说明

公司有NetScaler设备，所以研究了下，把官方的文档都翻译下，方便查看。文档翻译很幸苦，希望大家支持。

开始使用Citrix NetScaler

该部分针对安装和配置复杂网络设备的系统和网络管理员，描述NetScaler的初始设置和基本配置，包括以下主题。

• 了解NetScaler
• 处理请求的功能
• NetScaler设备适应的网络在哪里?
• NetScaler如何与客户端和服务器通信
• 介绍Citrix NetScaler产品线
• NetScaler硬件安装
• 访问一个Citrix NetScaler
• 初始配置一个NetScaler
• 初始配置高可用性
• 初始配置FIPS设备
• 了解常见的网络拓扑
• 配置系统管理设置
• NetScaler设备负载均衡
• 通过压缩来加速流量负载均衡
• 通过使用SSL确保负载均衡流量
• 功能一瞥

了解NetScaler

Citrix NetScaler产品是一种应用交换机，可执行特定的应用程序的流量分析，为Web应用程序提供智能分发，优化和保护第4层第7层（L4-L7）网络流量。例如，NetScaler基于单个HTTP请求而不是长期TCP连接来确定负载平衡决策，这样由于服务器发生故障或者速度变慢管理起来更快捷，并减少对客户端造成的中断。 NetScaler功能集可以大致分为由交换功能，安全和保护功能以及服务器场优化功能组成。

交换功能

当部署在应用服务器前面时，NetScaler通过指导客户端请求的方式确保流量的最佳分配。管理员可以根据HTTP或TCP请求正文中的信息，以及基于L4-L7头信息（如URL，应用程序数据类型或cookie）来分段应用程序流量。大量的负载平衡算法和广泛的服务器运行状态检查通过确保客户端请求定向到相应的服务器来提高应用程序可用性。

安全和保护功能

NetScaler安全和保护功能保护Web应用程序免受应用层攻击。 NetScaler允许合法的客户端请求，并可以阻止恶意请求。它提供了针对拒绝服务（DoS）攻击的内置防御，并支持防止应用程序流量中合法浪涌的功能，否则这些应用程序会阻塞服务器。可用的内置防火墙保护Web应用程序免受应用层攻击，包括缓冲区溢出攻击，SQL注入尝试，跨站点脚本攻击等。此外，防火墙通过保护机密公司信息和敏感客户数据提供身份盗窃保护。

优化特性

优化功能分流资源密集型操作，例如安全套接字层（SSL）处理，数据压缩，客户端保持活动，TCP缓冲以及来自服务器的静态和动态内容的缓存。这提高了服务器场中的服务器的性能，从而加快了应用程序的速度。 NetScaler支持多种透明TCP优化，可缓解由高延迟和拥塞的网络链路引起的问题，加速应用程序的交付，同时不需要对客户端或服务器进行任何配置更改。

了解策略和表达式

策略定义NetScaler上的流量过滤和管理的特定详细信息。它由两部分组成：表达式和动作。表达式定义策略匹配的请求类型。该操作告诉NetScaler当请求与表达式匹配时该做什么。例如，表达式可能是将特定的URL模式与一种类型的安全攻击相匹配，操作是删除或重置连接。每个策略具有优先级，并且优先级确定策略被评估的顺序。

当NetScaler接收流量时，相应的策略列表确定如何处理流量。列表中的每个策略都包含一个或多个表达式，这些表达式一起定义连接必须满足的条件才能匹配策略。

对于除了重写策略之外的所有策略类型，NetScaler仅实现请求匹配的第一个策略，而不是其可能匹配的任何其他策略。对于重写策略，NetScaler按顺序评估策略，并且在多个匹配的情况下，按照该顺序执行关联的操作。策略优先级对于获得所需的结果很重要。

处理特征的顺序

根据需要，您可以选择配置多个功能。例如，您可以选择同时配置压缩和SSL分流。结果，输出的包可能被压缩，然后在被发送到客户端之前被加密。

下图显示了NetScaler中的L7数据包流

下面的图显示了NetScaler DataStream数据的数据包流。DataStream数据支持MySQL和MS SQL数据库。DataStream数据特性的信息,请参阅”数据流”。

数据流数据包流程图

NetScaler设备在网络中的位置？

NetScaler设备驻留在客户端和服务器之间，以便客户端请求和服务器响应通过它。在典型安装中，设备上配置的虚拟服务器提供客户端用于访问设备后面的应用程序的连接点。在这种情况下，设备拥有与其虚拟服务器相关联的公共IP地址，而真实服务器在专用网络中隔离。还可以以透明模式操作设备作为L2网桥或L3路由器，或者甚至组合这些和其他模式的方面。

物理部署模式

逻辑上驻留在客户端和服务器之间的NetScaler设备可以以两种物理模式中的一种部署：内联和单臂。在内联模式下，多个网络接口连接到不同的以太网段，设备放置在客户端和服务器之间。设备具有到每个客户端网络的单独的网络接口和到每个服务器网络的单独的网络接口。在此配置中，设备和服务器可以位于不同的子网上。服务器可以位于公共网络中，客户端可以通过设备直接访问服务器，设备透明地应用L4-L7功能。通常，虚拟服务器（稍后描述）被配置为提供真实服务器的抽象服务。下图显示了典型的内联部署。

图1.内联部署

在单臂模式下，设备的仅一个网络接口连接到以太网段。 在这种情况下，设备不会隔离网络的客户端和服务器端，但通过配置的虚拟服务器提供对应用程序的访问。 单臂模式可以简化在某些环境中安装NetScaler所需的网络更改。

有关内联（双臂）和单臂部署的示例，请参见”了解常见网络拓扑”。

Citrix NetScaler作为L2设备

用作L2设备的NetScaler被称为L2模式。在L2模式下，当满足以下所有条件时，NetScaler在网络接口之间转发数据包：

• 数据包发送到另一个设备的(MAC)地址。
• 目的MAC地址位于不同的网络接口上。
• 网络接口是同一虚拟LAN（VLAN）的成员

默认情况下，所有网络接口都是预定义VLAN（VLAN 1）的成员。地址解析协议（ARP）请求和响应将转发到属于同一VLAN的所有网络接口。为了避免桥接环路，如果另一个L2设备与NetScaler并行工作，则必须禁用L2模式。

有关L2和L3模式如何交互的信息，请参见”配置数据包转发模式”。

有关配置L2模式的信息，请参见”启用和禁用第2层模式”。

Citrix NetScaler作为数据包转发设备

NetScaler设备可以充当数据包转发设备，并且此操作模式称为L3模式。启用L3模式后，如果存在到目的地的路由，设备将转发任何​​接收到的目的地为不属于设备的IP地址的单播数据包。设备还可以在VLAN之间路由数据包。

在L2和L3两种模式下的操作,设备通常丢弃的包:

• 多播帧
• 发送给设备的MAC地址使用未知协议(non-IP 和 non-ARP)
• 生成树协议(除非BridgeBPDUs开启)

有关L2和L3模式如何交互的信息，请参见”配置数据包转发模式”。

有关配置L3模式的信息，请参见”启用和禁用第3层模式”。

NetScaler如何与客户端和服务器通信

NetScaler设备通常部署在服务器场的前面，用作客户端和服务器之间的透明TCP代理，而不需要任何客户端配置。这种基本操作模式称为请求交换技术，是NetScaler功能的核心。请求切换使设备能够复用和分流TCP连接，保持持久连接并在请求（应用层）级别管理流量。这是可能的，因为设备可以将HTTP请求与传递请求的TCP连接分离。

根据配置，设备可能会在将请求转发到服务器之前处理流量。例如，如果客户端尝试访问服务器上的安全应用程序，则设备可能会在向服务器发送流量之前执行必要的SSL处理。

为了促进对服务器资源的有效和安全访问，设备使用一组称为NetScaler-owned IP的IP地址。要管理网络流量，请将NetScaler-owned IP的IP地址分配给成为配置基础的虚拟实体。例如，要配置负载平衡，请创建虚拟服务器以接收客户端请求，并将其分发到服务，这些服务是表示服务器上应用程序的实体。

了解NetScaler-Owned IP地址

要作为代理，NetScaler设备使用各种IP地址。NetScaler-owned IP地址是:

NetScaler IP(NSIP)地址

NSIP地址是用于管理和一般系统访问设备本身的IP地址，以及用于高可用性配置中设备之间的通信的IP地址。

虚拟服务器的IP(VIP)地址

VIP地址是与虚拟服务器关联的IP地址。它是客户端连接的公共IP地址。管理大范围流量的设备可能配置了许多VIP。

子网IP(SNIP)地址

SNIP地址用于连接管理和服务器监视。您可以为每个子网指定多个SNIP地址。 SNIP地址可以绑定到VLAN。

IP集

IP集是一组IP地址，在设备上配置为SNIP。IP集合被识别为具有有意义的名称，其有助于识别其中包含使用的IP地址。

网络配置文件

网络配置文件（或网络配置文件）包含IP地址或IP集。网络配置文件可以绑定到负载平衡或内容交换虚拟服务器，服务，服务组或监视器。在与物理服务器或对等体通信期间，设备使用配置文件中指定的地址作为源IP地址。

如何管理流量

由于NetScaler设备作为TCP代理，它会在将数据包发送到服务器之前转换IP地址。配置虚拟服务器时，客户端连接到NetScaler上的VIP地址，而不是直接连接到服务器。由虚拟服务器上的设置确定，设备选择适当的服务器并将客户端的请求发送到该服务器。默认情况下，设备使用SNIP地址与服务器建立连接，如下图所示。

图1.基于虚拟服务器的连接

在没有虚拟服务器的情况下，当设备接收到请求时，它会透明地将请求转发到服务器。这被称为透明操作模式。当在透明模式下操作时，设备将传入客户端请求的源IP地址转换为SNIP地址，但不更改目标IP地址。要使此模式工作，必须适当地配置L2或L3模式。

对于服务器需要实际客户端IP地址的情况，设备可以配置为通过将客户端IP地址插入为附加字段来修改HTTP头，或者配置为使用客户端IP地址而不是SNIP地址来连接服务器。

流量管理模块

NetScaler设备的配置通常由一系列虚拟实体构成，这些虚拟实体用作流量管理的构建块。构建块方法有助于分离业务流。虚拟实体是抽象，通常表示用于处理流量的IP地址，端口和协议处理程序。客户端通过这些虚拟实体访问应用程序和资源。最常用的实体是虚拟服务器和服务。虚拟服务器表示服务器场或远程网络中的服务器组，并且服务表示每个服务器上的特定应用程序。

大多数功能和流量设置都是通过虚拟实体启用的。例如，您可以将设备配置为将所有服务器响应压缩到通过特定虚拟服务器连接到服务器场的客户端。要为特定环境配置设备，您需要确定适当的功能，然后选择正确的虚拟实体组合来交付。大多数功能通过彼此绑定的级联的虚拟实体传递。在这种情况下，虚拟实体像被组装到所传送的应用的最终结构中的块。您可以添加，删除，修改，绑定，启用和禁用虚拟实体来配置功能。下图显示了本节中介绍的概念。

图2.流量管理模块如何工作

简单负载平衡配置

在下图所示的示例中，NetScaler设备被配置为充当负载平衡器。对于此配置，您需要配置特定于负载平衡的虚拟实体，并按特定顺序绑定它们。作为负载平衡器，设备在多个服务器上分发客户端请求，从而优化资源的利用率。

典型负载平衡配置的基本构建块是服务和负载平衡虚拟服务器。服务表示服务器上的应用程序。虚拟服务器通过提供客户端连接的单个IP地址来抽象服务器。要确保将客户端请求发送到服务器，您需要将每个服务绑定到虚拟服务器。也就是说，您必须为每个服务器创建服务并将服务绑定到虚拟服务器。客户端使用VIP地址连接到NetScaler设备。当设备接收到发送到VIP地址的客户端请求时，它将它们发送到由负载平衡算法确定的服务器。负载平衡使用称为监视器的虚拟实体来跟踪特定配置的服务（服务器加应用程序）是否可用于接收请求。

图3.负载平衡虚拟服务器，服务和监视器

除了配置负载平衡算法之外，您还可以配置影响负载平衡配置的行为和性能的多个参数。例如，您可以配置虚拟服务器以根据源IP地址维护持久性。设备然后会将来自任何特定IP地址的所有请求定向到同一服务器。

了解虚拟服务器

虚拟服务器是一个名为NetScaler的实体，外部客户端可以使用它来访问托管在服务器上的应用程序。它由字母数字名称，虚拟IP（VIP）地址，端口和协议表示。虚拟服务器的名称仅具有本地意义，并且旨在使虚拟服务器更容易识别。当客户端尝试访问服务器上的应用程序时，它会向VIP发送请求，而不是物理服务器的IP地址。当设备在VIP地址处接收到请求时，它会终止虚拟服务器上的连接，并代表客户端使用自己与服务器的连接。虚拟服务器的端口和协议设置确定虚拟服务器表示的应用程序。例如，web服务器可以由虚拟服务器和其端口和协议分别设置为80和HTTP的服务表示。多个虚拟服务器可以使用相同的VIP地址，但使用不同的协议和端口。

虚拟服务器是提供功能的点。大多数功能（如压缩，缓存和SSL卸载）通常在虚拟服务器上启用。当设备在VIP地址处接收到请求时，它通过接收请求的端口及其协议选择适当的虚拟服务器。然后，设备会根据虚拟服务器上配置的功能处理请求。

在大多数情况下，虚拟服务器与服务一起工作。您可以将多个服务绑定到虚拟服务器。这些服务表示在服务器场中的物理服务器上运行的应用程序。在设备处理在VIP地址处接收的请求之后，它将它们转发到由虚拟服务器上配置的负载均衡算法所确定的服务器。下图说明了这些概念。

图4.具有单个VIP地址的多个虚拟服务器

上图显示了由两个虚拟服务器组成的配置，这两个虚拟服务器具有公共VIP地址，但具有不同的端口和协议。每个虚拟服务器都有两个绑定到它的服务。服务s1和s2被绑定到VS_HTTP并且表示服务器1和服务器2上的HTTP应用。服务s3和s4被绑定到VS_SSL并且表示服务器2和服务器3上的SSL应用（服务器2提供HTTP和SSL应用）。当设备在VIP地址收到HTTP请求时，它会按照VS_HTTP的设置处理请求，并将其发送到服务器1或服务器2.同样，当设备在VIP地址收到HTTPS请求时，它会由VS_SSL的设置处理它，并将其发送到服务器2或服务器3。

虚拟服务器不总是由特定的IP地址，端口号或协议表示。它们可以由通配符表示，在这种情况下，它们被称为通配符虚拟服务器。例如，当您使用通配符（而不是VIP）配置虚拟服务器，但使用特定端口号时，设备会拦截并处理符合该协议并且发往预定义端口的所有流量。对于具有通配符而不是VIP和端口号的虚拟服务器，设备会拦截和处理符合协议的所有流量。

虚拟服务器可以分为以下类别：

负载平衡虚拟服务器

接收请求并将请求重定向到相应的服务器。适当的服务器的选择基于用户配置的各种负载平衡方法中的哪一种。

缓存重定向虚拟服务器

将动态内容的客户端请求重定向到源服务器，并向缓存服务器请求静态内容。缓存重定向虚拟服务器通常与负载平衡虚拟服务器配合使用。

内容交换虚拟服务器

基于客户端请求的内容将流量定向到服务器。例如，您可以创建内容切换虚拟服务器，将所有客户端图像请求定向到仅提供图像的服务器。内容交换虚拟服务器通常与负载平衡虚拟服务器结合使用。

虚拟专用网（VPN）虚拟服务器

解密隧道流量并将其发送到Intranet应用程序。

SSL虚拟服务器

接收和解密SSL流量，然后重定向到相应的服务器。选择适当的服务器类似于选择负载平衡虚拟服务器。

了解服务

服务表示服务器上的应用程序。虽然服务通常与虚拟服务器相结合，但在没有虚拟服务器的情况下，服务仍然可以管理特定于应用程序的流量。例如，您可以在NetScaler设备上创建HTTP服务以表示Web服务器应用程序。当客户端尝试访问托管在Web服务器上的网站时，设备拦截HTTP请求并创建与Web服务器的透明连接。

在仅服务模式下，设备充当代理。它终止客户端连接，使用SNIP地址建立与服务器的连接，并将传入客户端请求的源IP地址转换为SNIP地址。尽管客户端直接向服务器的IP地址发送请求，但服务器将它们视为来自SNIP地址。设备转换IP地址，端口号和序列号。

服务也是应用功能的一个点。考虑SSL加速的例子。要使用此功能，您必须创建SSL服务并将SSL证书绑定到服务。当设备接收到HTTPS请求时，它将解密流量并以明文形式将其发送到服务器。在仅服务的情况下，只能配置一组有限的功能。

服务使用称为监视器的实体来跟踪应用程序的运行状况。每个服务都有一个默认监视器，它基于服务类型，绑定到它。根据监视器上配置的设置指定，设备定期向应用程序发送探针以确定其状态。如果探针失败，设备会将服务标记为关闭。在这种情况下，设备会使用适当的错误消息响应客户端请求，或重新路由由配置的负载平衡策略确定的请求。

Citrix NetScaler产品线简介

Citrix NetScaler产品线通过交付优化互联网和专用网络的应用程序，将应用程序级安全性，优化和流量管理结合到单个集成设备中。您在服务器机房中安装NetScaler设备，并通过它将所有连接路由到您的托管服务器。您启用的NetScaler功能，然后您设置的策略将应用于传入和传出流量。

NetScaler可以集成到任何网络中，作为对现有负载均衡器，服务器，缓存和防火墙的补充。它不需要其他客户端或服务器端软件，并且可以使用基于Web的NetScaler基于GUI的GUI和CLI配置实用程序进行配置。

NetScaler设备有各种规格的硬件平台，包括多核处理器。

NetScaler操作系统是所有NetScaler硬件平台的基本操作系统。 NetScaler操作系统有三个版本：Standard，Enterprise和Platinum。

Citrix NetScaler硬件平台

NetScaler硬件提供各种具有一系列硬件规格的平台，包括多核处理器。所有硬件平台支持快速以太网，千兆以太网和10千兆以太网接口的某些组合。

以下平台适用于NetScaler。

Citrix NetScaler MPX 5500

Citrix NetScaler MPX 5550/5650

Citrix NetScaler MPX 7500/9500

Citrix NetScaler MPX 8200/8400/8600

Citrix NetScaler MPX 9700/10500/12500/15500

Citrix NetScaler MPX 11500/13500/14500/16500/18500/20500

Citrix NetScaler MPX 15000

Citrix NetScaler MPX 17000

Citrix NetScaler MPX 17500/19500/21500

Citrix NetScaler MPX 17550/19550/20550/21550

有关硬件平台规格的更多信息，请参见”硬件平台简介”。

下表列出了NetScaler及其可用的硬件平台的不同版本。

表1.产品版本和MPX硬件平台

表2.产品版本和MPX硬件平台（续）

Citrix NetScaler版本

NetScaler操作系统有标准版，企业版和白金版。企业版和标准版的功能受限。所有版本都需要功能许可证。

有关如何获取和安装许可证的说明，请参见”http://support.citrix.com/article/ctx121062″。

Citrix NetScaler版本描述如下：

Citrix NetScaler，标准版。为中小型企业提供全面的第4层第7层（L4-L7）流量管理，从而提高Web应用程序的可用性。

Citrix NetScaler，企业版。提供Web应用程序加速和高级L4-L7流量管理，使企业能够提高Web应用程序性能和可用性，并降低数据中心成本。

Citrix NetScaler，白金版。提供Web应用程序交付解决方案，降低数据中心成本，加快应用程序性能，实现应用程序性能的端到端可见性，并提供高级应用程序安全性。

