Modèle de conception validé des partitions Admin Citrix ADC

Vue d’ensemble des fonctionnalités

Citrix ADC Admin Partitions permet la mutualisation au niveau logiciel dans une seule instance Citrix ADC. Chaque partition possède son propre plan de contrôle et son propre plan réseau.

Les principaux avantages des partitions d’administration sont les suivants :

1. Plan de contrôle : configuration et gestion isolées
2. Plan de données : données et fichiers de partition clés étroitement contrôlés à l’intérieur des limites de la partition
3. Plan réseau : le trafic est isolé avec sa propre configuration réseau. Deux partitions sur le même Citrix ADC ne voient pas le même trafic passer par chaque partition

Ce document décrit en détail les cas d’utilisation typiques activés par les partitions d’administration et les instructions d’utilisation des partitions d’administration dans l’environnement client.

Exemples d’utilisation des partitions d’administration

Exemple d’utilisation en entreprise pour les partitions d’administration

Les administrateurs Citrix ADC peuvent partitionner un Citrix ADC en plusieurs ADC et attribuer les partitions à différents administrateurs d’applications tels que Microsoft SharePoint et Microsoft Lync. Chaque administrateur/propriétaire de l’application peut apporter ses propres modifications de configuration.

Superposition d’adresses IP : Le principal avantage du chevauchement d’adresses IP est que la même plage d’adresses IP peut être utilisée sur différentes partitions d’administration sans aucun conflit IP. Pour les serveurs principaux, vous pouvez utiliser le même ensemble d’adresses IP privées. Dans un scénario de chevauchement d’adresses IP, les VLAN ne peuvent pas être partagés.

Routage virtuel : la configuration du routage est propre à chaque partition et chaque propriétaire de partition peut configurer ses propres protocoles de routage.

Isolation de l’espace de noms : les noms des entités sont uniques sur différentes partitions, vous pouvez donc utiliser les mêmes noms sur différentes partitions d’administration.

Schéma de référence :

Carte réseau unique — plusieurs réseaux locaux virtuels

IP superposée :

Exemple d’utilisation pour les partitions d’administration par un fournisseur

Les fournisseurs de services peuvent partitionner un Citrix ADC et l’attribuer à des clients individuels en fonction de leurs besoins en bande passante et du nombre de connexions simultanées.

Les fournisseurs de services peuvent développer des outils d’orchestration à l’aide des API NITRO pour obtenir des informations de leurs clients individuels sur leurs besoins en bande passante et leurs connexions simultanées, créer des partitions et les attribuer à leurs clients.

Vous trouverez ci-dessous un ensemble d’isolations qui aident les fournisseurs de services :

Système defichiers : chaque partition se voit attribuer une partie d’un système de fichiers et les fichiers stockés dans cet espace de partition ne sont pas visibles pour les autres partitions. Les certificats/clés SSL sont stockés dans cette partition et ne sont pas visibles pour les autres propriétaires de partition, ce qui sécurise chaque partition.

VLAN partagé : dans un fournisseur de services classique avec un déploiement mutualisé, les clients finaux peuvent ne pas disposer de VLAN indépendants pour le trafic entrant. La fonctionnalité VLAN partagé partage le VLAN lorsqu’il n’est pas possible d’avoir un VLAN dédié.

Balisage VLAN : une interface unique peut être partagée sur plusieurs partitions d’administration et isolée à l’aide d’un VLAN balisé. Pour un VLAN non balisé, utilisez un VLAN partagé.

Résolution des problèmes et débogage : les administrateurs peuvent consulter les statistiques de trafic de chaque partition indépendamment et séparer les journaux en filtrant par l’ID de la partition. La fonction trace garantit l’indépendance de la partition puisque la trace lancée depuis une partition ne verra jamais de paquets provenant d’une autre partition.

Schéma de référence

Directives pour l’implémentation de partitions d’administration

Les partitions d’administration permettent de partager des ressources, notamment de la bande passante, de la mémoire et des connexions simultanées, et fournissent une isolation au niveau du réseau, des données et du plan de gestion.

Partage des ressources

Les administrateurs ADC ont besoin des informations suivantes pour configurer la partition d’administration :

1. Connexions — (Nombre de connexions TCP)
2. Mémoire
3. Exigences de bande passante

Le nombre de connexions et les besoins en bande passante dépendent de l’application et du trafic géré par la partition respective. L’administrateur ADC, en consultation avec l’administrateur de l’application, obtiendra les connexions/la bande passante d’une partition.

