Produktdokumentation
Gateway
Current Release 13.1 13.0 12.1
PDF anzeigen

Citrix Gateway für Micro-VPN mit Microsoft Endpoint Manager einrichten

March 27, 2024
Beitrag von: 
C

Die Citrix Micro VPN-Integration in Microsoft Endpoint Management ermöglicht Ihren Apps den Zugriff auf on-premises Ressourcen. Einzelheiten finden Sie unter Citrix Micro VPN-Integration mit Microsoft Endpoint Manager.

Systemanforderungen

  • Citrix Gateway Versionen
    • 13.0
    • 12.1.50.x oder höher
    • 12.0.59.x oder höher

    Sie können die neueste Version von Citrix Gateway von der Citrix Gateway-Downloadseite herunterladen.

  • Windows-Desktop mit Windows 7 oder höher (nur für das Umschließen von Android-Apps)

  • Microsoft
    • Azure AD-Zugriff (mit Mandantenadministratorberechtigung)
    • Intune-fähiger Mandant
  • Firewallregeln
    • Aktivieren einer Firewallregel für SSL-Datenverkehr von einer Citrix Gateway-Subnetz-IP zu *.manage.microsoft.comhttps://login.microsoftonline.com, und https://graph.windows.net (Port 443)
    • Citrix Gateway muss in der Lage sein, die vorhergehenden URLs extern aufzulösen.

Voraussetzungen

  • Intune-Umgebung: Wenn Sie keine Intune-Umgebung haben, richten Sie eine ein. Anweisungen finden Sie in der Microsoft-Dokumentation.

  • Edge-Browser-App: Das Micro VPN SDK ist in die Microsoft Edge-App und die Intune Managed Browser-App für iOS und Android integriert. Weitere Informationen zum Managed Browser finden Sie auf der Microsoft-Seite zum Managed Browser.

  • Citrix Endpoint Management-Berechtigung: Stellen Sie sicher, dass Sie über eine aktive Citrix Endpoint Management-Berechtigung verfügen, um das Micro-VPN-SDK in einem mobilen Microsoft Edge-Browser (iOS und Android) weiterhin unterstützen zu können. Weitere Informationen erhalten Sie von Ihrem Vertriebsmitarbeiter, Kundenbetreuer oder Partnervertreter.

Erteilen Sie Azure Active Directory (AAD) -Anwendungsberechtigungen

  1. Zustimmung zur Mandantenanten-AAD-Anwendung von Citrix, Citrix Gateway die Authentifizierung bei der AAD-Domäne zu ermöglichen. Der Azure Global Administrator muss die folgende URL und Zustimmung aufrufen:

    https://login.windows.net/common/adminconsent?client_id=b6a53a76-5d50-499e-beb3-c8dbdad5c40b&redirect_uri=https://www.citrix.com&state=consent.

  2. Zustimmung zur Mandantenanten-AAD-Anwendung von Citrix, um mobilen Anwendungen die Authentifizierung mit dem Citrix Gateway Micro VPN zu ermöglichen. Dieser Link ist nur erforderlich, wenn der Azure Global Admin den Standardwert für Benutzer geändert hat, die Anwendungen von Ja auf Nein registrieren können. Diese Einstellung finden Sie im Azure-Portal unter Azure Active Directory > Benutzer > Benutzereinstellungen. Der globale Azure Administrator muss die folgende URL und Zustimmung aufrufen (fügen Sie Ihre Mandanten-ID hinzu) https://login.microsoftonline.com/[tenant_id]/adminconsent?client_id=9215b80e-186b-43a1-8aed-9902264a5af7.

Konfigurieren von Citrix Gateway für Micro-VPN

Zur Verwendung von Micro-VPN in Intune müssen Sie Citrix Gateway für die Authentifizierung bei Azure AD konfigurieren. Ein vorhandener virtueller Citrix Gateway-Server kann in diesem Anwendungsfall nicht verwendet werden. Konfigurieren Sie Azure AD zunächst zur Synchronisierung mit dem On-Premises-Active Directory. Dieser Schritt ist erforderlich, um eine einwandfreie Authentifizierung zwischen Intune und Citrix Gateway sicherzustellen.

