Produktdokumentation
Gateway
Current Release 13.1 13.0 12.1
PDF anzeigen

Konfigurieren der Überprüfung des Netzwerkzugriffssteuerungsgeräts für den virtuellen Citrix Gateway-Server für die Single

March 27, 2024
Beitrag von: 
C

Dieses Thema enthält Informationen zum Konfigurieren von Citrix Gateway für die Verbindung mit einem internen Netzwerk von einem mobilen Gerät (iOS und Android) mit der von Microsoft Intune angebotenen Network Access Compliance (NAC) -Sicherheit. Wenn ein Benutzer versucht, von einem iOS- oder Android-VPN-Client aus eine Verbindung zu Citrix Gateway herzustellen, prüft das Gateway zunächst beim Intune-Dienst, ob das Gerät ein verwaltetes und ein kompatibles Gerät ist.

  • Verwaltet: Das Gerät wird über den Intune Company Portal-Client registriert.
  • Konform: Erforderliche Richtlinien, die vom Intune MDM-Server übertragen wurden, werden angewendet.

Nur wenn das Gerät sowohl verwaltet als auch konform ist, wird die VPN-Sitzung eingerichtet und der Benutzer erhält Zugriff auf die internen Ressourcen.

Hinweis:

  • In diesem Setup spricht Citrix Gateway im Back-End mit dem Intune-Dienst. Die SSL-Profile verarbeiten die eingehenden Verbindungen zum Citrix Gateway. Die Citrix Gateway-Back-End-Kommunikation verarbeitet alle SNI-Anforderungen der Back-End-Cloud-Dienste (Intune).

  • Der virtuelle SNI für den virtuellen DTLS-Gateway-Server wird in Citrix Gateway Version 13.0 Build 64.x und höher unterstützt.

  • Intune NAC Check für das Pro-App-VPN oder sogar geräteweites VPN wird nur unterstützt, wenn das VPN-Profil vom Intune-Verwaltungsportal (jetzt als Microsoft Endpoint Manager bekannt) bereitgestellt wird. Diese Funktionen werden für vom Endbenutzer hinzugefügte VPN-Profile nicht unterstützt. Auf dem Endbenutzergerät muss das VPN-Profil von Microsoft Endpoint Manager von seinem Intune-Administrator auf seinem Gerät bereitgestellt werden, um die NAC-Prüfung verwenden zu können.

Lizenzierung

Für diese Funktion ist eine Citrix Enterprise Edition-Lizenz erforderlich.

Systemanforderungen

  • Citrix Gateway Version 11.1 Build 51.21 oder höher
  • iOS VPN — 10.6 oder höher
  • Android VPN — 2.0.13 oder höher
  • Microsoft
    • Azure AD-Zugriff (mit Mandanten- und Administratorrechten)
    • Mandant mit aktiviertem Intune
  • Firewall Aktivieren Sie Firewall-Regeln für den gesamten DNS- und SSL-Verkehr von der Subnetz-IP-Adresse zu https://login.microsoftonline.com und https://graph.windows.net (Port 53 und Port 443)

Voraussetzungen

  • Alle bestehenden Authentifizierungsrichtlinien müssen von klassischen auf erweiterte Richtlinien umgestellt werden. Informationen zur Umstellung von klassischen Richtlinien auf erweiterte Richtlinien finden Sie unter https://support.citrix.com/article/CTX131024.
  • Erstellen Sie eine Citrix Gateway-Anwendung im Azure-Portal. Einzelheiten finden Sie unter Konfigurieren einer Citrix Gateway-Anwendung im Azure-Portal.
  • Konfigurieren Sie die OAuth-Richtlinie in der Citrix Gateway-Anwendung, die Sie mit den folgenden anwendungsspezifischen Informationen erstellt haben.
    • Client-ID/Anwendungs-ID
    • Client geheim/ Anwendungsschlüssel
    • Azure-Tenant-ID

Referenzen

So fügen Sie einen virtuellen Citrix Gateway-Server mit nFactor für die Gateway-Bereitstellung hinzu

