Gateway

Erstellen von Richtlinien mit dem Schnellkonfigurationsassistenten

March 27, 2024

Beitrag von:

Hinweis: Citrix Endpoint Management wird nicht mehr unterstützt.

Sie können Einstellungen in Citrix Gateway konfigurieren, um die Kommunikation mit Endpoint Management, StoreFront oder dem Webinterface mithilfe des Schnellkonfigurationsassistenten zu ermöglichen. Wenn Sie die Konfiguration abgeschlossen haben, erstellt der Assistent die richtigen Richtlinien für die Kommunikation zwischen Citrix Gateway, Endpoint Management, StoreFront oder dem Webinterface. Zu diesen Richtlinien gehören Authentifizierungs-, Sitzungs- und clientlose Zugriffsrichtlinien. Wenn der Assistent abgeschlossen ist, sind die Richtlinien an den virtuellen Server gebunden, den der Assistent erstellt.

Wenn Sie den Assistenten für die Schnellkonfiguration abgeschlossen haben, kann Citrix Gateway mit Endpoint Management oder StoreFront kommunizieren, und Benutzer können auf ihre Windows-basierten Anwendungen und virtuellen Desktops sowie Web-, SaaS- und mobilen Apps zugreifen. Benutzer können sich dann direkt mit Endpoint Management verbinden.

Während des Assistenten konfigurieren Sie die folgenden Einstellungen:

Name, IP-Adresse und Port des virtuellen Servers
Umleitung von einem unsicheren zu einem sicheren Port
Zertifikate
LDAP-Server
RADIUS-Server
Clientzertifikat für Authentifizierung (nur für Zwei-Faktor-Authentifizierung)
Endpoint Management, StoreFront oder Webinterface

Sie können Zertifikate für Citrix Gateway im Schnellkonfigurationsassistenten mithilfe der folgenden Methoden konfigurieren:

Wählen Sie ein Zertifikat aus, das auf der Appliance installiert ist.
Installieren Sie ein Zertifikat und einen privaten Schlüssel.
Wählen Sie ein Testzertifikat aus. Hinweis: Wenn Sie ein Testzertifikat verwenden, müssen Sie den vollqualifizierten Domänennamen (FQDN) hinzufügen, der im Zertifikat enthalten ist.

Der Schnellkonfigurationsassistent unterstützt LDAP-, RADIUS- und Clientzertifikatauthentifizierung. Sie können die Zwei-Faktor-Authentifizierung im Assistenten konfigurieren, indem Sie diese Richtlinien befolgen:

Wenn Sie LDAP als primären Authentifizierungstyp auswählen, können Sie RADIUS als sekundären Authentifizierungstyp konfigurieren.
Wenn Sie RADIUS als primären Authentifizierungstyp auswählen, können Sie LDAP als sekundären Authentifizierungstyp konfigurieren.
Wenn Sie Clientzertifikate als primären Authentifizierungstyp auswählen, können Sie LDAP oder RADIUS als sekundären Authentifizierungstyp konfigurieren.

Sie können nur eine LDAP-Authentifizierungsrichtlinie mithilfe des Schnellkonfigurationsassistenten konfigurieren. Mit dem Assistenten können Sie nicht mehrere LDAP-Authentifizierungsrichtlinien konfigurieren. Wenn Sie den Assistenten mehr als einmal ausführen und eine andere LDAP-Richtlinie verwenden möchten, müssen Sie die zusätzlichen Richtlinien manuell konfigurieren. Sie möchten beispielsweise eine Richtlinie konfigurieren, die sAMAccountName im Feld Serveranmeldungsnamenattribut verwendet, und eine zweite LDAP-Richtlinie, die den Benutzerprinzipalnamen (UPN) im Feld Serveranmeldungsnamenattribut verwendet. Verwenden Sie zum Konfigurieren dieser separaten Richtlinien das Konfigurationsdienstprogramm, um die Authentifizierungsrichtlinien zu erstellen. Weitere Informationen zum Konfigurieren von Citrix Gateway für die Authentifizierung des Benutzerzugriffs mit einem oder mehreren LDAP-Servern finden Sie unter Konfigurieren der LDAP-Authentifizierung.