下表总结了Citrix NetScaler产品系列中每个版本支持的功能：

表3. Citrix NetScaler应用交付产品线功能

注意：虽然我们在编译此信息时已注意确保绝对精确度，但它可能会更改。 有关最新信息，请参阅Citrix支持网站”http://www.citrix.com”。

NetScaler硬件上的支持版本

下表列出了NetScaler MPX平台上支持的最早版本的NetScaler版本。

支持的浏览器

要访问配置实用程序和仪表板，工作站必须安装受支持的Web浏览器和版本1.6或更高版本的Java Applet插件。

安装NetScaler硬件

在安装NetScaler设备之前，请查看预安装清单。 NetScaler通常安装在机架中，所有型号都随机架式硬件一起提供。 除7000以外的所有型号支持小型可插拔SFP，XFP或SFP+ 收发器。 安装设备并安装收发器后，将NetScaler连接到网络。 使用控制台电缆将NetScaler连接到个人计算机，以便可以执行初始配置。 连接其他设备后，将NetScaler连接到电源。

本文档包括以下内容：

• 打开设备包装
• 机架安装设备
• 安装和拆卸1G SFP收发器
• 安装和卸下XFP和10G SFP +收发器
• 连接电缆

安装和拆卸1G SFP收发器

注意：本节适用于MPX 8005/8015/8200/8400/8600/8800，MPX 9700/10500/12500/15500，MPX 11500/13500/14500/16500/18500/20500，MPX 11515/11520/11530/11540 / 11542，MPX 22040/22060/22080/22100/22120和MPX 24100/24150器具。

小型可插拔（SFP）是一种紧凑型收发器，可以以高达每秒1千兆比特的速度工作，并且可提供铜缆和光纤类型。插入1G SFP铜缆收发器将1G SFP端口转换为1000BASE-T端口。插入1G SFP光纤收发器将1G SFP端口转换为1000BASE-X端口。默认情况下，在插入1G SFP收发器的1G SFP端口上启用自动协商。一旦端口和网络之间的链路建立，速度和模式在电缆的两端匹配。

注意：1G SFP收发器可从版本9.3 build 47.5和更高版本在使用e1k接口的NetScaler设备上热插拔。

以下平台支持1G SPF收发器：

• MPX 7500/9500
• MPX 8005/8015/8200/8400/8600/8800
• MPX 9700/10500/12500/15500
• MPX 11500/13500/14500/16500/18500/20500
• MPX 11515/11520/11530/11540/11542
• MPX 22040/22060/22080/22100/22120
• MPX 24100/24150

注意：NetScaler设备不支持来自Citrix Systems以外的供应商的1G SFP收发器。尝试在NetScaler设备上安装第三方1G SFP收发器将导致保修失效。

将1G SFP收发器插入设备前面板上的1G SFP端口。频繁安装和拆卸收发器会缩短其使用寿命。请小心遵守拆卸程序，以免损坏1G SFP收发器或设备。

注意：不要在连接电缆的情况下安装收发器。否则可能会损坏电缆，连接器或收发器的光接口。

安装1G SFP收发器

1. 小心地从机箱中取出1G SFP收发器。

危险：请勿直视光纤收发器或电缆。他们发射激光束，可以损害你的眼睛。

1. 将1G SFP收发器对准设备前面板上1G SFP收发器端口的正面，如下图所示。

注意：下图中的图示可能不代表您的实际设备。

图1.安装1G SFP收发器

1. 在拇指和食指之间握住1G SFP收发器，将其插入1G SFP收发器端口，将其按入，直到听到收发器卡入到位。
2. 锁定收发器。
3. 验证LED是否为绿色并闪烁两次，表示收发器工作正常。
4. 如果使用光纤1G SFP收发器，在准备好插入电缆之前，不要取下连接到收发器和电缆的防尘盖。

拆卸1G SFP收发器

1. 断开1G SFP收发器的电缆。如果使用光纤电缆，请在卸下电缆之前更换电缆上的防尘帽。

危险：请勿直视光纤收发器或电缆。他们发射激光束，可以损害你的眼睛。

1. 解锁1G SFP收发器。
2. 将1G SFP收发器握在拇指和食指之间，慢慢地将其从端口中拉出。
3. 如果要卸下光纤1G SFP收发器，请在卸下防尘帽之前更换。
4. 将1G SFP收发器放入其原包装盒或另一个适当的容器中。

安装和拆卸XFP和10G SFP +收发器

注意：本节适用于MPX 8005/8015/8200/8400/8600/8800，MPX 9700/10500/12500/15500，MPX 15000，MPX 17000，MPX 11500/13500/14500/16500/18500/20500，MPX 11515 / 11520/11530/11540/11542，MPX 14000，MPX 17500/19500/21500，MPX 17550/19550/20550/21550，MPX 22040/22060/22080/22100/22120，MPX 24100/24150和MPX 25100T / 25160T设备。

10千兆小型可插拔（XFP或SFP +）是一种紧凑型光收发器，可以以高达每秒10千兆位的速度工作。 MPX 15000和MPX 17000设备使用XFP收发器和MPX 8005/8015/8200/8400/8600/8800，MPX 9700/10500/12500/15500，MPX 11500/13500/14500/16500/18500/20500，MPX 17500 / 19500/21500，MPX 17550/19550/20550/21550，MPX 22040/22060/22080/22100/22120和MPX 24100/24150设备使用10G SFP +收发器。默认情况下，在插入XFP / 10G SFP +收发器的XFP / 10G SFP +端口上启用自动协商。一旦端口和网络之间的链路建立，模式在电缆的两端匹配，并且对于10G SFP +收发器，速度也被自动协商。

注意：XFP收发器不能在NetScaler设备上热插拔。插入XFP收发器后，必须重新启动NetScaler设备。

但是，10G SFP +收发器可从版本9.3 build 57.5和更高版本在使用ixgbe（ix）接口的NetScaler设备上热插拔。

以下平台支持10G SPF +收发器：

• MPX 8005/8015/8200/8400/8600/8800
• MPX 9700/10500/12500/15500 10G和10G FIPS
• MPX 11500/13500/14500/16500/18500/20500
• MPX 11515/11520/11530/11540/11542
• MPX 14000
• MPX 17500/19500/21500
• MPX 17550/19550/20550/21550
• MPX 22040/22060/22080/22100/22120
• MPX 24100/24150
• MPX 25100T / 25160T

以下平台支持XFP收发器：

• MPX 15000
• MPX 17000

注意：NetScaler设备不支持Citrix Systems以外的供应商提供的XFP / 10G SFP +收发器。尝试在NetScaler设备上安装第三方XFP / 10G SFP +收发器将导致保修失效。

将XFP / 10G SFP +收发器插入设备前面板上的XFP / 10G SFP +端口。频繁安装和拆卸收发器会缩短其使用寿命。请小心遵守拆卸程序，以免损坏收发器或本产品。

注意：不要在连接电缆的情况下安装收发器。否则可能会损坏电缆，连接器或收发器的光接口。

安装XFP / 10G SFP +收发器

1. 从其包装盒中小心地取下XFP / 10G SFP +收发器。

危险：请勿直视光纤收发器和电缆。他们发射激光束，可以损害你的眼睛。

1. 将XFP / 10G SFP +收发器对准设备前面板上的XFP / 10G SFP +收发器端口的正面。
2. 将XFP / 10G SFP +收发器保持在拇指和食指之间，并将其插入XFP / 10G SFP +收发器端口，将其按入，直到听到收发器卡入到位。
3. 将锁定铰链移动到DOWN位置，如下图所示。

图1.锁定XFP收发器

1. 验证LED是否为绿色并闪烁两次，表示收发器工作正常。
2. 在准备插入电缆之前，不要取下连接到收发器和电缆的防尘盖。

拆卸XFP / 10G SFP +收发器

1. 断开XFP / 10G SFP +收发器的电缆。 在取下电缆之前，请更换电缆上的防尘帽。

危险：请勿直视光纤收发器或电缆。 他们发射激光束，可以损害你的眼睛。

1. 通过将锁定铰链移动到UP位置来解锁XFP / 10G SFP +收发器。
2. 将XFP / 10G SFP +收发器握在拇指和食指之间，慢慢地将其拉出端口。

4．将收发器上的防尘盖放回原位。

5. 将XFP / 10G SFP +收发器放入原来的盒子或另一个适当的容器。

连接电缆

当设备牢固安装在机架上时，您可以准备连接电缆。以太网电缆和可选的控制台电缆首先连接。最后连接电源线。

危险：在安装或维修设备之前，请清除可能与电源或电线接触的所有首饰和其他金属物体。当您触摸带电电源或电线和接地时，任何金属物体都会迅速升温，引起灼伤，将衣服灼伤或将金属物体熔接到暴露的终端。

连接以太网线缆

以太网电缆将设备连接到网络。所需的电缆类型取决于用于连接到网络的端口类型。在10/100 / 1000BASE-T端口或1G SFP铜缆收发器上使用带有标准RJ-45连接器的5e类或6类以太网电缆。使用带有1G SFP光纤收发器，10G SFP +或XFP收发器的LC双工连接器的光纤电缆。光纤电缆另一端的连接器类型取决于要连接的设备的端口。

将以太网电缆连接到10/100 / 1000BASE-T端口或1G SFP铜质收发器

1. 将以太网电缆一端的RJ-45连接器插入设备前面板上的相应端口，如下图所示。

图1.插入以太网电缆

1. 将RJ-45连接器的另一端插入目标设备，例如路由器或交换机。
2. 确认在建立连接时LED指示灯呈琥珀色亮起。

将以太网电缆连接到1G SFP光纤，10G SFP +或XFP收发器

1. 从收发器和电缆上拆下防尘帽。
2. 将光纤电缆一端的LC连接器插入设备前面板上的相应端口。
3. 将另一端的连接器插入目标设备，例如路由器或交换机。
4. 确认在建立连接时LED指示灯呈琥珀色亮起。

连接控制台电缆

您可以使用控制台电缆将设备连接到计算机或终端，从中可以配置设备。或者，您可以使用连接到网络的计算机。在连接控制台电缆之前，将计算机或终端配置为支持VT100终端仿真，9600波特，8个数据位，1个停止位，奇偶校验和流控制设置为NONE。然后将控制台电缆的一端连接到设备上的RS232串行端口，另一端连接到计算机或终端。

将控制台电缆连接到计算机或终端

1. 将电缆末端的DB-9连接器插入设备前面板上的控制台端口，如下图所示。

图2.插入控制台电缆

注意：要使用带RJ-45转换器的电缆，请将提供的可选转换器插入控制台端口，并将电缆连接到控制台端口。

1. 将电缆另一端的RJ-45连接器插入计算机或终端的串行端口。

连接电源线

MPX 5500，MPX 5550/5650，MPX 7500/9500，MPX 8005/8015/8200/8400/8600/8800设备具有一根电源线。 所有其他设备都带有两根电源线，但如果只连接一根电源线，它们也可以工作，但MPX 22040/22060/22080/22100/22120和MPX 24100/24150平台除外，它们带有四根电源线，并且需要两根 电源线正常工作。 不需要单独的接地电缆，因为三插头提供接地。

将设备连接到电源

1. 将电源线的一端连接到设备后面板上电源插座的电源旁边，如下图所示。

图3.插入电源线

1. 将电源线的另一端连接到标准的110V / 220V电源插座。
2. 如果提供第二个电源，请重复步骤1和2连接第二个电源。

注意：MPX 9700/10500/12500/15500，MPX 11500/13500/14500/16500/18500/20500，MPX 11515/11520/11530/11540/11542，MPX 17500/19500/21500和MPX 17550/19550/20550 / 21550设备会在一个电源出现故障或仅将一根电源线连接到设备时发出高音警报。 要使警报静音，您可以按设备后面板上的小红色按钮。

访问Citrix NetScaler

NetScaler设备具有命令行界面（CLI）和图形用户界面（GUI）。 GUI包括用于配置设备的配置实用程序和称为Dashboard的统计实用程序。 对于初始访问，所有设备都附带默认NetScaler IP地址（NSIP）192.168.100.1和默认子网掩码255.255.0.0。 您可以在初始配置期间分配新的NSIP和关联的子网掩码。

• 如果在部署多个NetScaler设备时遇到IP地址冲突，请检查以下可能的原因：
• 您是否选择了已分配给网络上其他设备的IP地址的NSIP？
• 您是否将同一个NSIP分配给多个NetScaler设备？

NSIP在所有物理端口上均可访问。 NetScaler上的端口是主机端口，而不是交换机端口。

下表总结了可用的访问方法。

表1.用于访问NetScaler设备的方法

使用命令行界面

您可以在本地访问CLI，通过将工作站连接到控制台端口，或通过从同一网络上的任何工作站通过安全shell（SSH）远程访问。

通过Console口登录命令行界面

设备具有用于连接到计算机工作站的控制台端口。 要登录到设备，需要串行交叉电缆和带有终端仿真程序的工作站。

通过Console口登录CLI

1. 将控制台端口连接到工作站上的串行端口，如中所述。
2. 在工作站上，启动超级终端或任何其他终端仿真程序。 如果未显示登录提示，则可能需要按一次或多次Enter键才能显示。
3. 使用管理员凭据登录。 命令提示符（>）出现在工作站监视器上。

使用SSH登录到命令行界面

SSH协议是从同一网络上的任何工作站远程访问设备的首选远程访问方法。您可以使用SSH版本1（SSH1）或SSH版本2（SSH2）。

如果您没有可用的SSH客户端，则可以下载并安装以下任何SSH客户端程序：

• PuTTY

多平台支持的开源软件。访问：

“http://www.chiark.greenend.org.uk/~sgtatham/putty/”

• Vandyke软件SecureCRT

在Windows平台上支持的商业软件。访问：

http://www.vandyke.com/products/securecrt/

这些程序已经过Citrix NetScaler团队的测试，已验证它们能够与NetScaler设备正常工作。其他程序也可能正常工作，但尚未测试。

要验证SSH客户端是否正确安装，请使用它连接到网络上接受SSH连接的任何设备。

使用SSH客户端登录NetScaler

1. 在您的工作站上，启动SSH客户端。
2. 对于初始配置，请使用默认NetScaler IP地址（NSIP），即192.168.100.1。对于后续访问，请使用在初始配置期间分配的NSIP。选择SSH1或SSH2作为协议。
3. 使用管理员凭据登录。例如：

   login as: nsroot
   

   Using keyboard-interactive authentication.
   

   Password:
   

   Last login: Tue Jun 16 10:37:28 2009 from 10.102.29.9
   

    

   Done
   

   >
   

使用图形用户界面

要点：HTTPS访问NetScaler配置实用程序需要证书 – 密钥对。在NetScaler ADC上，证书/密钥对自动绑定到内部服务。在MPX或SDX设备上，默认密钥大小为1024字节，在VPX实例上，默认密钥大小为512字节。但是，目前大多数浏览器不接受小于1024字节的密钥。因此，HTTPS会阻止对VPX配置实用程序的访问。

此外，如果许可证在MPX设备启动时不存在，并且稍后添加许可证并重新启动设备，则可能会丢失绑定的证书。

Citrix建议您在NetScaler ADC上安装至少1024字节的证书密钥对，以便HTTPS访问配置实用程序，并在启动ADC之前安装相应的许可证。

图形用户界面包括配置实用程序和称为Dashboard的统计实用程序，您可以通过连接到设备上以太网端口的工作站访问这些实用程序。如果计算机未安装受支持的Java插件，则该实用程序会在首次登录时提示您下载并安装该插件。如果自动安装失败，您可以在尝试登录配置实用程序或仪表板之前单独安装该插件。

运行GUI的工作站的系统要求如下：

• 对于基于Windows的工作站，对于使用Java插件产品在浏览器中运行的applet，建议使用Pentium 166 MHz或更快的处理器，并且至少需要48 MB的RAM。在安装插件之前，应该有40 MB可用磁盘空间。
• 对于基于Linux的工作站，运行Linux内核v2.2.12或更高版本的Pentium平台，以及glibc版本2.12-11或更高版本。至少需要32 MB RAM，建议使用48 MB RAM。工作站应支持16位颜色模式，KDE和KWM窗口管理器结合使用，显示设置为本地主机。
• 对于基于Solaris的工作站，运行Solaris 2.6，Solaris 7或Solaris 8的Sun以及Java 2运行时环境标准版1.6或更高版本。

您的工作站必须安装支持的Web浏览器和1.6或更高版本的Java Applet插件才能访问配置实用程序和仪表板。

支持以下浏览器

使用配置实用程序

登录配置实用程序后，可以通过包含上下文相关帮助的图形界面配置设备。

如果计算机未安装受支持的Java插件，则首次登录设备时，配置实用程序将提示您下载并安装该插件。

注意：在安装Java 2 Runtime Environment之前，请确保已安装当前Java版本所需的所有必需的操作系统修补程序。

要登录到配置实用程序

1. 打开Web浏览器并输入NetScaler IP（NSIP）作为HTTP地址。如果尚未设置初始配置，请输入默认NSIP（http://192.168.100.1）。将显示Citrix Logon页面。

   注意：如果在高可用性设置中有两个NetScaler设备，请确保不通过输入辅助NetScaler的IP地址访问GUI。如果这样做，并使用GUI配置辅助NetScaler，您的配置更改将不会应用于主NetScaler。

2. 在”User Name“文本框中，键入nsroot。
3. 在Password 文本框中，键入在初始配置期间分配给nsroot帐户的管理密码，然后单击 Login。显示配置Configuration Utility页面。

   注意：如果工作站尚未安装支持的Java运行时插件版本，则NetScaler会提示您下载Java插件。下载完成后，将显示配置实用程序页面。

4. 如果您需要访问在线帮助，请从右上角的帮助菜单中选择帮助。

使用统计实用程序

仪表板（统计实用程序）是一个基于浏览器的应用程序，它显示可在其上监视NetScaler性能的图表和表。

登录到仪表板

1. 打开Web浏览器并输入NSIP作为HTTP地址（http：// <NSIP>）。 将显示Citrix Logon页面。
2. 在”User Name“文本框中，键入nsroot。
3. 在Password文本框中，键入在初始配置期间分配给nsroot帐户的管理密码。

安装Java运行时插件

如果Java插件的自动安装失败，则可以在尝试登录到配置实用程序之前单独安装该插件。

注意：在安装Java 2 Runtime Environment之前，请确保已安装当前Java版本所需的全套所需操作系统修补程序。

在工作站上安装Java运行时插件

1. 在Web浏览器中，输入设备的NSIP和端口号：http://<NSIP>:80将显示Java插件图标。
2. 单击Java插件图标，然后按照屏幕提示将插件安装程序复制到工作站硬盘。 Java插件安装程序图标（例如，j2re-1.6.0）出现在您指定的位置的计算机上。
3. 双击插件安装图标，然后按照屏幕提示安装插件。
4. 返回到Web浏览器并再次单击Java插件图标以显示GUI登录屏幕。

