NetScaler

1
NetScaler

• Riad NASSOU / Stéphane Caunes
• Systems Engineer Southern Europe
• Application Networking Group

2
Agenda
3
Agenda
4
Contraintes des applications

• La gestion des connexions
• Utilise des ressources serveur
• Augmente le temps de réponse
• Augmentation du nombre dutilisateurs
• Augmente la charge serveurs
• Augmente la charge réseau
• Augmente le du temps de réponses de la chaîne
  applicative
• Lencryption des données et la sécurité des
  connexions
• Augmente la charge serveurs
• Réduit la performance des applications
• Augmente la charge réseau
• Augmente le temps de réponse
• Génération de la donnée
• Augmentation de la charge serveurs (Web,
  applicatif, Base de données)
• Augmente le temps de réponse

5
Solutions multiples Inconvénient
Accélération SSL
Compression
Serveur dapplication
Cache
Serveur Web
Serveur dapplication
Serveur Web
Switch L4-7
Protection DDoS
Passerelle VPN
Texte en clair
Serveur Web
Texte encrypté
Serveur dapplication
Solution technique à des problèmes
spécifiques Trop complexe et ne résoud pas la
problématique entière
6
La solution Citrix NetScaler
Custom Web apps
NetScaler
Serveurs Web
Application / Serveur Base de données
Une solution unique alliant sécurité et
performance.
7
Réduit le nombre de paquet TCP
Cache des objets statiques ( images, javascript,
css) et dynamique.
Compression des éléments de type texte (html,
xml, js, css, etc) pour les applications Full
Web. Compatible est tous les navigateurs.
Compression de toutes les données pour toutes les
applications Oracle Jinitiator, 3270,
Messagerie,
Réduit le nombre de connexions ouvertes sur le
serveurs
8
Sécurité / Accès
Encryption SSL Haute performance, gestion des
certificats client, chaînage de certificats
(Compatible SSL V2/V3, TLS 1.0)
SSL Accélération
Stack TCP/IP durcie pour une protection des
attaques bas niveau (DOS, DDOS, ICMP flood, etc)
DDoS
Donne accès à tous les applications Web, partage
de fichier aux nomades et aux utilisateurs
distants.
Protection des applications web contre les
attaques connues ou inconnues
9
Haute disponibilité
Load Balacing de niveau 4 et 7. Support des
protocoles HTTP/S, FTP, DNS, NNTP, TCP, UDP
SSL_TCP. Algorithmes de répartition Least
Connections, Round Robin, Least Bandwidth, Least
Packets, Least Response Time, Token,
Hashing Gestion du Health Check ICMP, TCP,
HTTP, DNS,
Routage dURL (gestion de virtual path, virtual
host, etc.)
Permet de rediriger les requêtes vers des caches
externes
Possibilité de faire du load balancing de site.
10
NetScaler Request Switching

• NetScaler transmet les requêtes clientes via la
  connexion NetScaler - serveur
• Les clients supplémentaires suivent la même
  procédure
• De multiples requêtes clientes sont transmises
  via la connexion commune
• La gestion de la connexion TCP est minimisée

• NetScaler reçoit et termine la connexion
• Le client transmet les requêtes applicatives
• NetScaler établit la connexion vers le serveur

Clients
Server
11
HTTP (Web) Compression

• Compression de contenu transparent
• Maximise la charge par paquet
• Augmente la performance de lapplication
• Supporté par tous les navigateurs

12
Load Balancing

• Assure la répartition optimale sur la ferme de
  serveur
• Disponibilité garantie du service (HA)

Trafic Utilisateur irrégulier
Server Load
Server Load
13
Fonctions de répartition

• Traffic load balancing
• Distribue le traffic sur les serveurs du groupe
• Les méthodes de distribution dépendent du type de
  traffic
• Service monitoring
• Vérifie que le service est actif et disponible
• Session persistence
• Envoie le traffic dun client donné vers un
  serveur donné une fois la session établie

14
Commutation de contenu Content Switching

• Spécialisation des serveurs par importance
• Chaque serveur est dédié à une tache unique

Trafic irrégulier
Serveur dApplications
Serveur Gif/Jpg
Le trafic est orienté vers les serveurs en
fonction du type dapplications ou de données
15
SSL Offload

• Hautes Performances
• Jusquà 28000 TPS
• Jusquà 275,000 connections SSL concurrentes
• Solution Complete
• Rich Traffic Management feature set
• SSL VIP
• Transparent SSL
• Back End encryption

16
GSLB Global Server Load Balancing

• Distribue le trafic réseau sur plusieurs sites
• Réduit la latence des applications
• Distribue la charge des serveurs sur plusieurs
  sites
• Permet la mise en place de PRA/PCA

