nFactor für Gateway-Authentifizierung

Lizenzanforderungen für Authentifizierungs-, Autorisierungs- und Überwachungsfunktionen

Anwendungsfälle

1. Dynamische Auswahl von Benutzername und Kennwort. Traditionell verwenden die Clients (einschließlich Browser und Receiver) das Active Directory (AD)-Kennwort als erstes Kennwortfeld. Das zweite Kennwort ist für das Einmal-Kennwort (OTP) reserviert. Um AD-Server abzusichern, muss OTP jedoch zuerst validiert werden. nFactor kann dies ohne Client-Modifikationen tun.
2. Multi-Tenant-Authentifizierungsendpunkt. Einige Organisationen verwenden unterschiedliche Gateway-Server für Zertifikats- und Nicht-Zertifikatsbenutzer. Da Benutzer ihre eigenen Geräte zum Anmelden verwenden, variieren die Zugriffsebenen der Benutzer auf der NetScaler Appliance je nach verwendetem Gerät. Gateway kann unterschiedliche Authentifizierungsanforderungen erfüllen.
3. Authentifizierung basierend auf Gruppenmitgliedschaft. Einige Organisationen beziehen Benutzereigenschaften von AD-Servern, um Authentifizierungsanforderungen zu bestimmen. Die Authentifizierungsanforderungen können für einzelne Benutzer variieren.
4. Authentifizierungs-Kofaktoren. Manchmal werden verschiedene Paare von Authentifizierungsrichtlinien verwendet, um unterschiedliche Benutzergruppen zu authentifizieren. Die Bereitstellung von Paarrichtlinien erhöht die effektive Authentifizierung. Abhängige Richtlinien können aus einem Ablauf erstellt werden. Auf diese Weise werden unabhängige Richtliniensätze zu eigenen Abläufen, die die Effizienz erhöhen und die Komplexität reduzieren.

Behandlung von Authentifizierungsantworten

Client-Unterstützung

• Die Citrix Workspace-App unterstützt die nFactor-Authentifizierung für die unterstützten Betriebssysteme ab den folgenden aufgeführten Versionen.
  • Windows 4.12
  • Linux 13.10
  • Mac 1808
  • iOS 2007
  • Android 1808
  • HTML5: Unterstützt über Store Web
  • Chrome: Unterstützt über Store Web

Unterstützung des WebView-Anmeldeinformationstyps für Authentifizierungsmechanismen

1. Die Citrix Workspace-App verhandelt mit NetScaler Gateway über die Unterstützung des AUTHv3-Protokolls.
2. NetScaler antwortet positiv und schlägt eine bestimmte Start-URL vor.
3. Die Citrix Workspace-App stellt dann eine Verbindung zum spezifischen Endpunkt (URL) her.
4. NetScaler Gateway sendet eine Antwort an den Client, um die WebView zu starten.
5. Die Citrix Workspace-App startet WebView und sendet eine erste Anfrage an NetScaler.
6. NetScaler leitet die URI zum Browser-Anmeldeendpunkt um.
7. Sobald die Authentifizierung abgeschlossen ist, sendet NetScaler eine Abschlussantwort an WebView.
8. Die WebView wird nun beendet und gibt die Kontrolle an die Citrix Workspace-App zurück, um das AUTHv3-Protokoll für den Sitzungsaufbau fortzusetzen.

Befehlszeilenkonfiguration

Interoperabilitätsherausforderungen

Endpunktanalyse (EPA)

Überlegungen zur Fehlkonfiguration

Clients definieren

Einschränkung von nFactor für Gateway

1. Das authnProfile ist nicht auf NetScaler Gateway eingestellt.
2. Erweiterte Authentifizierungsrichtlinien sind nicht an den virtuellen Authentifizierungsserver gebunden, und derselbe virtuelle Authentifizierungsserver wird in authnProfile erwähnt.
3. Die User-Agent-Zeichenfolge in der HTTP-Anforderung stimmt mit den in patset ns_vpn_client_useragents konfigurierten User-Agents überein.