  1. Navigieren Sie zu Citrix Gateway > Virtuelle Server.

    Seite Virtuelle Server

  2. Klicken Sie auf Hinzufügen.

  3. Geben Sie die erforderlichen Informationen im Bereich Grundeinstellungen ein und klicken Sie auf OK.

    Festlegen der Grundeinstellungen

  4. Wählen Sie Serverzertifikat.

    Wählen Sie ein Serverzertifikat

  5. Wählen Sie das erforderliche Serverzertifikat und klicken Sie auf Bind.

    Serverzertifikat binden

  6. Klicken Sie auf Weiter.

  7. Klicken Sie auf Weiter.

  8. Klicken Sie auf Weiter.

  9. Klicken Sie auf das Pluszeichen [+] neben Richtlinien und wählen Sie Sitzung aus der Liste Richtlinie auswählen aus. Wählen Sie in der Liste Typ auswählen die Option Anforderung aus und klicken Sie auf Weiter.

  10. Klicken Sie auf das Plus-Symbol [+] neben Richtlinie auswählen.

  11. Geben Sie auf der Seite Create Citrix Gateway Sitzungsrichtlinie einen Namen für die Sitzungsrichtlinie an.

  12. Klicken Sie auf das Plus-Symbol [+] neben Profil und geben Sie auf der Seite Citrix Gateway-Sitzungsprofil erstellen einen Namen für das Sitzungsprofil an.

  13. Klicken Sie auf der Registerkarte Client Experience auf das Kontrollkästchen neben Clientless Access, und wählen Sie aus der Liste Aus.

  14. Klicken Sie auf das Kontrollkästchen neben Plug-In-Typ und wählen Sie Windows/Mac OS X aus der Liste aus.

  15. Klicken Sie auf Erweiterte Einstellungen, aktivieren Sie das Kontrollkästchen neben Clientauswahl und setzen Sie den Wert auf ON.

  16. Klicken Sie auf der Registerkarte Sicherheit auf das Kontrollkästchen neben Standardermächtigungsaktion und wählen Sie Zulassen aus der Liste aus.

  17. Klicken Sie auf der Registerkarte Published Applications auf das Kontrollkästchen neben ICA-Proxy, und wählen Sie AUS in der Liste aus.

  18. Klicken Sie auf Erstellen.

  19. Konfigurieren Sie auf der Seite Citrix Gateway-Sitzungsrichtlinie erstellen im Bereich Ausdruck den qualifizierenden Ausdruck.

  20. Klicken Sie auf Erstellen.

  21. Klicken Sie auf Bind.

  22. Wählen Sie unter Erweiterte EinstellungenAuthentifizierungsprofil.

    Authentifizierungsprofil wählen

  23. Klicken Sie auf das Pluszeichen [+] und geben Sie einen Namen für das Authentifizierungsprofil ein.

    Profilname der Authentifizierung

  24. Klicken Sie auf das Pluszeichen [+], um einen virtuellen Authentifizierungsserver zu erstellen.

    Virtueller Authentifizierungsserver hinzufügen

  25. Geben Sie im Bereich Grundeinstellungen den Namen und den IP-Adresstyp für den virtuellen Authentifizierungsserver an und klicken Sie auf OK.Der IP-Adresstyp kann auch nicht adressierbar sein.

    Festlegen der Grundeinstellungen

  26. Klicke auf Authentifizierungsrichtlinie.

    Authentifizierungsrichtlinie

  27. Klicken Sie in der Ansicht Richtlinienbindung auf das Pluszeichen [+], um eine Authentifizierungsrichtlinie zu erstellen.

    Erstellen einer Authentifizierungsrichtlinie

  28. Wählen Sie OAUTH als Aktionstyp aus und klicken Sie auf das Plus-Symbol [+], um eine OAuth-Aktion für NAC zu erstellen.

    Wählen Sie den Aktionstyp OAuth

  29. Erstellen Sie eine OAuth Aktion mit Client-ID, Client Secretund Mandanten-ID.

    Hinweis:

    • Client-ID, Client Secret und Mandanten-ID werden nach der Konfiguration der Citrix Gateway-Anwendung im Azure-Portal generiert.
    • Notieren Sie sich die Client-ID/Anwendungs-ID, Client Secret/Application Secret und Azure-Tenant-ID-Informationen, da sie beim späteren Erstellen einer OAuth-Aktion auf Citrix Gateway erforderlich sind.