17
GSLB Site à Site LB
Tous les sites sinforment mutuellement et
régulièrement de leur état de santé. Si un site
est indisponible, il ne reçoit plus de trafic
automatiquement. Quand le site est réactivé, la
charge est automatiquement répartie à nouveau.
18
Le fonctionnement du GSLB
1. Le client fait une requête DNS
Quelle est ladresse IP dewww.domain.com ?
2. NetScaler renvoie lIP du site le plus
disponible
IP du site 3
3. Le client se connecte à ladresse IP fournie
Site 1
Site 2
Site 3
19
Mécanisme de Protection
DoS Protection NetScaler Drops/Slows Suspect
Clients
Sure Connect NetScaler Provides Alternate Content
to Requests in Queue
Syn/TCP Attack Protection NetScaler Stops Bare
SYNs, handles cold connections
1
1
1
2
2
2
2
2
2
2
2
2
1
1
1
1
1
1
1
2
2
2
1
1
1
2
2
2
1
1
Client
1
Priority Queuing NetScaler Assigns Priorities to
Queued Traffic
Clear Traffic
Access Control Lists Block Unwanted Traffic
Surge Protection NetScaler Smooths Traffic (All
TCP)
Content Filtering Drops Suspect Traffic
20
Web Application Firewalls

• Buffer Overflow Protection
• Empêche les attaquants de gagner des privilèges
  daccès supérieurs
• Forcefull Browsing
• Pénétration de linfrastructure par force brute
• Cookie Poisonning
• Prévenir le vol didentité et le détournement de
  session (session hijacking)
• HTML Form Field Protection
• Protége les applications en bloquant les
  manipulations de paramètres
• Cross-Site Scripting (XSS)
• Attaque la relation de confiance
• SQL Injection
• Accéder à des bases de données via des
  applications Web

21
Command Center Présentation

• Gestion centralisée des configurations
• Gestion du Changement
• Consolidation des données
• Gestion des Certificats SSL
• Stockage externe MySQL / Oracle database
• Plateforme de monitoring
• Tâches récurrentes
• Génération de rapports
• Gestion dévènements

22
Home page
23
Rapport Horaire Consolidation de données
24
Exportation en PDF
25
NetSCaler XenApp
26
Architecture Initiale
27
Challenges associés

• Problèmes potentiellement rencontrés par les
  utilisateurs
• Round Robin DNS Ne valide pas la disponibilité
  des équipements
• Perte de la passerelle VPN SSL Seule une Web
  Interface peut être configurée
• XML Black Hole Le service peut être disponible
  mais ne fonctionne pas
• Site B Dispose de multiple single points of
  failure
• Configuration
• Risque derreurs multiples des équipements
  similaires disposant de configurations différentes

28
Solution

• NetScaler permet de garantir la disponibilité
  géographique avec un minimum de changements
• Trois Phases
• Phase I Load Balancing des composants
• Phase II Reconfiguration des composants
• Phase III Global Server Load Balancing

29
Phase ILoad Balancing des composants
30
Load Balancing dAG
Après
Avant
31
Load Balancing des Web Interface
Avant
Après
32
Monitor spécifique pour la Web Interface
ctxweb
/Citrix/AccessPlatform/site/default.aspx

• Command Line Interface (CLI)

33
Load Balancing des Broker XML
Avant
Après
34
Monitoring spécifique des Broker XML
ctxxml
notepad

• Command Line Interface (CLI)

35
Web Interface Load Balancing
Before
After
36
XML Broker Load Balancing
Before
After
37
Phase IIReconfiguration des composants
38
Load Balancing des Web Interface
Avant
Après
39
Load Balancing des XML Broker
Avant
Après
40
Phase III Global Server Load Balancing
41
GSLB Intelligent

• Diriger lutilisateur que si tous les composants
  du site complet sont disponibles
• Si lAccess Gateway répond, le site peut malgré
  tout être inutilisable
• Perte de Web Interface
• Dysfonctionnement XML Broker
• Dysfonctionnement STA

42
Contraintes liées au tunnel SSL

• GSLB service dispose de virtual server de type
  SSL
• Tous les monitors doivent être en SSL
• Option 1
• Configurer le Broker XML et la Web Interface pour
  utiliser SSL
• Option 2
• Utiliser le SSL offload
• Utiliser des monitors non-SSL (ctxweb and ctxxml)

43
Architecture GSLB
44
Monitors
Access Gateway

• Command Line Interface (CLI)

45
Monitors
Web Interface

• Command Line Interface (CLI)

46
Monitors
XML Broker

• Command Line Interface (CLI)

47
Global Server Load Balancing
Sites

• Command Line Interface (CLI)

48
Global Server Load Balancing
Services

• Command Line Interface (CLI)

49
Global Server Load Balancing
Services

• Command Line Interface (CLI)

50
Global Server Load Balancing
Virtual Server
255 255 255 255
1

• Command Line Interface (CLI)

51
Global Server Load Balancing - Résumé
52
Global Server Load Balancing - Résumé
53
Q A
54
(No Transcript)