LoginSchema

Erforderliche Kenntnisse zu LoginSchema und nFactor

Konfigurieren der Zwei-Faktor-Authentifizierung ohne Verwendung von LoginSchema

Benutzername- und Kennwortausdrücke

• Ändern Sie die Benutzereingabe für den Benutzernamen von username@citrix.com in username@xyz.com
  add authentication loginSchema user_schema -authenticationSchema LoginSchema/DualAuth.xml -userExpression "AAA.LOGIN.USERNAME.BEFORE_STR(\"@\").APPEND(\"@xyz.com\")"
• Betrachten Sie ein Szenario, in dem der Benutzer im ersten Faktor ein Kennwort und einen Passcode als Teil des konfigurierten Anmeldeschemas angibt. Um den vom Benutzer im ersten Faktor angegebenen Passcode und das Kennwort im zweiten Faktor zu verwenden, können Sie das vorhandene Anmeldeschema mit den folgenden Befehlen ändern.
  add authentication loginSchema user_schema -authenticationSchema LoginSchema/DualAuth.xml -passwdExpression "AAA.LOGIN.PASSWORD2"add authentication loginSchema user_schema_second -authenticationSchema noschema  -passwdExpression "AAA.LOGIN.PASSWORD"

Schritte zur nFactor-Konfiguration auf hoher Ebene

GUI-Konfiguration

• Einen virtuellen Server erstellen
• Authentifizierungs-Virtual-Server erstellen
• Authentifizierungs-CERT-Profil erstellen
• Eine Authentifizierungsrichtlinie erstellen
• Einen LDAP-Authentifizierungsserver hinzufügen
• Eine LDAP-Authentifizierungsrichtlinie hinzufügen
• Einen RADIUS-Authentifizierungsserver hinzufügen
• Eine RADIUS-Authentifizierungsrichtlinie hinzufügen
• Ein Authentifizierungs-Anmeldeschema erstellen
• Ein Richtlinien-Label erstellen

Einen virtuellen Server erstellen

1. Navigieren Sie zu NetScaler Gateway > Virtuelle Server.
2. Klicken Sie auf die Schaltfläche Hinzufügen, um einen Gateway-Virtual-Server zu erstellen.
3. Geben Sie die folgenden Informationen ein und klicken Sie auf OK.

