Konfigurieren von Autorisierungsrichtlinien

Last published : Oct 14, 2026
Wenn Sie eine Autorisierungsrichtlinie konfigurieren, können Sie festlegen, dass der Zugriff auf Netzwerkressourcen im internen Netzwerk zugelassen oder verweigert wird. Um Benutzern beispielsweise den Zugriff auf das Netzwerk 10.3.3.0 zu ermöglichen, verwenden Sie den folgenden Ausdruck:
CLIENT.IP.DST.IN_SUBNET(10.3.0.0/16)
Autorisierungsrichtlinien werden auf Benutzer und Gruppen angewendet. Nachdem ein Benutzer authentifiziert wurde, führt NetScaler Gateway eine Gruppenautorisierungsprüfung durch, indem es die Gruppeninformationen des Benutzers von einem RADIUS-, LDAP- oder TACACS+-Server abruft. Wenn Gruppeninformationen für den Benutzer verfügbar sind, prüft NetScaler Gateway die für die Gruppe zulässigen Netzwerkressourcen.
Um zu steuern, auf welche Ressourcen Benutzer zugreifen können, müssen Sie Autorisierungsrichtlinien erstellen. Wenn Sie keine Autorisierungsrichtlinien erstellen müssen, können Sie die standardmäßige globale Autorisierung konfigurieren.
Wenn Sie innerhalb der Autorisierungsrichtlinie einen Ausdruck erstellen, der den Zugriff auf einen Dateipfad verweigert, können Sie nur den Unterverzeichnispfad und nicht das Stammverzeichnis verwenden. Verwenden Sie beispielsweise fs.path contains "\\\\dir1\\\\dir2" anstelle von fs.path contains "\\\\rootdir\\\\dir1\\\\dir2". Wenn Sie die zweite Version in diesem Beispiel verwenden, schlägt die Richtlinie fehl.
Nachdem Sie die Autorisierungsrichtlinie konfiguriert haben, binden Sie sie an einen Benutzer oder eine Gruppe, wie in den folgenden Aufgaben gezeigt.
Standardmäßig werden Autorisierungsrichtlinien zuerst anhand der Richtlinien validiert, die Sie an den virtuellen Server binden, und dann anhand der global gebundenen Richtlinien. Wenn Sie eine Richtlinie global binden und möchten, dass die globale Richtlinie Vorrang vor einer Richtlinie hat, die Sie an einen Benutzer, eine Gruppe oder einen virtuellen Server binden, können Sie die Prioritätsnummer der Richtlinie ändern. Prioritätsnummern beginnen bei Null. Eine niedrigere Prioritätsnummer gibt der Richtlinie eine höhere Priorität.
Wenn beispielsweise die globale Richtlinie die Prioritätsnummer eins und der Benutzer die Priorität zwei hat, wird zuerst die globale Authentifizierungsrichtlinie angewendet.
Wichtig:
  • Klassische Autorisierungsrichtlinien werden nur auf TCP-Datenverkehr angewendet.
  • Erweiterte Autorisierungsrichtlinien können auf alle Arten von Datenverkehr (TCP/UDP/ICMP/DNS) angewendet werden.
    • Um eine Richtlinie auf UDP/ICMP/DNS-Datenverkehr anzuwenden, müssen Richtlinien an den Typen UDP_REQUEST, ICMP_REQUEST bzw. DNS_REQUEST gebunden werden.
    • Beim Binden, wenn „type“ nicht explizit erwähnt wird oder „type“ auf REQUEST gesetzt ist, ändert sich das Verhalten gegenüber früheren Builds nicht, d. h. diese Richtlinien werden nur auf TCP-Datenverkehr angewendet.
    • Die an UDP_REQUEST gebundenen Richtlinien gelten nicht für DNS-Datenverkehr. Für DNS müssen Richtlinien explizit an DNS_REQUEST gebunden werden. TCP_DNS ist ähnlich wie andere TCP-Anfragen.
Weitere Informationen zu erweiterten Autorisierungsrichtlinien finden Sie im Artikel <https://support.citrix.com/article/CTX232237>.
Related information
Autorisierung konfigurieren

Beispielausdrücke für Autorisierungsrichtlinien

Im Folgenden sind die Ausdrucksbeispiele für Autorisierungsrichtlinien aufgeführt:
  • add authorization policy athzPol1 "HTTP.REQ.USER.IS_MEMBER_OF(\"allowedGroup\")" ALLOW
  • add authorization policy athzPol2 "CLIENT.IP.DST.BETWEEN(192.0.2.10,192.0.2.20)" DENY
  • add authorization policy athzPol3 "HTTP.REQ.HOSTNAME.CONTAINS(\"portal-srv") || CLIENT.IP.DST.IN_SUBNET(192.0.2.0/25)" ALLOW

So konfigurieren Sie eine Autorisierungsrichtlinie mithilfe der GUI

  1. Navigieren Sie zu NetScaler Gateway > Richtlinien > Autorisierung.
  2. Klicken Sie im Detailbereich auf Hinzufügen.
  3. Geben Sie unter Name einen Namen für die Richtlinie ein.
  4. Wählen Sie unter Aktion die Option Zulassen oder Verweigern aus.
  5. Klicken Sie unter Ausdruck auf Ausdruckseditor.
  6. Um mit der Konfiguration des Ausdrucks zu beginnen, klicken Sie auf Auswählen und wählen Sie die erforderlichen Elemente aus.
  7. Klicken Sie auf Fertig, wenn Ihr Ausdruck vollständig ist.
  8. Klicken Sie auf Erstellen.

So binden Sie eine Autorisierungsrichtlinie über die GUI an einen Benutzer

  1. Navigieren Sie zu NetScaler Gateway > Benutzerverwaltung.
  2. Klicken Sie auf AAA-Benutzer.
  3. Wählen Sie im Detailbereich einen Benutzer aus, und klicken Sie dann auf Bearbeiten.
  4. Klicken Sie unter Erweiterte Einstellungen auf Autorisierungsrichtlinien.
  5. Wählen Sie auf der Seite Richtlinienbindung eine Richtlinie aus oder erstellen Sie eine Richtlinie.
  6. Legen Sie unter Priorität die Prioritätsnummer fest.
  7. Wählen Sie unter Typ den Anforderungstyp aus, und klicken Sie dann auf OK.

So binden Sie eine Autorisierungsrichtlinie über die GUI an eine Gruppe

  1. Navigieren Sie zu NetScaler Gateway > Benutzerverwaltung.
  2. Klicken Sie auf AAA-Gruppen.
  3. Wählen Sie im Detailbereich eine Gruppe aus, und klicken Sie dann auf Bearbeiten.
  4. Klicken Sie unter Erweiterte Einstellungen auf Autorisierungsrichtlinien.
  5. Wählen Sie auf der Seite Richtlinienbindung eine Richtlinie aus oder erstellen Sie eine Richtlinie.
  6. Legen Sie unter Priorität die Prioritätsnummer fest.
  7. Wählen Sie unter Type den Anforderungstyp aus und klicken Sie dann auf OK.