配置外部身份验证服务器

Last published : Oct 06, 2026
NetScaler SDX 管理服务可以使用本地用户帐户或通过外部身份验证服务器对用户进行身份验证。设备支持以下身份验证类型：
  • 本地—通过使用密码对管理服务进行身份验证，无需引用外部身份验证服务器。用户数据本地存储在管理服务上。
  • RADIUS—对外部 RADIUS 身份验证服务器进行身份验证。
  • LDAP—对外部 LDAP 身份验证服务器进行身份验证。
  • TACACS—对外部终端访问控制器访问控制系统 (TACACS) 身份验证服务器进行身份验证。
要配置外部身份验证，请指定身份验证类型并配置身份验证服务器。
Related information
配置管理服务

添加 RADIUS 服务器

要配置 RADIUS 身份验证，请将身份验证类型指定为 RADIUS，并配置 RADIUS 身份验证服务器。
管理服务支持根据 RADIUS 规范的 RADIUS 质询响应身份验证。可以在 RADIUS 服务器上为 RADIUS 用户配置一次性密码。当用户登录到 SDX 设备时，系统会提示用户指定此一次性密码。

添加 RADIUS 服务器

  1. 在配置选项卡上，在系统下，展开身份验证，然后单击Radius。
  2. 在详细信息窗格中，单击添加。
  3. 在创建 Radius 服务器对话框中，键入或选择参数的值：
    • 名称*—服务器的名称。
    • 服务器名称/IP 地址*—完全限定域名 (FQDN) 或服务器 IP 地址。 注意：DNS 必须能够将指定的 FQDN 解析为 IP 地址，并且只有主 DNS 用于解析 FQDN。要手动设置主 DNS，请参阅“添加用于 FQDN 名称解析的主 DNS”部分。
    • 端口*—RADIUS 服务器运行的端口。默认值：1812。
    • 超时*—系统等待 RADIUS 服务器响应的秒数。默认值：3。
    • 密钥*—客户端和服务器之间共享的密钥。系统与 RADIUS 服务器之间通信需要此信息。
    • 启用 NAS IP 地址提取—如果启用，管理服务 IP 地址将根据 RADIUS 协议作为 nasip 发送到服务器。
    • NASID—如果配置，此字符串将根据 RADIUS 协议作为 nasid 发送到 RADIUS 服务器。
    • 组前缀—用于 RADIUS 组提取的 RADIUS 属性中，位于组名前面的前缀字符串。
    • 组供应商 ID—用于 RADIUS 组提取的供应商 ID。
    • 组属性类型—用于 RADIUS 组提取的属性类型。
    • 组分隔符—用于 RADIUS 组提取的 RADIUS 属性中，分隔组名的组分隔符字符串。
    • IP 地址供应商标识符—RADIUS 中表示内网 IP 的属性的供应商 ID。值为 0 表示该属性未进行供应商编码。
    • IP 地址属性类型—RADIUS 响应中远程 IP 地址属性的属性类型。
    • 密码供应商标识符—RADIUS 响应中密码的供应商 ID。用于提取用户密码。
    • 密码属性类型—RADIUS 响应中密码属性的属性类型。
    • 密码编码—密码在从系统传输到 RADIUS 服务器的 RADIUS 数据包中必须如何编码。可能的值：pap、chap、mschapv1 和 mschapv2。
    • 默认身份验证组——除了提取的组之外，身份验证成功时选择的默认组。
    • 记账——使管理服务能够与 RADIUS 服务器记录审计信息。
  4. 单击“创建”，然后单击“关闭”。