首次配置NetScaler

多功能Citrix NetScaler，专用NetScaler Gateway企业版和专用Citrix NetScaler应用程序防火墙设备的初始配置相同。您可以使用以下任何接口来初始配置设备：

• 首次使用向导 – 如果使用Web浏览器连接到设备，将提示您输入网络配置和许可信息（如果尚未指定）。
• LCD键盘 – 您可以指定网络设置，但必须使用其他界面上传许可证。
• 串行控制台 – 连接到串行控制台后，可以使用命令行界面指定网络设置并上传许可证。
• NITRO API – 您可以使用NITRO API套件配置NetScaler设备。

对于初始配置，请使用nsroot作为管理用户名和密码。要进行后续访问，请使用初始配置期间分配的密码。

如果要将两个NetScaler设备设置为高可用性对，请将一个设置为主要设备，另一个设置为辅助设备。

FIPS设备的配置过程与NetScaler MPX设备或NetScaler虚拟设备的过程略有不同。

使用首次设置向导

要首次配置NetScaler设备（或NetScaler虚拟设备），您需要在与设备相同的网络上配置的管理计算机。

您必须将NetScaler IP（NSIP）地址分配为NetScaler设备的管理IP地址。 这是您访问NetScaler以进行配置，监视和其他管理任务的地址。 为NetScaler分配子网IP（SNIP）地址，以便与后端服务器通信。 指定用于标识NetScaler的主机名，DNS服务器解析域名的IP地址以及NetScaler所在的时区。

如果满足以下任何条件，向导将自动显示：

• 设备配置为使用默认IP地址（192.168.100.1）。
• 未配置子网IP地址。
• 许可证不存在于设备上。

执行设备的首次配置

1. 在Web浏览器中，键入：http://192.168.100.1

注意：NetScaler软件预配置有默认IP地址。 如果已分配为NSIP地址，请在Web浏览器中键入该地址。

1. 在”User Name“和”Password“中，键入管理员凭据。 出现以下屏幕。

1. 要配置或更改先前配置的设置，请在每个部分内部单击。 完成后，单击Continue。
2. 出现提示时，选择Reboot。

    

使用LCD键盘

首次安装设备时，可以使用设备前面板上的LCD键盘配置初始设置。 键盘与LCD显示模块交互，LCD显示模块也位于这些设备的前面板上。

注意：您可以使用LCD键盘在具有默认配置的新设备上进行初始配置。 配置文件（ns.conf）应包含以下命令和默认值。

set ns config –IPAddress 192.168.100.1 -netmask 255.255.0.0

下表说明了不同键的功能。

表1. LCD键功能

要使用LCD键盘执行初始配置，请按”<“键。

系统将提示您按照该顺序输入子网掩码，NetScaler IP地址（NSIP）和网关。 子网掩码与NSIP和默认网关IP地址相关联。 NSIP是NetScaler设备的IPv4地址。 默认网关是路由器的IPv4地址，它将处理NetScaler无法路由的外部IP流量。 NSIP和默认网关应位于同一子网上。

如果输入子网掩码的有效值（例如255.255.255.224），系统将提示您输入IP地址。 同样，如果为IP地址输入有效的值，系统将提示您输入网关地址。 如果您输入的值无效，则会出现以下错误消息三秒钟，其中xxx.xxx.xxx.xxx是您输入的IP地址，后面是重新输入值的请求。

Invalid addr! 

xxx.xxx.xxx.xxx

如果按ENTER（.）键而不更改任何数字，则软件认为用户退出请求。 以下信息将显示三秒钟。

Exiting menu... 

xxx.xxx.xxx.xxx

如果输入的所有值都有效，则当按ENTER键时，将显示以下消息。

Values accepted, 

Rebooting...

子网掩码，NSIP和网关值保存在配置文件中。

注意：有关部署高可用性（HA）的信息，请参见”http://support.citrix.com/proddocs/topic/ns-system-10-5-map/ns-nw-ha-cnfgrng-ha- con.html”。

使用NetScaler串行控制台

首次安装设备时，可以使用串行控制台配置初始设置。使用串行控制台，您可以更改系统IP地址，创建子网或映射的IP地址，配置高级网络设置和更改时区。

注意：要查找设备上的串行控制台端口，请参阅”端口”中的”RS232串行控制台端口”。

使用串行控制台配置初始设置

1. 将控制台电缆连接到设备。有关详细信息，请参阅”连接电缆”中的”连接控制台电缆”。
2. 在计算机上运行您选择的vt100终端仿真程序以连接到设备并配置以下设置：9600波特，8个数据位，1个停止位，奇偶校验和流控制设置为NONE。
3. 按ENTER键。终端屏幕显示登录提示。

注意：您可能必须按ENTER两次或三次，具体取决于您使用的终端程序。

1. 使用管理员凭据登录到设备。您的销售代表或Citrix客户服务可以为您提供管理员凭据。
2. 在提示符下，键入config ns以运行NetScaler配置脚本。
3. 要完成设备的初始配置，请按照提示进行操作。

注意：要防止攻击者破坏你将数据包发送到设备的能力，请选择企业网络上的不可路由IP地址作为设备IP地址。

您可以使用以下NetScaler命令替换步骤5和6。在NetScaler命令提示符下，键入：

set ns config -ipaddress<IPAddress> -netmask<subnetMask>

add ns ip<IPAddress> <subnetMask> -type<type>

add route<network> <netmask> <gateway>

set system user <userName> -password

save ns config

reboot

举例

set ns config -ipaddress 10.102.29.60 -netmask 255.255.255.0  

add ns ip 10.102.29.61 255.255.255.0 -type snip  

add route 0.0.0.0 0.0.0.0 10.102.29.1  

set system user nsroot -password  

Enter password: ***** 

Confirm password: ***** 

save ns config  

reboot

您现在已完成设备的初始配置。要继续配置设备，请选择以下选项之一：

 Citrix NetScaler.

如果要将设备配置为具有其他许可功能的标准NetScaler，请参阅”负载平衡”。

Citrix NetScaler应用程序防火墙.

如果要将设备配置为独立应用程序防火墙，请参阅”应用程序防火墙”。

NetScaler网关.

如果要将设备配置为NetScaler Gateway，请参阅”NetScaler Gateway 10.5″。

注意：有关部署高可用性（HA）的信息，请参阅”配置高可用性”。

使用NITRO API配置NetScaler

您可以使用NITRO API配置NetScaler设备。 NITRO通过表示状态传输（REST）接口显示其功能。因此，NITRO应用程序可以用任何编程语言开发。此外，对于必须用Java或.NET或Python开发的应用程序，NITRO API通过作为公开的单独的软件开发工具包（SDK）来打包相关库。有关详细信息，请参阅NITRO API。

首次配置高可用性

您可以在高可用性配置中部署两个NetScaler设备，其中一个单元主动接受连接并管理服务器，而辅助单元监视第一个NetScaler设备。主动接受连接和管理服务器的NetScaler称为主单元，而另一个称为高可用性配置中的辅助单元。如果主单元中存在故障，则辅助单元变为主单元并开始主动接受连接。

高可用性设备中的每个NetScaler通过发送周期性消息（称为心跳消息或运行状况检查）来监视对方，以确定对等节点的运行状况或状态。如果主单元的运行状况检查失败，则辅助单元将在特定时间段内重试连接。有关高可用性的详细信息，请参阅”高可用性”。如果重试在指定时间段结束时未成功，则辅助设备在称为故障切换的进程中接管主设备。下图显示了两种高可用性配置，一个处于单臂模式，另一个处于双臂模式。

图1.单臂模式下的高可用性

图2. 双臂模式下的高可用性

在单臂配置中，NS1和NS2以及服务器S1，S2和S3都连接到交换机。

在双臂配置中，NS1和NS2都连接到两个交换机。 服务器S1，S2和S3连接到第二交换机。 客户端和服务器之间的流量通过NS1或NS2。

要设置高可用性环境，请将一个NetScaler配置为主要，另一个配置为辅助。 在每个NetScalers上执行以下任务：

• 添加节点。
• 禁用未使用接口的高可用性监控。

   

添加节点

一个节点是一个对等NetScaler设备的逻辑表示。 它通过ID和NSIP来标识对等单元。 设备使用这些参数与对等体通信并跟踪其状态。 添加节点时，主要和辅助单元异步交换心跳消息。 节点ID是一个不能大于64的整数。

使用命令行界面添加节点

在命令提示符下，键入以下命令以添加节点并验证是否已添加节点：

• add HA node <id> <IPAddress> 
  
• show HA node <id> 
  

  举例

  add HA node 0 10.102.29.170
  

  Done
  

  > show HA node 0
  

  1) Node ID: 0
  

  IP: 10.102.29.200 (NS200)
  

  Node State: UP
  

  Master State: Primary
  

  SSL Card Status: UP
  

  Hello Interval: 200 msecs
  

  Dead Interval: 3 secs
  

  Node in this Master State for: 1:0:41:50 (days:hrs:min:sec)
  

使用配置实用程序添加节点

1. 在导航窗格中，展开System，然后单击High Availability。 出现High Availability页面。
2. 在”High Availability“页面上，选择”Nodes“选项卡。
3. 单击Add。 出现High Availability Setup对话框。
4. 在” High Availability Setup“对话框的”Remote Node IP Address“文本框中，键入IP地址（例如，10.102.29.170）。
5. 确保选中Configure remote system to participate in High Availability setup复选框。 默认情况下，选中此复选框。
6. 选择Turn off HA monitor on interfaces/channels that are down（在关闭的接口/通道上关闭HA监视）复选框禁用HA监视已关闭的接口。 默认情况下，选中此复选框。
7. 验证您添加的节点是否出现在”Nodes”选项卡下的节点列表中。

    

禁用未使用接口的高可用性监视

高可用性监视器是监视接口的虚拟实体。 您必须禁用未连接或用于流量的接口的监视器。 当在状态为DOWN的接口上启用监视器时，节点的状态变为NOT UP。 在高可用性配置中，进入NOT UP状态的主节点可能会导致高可用性故障转移。

在以下条件下，接口标记为DOWN：

• 接口未连接
• 接口工作不正常
• 连接接口的电缆工作不正常

   

使用命令行界面禁用未使用接口的高可用性监视器

在命令提示符下，键入以下命令以禁用未使用接口的高可用性监视器，并验证其是否已禁用：

• set interface <id> -haMonitor OFF 
  
• show interface <id> 
  

  举例
  

  > set interface 1/8 -haMonitor OFF 
  

  Done
  

  > show interface 1/8
  

  Interface 1/8 (Gig Ethernet 10/100/1000 MBits) #2
  

  flags=0x4000 <ENABLED, DOWN, down, autoneg, 802.1q>
  

  MTU=1514, native vlan=1, MAC=00:d0:68:15:fd:3d, downtime 238h55m44s
  

  Requested: media AUTO, speed AUTO, duplex AUTO, fctl OFF,
  

  throughput 0
  

   

  RX: Pkts(0) Bytes(0) Errs(0) Drops(0) Stalls(0)
  

  TX: Pkts(0) Bytes(0) Errs(0) Drops(0) Stalls(0)
  

  NIC: InDisc(0) OutDisc(0) Fctls(0) Stalls(0) Hangs(0) Muted(0)
  

  Bandwidth thresholds are not set.
  

当为未使用的接口禁用高可用性监视器时，该接口的show interface命令的输出不包括”HAMON”。

使用配置实用程序禁用未使用接口的高可用性监视器

1. 导航到System > Network > Interfaces。
2. 选择必须禁用监视器的接口。
3. 单击Open。 将显示”Modify Interface“对话框。
4. 在HA Monitoring中，选择OFF选项。
5. 单击”OK“。
6. 验证在选择接口时，”HA监控：关闭”将显示在页面底部的详细信息中。

首次配置FIPS设备

HTTPS访问配置实用程序和安全远程过程调用需要证书 – 密钥对。 RPC节点是用于配置和会话信息的系统到系统通信的内部系统实体。每个设备上都存在一个RPC节点。此节点存储密码，根据联系设备提供的密码进行检查。要与其他NetScaler设备通信，每个设备都需要了解其他设备，包括如何在其他设备上进行身份验证。 RPC节点维护此信息，其中包括其他NetScaler设备的IP地址和用于在每个设备上进行身份验证的密码。

在NetScaler MPX设备和NetScaler虚拟设备上，证书/密钥对自动绑定到内部服务。在FIPS设备上，必须将证书/密钥对导入FIPS卡的硬件安全模块（HSM）中。为此，您必须配置FIPS卡，创建证书/密钥对，并将其绑定到内部服务。

使用命令行界面配置安全HTTPS

1. 初始化设备的FIPS卡上的硬件安全模块（HSM）。 有关初始化HSM的信息，请参阅”配置HSM”。
2. 如果设备是高可用性设置的一部分，请启用SIM。 有关在主设备和辅助设备上启用SIM卡的信息，请参阅”在高可用性设置中配置FIPS设备”。
3. 将FIPS密钥导入设备的FIPS卡的HSM中。 在命令提示符下，键入：

   import ssl fipskey serverkey –key ns-server.key –inform PEM
   

4. 添加证书/密钥对。 在命令提示符下，键入：

add certkey server –cert ns-server.cert –fipskey serverkey

1. 将上一步中创建的证书密钥绑定到以下内部服务。 在命令提示符下，键入：

   bind ssl service nshttps-127.0.0.1-443 –certkeyname server
   

   bind ssl service nshttps-::11-443 –certkeyname server
   

    

使用配置实用程序配置安全HTTPS

1. 初始化设备的FIPS卡上的硬件安全模块（HSM）。有关初始化HSM的信息，请参阅”配置HSM”。
   
2. 如果设备是高可用性设置的一部分，请启用安全信息系统（SIM）。有关在主设备和辅助设备上启用SIM卡的信息，请参阅”在高可用性设置中配置FIPS设备”。
   
3. 将FIPS密钥导入设备的FIPS卡的HSM中。有关导入FIPS密钥的详细信息，请参阅”导入现有FIPS密钥”。
   
4. 导航到Traffic Management > SSL>Certificates。
   
5. 在详细信息窗格中，单击 Install。
   
6. 在”Install Certificate“对话框中，键入证书详细信息。
   
7. 单击Create，然后单击Close。
   
8. 导航到Traffic Management > Load Balancing> Services。
   
9. 在详细信息窗格中的”Action“选项卡上，单击”Internal Services“。
   
10. 从列表中选择nshttps-127.0.0.1-443，然后单击Open。
    
11. 在”SSL Settings“选项卡上的”Available“窗格中，选择在步骤7中创建的证书，单击”Add“，然后单击”OK“。
    
12. 从列表中选择nshttps-::11-443，然后单击Open。
    
13. 在”SSL Settings“选项卡上的”Available“窗格中，选择在步骤7中创建的证书，单击”Add“，然后单击”OK“。
    
14. 单击”OK“。
    

     

使用命令行界面配置安全RPC

1. 初始化设备的FIPS卡上的硬件安全模块（HSM）。 有关初始化HSM的信息，请参阅”配置HSM”。
   
2. 启用安全信息系统（SIM）。 有关在主设备和辅助设备上启用SIM卡的信息，请参阅”在高可用性设置中配置FIPS设备”。
   
3. 将FIPS密钥导入设备的FIPS卡的HSM中。 在命令提示符下，键入：
   

   import ssl fipskey serverkey –key ns-server.key –inform PEM
   

4. 添加证书/密钥对。 在命令提示符下，键入：
   

add certkey server –cert ns-server.cert –fipskey serverkey

1. 将证书/密钥对绑定到以下内部服务。 在命令提示符下，键入：
   

   bind ssl service nsrpcs-127.0.0.1-3008 –certkeyname server
   

   bind ssl service nskrpcs-127.0.0.1-3009 –certkeyname server
   

   bind ssl service nsrpcs-::1l-3008 –certkeyname server
   

2. 启用安全RPC模式。 在命令提示符下，键入：
   

   set ns rpcnode <IP address> –secure YES
   

    

使用配置实用程序配置安全RPC

1. 初始化设备的FIPS卡上的硬件安全模块（HSM）。有关初始化HSM的信息，请参阅”配置HSM”。
   
2. 启用安全信息系统（SIM）。有关在主设备和辅助设备上启用SIM卡的信息，请参阅”在高可用性设置中配置FIPS设备”。
   
3. 将FIPS密钥导入设备的FIPS卡的HSM中。有关导入FIPS密钥的详细信息，请参阅”导入现有FIPS密钥”。
   
4. 导航到Traffic Management > SSL > Certificates。
   
5. 在详细信息窗格中，单击Install。
   
6. 在” Install Certificate“对话框中，键入证书详细信息。
   
7. 单击Create，然后单击Close。
   
8. 导航到Traffic Management > Load Balancing > Services。
   
9. 在详细信息窗格中的”Action“选项卡上，单击”Internal Services“。
   
10. 从列表中选择nsrpcs-127.0.0.1-3008，然后单击Open。
    
11. 在”SSL Settings“选项卡上的”Available“窗格中，选择在步骤7中创建的证书，单击”Add“，然后单击”OK“。
    
12. 从列表中选择nskrpcs-127.0.0.1-3009，然后单击Open。
    
13. 在”SSL Settings“选项卡上的”Available“窗格中，选择在步骤7中创建的证书，单击”Add“，然后单击”OK“。
    
14. 从列表中选择nsrpcs-::11-3008，然后单击Open。
    
15. 在”SSL Settings“选项卡上的”Available“窗格中，选择在步骤7中创建的证书，单击”Add“，然后单击”OK“。
    
16. 单击”OK“。
    
17. 导航到System > Network > RPC
    
18. 在详细信息窗格中，选择IP地址，然后单击Open。
    
19. 在”Configure RPC Node“对话框中，选择”Secure“。
    
20. 单击”OK“。
    
21.  

