Produktdokumentation
Gateway
Current Release 13.1 13.0 12.1
PDF anzeigen

NetScaler Gateway für Micro-VPN mit Microsoft Endpoint Manager einrichten

March 27, 2024
Beitrag von: 
C

Die Citrix Micro VPN-Integration in Microsoft Endpoint Management ermöglicht Ihren Apps den Zugriff auf on-premises Ressourcen. Einzelheiten finden Sie unter Citrix Micro VPN-Integration mit Microsoft Endpoint Manager.

Systemanforderungen

  • NetScaler Gateway Versionen
    • 13.1
    • 13.0
    • 12.1.50.x oder höher
    • 12.0.59.x oder höher

    Sie können die neueste Version von NetScaler Gateway von der NetScaler Gateway-Downloadseite herunterladen.

  • Windows-Desktop mit Windows 7 oder höher (nur für das Umschließen von Android-Apps)

  • Microsoft
    • Azure AD-Zugriff (mit Mandantenadministratorberechtigung)
    • Intune-fähiger Mandant
  • Firewallregeln
    • Aktivieren einer Firewallregel für SSL-Datenverkehr von einer NetScaler Gateway-Subnetz-IP zu *.manage.microsoft.comhttps://login.microsoftonline.com, und https://graph.windows.net (Port 443)
    • NetScaler Gateway muss in der Lage sein, die vorhergehenden URLs extern aufzulösen.

Voraussetzungen

  • Intune-Umgebung: Wenn Sie keine Intune-Umgebung haben, richten Sie eine ein. Anweisungen finden Sie in der Microsoft-Dokumentation.

  • Edge-Browser-App: Das Micro VPN SDK ist in die Microsoft Edge-App und die Intune Managed Browser-App für iOS und Android integriert. Weitere Informationen zum Managed Browser finden Sie auf der Microsoft-Seite zum Managed Browser.

  • Citrix Endpoint Management-Berechtigung: Stellen Sie sicher, dass Sie über eine aktive Citrix Endpoint Management-Berechtigung verfügen, um das Micro-VPN-SDK in einem mobilen Microsoft Edge-Browser (iOS und Android) weiterhin unterstützen zu können. Weitere Informationen erhalten Sie von Ihrem Vertriebsmitarbeiter, Kundenbetreuer oder Partnervertreter.

Erteilen Sie Azure Active Directory (AAD) -Anwendungsberechtigungen

  1. Zustimmung zur Mandantenanten-AAD-Anwendung von Citrix, NetScaler Gateway die Authentifizierung bei der AAD-Domäne zu ermöglichen. Der Azure Global Administrator muss die folgende URL und Zustimmung aufrufen:

    https://login.windows.net/common/adminconsent?client_id=b6a53a76-5d50-499e-beb3-c8dbdad5c40b&redirect_uri=https://www.citrix.com&state=consent.

  2. Zustimmung zur Mandantenanten-AAD-Anwendung von Citrix, um mobilen Anwendungen die Authentifizierung mit dem NetScaler Gateway Micro VPN zu ermöglichen. Dieser Link ist nur erforderlich, wenn der Azure Global Admin den Standardwert für Benutzer geändert hat, die Anwendungen von Ja auf Nein registrieren können. Diese Einstellung finden Sie im Azure-Portal unter Azure Active Directory > Benutzer > Benutzereinstellungen. Der globale Azure Administrator muss die folgende URL und Zustimmung aufrufen (fügen Sie Ihre Mandanten-ID hinzu) https://login.microsoftonline.com/[tenant_id]/adminconsent?client_id=9215b80e-186b-43a1-8aed-9902264a5af7.

Konfigurieren von NetScaler Gateway für Micro-VPN

Zur Verwendung von Micro-VPN in Intune müssen Sie NetScaler Gateway für die Authentifizierung bei Azure AD konfigurieren. Ein vorhandener virtueller NetScaler Gateway-Server kann in diesem Anwendungsfall nicht verwendet werden. Konfigurieren Sie Azure AD zunächst zur Synchronisierung mit dem On-Premises-Active Directory. Dieser Schritt ist erforderlich, um eine einwandfreie Authentifizierung zwischen Intune und NetScaler Gateway sicherzustellen.

Download-Skript: Die ZIP-Datei enthält eine Readme-Datei mit Anweisungen zur Implementierung des Skripts. Sie müssen die Informationen, die die Skripte benötigen, manuell eingeben und das Skript auf dem NetScaler Gateway ausführen, um den Dienst zu konfigurieren. Sie können die Skriptdatei von der NetScaler-Downloadseiteherunterladen.

Wichtig: Nachdem Sie die NetScaler Gateway-Konfiguration abgeschlossen haben und wenn Sie einen anderen OAuth-Status als COMPLETE sehen, lesen Sie den Abschnitt Fehlerbehebung.

