使用设备证书进行身份验证
NetScaler Gateway 支持设备证书检查，使您能够将设备身份绑定到证书的私钥。设备证书检查可以配置为经典或高级端点分析 (EPA) 策略的一部分。在经典 EPA 策略中，设备证书只能为预身份验证 EPA 配置。
NetScaler Gateway 在运行端点分析扫描或显示登录页面之前验证设备证书。如果配置了端点分析，则会运行端点扫描以验证用户设备。当设备通过扫描并且 NetScaler Gateway 验证设备证书后，用户即可登录 NetScaler Gateway。
重要提示：
-
默认情况下，Windows 要求管理员权限才能访问设备证书。
-
要为非管理员用户添加设备证书检查，您必须安装 VPN 插件。VPN 插件版本必须与设备上的 EPA 插件版本相同。
-
您可以向网关添加多个 CA 证书并验证设备证书。
-
如果您在 NetScaler Gateway 上安装了两个或更多设备证书，用户在开始登录 NetScaler Gateway 或运行端点分析扫描之前必须选择正确的证书。
-
创建设备证书时，它必须是 X.509 证书。
-
如果您有由中间 CA 颁发的设备证书，则必须绑定中间 CA 证书和根 CA 证书。
-
EPA 客户端需要用户具有本地管理员权限才能访问计算机证书存储。这种情况很少见，因此一种解决方法是安装完整的 NetScaler® Gateway 插件，该插件可以访问本地存储。
有关创建设备证书的更多信息，请参阅以下内容：
-
Microsoft Learn Challenge 页面中的“什么是 Active Directory 证书服务的网络设备注册服务？”.
-
Ask the Directory Services Team Microsoft 支持博客上的“iPad / iPhone 证书颁发”。
-
在 Windows IT Pro 网站上，设置网络设备注册服务。
-
在 Microsoft System Center 网站上，Configuration Manager 的 PKI 证书分步示例部署：Windows Server 2008 证书颁发机构。
配置设备证书的步骤
要配置设备证书，您必须完成以下步骤：
-
在 NetScaler Gateway 上安装设备证书颁发者的证书颁发机构证书。有关详细信息，请参阅在 NetScaler Gateway 上安装已签名证书。
-
将设备证书颁发者的证书颁发机构证书绑定到 NetScaler Gateway 虚拟服务器并启用 OCSP 检查。有关详细信息，请参阅在 NetScaler Gateway 上安装已签名证书。
-
在设备证书颁发者的证书颁发机构证书上创建并绑定 OCSP（响应程序）。有关详细信息，请参阅使用 OCSP 监控证书状态。
在虚拟服务器上启用设备证书检查，并将设备证书颁发者的证书颁发机构证书添加到设备证书清单。有关详细信息，请参阅为经典 EPA 策略在虚拟服务器上启用设备证书检查。
在 Windows 计算机上完成设备证书的客户端配置和验证。有关详细信息，请参阅在 Windows 计算机上验证设备证书。
注意：
所有旨在利用设备证书 EPA 检查的客户端都必须在计算机的系统证书存储中安装设备证书。
为经典 EPA 策略在虚拟服务器上启用设备证书检查
创建设备证书后，您可以使用将现有证书导入并安装到 NetScaler Gateway 的过程在 NetScaler Gateway 上安装该证书。
-
在“配置”选项卡上，导航到 NetScaler Gateway > 虚拟服务器。
-
在“NetScaler Gateway 虚拟服务器”页面上，选择一个现有虚拟服务器，然后单击“编辑”。
-
在 VPN 虚拟服务器 页面上，在 基本设置 部分下，单击 编辑。
-
清除 启用身份验证 框以禁用身份验证。
-
选中 启用设备证书 框以启用设备证书
-
单击 添加 将可用设备证书颁发者的 CA 证书名称添加到列表中。
-
要将 CA 证书绑定到虚拟服务器，请在 设备证书的 CA 部分下单击 CA 证书，然后单击 添加，选择证书，再单击 +。
注意：
有关在虚拟服务器上启用和绑定设备证书以实现高级 EPA 策略的信息，请参阅 nFactor 中作为 EPA 组件的设备证书。
在 Windows 计算机上验证设备证书
-
打开浏览器并访问 NetScaler Gateway FQDN。
-
允许 Citrix® 端点分析 (EPA) 客户端运行。如果尚未安装，请安装 EPA。Citrix EPA 运行并验证设备证书，如果设备证书 EPA 检查通过，则重定向到身份验证页面，否则重定向到 EPA 错误页面。如果您有其他 EPA 检查，则 EPA 扫描结果取决于配置的 EPA 检查。
要在客户端上进行进一步调试，请检查客户端上的以下 EPA 日志： C:\Users\<User name>\AppData\Local\Citrix\AGEE\nsepa.txt
注意：
不支持使用 CRL 进行设备证书验证。