网关身份验证的 nFactor

身份验证、授权和审计功能许可要求

用例

1. 动态用户名和密码选择。 传统上，客户端（包括浏览器和接收器）使用 Active Directory (AD) 密码作为第一个密码字段。第二个密码保留用于一次性密码 (OTP)。但是，为了保护 AD 服务器，需要首先验证 OTP。nFactor 无需客户端修改即可完成此操作。
2. 多租户身份验证端点。 一些组织对证书用户和非证书用户使用不同的 Gateway 服务器。随着用户使用自己的设备登录，用户在 NetScaler 设备上的访问级别会因所使用的设备而异。Gateway 可以满足不同的身份验证需求。
3. 基于组成员身份的身份验证。 一些组织从 AD 服务器获取用户属性以确定身份验证要求。身份验证要求可能因个人用户而异。
4. 身份验证协同因素。 有时，不同的身份验证策略对用于对不同的用户集进行身份验证。提供配对策略可提高有效身份验证。可以从一个流中创建依赖策略。通过这种方式，独立的策略集成为自己的流，从而提高效率并降低复杂性。

身份验证响应处理

客户端支持

• Citrix Workspace 应用程序支持以下列出的版本中受支持操作系统的 nFactor 身份验证。
  • Windows 4.12 版本
  • Linux 13.10 版本
  • Mac 1808
  • iOS 2007
  • 安卓 1808
  • HTML5: 通过 Store Web 支持
  • Chrome: 通过 Store Web 支持

WebView 凭据类型对身份验证机制的支持

1. Citrix Workspace 应用程序与 NetScaler Gateway 协商以支持 AUTHv3 协议。
2. NetScaler 做出积极响应并建议一个特定的起始 URL。
3. Citrix Workspace 应用程序然后连接到特定的端点 (URL)。
4. NetScaler Gateway 向客户端发送响应以启动 WebView。
5. Citrix Workspace 应用程序启动 WebView 并向 NetScaler 发送初始请求。
6. NetScaler 将 URI 重定向到浏览器登录端点。
7. 身份验证完成后，NetScaler 会向 WebView 发送完成响应。
8. WebView 现在退出，并将控制权交还给 Citrix Workspace 应用程序，以继续 AUTHv3 协议进行会话建立。

命令行配置

互操作性挑战

端点分析 (EPA)

错误配置注意事项

定义客户端

限制网关的 nFactor

1. authnProfile 未设置为 NetScaler Gateway。
2. 高级身份验证策略未绑定到身份验证虚拟服务器，并且在 authnProfile 中提到了相同的身份验证虚拟服务器。
3. HTTP 请求中的 User-Agent 字符串与 patset ns_vpn_client_useragents 中配置的 User-Agent 匹配。

LoginSchema

LoginSchema 和 nFactor 知识要求

不使用 LoginSchema 配置双因素身份验证

用户名和密码表达式

• 将用户名的用户输入从 username@citrix.com 更改为 username@xyz.com
  add authentication loginSchema user_schema -authenticationSchema LoginSchema/DualAuth.xml -userExpression "AAA.LOGIN.USERNAME.BEFORE_STR(\"@\").APPEND(\"@xyz.com\")"
• 考虑这样一种情况：用户在第一个因素中提供了密码和通行码，作为已配置登录架构的一部分。要使用用户在第一个因素中提供的 通行码 和在第二个因素中提供的 密码，您可以使用以下命令修改现有登录架构。
  add authentication loginSchema user_schema -authenticationSchema LoginSchema/DualAuth.xml -passwdExpression "AAA.LOGIN.PASSWORD2"add authentication loginSchema user_schema_second -authenticationSchema noschema  -passwdExpression "AAA.LOGIN.PASSWORD"

nFactor 配置中的高级步骤

GUI 配置

• 创建虚拟服务器
• 创建身份验证虚拟服务器
• 创建身份验证 CERT 配置文件
• 创建身份验证策略
• 添加 LDAP 身份验证服务器
• 添加 LDAP 身份验证策略
• 添加 RADIUS 身份验证服务器
• 添加 RADIUS 身份验证策略
• 创建身份验证登录架构
• 创建策略标签