   Parametername	Parameterbeschreibung
   Name	Name für den virtuellen NetScaler Gateway-Server. Muss mit einem ASCII-Buchstaben oder einem Unterstrich (_) beginnen und darf nur alphanumerische ASCII-Zeichen, Unterstriche, Rauten (#), Punkte (.), Leerzeichen, Doppelpunkte (:), At-Zeichen (@), Gleichheitszeichen (=) und Bindestriche (-) enthalten. Kann nach der Erstellung des virtuellen Servers geändert werden. Die folgende Anforderung gilt nur für die NetScaler CLI: Wenn der Name ein oder mehrere Leerzeichen enthält, schließen Sie den Namen in doppelte oder einfache Anführungszeichen ein (z. B. „my server“ oder 'my server').
   IP-Adresstyp	Wählen Sie die Option IP-Adresse oder Nicht adressierbar aus dem Dropdown-Menü.
   IP-Adresse	Eine Internet-Protokoll-Adresse (IP-Adresse) ist eine numerische Kennung, die jedem Gerät zugewiesen wird, das am Computernetzwerk teilnimmt und das Internet-Protokoll zur Kommunikation verwendet.
   Port	Geben Sie die Portnummer für den virtuellen Server ein.
   RDP-Serverprofil	Name des RDP-Serverprofils, das dem virtuellen Server zugeordnet ist.
   PCoIP-VServer-Profil	Name des PCoIP-VServer-Profils, das dem virtuellen Server zugeordnet ist.
   Maximale Benutzer	Maximale Anzahl gleichzeitiger Benutzersitzungen, die auf diesem virtuellen Server zugelassen sind. Die tatsächliche Anzahl der Benutzer, die sich an diesem virtuellen Server anmelden dürfen, hängt von der Gesamtzahl der Benutzerlizenzen ab.
   Maximale Anmeldeversuche	Maximale Anzahl von Anmeldeversuchen.
   Timeout bei fehlgeschlagener Anmeldung	Anzahl der Minuten, für die ein Konto gesperrt wird, wenn der Benutzer die maximal zulässigen Versuche überschreitet.
   Windows EPA Plugin-Upgrade	Option zum Festlegen des Plug-in-Upgrade-Verhaltens für Windows-Clients.
   Linux EPA Plugin-Upgrade	Option zum Festlegen des Plug-in-Upgrade-Verhaltens für Linux-Clients.
   	>Hinweis:
   	>- Für eLux und IGEL OS muss dieser Parameter immer auf Nie gesetzt werden.
   	Die Option Essential wird im Citrix Secure Access Client für Linux nicht unterstützt.
   Mac EPA Plugin-Upgrade	Option zum Festlegen des Plug-in-Upgrade-Verhaltens für macOS-Clients.
   Einmaliges Anmelden	Diese Option aktiviert oder deaktiviert nahtloses SSO für diesen virtuellen Server.
   Nur ICA	- Wenn auf ON gesetzt, bedeutet dies den Basismodus, in dem sich der Benutzer entweder mit der Citrix Workspace-App oder einem Browser anmelden und Zugriff auf die veröffentlichten Anwendungen erhält, die in der Citrix Virtual Apps and Desktops-Umgebung konfiguriert sind, die durch den Parameter Wihome angegeben wird. Benutzer dürfen keine Verbindung über den Citrix Secure Access Client herstellen und Endpunkt-Scans können nicht konfiguriert werden. Die Anzahl der Benutzer, die sich anmelden und auf die Anwendungen zugreifen können, ist in diesem Modus nicht durch die Lizenz begrenzt.
   	Wenn auf OFF gesetzt, bedeutet dies den SmartAccess-Modus, in dem sich der Benutzer entweder mit der Citrix Workspace-App, einem Browser oder einem Citrix Secure Access Client anmelden kann. Der Administrator kann Endpunkt-Scans konfigurieren, die auf den Client-Systemen ausgeführt werden sollen, und die Ergebnisse dann verwenden, um den Zugriff auf die veröffentlichten Anwendungen zu steuern. In diesem Modus kann der Client über andere Client-Modi, nämlich VPN und clientloses VPN, eine Verbindung zum Gateway herstellen. Die Anzahl der Benutzer, die sich anmelden und auf die Ressourcen zugreifen können, ist in diesem Modus durch die CCU-Lizenzen begrenzt.
   Authentifizierung aktivieren	Authentifizierung für Benutzer erforderlich, die sich mit NetScaler Gateway verbinden.
   Double Hop	Verwenden Sie NetScaler Gateway in einer Double-Hop-Konfiguration. Eine Double-Hop-Bereitstellung bietet eine zusätzliche Sicherheitsebene für das interne Netzwerk, indem drei Firewalls verwendet werden, um die DMZ in zwei Stufen zu unterteilen. Eine solche Bereitstellung kann eine Appliance in der DMZ und eine Appliance im sicheren Netzwerk umfassen.
   Down State Flush	Bestehende Verbindungen schließen, wenn der virtuelle Server als DOWN markiert ist, was bedeutet, dass der Server möglicherweise eine Zeitüberschreitung hatte. Das Trennen bestehender Verbindungen gibt Ressourcen frei und beschleunigt in bestimmten Fällen die Wiederherstellung überlasteter Lastenausgleichs-Setups. Aktivieren Sie diese Einstellung auf Servern, bei denen die Verbindungen sicher geschlossen werden können, wenn sie als DOWN markiert sind. Aktivieren Sie den DOWN State Flush nicht auf Servern, die ihre Transaktionen abschließen müssen.
   DTLS	Diese Option startet oder stoppt den Turn-Dienst auf dem virtuellen Server.
   AppFlow-Protokollierung	Protokollieren Sie AppFlow-Datensätze, die Standard-NetFlow- oder IPFIX-Informationen enthalten, wie z. B. Zeitstempel für den Beginn und das Ende eines Flows, Paketanzahl und Byteanzahl. Protokollieren Sie auch Datensätze, die Informationen auf Anwendungsebene enthalten, wie z. B. HTTP-Webadressen, HTTP-Anforderungsmethoden und Antwortstatuscodes, Serverantwortzeit und Latenz.
   ICA-Proxy-Sitzungsmigration	Diese Option bestimmt, ob eine bestehende ICA-Proxy-Sitzung übertragen wird, wenn sich der Benutzer von einem anderen Gerät anmeldet.
   Status	Der aktuelle Status des virtuellen Servers, z. B. UP, DOWN, BUSY usw.
   Gerätezertifikat aktivieren	Gibt an, ob die Gerätezertifikatsprüfung als Teil von EPA aktiviert oder deaktiviert ist.