Download-Skript: Die ZIP-Datei enthält eine Readme-Datei mit Anweisungen zur Implementierung des Skripts. Sie müssen die Informationen, die die Skripte benötigen, manuell eingeben und das Skript auf dem Citrix Gateway ausführen, um den Dienst zu konfigurieren. Sie können die Skriptdatei von der Citrix Downloads-Seiteherunterladen.

Wichtig: Nachdem Sie die Citrix Gateway-Konfiguration abgeschlossen haben und wenn Sie einen anderen OAuth-Status als COMPLETE sehen, lesen Sie den Abschnitt Fehlerbehebung.

Konfigurieren des Microsoft Edge-Browsers

  1. Melden Sie sich bei https://endpoint.microsoft.com/ an und navigieren Sie zu Intune > Mobile Apps.
  2. Veröffentlichen Sie die Edge-App wie gewohnt und fügen Sie dann eine App-Konfigurationsrichtlinie hinzu.
  3. Klicken Sie unter Verwalten auf App-Konfigurationsrichtlinien.
  4. Klicken Sie auf Hinzufügen und geben Sie einen Namen für die Richtlinie ein, die Sie erstellen möchten. Wählen Sie unter GeräteregistrierungstypVerwaltete Appsaus.
  5. Klicken Sie auf Verknüpfte App
  6. Wählen Sie die Apps aus, auf die Sie die Richtlinie anwenden möchten (verwalteter Microsoft Edge- oder Intune-Browser), und klicken Sie dann auf OK.
  7. Klicken Sie auf Konfigurationseinstellungen.
  8. Geben Sie im Feld Name den Namen einer der in der folgenden Tabelle aufgeführten Richtlinien ein.
  9. Geben Sie im Feld Wert den Wert ein, den Sie für diese Richtlinie anwenden möchten. Klicken Sie außerhalb des Felds, um die Richtlinie zur Liste hinzuzufügen. Sie können mehrere Richtlinien hinzufügen.
  10. Klicken Sie auf OK und dann auf Hinzufügen.

Die Richtlinie wird der Liste hinzugefügt.

Name (iOS/Android) Wert Beschreibung
MvpnGatewayAddress https://external.companyname.com Externe URL Ihres Citrix Gateway
MvpnNetworkAccess MvpnNetworkAccessTunneledWebSSOor Unrestricted MvpnNetworkAccessTunneledWebSSO ist die Standardeinstellung für das Tunneln.
MvpnExcludeDomains Kommagetrennte Liste der auszuschließenden Domainnamen Optional. Default=blank

Hinweis: Web SSO ist der Name für Secure Browse in den Einstellungen. Das Verhalten ist dasselbe.

  • MvpnNetworkAccess - MvpnNetworkAccessTunneledWebSSO ermöglicht die HTTP/HTTPS-Umleitung über das Citrix Gateway, auch bekannt als Tunneled-Web SSO. Das Gateway reagiert inline auf Herausforderungen bei der HTTP-Authentifizierung und bietet ein Single-Sign-On (SSO) -Erlebnis. Um Web SSO zu verwenden, legen Sie diese Richtlinie auf MvpnNetworkAccessTunneledWebSSOfest. Eine vollständige Tunnelumleitung wird derzeit nicht unterstützt. Verwenden Sie Uneingeschränkt, um das Micro-VPN-Tunneling ausgeschaltet zu lassen.

  • MvpnExcludeDomains - Kommagetrennte Liste von Host- oder Domänennamen, die vom Routing durch den Citrix Gateway Reverse-Webproxy ausgeschlossen werden sollen. Die Host- oder Domänennamen werden ausgeschlossen, obwohl die von Citrix Gateway konfigurierten geteilten DNS-Einstellungen andernfalls die Domäne oder den Host auswählen könnten.

    Hinweis:

    • Diese Richtlinie wird nur für MvpnNetworkAccessTunneledWebSSO-Verbindungen durchgesetzt. Wenn MvpnNetworkAccess auf Unrestricted gesetzt ist, wird diese Richtlinie ignoriert.

    • Diese Richtlinie gilt nur für den getunnelten Web-SSO-Modus, bei dem NetScaler Gateway für Reverse-Split-Tunneling konfiguriert ist.