了解常见网络拓扑

如”物理部署模式”中所述，您可以在客户端和服务器之间内联部署Citrix NetScaler设备，也可以在单臂模式下部署。内联模式使用双臂拓扑，这是最常见的部署类型。

本文档包括以下内容：

• 设置常见的双臂拓扑
  
• 设置常用单臂拓扑
  

   

设置常见的双臂拓扑

在双臂拓扑中，一个网络接口连接到客户端网络，另一个网络接口连接到服务器网络，确保所有流量通过设备。此拓扑可能需要您重新连接硬件，并可能导致短暂的停机时间。双臂拓扑的基本变体是多个子网，通常具有在公共子网上的设备和在私有子网上的服务器，以及透明模式，其中设备和服务器在公共网络上。

设置简单的双臂多子网拓扑

最常用的拓扑之一是NetScaler设备在客户端和服务器之间内联，其中一个虚拟服务器配置为处理客户端请求。当客户端和服务器驻留在不同的子网上时，使用此配置。在大多数情况下，客户端和服务器分别驻留在公共子网和私有子网上。

例如，考虑以双臂模式部署的设备，用于管理服务器S1，S2和S3，在设备上配置类型为HTTP的虚拟服务器，以及在服务器上运行HTTP服务。服务器位于专用子网上，并且设备上配置了SNIP以与服务器通信。必须在设备上启用使用SNIP（USNIP）选项，以使其使用SNIP而不是MIP。

如下图所示，VIP位于公有子网217.60.10.0上，NSIP，服务器和SNIP位于私有子网192.168.100.0/24上。

图1.双臂模式，多子网的拓扑图

任务概述：以双臂模式部署具有多个子网的NetScaler设备

1. 配置NSIP和默认网关，如”配置NetScaler IP地址（NSIP）”中所述。
   
2. 按照”配置子网IP地址”中所述配置SNIP。
   
3. 启用USNIP选项，如”启用或禁用USNIP模式”中所述。
   
4. 按照”创建虚拟服务器”和”配置服务”中所述配置虚拟服务器和服务。
   
5. 将其中一个网络接口连接到私有子网，将另一个接口连接到公有子网。
   

    

设置简单的双臂透明拓扑

如果客户端需要直接访问服务器，而不使用中间虚拟服务器，请使用透明模式。服务器IP地址必须为公用，因为客户端需要能够访问它们。在下图所示的示例中，NetScaler设备放置在客户端和服务器之间，因此流量必须通过设备。您必须启用L2模式用于桥接数据包。 NSIP和MIP位于同一个公有子网，217.60.10.0/24。

图2.双臂，透明模式的拓扑图

任务概述：以双臂，透明模式部署NetScaler

1. 配置NSIP，MIP和默认网关，如”使用命令行界面配置NetScaler”中所述。
   
2. 启用L2模式，如”启用和禁用第2层模式”中所述。
   
3. 将受管服务器的默认网关配置为MIP。
   
4. 将网络接口连接到交换机上的相应端口。
   

    

设置常用单臂拓扑

单臂拓扑的两个基本变体是具有单个子网和具有多个子网。

设置简单的单臂单子网拓扑

当客户端和服务器位于同一子网时，您可以使用单臂拓扑与单个子网。例如，考虑以单臂模式部署以管理服务器S1，S2和S3的NetScaler。在NetScaler上配置HTTP类型的虚拟服务器，并且在服务器上运行HTTP服务。如下图所示，NetScaler IP地址（NSIP），映射IP地址（MIP）和服务器IP地址位于同一个公有子网217.60.10.0/24上。

图3.单臂模式，单子网的拓扑图

任务概述：在单臂模式下使用单个子网部署NetScaler

1. 配置NSIP，MIP和默认网关，如”配置NetScaler IP地址（NSIP）”中所述。
   
2. 按照”创建虚拟服务器”和”配置服务”中所述配置虚拟服务器和服务。
   
3. 将其中一个网络接口连接到交换机。
   

    

设置简单的单臂多子网拓扑

当客户端和服务器驻留在不同的子网上时，可以使用具有多个子网的单臂拓扑。例如，考虑以单臂模式部署以管理服务器S1，S2和S3的NetScaler设备，其中服务器连接到网络上的交换机SW1。在设备上配置类型为HTTP的虚拟服务器，并且HTTP服务在服务器上运行。这三个服务器在私有子网上，因此配置子网IP地址（SNIP）以与它们进行通信。必须启用使用子网IP地址（USNIP）选项，以使设备使用SNIP而不是MIP。如下图所示，虚拟IP地址（VIP）在公有子网217.60.10.0/24上; NSIP，SNIP和服务器IP地址位于专用子网192.168.100.0/24上。

图4.单臂模式，多子网的拓扑图

任务概述：以单臂模式部署具有多个子网的NetScaler设备

1. 配置NSIP和默认网关，如”配置NetScaler IP地址（NSIP）”中所述。
   
2. 配置SNIP并启用USNIP选项，如”配置子网IP地址”中所述。
   
3. 按照”创建虚拟服务器”和”配置服务”中所述配置虚拟服务器和服务。
   
4. 将其中一个网络接口连接到交换机。
   

    

配置系统管理设置

完成初始配置后，您可以配置设置以定义Citrix NetScaler设备的行为，并便于连接管理。您有多个选项可用于处理HTTP请求和响应。基于路由，桥接和基于MAC的转发模式可用于处理不寻址到NetScaler的数据包。您可以定义网络接口的特性，并可以聚合接口。为了防止定时问题，您可以将NetScaler时钟与网络时间协议（NTP）服务器同步。 NetScaler可以在各种DNS模式下运行，包括作为权威域名服务器（ADNS）。您可以为系统管理设置SNMP，并自定义系统事件的系统日志记录。部署前，请验证您的配置是否完整和正确。

本文档包括以下内容：

• 配置系统设置
  
• 配置报文转发模式
  
• 配置网络接口
  
• 配置时钟同步
  
• 配置DNS
  
• 配置SNMP
  
• 验证配置
  

注意：除了上面列出的任务之外，您还可以配置Syslog日志记录。有关说明，请参阅”审核日志记录”。

配置系统设置

系统设置的配置包括基本任务，例如配置HTTP端口以启用连接保持活动和服务器分流，设置每个服务器的最大连接数，以及设置每个连接的最大请求数。您可以在代理IP地址不合适的情况下启用客户端IP地址插入，并且可以更改HTTP cookie版本。

您还可以将NetScaler设备配置为在受控范围的端口上打开FTP连接，而不是临时端口进行数据连接。这提高了安全性，因为打开防火墙上的所有端口是不安全的。您可以将范围设置为1,024到64,000之间。

在部署之前，请通过验证检查表验证您的配置。要配置HTTP参数和FTP端口范围，请使用NetScaler配置实用程序。

您可以修改下表中描述的HTTP参数的类型。

表1. HTTP参数

使用配置实用程序配置HTTP参数

1. 在导航窗格中，展开System，然后单击Settings。
2. 在详细信息窗格中的Settings下，单击Change HTTP parameters。
3. 在”Change HTTP parameters“对话框中，指定在上表中列出的标题下显示的部分或全部参数的值。
4. 单击”OK“。

    

使用配置实用程序设置FTP端口范围

1. 在导航窗格中，展开System，然后单击Settings。
2. 在详细信息窗格中的Settings下，单击Change global system settings。
3. 在FTP Port Range下，在Start Port和End Port文本框中，分别键入要指定的范围（例如，5000和6000）的最低和最高端口号。
4. 单击”OK“。

    

配置报文转发模式

NetScaler设备可以路由或桥接不是设备拥有的IP地址的数据包（即IP地址不是NSIP，MIP，SNIP，配置的服务或配置的虚拟服务器）。 默认情况下，L3模式（路由）已启用，L2模式（桥接）已禁用，但您可以更改配置。 以下流程图显示设备如何评估数据包以及进程，路由，桥接或丢弃它们。

图1.第2层和第3层模式之间的交互

设备可以使用以下模式转发其接收的数据包：

• 层2（L2）模式
• 层3（L3）模式
• 基于MAC的转发模式

   

启用和禁用第2层模式

第2层模式控制第2层转发（桥接）功能。您可以使用此模式将NetScaler设备配置为充当第2层设备，并桥接不是发往它的数据包。当启用此模式时，数据包不会转发到任何MAC地址，因为数据包可以到达设备的任何接口，每个接口都有自己的MAC地址。

禁用第2层模式（这是默认值）后，设备将丢弃未发往其MAC地址之一的数据包。如果另一个第2层设备与设备并行安装，则必须禁用第2层模式以防止桥接（第2层）环路。您可以使用配置实用程序或命令行启用第2层模式。

注意：设备不支持生成树协议。为了避免环路，如果启用L2模式，请勿将设备上的两个接口连接到同一广播域。

使用命令行界面启用或禁用第2层模式

在命令提示符下，键入以下命令以启用/禁用第2层模式并验证其已启用/禁用：

• enable ns mode <Mode> 
  
• disable ns mode <Mode> 
  
• show ns mode 
  

举例

> enable ns mode l2

Done

> show ns mode

Mode Acronym Status

——- ——- ——

1) Fast Ramp FR ON

2) Layer 2 mode L2 ON

.

.

.

Done

>

> disable ns mode l2

Done

> show ns mode

Mode Acronym Status

——- ——- ——

1) Fast Ramp FR ON

2) Layer 2 mode L2 OFF

.

.

.

Done

>

使用配置实用程序启用或禁用第2层模式

1. 在导航窗格中，展开System，然后单击Settings。
2. 在详细信息窗格中，在Modes and Features下，单击Configure modes。
3. 在”Configure modes“对话框中，要启用第2层模式，请选中”Layer 2 Mode“复选框。要禁用第2层模式，请清除复选框。
4. 单击”OK“。Enable/Disable Mode(s)? 消息出现在详细信息窗格中。
5. 单击Yes。

    

启用和禁用第3层模式

三层模式控制三层转发功能。您可以使用此模式配置NetScaler设备，以查看其路由表并转发未发往它的数据包。启用了第3层模式（这是默认值）后，设备会执行路由表查找，并转发所有未指定给任何设备拥有的IP地址的数据包。如果禁用第3层模式，设备将删除这些数据包。

使用命令行界面启用或禁用第3层模式

在命令提示符下，键入以下命令以启用/禁用第3层模式并验证其已启用/禁用：

• enable ns mode <Mode> 
  
• disable ns mode <Mode> 
  
• show ns mode 
  

举例

> enable ns mode l3

Done

> show ns mode

Mode Acronym Status

——- ——- ——

1) Fast Ramp FR ON

2) Layer 2 mode L2 OFF

.

.

.

9) Layer 3 mode (ip forwarding) L3 ON

.

.

.

Done

>

> disable ns mode l3

Done

> show ns mode

Mode Acronym Status

——- ——- ——

1) Fast Ramp FR ON

2) Layer 2 mode L2 OFF

.

.

.

9) Layer 3 mode (ip forwarding) L3 OFF

.

.

.

Done

>

使用配置实用程序启用或禁用第3层模式

1. 在导航窗格中，展开System，然后单击Settings。
2. 在详细信息窗格中，在Modes and Features下，单击Configure modes。
3. 在”Configure modes“对话框中，要启用第3层模式，请选中Layer 3 Mode (IP Forwarding)复选框。要禁用第3层模式，请清除复选框。
4. 单击”OK“。Enable/Disable Mode(s)? 消息出现在详细信息窗格中。
5. 单击Yes。

启用和禁用基于MAC的转发模式

您可以使用基于MAC的转发更有效地处理流量，并在转发数据包时避免多路由或ARP查找，因为NetScaler设备会记住源的MAC地址。为了避免多次查找，设备缓存执行ARP查找的每个连接的源MAC地址，并将数据返回到同一个MAC地址。

当您使用VPN设备时，基于MAC的转发非常有用，因为设备可以确保流经特定VPN的所有流量通过相同的VPN设备。

下图显示了基于MAC的转发过程。

图2.基于MAC的转发过程

当启用基于MAC的转发时，设备会缓存以下MAC地址：

• 入站连接的源（发送设备，如路由器，防火墙或VPN设备）。
• 响应请求的服务器。

当服务器通过设备响应时，设备将响应数据包的目标MAC地址设置为缓存的地址，以确保流量以对称方式流动，然后将响应转发到客户端。该过程绕过路由表查找和ARP查找功能。但是，当设备启动连接时，它将使用路由和ARP表进行查找功能。要启用基于MAC的转发，请使用配置实用程序或命令行。

一些部署要求传入和传出路径流经不同的路由器。在这些情况下，基于MAC的转发打破了拓扑设计。对于要求传入和传出路径流经不同路由器的全局服务器负载平衡（GSLB）站点，必须禁用基于MAC的转发，并将设备的默认路由器用作出局路由器。

禁用基于MAC的转发，并启用第2层或第3层连接，路由表可以为出站和入站连接指定单独的路由器。要禁用基于MAC的转发，请使用配置实用程序或命令行。

使用命令行接口启用或禁用基于MAC的转发

在命令提示符下，键入以下命令以启用/禁用基于MAC的转发模式，并验证其已启用/禁用：

• enable ns mode <Mode> 
  
• disable ns mode <Mode> 
  
• show ns mode 
  

举例

> enable ns mode mbf

Done

> show ns mode

Mode Acronym Status

——- ——- ——

1) Fast Ramp FR ON

2) Layer 2 mode L2 OFF

.

.

.

6) MAC-based forwarding MBF ON

.

.

.

Done

>

> disable ns mode mbf

Done

> show ns mode

Mode Acronym Status

——- ——- ——

1) Fast Ramp FR ON

2) Layer 2 mode L2 OFF

.

.

.

6) MAC-based forwarding MBF OFF

.

.

.

Done

>

使用配置实用程序启用或禁用基于MAC的转发

1. 在导航窗格中，展开System，然后单击Settings。
2. 在详细信息窗格中的”Modes and Features“组下，单击Configure modes。
3. 在”Configure modes“对话框中，要启用基于MAC的转发模式，请选中”MAC Based Forwarding“复选框。 要禁用基于MAC的转发模式，请清除此复选框。
4. 单击”OK“。 Enable/Disable Mode(s)? 消息出现在详细信息窗格中。
5. 单击Yes。

配置网络接口

NetScaler接口按插槽/端口符号编号。除了修改单个接口的特性外，还可以配置虚拟LAN，以限制流量到特定的主机组。您也可以将链接聚合到高速频道。

虚拟LAN

NetScaler支持（第2层）端口和IEEE802.1Q标记的虚拟LAN（VLAN）。当您需要限制流量到某些组站时，VLAN配置很有用。您可以使用IEEE 802.1q标记将网络接口配置为属于多个VLAN。

您可以将配置的VLAN绑定到IP子网。 NetScaler（如果它被配置为子网上的主机的默认路由器）然后在这些VLAN之间执行IP转发。 NetScaler支持以下类型的VLAN。

默认VLAN

默认情况下，NetScaler上的网络接口包括在单个基于端口的VLAN中作为未标记的网络接口。此默认VLAN的VID为1，并永久存在。它不能被删除，它的VID不能被改变。

基于端口的VLAN

共享公共，独占，第2层广播域的一组网络接口定义基于端口的VLAN的成员资格。可以配置多个基于端口的VLAN。将接口作为未标记成员添加到新VLAN时，会自动从默认VLAN中删除。

标记VLAN

网络接口可以是VLAN的已标记或未标记的成员。每个网络接口是仅一个VLAN（其本地VLAN）的未标记成员。未标记的网络接口将本地VLAN的帧转发为未标记的帧。标记的网络接口可以是多个VLAN的一部分。配置标记时，请确保链接的两端都具有匹配的VLAN设置。您可以使用配置实用程序定义标记VLAN（nsvlan），可以将任何端口绑定为VLAN的已标记成员。配置此VLAN需要重新启动NetScaler，因此必须在初始网络配置期间完成。

链路聚合信道

链路聚合将来自多个端口的传入数据组合成单个高速链路。配置链路聚合通道可提高NetScaler与其他连接设备之间的通信通道的容量和可用性。聚合链路也被称为信道。

当网络接口绑定到通道时，通道参数优先于网络接口参数。网络接口只能绑定到一个通道。将网络接口绑定到链路聚合通道会更改VLAN配置。也就是说，将网络接口绑定到通道会将它们从原来属于的VLAN中删除，并将它们添加到默认VLAN。但是，您可以将该通道绑定到旧VLAN或新的VLAN。例如，如果已将网络接口1/2和1/3绑定到ID为2的VLAN，然后将它们绑定到链路聚合信道LA / 1，则网络接口将移动到默认VLAN，但您可以绑定他们到VLAN 2。

注意：您还可以使用链路聚合控制协议（LACP）配置链路聚合。有关详细信息，请参见”使用链路聚合控制协议配置链路聚合”。

配置时钟同步

您可以配置NetScaler设备以使其本地时钟与网络时间协议（NTP）服务器同步。这确保其时钟具有与网络上其他服务器相同的日期和时间设置。 NTP使用用户数据报协议（UDP）端口123作为其传输层。您必须在NTP配置文件中添加NTP服务器，以便设备定期从这些服务器获取更新。

如果您没有本地NTP服务器，您可以在官方NTP网站（http://www.ntp.org）找到公开，开放访问的NTP服务器的列表。

在设备上配置时钟同步

1. 登录到命令行并输入shell命令。
2. 在shell提示符下，将ntp.conf文件从/ etc目录复制到/ nsconfig目录。如果文件已存在于/ nsconfig目录中，请确保从ntp.conf文件中删除以下条目：

   restrict localhost
   

   restrict 127.0.0.2
   

仅当您要将设备作为时间服务器运行时，才需要这些条目。但是，NetScaler不支持此功能。

1. 通过在文件服务器下键入所需NTP服务器的IP地址并限制条目来编辑/nsconfig/ntp.conf。
2. 如果目录中不存在该文件，请在/ nsconfig目录中创建一个名为rc.netscaler的文件。
3. 通过添加以下条目编辑/nsconfig/rc.netscaler：/usr/sbin/ntpd -c /nsconfig/ntp.conf -l /var/log/ntpd.log &

此条目启动ntpd服务，检查ntp.conf文件，并在/ var / log目录中记录消息。

注意：如果NetScaler和时间服务器之间的时间差大于1000秒，则ntpd服务将终止并向NetScaler日志发送消息。要避免这种情况，您需要使用-g选项启动ntpd，这会强制同步时间。在/nsconfig/rc.netscaler中添加以下条目：

/usr/sbin/ntpd -g -c /nsconfig/ntp.conf -l /var/log/ntpd.log &

如果你不想强制同步时间，当有很大的差异，你可以手动设置日期，然后再次启动ntpd。您可以通过在shell中运行以下命令来检查设备和时间服务器之间的时间差：

ntpdate -q <IP address or domain name of the NTP server>

1. 重新启动设备以启用时钟同步。

注意：如果要在重新启动设备之前开始时间同步，请在shell提示符处输入以下命令（您在步骤5中添加到rc.netscaler文件中）：

    /usr/sbin/ntpd -c /nsconfig/ntp.conf -l /var/log/ ntpd.log &
			

配置DNS

您可以将NetScaler设备配置为充当授权域名服务器（ADNS），DNS代理服务器，结束解析器或转发器。您可以添加DNS资源记录，例如SRV记录，AAAA记录，A记录，MX记录，NS记录，CNAME记录，PTR记录和SOA记录。此外，设备可以平衡外部DNS服务器上的负载。

通常的做法是将设备配置为转发器。对于此配置，您需要添加外部名称服务器。添加外部服务器后，应验证配置是否正确。

您可以添加，删除，启用和禁用外部名称服务器。您可以通过指定其IP地址来创建名称服务器，也可以将现有的虚拟服务器配置为名称服务器。

添加名称服务器时，您可以指定IP地址或虚拟IP地址（VIP）。如果使用IP地址，设备将按循环方式将请求负载平衡到已配置的名称服务器。如果使用VIP，您可以指定任何负载平衡方法。

使用命令行界面添加名称服务器

在命令提示符下，键入以下命令以添加名称服务器并验证配置：

• add dns nameServer <IP> 
  
• show dns nameServer <IP> 
  

举例

> add dns nameServer 10.102.29.10 

 Done 

> show dns nameServer 10.102.29.10 

1)       10.102.29.10  -  State: DOWN 

 Done 

>

使用配置实用程序添加名称服务器

1. 导航到Traffic Management > DNS > Name Servers。
2. 在详细信息窗格中，单击Add。
3. 在”Create Name Server“对话框中，选择” IP Address“。
4. 在” IP Address“文本框中，键入名称服务器的IP地址（例如，10.102.29.10）。如果要添加外部名称服务器，请清除”Local “复选框。
5. 单击Create，然后单击Close。
6. 验证您添加的名称服务器是否出现在”名Name Servers “窗格中。

    

配置SNMP

在外部计算机上运行的简单网络管理协议（SNMP）网络管理应用程序在NetScaler上查询SNMP代理。 代理在管理信息库（MIB）中搜索网络管理应用请求的数据，并将数据发送到应用。

SNMP监视使用陷阱消息和警报。 SNMP陷阱消息是代理生成的异步事件，用于指示由报警指示的异常情况。 例如，如果要在CPU利用率高于90％时通知您，可以为该条件设置警报。 下图显示了具有启用和配置了SNMP的NetScaler的网络。

图1. NetScaler上的SNMP

NetScaler上的SNMP代理支持SNMP版本1（SNMPv1），SNMP版本2（SNMPv2）和SNMP版本3（SNMPv3）。因为它在双语模式下运行，代理可以处理SNMPv2查询，例如Get-Bulk和SNMPv1查询。 SNMP代理还发送符合SNMPv2的陷阱，并支持SNMPv2数据类型，例如counter64。 SNMPv1管理器（在从NetScaler请求SNMP信息的其他服务器上的程序）在处理SNMP查询时使用NS-MIB-smiv1.mib文件。 SNMPv2管理器使用NS-MIB-smiv2.mib文件。

NetScaler支持以下企业特定的MIB：

标准MIB-2组的子集

提供MIB-2组SYSTEM，IF，ICMP，UDP和SNMP。

系统企业MIB

提供系统特定的配置和统计信息。

要配置SNMP，请指定哪些管理器可以查询SNMP代理，添加将接收SNMP陷阱消息的SNMP陷阱侦听器，以及配置SNMP警报。

添加SNMP管理器

您可以配置运行符合SNMP版本1,2或3的管理应用程序的工作站以访问设备。这样的工作站称为SNMP管理器。如果未在设备上指定SNMP管理器，则设备会接受并响应网络上所有IP地址的SNMP查询。如果配置一个或多个SNMP管理器，则设备仅接受并响应来自这些特定IP地址的SNMP查询。指定SNMP管理器的IP地址时，可以使用netmask参数授予来自整个子网的访问权限。最多可以添加100个SNMP管理器或网络。

使用命令行界面添加SNMP管理器

在命令提示符下，键入以下命令以添加SNMP管理器并验证配置：

• add snmp manager <IPAddress> … [-netmask <netmask>] 
  
• show snmp manager <IPAddress> 
  

举例

> add snmp manager 10.102.29.5 -netmask 255.255.255.255 

 Done 

> show snmp manager 10.102.29.5 

1)      10.102.29.5         255.255.255.255 

 Done 

>

使用配置实用程序添加SNMP管理器

1. 在导航窗格中，展开System，展开SNMP，然后单击Managers。
2. 在详细信息窗格中，单击 Add。
3. 在”Add SNMP Manager“对话框中的”IP Address“文本框中，键入运行管理应用程序的工作站的IP地址（例如，10.102.29.5）。
4. 单击Create，然后单击Close。
5. 验证您添加的SNMP管理器出现在窗格底部的”Details“部分。

    

添加SNMP陷阱侦听器

配置警报后，需要指定设备将发送陷阱消息的陷阱侦听器。除了指定参数，如IP地址和陷阱侦听器的目标端口，您可以指定陷阱的类型（通用或特定）和SNMP版本。

您可以配置最多20个陷阱侦听器以接收通用或特定陷阱。

使用命令行界面添加SNMP陷阱侦听器

在命令提示符下，键入以下命令以添加SNMP陷阱并验证是否已添加：

• add snmp trap specific <IP> 
  
• show snmp trap 
  

举例

> add snmp trap specific 10.102.29.3 

 Done 

> show snmp trap 

Type     DestinationIP   DestinationPort  Version  SourceIP      Min-Severity  Community 

----     -------------   ---------------  -------  --------      ------------  --------- 

generic  10.102.29.9     162              V2       NetScaler IP  N/A           public 

generic  10.102.29.5     162              V2       NetScaler IP  N/A           public 

generic  10.102.120.101  162              V2       NetScaler IP  N/A           public 

. 

. 

. 

specific 10.102.29.3     162              V2       NetScaler IP   -            public 

 Done 

>

使用配置实用程序添加SNMP陷阱侦听器

1. 在导航窗格中，展开System，展开SNMP，然后单击Trap。
2. 在详细信息窗格中，单击Add。
3. 在”Create SNMP Trap Destination“对话框中，在”Destination IP Address“文本框中，键入IP地址（例如，10.102.29.3）。
4. 单击Create，然后单击Close。
5. 验证您添加的SNMP陷阱出现在窗格底部的”Details“部分。

配置SNMP告警

您可以配置警报，以便在发生与其中一个警报相对应的事件时设备生成陷阱消息。配置告警包括启用告警和设置生成陷阱的严重性级别。有五个严重性级别：关键，主要，次要，警告和信息。只有当警报的严重性与为陷阱指定的严重性匹配时，才会发送陷阱。

默认情况下启用某些报警。如果禁用SNMP警报，则设备在发生相应事件时不会生成陷阱消息。例如，如果禁用登录失败SNMP警报，则设备在登录失败时不会生成陷阱消息。

使用命令行界面启用或禁用警报

在命令提示符下，键入以下命令以启用或禁用警报，并验证其是否已启用或禁用：

• set snmp alarm <trapName> [-state ENABLED | DISABLED ] 
  
• show snmp alarm <trapName> 
  

举例

> set snmp alarm LOGIN-FAILURE -state ENABLED 

 Done 

> show snmp alarm LOGIN-FAILURE 

   Alarm           Alarm Threshold  Normal Threshold  Time  State     Severity   Logging 

   -----           ---------------  ----------------  ----  --------  ---------  -------- 

 1) LOGIN-FAILURE  N/A              N/A               N/A   ENABLED   -          ENABLED 

 Done 

>

使用命令行接口设置告警的级别

在命令提示符下，键入以下命令以设置警报的严重性，并验证严重性已正确设置：

• set snmp alarm <trapName> [-severity <severity>] 
  
• show snmp alarm <trapName> 
  

举例

> set snmp alarm LOGIN-FAILURE -severity Major 

 Done 

> show snmp alarm LOGIN-FAILURE 

   Alarm           Alarm Threshold  Normal Threshold  Time  State     Severity   Logging 

   -----           ---------------  ----------------  ----  --------  ---------  -------- 

 1) LOGIN-FAILURE  N/A              N/A               N/A   ENABLED   Major      ENABLED 

 Done 

>

使用配置实用程序配置报警

1. 在导航窗格中，展开System，展开SNMP，然后单击Alarms。
2. 在详细信息窗格中，选择一个报警（例如，LOGIN-FAILURE），然后单击Open。
3. 在”Configure SNMP Alarm“对话框中，要启用警报，请在”State“下拉列表中选择”Enabled“。要禁用警报，请选择Disabled。
4. 在” Severity“下拉列表中，选择严重性选项（例如，Major）。
5. 单击OK，然后单击Close。
6. 通过查看窗格底部的”Details“部分，验证您配置的SNMP警报的参数是否已正确配置。

    

验证配置

完成系统配置后，请完成以下检查列表以验证您的配置。

配置清单

• 构造运行的配置是：
• 没有不兼容的问题。 （不兼容性问题记录在构建的发行说明中。）
• 端口设置（速度，双工，流量控制，监控）与交换机的端口相同。
• 足够的映射IP地址已配置为在峰值时间支持所有服务器端连接。
  • 配置的映射IP地址数量为：____
  • 预期的同时服务器连接数为：

    [] 62,000 [] 124,000 []

拓扑配置清单

• 这些路由已用于解析其他子网上的服务器。

输入的路线为：

_________________________________________

如果NetScaler处于公共 – 专用拓扑中，则已配置反向NAT。

• 在NetScaler上配置的故障转移（高可用性）设置在单臂或双臂配置中解析。所有未使用的网络接口已禁用：

_________________________________________

• 如果NetScaler放置在外部负载平衡器后面，则外部负载平衡器上的负载平衡策略不是”最少连接”。
• 在外部负载均衡器上配置的负载均衡策略为：

_________________________________________

• 如果NetScaler放置在防火墙前面，则防火墙上的会话超时设置为大于或等于300秒的值。

  注意：NetScaler设备上的TCP空闲连接超时为360秒。如果防火墙上的超时也设置为300秒或更长，则设备可以有效地执行TCP连接复用，因为连接不会提前关闭。

为会话超时配置的值为：___________________

服务器配置清单

• “Keep-alive”已在所有服务器上启用。

为保持活动超时配置的值为：___________________

• 默认网关已设置为正确的值。 （默认网关应为NetScaler或上游路由器。）默认网关为：

_________________________________________

• 服务器端口设置（速度，双工，流量控制，监视）与交换机端口设置相同。

_________________________________________

• 如果使用Microsoft®Internet Information Server，则在服务器上启用缓冲。
• 如果使用Apache服务器，则在服务器和NetScaler上配置MaxConn（最大连接数）参数。

已设置的MaxConn（最大连接数）值为：

_________________________________________

• 如果使用Netscape®Enterprise Server™，则每个连接的最大请求参数在NetScaler上设置。已设置的每个连接值的最大请求数为：

_________________________________________

软件功能配置清单

• 是否需要禁用第2层模式功能？ （如果另一个第2层设备与NetScaler并行工作，则禁用。）

启用或禁用的原因：

_________________________________________

• 是否需要禁用基于MAC的转发功能？ （如果返回流量使用的MAC地址不同，应该禁用它）。

启用或禁用的原因：

_________________________________________

• 是否需要禁用基于主机的重用？ （服务器上是否有虚拟主机？）

启用或禁用的原因：

_________________________________________

• 是否需要更改浪涌保护功能的默认设置？

更改或不更改的原因：

_________________________________________

访问清单

• 系统IP可以从客户端网络ping。
• 可以从服务器端网络ping系统IP。
• 可以通过NetScaler ping受管服务器。
• 可以从受管服务器ping通Internet主机。
• 可以通过浏览器访问受管服务器。
• 可以使用浏览器从受管服务器访问Internet。
• 可以使用SSH访问系统。
• 所有受管服务器的管理员访问正在工作。

注意：使用ping实用程序时，请确保ping服务器启用了ICMP ECHO，否则ping将无法成功。

防火墙清单

已满足以下防火墙要求：

• UDP 161（SNMP）
• UDP 162（SNMP陷阱）
• TCP / UDP 3010（GUI）
• HTTP 80（GUI）
• TCP 22（SSH）

负载平衡NetScaler设备上的流量

负载平衡功能通过多个服务器分配客户端请求，以优化资源利用率。在具有有限数量的服务器向大量客户端提供服务的现实世界场景中，服务器可能变得过载并且降低服务器场的性能。 Citrix NetScaler设备使用负载平衡标准，通过将每个客户端请求转发到最适合处理请求的服务器，以防止瓶颈到达时阻止瓶颈。

要配置负载平衡，请定义虚拟服务器以代理服务器场中的多个服务器，并在它们之间平衡负载。

当客户端发起到服务器的连接时，虚拟服务器终止客户端连接并发起与所选服务器的新连接，或重新使用与服务器的现有连接，以执行负载平衡。负载均衡功能提供从第4层（TCP和UDP）到第7层（FTP，HTTP和HTTPS）的流量管理。

NetScaler设备使用一些称为负载平衡方法的算法来确定如何在服务器之间分配负载。默认负载平衡方法是Least Connections方法。

典型的负载平衡部署包括下图中描述的实体。

图1.负载平衡架构

实体的功能如下：

• 虚拟服务器。由IP地址，端口和协议表示的实体。虚拟服务器IP地址（VIP）通常是公共IP地址。客户端向此IP地址发送连接请求。虚拟服务器表示一组服务器。
• 服务。服务器或在服务器上运行的应用程序的逻辑表示。标识服务器的IP地址，端口和协议。服务绑定到虚拟服务器。
• 服务器对象。由IP地址表示的实体。服务器对象在创建服务时创建。服务的IP地址作为服务器对象的名称。您还可以创建服务器对象，然后使用服务器对象创建服务。
• 监控。跟踪服务运行状况的实体。设备使用绑定到每个服务的监视器定期探测服务器。如果服务器在指定的响应超时时间内未响应，并且指定的探测数量失败，则服务将标记为”DOWN”。设备然后在其余服务之间执行负载平衡。

   

配置负载平衡

要配置负载平衡，必须首先创建服务。然后，创建虚拟服务器并将服务绑定到虚拟服务器。默认情况下，NetScaler设备将监视器绑定到每个服务。绑定服务后，通过验证您的配置来确保所有的设置正确。

注意：部署配置后，您可以在统计中查看显示的实体如何执行的信息。使用统计实用程序或stat lb vserver <vserverName>命令。

（可选）您可以为服务分配权重。然后，负载平衡算法使用分配的权重来选择服务。但是，您可以限制可选任务配置一些基本持久性设置，对于必须保持与特定服务器的连接的会话以及一些基本配置保护设置。

以下流程图给出了配置任务的顺序。

图1.配置负载平衡的任务顺序

启用负载平衡

配置负载均衡功能之前，请确保负载均衡功能已使能。

使用命令行界面启用负载均衡

在命令提示符下，键入以下命令以启用负载平衡并验证它是否已启用：

• enable feature lb 
  
• show feature 
  

  举例
  

  > enable feature lb
  

  Done
  

  > show feature
  

   

  Feature Acronym Status
  

  ——- ——- ——
  

  1) Web Logging WL OFF
  

  2) Surge Protection SP OFF
  

  3) Load Balancing LB ON
  

  .
  

  .
  

  .
  

  9) SSL Offloading SSL ON
  

  .
  

  .
  

  .
  

  Done
  

使用配置实用程序启用负载平衡

1. 在导航窗格中，展开System，然后单击Settings。
2. 在详细信息窗格中的Modes and Features下，单击Change basic features。
3. 在”Configure Basic Features“对话框中，选中”Load Balancing“复选框，然后单击”OK“。
4. 在Enable/Disable Feature(s)?消息，单击Yes。

配置服务和虚拟服务器

识别要进行负载平衡的服务后，可以通过创建服务对象，创建负载平衡虚拟服务器并将服务对象绑定到虚拟服务器来实施初始负载平衡配置。

使用命令行界面实现初始负载均衡配置

在命令提示符下，键入以下命令以实现和验证初始配置：

• add service <name> <IPaddress> <serviceType> <port>
  
• add lb vserver <vServerName> <serviceType> [<IPaddress> <port>]
  
• bind lb vserver <name> <serviceName>
  
• show service bindings <serviceName>
  

举例

> add service service-HTTP-1 10.102.29.5 HTTP 80

Done

> add lb vserver vserver-LB-1 HTTP 10.102.29.60 80

Done

> bind lb vserver vserver-LB-1 service-HTTP-1

Done

> show service bindings service-HTTP-1

service-HTTP-1 (10.102.29.5:80) – State : DOWN

1) vserver-LB-1 (10.102.29.60:80) – State : DOWN

Done

使用配置实用程序实施初始负载平衡配置

1. 导航到Traffic Management > Load Balancing。
2. 在详细信息窗格中的”Getting Started“下，单击”Load Balancing wizard“向导，然后按照说明创建基本负载平衡设置。
3. 返回导航窗格，展开LLoad Balancing，然后单击Virtual Servers。
4. 选择您配置的虚拟服务器，并验证显示在页面底部的参数是否已正确配置。
5. 单击Open。
6. 通过确认在”Services“选项卡上为每个服务选择”Active“复选框，验证每个服务是否已绑定到虚拟服务器。

选择和配置持久性设置

如果要保持由该虚拟服务器表示的服务器上的连接状态（例如，在电子商务中使用的连接），则必须在虚拟服务器上配置持久性。设备然后使用配置的负载平衡算法初始选择服务器，但将来自同一客户端的所有后续请求转发到该服务器。

如果配置了持久性，一旦选择了服务器，它将使用负载平衡算法。如果配置的持久性应用到了个于已关闭的服务，则设备将使用负载平衡算法来选择新服务，并且新服务来持久来自客户端的后续请求。如果所选服务处于”服务中止状态”状态，则它将继续为未完成的请求提供服务，但不接受新的请求或连接。在关闭周期过后，现有连接将关闭。下表列出了您可以配置的持久性类型。

表1.对同时持久连接数的限制

如果由于设备上缺少资源而无法保持配置的持久性，则负载平衡算法将用于服务器选择。 根据持久性类型，在配置的时间段内维持持久性。 某些持久性类型特定于某些虚拟服务器。 下表显示了关系。

表2.可用于每个虚拟服务器类型的持久性类型

您还可以为一组虚拟服务器指定持久性。在组上启用持久性时，无论组中的哪个虚拟服务器接收到客户端请求，客户端请求都会定向到同一个选定的服务器。当配置的持久性时间过去时，可以为传入客户机请求选择组中的任何虚拟服务器。

两种常用的持久性类型是基于Cookie的持久性和基于URL中的服务器ID的持久性。

基于Cookie配置持久性

当您根据Cookie启用持久性时，NetScaler会将HTTP Cookie添加到HTTP响应的Set-Cookie头字段中。 Cookie包含有关必须发送HTTP请求的服务的信息。客户端存储cookie并将其包括在所有后续请求中，NetScaler使用它为这些请求选择服务。您可以在类型为HTTP或HTTPS的虚拟服务器上使用此类型的持久性。

NetScaler插入cookie <NSC_XXXX>= <ServiceIP> <ServicePort>

• <NSC_XXXX> 是从虚拟服务器名称派生的虚拟服务器ID.
  
• <ServiceIP> 是服务的IP地址的十六进制值.
  
• <ServicePort>是服务端口的十六进制值.
  

NetScaler在插入Cookie时对ServiceIP和ServicePort进行加密，并在收到Cookie时对其进行解密。

注意：如果客户端不允许存储HTTP cookie，则后续请求没有HTTP cookie，并且不会保留持久性。

默认情况下，NetScaler发送HTTP cookie版本0，符合Netscape规范。它也可以发送版本1，符合RFC 2109。

您可以为基于HTTP Cookie的持久性配置超时值。请注意以下事项：

• 如果使用HTTP cookie版本0，NetScaler将插入cookie的到期时间（HTTP cookie的expires属性）的绝对协调世界时间（GMT），计算为NetScaler上当前GMT时间和超时值的总和。
• 如果使用HTTP cookie版本1，NetScaler将插入相对过期时间（HTTP cookie的Max-Age属性）。在这种情况下，客户端软件计算实际的到期时间。

注意：目前安装的大多数客户端软件（Microsoft Internet Explorer和Netscape浏览器）都了解HTTP cookie版本0;然而，一些HTTP代理理解HTTP cookie版本1。

如果将超时值设置为0，则NetScaler不指定过期时间，而不考虑使用的HTTP cookie版本。过期时间取决于客户端软件，如果该软件关闭，这些cookie无效。此持久性类型不消耗任何系统资源。因此，它可以容纳无限数量的持久性客户端。

管理员可以使用下表中的过程更改HTTP cookie版本。

使用配置实用程序更改HTTP cookie版本

1. 导航到System > Settings。
2. 在详细信息窗格中，单击Change HTTP Parameters。
3. 在”Configure HTTP Parameters “对话框中的”Cookie“下，选择”Version 0“或”Version 1“。

注意：有关参数的信息，请参阅”配置基于Cookie的持久性”。

使用命令行界面配置基于Cookie的持久性

在命令提示符下，键入以下命令以基于cookie配置持久性并验证配置：

• set lb vserver <name> –persistenceType COOKIEINSERT
  
• show lb vserver <name>
  

举例

> set lb vserver vserver-LB-1 -persistenceType COOKIEINSERT

Done

> show lb vserver vserver-LB-1

vserver-LB-1 (10.102.29.60:80) – HTTP Type: ADDRESS

.