Konfigurieren des Microsoft Edge-Browsers

  1. Melden Sie sich bei https://endpoint.microsoft.com/ an und navigieren Sie zu Intune > Mobile Apps.
  2. Veröffentlichen Sie die Edge-App wie gewohnt und fügen Sie dann eine App-Konfigurationsrichtlinie hinzu.
  3. Klicken Sie unter Verwalten auf App-Konfigurationsrichtlinien.
  4. Klicken Sie auf Hinzufügen und geben Sie einen Namen für die Richtlinie ein, die Sie erstellen möchten. Wählen Sie unter GeräteregistrierungstypVerwaltete Appsaus.
  5. Klicken Sie auf Verknüpfte App
  6. Wählen Sie die Apps aus, auf die Sie die Richtlinie anwenden möchten (verwalteter Microsoft Edge- oder Intune-Browser), und klicken Sie dann auf OK.
  7. Klicken Sie auf Konfigurationseinstellungen.
  8. Geben Sie im Feld Name den Namen einer der in der folgenden Tabelle aufgeführten Richtlinien ein.
  9. Geben Sie im Feld Wert den Wert ein, den Sie für diese Richtlinie anwenden möchten. Klicken Sie außerhalb des Felds, um die Richtlinie zur Liste hinzuzufügen. Sie können mehrere Richtlinien hinzufügen.
  10. Klicken Sie auf OK und dann auf Hinzufügen.

Die Richtlinie wird der Liste hinzugefügt.

|Name (iOS/Android)|Wert|Beschreibung| |—|—|—| |MvpnGatewayAddress|https://external.companyname.com|Externe URL Ihres NetScaler Gateway| |MvpnNetworkAccess|MvpnNetworkAccessTunneledWebSSOor Unrestricted|MvpnNetworkAccessTunneledWebSSO ist die Standardeinstellung für das Tunneln.| |MvpnExcludeDomains|Kommagetrennte Liste der auszuschließenden Domainnamen|Optional. Default=blank| |TunnelExcludeDomains|Verwenden Sie diese Client-Eigenschaft, um die Standardliste der ausgeschlossenen Domänen zu überschreiben. Default=app.launchdarkly.com,cis.citrix.com,cis-staging.citrix.com,cis-test.citrix.com,clientstream.launchdarkly.com,crashlytics.com,events.launchdarkly.com,fabric.io,firehose.launchdarkly.com, hockeyapp.net,mobile.launchdarkly.com,pushreg.xm.citrix.com,rttf.citrix.com,rttf-staging.citrix.com,rttf-test.citrix.com,ssl.google-analytics.com,stream.launchdarkly.com|

Hinweis: Web SSO ist der Name für Secure Browse in den Einstellungen. Das Verhalten ist dasselbe.

  • MvpnNetworkAccess - MvpnNetworkAccessTunneledWebSSO ermöglicht die HTTP/HTTPS-Umleitung über das NetScaler Gateway, auch bekannt als Tunneled-Web SSO. Das Gateway reagiert inline auf Herausforderungen bei der HTTP-Authentifizierung und bietet ein Single-Sign-On (SSO) -Erlebnis. Um Web SSO zu verwenden, legen Sie diese Richtlinie auf MvpnNetworkAccessTunneledWebSSOfest. Eine vollständige Tunnelumleitung wird derzeit nicht unterstützt. Verwenden Sie Uneingeschränkt, um das Micro-VPN-Tunneling ausgeschaltet zu lassen.

  • MvpnExcludeDomains - Kommagetrennte Liste von Host- oder Domänennamen, die vom Routing durch den NetScaler Gateway Reverse-Webproxy ausgeschlossen werden sollen. Die Host- oder Domänennamen werden ausgeschlossen, obwohl die von NetScaler Gateway konfigurierten geteilten DNS-Einstellungen andernfalls die Domäne oder den Host auswählen könnten.

    Hinweis:

    • Diese Richtlinie wird nur für MvpnNetworkAccessTunneledWebSSO-Verbindungen durchgesetzt. Wenn MvpnNetworkAccess auf Unrestricted gesetzt ist, wird diese Richtlinie ignoriert.

    • Diese Richtlinie gilt nur für den getunnelten Web-SSO-Modus, bei dem NetScaler Gateway für Reverse-Split-Tunneling konfiguriert ist.

  • TunnelExcludeDomains — Standardmäßig schließt MDX einige Dienstendpunkte vom Micro-VPN-Tunneling aus. Die SDKs für mobile Apps und die Apps verwenden diese Dienstendpunkte für verschiedene Funktionen. Zu den Dienstendpunkten gehören beispielsweise Dienste, für die kein Routing über Unternehmensnetzwerke erforderlich ist, wie Google Analytics, Citrix Cloud-Dienste und Active Directory-Dienste. Verwenden Sie diese Client-Eigenschaft, um die Standardliste der ausgeschlossenen Domänen zu überschreiben.

    Um diese globale Client-Richtlinie zu konfigurieren, navigieren Sie in der Microsoft Endpoint Management-Konsole zu Einstellungen > Client-Eigenschaften, fügen Sie den benutzerdefinierten Schlüssel TUNNEL_EXCLUDE_DOMAINShinzu und legen Sie den Wert fest.