    Stellen Sie sicher, dass auf Ihrer Appliance ein geeigneter DNS-Nameserver konfiguriert ist, um aufzulösen und zu erreichen; https://login.microsoftonline.com/,

    \- - -  `https://graph.windows.net/`,  *.manage.microsoft.com.

    ID und Geheimnis für Azure-Portal

  30. Erstellen Sie eine Authentifizierungsrichtlinie für OAuth Action.

    Regel:

    http.req.header("User-Agent").contains("NAC/1.0")&& ((http.req.header("User-Agent").contains("iOS") && http.req.header("User-Agent").contains("NSGiOSplugin")) || (http.req.header("User-Agent").contains("Android") && http.req.header("User-Agent").contains("CitrixVPN")))
<!--NeedCopy-->

    Regel für Authentifizierungsrichtlinien

  31. Klicken Sie auf das Plus-Symbol [+], um eine NextFactor-Policy Label zu erstellen.

    Next Factor Policy Label erstellen

  32. Klicken Sie auf das Plus-Symbol [+], um ein Anmeldeschema zu erstellen.

    Erstellen eines Anmeldeschemas

  33. Wählen Sie noschema als Authentifizierungsschema aus und klicken Sie auf Erstellen.

    Authentifizierungsschema auswählen

  34. Klicken Sie nach Auswahl des erstellten Anmeldeschemas auf Weiter.

    Klicken Sie auf Weiter

  35. Wählen Sie unter Richtlinie auswähleneine bestehende Authentifizierungsrichtlinie für die Benutzeranmeldung aus oder klicken Sie auf das Plus-Symbol +, um eine Authentifizierungsrichtlinie zu erstellen. Einzelheiten zum Erstellen einer Authentifizierungsrichtlinie finden Sie unter Konfigurieren erweiterter Authentifizierungsrichtlinien und Konfigurieren der LDAP-Authentifizierung.

    Wählen oder erstellen Sie eine Authentifizierungsrichtlinie

  36. Klicken Sie auf Bind.

    Klicken Sie auf "Binden"

  37. Klicken Sie auf Fertig.

    Klicken Sie auf Fertig

  38. Klicken Sie auf Bind.

    Klicken Sie auf Binden

  39. Klicken Sie auf Weiter.

    Klicken Sie auf Weiter

  40. Klicken Sie auf Fertig.

    Klicken Sie auf Fertig

  41. Klicken Sie auf Erstellen.

    Klicken Sie auf Erstellen.

  42. Klicken Sie auf OK.

    Klicken Sie auf OK

  43. Klicken Sie auf Fertig.

    Klicken Sie auf Fertig

So binden Sie das Authentifizierungsanmeldeschema an den virtuellen Authentifizierungsserver, um VPN-Plug-Ins anzugeben, um die Geräte-ID als Teil der /cgi/login-Anfrage zu senden

  1. Navigieren Sie zu Sicherheit > AAA — Anwendungsverkehr > Virtuelle Server.

    Seite Virtuelle Server

  2. Wählen Sie den zuvor ausgewählten virtuellen Server aus und klicken Sie auf Bearbeiten.

    Virtuellen Server bearbeiten

  3. Klicken Sie unter Erweiterte Einstellungen auf Anmeldeschemas.

    Anmeldeschema wählen

  4. Klicken Sie auf Login Schemas, um zu binden.

    Anmeldeschema binden

  5. Klicken Sie auf [>], um die vorhandenen Richtlinien für das Build-In-Anmeldeschema für die NAC-Geräteprüfung auszuwählen und zu binden.

    Binden von Login-Schema-Richtlinien

  6. Wählen Sie die für Ihre Authentifizierungsbereitstellung geeignete Richtlinie für das Anmeldeschema aus und klicken Sie auf Auswählen

    In der zuvor erläuterten Bereitstellung wird eine Single-Faktor-Authentifizierung (LDAP) zusammen mit einer NAC OAuth Action-Richtlinie verwendet, daher wurde lschema_single_factor_deviceid ausgewählt.

