Vorstellung und Bewertung neuer Technologien

Präsentation zum Thema: "Vorstellung und Bewertung neuer Technologien"—  Präsentation transkript:

1 Vorstellung und Bewertung neuer Technologien
18. MultiUser Techgroup – Veranstaltung NetScaler 10.5 / erster Überblick - Vorstellung und Bewertung neuer Technologien - Infrastruktur - Wolfgang Ruttscheidt 0172/

2 18. MUTG

3 18. MUTG

4 18. MUTG

5 18. MUTG

6 18. MUTG

7 18. MUTG

8 18. MUTG

9 18. MUTG

10 4 Plattformen MPX: Physical Netscaler Appliance
VPX: Virtual Netscaler Appliance für VMware ESX, Microsoft Hyper-V und XenServer SDX: Advanced Hardware basierender Citrix Hypervisor -> Netscaler VPX Instances auf einer einzigen Hardware Appliance Cloud: AWS and Azure 18. MUTG

11 Platinum Enterprise Standard Maintenance Bronze, Silber, Gold
Editionen Platinum Enterprise Standard Maintenance Bronze, Silber, Gold 18. MUTG

12 18. MUTG

13 18. MUTG

14 Access Layer – Appliance Options
Multi-function appliance (secure access, load-balancing, acceleration) Highest capacity (10,000+ users per appliance) Most reliable hardware Ideal for business continuity across multiple datacenters NetScaler SDX 88xx or higher NetScaler Gateway MPX Designed for secure access High capacity (5,000 users per appliance) Upgradable to NetScaler for additional functionality Virtual appliance with same functionality as NG MPX Designed to upgrade Secure Gateway Capacity for medium-size deployments (500 users per appliance) Available for Citrix XenServer, VmWare ESX, Microsoft HyperV hypervisors Citrix NetScaler Gateway VPX NetScaler Gateway VPX 18. MUTG

15 NetScaler - Hardware Citrix NetScaler MPX 5500
18. MUTG

16 18. MUTG

17 VPX 10 MB bis 3 GB 18. MUTG

18 MPX Hardware MB bis 120 GB 18. MUTG

19 SDX Hardware + virtuelle Instanzen -> 50 GB 18. MUTG

20 VPX oder MPX VPX 1000 , nicht preiswerter als vgl. Hardware Citrix NetScaler MPX 5550/5560 18. MUTG

21 Platform Lizenz “Jede Access Gateway Appliance (MPX/VPX) enthält die Platform License, die alle Basis Funktionalitäten von Access Gateway ermöglicht. Mit Platform Licenses können Benutzer auf XenApp oder XenDesktop Ressourcen zugreifen, ohne dass dazu für jede einzelne Verbindung eine (kostenpflichtige) Access Gateway Universal License benötigt wird. Jede Access Gateway und NetScaler Appliance (physisch und virtuell) umfasst eine Access Gateway Platform License, die zum Aufbau von Benutzerverbindungen bis zur maximalen Kapazität der Appliance berechtigt.Nach dem Kauf der Appliance kann die Lizenz über den MyCitrix Account runtergeladen und auf der Appliance installiert werden. Über die Platform License wird: ICAProxy-Zugriff auf XenApp-gehosteten Anwendungen oder zu XenDesktop-gehostete Desktops über WebInterface ICAProxy-Zugriff auf XenApp/XenDesktop über Storefront (CloudGateway Express) ermöglicht.” 18. MUTG

22 Universal Lizenz Die Universal License ermöglicht es, zusätzliche, erweiterte Funktionaliäten auf Access Gateway Appliances frei zu schalten. Lizenziert wird nach dem Concurrend User (CCU) Modell. Die Lizenzen müssen zusätzlich zu der Hardware oder Software Appliance gekauft werden, die Installation erfolgt wie oben beschrieben genauso wie bei der Platform Lizenz.  Access Gateway Universal License unterstützt folgende Funktionen: Vollständiges VPN-Tunneling auf Netzwerkebene (SSL VPN) Endpunktanalyse (EPA) von Client Endgeräten Adaptive SmartAccess-Richtlinien für XenApp/XenDesktop Clientless Zugang zu , Websites und File Shares (CVPN) MDX Micro VPN 18. MUTG

