Zugriffsszenario-Fallback konfigurieren

Last published : Oct 14, 2026
SmartAccess ermöglicht NetScaler Gateway, die zulässigen Zugriffsmethoden für ein Benutzergerät basierend auf den Ergebnissen eines Endpunktanalyse-Scans automatisch zu bestimmen. Der Zugriffsszenario-Fallback erweitert diese Funktion, indem er einem Benutzergerät ermöglicht, vom Citrix Secure Access Client zu StoreFront über die Citrix Workspace-App zurückzugreifen, wenn das Benutzergerät den anfänglichen Endpunktanalyse-Scan nicht besteht.
Um den Zugriffsszenario-Fallback zu aktivieren, konfigurieren Sie eine Post-Authentifizierungsrichtlinie, die bestimmt, ob Benutzer eine alternative Zugriffsmethode erhalten, wenn sie sich bei NetScaler Gateway anmelden. Diese Post-Authentifizierungsrichtlinie ist als Client-Sicherheitsausdruck definiert, den Sie entweder global oder als Teil eines Sitzungsprofils konfigurieren. Wenn Sie ein Sitzungsprofil konfigurieren, wird das Profil einer Sitzungsrichtlinie zugeordnet, die Sie dann an Benutzer, Gruppen oder virtuelle Server binden. Wenn Sie den Zugriffsszenario-Fallback aktivieren, initiiert NetScaler Gateway nach der Benutzerauthentifizierung einen Endpunktanalyse-Scan. Die Ergebnisse für Benutzergeräte, die die Anforderungen eines Fallback-Post-Authentifizierungs-Scans nicht erfüllen, sind wie folgt:
  • Wenn Client-Auswahlmöglichkeiten aktiviert sind, können sich Benutzer nur über die Citrix Workspace-App bei StoreFront anmelden.
  • Wenn clientloser Zugriff und Client-Auswahlmöglichkeiten deaktiviert sind, können Benutzer in eine Gruppe unter Quarantäne gestellt werden, die nur Zugriff auf StoreFront bietet.
  • Wenn clientloser Zugriff und StoreFront auf NetScaler Gateway aktiviert und ICA Proxy deaktiviert ist, greifen Benutzer auf clientlosen Zugriff zurück.
  • Wenn StoreFront nicht konfiguriert ist und clientloser Zugriff auf „Zulassen“ eingestellt ist, greifen Benutzer auf clientlosen Zugriff zurück.
Wenn clientloser Zugriff deaktiviert ist, muss die folgende Kombination von Einstellungen für den Zugriffsszenario-Fallback konfiguriert werden:
  • Definieren Sie Client-Sicherheitsparameter für den Fallback-Post-Authentifizierungs-Scan.
  • Definieren Sie die Web Interface-Startseite.
  • Deaktivieren Sie Client-Auswahlmöglichkeiten.
  • Wenn Benutzergeräte die Client-Sicherheitsprüfung nicht bestehen, werden Benutzer in eine Quarantänegruppe verschoben, die nur Zugriff auf StoreFront und auf veröffentlichte Anwendungen erlaubt.
Related information
VPN-Konfiguration auf einer NetScaler Gateway Appliance

Richtlinien für den Zugriffsszenario-Fallback erstellen

Um NetScaler Gateway für den Zugriffsszenario-Fallback zu konfigurieren, müssen Sie Richtlinien und Gruppen auf folgende Weise erstellen:
  • Erstellen Sie eine Quarantänegruppe, in die Benutzer verschoben werden, wenn der Endpunktanalyse-Scan fehlschlägt.
  • Erstellen Sie eine globale StoreFront-Einstellung, die verwendet wird, wenn der Endpunktanalyse-Scan fehlschlägt.
  • Erstellen Sie eine Sitzungsrichtlinie, die die globale Einstellung überschreibt, und binden Sie die Sitzungsrichtlinie dann an eine Gruppe.
  • Erstellen Sie eine globale Clientsicherheitsrichtlinie, die angewendet wird, wenn die Endpunktanalyse fehlschlägt.
Beachten Sie beim Konfigurieren des Fallbacks für Zugriffsszenarien die folgenden Richtlinien:
  • Die Verwendung von Client-Auswahlen oder des Fallbacks für Zugriffsszenarien erfordert das Endpoint Analysis-Plug-in für alle Benutzer. Wenn die Endpunktanalyse nicht ausgeführt werden kann oder Benutzer während des Scans „Scan überspringen“ auswählen, wird den Benutzern der Zugriff verweigert. Hinweis: Die Option zum Überspringen des Scans wurde in NetScaler Gateway 10.1, Build 120.1316.e, entfernt.
  • Wenn Sie Client-Auswahlen aktivieren und das Benutzergerät den Endpunktanalyse-Scan nicht besteht, werden Benutzer in die Quarantänegruppe verschoben. Benutzer können sich weiterhin entweder mit dem Citrix Secure Access-Client oder der Citrix Workspace-App bei StoreFront anmelden. Hinweis: Citrix® empfiehlt, keine Quarantänegruppe zu erstellen, wenn Sie Client-Auswahlen aktivieren. Benutzergeräte, die den Endpunktanalyse-Scan nicht bestehen und unter Quarantäne gestellt werden, werden genauso behandelt wie Benutzergeräte, die den Endpunkt-Scan bestehen.
  • Wenn der Endpunktanalyse-Scan fehlschlägt und der Benutzer in die Quarantänegruppe verschoben wird, sind die an die Quarantänegruppe gebundenen Richtlinien nur dann wirksam, wenn keine Richtlinien direkt an den Benutzer gebunden sind, die eine gleiche oder niedrigere Prioritätsnummer als die an die Quarantänegruppe gebundenen Richtlinien haben.
  • Sie können unterschiedliche Webadressen für die Zugriffsschnittstelle und StoreFront verwenden. Wenn Sie die Startseiten konfigurieren, hat die Startseite der Zugriffsschnittstelle Vorrang für den Citrix Secure Access-Client, und die Startseite der Citrix Workspace-App hat Vorrang für StoreFront.

