Activer la collecte de données pour les appliances NetScaler Gateway déployées en mode double-saut

Dernière publication : Sep 25, 2026
Le mode double-saut de NetScaler Gateway offre une protection supplémentaire au réseau interne d'une organisation, car un attaquant devrait pénétrer plusieurs zones de sécurité ou zones démilitarisées (DMZ) pour atteindre les serveurs du réseau sécurisé.
En tant qu'administrateur, à l'aide de NetScaler Console, vous pouvez analyser :
  • Le nombre de sauts (appliances NetScaler Gateway) par lesquels les connexions ICA passent
  • Les détails sur la latence de chaque connexion TCP et comment elle se compare à la latence ICA® totale perçue par le client
L'image suivante indique que NetScaler Console et NetScaler Gateway dans la première DMZ sont déployés dans le même sous-réseau.
Double saut
Le NetScaler Gateway de la première DMZ gère les connexions utilisateur et exécute les fonctions de sécurité d'un VPN SSL. Ce NetScaler Gateway chiffre les connexions utilisateur, détermine comment les utilisateurs sont authentifiés et contrôle l'accès aux serveurs du réseau interne.
Le NetScaler Gateway de la deuxième DMZ sert de périphérique proxy NetScaler Gateway. Ce NetScaler Gateway permet au trafic ICA de traverser la deuxième DMZ pour établir les connexions utilisateur vers la batterie de serveurs.
NetScaler Console peut être déployé soit dans le sous-réseau appartenant à l'appliance NetScaler Gateway de la première DMZ, soit dans le sous-réseau appartenant à l'appliance NetScaler Gateway de la deuxième DMZ.
En mode double-saut, NetScaler Console collecte les enregistrements TCP d'une appliance et les enregistrements ICA de l'autre appliance. Après avoir ajouté les appliances NetScaler Gateway à l'inventaire de NetScaler Console et activé la collecte de données, chaque appliance exporte les rapports en suivant le nombre de sauts et l'ID de chaîne de connexion.
Pour que NetScaler Console identifie quelle appliance exporte les enregistrements, chaque appliance est spécifiée avec un nombre de sauts et chaque connexion est spécifiée avec un ID de chaîne de connexion. Le nombre de sauts représente le nombre d'appliances NetScaler Gateway par lesquelles le trafic circule d'un client vers les serveurs. L'ID de chaîne de connexion représente les connexions de bout en bout entre le client et le serveur.
NetScaler Console utilise le nombre de sauts et l'ID de chaîne de connexion pour corréler les données des deux appliances NetScaler Gateway et générer les rapports.
Pour surveiller les appliances NetScaler Gateway déployées dans ce mode, vous devez d'abord ajouter le NetScaler Gateway à l'inventaire de NetScaler Console, activer AppFlow sur NetScaler Console, puis afficher les rapports sur le tableau de bord de NetScaler Console.

Activation de la collecte de données sur NetScaler Console

Si vous activez NetScaler Console pour qu'il commence à collecter les détails ICA des deux appliances, les détails collectés sont redondants. Pour remédier à cette situation, vous devez activer AppFlow pour TCP sur la première appliance NetScaler Gateway, puis activer AppFlow pour ICA sur la deuxième appliance. Ainsi, l'une des appliances exporte les enregistrements AppFlow ICA et l'autre appliance exporte les enregistrements AppFlow TCP. Cela réduit également le temps de traitement de l'analyse du trafic ICA.
Pour activer la fonctionnalité AppFlow à partir de NetScaler Console :
  1. Accédez à Infrastructure > Instances, et sélectionnez l'instance NetScaler pour laquelle vous souhaitez activer l'analyse.
  2. Dans la liste Sélectionner une action, sélectionnez Configurer l'analyse.
  3. Sélectionnez les serveurs virtuels, puis cliquez sur Activer la sécurité et l'analyse.
  4. Sélectionnez Web Insight
  5. Cliquez sur OK.