Directives d’allocation de mémoire

La quantité de mémoire allouée à une partition par défaut doit représenter au moins 50 % de la mémoire totale disponible pour les raisons suivantes :

1. Fournir de la flexibilité au client à l’avenir pour augmenter la mémoire d’autres partitions au cas où la limite serait atteinte.
2. La mémoire cache intégrée pour toutes les partitions provient de la partition par défaut.

La mémoire totale pouvant être consommée par un PE est de 4 Go. Ainsi, un total de 2 Go peut être alloué à toutes les partitions à l’exception de la partition d’administration.

La mémoire affectée à la partition d’administration est utilisée à deux fins :

1. Stockage d’objets statiques (configuration, clés SSL)
2. Objets dynamiques : en fonction de la liste des fonctionnalités activées et du nombre de connexions, la mémoire allouée aux objets dynamiques varie.

L’administrateur de l’ADC utilise les connexions et les exigences de bande passante du propriétaire de l’application ainsi que les directives ci-dessous pour établir l’estimation de la mémoire.

Instructions pour l’allocation de mémoire statique pour la configuration

Le tableau 1 répertorie les configurations couramment utilisées et la mémoire requise.

Tableau 1

Les configurations étant répliquées sur tous les PE, l’exigence ci-dessus doit être multipliée par le nombre de PE.

Directives relatives à la mémoire dynamique

Tableau 2

Mémoire dynamique = somme de la mémoire calculée à partir de chacune des lignes ci-dessus dans le tableau ci-dessus.

Ajoutez une mémoire tampon de 10 à 20 % à la mémoire totale calculée.

Les exigences de mémoire pour certaines fonctionnalités telles que AppQoE ne sont pas fournies car la mémoire consommée par la mémoire de partition est négligeable pour ces fonctionnalités et la mémoire tampon de 10 à 20 % est suffisante pour les gérer.

Mémoire totale = mémoire statique* Nombre de modules PE+ mémoire dynamique

Supposons que nous arrivions à la conclusion que la mémoire requise est de 1 Go et que le nombre de moteurs de paquets est de 4. Ensuite, pour cette partition particulière, la quantité de mémoire requise est dérivée par la formule ci-dessous :

Configuration de la mémoire de la partition d’administration = (quantité de mémoire requise/nombre de moteurs de paquets)

Mémoire de partition d’administration = 1 Go/4 = 250 Mo

Comportements lorsque la limite de ressources est atteinte

1. Connexions : les nouvelles connexions seront supprimées
2. Bande passante : le nouveau trafic sera supprimé
3. Mémoire : le nouveau trafic sera supprimé

Vous pouvez configurer des alertes SNMP qui sont déclenchées si les ressources de la partition concernée sont épuisées. La liste des pièges SNMP est donnée dans la section Ressources supplémentaires.

Plan du réseau

VLAN : configurez et attribuez différents VLAN aux partitions d’administration pour maintenir l’isolation au niveau du réseau.

Routage : La configuration du routage est unique par partition.

L’administrateur ADC, en consultation avec l’administrateur réseau (avec l’aide de l’administrateur de l’application), définit le VLAN et les configurations liées au routage en fonction de la topologie du réseau.

Paramètres L3 : peuvent être spécifiques à une partition. Certains des paramètres L3 sont Drop DF Packets, ICMP err threshold, overridernat, etc., et l’entrée doit provenir du réseau ou de l’administrateur ADC.

Plan de contrôle : expérience utilisateur

Les partitions d’administration fournissent une isolation à différents niveaux permettant à l’utilisateur de gérer en toute sécurité une instance ADC isolée.

Les différents niveaux d’isolement incluent :

1. Page d’interface utilisateur — Configuration, statistiques affichées uniquement pour la partition
2. Diagnostic — Isolation des traces Trace ne capturera pas le trafic des autres partitions
3. Alertes SNMP : configurées au niveau de la partition
4. Isolation au niveau du log

L’isolation au niveau de l’interface utilisateur peut être configurée à l’aide de la méthode suivante :

1. Dans la partition correspondante, activez l’accès à la gestion pour un SNIP et utilisez ce SNIP pour accéder à l’interface graphique. Cela fournira une isolation et une visibilité au niveau de l’interface utilisateur uniquement sur cette partition.

Tableau 3

Partition d’administration pour cas d’utilisation en entreprise

Cette section décrit un cas d’utilisation d’un client d’entreprise avec quatre applications utilisant des partitions d’administration.

Exigences du client

• Nécessite d’héberger 4 applications

• Chaque application possède son propre administrateur et un ensemble différent d’exigences ADC. Le tableau ci-dessous répertorie les applications et leurs exigences uniques.

