pare-feu multiple

Dernière publication : Sep 25, 2026
Dans un environnement à plusieurs pare-feux, l'appliance NetScaler est placée entre deux ensembles de pare-feux, l'ensemble externe se connectant à l'Internet public et l'ensemble interne se connectant au réseau privé interne. L'ensemble externe gère généralement le trafic sortant. Ces pare-feux implémentent principalement des listes de contrôle d'accès pour autoriser ou refuser l'accès à des ressources externes. L'ensemble interne gère généralement le trafic entrant. Ces pare-feux mettent en œuvre des mesures de sécurité destinées à protéger l'intranet contre les attaques malveillantes, en plus d'équilibrer la charge du trafic entrant. L'environnement à plusieurs pare-feux vous permet d'équilibrer la charge du trafic provenant d'un autre pare-feu. Par défaut, le trafic provenant d'un pare-feu n'est pas équilibré sur l'autre pare-feu d'une appliance NetScaler. L'activation de l'équilibrage de charge du pare-feu des deux côtés de NetScaler améliore le flux de trafic à la fois dans le sens de sortie et d'entrée et garantit un traitement plus rapide du trafic.
La figure suivante montre un environnement d'équilibrage de charge à plusieurs pare-feux
Figure 1. Équilibrage de charge du pare-feu (pare-feu multiple)
Environnement à pare-feu multiple
Avec une configuration telle que celle illustrée à la Figure 1, vous pouvez configurer NetScaler pour équilibrer la charge du trafic via un pare-feu interne, même si la charge est équilibrée par un pare-feu externe. Par exemple, lorsque cette fonctionnalité est configurée, le trafic provenant des pare-feux externes (pare-feux 1, 2 et 3) est équilibré sur les pare-feux internes (pare-feux 4, 5 et 6) et vice versa.
L'équilibrage de charge du pare-feu est pris en charge uniquement pour le serveur virtuel LB en mode MAC.
Le type de service ANY configure NetScaler pour qu'il accepte tout le trafic.
Pour bénéficier des avantages liés au HTTP et au TCP, configurez le service et le serveur virtuel avec le type HTTP ou TCP. Pour que FTP fonctionne, configurez le service avec le type FTP.
Related information

Configuration de NetScaler dans un environnement à plusieurs pare-feux

Pour configurer une appliance NetScaler dans un environnement à plusieurs pare-feux, vous devez activer la fonctionnalité d'équilibrage de charge, configurer un serveur virtuel pour équilibrer la charge du trafic sortant à travers les pare-feux externes, configurer un serveur virtuel pour équilibrer la charge du trafic entrant à travers les pare-feux internes et activer l'équilibrage de charge du pare-feu sur l'appliance NetScaler. Pour configurer un serveur virtuel afin d'équilibrer la charge du trafic à travers un pare-feu dans un environnement à plusieurs pare-feux, vous devez :
  1. Configurer un service générique pour chaque pare-feu
  2. Configurer un moniteur pour chaque service générique
  3. Configurer un serveur virtuel générique pour équilibrer la charge du trafic envoyé aux pare-feu
  4. Configurer le serveur virtuel en mode de réécriture MAC
  5. Liez les services de pare-feu au serveur virtuel générique

Activation de la fonction d'équilibrage de charge

Pour configurer et implémenter des entités d'équilibrage de charge telles que des services et des serveurs virtuels, vous devez activer la fonctionnalité d'équilibrage de charge sur le périphérique NetScaler.
Pour activer l'équilibrage de charge à l'aide de l'interface de ligne de commande :
À l'invite de commande, tapez la commande suivante pour activer l'équilibrage de charge et vérifier la configuration :
enable ns feature <featureName>
show ns feature
Exemple :
enable ns feature LoadBalancing
Done
show ns feature
Feature Acronym Status
------- ------- ------
1) Web Logging WL OFF
2) Surge Protection SP ON
3) Load Balancing LB ON
.
.
.
24) NetScaler Push push OFF
Done
Pour activer l'équilibrage de charge à l'aide de l'interface graphique :
  1. Dans le volet de navigation, développez Système, puis cliquez sur Paramètres.
  2. Dans le volet Paramètres, sous Modes et fonctionnalités, cliquez sur Modifier les fonctionnalités de base.
  3. Dans la boîte de dialogue Configurer les fonctionnalités de base, cochez la case Équilibrage de charge, puis cliquez sur Ok.

