Autorisierungsrichtlinien
Wenn Sie eine Autorisierungsrichtlinie konfigurieren, können Sie sie so einstellen, dass der Zugriff auf Netzwerkressourcen im internen Netzwerk zugelassen oder verweigert wird. Um Benutzern beispielsweise den Zugriff auf das 10.3.3.0-Netzwerk zu ermöglichen, verwenden Sie den folgenden Ausdruck:
CLIENT.IP.DST.IN_SUBNET(10.3.0.0/16)
Autorisierungsrichtlinien werden auf Benutzer und Gruppen angewendet. Nachdem ein Benutzer authentifiziert wurde, führt Citrix Gateway eine Gruppenautorisierungsprüfung durch, indem die Gruppeninformationen des Benutzers von einem RADIUS-, LDAP- oder TACACS+-Server abrufen. Wenn Gruppeninformationen für den Benutzer verfügbar sind, überprüft Citrix Gateway die für die Gruppe zulässigen Netzwerkressourcen.
Um zu steuern, auf welche Ressourcen Benutzer zugreifen können, müssen Sie Autorisierungsrichtlinien erstellen. Wenn Sie keine Autorisierungsrichtlinien erstellen müssen, können Sie die globale Standardautorisierung konfigurieren.
Wenn Sie innerhalb der Autorisierungsrichtlinie einen Ausdruck erstellen, der den Zugriff auf einen Dateipfad verweigert, können Sie nur den Unterverzeichnispfad und nicht das Stammverzeichnis verwenden. Verwenden Sie beispielsweise fs.path enthält “\\dir1\\dir2” anstelle von fs.path enthält “\\rootdir\\dir1\\dir2”. Wenn Sie in diesem Beispiel die zweite Version verwenden, schlägt die Richtlinie fehl.
Nachdem Sie die Autorisierungsrichtlinie konfiguriert haben, binden Sie sie dann an einen Benutzer oder eine Gruppe.
Standardmäßig werden Autorisierungsrichtlinien zuerst anhand von Richtlinien überprüft, die Sie an den virtuellen Server binden, und dann gegen global gebundene Richtlinien. Wenn Sie eine Richtlinie global binden und möchten, dass die globale Richtlinie Vorrang vor einer Richtlinie hat, die Sie an einen Benutzer, eine Gruppe oder einen virtuellen Server binden, können Sie die Prioritätsnummer der Richtlinie ändern. Prioritätsnummern beginnen bei Null. Eine niedrigere Prioritätszahl gibt der Richtlinie eine höhere Priorität.
Wenn die globale Richtlinie beispielsweise die Prioritätsnummer eins hat und der Benutzer eine Priorität von zwei hat, wird zuerst die globale Authentifizierungsrichtlinie angewendet.
Wichtig:
- Klassische Autorisierungsrichtlinien werden nur auf TCP-Datenverkehr angewendet.
Erweiterte Autorisierungsrichtlinie kann auf alle Arten von Datenverkehr (TCP/UDP/ICMP/DNS) angewendet werden.
To apply policy on UDP/ICMP/DNS traffic, policies must be bound at type UDP_REQUEST, ICMP_REQUEST, and DNS_REQUEST respectively.
- While binding, if “type” is not explicitly mentioned or “type” is set to REQUEST, the behavior does not change from earlier builds, that is these policies are applied only to TCP traffic.
- The policies bound at UDP_REQUEST do not apply for DNS traffic. For DNS, policies must be explicitly bound to DNS_REQUEST TCP_DNS is similar to other TCP requests.
Weitere Informationen zu erweiterten Autorisierungsrichtlinien finden Sie im Artikel https://support.citrix.com/article/CTX232237.
Konfigurieren und binden Sie eine Autorisierungsrichtlinie
Konfigurieren einer Autorisierungsrichtlinie mit der GUI
- Navigieren Sie zu Citrix Gateway > Richtlinien > Autorisierung.
- Klicken Sie im Detailbereich auf Hinzufügen.
- Geben Sie unter Name einen Namen für die Richtlinie ein.
- Wählen Sie unter Aktiondie Option Zulassen oder Verweigernaus.