    Wert: Um die Standardliste durch die Domänen zu ersetzen, die Sie vom Tunneling ausschließen möchten, geben Sie eine durch Kommas getrennte Liste von Domänensuffixen ein. Um alle Domänen im Tunneling einzuschließen, geben none ein. Standardwert:

    app.launchdarkly.com,cis.citrix.com,cis-staging.citrix.com,cis-test.citrix.com,clientstream.launchdarkly.com,crashlytics.com,events.launchdarkly.com,fabric.io,firehose.launchdarkly.com, hockeyapp.net,mobile.launchdarkly.com,pushreg.xm.citrix.com,rttf.citrix.com,rttf-staging.citrix.com,rttf-test.citrix.com,ssl.google-analytics.com,stream.launchdarkly.com

Problembehandlung

Allgemeine Probleme

Problem Auflösung
Die Meldung “Richtlinie hinzufügen erforderlich” wird angezeigt, wenn Sie eine App öffnen Hinzufügen von Richtlinien in der Microsoft Graph-API
Es gibt Richtlinienkonflikte Es ist nur eine einzige Richtlinie pro App zulässig
Die Meldung “App konnte nicht verpackt werden” wird beim Umschließen einer App angezeigt. Die vollständige Meldung finden Sie in der folgenden Tabelle Die App ist in das Intune SDK integriert. Sie müssen die App nicht mit dem Intune umschließen
Ihre App kann keine Verbindung zu internen Ressourcen herstellen Stellen Sie sicher, dass die richtigen Firewall-Ports geöffnet sind, Sie die Mandanten-ID korrigieren und so weiter

Fehler beim Packen der App-Fehlermeldung:

App konnte nicht verpackt werden. com.microsoft.intune.mam.apppackager.utils.AppPackagerException: Diese App hat das MAM SDK bereits integriert. com.microsoft.intune.mam.apppackager.AppPackager.packageApp(AppPackager.java:113) com.microsoft.intune.mam.apppackager.PackagerMain.mainInternal(PackagerMain.java:198) com.microsoft.intune.mam.apppackager.PackagerMain.main(PackagerMain.java:56) Die Anwendung darf nicht umschlossen sein.

NetScaler Gateway-Probleme

Problem Auflösung
Die Berechtigungen, die für die Gateway-App auf Azure konfiguriert werden müssen, sind nicht verfügbar. Überprüfen Sie, ob eine Intune-Lizenz verfügbar ist. Versuchen Sie, das Portal manage.windowsazure.com zu verwenden, um festzustellen, ob die Berechtigung hinzugefügt werden kann. Wenden Sie sich an den Microsoft-Support, wenn das Problem weiterhin besteht.
NetScaler Gateway kann nicht erreichen login.microsoftonline.com and graph.windows.net. Prüfen Sie von NS Shell aus, ob Sie die folgende Microsoft-Website erreichen können: cURL -v -k https://login.microsoftonline.com. Überprüfen Sie dann, ob DNS auf NetScaler Gateway konfiguriert ist. Vergewissern Sie sich auch, dass die Firewall-Einstellungen korrekt sind (falls DNS-Anfragen durch eine Firewall gespeichert sind).
Ein Fehler erscheint in ns.log nachdem Sie OAuthAction konfiguriert haben. Überprüfen Sie, ob die Intune-Lizenzierung aktiviert ist und die Azure Gateway-App über die richtigen Berechtigungen verfügt.
Der Befehl “OAuthAction” zeigt den OAuth-Status nicht als abgeschlossen an. Überprüfen Sie die DNS-Einstellungen und Berechtigungen für die Azure Gateway-App.
Auf dem Android- bzw. iOS-Gerät wird die Zweifaktor-Authentifizierungsaufforderung nicht angezeigt. Überprüfen Sie, ob das Zweifaktor-Geräte-ID-LogonSchema an den virtuellen Authentifizierungsserver gebunden ist.

Status und Fehlerzustand von NetScaler Gateway OAuth

Status Zustand des Fehlers
AADFORGRAPH Ungültiger Schlüssel, URL nicht aufgelöst, Verbindungstimeout
MDMINFO *manage.microsoft.comist ausgefallen oder nicht erreichbar
GRAPH Graph-Endpunkt nicht erreichbar
CERTFETCH Kommunikation mit Token Endpoint: https://login.microsoftonline.com wegen eines DNS-Fehlers nicht möglich. Um diese Konfiguration zu validieren, gehen Sie zu Shell und geben cURL ein https://login.microsoftonline.com. Der Befehl muss validieren.

Hinweis: Wenn der OAuth Status erfolgreich ist, wird der Status als COMPLETE angezeigt.

NetScaler Gateway für Micro-VPN mit Microsoft Endpoint Manager einrichten
March 27, 2024
Beitrag von: 
C
March 27, 2024
Beitrag von: 
C

In diesem Artikel

Feedback zur Site | Datenschutz und rechtliche Bestimmungen | Cookie-Einstellungen | Einstellungen für die Zustimmung | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.