Wenn Sie einen virtuellen Server mit dem Schnellkonfigurationsassistenten erstellen und den virtuellen Server zu einem späteren Zeitpunkt entfernen möchten, empfiehlt Citrix, ihn über die Registerkarte Home zu entfernen. Wenn Sie diese Methode verwenden, um den virtuellen Server zu entfernen, werden die durch den Assistenten konfigurierten Richtlinien und Profile entfernt. Wenn Sie den virtuellen Server mithilfe der Registerkarte Konfiguration entfernen, werden die Richtlinien und Profile nicht entfernt. Der Assistent entfernt die folgenden Elemente nicht:

Das während des Assistenten erstellte Zertifikatsschlüsselpaar wird nicht entfernt, auch wenn das Zertifikat nicht an einen virtuellen Server gebunden ist
Die LDAP-Authentifizierungsrichtlinie und das LDAP-Profil bleiben erhalten, wenn die Richtlinie an einen anderen virtuellen Server gebunden ist. Citrix Gateway entfernt die LDAP-Richtlinie nur, wenn die Richtlinie nicht an einen virtuellen Server gebunden ist.

In den folgenden Tabellen werden die Richtlinien und Profile beschrieben, die der Schnellkonfigurations-Assistent erstellt. Wie in den Tabellen beschrieben, hängen die konfigurierten Richtlinien und Profile davon ab, wie Benutzer eine Verbindung herstellen — entweder mit dem Citrix Gateway-Plug-In, Citrix Receiver oder Secure Hub. Die erzwungenen Richtlinien hängen von der Citrix Endpoint Management Universal- oder Platform-Lizenz ab, die verwendet wird, wenn Benutzer eine Verbindung herstellen. Beim Kauf von Citrix Gateway haben Sie auch eine bestimmte Anzahl von Universal-Lizenzen erworben, z. B. 100. Wenn Benutzer eine Verbindung mit dem Citrix Gateway Plug-in herstellen, verwendet die Sitzung eine Universal-Lizenz. Wenn Benutzer eine Verbindung mit Receiver herstellen, um auf Windows-basierte Anwendungen und Desktops zuzugreifen, verwendet die Sitzung die Plattformlizenz. Wenn Benutzer über Micro-VPN eine Verbindung von einem Mobilgerät herstellen und sich mit Secure Hub verbinden oder Apps wie WorxMail oder WorxWeb starten, verwendet die Sitzung eine Universal-Lizenz.

Sitzungsrichtlinien, Ausdrücke und Profile für die Universal License

Der Schnellkonfigurationsassistent erstellt die folgenden Sitzungsrichtlinien und Ausdrücke, die durchgesetzt werden, wenn die Sitzung die Universal-Lizenz verwendet.

Policy-Typ	Ausdruck
Sitzung — Worx Home oder Receiver	REQ.HTTP.HEADER User-Agent CONTAINS CitrixReceiver && REQ.HTTP.HEADER X-Citrix-Gateway EXISTS
Sitzung — Receiver für Web	REQ.HTTP.HEADER-Benutzeragent ENTHÄLT KEINEN Citrix Receiver
Sitzung — Citrix Gateway	REQ.HTTP.HEADER-Benutzeragent ENTHÄLT KEINEN CITRIXReceiver && REQ.HTTP.HEADER-Referer NICHT EXISTIERT

Die folgende Tabelle zeigt die Sitzungsprofileinstellungen, die der Schnellkonfigurations-Assistent für jeden Sitzungsrichtlinientyp in der vorhergehenden Tabelle erstellt. In der ersten Spalte wird beschrieben, wo die Profileinstellung oder die Registerkarte im Sitzungsprofil im Konfigurationsdienstprogramm zu finden ist.