- Klicken Sie unter Ausdruck auf Ausdruckseditor.
- Um mit der Konfiguration des Ausdrucks zu beginnen, klicken Sie auf Auswählen, und wählen Sie die erforderlichen Elemente aus.
- Klicken Sie auf Fertig, wenn der Ausdruck abgeschlossen ist.
- Klicken Sie auf Erstellen.
Binden einer Autorisierungsrichtlinie an einen Benutzer über die GUI
- Navigieren Sie zu Citrix Gateway > Benutzerverwaltung.
- Klicken Sie auf AAA Benutzer.
- Wählen Sie im Detailbereich einen Benutzer aus, und klicken Sie dann auf Bearbeiten.
- Klicken Sie unter Erweiterte Einstellungen auf Autorisierungsrichtlinien.
- Wählen Sie auf der Seite Richtlinienbindung eine Richtlinie aus, oder erstellen Sie eine Richtlinie.
- Legen Sie unter Prioritätdie Prioritätsnummer fest.
- Wählen Sie unter Typden Anforderungstyp aus, und klicken Sie dann auf OK.
Binden einer Autorisierungsrichtlinie an eine Gruppe über die GUI
- Navigieren Sie zu Citrix Gateway > Benutzeradministration.
- Klicken Sie auf AAA-Gruppen.
- Wählen Sie im Detailbereich eine Gruppe aus, und klicken Sie dann auf Bearbeiten.
- Klicken Sie unter Erweiterte Einstellungen auf Autorisierungsrichtlinien.
- Wählen Sie auf der Seite Richtlinienbindung eine Richtlinie aus, oder erstellen Sie eine Richtlinie.
- Legen Sie unter Prioritätdie Prioritätsnummer fest.
- Wählen Sie unter Typden Anforderungstyp aus, und klicken Sie dann auf OK.
Autorisierung gibt die Netzwerkressourcen an, auf die Benutzer zugreifen können, wenn sie sich bei Citrix Gateway anmelden. Die Standardeinstellung für die Autorisierung besteht darin, den Zugriff auf alle Netzwerkressourcen zu verweigern. Citrix empfiehlt, die globale Standardeinstellung zu verwenden und dann Autorisierungsrichtlinien zu erstellen, um die Netzwerkressourcen zu definieren, auf die Benutzer zugreifen können.
Sie konfigurieren die Autorisierung für Citrix Gateway mit einer Autorisierungsrichtlinie und Ausdrücke. Nachdem Sie eine Autorisierungsrichtlinie erstellt haben, können Sie sie an die Benutzer oder Gruppen binden, die Sie auf der Appliance konfiguriert haben.
Standardmäßige globale Autorisierung
Um die Ressourcen zu definieren, auf die Benutzer im internen Netzwerk zugreifen können, können Sie die globale Standardautorisierung konfigurieren. Sie konfigurieren die globale Autorisierung, indem Sie den Zugriff auf Netzwerkressourcen global im internen Netzwerk zulassen oder verweigern.
Jede von Ihnen erstellte globale Autorisierungsaktion wird auf alle Benutzer angewendet, denen noch keine Autorisierungsrichtlinie zugeordnet ist, entweder direkt oder über eine Gruppe. Eine Benutzer- oder Gruppenautorisierungsrichtlinie überschreibt immer die globale Autorisierungsaktion. Wenn die Standardautorisierungsaktion auf Verweigern festgelegt ist, müssen Sie Autorisierungsrichtlinien für alle Benutzer oder Gruppen anwenden, um Netzwerkressourcen für diese Benutzer oder Gruppen zugänglich zu machen. Diese Anforderung trägt zur Verbesserung der Sicherheit bei.
So legen Sie die globale Standardautorisierung fest:
- Erweitern Sie im Konfigurationsprogramm auf der Registerkarte “Configuration” im Navigationsbereich “Citrix Gateway” und klicken Sie auf “Global Settings”.
- Klicken Sie im Detailbereich unter Einstellungenauf Globale Einstellungen ändern.
- Wählen Sie auf der Registerkarte Sicherheit neben Standardautorisierungsaktion Zulassen oder Verweigern aus, und klicken Sie auf OK.