   
4. Wählen Sie den Abschnitt Kein Serverzertifikat der Seite aus.
5. Klicken Sie unter Serverzertifikat auswählen auf > , um das Serverzertifikat auszuwählen.
6. Wählen Sie das SSL-Zertifikat aus und klicken Sie auf die Schaltfläche Auswählen.
7. Klicken Sie auf Binden.
8. Wenn Sie eine Warnung zu Keine verwendbaren Chiffren sehen, klicken Sie auf OK.
9. Klicken Sie auf die Schaltfläche Weiter.
10. Klicken Sie im Abschnitt Authentifizierung auf das +-Symbol oben rechts.

Einen virtuellen Authentifizierungsserver erstellen

1. Navigieren Sie zu Sicherheit > AAA – Anwendungsverkehr > Virtuelle Server.
2. Klicken Sie auf die Schaltfläche Hinzufügen.
3. Füllen Sie die folgenden Basiseinstellungen aus, um den virtuellen Authentifizierungsserver zu erstellen.
   Hinweis: Das *-Zeichen rechts neben dem Einstellungsnamen kennzeichnet Pflichtfelder.
   • Geben Sie den Namen für den neuen virtuellen Authentifizierungsserver ein.
   • Geben Sie den IP-Adresstyp ein. Der IP-Adresstyp kann als nicht adressierbar konfiguriert werden.
   • Geben Sie die IP-Adresse ein. Die IP-Adresse kann Null sein.
   • Geben Sie den Protokolltyp des virtuellen Authentifizierungsservers ein.
   • Geben Sie den TCP-Port ein, auf dem der virtuelle Server Verbindungen akzeptiert.
   • Geben Sie die Domäne des Authentifizierungs-Cookies ein, das vom virtuellen Authentifizierungsserver gesetzt wird.
4. Klicken Sie auf OK.
5. Klicken Sie auf den Abschnitt Kein Serverzertifikat.
6. Klicken Sie auf > unter Serverzertifikat auswählen.
7. Wählen Sie das gewünschte SSL-Zertifikat aus und klicken Sie auf die Schaltfläche Auswählen.
   Hinweis: Dem virtuellen Authentifizierungsserver muss kein Zertifikat zugewiesen werden.
8. Konfigurieren Sie die Serverzertifikatbindung.
   • Aktivieren Sie das Kontrollkästchen Serverzertifikat für SNI, um einen oder mehrere Zertifikatsschlüssel für die SNI-Verarbeitung zu binden.
   • Klicken Sie auf die Schaltfläche Binden.
   