创建虚拟服务器

1. 导航到 NetScaler Gateway > 虚拟服务器。
2. 单击 添加按钮以创建网关虚拟服务器。
3. 输入以下信息，然后单击 确定。

   参数名称	参数说明
   名称	NetScaler Gateway 虚拟服务器的名称。必须以 ASCII 字母或下划线 (_) 字符开头，并且只能包含 ASCII 字母数字、下划线、哈希 (#)、句点 (.)、空格、冒号 (:)、at (@)、等号 (=) 和连字符 (-) 字符。创建虚拟服务器后可以更改。以下要求仅适用于 NetScaler CLI：如果名称包含一个或多个空格，请将名称用双引号或单引号括起来（例如，“my server”或“my server”）。
   IP 地址类型	从下拉菜单中选择 IP 地址 或 不可寻址 选项。
   IP 地址	Internet 协议地址 (IP 地址) 是分配给参与计算机网络的每个设备的数字标签，该网络使用 Internet 协议进行通信。
   端口	输入虚拟服务器的端口号。
   RDP 服务器配置文件	与虚拟服务器关联的 RDP 服务器配置文件的名称。
   PCoIP 虚拟服务器配置文件	与虚拟服务器关联的 PCoIP 虚拟服务器配置文件的名称。
   最大用户数	此虚拟服务器上允许的最大并发用户会话数。允许登录此虚拟服务器的实际用户数取决于用户许可证总数。
   最大登录尝试次数	最大登录尝试次数。
   登录失败超时	如果用户超出最大允许尝试次数，帐户将被锁定的分钟数。
   Windows EPA 插件升级	用于设置 Windows 客户端插件升级行为的选项。
   Linux EPA 插件升级	用于设置 Linux 客户端插件升级行为的选项。
   	>注意：
   	>- 对于 eLux 和 IGEL OS，此参数必须始终设置为 从不。
   	>- Citrix Secure Access 客户端 for Linux 不支持 Essential 选项。
   Mac EPA 插件升级	用于设置 macOS 客户端插件升级行为的选项。
   一次登录	此选项用于为此虚拟服务器启用或禁用无缝 SSO。
   仅限 ICA	- 当设置为 ON 时，表示基本模式，用户可以使用 Citrix Workspace 应用程序或浏览器登录，并访问 Wihome 参数指向的 Citrix Virtual Apps and Desktops 环境中配置的已发布应用程序。用户不允许使用 Citrix Secure Access 客户端连接，并且无法配置端点扫描。在此模式下，可以登录和访问应用程序的用户数量不受许可证限制。
   	- 当设置为 OFF 时，表示 SmartAccess 模式，用户可以使用 Citrix Workspace 应用程序、浏览器或 Citrix Secure Access 客户端登录。管理员可以配置在客户端系统上运行端点扫描，然后使用结果来控制对已发布应用程序的访问。在此模式下，客户端可以以其他客户端模式（即 VPN 和无客户端 VPN）连接到网关。在此模式下，可以登录和访问资源的用户数量受 CCU 许可证限制。
   启用身份验证	要求连接到 NetScaler Gateway 的用户进行身份验证。
   双跳	在双跳配置中使用 NetScaler Gateway。双跳部署通过使用三个防火墙将 DMZ 分为两个阶段，为内部网络提供了额外的安全层。此类部署可以在 DMZ 中部署一个设备，在安全网络中部署一个设备。
   关闭状态刷新	当虚拟服务器被标记为 DOWN 时（这意味着服务器可能已超时），关闭现有连接。断开现有连接可以释放资源，在某些情况下可以加快过载负载平衡设置的恢复。在连接可以安全关闭的服务器上启用此设置。不要在必须完成其事务的服务器上启用 DOWN 状态刷新。
   DTLS	此选项启动或停止虚拟服务器上的 turn 服务
   AppFlow 日志记录	记录包含标准 NetFlow 或 IPFIX 信息的 AppFlow 记录，例如流的开始和结束时间戳、数据包计数和字节计数。还记录包含应用程序级别信息的记录，例如 HTTP 网址、HTTP 请求方法和响应状态码、服务器响应时间以及延迟。
   ICA 代理会话迁移	此选项确定当用户从另一台设备登录时，是否传输现有 ICA 代理会话。
   状态	虚拟服务器的当前状态，例如 UP、DOWN、BUSY 等。
   启用设备证书	指示作为 EPA 的一部分的设备证书检查是启用还是禁用。