Tableau 4

Le tableau des exigences ci-dessus montre clairement que chacune des applications a besoin d’un ensemble de configurations différent pour tirer parti de tous les avantages de Citrix ADC. Il est recommandé de partitionner le Citrix ADC et d’attribuer ces partitions aux propriétaires d’applications respectifs.

Estimation de la bande passante et

Outlook et SharePoint

La bande passante des applications d’entreprise telles que SharePoint, Exchange et Lync dépend des facteurs suivants :

1. Nombre d’utilisateurs simultanés
2. Type d’utilisation
   1. Exchange : taille moyenne et nombre de messages
   2. SharePoint : type de fichiers, ratio lecture/écriture

L’administrateur de l’application calcule les exigences en matière de bande passante à l’aide des deux facteurs ci-dessus et fournit les informations à l’administrateur Citrix ADC pour la configuration de la partition d’administration.

Exemples :

Bande passante pour Outlook 2010 : types d’utilisateurs (léger, moyen, lourd, etc.). Pour les utilisateurs moyens, envoyez 10 e-mails, recevez 40 e-mails, taille moyenne des messages 50 Ko = 2,15 Kbits/s. Pour 1 000 utilisateurs, la bande passante requise est de 2 150 Kbits/s.

Bande passante pour SharePoint : nombre d’utilisateurs = 1 000. En supposant que 20 % des utilisateurs sont actifs à tout moment, que la taille moyenne de chargement des pages est de 100 Ko et qu’ils accèdent à environ 10 pages sur une période d’une heure :

= 100 Ko * 200 * 10 par heure = 200 000 KB/h = 200 000*8 (8 bits par octet) /3600 (nombre de secondes)

= 444 Kbits/s

Connexions par seconde = Nombre d’utilisateurs actifs * 10

MSSQL

En fonction du taux de requêtes et de la taille de la réponse, déterminez la bande passante et les connexions.

Site Web d’entreprise

Besoins en bande passante : taille moyenne de page Nombre * maximum d’utilisateurs à tout moment * 2

Connexions : nombre maximum d’utilisateurs* nombre de connexions par utilisateur

Exemple :

Bande passante : 4 Ko1 0002 = 48 000 Kbits/s

Nombre maximum d’utilisateurs = 1 000 et nombre de connexions par utilisateur = 10. Les connexions = 10 K

Si la plupart des utilisateurs utilisent HTTP/1.1, le nombre de connexions par utilisateur serait de 2 à 3, mais si le mix est davantage orienté vers HTTP/1.0, le nombre de connexions serait de 10 à 15. Le facteur multiplicatif du nombre de connexions par utilisateur varie de 3 à 15 en fonction de la combinaison trafic/client.

La mémoire à configurer dépend de :

1. Liste des configurations dans la partition d’administration correspondante — mémoire statique. Reportez-vous au Tableau 1 pour plus de détails.
2. Mémoire dynamique : nombre de connexions et type de connexions (HTTP vs. SSL) — Reportez-vous au Tableau 2 pour plus de détails.
3. Nombre de moteurs de paquets. Mémoire = (mémoire statique+mémoire dynamique)/(nombre de moteurs de paquets)

Étapes pour l’administrateur ADC

1. Collectez la bande passante et les connexions pour chaque application
2. Créez trois partitions pour SharePoint, Database et Outlook respectivement. Utilisez la bande passante et les connexions de l’étape précédente et attribuez-les à la partition correspondante. Le site Web de l’entreprise peut être hébergé sur une partition par défaut si le client a besoin d’AppFW, car AppFW n’est pris en charge que sur les partitions par défaut.
3. Créez des utilisateurs pour chacune des partitions et partagez les informations d’identification.

4. Activez la mise en cache intégrée et définissez la mémoire cache. La mémoire cache provient de la mémoire cache configurée dans la partition par défaut. Pour des informations détaillées sur l’allocation, reportez-vous à la section annexe d’IC.

   1. Attribuez de la mémoire cache après avoir consulté l’administrateur de l’ADC. Essayez d’allouer 30 à 40 % de la mémoire cache totale du système. Si le total alloué est de 10 Go, allouez environ 3 à 4 Go pour le cache dans la partition SharePoint.
   2. Les propriétaires d’applications doivent d’abord surveiller les statistiques de mise en cache pour vérifier le niveau des avantages.
   3. Vérifiez le ratio de succès des objets mis en cache et, si un grand nombre d’objets du cache ont un succès élevé, augmentez la taille de la mémoire IC pour cette partition en particulier.
5. Activer la compression
   1. SharePoint publiera des fichiers de différents types (Excel, PowerPoint, Word) et les mêmes fichiers, s’ils sont compressés et livrés aux clients, réduiront l’utilisation de la bande passante.