Configuration d'un service de caractères génériques pour chaque pare-feu

Pour accepter le trafic provenant de tous les protocoles, vous devez configurer le service de caractères génériques pour chaque pare-feu en spécifiant la prise en charge de tous les protocoles et ports.
Pour configurer un service de caractères génériques pour chaque pare-feu à l'aide de l'interface de ligne de commande :
À l'invite de commandes, tapez la commande suivante pour configurer la prise en charge de tous les protocoles et ports :
add service <name>@ <serverName> <serviceType> <port_number>
Exemple :
add service fw-svc1 10.102.29.5 ANY *
Pour configurer un service de caractères génériques pour chaque pare-feu à l'aide de l'interface graphique :
  1. Accédez à Traffic Management > Load Balancing > Services.
  2. Dans le volet de détails, cliquez sur Ajouter.
  3. Dans la boîte de dialogue Créer des services, spécifiez les valeurs des paramètres suivants comme indiqué :
    • Nom du service : nom
    • Serveur—Nom du serveur
    -* Un paramètre obligatoire
  4. Dans Protocole, sélectionnez N'importe quel et dans Port, sélectionnez*.
  5. Cliquez sur Créer, puis sur Fermer. Le service que vous avez créé apparaît dans le volet Services.

Configuration d'un moniteur pour chaque service

Un moniteur PING est lié par défaut au service. Vous devrez configurer un moniteur transparent pour surveiller les hôtes du côté de confiance via des pare-feu individuels. Vous pouvez ensuite lier le moniteur transparent aux services. Le moniteur PING par défaut surveille la connectivité uniquement entre l'appliance NetScaler et le périphérique en amont. Le moniteur transparent surveille tous les périphériques existant dans le chemin allant de l'appliance au périphérique qui possède l'adresse IP de destination spécifiée dans le moniteur. Si aucun moniteur transparent n'est configuré et que l'état du pare-feu est UP mais que l'un des périphériques de saut suivant de ce pare-feu est en panne, l'appliance inclut le pare-feu lors de l'équilibrage de charge et transmet le paquet au pare-feu. Cependant, le paquet n'est pas livré à la destination finale car l'un des périphériques de saut suivant est en panne. En liant un moniteur transparent, si l'un des périphériques (y compris le pare-feu) est en panne, le service est marqué comme étant DOWN et le pare-feu n'est pas inclus lorsque l'appliance effectue l'équilibrage de charge du pare-feu.
La liaison d'un moniteur transparent remplacera le moniteur PING. Pour configurer un moniteur PING en plus d'un moniteur transparent, après avoir créé et lié un moniteur transparent, vous devez lier un moniteur PING au service.
Pour configurer un moniteur transparent à l'aide de l'interface de ligne de commande :
À l'invite de commandes, tapez les commandes suivantes pour configurer un moniteur transparent et vérifier la configuration :
add lb monitor <monitorName> <type> [-destIP <ip_addr|ipv6_addr|*>] [-transparent (YES | NO )]
bind lb monitor <monitorName> <serviceName>
Exemple :
add monitor monitor-HTTP-1 HTTP -destip 10.10.10.11 -transparent YES
bind monitor monitor-HTTP-1 fw-svc1
L'appliance NetScaler apprend les paramètres L2 du serveur à partir du moniteur lié au service. Pour les moniteurs UDP-ECV, configurez une chaîne de réception pour permettre à l'appliance d'apprendre les paramètres L2 du serveur. Si la chaîne de réception n'est pas configurée et que le serveur ne répond pas, l'appliance n'apprend pas les paramètres L2 mais le service est configuré sur UP. Le trafic de ce service est bloqué.
Pour configurer une chaîne de réception à l'aide de l'interface de ligne de commande :
À l'invite de commandes, tapez la commande suivante :
add lb monitor <monitorName> <type> [-destIP <ip_addr|ipv6_addr|*>] [-transparent (YES | NO )] [-send <string>] [-recv <string>]
Exemple :
add lb monitor monitor-udp-1 udp-ecv -destip 10.10.10.11 -transparent YES –send "test message" –recv "site_is_up"
Pour créer et lier un moniteur transparent à l'aide de l'interface graphique :
  1. Accédez à Gestion du trafic > Équilibrage de charge > Moniteurs.
  2. Dans le volet de détails, cliquez sur Ajouter.
  3. Dans la boîte de dialogue Create Monitor, spécifiez les valeurs des paramètres suivants, comme indiqué :
    • Nom*
    • Type*—Type
    • IP destination
    • Transparent
    -* Un paramètre obligatoire
  4. Cliquez sur Créer, puis sur Fermer. Dans le volet Moniteurs, sélectionnez le moniteur que vous venez de configurer et vérifiez que les paramètres affichés en bas de l'écran sont corrects.