   
4. 选择页面中的无服务器证书部分。
5. 在选择服务器证书下单击 > 以选择服务器证书。
6. 选择 SSL 证书，然后单击选择按钮。
7. 单击绑定。
8. 如果您看到关于 无可用密码 的警告，请单击 确定
9. 单击 继续 按钮。
10. 在“身份验证”部分，单击右上角的 + 图标。

创建身份验证虚拟服务器

1. 导航到 安全 > AAA – 应用程序流量 > 虚拟服务器。
2. 单击 添加 按钮。
3. 完成以下基本设置以创建身份验证虚拟服务器。
   注意： 设置名称右侧的 * 符号表示必填字段。
   • 输入新身份验证虚拟服务器的 名称。
   • 输入 IP 地址类型。IP 地址类型可以配置为不可寻址。
   • 输入 IP 地址。IP 地址可以为零。
   • 输入身份验证虚拟服务器的 协议 类型。
   • 输入虚拟服务器接受连接的 TCP 端口。
   • 输入身份验证虚拟服务器设置的身份验证 Cookie 的 域。
4. 单击 确定。
5. 单击“无服务器证书”部分。
6. 在“选择服务器证书”下单击“>”。
7. 选择所需的 SSL 证书，然后单击“选择”按钮。
   注意：身份验证虚拟服务器不需要绑定证书。
8. 配置“服务器证书绑定”。
   • 选中“用于 SNI 的服务器证书”复选框，以绑定用于 SNI 处理的一个或多个证书密钥。
   • 单击“绑定”按钮。
   

创建身份验证 CERT 配置文件

1. 导航到“安全 > AAA – 应用程序流量 > 策略 > 身份验证 > 基本策略 > CERT。”.
2. 选择“配置文件”选项卡，然后选择“添加”。
3. 填写以下字段以创建身份验证 CERT 配置文件。设置名称右侧的 * 符号表示必填字段。
   • 名称 - 客户端证书身份验证服务器配置文件（操作）的名称。
   • 双因素 – 在此实例中，双因素身份验证选项为 NOOP。
   • 用户名字段 – 输入从中提取用户名的客户端证书字段。必须设置为“"Subject"”或“"Issuer"”（包括两组双引号）。
   • 组名字段 - 输入从中提取组的客户端证书字段。必须设置为““Subject””或““Issuer””（包括两组双引号）。
   • 默认身份验证组 - 这是除了提取的组之外，身份验证成功时选择的默认组。
4. 单击创建。

创建身份验证策略

1. 导航到安全 > AAA – 应用程序流量 > 策略 > 身份验证 > 高级策略 > 策略。
2. 选择添加按钮
3. 填写以下信息以创建身份验证策略。设置名称右侧的 * 号表示必填字段。
   a) 名称 – 输入高级身份验证策略的名称。必须以字母、数字或下划线字符 (_) 开头，并且只能包含字母、数字、连字符 (-)、句点 (.)、井号 (#)、空格 ()、at (@)、等号 (=)、冒号 (:) 和下划线字符。身份验证策略创建后无法更改。
   以下要求仅适用于 NetScaler CLI：如果名称包含一个或多个空格，请将名称用双引号或单引号括起来（例如，“my authentication policy”或 'my authentication policy'）。
   b) 操作类型 - 输入身份验证操作的类型。
   c) 操作 - 输入如果策略匹配要执行的身份验证操作的名称。
   d) 日志操作 - 输入当请求与此策略匹配时要使用的消息日志操作的名称。
   e) 表达式 - 输入 NetScaler 命名规则的名称，或默认语法表达式，策略使用该规则来确定是否尝试使用身份验证服务器对用户进行身份验证。
   f) 注释 – 输入任何注释以保留有关此策略的信息。
4. 单击创建