Problembehandlung

Allgemeine Probleme

Problem Auflösung
Die Meldung “Richtlinie hinzufügen erforderlich” wird angezeigt, wenn Sie eine App öffnen Hinzufügen von Richtlinien in der Microsoft Graph-API
Es gibt Richtlinienkonflikte Es ist nur eine einzige Richtlinie pro App zulässig
Die Meldung “App konnte nicht verpackt werden” wird beim Umschließen einer App angezeigt. Die vollständige Meldung finden Sie in der folgenden Tabelle Die App ist in das Intune SDK integriert. Sie müssen die App nicht mit dem Intune umschließen
Ihre App kann keine Verbindung zu internen Ressourcen herstellen Stellen Sie sicher, dass die richtigen Firewall-Ports geöffnet sind, Sie die Mandanten-ID korrigieren und so weiter

Fehler beim Packen der App-Fehlermeldung:

App konnte nicht verpackt werden. com.microsoft.intune.mam.apppackager.utils.AppPackagerException: Diese App hat das MAM SDK bereits integriert. com.microsoft.intune.mam.apppackager.AppPackager.packageApp(AppPackager.java:113) com.microsoft.intune.mam.apppackager.PackagerMain.mainInternal(PackagerMain.java:198) com.microsoft.intune.mam.apppackager.PackagerMain.main(PackagerMain.java:56) Die Anwendung darf nicht umschlossen sein.

Citrix Gateway-Probleme

Problem Auflösung
Die Berechtigungen, die für die Gateway-App auf Azure konfiguriert werden müssen, sind nicht verfügbar. Überprüfen Sie, ob eine Intune-Lizenz verfügbar ist. Versuchen Sie, das Portal manage.windowsazure.com zu verwenden, um festzustellen, ob die Berechtigung hinzugefügt werden kann. Wenden Sie sich an den Microsoft-Support, wenn das Problem weiterhin besteht.
Citrix Gateway kann nicht erreichen login.microsoftonline.comandgraph.windows.net. Prüfen Sie von NS Shell aus, ob Sie die folgende Microsoft-Website erreichen können: cURL -v -k https://login.microsoftonline.com. Überprüfen Sie dann, ob DNS auf Citrix Gateway konfiguriert ist. Vergewissern Sie sich auch, dass die Firewall-Einstellungen korrekt sind (falls DNS-Anfragen durch eine Firewall gespeichert sind).
Ein Fehler erscheint in ns.log nachdem Sie OAuthAction konfiguriert haben. Überprüfen Sie, ob die Intune-Lizenzierung aktiviert ist und die Azure Gateway-App über die richtigen Berechtigungen verfügt.
Der Befehl “OAuthAction” zeigt den OAuth-Status nicht als abgeschlossen an. Überprüfen Sie die DNS-Einstellungen und Berechtigungen für die Azure Gateway-App.
Auf dem Android- bzw. iOS-Gerät wird die Zweifaktor-Authentifizierungsaufforderung nicht angezeigt. Überprüfen Sie, ob das Zweifaktor-Geräte-ID-LogonSchema an den virtuellen Authentifizierungsserver gebunden ist.

Status und Fehlerzustand von Citrix Gateway OAuth

Status Zustand des Fehlers
AADFORGRAPH Ungültiger Schlüssel, URL nicht aufgelöst, Verbindungstimeout
MDMINFO *manage.microsoft.comist ausgefallen oder nicht erreichbar
GRAPH Graph-Endpunkt nicht erreichbar
CERTFETCH Kommunikation mit Token Endpoint: https://login.microsoftonline.com wegen eines DNS-Fehlers nicht möglich. Um diese Konfiguration zu validieren, gehen Sie zu Shell und geben cURL ein https://login.microsoftonline.com. Der Befehl muss validieren.

Hinweis: Wenn der OAuth Status erfolgreich ist, wird der Status als COMPLETE angezeigt.

Citrix Gateway für Micro-VPN mit Microsoft Endpoint Manager einrichten
March 27, 2024
Beitrag von: 
C
March 27, 2024
Beitrag von: 
C

In diesem Artikel

Feedback zur Site | Your privacy choices footer linkIhre Datenschutzauswahl | Datenschutz und rechtliche Bestimmungen | Cookie-Einstellungen | Einstellungen für die Zustimmung | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.