Offload der Kerberos-Authentifizierung von physischen Servern
Die NetScaler-Appliance kann Authentifizierungsaufgaben von Servern ausladen. Anstatt dass die physischen Server die Anforderungen von Clients authentifizieren, authentifiziert der NetScaler alle Clientanforderungen, bevor er sie an einen der an ihn gebundenen physischen Server weiterleitet. Die Benutzerauthentifizierung basiert auf Active Directory-Token.
Es gibt keine Authentifizierung zwischen dem NetScaler und dem physischen Server, und der Authentifizierungs-Offload ist für die Endbenutzer transparent. Nach der ersten Anmeldung an einem Windows-Computer muss der Endbenutzer keine zusätzlichen Authentifizierungsinformationen in ein Popup oder auf einer Anmeldeseite eingeben.
In der aktuellen Version der NetScaler-Appliance ist die Kerberos-Authentifizierung nur für die Authentifizierung, Autorisierung und Überwachung virtueller Traffic-Management-Server verfügbar. Die Kerberos-Authentifizierung wird für SSL VPN in der NetScaler Gateway Advanced Edition-Appliance oder für die NetScaler-Appliance-Verwaltung nicht unterstützt.
Die Kerberos-Authentifizierung erfordert eine Konfiguration auf der NetScaler-Appliance und in Client-Browsern.
So konfigurieren Sie die Kerberos-Authentifizierung auf der NetScaler-Appliance
Hinweis
Die in der folgenden Beispielkonfiguration verwendeten Kennwörter sind nur Beispiele und nicht die tatsächlichen Konfigurationskennwörter.
-
Erstellen Sie ein Benutzerkonto in Active Directory. Überprüfen Sie beim Erstellen eines Benutzerkontos die folgenden Optionen im Abschnitt Benutzereigenschaften:
- Stellen Sie sicher, dass Sie die Option Kennwort bei der nächsten Anmeldung ändern nicht auswählen.
- Achten Sie darauf, die Option Kennwort läuft nicht ab zu wählen.
-
Geben Sie auf dem AD-Server an der CLI-Eingabeaufforderung Folgendes ein:
- ktpass -princ HTTP/kerberos.crete.lab.net@crete.lab.net -ptype KRB5_NT_PRINCIPAL -mapuser kerbuser@crete.lab.net -mapop set -pass Citrix1 -out C:\kerbtabfile.txt
Hinweis
Geben Sie den obigen Befehl unbedingt in einer einzigen Zeile ein. Die Ausgabe des obigen Befehls wird in die Datei C:\kerbtabfile.txt geschrieben.
-
Laden Sie die Datei kerbtabfile.txt mithilfe eines Secure Copy (SCP) -Clients in das Verzeichnis /etc der NetScaler-Appliance hoch.
-
Führen Sie den folgenden Befehl aus, um der NetScaler-Appliance einen DNS-Server hinzuzufügen.
- add dns nameserver 1.2.3.4
Die NetScaler-Appliance kann Kerberos-Anfragen ohne den DNS-Server nicht verarbeiten. Verwenden Sie unbedingt denselben DNS-Server, der in der Microsoft Windows-Domäne verwendet wird.
-
Wechseln Sie zur Befehlszeilenschnittstelle von NetScaler.
-
Führen Sie den folgenden Befehl aus, um einen Kerberos-Authentifizierungsserver zu erstellen:
- Authentifizierung hinzufügen Aktion aushandeln KerberosServer - Domäne “crete.lab.net” -Domänenbenutzer kerbuser -DomainUserPasswd Citrix1 -keytab /var/mykcd.keytab
Hinweis
Wenn keytab nicht verfügbar ist, können Sie die Parameter angeben: domain, domainUser und -DomainUserPasswd.