23 Die Universal License wird in den folgenden Citrix Umgebungen benötigt:
Verbindung zu XenApp/XenDesktop mit SmartAccess Funktionalität (über WebInterface und Storefront) CloudGateway Enterprise Mobility (AppController) CloudGateway Enterprise (AppController und Storefront) 18. MUTG

24 18. MUTG

25 …wichtige Eigenschaften
Load Balancing Content Switching High Availability Gateway, SSL VPN SSL Offload TriScale (Clustering) Global Server Load Balancing Application Firewall 18. MUTG

26 IP-Adressen NSIP (NetScaler IP) SNIP (Subnet IP) MIP (Mapped IP)
VIP (Virtual IP) 18. MUTG

27 NSIP The NetScaler IP (NSIP) is the primary IP for the management of the appliance. That is the first IP address you must configure on the NetScaler. The NSIP is used for internal Netscaler communication in HA deployment. In that case, the NSIP is the only IP enabled on the secondary NetScaler. Reboot is required when changing the NSIP. 18. MUTG

28 SNIP The Subnet IP (SNIP) is used for server side communication and is also known as Interface IP. You should configure a new SNIP address for each subnet you want the NetScaler to be directly connected to. When the SNIP is added in the NetScaler configuration, the appliance will automatically add a static route entry into the NetScaler routing table to identify that SNIP as the default entry point for that subnet. 18. MUTG

29 VIP A Virtual IP (VIP) is the IP address of a virtual server that the end users will connect to. You can host the same VIP on multiple Netscaler instances. 18. MUTG

30 MIP A Mapped IP address (MIP) is similar to a SNIP address and is also used for server-side communication. The difference is that by default, NetScaler will use a SNIP address to communicate with a subnet. If there is no SNIP available , it will use a MIP address. 18. MUTG

31 one-arm 18. MUTG

32 —In two arm mode, multiple network interfaces are connected to different Ethernet segments, and the NetScaler is placed between the clients and the servers. 18. MUTG

33 18. MUTG

34 18. MUTG

35 18. MUTG

36 18. MUTG

37 NetScaler 11 - VPX 11.0 Build 55.20  Seit dem ist die neue Firmware 11.0, Build nc für den Citrix NetScaler verfügbar Da mit diesem Release sehr viele neue Features und Änderungen eingeführt wurden, handelt es sich nicht um ein Update sondern einen Major Release. Administrativ fühlt sich das Release aber gleich zum letzten Release an Update des NetScaler machbar (2nd,1rst, Sync) 18. MUTG

38 NetScaler 11 -> Unified Gateway
Die größte Neuerung ist das neue “Unified Gateway”. Citrix hat hier nicht nur einen neuen Namen eingeführt, sondern dem Gateway auch eine Menge neuer Features hinzugefügt Das Unified Gateway dient nun als Zugriffspunkt für alle Applikationen unter einer einzigen URL bzw. IP-Adresse. Bisher mussten für die Features Loadbalancing bzw. Content Switching und NetScaler Gateway zwei verschiedene IP-Adressen bzw. Ports verwendet werden 18. MUTG

39 Vorbereiten des Access-Gateways
Bevor ein NetScaler als Access- Gateway verwendet werden kann, muss das Feature „Access- Gateway“ eingeschaltet werden. 18. MUTG

