Konfigurieren Sie Always On VPN vor der Windows-Anmeldung mithilfe der klassischen Richtlinie
Voraussetzungen
-
NetScaler Gateway und VPN-Plug-in müssen Version 12.0.51.24 und höher sein
-
Mithilfe der klassischen Richtlinie können Sie nur Tunnel auf Maschinenebene konfigurieren. Informationen zur Tunnelkonfiguration auf Benutzerebene finden Sie unter [Link zur erweiterten Richtlinienkonfiguration]
Konfigurieren Sie Always On VPN vor der Windows-Anmeldung mithilfe der klassischen Richtlinie in der GUI
Always On VPN vor Windows Logon unterstützt die folgenden beiden Konfigurationen:
- Gerätezertifikat-Authentifizierung
- Clientzertifikatauthentifizierung
Gerätezertifikatbasierte Authentifizierung
- Navigieren Sie auf der Registerkarte Konfiguration zu NetScaler Gateway > Virtuelle Server.
- Wählen Sie auf der Seite NetScaler Gateway Virtual Servers einen vorhandenen virtuellen Server aus und klicken Sie auf Bearbeiten.
- Klicken Sie auf der Seite Virtuelle VPN-Server im Abschnitt Grundeinstellungen auf Bearbeiten.
- Deaktivieren Sie das Kästchen Authentifizierung aktivieren, um die Authentifizierung zu deaktivieren und das Gerätezertifikat zu aktivieren, indem Sie das Kontrollkästchen Enable Device Certificate aktivieren.
-
Klicken Sie auf Hinzufügen, um den CA-Zertifikatsnamen des Ausstellers des verfügbaren Gerätezertifikats zur Liste hinzuzufügen.
-
Um ein CA-Zertifikat an den virtuellen Server zu binden, klicken Sie im Abschnitt Zertifikat auf CA-Zertifikat. Klicken Sie auf der Seite SSL Virtual Server CA Certificate Binding auf Bindung hinzufügen.
-
Klicken Sie hier
Click to select, um das erforderliche Zertifikat auszuwählen.
-
Wählen Sie das erforderliche CA-Zertifikat aus.
-
Klicken Sie auf Bind.
- Klicken Sie auf OK, um die Konfiguration zu speichern.
Clientzertifikatbasierte Authentifizierung
- Navigieren Sie auf der Registerkarte Konfiguration zu NetScaler Gateway > Virtuelle Server.
- Wählen Sie auf der Seite NetScaler Gateway Virtual Servers einen vorhandenen virtuellen Server aus und klicken Sie auf Bearbeiten.
- Klicken Sie im Navigationsbereich unter Authentifizierung auf CERT.
- Klicken Sie im Detailbereich auf Hinzufügen.
- Geben Sie im Feld Name einen Namen für die Richtlinie ein.
- Klicken Sie neben dem Server auf Neu.
- Geben Sie im Feld Name einen Namen für das Profil ein.
- Wählen Sie neben Two Factor OFF.
- Wählen Sie unter Benutzername und Gruppennamedie Werte aus und klicken Sie dann auf Erstellen.
- Wählen Sie im Dialogfeld Authentifizierungsrichtlinie erstellen neben Benannte Ausdrücke den Ausdruck aus, klicken Sie auf Ausdruck hinzufügen, klicken Sie auf Erstellen und dann auf Schließen.
- Binden Sie den Ausdruck an den virtuellen Server.
- Navigieren Sie auf der Registerkarte Konfiguration zu NetScaler Gateway > Virtuelle Server.
- Wählen Sie auf der Seite NetScaler Gateway Virtual Servers einen vorhandenen virtuellen Server aus und klicken Sie auf Bearbeiten.
- Klicken Sie im Dialogfeld NetScaler Gateway Virtual Server konfigurieren auf die Registerkarte Authentifizierung.
- Klicken Sie auf Primär und unter Details auf Richtlinie einfügen.
- Wählen Sie unter Richtlinienname die Richtlinie aus, und klicken Sie dann auf OK.
- Erstellen Sie auf der Seite VPN Virtual Servers ein SSL-Profil.
- Wählen Sie unter SSL-Neuverhandlung verweigern die Option NONSECURE nur für nicht sichere Anfragen aus.
- Klicken Sie auf OK.
Clientseitige Konfiguration
AlwaysOn, LocationDetection und SuffixList Registern sind optional und nur erforderlich, wenn die Standorterkennungsfunktion benötigt wird.
| Registrierungsschlüssel | Registrierungstyp | Werte und Beschreibung |
|---|---|---|
| AlwaysOnService | REG_DWORD | 1 => Always On Dienst ohne Benutzerpersönlichkeit aktivieren; 2 => Always On Dienst mit User Persona aktivieren |
| AlwayOnURL | REG SZ | URL des virtuellen NetScaler Gateway-Servers, mit dem ein Benutzer eine Verbindung herstellen möchte. Beispiel:https://xyz.companyDomain.com
|
AlwaysOn |
REG_DWORD | 1 => Netzwerkzugriff bei VPN-Fehler zulassen; 2=> Netzwerkzugriff bei VPN-Fehler blockieren |
| locationDetection | REG_DWORD | 1 => Um die Standorterkennung zu aktivieren; 0 => Um die Standorterkennung zu deaktivieren |
| suffixList | REG SZ | Kommagetrennte Liste von Intranet-Domains. Wird verwendet, wenn die Standorterkennung aktiviert ist. |