Configuration d'un serveur virtuel pour équilibrer la charge du trafic envoyé aux pare-feux

Pour équilibrer la charge de tout type de trafic, vous devez configurer un serveur virtuel générique en spécifiant le protocole et le port comme n'importe quelle valeur.
Pour configurer un serveur virtuel afin d'équilibrer la charge du trafic envoyé aux pare-feux à l'aide de l'interface de ligne de commande :
À l'invite de commandes, tapez la commande suivante :
add lb vserver <name>@ <serviceType> <IPAddress> <port_number>
Exemple :
add lb vserver Vserver-LB-1 ANY * *
Pour configurer un serveur virtuel afin d'équilibrer la charge du trafic envoyé aux pare-feux à l'aide de l'interface graphique :
  1. Accédez à Gestion du trafic > Équilibrage de charge > Serveurs virtuels.
  2. Dans le volet de détails, cliquez sur Ajouter.
  3. Dans Protocole, sélectionnez N'importe lequel, et dans Adresse IP et port, sélectionnez*.
  4. Cliquez sur Créer, puis sur Fermer. Le serveur virtuel que vous avez créé apparaît dans le volet Serveurs virtuels d'équilibrage de charge.

Configuration du serveur virtuel en mode de réécriture MAC

Pour configurer le serveur virtuel afin qu'il utilise l'adresse MAC pour transférer le trafic entrant, vous devez activer le mode de réécriture MAC.
Pour configurer le serveur virtuel en mode de réécriture MAC à l'aide de l'interface de ligne de commande :
À l'invite de commandes, tapez la commande suivante :
set lb vserver <name>@ -m <RedirectionMode>
Exemple :
set lb vserver Vserver-LB-1 -m MAC
Pour configurer le serveur virtuel en mode de réécriture MAC à l'aide de l'interface graphique :
  1. Accédez à Gestion du trafic > Équilibrage de charge > Serveurs virtuels.
  2. Dans le volet de détails, sélectionnez le serveur virtuel pour lequel vous souhaitez configurer le mode de redirection (par exemple, vServer-LB1), puis cliquez sur Ouvrir.
  3. Dans l'onglet Avancé, sous le mode Mode de redirection, cliquez sur Ouvrir.
  4. Cliquez sur OK.

Lier les services de pare-feu au serveur virtuel

Pour accéder à un service sur l'appliance NetScaler, vous devez le lier à un serveur virtuel générique.
Pour lier les services de pare-feu au serveur virtuel à l'aide de l'interface de ligne de commande :
À l'invite de commandes, tapez la commande suivante :
bind lb vserver <name>@ <serviceName>
Exemple :
bind lb vserver Vserver-LB-1 Service-HTTP-1
Pour lier les services de pare-feu au serveur virtuel à l'aide de l'interface graphique :
  1. Accédez à Gestion du trafic > Équilibrage de charge > Serveurs virtuels.
  2. Dans le volet de détails, sélectionnez le serveur virtuel pour lequel vous souhaitez configurer le mode de redirection (par exemple, vServer-LB1), puis cliquez sur Ouvrir.
  3. Dans la boîte de dialogue Configurer le serveur virtuel (équilibrage de charge), sous l'onglet Services, cochez la case Actif à côté du service que vous souhaitez lier au serveur virtuel (par exemple, Service-HTTP-1).
  4. Cliquez sur OK.