添加 LDAP 身份验证服务器

要配置 LDAP 身份验证，请将身份验证类型指定为 LDAP，并配置 LDAP 身份验证服务器。

添加 LDAP 服务器

  1. 在“配置”选项卡上，在“系统”下，展开“身份验证”，然后单击“LDAP”。
  2. 在详细信息窗格中，单击“添加”。
  3. 在“创建 LDAP 服务器”对话框中，键入或选择参数的值：
    • 名称*—服务器的名称。
    • 服务器名称/IP 地址*—FQDN 或服务器 IP 地址。注意：DNS 必须能够将指定的 FQDN 解析为 IP 地址，并且只有主 DNS 用于解析 FQDN。要手动设置主 DNS，请参阅“添加用于 FQDN 名称解析的主 DNS”部分。
    • 端口*—LDAP 服务器运行的端口。默认值：389。
    • 超时*—系统等待 LDAP 服务器响应的秒数。
    • 基本 DN—LDAP 搜索必须开始的基本或节点。
    • 类型—LDAP 服务器的类型。可能的值：Active Directory (AD) 和 Novell Directory Service (NDS)。
    • 管理绑定 DN—用于绑定到 LDAP 服务器的完整可分辨名称。
    • 管理密码—用于绑定到 LDAP 服务器的密码。
    • 验证 LDAP 证书—选中此选项以验证从 LDAP 服务器收到的证书。
    • LDAP 主机名—LDAP 服务器的主机名。如果启用了 validateServerCert 参数，此参数指定 LDAP 服务器证书上的主机名。主机名不匹配会导致连接失败。
    • 服务器登录名属性—系统用于查询外部 LDAP 服务器或 Active Directory 的名称属性。
    • 搜索过滤器—与默认 LDAP 用户搜索字符串结合以形成值的字符串。例如，vpnallowed=true 与 ldaploginame samaccount 以及用户提供的用户名 bob 结合，将生成以下 LDAP 搜索字符串：(&(vpnallowed=true)(samaccount=bob)。
    • 组属性—用于从 LDAP 服务器提取组的属性名称。
    • 子属性名称—用于从 LDAP 服务器提取组的子属性名称。
    • 安全类型—设备与身份验证服务器之间通信的加密类型。可能的值：
      PLAINTEXT: 无需加密。
      TLS: 使用 TLS 协议进行通信。
      SSL: 使用 SSL 协议进行通信
    • 默认身份验证组—除了提取的组之外，身份验证成功时选择的默认组。
    • 引用—启用跟踪从 LDAP 服务器接收到的 LDAP 引用。
    • 最大 LDAP 引用数—要跟踪的最大 LDAP 引用数。
    • 启用更改密码—允许用户在密码过期时修改密码。只有在配置的安全类型为TLS或SSL时，才能更改密码。
    • 启用嵌套组提取—启用嵌套组提取功能。
    • 最大嵌套级别—允许进行组提取的级别数。
    • 组名称标识符—在LDAP服务器中唯一标识组的名称。
    • 组搜索属性—LDAP组搜索属性。用于确定组所属的组。
    • 组搜索子属性—LDAP组搜索子属性。用于确定组所属的组。
    • 组搜索过滤器—与默认LDAP组搜索字符串结合以形成搜索值的字符串。
  4. 单击“创建”，然后单击“关闭”。

LDAP 用户的 SSH 公钥身份验证支持

SDX 设备现在可以通过 SSH 公钥身份验证对 LDAP 用户进行登录身份验证。公钥列表存储在 LDAP 服务器的用户对象上。在身份验证期间，SSH 从 LDAP 服务器提取 SSH 公钥。如果检索到的任何公钥支持 SSH，则登录成功。
提取的公钥的相同属性名称必须同时存在于 LDAP 服务器和 NetScaler SDX 设备中。
重要
对于基于密钥的身份验证，您必须通过在 /etc/sshd_config 文件中按以下方面设置 Authorizedkeysfile 的值来指定公钥的位置：
AuthorizedKeysFile .ssh/authorized_keys
系统用户。 您可以通过在 /etc/sshd_config* 文件中设置 Authorizedkeysfile` 的值来指定任何系统用户的公钥位置。
LDAP 用户。 检索到的公钥存储在 /var/pubkey/<user_name>/tmp_authorized_keys-<pid> 目录中。pid 是用于区分同一用户并发 SSH 请求的唯一编号。此位置是身份验证过程中用于保存公钥的临时位置。身份验证完成后，公钥将从系统中删除。
要使用该用户登录，请在 shell 提示符下运行以下命令：
$ ssh –i <private key> <username>@<IPAddress>
使用 GUI 配置 LDAP 服务器：
  1. 导航到 系统 > 认证 > LDAP。
  2. 在 LDAP 页面上，单击 Servers 选项卡。
  3. 单击任何可用的 LDAP 服务器。
  4. 在“配置身份验证 LDAP 服务器”页面上，选择“身份验证”。
SSH-LDAP 公钥
注意：
清除“身份验证”复选框，以使用“sshPublicKeys”对 LDAP 用户进行身份验证。

为 FQDN 名称解析添加主 DNS

如果通过使用服务器的 FQDN 而不是其 IP 地址来定义 RADIUS 或 LDAP 服务器，请手动设置主 DNS 以解析服务器名称。您可以使用 GUI 或 CLI。
要使用 GUI 设置主 DNS，请转到 System > Network Configuration > DNS。
要使用 CLI 设置主 DNS，请按照以下步骤操作。
  1. 打开一个安全外壳 (SSH) 控制台。
  2. 使用管理员凭据登录到 NetScaler SDX 设备。
  3. 运行 networkconfig 命令。
  4. 选择相应的菜单并更新 DNS IPv4 地址，然后保存更改。
如果您再次运行 networkconfig 命令，您将看到更新后的 DNS 地址。

添加 TACACS 服务器

要配置 TACACS 身份验证，请将身份验证类型指定为 TACACS，并配置 TACACS 身份验证服务器。

添加 TACACS 服务器

  1. 在“Configuration”（配置）选项卡上，在“System”（系统）下，展开“Authentication”（身份验证），然后单击“TACACS”。
  2. 在详细信息窗格中，单击“Add”（添加）。
  3. 在“创建 TACACS 服务器”对话框中，键入或选择参数的值：
    • 名称—TACAS 服务器的名称
    • IP 地址—TACACS 服务器的 IP 地址
    • 端口—TACACS 服务器运行的端口。默认值：49
    • 超时—系统等待 TACACS 服务器响应的最大秒数
    • TACACS 密钥—客户端和服务器之间共享的密钥。系统与 TACACS 服务器通信需要此信息
    • 记账—使管理服务能够将审计信息记录到 TACACAS 服务器
    • 组属性名称—在 TACACS+ 服务器中配置的组属性的名称
    创建 TACACS 服务器(/en-us/sdx/media/create-tacacs-server.png)
  4. 单击“创建”，然后单击“关闭”。