Konfigurieren der RADIUS-Gruppenextraktion
Sie können die RADIUS-Autorisierung mithilfe einer Methode namens Gruppenextraktion konfigurieren. Durch die Konfiguration der Gruppenextraktion können Sie Benutzer auf Ihrem RADIUS-Server verwalten, anstatt sie zu NetScaler Gateway hinzuzufügen.
Sie konfigurieren die RADIUS-Autorisierung mithilfe einer Authentifizierungsrichtlinie und konfigurieren dabei die Gruppenanbieter-ID (ID), den Gruppenattributtyp, das Gruppenpräfix und ein Gruppentrennzeichen. Wenn Sie die Richtlinie konfigurieren, fügen Sie einen Ausdruck hinzu und binden die Richtlinie dann entweder global oder an einen virtuellen Server.
Konfigurieren von RADIUS unter Windows Server 2003
Wenn Sie Microsoft Internetauthentifizierungsdienst (IAS) für die RADIUS-Autorisierung unter Windows Server 2003 verwenden, müssen Sie während der Konfiguration von NetScaler Gateway die folgenden Informationen angeben:
-
Die Anbieter-ID ist der anbieterspezifische Code, den Sie in IAS eingegeben haben.
-
Der Typ ist die vom Anbieter zugewiesene Attributnummer.
-
Der Attributname ist der Typ des Attributnamens, den Sie in IAS definiert haben. Der Standardname ist CTXSUserGroups=
Wenn IAS nicht auf dem RADIUS-Server installiert ist, können Sie es über „Software“ in der Systemsteuerung installieren. Weitere Informationen finden Sie in der Windows-Onlinehilfe.
Um IAS zu konfigurieren, verwenden Sie die Microsoft Management Console (MMC) und installieren Sie das Snap-In für IAS. Folgen Sie dem Assistenten und stellen Sie sicher, dass Sie die folgenden Einstellungen auswählen:
-
Wählen Sie den lokalen Computer aus.
-
Wählen Sie „Remotezugriffsrichtlinien“ aus und erstellen Sie eine benutzerdefinierte Richtlinie.
-
Wählen Sie „Windows-Gruppen“ für die Richtlinie aus.
-
Wählen Sie eines der folgenden Protokolle aus:
-
Microsoft Challenge-Handshake Authentication Protocol Version 2 (MS-CHAP v2)
-
Microsoft Challenge-Handshake Authentifizierungsprotokoll (MS-CHAP)
-
Challenge-Handshake Authentifizierungsprotokoll (CHAP)
-
Unverschlüsselte Authentifizierung (PAP, SPAP)
-
-
Wählen Sie das anbieterspezifische Attribut aus.Das anbieterspezifische Attribut muss mit den Benutzern übereinstimmen, die Sie in der Gruppe auf dem Server definiert haben, und den Benutzern auf NetScaler Gateway. Um diese Anforderung zu erfüllen, senden Sie die anbieterspezifischen Attribute an NetScaler Gateway. Stellen Sie sicher, dass Sie RADIUS=Standard auswählen.
-
Der RADIUS-Standardwert ist 0. Verwenden Sie diese Nummer für den Anbietercode.
-
Die vom Anbieter zugewiesene Attributnummer ist 0.Dies ist die zugewiesene Nummer für das Benutzergruppenattribut. Das Attribut liegt im Zeichenfolgenformat vor.
-
Wählen Sie Zeichenfolge für das Attributformat aus.Der Attributwert erfordert den Attributnamen und die Gruppen.Für das Access Gateway lautet der Attributwert CTXSUserGroups=Gruppenname. Wenn zwei Gruppen definiert sind, z. B. Vertrieb und Finanzen, lautet der Attributwert CTXSUserGroups=Vertrieb;Finanzen. Trennen Sie jede Gruppe durch ein Semikolon.
-
Entfernen Sie alle anderen Einträge im Dialogfeld „Einwahlprofil bearbeiten“ und lassen Sie den Eintrag „Anbieterspezifisch“ stehen.
Nachdem Sie die Remotezugriffsrichtlinie in IAS konfiguriert haben, konfigurieren Sie die RADIUS-Authentifizierung und -Autorisierung auf NetScaler Gateway.