Configuration de l'équilibrage de charge à plusieurs pare-feux sur l'appliance NetScaler

Pour équilibrer la charge du trafic des deux côtés d'un NetScaler à l'aide de l'équilibrage de charge du pare-feu, vous devez activer l'équilibrage de charge multipl-firewall à l'aide du paramètre vServerSpecificMac.
Pour configurer l'équilibrage de charge entre plusieurs pare-feux à l'aide de l'interface de ligne de commande :
À l'invite de commandes, tapez la commande suivante :
set lb parameter -vServerSpecificMac <status>
Exemple :
set lb parameter -vServerSpecificMac ENABLED
Pour configurer l'équilibrage de charge entre plusieurs pare-feux à l'aide de l'interface graphique :
  1. Accédez à Gestion du trafic > Équilibrage de charge > Serveurs virtuels.
  2. Dans le volet de détails, sélectionnez le serveur virtuel pour lequel vous souhaitez configurer le mode de redirection (par exemple, Configurer les paramètres d'équilibrage de charge).
  3. Dans la boîte de dialogue Définir les paramètres d'équilibrage de charge, cochez la case MAC spécifique au serveur virtuel.
  4. Cliquez sur OK.

Sauvegarde et vérification de la configuration

Lorsque vous avez terminé les tâches de configuration, veillez à enregistrer la configuration. Vous devez également vérifier que les paramètres sont corrects.
Pour enregistrer et vérifier la configuration à l'aide de l'interface de ligne de commande :
À l'invite de commandes, tapez les commandes suivantes pour configurer un moniteur transparent et vérifier la configuration :
  • save ns config
  • show vserver
Exemple :
save config
show lb vserver FWLBVIP2
        FWLBVIP2 (\*:\*) - ANY    Type: ADDRESS
        State: UP
        Last state change was at Mon Jun 14 07:22:54 2010
        Time since last state change: 0 days, 00:00:32.760
        Effective State: UP
        Client Idle Timeout: 120 sec
        Down state flush: ENABLED
        Disable Primary Vserver On Down : DISABLED
        No. of Bound Services :  2 (Total)       2 (Active)
        Configured Method: LEASTCONNECTION
        Current Method: Round Robin, Reason: A new service is bound
        Mode: MAC
        Persistence: NONE
        Connection Failover: DISABLED

1) fw-int-svc1 (10.102.29.5: *) - ANY State: UP Weight: 1
2) fw-int-svc2 (10.102.29.9: \*) - ANY State: UP Weight: 1
 Done
show service fw-int-svc1
        fw-int-svc1 (10.102.29.5:\*) - ANY
        State: DOWN
        Last state change was at Thu Jul  8 14:44:51 2010
        Time since last state change: 0 days, 00:01:50.240
        Server Name: 10.102.29.5
        Server ID : 0   Monitor Threshold : 0
        Max Conn: 0     Max Req: 0      Max Bandwidth: 0 kbits
        Use Source IP: NO
        Client Keepalive(CKA): NO
        Access Down Service: NO
        TCP Buffering(TCPB): NO
        HTTP Compression(CMP): NO
        Idle timeout: Client: 120 sec   Server: 120 sec
        Client IP: DISABLED
        Cacheable: NO
        SC: OFF
        SP: OFF
        Down state flush: ENABLED