添加 LDAP 身份验证服务器

1. 导航到 安全 > AAA – 应用程序流量 > 策略 > 身份验证 > 基本策略 > LDAP。
2. 通过选择服务器选项卡并选择添加按钮来添加 LDAP 服务器。

添加 LDAP 身份验证策略

1. 转到 安全 > AAA – 应用程序流量 > 策略 > 身份验证 > 高级策略 > 策略。
2. 单击添加以添加身份验证策略。
3. 填写以下信息以创建身份验证策略。设置名称右侧的 * 号表示必填字段。
   a) 名称 - 高级身份验证策略的名称。 必须以字母、数字或下划线字符 (_) 开头，并且只能包含字母、数字、连字符 (-)、句点 (.)、井号 (#)、空格 ()、at (@)、等号 (=)、冒号 (:) 和下划线字符。身份验证策略创建后无法更改。
   以下要求仅适用于 NetScaler CLI：如果名称包含一个或多个空格，请将名称用双引号或单引号括起来（例如，“my authentication policy”或 'my authentication policy'）。
   b) 操作类型 - 身份验证操作的类型。
   c) 操作 - 如果策略匹配，要执行的身份验证操作的名称。
   d) 日志操作 - 当请求与此策略匹配时要使用的消息日志操作的名称。
   e) 表达式 - NetScaler 命名规则的名称，或默认语法表达式，策略使用它来确定是否尝试使用身份验证服务器对用户进行身份验证。
   f) 注释 - 用于保留有关此策略信息的任何注释。
4. 单击 创建。

添加 RADIUS 身份验证服务器

1. 导航到 安全 > AAA – 应用程序流量 > 策略身份验证 > 基本策略 > RADIUS。
2. 要添加服务器，请选择 服务器 选项卡，然后选择 添加 按钮。
3. 输入以下内容以创建身份验证 RADIUS 服务器。设置名称右侧的 * 符号表示必填字段。
   1. 输入 RADIUS 操作的 名称。
   2. 输入分配给 RADIUS 服务器的 服务器名称 或 服务器 IP 地址。
   3. 输入 RADIUS 服务器侦听连接的 端口 号。
   4. 输入 超时 值（秒）。NetScaler 设备会等待 RADIUS 服务器的响应，直到配置的超时值过期。
   5. 输入 RADIUS 服务器和 NetScaler 设备之间共享的 密钥。需要密钥才能允许 NetScaler 设备与 RADIUS 服务器通信。
   6. 确认密钥。
4. 单击 创建。

添加 RADIUS 身份验证策略

1. 导航到 安全 > AAA – 应用程序流量 > 策略 > 身份验证 > 高级策略 > 策略。
2. 单击 添加 以创建身份验证策略。
3. 填写以下信息以创建身份验证策略。设置名称右侧的 * 符号表示必填字段。
   1. 名称 - 高级身份验证策略的名称。 必须以字母、数字或下划线字符 (_) 开头，并且只能包含字母、数字、连字符 (-)、句点 (.)、井号 (#)、空格 ()、at (@)、等号 (=)、冒号 (:) 和下划线字符。身份验证策略创建后无法更改。
   以下要求仅适用于 NetScaler CLI：如果名称包含一个或多个空格，请将名称用双引号或单引号括起来（例如，“my authentication policy”或 'my authentication policy'）。
   1. 操作类型 - 身份验证操作的类型。
   2. 操作 - 如果策略匹配，则执行的身份验证操作的名称。
   3. 日志操作 - 当请求与此策略匹配时要使用的消息日志操作的名称。
   4. 表达式 - NetScaler 命名规则的名称，或策略用于确定是否尝试使用身份验证服务器对用户进行身份验证的默认语法表达式。
   5. 注释 - 用于保留有关此策略信息的任何注释。
4. 单击 确定。您创建的身份验证策略将列在策略列表中。
   