.

.

Persistence: COOKIEINSERT (version 0) Persistence Timeout: 2 min

.

.

.

Done

>

使用配置实用程序配置基于Cookie的持久性

1. 导航到Traffic Management > Load Balancing > Virtual Servers。
2. 在详细信息窗格中，选择要配置持久性的虚拟服务器（例如，vserver-LB-1），然后单击Open。
3. 在”Configure Virtual Server (Load Balancing)“对话框中的”Method and Persistence“选项卡上的”Persistence列表”中，选择COOKIEINSERT。
4. 在Time-out (min)文本框中，键入超时值（例如，2）。
5. 单击”OK“。
6. 通过选择虚拟服务器并查看窗格底部的”Details“部分，验证已配置持久性的虚拟服务器是否已正确配置。

    

基于URL中的服务器ID配置持久性

NetScaler可以基于URL中的服务器ID保持持久性。在称为URL被动持久性的技术中，NetScaler从服务器响应中提取服务器ID，并将其嵌入到客户端请求的URL查询中。服务器ID是指定为十六进制数的IP地址和端口。 NetScaler从后续客户端请求中提取服务器ID，并使用它来选择服务器。

URL被动持久性需要配置负载表达式或策略基础结构表达式，以指定客户端请求中服务器ID的位置。有关表达式的详细信息，请参阅”策略配置和参考”。

注意：如果无法从客户端请求中提取服务器ID，则服务器选择基于负载平衡算法。

示例：有效载荷表达式

表达式,URLQUERY包含sid =配置系统从客户机请求的URL查询中提取服务器ID,匹配后标记sid =。因此，具有URL http://www.citrix.com/index.asp?&sid;=c0a864100050的请求被定向到具有IP地址10.102.29.10和端口80的服务器。

超时值不会影响此类型的持久性，只要可以从客户端请求中提取服务器ID，就会保持此持久性。此持久性类型不消耗任何系统资源，因此它可以容纳无限数量的持久性客户端。

注意：有关参数的信息，请参阅”负载平衡”。

使用命令行界面配置基于URL中的服务器ID的持久性

在命令提示符下，键入以下命令以基于URL中的服务器ID配置持久性，并验证配置：

• set lb vserver <name> -persistenceType URLPASSIVE 
  
• show lb vserver <name> 
  

  举例
  

  > set lb vserver vserver-LB-1 -persistenceType URLPASSIVE
  

  Done
  

  > show lb vserver vserver-LB-1
  

  vserver-LB-1 (10.102.29.60:80) – HTTP Type: ADDRESS
  

  .
  

  .
  

  .
  

  Persistence: URLPASSIVE Persistence Timeout: 2 min
  

  .
  

  .
  

  .
  

  Done
  

  >
  

使用配置实用程序基于URL中的服务器ID配置持久性

1. 导航到Traffic Management > Load Balancing > Virtual Servers。
2. 在详细信息窗格中，选择要配置持久性的虚拟服务器（例如，vserver-LB-1），然后单击Open。
3. 在”Configure Virtual Server (Load Balancing) “对话框中的”Method and Persistence“选项卡上的”Persistence列表”中，选择URLPASSIVE。
4. 在Time-out (min)文本框中，键入超时值（例如，2）。
5. 在Rule文本框中，输入有效的表达式。 或者，单击”规Rule“文本框旁边的”Configure“，然后使用”Create Expression“对话框创建表达式。
6. 单击”OK“。
7. 通过选择虚拟服务器并查看窗格底部的”Details“部分，验证已配置持久性的虚拟服务器是否已正确配置。

配置特性以保护负载平衡配置

您可以配置URL重定向以提供虚拟服务器故障的通知，如果主虚拟服务器不可用，您可以配置备份虚拟服务器以接管。

配置URL重定向

您可以配置重定向URL，以在HTTP或HTTPS类型的虚拟服务器关闭或禁用时通知设备的状态。此URL可以是本地链接或远程链接。设备使用HTTP 302重定向。

重定向可以是绝对URL或相对URL。如果配置的重定向网址包含绝对网址，则无论在传入HTTP请求中指定的网址如何，HTTP重定向都会发送到配置的位置。如果配置的重定向网址只包含域名（相对URL），则在将传入URL附加到重定向网址中配置的域后，HTTP重定向会发送到某个位置。

注意：如果负载平衡虚拟服务器配置了备份虚拟服务器和重定向URL，则备份虚拟服务器优先于重定向URL。在这种情况下，当主虚拟服务器和备份虚拟服务器都关闭时，将使用重定向。

配置虚拟服务器以使用命令行界面将客户端请求重定向到URL

在命令提示符下，键入以下命令以配置虚拟服务器将客户端请求重定向到URL并验证配置：

• set lb vserver <name> –redirectURL <URL>
  
• show lb vserver <name>
  

  举例
  

  > set lb vserver vserver-LB-1 -redirectURL http://www.newdomain.com/mysite/maintenance
  

  Done
  

  > show lb vserver vserver-LB-1
  

  vserver-LB-1 (10.102.29.60:80) – HTTP Type: ADDRESS
  

  State: DOWN
  

  Last state change was at Wed Jun 17 08:56:34 2009 (+666 ms)
  

  .
  

  .
  

  .
  

  Redirect URL: http://www.newdomain.com/mysite/maintenance
  

  .
  

  .
  

  .
  

  Done
  

  >
  

配置虚拟服务器以使用配置实用程序将客户端请求重定向到URL

1. 导航到Traffic Management > Load Balancing > Virtual Servers。
2. 在详细信息窗格中，选择要配置URL重定向的虚拟服务器（例如，vserver-LB-1），然后单击Open。
3. 在Configure Virtual Server (Load Balancing)对话框中，在Advanced选项卡上的Redirect URL文本框中，键入URL（例如，http://www.newdomain.com/mysite/maintenance），然后单击OK 。
4. 验证为服务器配置的重定向URL请点击出现在窗格底部的”Details“部分。

    

配置备份虚拟服务器

如果主虚拟服务器关闭或禁用，该设备可以直接连接或客户端请求转发该客户端流量到服务的备份虚拟服务器。设备还可以向站点发送关于站点中断或维护的通知消息。备份虚拟服务器是一个代理，对客户端是透明的。

您可以在创建虚拟服务器时或在更改现有虚拟服务器的可选参数时配置备份虚拟服务器。您还可以为现有备份虚拟服务器配置备份虚拟服务器，从而创建级联备份虚拟服务器。级联备份虚拟服务器的最大深度为10。设备是随访问虚拟服务器提供的内容来搜索备份服务器的。

您可以在主节点上配置URL重定向，以便在主虚拟服务器和备份虚拟服务器关闭或达到处理请求的阈值时使用。

注意：如果不存在备份虚拟服务器，则会显示错误消息，除非虚拟服务器配置了重定向URL。如果配置了备份虚拟服务器和重定向URL，则备份虚拟服务器优先。

使用命令行界面配置备份虚拟服务器

在命令提示符下，键入以下命令以配置备份服务器并验证配置：

• set lb vserver <name> [-backupVserver <string>]
  
• show lb vserver <name>
  

  举例
  

  > set lb vserver vserver-LB-1 -backupVserver vserver-LB-2
  

  Done
  

  > show lb vserver vserver-LB-1
  

  vserver-LB-1 (10.102.29.60:80) – HTTP Type: ADDRESS
  

  State: DOWN
  

  Last state change was at Wed Jun 17 08:56:34 2009 (+661 ms)
  

  .
  

  .
  

  .
  

  Backup: vserver-LB-2
  

  .
  

  .
  

  .
  

  Done
  

  >
  

使用配置实用程序设置备份虚拟服务器

1. 导航到Traffic Management > Load Balancing > Virtual Servers。
2. 在详细信息窗格中，选择要配置备份虚拟服务器的虚拟服务器（例如，vserver-LB-1），然后单击Open。
3. 在Configure Virtual Server (Load Balancing)对话框中，在 Advanced 选项卡上的Backup Virtual Server列表中，选择备份虚拟服务器（例如，vserver-LB-2，然后单击OK。
4. 验证您配置的备份虚拟服务器是否显示在窗格底部的”Details“部分。

注意：如果主服务器关闭并重新启动，并且希望备份虚拟服务器充当主服务器，直到您显式地重新建立主虚拟服务器，请选中”Disable Primary When Down “复选框。

典型负载均衡场景

在负载平衡设置中，NetScaler设备在逻辑上位于客户端和服务器场之间，它们管理到服务器的流量。

下图显示了基本负载平衡配置的拓扑。

图1.基本负载平衡拓扑

虚拟服务器选择服务并将其分配以提供客户端请求。 考虑上图中的场景，其中创建服务service-HTTP-1和service-HTTP-2并绑定到名为virtual server-LB-1的虚拟服务器。 虚拟服务器LB-1将客户端请求转发到service-HTTP-1或service-HTTP-2。 系统使用最小连接负载平衡算法为每个请求选择服务。 下表列出了必须在系统上配置的基本实体的名称和值。

表1. LB配置参数值

下图显示了上表中描述的负载平衡示例值和必需参数。

图2.负载平衡实体模型

下表列出了用于通过使用命令行界面配置此负载平衡设置的命令。

表2.初始配置任务

有关初始配置任务的详细信息，请参阅”启用负载平衡”和”配置服务和Vserver”。

表3.验证任务

表4.自定义任务

有关配置持久性的更多信息，请参阅”选择和配置持久性设置”。 有关配置虚拟服务器以将客户端请求重定向到URL和设置备份虚拟服务器的信息，请参阅”配置功能以保护负载平衡配置”。

通过使用压缩加速负载平衡流量

压缩是优化带宽使用的流行手段，并且大多数web浏览器支持压缩数据。如果启用压缩功能，NetScaler设备拦截来自客户端的请求，并确定客户端是否可以接受压缩内容。在从服务器接收到HTTP响应之后，设备检查内容以确定其是否是可压缩的。如果内容是可压缩的，设备会压缩它，修改响应头以指示执行的压缩类型，并将压缩内容转发到客户端。

NetScaler压缩是基于策略的功能。策略过滤请求和响应以标识要压缩的响应，并指定要应用于每个响应的压缩类型。设备提供几种内置策略来压缩常见的MIME类型，如text / html，text / plain，text / xml，text / css，text / rtf，application / msword，application / vnd.ms-excel和application / vnd.ms-powerpoint。您还可以创建自定义策略。设备不会压缩压缩的MIME类型，例如应用程序/八位字节流，二进制，字节和压缩图像格式（如GIF和JPEG）。

要配置压缩，您必须在全局和每个将提供您想要压缩的响应的服务上启用它。如果已配置虚拟服务器以进行负载平衡或内容交换，则应将策略绑定到虚拟服务器。否则，策略将应用于通过设备的所有流量。

压缩配置任务序列

以下流程图显示了在负载平衡设置中配置基本压缩的任务顺序。

图1.配置压缩的任务序列

注意：上图中的步骤假设已经配置了负载平衡。

启用压缩

默认情况下，不启用压缩。 您必须启用压缩功能才能允许压缩发送到客户端的HTTP响应。

使用命令行界面启用压缩

在命令提示符下，键入以下命令以启用压缩并验证配置：

• enable ns feature CMP 
  
• show ns feature 
  举例
  

  > enable ns feature CMP
  

  Done
  

  > show ns feature
  

   

  Feature Acronym Status
  

  ——- ——- ——
  

  1) Web Logging WL ON
  

  2) Surge Protection SP OFF
  

  .
  

  7) Compression Control CMP ON
  

  8) Priority Queuing PQ OFF
  

  .
  

  Done
  

使用配置实用程序启用压缩

1. 在导航窗格中，展开System，然后单击Settings。
2. 在详细信息窗格中的Modes and Features下，单击Change basic features。
3. 在”Configure Basic Features“对话框中，选中”Compression“复选框，然后单击”OK“。
4. 在Enable/Disable Feature(s)? 对话框中，单击”Yes“。

配置服务以压缩数据

除了在全局启用压缩之外，还必须在将提供要压缩的文件的每个服务上启用压缩。

使用命令行在服务上启用压缩

在命令提示符下，键入以下命令以启用服务上的压缩并验证配置：

• set service <name> –CMP YES
  
• show service <name>
  

  举例
  

   

  > show service SVC_HTTP1
  

  SVC_HTTP1 (10.102.29.18:80) – HTTP
  

  State: UP
  

  Last state change was at Tue Jun 16 06:19:14 2009 (+737 ms)
  

  Time since last state change: 0 days, 03:03:37.200
  

  Server Name: 10.102.29.18
  

  Server ID : 0 Monitor Threshold : 0
  

  Max Conn: 0 Max Req: 0 Max Bandwidth: 0 kbits
  

  Use Source IP: NO
  

  Client Keepalive(CKA): NO
  

  Access Down Service: NO
  

  TCP Buffering(TCPB): NO
  

  HTTP Compression(CMP): YES
  

  Idle timeout: Client: 180 sec Server: 360 sec
  

  Client IP: DISABLED
  

  Cacheable: NO
  

  SC: OFF
  

  SP: OFF
  

  Down state flush: ENABLED
  

   

  1) Monitor Name: tcp-default
  

  State: DOWN Weight: 1
  

  Probes: 1095 Failed [Total: 1095 Current: 1095]
  

  Last response: Failure – TCP syn sent, reset received.
  

  Response Time: N/A
  

  Done
  

使用配置实用程序在服务上启用压缩

1. 导航到Traffic Management > Load Balancing > Services。
2. 在详细信息窗格中，选择要配置压缩的服务（例如，service-HTTP-1），然后单击Open。
3. 在Advanced选项卡上的Settings下，选择Compression复选框，然后单击OK。
4. 验证在选择服务时，窗格底部的”Details“部分中显示”HTTP压缩（CMP）：ON”。

将压缩策略绑定到虚拟服务器

如果将策略绑定到虚拟服务器，则该策略仅由与该虚拟服务器关联的服务评估。您可以从Configure Virtual Server (Load Balancing) 对话框或从 Compression Policy Manager对话框将压缩策略绑定到虚拟服务器。本主题包括通过使用Configure Virtual Server (Load Balancing) 对话框将压缩策略绑定到负载平衡虚拟服务器的说明。有关如何使用”Compression Policy Manager”对话框将压缩策略绑定到负载平衡虚拟服务器的信息，请参阅”使用策略管理器配置和绑定策略”。

使用命令行将压缩策略绑定或解除绑定到虚拟服务器

在命令提示符下，键入以下命令以将压缩策略绑定或解除绑定到负载平衡虚拟服务器，并验证配置：

• (bind|unbind) lb vserver <name> -policyName <string> 
  
• show lb vserver <name> 
  举例
  

   

  > bind lb vserver lbvip -policyName ns_cmp_msapp
  

  Done
  

  > show lb vserver lbvip
  

  lbvip (8.7.6.6:80) – HTTP Type: ADDRESS
  

  State: UP
  

  Last state change was at Thu May 28 05:37:21 2009 (+685 ms)
  

  Time since last state change: 19 days, 04:26:50.470
  

  Effective State: UP
  

  Client Idle Timeout: 180 sec
  

  Down state flush: ENABLED
  

  Disable Primary Vserver On Down : DISABLED
  

  Port Rewrite : DISABLED
  

  No. of Bound Services : 1 (Total) 1 (Active)
  

  Configured Method: LEASTCONNECTION
  

  Current Method: Round Robin, Reason: Bound service’s state changed to UP
  

  Mode: IP
  

  Persistence: NONE
  

  Vserver IP and Port insertion: OFF
  

  Push: DISABLED Push VServer:
  

  Push Multi Clients: NO
  

  Push Label Rule:
  

   

  Bound Service Groups:
  

  1) Group Name: Service-Group-1
  

   

  1) Service-Group-1 (10.102.29.252: 80) – HTTP State: UP Weight: 1
  

   

  1) Policy : ns_cmp_msapp Priority:0
  

  Done
  

使用配置实用程序将压缩策略绑定到负载平衡虚拟服务器或解除绑定

• 导航到Traffic Management > Load Balancing > Virtual Servers。
• 在详细信息窗格中，选择要绑定或解除绑定压缩策略（例如，Vserver-LB-1）的虚拟服务器，然后单击Open。
• 在”Configure Virtual Server (Load Balancing) “对话框中的”Policies“选项卡上，单击”Compression“。
• 执行以下操作之一：
  • 要绑定压缩策略，请单击” Insert Policy“，然后选择要绑定到虚拟服务器的策略。
  • 要解除绑定压缩策略，请单击要从虚拟服务器解除绑定的策略的名称，然后单击解除绑定策略。
• 单击” OK“。

   

使用SSL保护负载平衡流量

Citrix NetScaler SSL分流功能可透明地提高执行SSL事务的网站的性能。通过将CPU密集型SSL加密和解密任务从本地Web服务器分流到设备，SSL分流可确保Web应用程序的安全传送，而不会在服务器处理SSL数据时产生性能损失。一旦SSL流量被解密，它可以由所有标准服务处理。 SSL协议与各种类型的HTTP和TCP数据无缝地工作，并为使用这种数据的事务提供安全通道。

要配置SSL，您必须首先启用它。然后，在设备上配置HTTP或TCP服务和SSL虚拟服务器，并将服务绑定到虚拟服务器。您还必须添加证书/密钥对并将其绑定到SSL虚拟服务器。如果使用Outlook Web Access服务器，则必须创建操作以启用SSL支持和策略应用该操作。 SSL虚拟服务器拦截传入的加密流量，并使用协商的算法对其进行解密。然后，SSL虚拟服务器将解密的数据转发到设备上的其他实体以进行适当处理。

本文档包括以下内容：

• SSL配置任务序列
• 启用SSL分流
• 创建HTTP服务
• 添加基于SSL的虚拟服务器
• 将服务绑定到SSL虚拟服务器
• 添加证书密钥对
• 将SSL证书密钥对绑定到虚拟服务器
• 配置对Outlook Web Access的支持

   

SSL配置任务序列

要配置SSL，您必须首先启用它。 然后，您必须在NetScaler上创建SSL虚拟服务器和HTTP或TCP服务。 最后，您必须将有效的SSL证书和配置的服务绑定到SSL虚拟服务器。

SSL虚拟服务器拦截传入的加密流量，并使用协商的算法对其进行解密。 然后，SSL虚拟服务器将解密的数据转发到NetScaler上的其他实体以进行适当处理。

以下流程图显示了配置基本SSL分流设置的任务顺序。

图1.配置SSL卸载的任务序列

启用SSL分流

您应在配置SSL分流之前启用SSL功能。 您可以在设备上配置基于SSL的实体，但不启用SSL功能，但它们不会工作，直到您启用SSL。

使用命令行界面启用SSL

在命令提示符下，键入以下命令以启用SSL分流并验证配置：

• enable ns feature SSL 
  
• show ns feature 
  举例
  

   

  > enable ns feature ssl
  

  Done
  

  > show ns feature
  

  Feature Acronym Status
  

  ——- ——- ——
  

  1) Web Logging WL ON
  

  2) SurgeProtection SP OFF
  

  3) Load Balancing LB ON . . .
  

  9) SSL Offloading SSL ON
  

  10) Global Server Load Balancing GSLB ON . .
  