Erstellen eines Authentifizierungs-CERT-Profils

1. Navigieren Sie zu Security > AAA – Application Traffic > Policies > Authentication > Basic Policies > CERT.
2. Wählen Sie die Registerkarte Profile und dann Hinzufügen.
3. Füllen Sie die folgenden Felder aus, um das Authentifizierungs-CERT-Profil zu erstellen. Das Sternchen (*) rechts neben dem Einstellungsnamen kennzeichnet Pflichtfelder.
   • Name – Name für das Client-Zertifikat-Authentifizierungsserverprofil (Aktion).
   • Zwei-Faktor – In diesem Fall ist die Option für die Zwei-Faktor-Authentifizierung NOOP.
   • Benutzername-Feld – Geben Sie das Client-Zertifikatfeld ein, aus dem der Benutzername extrahiert wird. Muss entweder auf „„Subject““ oder „„Issuer““ gesetzt werden (beide Sätze doppelter Anführungszeichen einschließen).
   • Gruppenname-Feld – Geben Sie das Client-Zertifikat-Feld ein, aus dem die Gruppe extrahiert wird. Muss entweder auf „„Subject““ oder „„Issuer““ gesetzt werden (beide Sätze doppelter Anführungszeichen einschließen).
   • Standard-Authentifizierungsgruppe – Dies ist die Standardgruppe, die zusätzlich zu den extrahierten Gruppen ausgewählt wird, wenn die Authentifizierung erfolgreich ist.
4. Klicken Sie auf Erstellen.

Eine Authentifizierungsrichtlinie erstellen

1. Navigieren Sie zu Sicherheit > AAA – Anwendungsdatenverkehr > Richtlinien > Authentifizierung > Erweiterte Richtlinien > Richtlinie.
2. Wählen Sie die Schaltfläche Hinzufügen.
3. Füllen Sie die folgenden Informationen aus, um eine Authentifizierungsrichtlinie zu erstellen. Das *-Zeichen rechts neben dem Einstellungsnamen kennzeichnet Pflichtfelder.
   a) Name – Geben Sie den Namen für die erweiterte AUTHENTIFIZIERUNGSrichtlinie ein. Muss mit einem Buchstaben, einer Zahl oder dem Unterstrich (_) beginnen und darf nur Buchstaben, Zahlen und die Zeichen Bindestrich (-), Punkt (.), Raute (#), Leerzeichen (), At (@), Gleichheitszeichen (=), Doppelpunkt (:) und Unterstrich enthalten. Kann nach dem Erstellen der Authentifizierungsrichtlinie nicht mehr geändert werden.
   Die folgende Anforderung gilt nur für die NetScaler CLI: Wenn der Name ein oder mehrere Leerzeichen enthält, setzen Sie den Namen in doppelte oder einfache Anführungszeichen (zum Beispiel "my authentication policy" oder 'my authentication policy').
   b) Aktionstyp – Geben Sie den Typ der Authentifizierungsaktion ein.
   c) Aktion – Geben Sie den Namen der Authentifizierungsaktion ein, die ausgeführt werden soll, wenn die Richtlinie übereinstimmt.
   d) Protokollaktion – Geben Sie den Namen der Nachrichtenprotokollaktion ein, die verwendet werden soll, wenn eine Anforderung dieser Richtlinie entspricht.
   e) Ausdruck – Geben Sie den Namen der benannten NetScaler-Regel oder einen Standardsyntaxausdruck ein, den die Richtlinie verwendet, um zu bestimmen, ob versucht werden soll, den Benutzer mit dem AUTHENTICATION-Server zu authentifizieren.
   f) Kommentare – Geben Sie Kommentare ein, um Informationen zu dieser Richtlinie zu speichern.
4. Klicken Sie auf Erstellen

LDAP-Authentifizierungsserver hinzufügen

1. Navigieren Sie zu Security > AAA – Application Traffic > Policies > Authentication > Basic Policies > LDAP.
2. Fügen Sie einen LDAP-Server hinzu, indem Sie die Registerkarte Server auswählen und die Schaltfläche Hinzufügen auswählen.