Verwenden Sie bei der Konfiguration der RADIUS-Authentifizierung die Einstellungen, die Sie auf dem IAS-Server konfiguriert haben.
Konfigurieren von RADIUS für die Authentifizierung unter Windows Server 2008
Unter Windows Server 2008 konfigurieren Sie die RADIUS-Authentifizierung und -Autorisierung mithilfe des Network Policy Server (NPS), der den Internet Authentication Service (IAS) ersetzt. Sie können den Server-Manager verwenden und NPS als Rolle hinzufügen, um NPS zu installieren.
Wenn Sie NPS installieren, wählen Sie den Netzwerkrichtliniendienst aus. Nach der Installation können Sie die RADIUS-Einstellungen für Ihr Netzwerk konfigurieren, indem Sie NPS über die Verwaltungstools im Startmenü starten. Wenn Sie NPS öffnen, fügen Sie NetScaler Gateway als RADIUS-Client hinzu und konfigurieren dann Servergruppen.
Wenn Sie den RADIUS-Client konfigurieren, stellen Sie sicher, dass Sie die folgenden Einstellungen auswählen:
-
Wählen Sie für den Anbieternamen RADIUS Standard.
-
Notieren Sie sich das gemeinsame Geheimnis, da Sie dasselbe gemeinsame Geheimnis auf NetScaler Gateway konfigurieren müssen.
Für die RADIUS-Gruppen benötigen Sie die IP-Adresse oder den Hostnamen des RADIUS-Servers. Ändern Sie die Standardeinstellungen nicht.
Nachdem Sie den RADIUS-Client und die Gruppen konfiguriert haben, konfigurieren Sie die Einstellungen in den folgenden zwei Richtlinien:
-
Verbindungsanforderungsrichtlinien, in denen Sie die Einstellungen für die NetScaler Gateway-Verbindung konfigurieren, einschließlich des Typs des Netzwerkservers, der Bedingungen für die Netzwerkrichtlinie und der Einstellungen für die Richtlinie.
-
Netzwerkrichtlinien, in denen Sie die Extensible Authentication Protocol (EAP)-Authentifizierung und die anbieterspezifischen Attribute konfigurieren.
Wenn Sie die Verbindungsanforderungsrichtlinie konfigurieren, wählen Sie für den Typ des Netzwerkservers „Nicht angegeben“ aus. Anschließend konfigurieren Sie Ihre Bedingung, indem Sie „NAS-Porttyp“ als Bedingung und „Virtuell (VPN)“ als Wert auswählen.
Wenn Sie eine Netzwerkrichtlinie konfigurieren, müssen Sie die folgenden Einstellungen konfigurieren:
-
Wählen Sie „Remote Access Server (VPN-Einwahl)“ als Typ des Netzwerkzugriffsservers aus.
-
Wählen Sie „Verschlüsselte Authentifizierung (CHAP)“ und „Unverschlüsselte Authentifizierung (PAP und SPAP)“ für EAP aus.
-
Wählen Sie „RADIUS Standard“ für das anbieterspezifische Attribut aus.Die Standardattributnummer ist 26. Dieses Attribut wird für die RADIUS-Autorisierung verwendet.NetScaler Gateway benötigt das anbieterspezifische Attribut, um die auf dem Server in der Gruppe definierten Benutzer mit denen auf dem NetScaler Gateway abzugleichen. Dies geschieht durch das Senden der anbieterspezifischen Attribute an das NetScaler Gateway.
-
Wählen Sie String für das Attributformat.Der Attributwert erfordert den Attributnamen und die Gruppen.Für NetScaler Gateway lautet der Attributwert CTXSUserGroups= groupname. Wenn zwei Gruppen definiert sind, z. B. Vertrieb und Finanzen, lautet der Attributwert CTXSUserGroups=sales;finance. Trennen Sie jede Gruppe durch ein Semikolon.
-
Das Trennzeichen ist das, welches Sie auf dem NPS verwendet haben, um Gruppen zu trennen, z. B. ein Semikolon, ein Doppelpunkt, ein Leerzeichen oder ein Punkt.
Wenn Sie die Konfiguration der Remotezugriffsrichtlinie in IAS abgeschlossen haben, können Sie die RADIUS-Authentifizierung und -Autorisierung auf NetScaler Gateway konfigurieren.