  Done >
  

使用配置实用程序启用SSL

• 在导航窗格中，展开System，然后单击Settings。
• 在详细信息窗格中的Modes and Features下，单击Change basic features。
• 选中SSL Offloading复选框，然后单击OK。
• 在Enable/Disable Feature(s)? 消息框中，单击”Yes“。

创建HTTP服务

设备上的服务表示服务器上的应用程序。 配置后，服务处于禁用状态，直到设备可以到达网络上的服务器并监视其状态。 本主题介绍了创建HTTP服务的步骤。

注意：对于TCP流量，请执行此主题和以下主题中的过程，但创建的是TCP服务而不是HTTP服务。

使用命令行界面添加HTTP服务

在命令提示符下，键入以下命令以添加HTTP服务并验证配置：

• add service <name> (<IP> | <serverName>) <serviceType> <port> 
  
• show service <name> 
  

> add service SVC_HTTP1 10.102.29.18 HTTP 80 

 Done 

> show service SVC_HTTP1 

        SVC_HTTP1 (10.102.29.18:80) - HTTP 

        State: UP 

        Last state change was at Wed Jul 15 06:13:05 2009 

        Time since last state change: 0 days, 00:00:15.350 

        Server Name: 10.102.29.18 

        Server ID : 0   Monitor Threshold : 0 

        Max Conn: 0     Max Req: 0      Max Bandwidth: 0 kbits 

        Use Source IP: NO 

        Client Keepalive(CKA): NO 

        Access Down Service: NO 

        TCP Buffering(TCPB): NO 

        HTTP Compression(CMP): YES 

        Idle timeout: Client: 180 sec   Server: 360 sec 

        Client IP: DISABLED 

        Cacheable: NO 

        SC: OFF 

        SP: OFF 

        Down state flush: ENABLED 

1)      Monitor Name: tcp-default 

                State: UP       Weight: 1 

                Probes: 4       Failed [Total: 0 Current: 0] 

                Last response: Success - TCP syn+ack received. 

                Response Time: N/A 

 Done 

使用配置实用程序添加HTTP服务

1. 导航到Traffic Management > SSL Offload > Services。
2. 在详细信息窗格中，单击Add。
3. 在”Create Service“对话框的”Service Name“，” Server“和” Port“文本框中，键入服务名称，IP地址和端口（例如 SVC_HTTP1, 10.102.29.18和80）。
   
4. 在Protocol列表中，选择服务的类型（例如，HTTP）。
5. 单击Create，然后单击Close。您配置的HTTP服务将显示在”服务”页面中。
6. 通过选择服务并查看窗格底部的”Details“部分，验证配置的参数是否已正确配置。

    

添加基于SSL的虚拟服务器

在基本的SSL分流设置中，SSL虚拟服务器拦截加密的流量，对其进行解密，并将明文消息发送到绑定到虚拟服务器的服务。将CPU密集型SSL处理分流到设备允许后端服务器处理更多数量的请求。

使用命令行界面添加基于SSL的虚拟服务器

在命令提示符下，键入以下命令以创建基于SSL的虚拟服务器并验证配置：

• add lb vserver <name> <serviceType> [<IPAddress> <port>] 
  
• show lb vserver <name> 
  举例
  

   

  
  > add lb vserver vserver-SSL-1 SSL 10.102.29.50 443
  

  Done
  

  > show lb vserver vserver-SSL-1
  

  vserver-SSL-1 (10.102.29.50:443) – SSL Type: ADDRESS
  

  State: DOWN[Certkey not bound] Last state change was at Tue Jun 16 06:33:08 2009 (+176 ms)
  

  Time since last state change: 0 days, 00:03:44.120
  

  Effective State: DOWN Client Idle Timeout: 180 sec
  

  Down state flush: ENABLED
  

  Disable Primary Vserver On Down : DISABLED
  

  No. of Bound Services : 0 (Total) 0 (Active)
  

  Configured Method: LEASTCONNECTION Mode: IP
  

  Persistence: NONE
  

  Vserver IP and Port insertion: OFF
  

  Push: DISABLED Push VServer: Push Multi Clients: NO Push Label Rule: Done
  

警告：要确保安全连接，必须先将有效的SSL证书绑定到基于SSL的虚拟服务器，然后再启用它。

使用配置实用程序添加基于SSL的虚拟服务器

1. 导航到Traffic Management > SSL Offload > Virtual Servers。
2. 在详细信息窗格中，单击Add。
3. 在”Create Virtual Server (SSL Offload)“对话框的”Name, IP Address,和Port“文本框中，键入虚拟服务器的名称，IP地址和端口（例如， Vserver-SSL-1, 10.102.29.50，和443）。
   
4. 在 Protocol 列表中，选择虚拟服务器的类型，例如SSL。
5. 单击Create，然后单击Close。
6. 通过选择虚拟服务器并查看窗格底部的”Details“部分，验证您配置的参数是否已正确配置。 虚拟服务器被标记为DOWN，因为证书 – 密钥对和服务尚未绑定到它。

警告：要确保安全连接，必须先将有效的SSL证书绑定到基于SSL的虚拟服务器，然后再启用它。

将服务绑定到SSL虚拟服务器

在解密传入数据后，SSL虚拟服务器将数据转发到您绑定到虚拟服务器的服务。

设备和服务器之间的数据传输可以加密或以明文形式进行。 如果设备和服务器之间的数据传输被加密，则整个事务从头到尾是安全的。 有关为端到端安全性配置系统的详细信息，请参阅”SSL分流和加速”。

使用命令行界面将服务绑定到虚拟服务器

在命令提示符下，键入以下命令将服务绑定到SSL虚拟服务器并验证配置：

• bind lb vserver <name> <serviceName> 
  
• show lb vserver <name> 
  举例e
  

   

  > bind lb vserver vserver-SSL-1 SVC_HTTP1
  

  Done
  

  > show lb vserver vserver-SSL-1 vserver-SSL-1 (10.102.29.50:443) – SSL Type:
  

  ADDRESS State: DOWN[Certkey not bound]
  

  Last state change was at Tue Jun 16 06:33:08 2009 (+174 ms)
  

  Time since last state change: 0 days, 00:31:53.70
  

  Effective State: DOWN Client Idle
  

  Timeout: 180 sec
  

  Down state flush: ENABLED Disable Primary Vserver On Down :
  

  DISABLED No. of Bound Services : 1 (Total) 0 (Active)
  

  Configured Method: LEASTCONNECTION Mode: IP Persistence: NONE Vserver IP and
  

  Port insertion: OFF Push: DISABLED Push VServer: Push Multi Clients: NO Push Label Rule:
  

   

  1) SVC_HTTP1 (10.102.29.18: 80) – HTTP
  

  State: DOWN Weight: 1
  

  Done
  

使用配置实用程序将服务绑定到虚拟服务器

1. 导航到Traffic Management > SSL Offload > Virtual Servers。
2. 在详细信息窗格中，选择一个虚拟服务器，然后单击Open。
3. 在”Services“选项卡上的”Active “列中，选中要绑定到所选虚拟服务器的服务旁边的复选框。
4. 单击”OK“。
5. 验证在窗格底部的”详Details“部分中的”Number of Bound Services“计数器增加了绑定到虚拟服务器的服务数。

添加证书密钥对

SSL证书是SSL密钥交换和加密/解密过程的一个组成部分。在SSL握手期间使用证书来建立SSL服务器的身份。您可以使用NetScaler设备上有效的现有SSL证书，也可以创建自己的SSL证书。设备支持高达4096位的RSA / DSA证书。

注意：Citrix建议您使用由受信任的证书颁发机构颁发的有效SSL证书。无效的证书和自创建的证书与所有SSL客户端不兼容。

在证书可用于SSL处理之前，必须将其与其相应的密钥配对。然后，证书密钥对将绑定到虚拟服务器，并用于SSL处理。

使用命令行界面添加证书密钥对

在命令提示符下，键入以下命令以创建证书密钥对并验证配置：

• add ssl certKey <certkeyName> –cert <string> [-key <string>] 
  
• show sslcertkey <name> 
  

  举例
  

   

  > add ssl certKey CertKey-SSL-1 -cert ns-root.cert -key ns-root.key
  

  Done
  

  > show sslcertkey CertKey-SSL-1
  

  Name: CertKey-SSL-1 Status: Valid,
  

  Days to expiration:4811 Version: 3
  

  Serial Number: 00 Signature Algorithm: md5WithRSAEncryption Issuer: C=US,ST=California,L=San
  

  Jose,O=Citrix ANG,OU=NS Internal,CN=de fault
  

  Validity Not Before: Oct 6 06:52:07 2006 GMT Not After : Aug 17 21:26:47 2022 GMT
  

  Subject: C=US,ST=California,L=San Jose,O=Citrix ANG,OU=NS Internal,CN=d efault Public Key
  

  Algorithm: rsaEncryption Public Key
  

  size: 1024
  

  Done
  

使用配置实用程序添加证书密钥对

1. 导航到流 Traffic Management > SSL > Certificates。
2. 在详细信息窗格中，单击Add。
3. 在”Install Certificate “对话框的”Certificate-Key Pair Name“文本框中，键入要添加的证书密钥对的名称，例如Certkey-SSL-1。
4. 在Details下，在Certificate File Name中，单击Browse (Appliance) 以找到证书。证书和密钥都存储在设备上的/ nsconfig / ssl /文件夹中。要使用本地系统上存在的证书，请选择 Local。
5. 选择要使用的证书，然后单击” Select“。
6. 在Private Key File Name中，单击Browse (Appliance)以查找私钥文件。要使用本地系统上存在的私钥，请选择Local。
7. 选择要使用的键，然后单击Select。要加密证书密钥对中使用的密钥，请在密码文本框中键入要用于加密的 Password。
8. 单击Install。
9. 双击证书密钥对，然后在”Certificate Details  “窗口中，验证参数是否已正确配置并保存。

将SSL证书密钥对绑定到虚拟服务器

在将SSL证书与其对应的密钥配对之后，必须将证书密钥对绑定到SSL虚拟服务器，以便它可以用于SSL处理。 安全会话需要在客户端计算机和设备上基于SSL的虚拟服务器之间建立连接。 然后对虚拟服务器上的传入流量执行SSL处理。 因此，在设备上启用SSL虚拟服务器之前，需要将有效的SSL证书绑定到SSL虚拟服务器。

使用命令行界面将SSL证书密钥对绑定到虚拟服务器

在命令提示符下，键入以下命令将SSL证书密钥对绑定到虚拟服务器并验证配置：

• bind ssl vserver <vServerName> –certkeyName <string> 
  
• show ssl vserver <name> 
  

  举例
  

  > bind ssl vserver Vserver-SSL-1 -certkeyName CertKey-SSL-1
  

  Done
  

  > show ssl vserver Vserver-SSL-1
  

   

  Advanced SSL configuration for VServer Vserver-SSL-1:
  

  DH: DISABLED
  

  Ephemeral RSA: ENABLED Refresh Count: 0
  

  Session Reuse: ENABLED Timeout: 120 seconds
  

  Cipher Redirect: ENABLED
  

  SSLv2 Redirect: ENABLED
  

  ClearText Port: 0
  

  Client Auth: DISABLED
  

  SSL Redirect: DISABLED
  

  Non FIPS Ciphers: DISABLED
  

  SSLv2: DISABLED SSLv3: ENABLED TLSv1: ENABLED
  

   

  1) CertKey Name: CertKey-SSL-1 Server Certificate
  

  1) Cipher Name: DEFAULT
  

  Description: Predefined Cipher Alias
  

  Done
  

使用配置实用程序将SSL证书密钥对绑定到虚拟服务器

1. 导航到Traffic Management > SSL Offload > Virtual Servers。
2. 选择要绑定证书密钥对的虚拟服务器，例如Vserver-SSL-1，然后单击”Open“。
3. 在”Configure Virtual Server (SSL Offload)“对话框中的”SSL Settings“选项卡上的”Available“下，选择要绑定到虚拟服务器的证书密钥对（例如，Certkey-SSL-1），然后单击”Add。
4. 单击”OK“。
5. 验证您选择的证书密钥对出现在”Configured“区域中。

配置对Outlook Web Access的支持

如果在NetScaler设备上使用Outlook Web Access（OWA）服务器，则必须将设备配置为在定向到OWA服务器的HTTP请求中插入特殊的头字段FRONT-END-HTTPS：ON，以便服务器生成URL链接为https：//，而不是http：//。

注意：您可以仅对基于HTTP的SSL虚拟服务器和服务启用OWA支持。您不能将其应用于基于TCP的SSL虚拟服务器和服务。

要配置OWA支持，请执行以下操作：

• Create an SSL action to enable OWA support.
  
• Create an SSL policy.
  
• Bind the policy to the SSL virtual server.
  

创建SSL操作以启用OWA支持

在启用Outlook Web Access（OWA）支持之前，必须创建SSL操作。 SSL操作绑定到SSL策略，并在传入数据与策略指定的规则匹配时触发。

通过使用命令行界面创建SSL操作以启用OWA支持

在命令提示符下，键入以下命令以创建SSL操作以启用OWA支持并验证配置：

• add ssl action <name> –OWASupport ENABLED 
  
• show SSL action <name> 
  

> add ssl action Action-SSL-OWA -OWASupport enabled  

Done  

> show SSL action Action-SSL-OWA  

   Name: Action-SSL-OWA  

   Data Insertion Action: OWA  

   Support: ENABLED  

Done 

使用配置实用程序创建SSL操作以启用OWA支持

1. 导航到Traffic Management > SSL > Policies。
2. 在详细信息窗格中的”Actions“选项卡上，单击”Add“。
3. 在”Create SSL Action“对话框中，在”Name“文本框中，键入Action-SSL-OWA。
4. 在Outlook Web Access下，选择 Enabled。
5. 单击Create，然后单击Close。
6. 验证Action-SSL-OWA是否显示在”SSSL Actions“页面中。

创建SSL策略

通过使用策略基础结构创建SSL策略。 每个SSL策略都有一个绑定到它的SSL操作，并且当传入流量匹配策略中配置的规则时执行操作。

使用命令行界面创建SSL策略

在命令提示符下，键入以下命令以配置SSL策略并验证配置：

• add ssl policy <name> -rule <expression> -reqAction <string>
  
• show ssl policy <name> 
  举例
  

   

  > add ssl policy Policy-SSL-1 -rule ns_true -reqaction Action-SSL-OWA
  

  Done
  

  > show ssl policy Policy-SSL-1
  

  Name: Policy-SSL-1 Rule: ns_true
  

  Action: Action-SSL-OWA Hits: 0
  

  Policy is bound to following entities
  

  1) PRIORITY : 0
  

  Done
  

使用配置实用程序创建SSL策略

1. 导航到Traffic Management > SSL > Policies。
2. 在详细信息窗格中，单击Add。
3. 在”Create SSL Policy“对话框的”名称”文本框中，键入SSL策略的名称（例如，Policy-SSL-1）。
4. 在”Request Action“中，选择要与此策略关联的已配置SSL操作（例如，Action-SSL-OWA）。 ns_true通用表达式将策略应用于所有成功的SSL握手流量。但是，如果需要过滤特定响应，则可以创建具有更高级别详细信息的策略。有关配置粒度策略表达式的详细信息，请参见”了解策略和表达式”。
5. 在Named Expressions中，选择内置的一般表达式ns_true，然后单击Add Expression。现在，表达式文本框中将显示表达式ns_true。
6. 单击Create，然后单击 Close。
7. 通过选择策略并查看窗格底部的”Details“部分来验证策略是否已正确配置。

将SSL策略绑定到SSL虚拟服务器

为Outlook Web Access配置SSL策略后，将该策略绑定到将拦截传入Outlook流量的虚拟服务器。如果传入数据与SSL策略中配置的任何规则匹配，则触发策略并执行与其关联的操作。

使用命令行界面将SSL策略绑定到SSL虚拟服务器

在命令提示符下，键入以下命令将SSL策略绑定到SSL虚拟服务器并验证配置：

• bind ssl vserver <vServerName> –policyName <string> 
  
• show ssl vserver <name> 
  举例
  

  > bind ssl vserver Vserver-SSL-1 -policyName Policy-SSL-1
  

  Done
  

  > show ssl vserver Vserver-SSL-1
  

  Advanced SSL configuration for VServer Vserver-SSL-1:
  

  DH: DISABLED
  

  Ephemeral RSA: ENABLED Refresh Count: 0
  

  Session Reuse: ENABLED Timeout: 120 seconds
  

  Cipher Redirect: ENABLED
  

  SSLv2 Redirect: ENABLED
  

  ClearText Port: 0
  

  Client Auth: DISABLED
  

  SSL Redirect: DISABLED
  

  Non FIPS Ciphers: DISABLED
  

  SSLv2: DISABLED SSLv3: ENABLED TLSv1: ENABLED
  

   

  1) CertKey Name: CertKey-SSL-1 Server Certificate
  

   

  1) Policy Name: Policy-SSL-1
  

  Priority: 0
  

  1) Cipher Name: DEFAULT
  

  Description: Predefined Cipher Alias
  

  Done
  

  >
  

使用配置实用程序将SSL策略绑定到SSL虚拟服务器

1. 导航到Traffic Management > SSL Offload > Virtual Servers。
2. 在详细信息窗格中，选择虚拟服务器（例如，Vserver-SSL-1），然后单击Open。
3. 在” Configure Virtual Server (SSL Offload) “对话框中，单击”Insert Policy“，然后选择要绑定到SSL虚拟服务器的策略。 或者，您可以双击Priority字段并键入新的优先级。
4. 单击”OK“。

功能一览

Citrix NetScaler功能可以单独配置或组合配置以满足特定需求。 虽然一些功能适合多个类别，但是大量的NetScaler功能通常可以分为应用程序切换和流量管理功能，应用程序加速功能，应用程序安全和防火墙功能以及应用程序可见性功能。

要了解要素执行处理的顺序，请参阅”处理要素的顺序”。

本文档包括以下内容：

• 应用交换和流量管理特性
• 应用程序加速功能
• 应用程序安全和防火墙功能
• 应用程序可见性功能
• 云集成功能

应用交换和流量管理特性

SSL分流

透明地从Web服务器分流SSL加密和解密，将服务器资源释放到服务内容请求。 SSL对应用程序的性能造成沉重的负担，并且可能导致许多优化措施无效。 SSL分流和加速功能可将Citrix请求交换技术的所有优势应用于SSL流量，确保Web应用程序的安全传送，而不会降低最终用户的性能。

有关详细信息，请参阅”SSL分流和加速”。

访问控制列表

将传入数据包与访问控制列表（ACL）进行比较。如果报文与ACL规则匹配，则该规则中指定的动作将应用于该报文。否则，将应用默认操作（ALLOW），并正常处理数据包。要使设备将传入数据包与ACL进行比较，必须应用ACL。默认情况下启用所有ACL，但是必须应用它们才能使NetScaler对比输入数据包。如果不需要ACL查找一部分的数据表，但仍需要保留在配置中，则应在应用ACL之前禁用ACL。 NetScaler不会将传入数据包与禁用的ACL进行比较。