LDAP-Authentifizierungsrichtlinie hinzufügen

1. Gehen Sie zu Security > AAA – Application Traffic > Policies > Authentication > Advanced Policies > Policy.
2. Klicken Sie auf Hinzufügen, um eine Authentifizierungsrichtlinie hinzuzufügen.
3. Füllen Sie die folgenden Informationen aus, um eine Authentifizierungsrichtlinie zu erstellen. Das Zeichen * rechts neben dem Einstellungsnamen kennzeichnet Pflichtfelder.
   a) Name – Name für die erweiterte AUTHENTICATION-Richtlinie. Muss mit einem Buchstaben, einer Zahl oder dem Unterstrich (_) beginnen und darf nur Buchstaben, Zahlen und die Zeichen Bindestrich (-), Punkt (.), Raute (#), Leerzeichen (), At (@), Gleichheitszeichen (=), Doppelpunkt (:) und Unterstrich enthalten. Kann nach dem Erstellen der Authentifizierungsrichtlinie nicht mehr geändert werden.
   Die folgende Anforderung gilt nur für die NetScaler CLI: Wenn der Name ein oder mehrere Leerzeichen enthält, setzen Sie den Namen in doppelte oder einfache Anführungszeichen (z. B. „my authentication policy“ oder 'my authentication policy').
   b) Aktionstyp – Typ der Authentifizierungsaktion.
   c) Aktion – Name der Authentifizierungsaktion, die ausgeführt werden soll, wenn die Richtlinie übereinstimmt.
   d) Protokollaktion – Name der Nachrichtenprotokollaktion, die verwendet werden soll, wenn eine Anforderung dieser Richtlinie entspricht.
   e) Ausdruck – Name der benannten NetScaler-Regel oder ein Standardsyntaxausdruck, den die Richtlinie verwendet, um zu bestimmen, ob versucht werden soll, den Benutzer mit dem AUTHENTIFIZIERUNGSServer zu authentifizieren.
   f) Kommentare – Alle Kommentare, um Informationen zu dieser Richtlinie zu speichern.
4. Klicken Sie auf Erstellen.

RADIUS-Authentifizierungsserver hinzufügen

1. Navigieren Sie zu Security > AAA – Application Traffic > Policies Authentication > Basic Policies > RADIUS.
2. Um einen Server hinzuzufügen, wählen Sie die Registerkarte Server und klicken Sie auf die Schaltfläche Hinzufügen.
3. Geben Sie Folgendes ein, um einen Authentifizierungs-RADIUS-Server zu erstellen. Das Zeichen * rechts neben dem Einstellungsnamen kennzeichnet Pflichtfelder.
   1. Geben Sie einen Namen für die RADIUS-Aktion ein.
   2. Geben Sie den Servernamen oder die Server-IP-Adresse ein, die dem RADIUS-Server zugewiesen ist.
   3. Geben Sie die Portnummer ein, auf der der RADIUS-Server auf Verbindungen lauscht.
   4. Geben Sie den Timeout-Wert in Sekunden ein. Die NetScaler Appliance wartet auf eine Antwort vom RADIUS-Server, bis der konfigurierte Timeout-Wert abläuft.
   5. Geben Sie den geheimen Schlüssel ein, der zwischen dem RADIUS-Server und der NetScaler Appliance geteilt wird. Der geheime Schlüssel ist erforderlich, damit die NetScaler Appliance mit dem RADIUS-Server kommunizieren kann.
   6. Geheimen Schlüssel bestätigen.
4. Klicken Sie auf Erstellen.

