Configuración de reCAPTCHA para la autenticación nFactor
NetScaler Gateway admite una nueva acción de primera clase, “CaptchaAction”, que simplifica la configuración de reCAPTCHA. Como reCAPTCHA es una acción de primera clase, puede ser un factor en sí mismo. Puede inyectar reCAPTCHA en cualquier parte del flujo de nFactor.
Anteriormente, también había que escribir directivas de WebAuth personalizadas con cambios en la interfaz de usuario de RFWeb. Con la introducción de CaptchaAction, no es necesario modificar el JavaScript.
Importante
Si se usa reCAPTCHA junto con los campos de nombre de usuario o contraseña del esquema, el botón de envío se inhabilita hasta que se cumpla el reCAPTCHA.
Configuración de reCAPTCHA
La configuración de reCAPTCHA consta de dos partes.
- Configuración en Google para registrar reCAPTCHA.
- Configuración en el dispositivo NetScaler para usar reCAPTCHA como parte del flujo de inicio de sesión.
Configuración de reCAPTCHA en Google
Registre un dominio para reCAPTCHA en. https://www.google.com/recaptcha/admin#llist
-
Al navegar a esta página, aparece la siguiente pantalla.
Nota
Utilice solo reCaptcha v2. Invisible reCAPTCHA aún está en versión beta.
-
Después de registrar un dominio, se muestran “SiteKey” y “SecretKey”.
Nota
Las teclas “SiteKey” y “SecretKey” aparecen atenuadas por motivos de seguridad. “SecretKey” debe mantenerse a salvo.
Configuración de reCAPTCHA en el dispositivo NetScaler
La configuración de reCAPTCHA en el dispositivo NetScaler se puede dividir en tres partes:
- Mostrar la pantalla de reCAPTCHA
- Publica la respuesta de reCAPTCHA en el servidor de Google
- La configuración LDAP es el segundo factor para el inicio de sesión del usuario (opcional)
Mostrar la pantalla de reCAPTCHA
La personalización del formulario de inicio de sesión se realiza mediante el esquema de inicio de sesión de SingleAuthCaptcha.xml. Esta personalización se especifica en el servidor virtual de autenticación y se envía a la interfaz de usuario para representar el formulario de inicio de sesión. El esquema de inicio de sesión integrado, SingleAuthCaptcha.xml, se encuentra en el directorio /nsconfig/LoginSchema/loginSchema del dispositivo NetScaler.
Importante
- En función de su caso de uso y de los diferentes esquemas, puede modificar el esquema existente. Por ejemplo, si solo necesita el factor reCAPTCHA (sin nombre de usuario ni contraseña) o la autenticación doble con reCAPTCHA.
- Si se realiza alguna modificación personalizada o se cambia el nombre del archivo, Citrix recomienda copiar todos los esquemas de inicio de sesión del directorio /nsconfig/loginSchema/loginSchema al directorio principal, /nsconfig/loginschema.
Para configurar la visualización de reCAPTCHA mediante la CLI
add authentication loginSchema singleauthcaptcha -authenticationSchema /nsconfig/loginschema/SingleAuthCaptcha.xmladd authentication loginSchemaPolicy singleauthcaptcha -rule true -action singleauthcaptchaadd authentication vserver auth SSL <IP> <Port>add ssl certkey vserver-cert -cert <path-to-cert-file> -key <path-to-key-file>bind ssl vserver auth -certkey vserver-certbind authentication vserver auth -policy singleauthcaptcha -priority 5 -gotoPriorityExpression END
Publica la respuesta de reCAPTCHA en el servidor de Google
Después de configurar el reCAPTCHA que debe mostrarse a los usuarios, los administradores publican agregar la configuración al servidor de Google para verificar la respuesta del reCAPTCHA del navegador.
Para verificar la respuesta de reCAPTCHA desde el navegador
add authentication captchaAction myrecaptcha -sitekey <sitekey-copied-from-google> -secretkey <secretkey-from-google>add authentication policy myrecaptcha -rule true -action myrecaptchabind authentication vserver auth -policy myrecaptcha -priority 1
Los siguientes comandos son necesarios para configurar si se quiere la autenticación de AD. De lo contrario, puede ignorar este paso.
add authentication ldapAction ldap-new -serverIP x.x.x.x -serverPort 636 -ldapBase "cn=users,dc=aaatm,dc=com" -ldapBindDn adminuser@aaatm.com -ldapBindDnPassword <password> -encrypted -encryptmethod ENCMTHD_3 -ldapLoginName sAMAccountName -groupAttrName memberof -subAttributeName CN -secType SSL -passwdChange ENABLED -defaultAuthenticationGroup ldapGroupadd authenticationpolicy ldap-new -rule true -action ldap-new
La configuración LDAP es el segundo factor para el inicio de sesión del usuario (opcional)
La autenticación LDAP se produce después de reCAPTCHA, se añade al segundo factor.
add authentication policylabel second-factorbind authentication policylabel second-factor -policy ldap-new -priority 10bind authentication vserver auth -policy myrecaptcha -priority 1 -nextFactor second-factor
El administrador debe agregar los servidores virtuales adecuados en función de si se utiliza un servidor virtual de equilibrio de carga o un dispositivo NetScaler Gateway para el acceso. El administrador debe configurar el siguiente comando si se requiere un servidor virtual de equilibrio de carga:
-
add lb vserver lbtest HTTP <IP> <Port> -authentication ON -authenticationHost nssp.aaatm.comnssp.aaatm.com: Se resuelve en el servidor virtual de autenticación.
Validación de reCAPTCHA por parte del usuario
Una vez que haya configurado todos los pasos mencionados en las secciones anteriores, debe ver las capturas de pantalla de la interfaz de usuario que se muestran a continuación.
-
Una vez que el servidor virtual de autenticación carga la página de inicio de sesión, aparece la pantalla de inicio de sesión. Elinicio de sesión está desactivado hasta que se complete el reCAPTCHA.
-
Selecciona la opción No soy un robot. Se muestra el widget reCAPTCHA.
- Se navega por una serie de imágenes de reCAPTCHA antes de que aparezca la página de finalización.
-
Introduzca las credenciales de AD, active la casilla de verificación No soy un robot y haga clic en Iniciar sesión. Si la autenticación se realiza correctamente, se le redirigirá al recurso deseado.
Notas
- Si el reCAPTCHA se usa con la autenticación de AD, el botón Enviar para las credenciales se inhabilita hasta que se complete el reCAPTCHA.
- El reCAPTCHA se produce en un factor propio. Por lo tanto, cualquier validación posterior como AD debe ocurrir en el ‘nextfactor’ de reCAPTCHA.