有关详细信息，请参阅”访问控制列表”。

负载均衡

负载平衡策略基于各种算法，包括循环，最小连接，加权最小带宽，加权最小分组，最小响应时间，以及基于URL，域源IP或目标IP的散列。支持TCP和UDP协议，因此NetScaler可以负载平衡使用这些协议作为底层运营商的所有流量（例如，HTTP，HTTPS，UDP，DNS，NNTP和一般防火墙流量）。此外，NetScaler可以基于源IP，cookie，服务器，组或SSL会话维持会话持久性。它允许用户将自定义扩展内容验证（ECV）应用于服务器，缓存，防火墙和其他基础设施设备，以确保这些系统正常运行，并为用户提供正确的内容。它还可以使用ping，TCP或HTTP URL执行运行状况检查，用户可以基于Perl脚本创建监视器。为了提供大规模WAN优化，部署在数据中心的CloudBridge设备可以通过NetScaler设备进行负载平衡。可以显着提高并发会话的带宽和数量。

有关详细信息，请参阅”负载平衡”。

流量域

流量域提供了在单个NetScaler设备中创建逻辑ADC分区的方法。它们使您能够为不同的应用程序分段网络流量。您可以使用流量域创建多个隔离环境，其资源不会相互交互。属于特定业务域的应用程序仅与实体通信，并处理该域内的流量。属于一个流量域的流量不能跨越另一个流量域的边界。因此，只要地址在同一域中不重复，您就可以在设备上使用重复的IP地址。

有关详细信息，请参阅”流量域”。

网络地址转换

网络地址转换（NAT）涉及修改通过NetScaler设备的IP分组的源和/或目的地IP地址和/或TCP / UDP端口号。在设备上启用NAT可增强专用网络的安全性，并在数据通过NetScaler时通过修改网络的源IP地址来保护其免受公共网络（如Internet）的影响。

NetScaler设备支持以下类型的网络地址转换：

INAT-In入站NAT（INAT）中，NetScaler设备上配置的IP地址（通常为公用）代表服务器侦听连接请求。对于设备在公共IP地址上接收的请求数据包，NetScaler将目标IP地址替换为服务器的专用IP地址。换句话说，设备充当客户端和服务器之间的代理。 INAT配置包括INAT规则，它们定义NetScaler设备上的IP地址与服务器的IP地址之间的1：1关系。

RNAT-在反向网络地址转换（RNAT）中，对于由服务器启动的会话，NetScaler设备将服务器生成的数据包中的源IP地址替换为设备上配置的IP地址（类型SNIP）。设备从而防止服务器的IP地址暴露在由服务器生成的任何分组中。 RNAT配置涉及指定条件的RNAT规则。设备对符合条件的那些数据包执行RNAT处理。

无状态NAT46翻译（Stateless NAT46 Translation）-无状态NAT46通过IPv4到IPv6数据包转换（反之亦然）实现IPv4和IPv6网络之间的通信，而无需在NetScaler设备上维护任何会话信息。无状态NAT46配置涉及IPv4-IPv6 INAT规则和NAT46 IPv6前缀。

状态NAT64转换（Stateful NAT64 Translation）– 有状态NAT64功能通过IPv6到IPv4数据包转换（反之亦然），实现IPv4客户端和IPv6服务器之间的通信，同时保持NetScaler设备上的会话信息。有状态NAT64配置涉及NAT64规则和NAT64 IPv6前缀。

有关详细信息，请参阅”配置网络地址转换”。

多路径TCP支持

NetScaler设备支持多路径TCP（MPTCP）。 MPTCP是一种TCP / IP协议扩展，它标识并使用主机之间可用的多个路径来维护TCP会话。您必须在TCP配置文件上启用MPTCP并将其绑定到虚拟服务器。启用MPTCP时，虚拟服务器用作MPTCP网关，并将与客户端的MPTCP连接转换为与服务器维护的TCP连接。

有关详细信息，请参见”MPTCP（多路径TCP）”。

内容切换

根据配置的内容切换策略确定要向其发送请求的服务器。策略规则可以基于IP地址，URL和HTTP头。这允许基于用户和设备特性（例如，用户是谁，使用什么类型的代理以及用户请求什么内容）来进行切换决定。

有关详细信息，请参阅”内容切换”。

全局服务器负载平衡（GSLB）

扩展NetScaler的流量管理功能，以包括分布式互联网站点和全球企业。无论安装是跨多个网络位置还是分布在单个位置的多个集群，NetScaler都会保持可用性并在其间分配流量。它做出智能DNS决策，以防止用户被发送到已关闭或过载的站点。当启用基于邻近的GSLB方法时，NetScaler可以根据客户端的本地DNS服务器（LDNS）与不同站点的邻近程度来做出负载平衡决策。基于邻近度的GSLB方法的主要益处是由于选择最接近的可用位点而产生的更快的响应时间。

有关详细信息，请参阅”全局服务器负载平衡”。

动态路由

使路由器能够自动从邻居路由器获取拓扑信息，路由和IP地址。当启用动态路由时，相应的路由进程侦听路由更新并发布路由。路由过程也可以置于被动模式。路由协议使上游路由器能够使用等成本多路径技术将流量负载平衡到位于两个独立NetScaler单元上的相同虚拟服务器。

有关详细信息，请参阅”配置动态路由”。

链路负载平衡

负载平衡多个WAN链路并提供链路故障转移，进一步优化网络性能并确保业务连续性。通过应用智能流量控制和运行状况检查，在上游路由器上高效地分配流量，确保网络连接保持高度可用。根据策略和网络条件识别用于路由入站和出站流量的最佳WAN链路，并通过提供快速故障检测和故障转移来保护应用程序免受WAN或Internet链路故障的影响。

有关详细信息，请参阅”链路负载平衡”。

TCP优化

您可以使用TCP配置文件优化TCP流量。 TCP配置文件定义NetScaler虚拟服务器处理TCP流量的方式。管理员可以使用内置的TCP配置文件或配置自定义配置文件。定义TCP配置文件后，可以将其绑定到单个虚拟服务器或多个虚拟服务器。

TCP配置文件可以启用的一些关键优化功能包括：

• TCP keep-alive – 以指定的时间间隔检查对等体的操作状态，以防止链路断开。
• 选择性确认（SACK） – 提高数据传输的性能，特别是在长链网络（LFN）中。
• TCP窗口缩放 – 允许通过长链网络（LFN）高效传输数据。

有关TCP配置文件的详细信息，请参阅”配置TCP配置文件”。

NetScaler上的Web界面

提供对XenApp和XenDesktop资源（包括应用程序，内容和桌面）的访问。用户通过标准Web浏览器或使用Citrix XenApp插件访问资源。 Web Interface作为NetScaler设备上端口8080上的服务运行。要创建Web Interface站点，在NetScaler设备上的Apache Tomcat Web服务器版本6.0.26上执行Java。

注意：Web Interface仅在NetScaler nCore版本上受支持。

有关详细信息，请参阅”Web Interface”。

CloudBridge连接器

Citrix NetScaler CloudBridge连接器功能是Citrix OpenCloud框架的基本组成部分，是用于构建云扩展数据中心的工具。通过OpenCloud Bridge，您可以将云上的一个或多个NetScaler设备或NetScaler虚拟设备连接到网络，而无需重新配置网络。云托管应用程序显示为在一个连续的企业网络上运行。 OpenCloud Bridge的主要目的是使公司能够将其应用程序移动到云，同时降低成本和应用程序故障的风险。此外，OpenCloud Bridge增加了云环境中的网络安全性。 OpenCloud Bridge是将云实例上的NetScaler设备或NetScaler虚拟设备连接到LAN上的NetScaler设备或NetScaler虚拟设备的第2层网络桥接器。通过使用通用路由封装（GRE）协议的隧道进行连接。 GRE协议提供了用于封装来自各种网络协议的分组以通过另一协议转发的机制。然后，Internet协议安全（IPsec）协议组用于保护OpenCloud Bridge中的对等体之间的通信。

有关详细信息，请参阅”CloudBridge”。

数据流

NetScaler DataStream功能通过基于正在发送的SQL查询分发请求，为数据库层的请求切换提供了一种智能机制。

当部署在数据库服务器前面时，NetScaler确保来自应用程序服务器和Web服务器的流量的最佳分配。管理员可以根据SQL查询中的信息并基于数据库名称，用户名，字符集和数据包大小来划分流量。

您可以配置负载均衡以根据负载均衡算法切换请求，也可以通过配置内容切换以根据SQL查询参数（例如用户名，数据库名称和命令参数）做出决策来制定切换条件。您可以进一步配置监视器以跟踪数据库服务器的状态。

NetScaler设备上的高级策略基础结构包括可用于评估和处理请求的表达式。高级表达式评估与MySQL数据库服务器相关联的流量。您可以在高级策略中使用基于请求的表达式（以MYSQL.CLIENT和MYSQL.REQ开头的表达式），以在内容切换虚拟服务器绑定点和基于响应的表达式（以MYSQL.RES开头的表达式）上做出请求切换决策，以评估服务器对用户配置的运行状况监视器的响应。

注意：MySQL和MS SQL数据库支持DataStream。

有关详细信息，请参见”DataStream”。

应用程序加速功能

AppCompress

使用gzip压缩协议为HTML和文本文件提供透明压缩。典型的4：1压缩比可使数据中心的带宽需求减少50％。它还显著提高最终用户响应时间，因为它减少了必须递送到用户的浏览器的数据量。

有关详细信息，请参阅”压缩”。

高速缓存重定向

管理到逆向代理，透明代理或转发代理缓存场的流量流。检查所有请求，并标识不可缓存的请求，并通过持久连接将它们直接发送到源服务器。通过将不可缓存的请求智能地重定向回原始Web服务器，NetScaler设备释放缓存资源并增加缓存命中率，同时减少这些请求的总体带宽消耗和响应延迟。

有关详细信息，请参见”缓存重定向”。

AppCache

通过为静态和动态内容提供快速的内存中HTTP / 1.1和HTTP / 1.0兼容的Web缓存，帮助优化Web内容和应用程序数据传输。即使在传入请求被保护或数据被压缩时，这个板载缓存也存储传入应用请求的结果，然后重新使用该数据以满足对相同信息的后续请求。通过直接从板载缓存提供数据，设备可以减少页面重新生成时间，无需向服务器提供静态和动态内容请求。

有关详细信息，请参阅”集成缓存”。

TCP缓冲

缓冲服务器的响应，并以客户端的速度将其传递到客户端，从而更快地分流服务器，从而提高网站的性能。

有关详细信息，请参阅”TCP缓冲”。

应用程序安全和防火墙功能

拒绝服务攻击（DoS）防御

检测和阻止恶意分布式拒绝服务（DDoS）攻击和其他类型的恶意攻击，直到它们到达您的服务器，防止它们影响网络和应用程序性能。 NetScaler设备识别合法客户端并提高其优先级，使可疑客户端无法消耗不成比例的资源百分比，并使您的站点瘫痪。

该设备为以下类型的恶意攻击提供应用级保护：

• SYN洪水攻击
• 管道攻击
• 分散式阻断服务攻击
• Land attacks
• 碎片攻击
• 僵尸连接攻击

设备通过防止为这些连接分配服务器资源，积极防御这些类型的攻击。这使服务器与与这些事件相关联的大量数据包隔离。

该设备还通过使用ICMP速率限制和积极的ICMP数据包检查来保护网络资源免受基于ICMP的攻击。它执行强IP重组，丢弃各种可疑和畸形的数据包，并对站点流量应用访问控制列表（ACL）以进一步保护。

有关详细信息，请参阅”HTTP拒绝服务保护”。

内容过滤

提供针对网站在第7层级的恶意攻击的保护。设备根据基于HTTP头的用户配置规则检查每个传入请求，并执行用户配置的操作。操作可以包括重置连接，删除请求或向用户的浏览器发送错误消息。这允许设备筛选不需要的请求，并减少服务器的攻击。

此功能还可以分析HTTP GET和POST请求并过滤掉已知的坏签名，从而允许它防御您的服务器基于HTTP的攻击。

有关详细信息，请参阅”内容过滤”。

响应者

功能类似高级过滤器，可用于生成从设备到客户端的响应。此功能的一些常见用途是生成重定向响应，用户定义的响应和重置。

有关详细信息，请参阅”响应程序”。

改写

修改HTTP标头和正文文字。您可以使用重写功能将HTTP标头添加到HTTP请求或响应，修改单个HTTP标头或删除HTTP标头。它还允许您修改请求和响应中的HTTP主体。

当设备接收到请求或发送响应时，它会检查重写规则，如果存在适用的规则，它会将它们应用于请求或响应，然后再将其传递到Web服务器或客户端计算机。

有关详细信息，请参见”重写”。

优先级排队

优先化用户请求以确保在请求量浪涌期间首先服务最重要的流量。您可以根据请求网址，Cookie或其他各种因素确定优先级。设备根据其配置的优先级将请求放置在三层队列中，从而使关键业务事务即使在浪涌或站点攻击期间也能顺利流动。

有关详细信息，请参阅”优先级排队”。

浪涌保护

调整用户对服务器请求的流量，并控制可以同时访问服务器上资源的用户数，一旦您的服务器达到其容量，就排队任何其他请求。通过控制可以建立连接的速率，设备阻止请求的浪涌传递到您的服务器，从而防止站点超载。

有关详细信息，请参阅”浪涌保护”。

NetScaler网关

NetScaler Gateway是一种安全的应用程序访问解决方案，为管理员提供精细的应用程序级策略和操作控制，以安全地访问应用程序和数据，同时允许用户从任何地方工作。它为IT管理员提供单点控制和工具，以帮助确保遵守法规和企业内外的最高级别的信息安全。与此同时，它还为用户提供了一个针对角色，设备和网络的优化的单点访问权限，以及他们所需要的企业应用程序和数据。这种独特的功能组合有助于最大限度地提高当今移动办公人员的工作效率。

有关详细信息，请参阅”NetScaler Gateway”。

应用程序防火墙

通过过滤每个受保护的Web服务器和连接到该Web服务器上的任何网站的用户之间的流量，保护应用程序免受黑客和恶意软件的滥用，例如跨站点脚本攻击，缓冲区溢出攻击，SQL注入攻击和强制浏览。应用程序防火墙会检查所有流量，以获取对Web服务器安全性或Web服务器资源滥用的攻击的证据，并采取适当的措施防止这些攻击成功。

有关详细信息，请参阅”应用程序防火墙”。

应用程序可见性功能

NetScaler Insight Center

NetScaler Insight Center是一种高性能收集器，可提供跨Web和HDX（ICA）流量的端到端用户体验可视性。它收集NetScaler ADC设备生成的HTTP和ICA AppFlow记录，并填充涵盖第3层到第7层统计信息的分析报告。 NetScaler Insight Center提供对最近五分钟的实时数据以及对最后一小时，一天，一周和一个月收集的历史数据的深入分析。

HDX(ICA)分析仪表板,使您能够深入HDX用户，应用,桌面,甚至网关级信息。类似地，HTTP分析提供了Web应用程序，访问的URL，客户端IP地址和服务器IP地址以及其他仪表板的鸟瞰图。管理员可以根据用例向下深入并识别任何这些仪表板的痛点。

EdgeSight for NetScaler

支持基于最终用户体验的应用性能监控。此解决方案利用HTML注入功能获取各种时间值，由EdgeSight服务器用于分析和生成报告。 EdgeSight for NetScaler提供了一种监视NetScaler的性能优势并确定网络中潜在瓶颈的方法。

有关详细信息，请参见”EdgeSight Monitoring for NetScaler”。

使用AppFlow增强应用程序可见性

Citrix NetScaler设备是数据中心中所有应用程序流量的中心控制点。它收集对于应用程序性能监视，分析和商业智能应用程序有价值的流和用户会话级信息。 AppFlow通过使用互联网协议流信息eXport（IPFIX）格式传输此信息，IPFIX格式是RFC 5101中定义的开放因特网工程任务组（IETF）标准.IPFIX（思科的NetFlow的标准版本）被广泛用于监视网络流信息。 AppFlow定义了新的信息元素来表示应用程序级信息。

使用UDP作为传输协议，AppFlow将收集的数据（称为流记录）传输到一个或多个IPv4收集器。收集器聚合流记录并生成实时或历史报告。

AppFlow在事务级别为HTTP，SSL，TCP和SSL_TCP流提供可见性。您可以对要监视的流类型进行抽样和过滤。

要限制要监视的流的类型，通过抽样和过滤应用程序流量，您可以为虚拟服务器启用AppFlow。 AppFlow还可以为虚拟服务器提供统计信息。

您还可以为表示应用程序服务器的特定服务启用AppFlow，并监控到该应用程序服务器的流量。

有关详细信息，请参阅”AppFlow”。

流分析

您的网站或应用程序的性能取决于您如何优化最常请求的内容的交付。诸如缓存和压缩等技术有助于加速向客户端提供服务，但您需要能够识别最频繁请求的资源，然后缓存或压缩这些资源。您可以通过聚合关于网站或应用程序流量的实时统计信息来识别最常用的资源。统计信息（例如资源相对于其他资源的访问频率以及这些资源消耗的带宽）有助于您确定是否需要缓存或压缩这些资源以提高服务器性能和网络利用率。响应时间和与应用程序的并发连接数等统计信息可帮助您确定是否必须增强服务器端资源。

如果网站或应用程序不频繁更改，您可以使用收集统计数据的产品，然后手动分析统计信息并优化内容的交付。但是，如果您不想执行手动优化，或者您的网站或应用程序本质上是动态的，您需要的基础设施不仅可以收集统计数据，还可以根据统计信息自动优化资源的传送。在NetScaler设备上，此功能由Stream Analytics功能提供。此功能在单个NetScaler设备上运行，并根据您定义的条件收集运行时统计信息。与NetScaler策略配合使用时，此功能还为您提供自动实时流量优化所需的基础架构。

有关详情，请参阅”流媒体分析”。

云集成功能

自动缩放

所有应用程序都有包含波峰和波谷的特定使用模式。这些负载变化在本质上可以是动态的，并且难以预测，因为它们取决于几个因素,固有的实例。云用户必须不断监控其应用程序群上的负载，并确保这些变化对最终用户的影响最小。在峰值使用期间，当应用程序组过载并且最终用户体验到显着的延迟时，他们必须部署额外的应用程序实例。在低谷期间，扩大的实例得不到充分利用。因此，他们可能需要删除其他实例或承担不必要的成本开销。在大多数情况下，他们必须手动执行这些任务。

如果您的组织使用Citrix CloudPlatform部署和管理云环境，用户可以使用CloudPlatform中的AutoScale功能与Citrix NetScaler设备结合，根据需要自动扩展其应用程序。 AutoScale功能是CloudPlatform中弹性负载平衡功能的一部分。 CloudPlatform用户可以使用AutoScale功能来指定用于向上和向下自动缩放应用程序组的各种条件的阈值。 CloudPlatform反过来配置NetScaler设备（通过使用NetScaler NITRO API）对应用程序虚拟机（VM）进行负载平衡流量，监控应用程序阈值和性能，并触发向上扩展和向下扩展操作以添加或删除VM到或从应用程序组。

作为NetScaler管理员，您不必执行任何在NetScaler设备上配置AutoScale的任务。但是，您可能必须了解某些先决条件，如果AutoScale配置中出现问题，您可能必须对配置进行故障排除。要对配置进行故障排除，您必须了解CloudPlatform如何工作以及CloudPlatform将何种配置推送到NetScaler设备。您还需要有关如何解决NetScaler设备上的问题的工作知识。

有关AutoScale的详细信息，请参阅”AutoScale：Citrix CloudPlatform环境中的自动缩放”。