RADIUS-Authentifizierungsrichtlinie hinzufügen

1. Navigieren Sie zu Sicherheit > AAA – Anwendungsverkehr > Richtlinien > Authentifizierung > Erweiterte Richtlinien > Richtlinie.
2. Klicken Sie auf Hinzufügen, um eine Authentifizierungsrichtlinie zu erstellen.
3. Füllen Sie die folgenden Informationen aus, um eine Authentifizierungsrichtlinie zu erstellen. Das Sternchen (*) rechts neben dem Einstellungsnamen kennzeichnet Pflichtfelder.
   1. Name – Name für die erweiterte AUTHENTIFIZIERUNGSrichtlinie. Muss mit einem Buchstaben, einer Zahl oder dem Unterstrich (_) beginnen und darf nur Buchstaben, Zahlen und die Zeichen Bindestrich (-), Punkt (.), Raute (#), Leerzeichen (), At (@), Gleichheitszeichen (=), Doppelpunkt (:) und Unterstrich enthalten. Kann nach dem Erstellen der AUTHENTIFIZIERUNGSrichtlinie nicht mehr geändert werden.
   Die folgende Anforderung gilt nur für die NetScaler CLI: Wenn der Name ein oder mehrere Leerzeichen enthält, setzen Sie den Namen in doppelte oder einfache Anführungszeichen (z. B. „my authentication policy“ oder 'my authentication policy').
   1. Aktionstyp – Typ der Authentifizierungsaktion.
   2. Aktion – Name der Authentifizierungsaktion, die ausgeführt werden soll, wenn die Richtlinie übereinstimmt.
   3. Protokollaktion – Name der Nachrichtenprotokollaktion, die verwendet werden soll, wenn eine Anforderung dieser Richtlinie entspricht.
   4. Ausdruck – Name der benannten NetScaler-Regel oder ein Standardsyntaxausdruck, den die Richtlinie verwendet, um zu bestimmen, ob versucht werden soll, den Benutzer mit dem AUTHENTIFIZIERUNGSServer zu authentifizieren.
   5. Kommentare – Beliebige Kommentare zur Speicherung von Informationen zu dieser Richtlinie.
4. Klicken Sie auf OK. Die von Ihnen erstellte Authentifizierungsrichtlinie wird in der Liste der Richtlinien aufgeführt.
   

Authentifizierungs-Anmeldeschema erstellen

1. Navigieren Sie zu Sicherheit > AAA – Anwendungsverkehr > Anmeldeschema.
2. Wählen Sie die Registerkarte „Profile“ aus und klicken Sie auf die Schaltfläche Hinzufügen.
3. Füllen Sie die folgenden Felder aus, um ein Authentifizierungs-Anmeldeschema zu erstellen:
   1. Geben Sie Name ein – Name für das neue Anmeldeschema.
   2. Geben Sie Authentifizierungsschema ein – Name der Datei zum Lesen des Authentifizierungsschemas, das für die Anmeldeseiten-Benutzeroberfläche gesendet werden soll. Diese Datei muss die XML-Definition der Elemente gemäß dem Citrix Forms Authentication Protocol enthalten, um ein Anmeldeformular rendern zu können. Wenn ein Administrator Benutzer nicht zur Eingabe weiterer Anmeldeinformationen auffordern, sondern mit zuvor erhaltenen Anmeldeinformationen fortfahren möchte, kann „noschema“ als Argument angegeben werden. Dies gilt nur für Anmeldeschemata, die mit benutzerdefinierten Faktoren verwendet werden, und nicht für den virtuellen Serverfaktor.
   3. Geben Sie Benutzerausdruck ein – Ausdruck für die Extraktion des Benutzernamens während der Anmeldung.
   4. Geben Sie Passwortausdruck ein – Ausdruck für die Extraktion des Passworts während der Anmeldung.
   5. Geben Sie Benutzeranmeldeinformationsindex ein – Ein Index, unter dem der vom Benutzer eingegebene Benutzername in der Sitzung gespeichert wird.
   6. Geben Sie Passwortanmeldeinformationsindex ein – Ein Index, unter dem das vom Benutzer eingegebene Passwort in der Sitzung gespeichert werden muss.
   7. Geben Sie Authentifizierungsstärke ein – Gewicht der aktuellen Authentifizierung.
4. Klicken Sie auf Erstellen. Das von Ihnen erstellte Anmeldeschema-Profil muss in der Liste der Anmeldeschema-Profile erscheinen.
   