    Wählen Sie eine Ein-Faktor-Authentifizierungsrichtlinie

  7. Klicken Sie auf Bind.

    Klicken Sie auf Binden

  8. Klicken Sie auf Fertig.

    Klicken Sie auf Fertig

Problembehandlung

Allgemeine Probleme

Problem Auflösung
Die Meldung “Richtlinie hinzufügen erforderlich” wird angezeigt, wenn Sie eine App öffnen Hinzufügen von Richtlinien in der Microsoft Graph-API
Es gibt Richtlinienkonflikte Es ist nur eine einzige Richtlinie pro App zulässig
Ihre App kann keine Verbindung zu internen Ressourcen herstellen Stellen Sie sicher, dass die richtigen Firewall-Ports geöffnet sind, Sie die Mandanten-ID korrigieren und so weiter

Citrix Gateway-Probleme

Problem Auflösung
Die Berechtigungen, die für die Gateway-App auf Azure konfiguriert werden müssen, sind nicht verfügbar. Überprüfen Sie, ob eine Intune-Lizenz verfügbar ist. Versuchen Sie, das Portal manage.windowsazure.com zu verwenden, um festzustellen, ob die Berechtigung hinzugefügt werden kann. Wenden Sie sich an den Microsoft-Support, wenn das Problem weiterhin besteht.
Citrix Gateway kann nicht erreichen login.microsoftonline.comandgraph.windows.net. Prüfen Sie von NS Shell aus, ob Sie die folgende Microsoft-Website erreichen können: cURL -v -k https://login.microsoftonline.com. Überprüfen Sie dann, ob DNS auf Citrix Gateway konfiguriert ist. Vergewissern Sie sich auch, dass die Firewall-Einstellungen korrekt sind (falls DNS-Anfragen durch eine Firewall gespeichert sind).
Ein Fehler erscheint in ns.log nachdem Sie OAuthAction konfiguriert haben. Überprüfen Sie, ob die Intune-Lizenzierung aktiviert ist und die Azure Gateway-App über die richtigen Berechtigungen verfügt.
Der Befehl “OAuthAction” zeigt den OAuth-Status nicht als abgeschlossen an. Überprüfen Sie die DNS-Einstellungen und Berechtigungen für die Azure Gateway-App.
Auf dem Android- bzw. iOS-Gerät wird die Zweifaktor-Authentifizierungsaufforderung nicht angezeigt. Überprüfen Sie, ob das Zweifaktor-Geräte-ID-LogonSchema an den virtuellen Authentifizierungsserver gebunden ist.

Status und Fehlerzustand von Citrix Gateway OAuth

Status Zustand des Fehlers
AADFORGRAPH Ungültiger Schlüssel, URL nicht aufgelöst, Verbindungstimeout
MDMINFO *manage.microsoft.comist ausgefallen oder nicht erreichbar
GRAPH Graph-Endpunkt nicht erreichbar
CERTFETCH Kommunikation mit Token Endpoint: https://login.microsoftonline.com wegen eines DNS-Fehlers nicht möglich. Um diese Konfiguration zu validieren, gehen Sie zur Shell-Eingabeaufforderung und geben cURL ein https://login.microsoftonline.com. Der Befehl muss validieren.

Hinweis: Wenn der OAuth Status erfolgreich ist, wird der Status als COMPLETE angezeigt.

Intune-Konfigurationsprüfung

Stellen Sie sicher, dass Sie das Kontrollkästchen Ich stimme zu unter Basis-iOS-VPN-Konfiguration für Citrix SSO > Netzwerkzugriffskontrolle (NAC) aktivieren. Sonst funktioniert der NAC-Check nicht.

Konfigurieren der Überprüfung des Netzwerkzugriffssteuerungsgeräts für den virtuellen Citrix Gateway-Server für die Single
March 27, 2024
Beitrag von: 
C
March 27, 2024
Beitrag von: 
C

In diesem Artikel

Feedback zur Site | Datenschutz und rechtliche Bestimmungen | Cookie-Einstellungen | Einstellungen für die Zustimmung | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.