-
Führen Sie den folgenden Befehl aus, um eine Verhandlungsrichtlinie zu erstellen:
add authentication negotiatePolicy Kerberos-Policy "REQ.IP.DESTIP == 192.168.17.200" KerberosServer<!--NeedCopy-->
-
Führen Sie den folgenden Befehl aus, um einen virtuellen Authentifizierungsserver zu erstellen.
add authentication vserver Kerb-Auth SSL 192.168.17.201 443 -AuthenticationDomain crete.lab.net<!--NeedCopy-->
-
Führen Sie den folgenden Befehl aus, um die Kerberos-Richtlinie an den virtuellen Authentifizierungsserver zu binden:
bind authentication vserver Kerb-Auth -policy Kerberos-Policy -priority 100<!--NeedCopy-->
-
Führen Sie den folgenden Befehl aus, um ein SSL-Zertifikat an den virtuellen Authentifizierungsserver zu binden. Sie können eines der Testzertifikate verwenden, das Sie über die GUI NetScaler-Appliance installieren können. Führen Sie den folgenden Befehl aus, um das ServerTestCert-Beispielzertifikat zu verwenden.
bind ssl vserver Kerb-Auth -certkeyName ServerTestCert<!--NeedCopy-->
-
Erstellen Sie einen virtuellen HTTP-Lastausgleichsserver mit der IP-Adresse 192.168.17.200.
Stellen Sie sicher, dass Sie über die Befehlszeilenschnittstelle für NetScaler 9.3-Versionen einen virtuellen Server erstellen, wenn diese älter als 9.3.47.8 sind.
-
Führen Sie den folgenden Befehl aus, um einen virtuellen Authentifizierungsserver zu konfigurieren:
set lb vserver <name>-authn401 ON -authnVsName Kerb-Auth<!--NeedCopy-->
-
Geben Sie den Hostnamen Example in die Adressleiste des Webbrowsers ein.
Der Webbrowser zeigt ein Authentifizierungsdialogfeld an, da die Kerberos-Authentifizierung nicht im Browser eingerichtet ist.
Hinweis
Die Kerberos-Authentifizierung erfordert eine bestimmte Konfiguration auf dem Client. Stellen Sie sicher, dass der Client den Hostnamen auflösen kann, was dazu führt, dass der Webbrowser eine Verbindung zu einem virtuellen HTTP-Server herstellt.
-
Konfigurieren Sie Kerberos im Webbrowser des Clientcomputers.
- Informationen zur Konfiguration in Internet Explorer finden Sie unter Konfigurieren von Internet Explorer für die Kerberos-Authentifizierung.
- Informationen zur Konfiguration in Mozilla Firefox finden Sie unter Konfigurieren von Internet Explorer für die Kerberos-Authentifizierung.
-
Überprüfen Sie, ob Sie ohne Authentifizierung auf den physischen Backend-Server zugreifen können.
So konfigurieren Sie Internet Explorer für die Kerberos-Authentifizierung
- Wählen Sie im Menü Extras die Option Internetoptionen.
- Aktivieren Sie die Registerkarte Sicherheit.
- Wählen Sie Lokales Intranet aus dem Abschnitt Wählen Sie eine Zone aus, um die Änderung der Sicherheitseinstellungen anzuzeigen.
- Klicken Sie auf Sites.
- Klicken Sie auf Erweitert.
- Geben Sie die URL an, Beispiel, und klicken Sie auf Hinzufügen.
- Starten Sie Internet Explorerneu.
So konfigurieren Sie Mozilla Firefox für die Kerberos-Authentifizierung
- Geben Sie about:config in die Adressleiste des Browsers ein.
- Klicken Sie auf den Haftungsausschluss für Warnungen.
- Geben Sie network.negotiate-auth.trusted-uris in das Feld Filter ein.
-
Doppelklicken Sie auf Network.negotiate-auth.Trusted-URIS. Ein Beispielbildschirm wird unten gezeigt.
- Geben Sie im Dialogfeld Zeichenfolgenwert eingeben www.crete.lab.net an.
- Starten Sie Firefox neu.