Informazioni di riferimento › Guida di riferimento al catalogo delle appliance › Catalogo di sistema › Gateway › Appliance gateway di output di subnet

Appliance gateway di output di subnet

Visualizza il video introduttivo

Visualizza il video sui componenti

Ultima versione: 4.1.2-1

Panoramica funzionale

NET è un gateway di output che consente l'accesso in uscita a una rete esterna all'applicazione. NET accetta il traffico dall'applicazione sul suo terminale e lo inoltra mediante l'interfaccia esterna alla rete esterna (ad esempio, Internet).

NET ha un firewall che autorizza soltanto il traffico in uscita (connessioni e datagrammi); fa cadere il traffico in entrata che non è per un connection già stabilito o si riferiva a una richiesta di datagramma. NET può essere configurato per restringere ulteriormente la serie di indirizzi IP che lo possono attraversare.

NET serve come gateway di rete predefinito e come server DNS per la(e) appliance connesse al suo terminale IN.

Importante: Soltanto i terminali di output del gateway dovrebbero essere connessi al terminale IN di NET.

NET permette di accedere ai servizi esterni a un'applicazione i cui nomi host sono determinati al runtime (ad esempio, gli indirizzi di server di posta elettronica ottenuti dai record di MX DNS o i bots dei motori di ricerca che devono attraversare il Web).

Risorse

Terminali

L'interfaccia esterna è abilitata. Serve per il traffico in uscita. Le sue impostazioni di rete sono configurate mediante le proprietà.

L'interfaccia predefinita è abilitata. Serve per la manutenzione (connessioni SSH in entrata).

Proprietà

Messaggi di errore

I seguenti messaggi possono apparire nei file di log e nel log di sistema del controller di griglia quando l'appliance non riesce ad avviarsi:

• impossibile avviare gli iptables
• impossibile avviare il servizio denominato
• Impossibile impostare le regole (codice di uscita <code>); usando il set di regole di backup
• Impossibile impostare un set di regole di backup (codice di uscita <code>)

Uso tipico

Il seguente diagramma mostra un uso tipico di NET di una semplice applicazione di server di posta elettronica che accede a Internet per l'inoltro della posta usando NET:

Riepilogo di parti

• in - appliance di gateway di input, classe IN
• postino - appliance di server SMTP, classe SMTP
• out - appliance di gateway di output, classe NET

IN trasmette le connessioni in entrata al server di postino. Il postino serve la richiesta di posta e invia la posta in uscita attraverso il gateway NET. Il messaggio è inviato in due fasi per ciascun messaggio: prima, viene inviata una richiesta DNS al server di posta di destinazione e dopo il messaggio è inviato a quel server. Il gateway NET inoltra la richiesta del DNS dal server postino al server DNS specificato ed esegue la connessione al server di posta di destinazione.

L'appliance di SMTP dell'esempio di sopra non è inclusa in CA AppLogic®.

Le sezioni di seguito descrivono la configurazione di NET in molti scenari di utilizzo tipici.

Accesso illimitato a domini standard

In questa modalità, NET è configurato in modo molto simile a un gateway di rete regolare (ad esempio, per la connessione a una LAN a Internet usando ISP).

Esempio:

Nota: molte aziende dispongono di domini interni che è possibile risolvere soltanto mediante i loro server DNS privati (ad esempio, .local o .localdomain). Per utilizzare tali domini, configurare le proprietà di dns1 e dns2 in modo che puntino ai server DNS privati. Consultare anche le possibili restrizioni di host di seguito.

Accesso illimitato a domini standard mediante server DNS principali

In questa modalità, NET non deve specificare i server DNS e usa un set di server principali Internet preconfigurati.

Esempio:

Importante: In questa modalità, NET deve accedere ai server DNS principali (altrimenti NET non risolverà alcuna query di DNS). È necessario specificare la proprietà di gateway.

Accesso limitato a domini privati

In questa modalità, NET può accedere soltanto alle reti specificate, permettendo e negando host e subnet specifiche.

Esempio:

Importante: In questa modalità, i server DNS devono rientrare nel set di host autorizzati.

Note generali

In generale, l'unico tipo di terminale di output che dovrebbe essere connesso a NET nel terminale IN è un output di gateway. Questi output differiscono da quelli regolari perché fungono da gateway predefiniti per le loro appliance, permettendo la connessione a host multipli (al contrario dell'accesso a host unico fornito dagli output regolari). Gli output di gateway sono mostrati visivamente da un quadrato blu a forma di terminale, mentre gli output regolari sono indicati da frecce rosse.

Note:

• Per ulteriori informazioni sui tipi di terminale di output, consultare la Guida di riferimento al linguaggio ADL.
• La connessione di un output regolare al gateway di NET fornisce soltanto le risoluzioni del DNS. Questo è un uso valido del gateway di NET (essenzialmente un servizio di risoluzione DNS).
• Se è presente un host, direttamente o come parte di un subnet, negli elenchi di allowed_hosts e negli elenchi di denied_hosts, NET negherà l'accesso a quell'host. NET respinge tutti gli host negati e quindi autorizza soltanto quelli negli host consentiti (pratica di protezione standard).
• Se l'applicazione in uso non richiede l'accesso a tutta la rete ma a un host specifico (ad es. ftp.CA.com), si consiglia di utilizzare l'appliance di gateway OUT.
• NET non è utilizzato per fornire le richieste in entrata a un'applicazione. È possibile gestire la richiesta in entrata usando l'appliance di gateway IN.

Questa appliance usa software Open Source e di terze parti

NET usa i seguenti pacchetti Open Source di terze parti oltre ai pacchetti Open Source di terze parti usati dalla loro classe di base LUX6.

Fornisce un tunnel VPN IPv6 sicuro per la replica MySQL

Il seguente diagramma illustra un esempio di come è possibile fornire dei tunnel IPv6 VPN sicuri per la replica di MySQL:

Qui sono usate le stesse due applicazioni dell'esempio precedente, ma sulla rete di IPv6.

vpn1 e vpn2 sono configurati con indirizzo IP instradabile sulle loro interfacce esterne. vpn1 è configurato per stabilire un tunnel a vpn2, e viceversa.

db1 da Griglia A invia traffico a vpn1 per la replica, dove è codificato ed è trasmesso a vpn2 che decifra il traffico e lo invia al terminale rin di db2 sulla Griglia B. Analogamente, la replica da db2 sulla Griglia B a db1 sulla Griglia A si comporta allo stesso modo.

vpn1:

vpn2: