Erweiterte Endpoint Analysis-Scans

Last published : Oct 14, 2026
Die erweiterte Endpoint Analysis (EPA) wird verwendet, um Benutzergeräte auf die auf NetScaler Gateway konfigurierte Endpoint-Sicherheitsanforderung zu scannen. Wenn ein Benutzergerät versucht, auf das NetScaler Gateway zuzugreifen, wird das Gerät auf Sicherheitsinformationen wie Betriebssystem, Antivirus, Webbrowser-Versionen usw. gescannt, bevor ein Administrator den Zugriff auf das NetScaler Gateway gewähren kann.
Der erweiterte EPA-Scan ist ein richtlinienbasierter Scan, den Sie auf NetScaler Gateway für Authentifizierungssitzungen konfigurieren können. Die Richtlinie führt eine Registrierungsprüfung auf einem Benutzergerät durch und erlaubt oder verweigert basierend auf der Auswertung den Zugriff auf das NetScaler-Netzwerk. Weitere Informationen zu den Systemanforderungen des Citrix EPA-Clients finden Sie unter Endpoint Analysis-Anforderungen.
Wichtig:
OPSWAT-Scans, die Administratorrechte erfordern, werden auf Citrix EPA-Clients für Windows und macOS nicht unterstützt. Um unterstützte OPSWAT-Scans zu überprüfen, lesen Sie die „Supported application list.xlsx“, die auf der Seite Citrix Downloads für die spezifische Version der verwendeten OPSWAT-Bibliotheken verfügbar ist.
Wenn ein Scan-Qualifizierer in der „Supported application list.xlsx“ als „FALSE“ markiert ist, bedeutet dies, dass der entsprechende OPSWAT-Scan-Qualifizierer nicht unterstützt wird. In solchen Fällen wird empfohlen, Ihre Scans anzupassen, um unterstützte Konfigurationen zu verwenden.
Sie können den erweiterten EPA-Scan über die GUI oder die CLI konfigurieren.
Related information
VPN-Konfiguration auf einer NetScaler Gateway Appliance
EPA-Scan für MAC-AdressenReferenz für Richtlinienausdrücke der erweiterten Endpunktanalyse