Configurer les appliances NetScaler Gateway pour exporter les données

Après avoir installé les appliances NetScaler Gateway, vous devez configurer les paramètres suivants sur les appliances NetScaler Gateway pour exporter les rapports vers NetScaler Console :
  • Configurez les serveurs virtuels des appliances NetScaler Gateway dans la première et la deuxième DMZ pour qu'ils communiquent entre eux.
  • Lie le serveur virtuel NetScaler Gateway de la deuxième DMZ au serveur virtuel NetScaler Gateway de la première DMZ.
  • Activez le double saut sur le NetScaler Gateway de la deuxième DMZ.
  • Désactivez l'authentification sur le serveur virtuel NetScaler Gateway de la deuxième DMZ.
  • Activez l'une des appliances NetScaler Gateway pour exporter les enregistrements ICA
  • Activez l'autre appliance NetScaler Gateway pour exporter les enregistrements TCP :
  • Activez le chaînage de connexion sur les deux appliances NetScaler Gateway.
Configurer NetScaler Gateway à l'aide de l'interface de ligne de commande :
  1. Configurez le serveur virtuel NetScaler Gateway dans la première DMZ pour communiquer avec le serveur virtuel NetScaler Gateway dans la deuxième DMZ.
    ajouter vpn nextHopServer \<name\> \<nextHopIP\> \<nextHopPort\> \[-secure (ON|OFF)\] \[-imgGifToPng\] ...
    add vpn nextHopServer nh1 10.102.2.33 8443 –secure ON
  2. Lie le serveur virtuel NetScaler Gateway dans la deuxième DMZ au serveur virtuel NetScaler Gateway dans la première DMZ. Exécutez la commande suivante sur le NetScaler Gateway dans la première DMZ :
    lier vpn vserver \<name\> -nextHopServer \<name\>
    bind vpn vserver vs1 -nextHopServer nh1
  3. Activez le double saut et AppFlow sur le NetScaler Gateway dans la deuxième DMZ.
    définir vpn vserver \<name\> \[- doubleHop ( ENABLED |DISABLED )\] \[- appflowLog ( ENABLED |DISABLED )\]
    set vpn vserver vpnhop2 –doubleHop ENABLED –appFlowLog ENABLED
  4. Désactivez l'authentification sur le serveur virtuel NetScaler Gateway dans la deuxième DMZ.
    définir vpn vserver\<name\> \[-authentication (ON|OFF)\]
    set vpn vserver vs -authentication OFF
  5. Activez l'une des appliances NetScaler Gateway pour exporter les enregistrements TCP.
    lier vpn vserver\<name\> \[-policy\<string\> -priority\<positive\_integer\>\] \[-type\<type\>\]
    bind vpn vserver vpn1 -policy appflowpol1 -priority 101 –type OTHERTCP\_REQUEST
  6. Activez l'autre appliance NetScaler Gateway pour exporter les enregistrements ICA :
    lier vpn vserver\<name\> \[-policy\<string\> -priority\<positive\_integer\>\] \[-type\<type\>\]
    bind vpn vserver vpn2 -policy appflowpol1 -priority 101 -type ICA\_REQUEST
  7. Activez le chaînage de connexion sur les deux appliances NetScaler Gateway :
    set appFlow param \[-connectionChaining (ACTIVÉ|DÉSACTIVÉ)\]
    set appflow param -connectionChaining ENABLED
Configuration de NetScaler Gateway à l'aide de l'utilitaire de configuration :
  1. Configurez le NetScaler Gateway de la première DMZ pour qu'il communique avec le NetScaler Gateway de la deuxième DMZ, et liez le NetScaler Gateway de la deuxième DMZ au NetScaler Gateway de la première DMZ.
    1. Sous l'onglet Configuration, développez NetScaler Gateway et cliquez sur Serveurs virtuels.
    2. Dans le volet droit, double-cliquez sur le serveur virtuel, et dans le groupe Avancé, développez Applications publiées.
    3. Cliquez sur Serveur de saut suivant et liez un serveur de saut suivant à la deuxième appliance NetScaler Gateway.
  2. Activez le double saut sur le NetScaler Gateway de la deuxième DMZ.
    1. Sous l'onglet Configuration, développez NetScaler Gateway et cliquez sur Serveurs virtuels.
    2. Dans le volet droit, double-cliquez sur le serveur virtuel, et dans le groupe Paramètres de base, cliquez sur l'icône de modification.
    3. Développez Plus, sélectionnez Double saut et cliquez sur OK.
  3. Désactivez l'authentification sur le serveur virtuel du NetScaler Gateway de la deuxième DMZ.
    1. Sous l'onglet Configuration, développez NetScaler Gateway et cliquez sur Serveurs virtuels.
    2. Dans le volet droit, double-cliquez sur le serveur virtuel, et dans le groupe Paramètres de base, cliquez sur l'icône de modification.
    3. Développez Plus, et décochez Activer l'authentification.
  4. Activez l'une des appliances NetScaler Gateway pour exporter les enregistrements TCP.
    1. Sous l'onglet Configuration, développez NetScaler Gateway et cliquez sur Serveurs virtuels.
    2. Dans le volet droit, double-cliquez sur le serveur virtuel, et dans le groupe Avancé, développez Stratégies.
    3. Cliquez sur l'icône + et dans la liste Choisir une stratégie, sélectionnez AppFlow® et dans la liste Choisir un type, sélectionnez Autre requête TCP.
    4. Cliquez sur Continuer.
    5. Ajoutez une liaison de stratégie, puis cliquez sur Fermer.
  5. Activez l'autre appliance NetScaler Gateway pour exporter les enregistrements ICA :
    1. Sous l'onglet Configuration, développez NetScaler Gateway et cliquez sur Serveurs virtuels.
    2. Dans le volet droit, double-cliquez sur le serveur virtuel, et dans le groupe Avancé, développez Stratégies.
    3. Cliquez sur l'icône + et dans la liste Choisir une stratégie, sélectionnez AppFlow et dans la liste Choisir un type, sélectionnez Autre requête TCP.
    4. Cliquez sur Continuer.
    5. Ajoutez une liaison de stratégie, puis cliquez sur Fermer.
  6. Activez le chaînage de connexion sur les deux appliances NetScaler Gateway.
    1. Sous l'onglet Configuration, accédez à Système > Appflow.
    2. Dans le volet droit, dans le groupe Paramètres, cliquez sur Modifier les paramètres Appflow.
    3. Sélectionnez Chaînage de connexion et cliquez sur OK.