Ein Richtlinienlabel erstellen

1. Navigieren Sie zu Sicherheit > AAA – Anwendungsverkehr > Richtlinien > Authentifizierung > Erweiterte Richtlinien > Richtlinienlabel.
2. Klicken Sie auf die Schaltfläche Hinzufügen.
3. Füllen Sie die folgenden Felder aus, um ein Authentifizierungs-Richtlinienlabel zu erstellen:
   1. Geben Sie den Namen für die neue Authentifizierungsrichtlinienbezeichnung ein.
   2. Geben Sie das Anmeldeschema ein, das der Authentifizierungsrichtlinienbezeichnung zugeordnet ist.
   3. Klicken Sie auf Weiter.
4. Wählen Sie Eine Richtlinie auswählen aus dem Dropdown-Menü.
5. Wählen Sie die gewünschte Authentifizierungsrichtlinie aus und klicken Sie auf die Schaltfläche Auswählen.
6. Füllen Sie die folgenden Felder aus:
   1. Geben Sie die Priorität der Richtlinienbindung ein.
   2. Geben Sie den Goto-Ausdruck ein – der Ausdruck gibt die Priorität der nächsten Richtlinie an, die ausgewertet wird, wenn die aktuelle Richtlinienregel als WAHR ausgewertet wird.
   
7. Wählen Sie die gewünschte Authentifizierungsrichtlinie aus und klicken Sie auf die Schaltfläche Auswählen.
8. Klicken Sie auf die Schaltfläche Binden.
9. Klicken Sie auf Fertig.
10. Überprüfen Sie die Authentifizierungsrichtlinienbezeichnung.

re-Captcha-Konfiguration für die nFactor-Authentifizierung

• re-Captcha v2 für die Admin Console
• re-Captcha v3 für die Admin Console
• re-Captcha v3 für die Enterprise Console

Erstellen eines virtuellen Gateway-Servers für die nFactor-Authentifizierung in der NetScaler Standard-Lizenz

1. Navigieren Sie zu NetScaler Gateway > Virtuelle Server.
2. Klicken Sie auf der Seite Virtuelle NetScaler Gateway-Server auf Hinzufügen.
3. Geben Sie auf der Seite Virtueller VPN-Server die folgenden Details ein, klicken Sie auf OK und dann auf Weiter.
   • Name – Name des virtuellen NetScaler Gateway-Servers
   • Protokoll – Wählen Sie SSL
   • IP-Adresse – IP-Adresse des virtuellen NetScaler Gateway-Servers
   • Port – Geben Sie 443 ein

1. Klicken Sie auf der Seite Virtueller VPN-Server auf das Plus-Symbol neben Authentifizierungsprofil.
2. Klicken Sie auf Hinzufügen, um das Authentifizierungsprofil zu konfigurieren.
   
3. Geben Sie einen Namen für das Authentifizierungsprofil ein und klicken Sie auf Hinzufügen.
   
4. Geben Sie die folgenden Details auf der Seite VPN Virtual Server ein, klicken Sie auf OK und dann auf Weiter.
   • Name – Name des virtuellen Servers für Authentifizierung, Autorisierung und Überwachung
   • Protokoll – Wählen Sie Nicht adressierbar. Nur ein nicht adressierbarer virtueller Server für Authentifizierung, Autorisierung und Überwachung kann in der NetScaler Standard-Lizenz an einen Gateway-/VPN-Virtual Server gebunden werden.
   
   Hinweis:
   • In der NetScaler Standard-Lizenz sind die Schritte zum Erstellen einer Richtlinie für unterstützte Richtlinientypen dieselben wie in der Premium-Lizenz.
   • Die NetScaler Standard-Lizenz unterstützt das Hinzufügen neuer Anmeldeschemata in der nFactor-Konfiguration nicht.

Referenzen