Quarantänegruppe erstellen

  1. Erweitern Sie in der Konfigurationsdienstprogramm auf der Registerkarte „Configuration“ im Navigationsbereich erweitern NetScaler Gateway > User Administration, und klicken Sie dann auf AAA Groups.
  2. Klicken Sie im Detailbereich auf Add.
  3. Geben Sie unter Group Name einen Namen für die Gruppe ein, klicken Sie auf Create und dann auf Close.
    Wichtig:
    Der Name der Quarantänegruppe darf nicht mit dem Namen einer Domänengruppe übereinstimmen, der Benutzer möglicherweise angehören. Wenn die Quarantänegruppe mit einem Active Directory-Gruppennamen übereinstimmt, werden Benutzer unter Quarantäne gestellt, selbst wenn das Benutzergerät den Sicherheits-Scan der Endpunktanalyse besteht.
Nachdem Sie die Gruppe erstellt haben, konfigurieren Sie NetScaler Gateway so, dass es auf die Zugriffsschnittstelle zurückgreift, wenn das Benutzergerät den Endpunktanalyse-Scan nicht besteht.

Einstellungen zum Unter-Quarantäne-Stellen von Benutzerverbindungen konfigurieren

  1. Erweitern Sie im Konfigurationsdienstprogramm auf der Registerkarte Konfiguration im Navigationsbereich erweitern NetScaler Gateway, und klicken Sie dann auf Globale Einstellungen.
  2. Klicken Sie im Detailbereich unter Einstellungen auf Globale Einstellungen ändern.
  3. Wählen Sie im Dialogfeld Globale NetScaler Gateway-Einstellungen auf der Registerkarte Veröffentlichte Anwendungen neben ICA-Proxy die Option AUS.
  4. Geben Sie neben Webinterface-Adresse die Webadresse für StoreFront ein.
  5. Geben Sie neben Single Sign-On-Domäne den Namen Ihrer Active Directory-Domäne ein, und klicken Sie dann auf OK.
Nach dem Konfigurieren der globalen Einstellungen erstellen Sie eine Sitzungsrichtlinie, die die globale ICA®-Proxy-Einstellung überschreibt, und binden Sie die Sitzungsrichtlinie dann an die Quarantänegruppe.

Sitzungsrichtlinie für Access Scenario Fallback erstellen

  1. Erweitern Sie im Konfigurationsdienstprogramm auf der Registerkarte Konfiguration im Navigationsbereich erweitern NetScaler Gateway > Richtlinien, und klicken Sie dann auf Sitzung.
  2. Klicken Sie im Detailbereich auf Hinzufügen.
  3. Geben Sie unter Name einen Namen für die Richtlinie ein.
  4. Klicken Sie neben Anforderungsprofil auf Neu.
  5. Klicken Sie auf der Registerkarte Veröffentlichte Anwendungen neben ICA-Proxy auf Global überschreiben, wählen Sie Ein aus, und klicken Sie dann auf Erstellen.
  6. Wählen Sie im Dialogfeld Sitzungsrichtlinie erstellen neben Benannte Ausdrücke die Option Allgemein aus, wählen Sie Wahrer Wert aus, klicken Sie auf Ausdruck hinzufügen, klicken Sie auf Erstellen und dann auf Schließen.
Nach dem Erstellen der Sitzungsrichtlinie binden Sie die Richtlinie an eine Quarantänegruppe.

Sitzungsrichtlinie an die Quarantänegruppe binden

  1. Klicken Sie im Konfigurationsdienstprogramm auf der Registerkarte „Konfiguration“ im Navigationsbereich auf erweitern NetScaler Gateway > Benutzerverwaltung und dann auf AAA-Gruppen.
  2. Wählen Sie im Detailbereich eine Gruppe aus, und klicken Sie dann auf Öffnen.
  3. Klicken Sie auf Sitzung.
  4. Wählen Sie auf der Registerkarte Richtlinien die Option Sitzung aus, und klicken Sie dann auf Richtlinie einfügen.
  5. Wählen Sie unter Richtlinienname die Richtlinie aus, und klicken Sie dann auf OK.
Nachdem Sie die Sitzungsrichtlinie und das Profil zur Aktivierung von StoreFront auf NetScaler Gateway erstellt haben, erstellen Sie eine globale Client-Sicherheitsrichtlinie.

Globale Client-Sicherheitsrichtlinie erstellen

  1. Klicken Sie im Konfigurationsdienstprogramm auf der Registerkarte „Konfiguration“ im Navigationsbereich auf erweitern NetScaler Gateway und dann auf Globale Einstellungen.
  2. Klicken Sie im Detailbereich unter Einstellungen auf Globale Einstellungen ändern.
  3. Klicken Sie auf der Registerkarte Sicherheit auf Erweiterte Einstellungen.
  4. Geben Sie unter Client-Sicherheit den Ausdruck ein. Weitere Informationen zum Konfigurieren von Systemausdrücken finden Sie unter Konfigurieren von Systemausdrücken und Konfigurieren von zusammengesetzten Client-Sicherheitsausdrücken.
  5. Wählen Sie unter Quarantänegruppe die Gruppe aus, die Sie im Gruppenverfahren konfiguriert haben, und klicken Sie dann auf OK.