创建身份验证登录架构

1. 导航到 安全 > AAA – 应用程序流量 > 登录架构。
2. 选择“配置文件”选项卡，然后单击 添加 按钮。
3. 填写以下字段以创建身份验证登录方案：
   1. 输入 名称 – 新登录方案的名称。
   2. 输入 身份验证方案 - 用于读取要发送到登录页面 UI 的身份验证方案的文件名。此文件必须包含根据 Citrix 表单身份验证协议的元素 XML 定义，才能呈现登录表单。如果管理员不想提示用户输入更多凭据，而是继续使用之前获得的凭据，则可以将“noschema”作为参数。这仅适用于与用户定义因素一起使用的登录方案，而不适用于虚拟服务器因素
   3. 输入 用户表达式 - 登录期间用于提取用户名的表达式
   4. 输入 密码表达式 - 登录期间用于提取密码的表达式
   5. 输入 用户凭据索引 - 用户输入的用户名在会话中存储的索引。
   6. 输入 密码凭据索引 - 用户输入的密码必须在会话中存储的索引。
   7. 输入 身份验证强度 - 当前身份验证的权重。
4. 单击 创建。您创建的登录方案配置文件必须显示在登录方案配置文件列表中。
   

创建策略标签

1. 导航到 安全 > AAA – 应用程序流量 > 策略 > 身份验证 > 高级策略 > 策略标签。
2. 单击 添加 按钮。
3. 填写以下字段以创建身份验证策略标签：
   1. 输入新的身份验证策略标签的名称。
   2. 输入与身份验证策略标签关联的登录架构。
   3. 单击继续。
4. 从下拉菜单中选择策略。
5. 选择所需的身份验证策略，然后单击选择按钮。
6. 填写以下字段：
   1. 输入策略绑定的优先级。
   2. 输入Goto 表达式——该表达式指定了如果当前策略规则评估为 TRUE，则将评估的下一个策略的优先级。
   
7. 选择所需的身份验证策略，然后单击选择按钮。
8. 单击绑定按钮。
9. 单击完成。
10. 查看身份验证策略标签。

用于 nFactor 身份验证的 re-Captcha 配置

• 用于 Admin 控制台的 re-Captcha v2
• 用于 Admin 控制台的 re-Captcha v3
• 用于 Enterprise 控制台的 re-Captcha v3

在 NetScaler 标准许可证中为 nFactor 身份验证创建网关虚拟服务器

1. 导航到 NetScaler Gateway > 虚拟服务器。
2. 在 NetScaler Gateway 虚拟服务器页面上，单击添加。
3. 在VPN 虚拟服务器页面上输入以下详细信息，单击确定，然后单击继续。
   • 名称 - NetScaler Gateway 虚拟服务器的名称
   • 协议 - 选择SSL
   • IP 地址 - NetScaler Gateway 虚拟服务器的 IP 地址
   • 端口 - 输入 443

1. 在VPN 虚拟服务器页面上，单击身份验证配置文件旁边的加号图标。
2. 单击 添加 以配置身份验证配置文件。
   
3. 输入身份验证配置文件的名称，然后单击 添加。
   
4. 在 VPN 虚拟服务器 页面上输入以下详细信息，单击 确定，然后单击 继续。
   • 名称 - 身份验证、授权和审计虚拟服务器的名称
   • 协议 - 选择 不可寻址。在 NetScaler Standard 许可证中，只有不可寻址的身份验证、授权和审计虚拟服务器才能绑定到 Gateway/VPN 虚拟服务器。
   
   注意：
   • 在 NetScaler Standard 许可证中，创建策略的步骤与 Premium 许可证支持的策略类型相同。
   • NetScaler Standard 许可证不支持在 nFactor 配置中添加新的登录架构。

参考