Auf der GUI

  1. EPA-Aktion erstellen.
    Navigieren Sie zu Security > AAA - Application Traffic > Policies > Authentication > Advanced Policies > Actions > EPA und klicken Sie auf Add. Aktualisieren Sie auf der Seite Create Authentication EPA Action die folgenden Informationen und klicken Sie auf Create.
    • Name: Name der EPA-Aktion.
    • Standardgruppe: Die Standardgruppe, die ausgewählt wird, wenn die EPA-Prüfung erfolgreich ist.
    • Quarantänegruppe: Die Quarantänegruppe, die ausgewählt wird, wenn die EPA-Prüfung fehlschlägt.
    • Prozess beenden: Eine Zeichenfolge, die den Namen eines Prozesses angibt, der vom EPA-Plug-in beendet werden soll. Mehrere Prozesse müssen durch Kommas getrennt sein.
    • Dateien löschen: Eine Zeichenfolge, die die Pfade und Namen der Dateien angibt, die vom EPA-Plug-in gelöscht werden sollen. Mehrere Dateien müssen durch Kommas getrennt sein.
    • Ausdruck: Informationen zum EPA-Ausdrucksformat finden Sie unter Referenz zu erweiterten Endpoint Analysis-Richtlinienausdrücken.
    Erweiterter EPA-Scan-Workflow
    • EPA-Editor: Wählen Sie die Operatoren für den Produktversionsscan aus.
    Erweiterter EPA-Scan-Workflow
    Hinweis:
    Der Citrix EPA-Client für macOS 24.2.1.5 / Citrix Secure Access-Client für macOS 24.02.1 und spätere Versionen unterstützen die EPA-Operatoren >, <, >=, <=, == und != im EPA-Editor. Außerdem ist die Option Mac OS jetzt als separate Option im EPA-Editor verfügbar (Mac > Mac OS). Zuvor musste der macOS-Produktversionsscan unter Common > Operating System > MacOS nur mit den Operatoren == und != durchgeführt werden. Stellen Sie sicher, dass Sie NetScaler Gateway 14.1-12.x oder höher verwenden, um diese Funktionalität nutzen zu können.
    Sie können mit diesen Operatoren einen Produktversionsscan Ihrer macOS-Geräte unter Mac > Mac OS durchführen. Um beispielsweise die OS-Versionen von 12.4 bis 13.0, außer 12.8, zuzulassen, konfigurieren Sie den Ausdruck sys.client_expr("sys_0_MAC-OS_version_>=_12.4")&&sys.client_expr("sys_0_MAC-OS_version_<=_13.0")&&sys.client_expr("sys_0_MAC-OS_version_!=_12.8") im EPA-Editor.
  2. Erstellen Sie eine entsprechende EPA-Richtlinie.
    Navigieren Sie zu Security > AAA - Application Traffic > Policies > Authentication > Advanced Policies > Policies und klicken Sie auf Add. Aktualisieren Sie auf der Seite Authentifizierungsrichtlinie erstellen die folgenden Informationen und klicken Sie auf Erstellen.
    • Name: Name der erweiterten EPA-Richtlinie.
    • Aktionstyp: Typ der Authentifizierungsaktion.
    • Aktion: Name der Authentifizierungsaktion, die ausgeführt werden soll, wenn die Richtlinie übereinstimmt.
    • Ausdruck: Informationen zum EPA-Ausdrucksformat finden Sie unter Referenz zu erweiterten Endpoint Analysis-Richtlinienausdrücken.
    • Protokollaktion: Name der Nachrichtenprotokollaktion, die verwendet werden soll, wenn eine Anforderung dieser Richtlinie entspricht. Die maximal zulässige Länge beträgt 127 Zeichen.
    Erweiterter EPA-Scan-Workflow
  3. Konfigurieren Sie einen virtuellen Authentifizierungsserver und ein Authentifizierungsprofil.
    • Navigieren Sie zu Security > AAA - Application Traffic > Authentication Virtual servers und klicken Sie auf Add.
    Workflow für erweiterte EPA-Scans
    • Navigieren Sie zu Security > AAA - Application Traffic > Authentication Profile und klicken Sie auf Create.
    Workflow für erweiterte EPA-Scans
  4. Binden Sie die erweiterte EPA-Richtlinie an den virtuellen Authentifizierungsserver.
    • Navigieren Sie zu Security > AAA – Application Traffic > Authentication Virtual Servers und wählen Sie den virtuellen Authentifizierungsserver aus.
    • Wählen Sie die Richtlinie im Abschnitt Advanced Authentication Policies aus.
    • Klicken Sie im Abschnitt Policy Binding auf Bind.
    Workflow für erweiterte EPA-Scans
  5. Binden Sie die EPA-Richtlinie an den nFactor-Flow.
    Details zum Hinzufügen einer erweiterten EPA-Richtlinie als Faktor zum nFactor-Flow finden Sie unter EPA-Scan als Faktor bei der nFactor-Authentifizierung.

Auf der CLI

  1. Erstellen Sie eine Aktion, um den EPA-Scan durchzuführen.
    add authentication epaAction EPA-client-scan -csecexpr "sys.client_expr (\"proc_2_firefox\")"
    Der vorhergehende Ausdruck scannt, ob der Prozess „Firefox“ ausgeführt wird. Das EPA-Plug-in überprüft die Existenz des Prozesses alle 2 Minuten, was durch die Ziffer „2“ im Scan-Ausdruck angezeigt wird.
  2. Ordnen Sie die EPA-Aktion einer erweiterten EPA-Richtlinie zu.
    add authentication Policy EPA-check -rule true -action EPA-client-scan
  3. Konfigurieren Sie einen virtuellen Authentifizierungsserver und ein Authentifizierungsprofil.
    add authentication vserver authnvsepa ssl -ip address 192.0.2.0 -port 443add Authnprofile_EPA -authnVsName authnvsepa
  4. Binden Sie die erweiterte EPA-Richtlinie an den virtuellen Authentifizierungsserver.
    bind authentication vs authnvsepa -policy EPA-check -pr 1

EPA-Bibliotheken aktualisieren

So aktualisieren Sie EPA-Bibliotheken mit der NetScaler-GUI:
  1. Navigieren Sie zu Configuration > NetScaler Gateway > Update Client Components.
  2. Klicken Sie unter Update Client Components auf den Link Upgrade EPA Libraries.
  3. Wählen Sie die gewünschte Datei aus und klicken Sie auf Upgrade.
Wichtig:
  • Bei einer NetScaler Gateway-Hochverfügbarkeit müssen die EPA-Bibliotheken sowohl auf dem primären als auch auf dem sekundären Knoten aktualisiert werden.
  • In einer NetScaler Gateway-Clustering-Einrichtung müssen die EPA-Bibliotheken auf allen Clusterknoten aktualisiert werden.
  • Wenn nach dem Upgrade der EPA-Bibliothek Probleme auftreten, können Sie kein Downgrade auf eine niedrigere Version durchführen. Wenden Sie sich an Citrix Support, um Unterstützung zu erhalten.
Eine Liste der von OPSWAT für NetScaler-Scans unterstützten Windows- und MAC-Anwendungen finden Sie unter <https://support.citrix.com/article/CTX234466>.

