Gerätezertifikate zur Authentifizierung verwenden

Last published : Oct 14, 2026
NetScaler Gateway unterstützt die Gerätezertifikatsprüfung, mit der Sie die Geräteidentität an den privaten Schlüssel eines Zertifikats binden können. Die Gerätezertifikatsprüfung kann als Teil klassischer oder erweiterter Endpoint Analysis (EPA)-Richtlinien konfiguriert werden. In klassischen EPA-Richtlinien kann das Gerätezertifikat nur für die Preauthentifizierungs-EPA konfiguriert werden.
NetScaler Gateway überprüft das Gerätezertifikat, bevor der Endpoint Analysis-Scan ausgeführt wird oder bevor die Anmeldeseite angezeigt wird. Wenn Sie die Endpoint Analysis konfigurieren, wird der Endpoint-Scan ausgeführt, um das Benutzergerät zu überprüfen. Wenn das Gerät den Scan besteht und NetScaler Gateway das Gerätezertifikat überprüft hat, können sich Benutzer am NetScaler Gateway anmelden.
Wichtig:
  • Standardmäßig erfordert Windows Administratorrechte für den Zugriff auf Gerätezertifikate.
  • Um eine Gerätezertifikatsprüfung für Nicht-Administratorbenutzer hinzuzufügen, müssen Sie das VPN-Plug-in installieren. Die Version des VPN-Plug-ins muss mit der Version des EPA-Plug-ins auf dem Gerät übereinstimmen.
  • Sie können dem Gateway mehrere CA-Zertifikate hinzufügen und das Gerätezertifikat validieren.
  • Wenn Sie zwei oder mehr Gerätezertifikate auf NetScaler Gateway installieren, müssen Benutzer das richtige Zertifikat auswählen, wenn sie sich am NetScaler Gateway anmelden oder bevor der Endpoint Analysis-Scan ausgeführt wird.
  • Wenn Sie das Gerätezertifikat erstellen, muss es ein X.509-Zertifikat sein.
  • Wenn Sie ein Gerätezertifikat haben, das von einer Zwischen-CA ausgestellt wurde, müssen sowohl das Zwischen- als auch das Stamm-CA-Zertifikat gebunden sein.
  • Der EPA-Client benötigt, dass der Benutzer lokale Administratorrechte besitzt, um auf den Maschinenzertifikatsspeicher zugreifen zu können. Dies ist selten der Fall, daher besteht eine Problemumgehung darin, das vollständige NetScaler® Gateway-Plug-in zu installieren, das auf den lokalen Speicher zugreifen kann.
Weitere Informationen zum Erstellen von Gerätezertifikaten finden Sie unter:
Related information
Zertifikatsverwaltung auf NetScaler Gateway
Zertifikatsverwaltung auf NetScaler Gateway

Schritte zum Konfigurieren von Gerätezertifikaten

Um ein Gerätezertifikat zu konfigurieren, müssen Sie die folgenden Schritte ausführen:
Aktivieren Sie die Gerätezertifikatsprüfung auf dem virtuellen Server und fügen Sie das Zertifizierungsstellenzertifikat des Ausstellers des Gerätezertifikats zur Gerätezertifikats-Checkliste hinzu. Weitere Informationen finden Sie unter Gerätezertifikatsprüfung auf einem virtuellen Server für klassische EPA-Richtlinie aktivieren.
Schließen Sie die clientseitige Konfiguration und Überprüfung des Gerätezertifikats auf dem Windows-Computer ab. Weitere Informationen finden Sie unter Überprüfung des Gerätezertifikats auf einem Windows-Computer.
Hinweis:
Alle Clients, die die EPA-Prüfung des Gerätezertifikats nutzen möchten, müssen das Gerätezertifikat im Systemzertifikatspeicher des Computers installiert haben.

Gerätezertifikatsprüfung auf einem virtuellen Server für klassische EPA-Richtlinie aktivieren

Nachdem Sie das Gerätezertifikat erstellt haben, installieren Sie das Zertifikat auf NetScaler Gateway, indem Sie das Verfahren für Importieren und Installieren eines vorhandenen Zertifikats auf NetScaler Gateway verwenden.
  1. Navigieren Sie auf der Registerkarte Konfiguration zu NetScaler Gateway > Virtuelle Server.
  2. Wählen Sie auf der Seite NetScaler Gateway Virtuelle Server einen vorhandenen virtuellen Server aus und klicken Sie auf Bearbeiten.
  3. Auf der Seite VPN Virtual Servers klicken Sie unter dem Abschnitt Basic Settings auf Edit.
  4. Deaktivieren Sie das Kontrollkästchen Enable Authentication, um die Authentifizierung zu deaktivieren.
  5. Aktivieren Sie das Kontrollkästchen Enable Device Certificate, um das Gerätezertifikat zu aktivieren.
  6. Klicken Sie auf Add, um den Namen des CA-Zertifikats eines verfügbaren Ausstellers von Gerätezertifikaten zur Liste hinzuzufügen.
  7. Um ein CA-Zertifikat an den virtuellen Server zu binden, klicken Sie unter dem Abschnitt CA for Device Certificate auf CA certificate, klicken Sie auf Add, wählen Sie das Zertifikat aus und klicken Sie dann auf +.
Hinweis:
Informationen zum Aktivieren und Binden von Gerätezertifikaten auf einem virtuellen Server für erweiterte EPA-Richtlinien finden Sie unter Gerätezertifikat in nFactor als EPA-Komponente.

Überprüfung des Gerätezertifikats auf einem Windows-Computer

  1. Öffnen Sie einen Browser und greifen Sie auf den NetScaler Gateway FQDN zu.
  2. Erlauben Sie dem Citrix® End Point Analysis (EPA)-Client, ausgeführt zu werden. Falls nicht bereits installiert, installieren Sie EPA.
    Citrix EPA wird ausgeführt und validiert das Gerätezertifikat und leitet zur Authentifizierungsseite weiter, wenn die EPA-Prüfung des Gerätezertifikats erfolgreich ist, andernfalls werden Sie zur EPA-Fehlerseite weitergeleitet. Falls Sie andere EPA-Prüfungen haben, hängen die EPA-Scanergebnisse von den konfigurierten EPA-Prüfungen ab.
Für weiteres Debugging auf dem Client untersuchen Sie die folgenden EPA-Protokolle auf dem Client: C:\Users\<User name>\AppData\Local\Citrix\AGEE\nsepa.txt
Hinweis:
Die Überprüfung des Gerätezertifikats mit CRL wird nicht unterstützt.