Utilisateur de la base

1. Configurez le CS, le VIP et les serveurs principaux.
2. Utilisez Content Switching pour diviser les demandes de lecture/écriture et les rediriger vers l’ensemble de serveurs correspondant.

Site Web d’entreprise

1. Configurez les serveurs VIP et principaux.

2. Activez la mise en cache intégrée.

   1. Le site Web d’entreprise se trouve dans la partition par défaut, de sorte que la mémoire cache non utilisée des autres partitions est disponible pour le site Web d’entreprise Donc, en supposant que SharePoint et Outlook consomment chacun 35 %, la consommation totale serait de 70 %, laissant les 30 % restants sur la partition par défaut (site Web d’entreprise). Si la mémoire cache totale est de 10 Go, la partition par défaut disposera de 3 Go de mémoire cache.
   2. Les propriétaires d’applications doivent d’abord surveiller les statistiques de mise en cache pour vérifier le niveau des avantages.
   3. Vérifiez le ratio de succès des objets mis en cache et, si un grand nombre d’objets du cache ont un taux de réussite élevé, augmentez la taille de la mémoire IC pour cette partition en particulier.
3. Activez l’optimisation du front-end.
4. Activez AppFW.

Cas d’utilisation des partitions d’administration des fournisseurs

Le fournisseur de services héberge les applications Microsoft et fournit les applications IIS, SharePoint et MSSQL en tant que service. Leurs clients ont généralement les exigences suivantes :

Exigences du client

• Client 1 : accède au serveur de base de données et sa répartition en lecture/écriture est de 90:10 et le client final souhaite configurer des filtres SQL personnalisés

• Client 2 : accède à l’application Web via SSL et le client final souhaite contrôler ses certificats SSL

• Client 3 : accède à SharePoint hébergé à partir du fournisseur de services

Le fournisseur de services héberge un portail permettant à ses clients de :

1. Sélectionnez l’application qu’elle souhaite héberger
2. Exigences de bande passante

Le fournisseur de services héberge un portail permettant à ses clients de :

1. Sélectionnez l’application qu’elle souhaite héberger
2. Exigences de bande passante
3. Connexions

Sur la base de cette sélection, le fournisseur de services peut configurer les partitions appropriées avec des configurations liées à des applications spécifiques dans le back-end à l’aide des API NITRO.

En fonction de l’application sélectionnée par le client, choisissez l’option appropriée.

1. Application Web utilisant SSL
   1. Option de certificat SSL pour être lié à VIP
   2. Redirection HTTP vers HTTPS
   3. Paramètres liés au profil SSL
2. SQL
   1. Filtres liés au SQL que le client souhaite configurer
3. SharePoint
   1. Limite de mémoire cache et règles
   2. Politiques de compression

Le fournisseur de services suit l’une des deux options pour implémenter les exigences exactes après la création des partitions d’administration.

Option de configuration 1 :

Le fournisseur de services rassemble les demandes du client et les exécute sur la partition correspondante.

Option de configuration 2 :

Automatisez les partitions d’administration grâce aux API NITRO. Les entrées peuvent être collectées à partir du portail frontal et, dans le back-end, des API NITRO peuvent être exécutées pour configurer les partitions.

Considérations relatives aux

Prise en charge des fonctionnalités : La partition d’administration est prise en charge pour la plupart des fonctionnalités et n’est pas prise en charge pour quelques fonctionnalités. Pour obtenir la liste exacte, consultez Citrix Docs et vérifiez la version du logiciel en question. Il contiendra une table qui répertorie la matrice de compatibilité.

Limites de configuration. Les partitions d’administration ne sont pas supportées dans :

1. Mise en cluster

2. Appareil MPX-FIPS

Conclusion

Le principal avantage des partitions d’administration est de permettre la séparation de l’ADC au niveau du logiciel et de fournir une expérience utilisateur sécurisée et isolée à chaque propriétaire de partition.

Ressources supplémentaires

Outils de résolution des problèmes

Problèmes courants dans la partition d’administration :

Partition d’administration sur VPX sur ESX :

• La partition autre que celle par défaut n’est pas accessible lorsque l’adresse MAC personnalisée est configurée.

• Solution : le mode promiscuous doit être activé sur ESX pour que la partition autre que celle par défaut fonctionne.

Échec de configuration :

• La configuration peut ne pas générer l’erreur Fichiers d’entrée absents.

• Le chemin relatif doit être utilisé et non le chemin absolu.