Fehlerbehebung bei erweiterten Endpoint Analysis-Scans

Zur Fehlerbehebung bei erweiterten Endpoint Analysis-Scans schreiben die Client-Plug-ins Protokollinformationen in eine Datei auf den Client-Endpunktsystemen. Diese Protokolldateien finden Sie in den folgenden Verzeichnissen, abhängig vom Betriebssystem des Benutzers.
Windows Vista, Windows 7, Windows 8, Windows 8.1 und Windows 10:
C:\\Users\\\&lt;username\>\\AppData\\Local\\Citrix\\AGEE\\nsepa.txt
Windows XP:
C:\Dokumente und Einstellungen\Alle Benutzer\Anwendungsdaten\Citrix\AGEE\nsepa.txt
Mac OS X-Systeme:
~/Library/Application Support/Citrix/EPAPlugin/epaplugin.log
(Wobei das Symbol ~ den Home-Verzeichnispfad des entsprechenden macOS-Benutzers angibt.) (Wobei das Symbol ~ den Home-Verzeichnispfad des entsprechenden macOS-Benutzers angibt.)
Ubuntu:
  • ~/.citrix/nsepa.txt
  • ~/.citrix/nsgcepa.txt

Windows Letzte Update-Überprüfung

Hinweis:
Um die EPA-Bibliothek zu aktualisieren, laden Sie sie von <https://www.citrix.com/downloads/citrix-secure-access/epa-libraries/epa-libraries-for-netscaler-gateway.html> herunter.
Die Verbesserung der Windows Letzte Update-Überprüfung ist ab EPA-Bibliotheksversion 24.9.1.1 und höher anwendbar. Ab Version 24.9.1.1 umfasst die Überprüfung Updates, die über BigFix, Intune und andere Drittanbieter-Tools installiert wurden, zusätzlich zu denen, die über den Windows Auto Upgrade-Dienst installiert wurden. Die Windows Letzte Update-Überprüfung ist nicht anwendbar für manuell installierte Updates, bei denen der Update-Patch vom Benutzer heruntergeladen und installiert wird.
Ab EPA-Bibliotheksversion 24.11.1.1 listet die Windows Letzte Update-Überprüfung die Windows-Updates in den folgenden Kategorien auf:
  • Generische Updates: Diese Kategorie umfasst Updates, die über Windows Update, Microsoft Update oder die automatische Update-Funktion installiert wurden.
  • Sicherheitsupdates: Diese Kategorie umfasst Patches für sicherheitsrelevante Schwachstellen. Die Sicherheitsupdates werden am zweiten Dienstag jedes Monats veröffentlicht.
  • Kritische Updates: Diese Kategorie umfasst Patches für kritische und nicht sicherheitsrelevante Fehler. Die kritischen Updates werden bei Bedarf veröffentlicht.
  • Definitionsupdates: Diese Kategorie umfasst Updates, die Ergänzungen zur Definitionsdatenbank eines Produkts enthalten. Wenn Definitionsupdates veröffentlicht werden, werden nur die Unterschiede zwischen dem neuesten Update und dem aktuell installierten Update heruntergeladen und auf das Gerät angewendet.
  • Updaterollups: Diese Kategorie umfasst getestete, kumulative Sammlungen von Hotfixes, Sicherheitsupdates, kritischen Updates und Updates, die zur einfachen Bereitstellung zusammengefasst sind. Die Updaterollups werden am zweiten Dienstag jedes Monats veröffentlicht.
Hinweis:
Stellen Sie bei der Konfiguration des Windows Last Update Scans sicher, dass Updates innerhalb des konfigurierten Zeitraums für jede Kategorie geplant sind. Wenn Updates nicht innerhalb dieses Zeitrahmens installiert werden, schlägt der Scan fehl.
Windows Letzter Update-Scan