Die eingegebene StoreFront-URL hängt davon ab, wie Benutzer eine Verbindung herstellen. Wenn Benutzer mithilfe von Receiver für Web oder mithilfe eines Webbrowsers eine Verbindung herstellen, verwenden Sie das URL-Formular https://SF-FQDN/Citrix/StoreWeb. Wenn Benutzer mithilfe von Receiver auf Windows-, Mac- oder Mobilgeräten eine Verbindung herstellen, verwenden Sie das URL-Formular https://SF-FQDN/Citrix/Store.

Standort des Profils	Einstellung des Profils	Receiver	Receiver für Web	Citrix Gateway
Ressourcen > Intranet-Anwendungen	Transparentes Abfangen	–	Aus	Ein
Sitzung > Registerkarte “Clienterlebnis”	Clientloser Zugriff	Ein	Ein	Aus
Sitzung > Registerkarte „Veröffentlichte Anwendungen“	ICA-Proxy	Aus	Aus	Aus
Sitzung > Registerkarte “Clienterlebnis”	Einmaliges Anmelden bei Webanwendungen	Ein	Ein	Ein
Sitzung > Registerkarte „Veröffentlichte Anwendungen“	Domäne für einmaliges Anmelden	Endpoint Management StoreWeb URL	Endpoint Management StoreWeb URL	Endpoint Management StoreWeb URL
Sitzung > Registerkarte „Veröffentlichte Anwendungen“	Webinterface-Adresse	Endpoint Management StoreWeb URL	Endpoint Management StoreWeb URL	Endpoint Management StoreWeb URL
Sitzung > Registerkarte „Veröffentlichte Anwendungen“	Adresse der Kontodienste	StoreFront-URL	–	StoreFront-URL
Sitzung > Registerkarte „Kundenerfahrungen“	Tunnel geteilt	Aus	–	Aus
Sitzung > Registerkarte „Kundenerfahrungen“	Clientlose Zugriffs-URL-Kodierung	Löschen	–	Löschen
Sitzung > Registerkarte „Kundenerfahrungen“	Zuhause Page	–	Endpoint Management StoreWeb URL	Endpoint Management StoreWeb URL
Sitzung > Registerkarte Kundenerfahrungen und klicken Sie dann auf Erweiterte Einstellungen > Allgemein	Wahlmöglichkeiten für Kunden	Aus	Aus	Aus
Sitzung > Registerkarte Sicherheit	Standard-Autorisierungsaktion	Allow	Allow	Allow
Sitzung > Registerkarte „Kundenerfahrungen“	Sitzungs-Timeout (Minuten)	24 Stunden	–	–
Sitzung > Registerkarte „Kundenerfahrungen“	Zeitüberschreitung für Kunden im Leerlauf (Minuten)	(0) deaktiviert	–	–
Sitzung > Registerkarte Netzwerkkonfiguration und klicken Sie dann auf Erweiterte Einstellungen	Erzwungene Auszeit (Minuten)	24 Stunden	–	–

Clientlose Zugriffsprofileinstellungen für die Universal License

Der Schnellkonfigurationsassistent erstellt die folgenden clientlosen Zugriffsprofileinstellungen für die Universal-Lizenz:

Konfigurieren Sie Domains für den clientlosen Zugriff, um den Zugriff zu ermöglichen. <App Controller FQDN>Konfiguriert den Mustersatz ns_cvpn_default_inet_domains. Zum Beispiel ns_cvpn_default_inet_domainsAppController_Domain_COM
App Controller-URL. <App Controller FQDN>Konfiguriert den Mustersatz ns_cvpn_default_inet_domains. Zum Beispiel ns_cvpn_default_inet_domainsAppController_Domain_COM
ShareFile: Ermöglicht bis zu fünf Bindungen. <App Controller FQDN>Konfigurieren Sie den Mustersatz ns_cvpn_default_inet_domains. Zum Beispiel ns_cvpn_default_inet_domainsAppController_Domain_COM

Clientlose Zugriffseinstellungen und Regeln für die Universal License

In der folgenden Tabelle sind die Richtlinieneinstellungen für clientlosen Zugriff aufgeführt, die durchgesetzt werden, wenn die Sitzung die Universal-Lizenz verwendet.