Configuration du VLAN :

• Le VLAN de la partition d’administration prend en charge le VLAN balisé. Ainsi, lorsque le VLAN est balisé, le commutateur auquel l’interface Citrix ADC est connectée doit être configuré avec le VLAN approprié. Pour les VLAN non balisés, utilisez la configuration VLAN partagée

Allocation de mémoire cache intégrée

Pour configurer la mise en cache intégrée (IC) sur un Citrix ADC partitionné, après avoir défini la mémoire IC sur la partition par défaut, le superutilisateur peut configurer la mémoire IC sur chaque partition d’administration de telle sorte que la mémoire IC totale allouée à toutes les partitions d’administration ne dépasse pas la mémoire IC définie sur la partition par défaut . La mémoire qui n’est pas configurée pour les partitions d’administration reste disponible pour la partition par défaut.

Par exemple, si une appliance Citrix ADC dotée de deux partitions d’administration dispose de 10 Go de mémoire IC alloués à la partition par défaut et que l’allocation de mémoire IC pour les deux partitions d’administration est la suivante :

• Partition 1 : 4 Go

• Partition 2 : 3 Go

Ensuite, la partition par défaut dispose de 10 - (4 + 3) = 3 Go de mémoire IC disponible pour l’utilisation.

Remarque :

Si toute la mémoire IC est utilisée par les partitions d’administration, aucune mémoire IC n’est disponible pour la partition par défaut.

Commandes pour vérifier l’utilisation de la mémoire

• La mémoire système Stat au sein de la partition affichera l’allocation de mémoire agrégée au niveau du système pour la partition et le nom de la partition stat indiquera le pourcentage de mémoire utilisée dans la partition.

>add partition p1
Done
>switch partition p1
Done
p1> stat system memory
done

Citrix ADC Memory Information:
Maximum Memory Available (MB): 50
Memory Currently Available (MB): 50
Memory Allocated (MB) 7
Memory Allocated (%) 14.95
InUse Memory  (MB) 7
InUse Memory (%) 14.95
Free Memory (MB) 42

>stat partition p1

Partition(s) Summary
   MinBW MaxBW MaxConn MaxMem

p1 10240 10240  1024  10

Partition Stats:

                       Rates (/s)   Total
Current Bandwidth         --          0
Current Connections       --          0
Memory Usage (%)          --          14
Total Packet Drops        0           7
Total Drops (KB)          0           0
Total Connection Drops    0           0
<!--NeedCopy-->

• Mémoire de configuration : étant donné que chaque configuration est répliquée dans chaque moteur de paquets, la mémoire est allouée dans chaque moteur de paquets. Par exemple, si la commande « add lb vserver » prend environ 10 Ko dans Peach Packet Engine et que nous avons créé une partition de 10 Mo dans un système à 5 moteurs de paquets, elle consomme au total 50 Ko de mémoire de partition.
• La valeur précise de la mémoire requise pour une configuration spécifique peut être mesurée en appliquant la configuration et en exécutant la commande suivante sur le shell Citrix ADC :

root@ns# nsconmsg -s nsppeid=0 -s nspartid=1 -g mem_cur_usedsize -d current
Displaying performance information
Citrix ADC V20 Performance Data
Citrix ADC NS11.0: Build 65.572.nc, Date: Apr 7 2016, 10:32:51

reltime:mili second between two records Thu Feb 23 13:45:18 2017
 Index rtime totalcount-val delta rate/sec symbol-name&device-no
    0  22681     1597631     8965  5333     mem_cur_usedsize partition_ctx(p1) (PART-1)
<!--NeedCopy-->

Dans cette expérience, environ 9 Ko de mémoire sont utilisés dans PPE-0 pour l’ID de partition 1. Chaque partition configurée sur Citrix ADC possède un identifiant unique.

La commande suivante permet de mesurer l’estimation de la mémoire pour l’ensemble du système (y compris tous les moteurs de paquets) pour une partition donnée.

root@ns# nsconmsg -s nspartid=1 -g mem_cur_used -d current
Displaying performance information
Citrix ADC V20 Performance Data
Citrix ADC NS11.0: Build 65.572.nc, Date: Apr 7 2016, 10:32:51

reltime:mili second between two records Thu Feb 23 13:44:27 2017
Index rtime totalcount-val delta rate/sec symbol-name&device-no
 0   7000    7881865       6403    5333    mem_cur_usedsize partition_ctx(p1) (PART-1)
<!--NeedCopy-->

Liste des pièges SNMP introduits dans Citrix ADC 12.0

Références supplémentaires

Calculateur de bande passante réseau des clients Exchange bêta

Combien de bande passante ai-je besoin pour exécuter Microsoft Online Services