40 Administration: Anlegen des virtuellen Servers
Ein Virtueller Server ist ein „Proxy- Dienst“, über den der Zugriff auf die Infrastruktur erfolgt. Ein virtueller Server benötigt eine virtuelle IP- Adresse, über die der virtuelle Server erreichbar sein wird. Diese IP Adresse muss später in der Firewall freigeschaltet werden. Der Name des virtuellen Servers dient rein zu administrativen Zwecken Die IP Adresse sollte im Bereich der DMZ liegen und ist die IP Adresse, über die das Access Gateway später erreicht werden soll SSL Standard Port 443 18. MUTG

41 18. MUTG

42 Platform License - Universal License
Im Smart Access Mode benötigen wir zusätzlich zu der Platform License auch noch eine Universal License für jeden zugreifenden Benutzer. Falls der Benutzer einen VPN Client installiert hat, können Endpoint Analyse Scans laufen, die uns gute Informationen über die Zustände am Client Device liefern. 18. MUTG

43 Der Policy Manager 18. MUTG

44 Eine Authentisierungs- Policy anlegen
Jeder Vorgang am Netscaler benötigt eine Policy Hier – Bsp.: Authentisierung gegen ein LDAP / eigene Domäne Im Policy Manager lassen sich alle benötigten Policies anlegen. Man klickt dazu den gewünschten Policy Typ und wählt dann ganz rechts neue Policy. 18. MUTG

45 18. MUTG

46 Eine Policy besteht aus 2 Teilen
Die Bedingung, die erfüllt sein muss, dass die Policy gilt. Hier: Erfolgreiche Authentisierung. Das Ergebnis, das die Policy zurückliefern soll, (hier: True Value) 18. MUTG

47 18. MUTG

48 LDAP „ New“ Domain- Controller IP-Adresse. Typ LDAP ist AD
Das Port ergibt sich von selbst, es muss nicht angepasst werden. (Würde man Port 3268 eintragen so wäre es eine Authentisierung gegen den globalen Catalog, das ist best Practice in multi domain Forests (CTX113655)) Die Base DN ist der Name der Domain, er ist in LDAP- Notation anzugeben. Die Domain test.norz.at mit NetBIOS Namen dc=test,dc=norz,dc=at 18. MUTG

49 Administrator Bind DN Administrator Bind DN ist der Name eines Benutzers, der im AD zumindest Leserechte hat. Man kann ihn in folgenden Formen angeben: domain/user name ou=administrator,dc=test,dc=norz,dc=at (nur für Active Directory®) cn=Administrator,cn=Users,dc=test,dc=norz,dc=at für das AD wird die Form oft als am einfachsten empfunden 18. MUTG

50 Test: „Retrieve Attributes“
Klickt man jetzt auf retrieve Attributes, dann sollte das ohne Fehler gelingen. Es ist der Beweis, dass die Authentisierung jetzt möglich ist Wir lassen alle Attribute, wie sie bei Other Settings stehen. Wenn die Benutzer ihre Kennwort ändern können sollen, benötigt man „Allow Password Change „ und unbedingt TLS/SSL. 18. MUTG

51 18. MUTG

52 Nachdem wir die Policy erfolgreich angelegt haben ziehen wir sie mit der Maus auf Authentication Policy (primary). Damit ist unser virtueller Server bereits in der Lage, Benutzer zu authentisieren. Ein erster Versuch wäre jetzt möglich. 18. MUTG

53 2 Faktor Authentisierung
Falls man eine 2 Faktor Authentisierung implementiert, würde man die Token- Authentisierung (RADIUS) als primäre Authentisierung, die LDAP Authentisierung als sekundäre eintragen. Damit verhindert man, dass ein unautorisierter Benutzer von außen beim Hacken von Passworten einen Domain- Account Lockout verursacht erst wird der RADIUS Token probiert, nur wenn der gültig ist wird das Domänenkennwort gegen das AD verifiziert. 18. MUTG

54 18. MUTG

55 18. MUTG

56 18. MUTG

57 18. MUTG

58 18. MUTG

59 18. MUTG

60 18. MUTG