Richtlinienname	Regel	Profil	Bezeichnung umschreiben von URLs	Label in Javascript umschreiben	Musterset	Kommentare
CLT_LESS_VIP	Receiver_NoRewrite	NO_RW_VIP	Standard	Standard	Standard	Receiver_NoRewrite
CLT_LESS_RF_VIPCLT_LESS_RF_VIP	True	ST_WB_RW_VIP	ns_cvpn_default_inet_url_label	Standard	STORE_WEB_COOKIES	RfWeb_Rewrite

Der Mustersatz STORE_WEB_COOKIES für Receiver für Web hängt die virtuelle Citrix Gateway-IP-Adresse an den Namen an, wie in der nächsten Abbildung gezeigt:

Abbildung 1. Mustersatz für Receiver für Web

Cookie-Muster-Set

Sitzungsrichtlinien, Regeln und Profile für die Plattformlizenz

Die Plattformlizenz mit Citrix Gateway ermöglicht eine unbegrenzte Anzahl von ICA-Verbindungen zu Windows-basierten Anwendungen und Desktops, die von Citrix Virtual Apps and Desktops gehostet werden. Die folgenden Tabellen zeigen die Sitzungsregeln und Sitzungsrichtlinieneinstellungen für Benutzer, die eine Verbindung mit Citrix Receiver herstellen.

| Policy-Typ | Regel | | ———————————————— | ————————————————————————————— | | Session - Operating System and Citrix Gateway | REQ.HTTP.HEADER User-Agent CONTAINS CitrixReceiver || REQ.HTTP.HEADER Referer NOTEXISTS | | Session - Receiver for Web | ns_true |

Die offizielle Version dieses Inhalts ist auf Englisch. Für den einfachen Einstieg wird Teil des Inhalts der Cloud Software Group Dokumentation maschinell übersetzt. Cloud Software Group hat keine Kontrolle über maschinell übersetzte Inhalte, die Fehler, Ungenauigkeiten oder eine ungeeignete Sprache enthalten können. Es wird keine Garantie, weder ausdrücklich noch stillschweigend, für die Genauigkeit, Zuverlässigkeit, Eignung oder Richtigkeit von Übersetzungen aus dem englischen Original in eine andere Sprache oder für die Konformität Ihres Cloud Software Group Produkts oder Ihres Diensts mit maschinell übersetzten Inhalten gegeben, und jegliche Garantie, die im Rahmen der anwendbaren Endbenutzer-Lizenzvereinbarung oder der Vertragsbedingungen oder einer anderen Vereinbarung mit Cloud Software Group gegeben wird, dass das Produkt oder den Dienst mit der Dokumentation übereinstimmt, gilt nicht in dem Umfang, in dem diese Dokumentation maschinell übersetzt wurde. Cloud Software Group kann nicht für Schäden oder Probleme verantwortlich gemacht werden, die durch die Verwendung maschinell übersetzter Inhalte entstehen können.

NetScaler Secure Deployment Guide

Erstellen von Richtlinien mit dem Schnellkonfigurationsassistenten

March 27, 2024

Beitrag von:

March 27, 2024

Beitrag von:

In diesem Artikel

Sitzungsrichtlinien, Ausdrücke und Profile für die Universal License
Clientlose Zugriffsprofileinstellungen für die Universal License
Clientlose Zugriffseinstellungen und Regeln für die Universal License
Sitzungsrichtlinien, Regeln und Profile für die Plattformlizenz

NetScaler Secure Deployment Guide