1)      Monitor Name: monitor-HTTP-1
                State: DOWN     Weight: 1
                Probes: 9       Failed [Total: 9 Current: 9]
                Last response: Failure - Time out during TCP connection establishment stage
                Response Time: 2000.0 millisec
2)      Monitor Name: ping
                State: UP       Weight: 1
                Probes: 3       Failed [Total: 0 Current: 0]
                Last response: Success - ICMP echo reply received.
                Response Time: 1.275 millisec
 Done
Pour enregistrer et vérifier la configuration à l'aide de l'interface graphique :
  1. Dans le volet d'informations, cliquez sur Enregistrer.
  2. Dans la boîte de dialogue Enregistrer la configuration, cliquez sur Oui.
  3. Accédez à Gestion du trafic > Équilibrage de charge > Serveurs virtuels.
  4. Dans le volet de détails, sélectionnez le serveur virtuel que vous avez créé à l'étape 5 et vérifiez que les paramètres affichés dans le volet Détails sont corrects.
  5. Accédez à Traffic Management > Load Balancing > Services.
  6. Dans le volet de détails, sélectionnez le service que vous avez créé à l'étape 5 et vérifiez que les paramètres affichés dans le volet Détails sont corrects.

Surveillance de la configuration d'équilibrage de charge d'un pare-feu dans un environnement à plusieurs pare-feux

Une fois la configuration installée et exécutée, vous devez consulter les statistiques de chaque service et serveur virtuel afin de vérifier les éventuels problèmes.

Affichage des statistiques d'un serveur virtuel

Pour évaluer les performances des serveurs virtuels ou pour résoudre des problèmes, vous pouvez afficher les détails des serveurs virtuels configurés sur l'appliance NetScaler. Vous pouvez afficher un résumé des statistiques pour tous les serveurs virtuels, ou vous pouvez spécifier le nom d'un serveur virtuel pour afficher les statistiques uniquement pour ce serveur virtuel. Vous pouvez afficher les informations suivantes :
  • Nom
  • Adresse IP
  • Port
  • Protocole
  • État du serveur virtuel
  • Taux de demandes reçues
  • Taux de succès

Pour afficher les statistiques du serveur virtuel à l'aide de l'interface de ligne de commande

Pour afficher un résumé des statistiques pour tous les serveurs virtuels actuellement configurés sur l'appliance NetScaler, ou pour un seul serveur virtuel, à l'invite de commande, tapez :
stat lb vserver [-detail] [<name>]
Exemple :
>stat lb vserver -detail
Virtual Server(s) Summary
                      vsvrIP  port     Protocol        State    Req/s   Hits/s
One                        *    80         HTTP           UP      5/s      0/s
Two                        *     0          TCP         DOWN      0/s      0/s
Three                      *  2598          TCP         DOWN      0/s      0/s
dnsVirtualNS    10.102.29.90    53          DNS         DOWN      0/s      0/s
BRVSERV            10.10.1.1    80         HTTP         DOWN      0/s      0/s
LBVIP           10.102.29.66    80         HTTP           UP      0/s      0/s
 Done
Pour afficher les statistiques du serveur virtuel à l'aide de l'interface graphique :
  1. Accédez à Gestion du trafic > Équilibrage de charge > Serveurs virtuels > Statistiques.
  2. Si vous souhaitez afficher les statistiques d'un seul serveur virtuel, dans le volet de détails, sélectionnez le serveur virtuel, puis cliquez sur Statistiques.

Affichage des statistiques d'un service

Vous pouvez afficher le taux de demandes, de réponses, d'octets de demande, d'octets de réponse, de connexions client actuelles, de demandes dans la file d'attente de surtension, de connexions au serveur en cours, etc. à l'aide des statistiques de service.
Pour consulter les statistiques d'un service à l'aide de l'interface de ligne de commande :
À l'invite de commande, tapez :
stat service <name>
Exemple :
stat service Service-HTTP-1
Pour consulter les statistiques d'un service à l'aide de l'interface graphique :
  1. Accédez à Gestion du trafic > Équilibrage de charge > Services > Statistiques.
  2. Si vous souhaitez afficher les statistiques d'un seul service, sélectionnez-le et cliquez sur Statistiques.