Autenticación
24 de mayo de 2018
Los usuarios pueden autenticarse internamente mediante Citrix Application Delivery Management (ADM), externamente mediante un servidor de autenticación o ambos. Si se utiliza la autenticación local, el usuario debe estar en la base de datos de seguridad Citrix ADM. Si el usuario se autentica externamente, el «nombre externo» del usuario debe coincidir con la identidad del usuario externo registrada en el servidor de autenticación, según el protocolo de autenticación seleccionado.
Citrix ADM admite la autenticación externa mediante los protocolos RADIUS, LDAP y TACACS. Este soporte unificado proporciona una interfaz común para autenticar y autorizar a todos los usuarios del servidor de autenticación, autorización y contabilidad (AAA) locales y externos que acceden al sistema. Citrix ADM puede autenticar a los usuarios independientemente de los protocolos reales que utilicen para comunicarse con el sistema. Cuando un usuario intenta acceder a una implementación de Citrix ADM configurada para la autenticación externa, el servidor de aplicaciones solicitado envía el nombre de usuario y la contraseña al servidor RADIUS, LDAP o TACACS para su autenticación. Si la autenticación se realiza correctamente, se utiliza el protocolo correspondiente para identificar al usuario en Citrix ADM.
Puede autenticar a sus usuarios en Citrix ADM de dos maneras:
- Mediante servidores locales Citrix ADM
- Mediante el uso de servidores de autenticación externos
El siguiente diagrama de flujo muestra el flujo de trabajo a seguir al autenticar usuarios locales o externos:
Configurar servidores de autenticación externos
Citrix ADM admite varios protocolos para proporcionar servicios externos de autenticación, autorización y contabilidad (AAA).
Citrix ADM envía todas las solicitudes de servicio de autenticación, autorización y contabilidad (AAA) al servidor RADIUS, LDAP o TACACS+ remoto. El servidor AAA remoto recibe la solicitud, la valida y envía una respuesta a Citrix ADM. Cuando se configura para utilizar un servidor RADIUS, TACACS+ o LDAP remoto para la autenticación, Citrix ADM se convierte en un cliente RADIUS, TACACS+ o LDAP. En cualquiera de estas configuraciones, los registros de autenticación se almacenan en la base de datos del servidor host remoto. El nombre de la cuenta de inicio y cierre de sesión, los permisos asignados y los registros de contabilidad del tiempo también se almacenan en el servidor AAA para cada usuario.
Además, puede utilizar la base de datos interna de NetScaler ADM para autenticar usuarios localmente. Crear entradas en la base de datos para los usuarios y sus contraseñas y roles predeterminados. También puede crear grupos de servidores para tipos específicos de autenticación. La lista de servidores de un grupo de servidores es una lista ordenada. El primer servidor de la lista siempre se utiliza a menos que no esté disponible, en cuyo caso se utiliza el siguiente servidor de la lista. Puede configurar servidores de diferentes tipos en un grupo y también puede incluir la base de datos interna como respaldo de autenticación alternativo en la lista configurada de servidores AAA.
Configurar un servidor de autenticación RADIUS
Puede configurar Citrix ADM para autenticar el acceso de los usuarios con uno o más servidores RADIUS. Es posible que su configuración requiera el uso de una dirección IP del servidor de acceso a la red (IP del NAS) o un identificador del servidor de acceso a la red (ID del NAS). Al configurar Citrix ADM para usar un servidor de autenticación RADIUS, siga las siguientes pautas: Si habilita el uso de la dirección IP del NAS, el dispositivo envía su dirección IP configurada al servidor RADIUS, en lugar de enviar la dirección IP de origen utilizada para establecer la conexión RADIUS.
- Si configura el ID del NAS, el dispositivo envía el identificador al servidor RADIUS. Si no configura el ID del NAS, el dispositivo envía su nombre de host al servidor RADIUS.
- Si habilita la dirección IP del NAS, el dispositivo ignora cualquier ID de NAS que esté configurado y utiliza la IP del NAS para comunicarse con el servidor RADIUS.
Para configurar un servidor de autenticación RADIUS:
-
En NetScaler ADM, vaya a Sistema > Autenticación > RADIUS.
-
En la página RADIUS, haga clic en Agregar.
-
En la página Crear servidor RADIUS , defina los parámetros y haga clic en Crear para agregar el servidor a la lista de servidores de autenticación RADIUS. Los siguientes parámetros son obligatorios:
-
Nombre. Nombre del servidor RADIUS.
-
Nombre del servidor/ DirecciónIP . Nombre del servidor o dirección IP del servidor RADIUS.
-
Puerto. De forma predeterminada, el puerto 1812 se usa para la autenticación RADIUS. Si es necesario, puede especificar un número de puerto diferente.
-
Tiempo de espera (segundos). Tiempo, en segundos, durante el que el sistema Citrix ADM espera una respuesta del servidor RADIUS.
-
Clavesecreta . Cualquier expresión alfanumérica. Esta es la clave que comparten Citrix ADM y el servidor RADIUS para permitir la comunicación.
-
-
Haga clic en Detalles para expandir la sección y establecer los parámetros adicionales y, a continuación, haga clic en Crear.
Para obtener más información sobre cómo agregar servidores RADIUS, consulte [Cómo agregar servidores de autenticación RADIUS.] (/en-us/netscaler-application-delivery-management-software/12-1/authentication/authentication-how-to-articles/add-radius-authentication-server.html)
Configurar un servidor de autenticación LDAP
Puede configurar Citrix ADM para autenticar el acceso de los usuarios con uno o más servidores LDAP. La autorización LDAP requiere nombres de grupo idénticos en Active Directory, en el servidor LDAP y en Citrix ADM. Los caracteres y la caja también deben coincidir.
Para configurar un servidor de autenticación LDAP:
-
En NetScaler ADM, vaya a Sistema > Autenticación > LDAP.
-
En la página LDAP, haga clic en Agregar.
-
En la página Crear servidor LDAP , defina los parámetros y haga clic en Crear para agregar el servidor a la lista de servidores de autenticación LDAP. Los siguientes parámetros son obligatorios:
-
Nombre. Nombre del servidor LDAP.
-
Nombre del servidor/ DirecciónIP . Nombre del servidor o dirección IP del servidor LDAP.
-
Tipode seguridad . Tipo de comunicación requerida entre el sistema y el servidor LDAP. Seleccione una opción de la lista desplegable. Si la comunicación de texto sin formato es inadecuada, puede elegir la comunicación cifrada seleccionando Transport Layer Security (TLS) o SSL.
-
Puerto. De forma predeterminada, el puerto 389 se usa para la autenticación LDAP. Si es necesario, puede especificar un número de puerto diferente.
-
Tipode servidor . Seleccione Active Directory (AD) o Novell Directory Service (NDS) como tipo de servidor LDAP.
-
Tiempo de espera (segundos). Tiempo, en segundos, durante el cual el sistema Citrix ADM espera una respuesta del servidor LDAP.
-
Puede proporcionar detalles adicionales. También puede validar el certificado LDAP seleccionando la casilla Validar certificado LDAP y especificando el nombre de host que se va a introducir en el certificado . Algunos de los parámetros adicionales que puede agregar son los detalles del servidor de nombres de dominio (DN) para las consultas a un servicio de directorio, el grupo de autenticación predeterminado, los atributos de grupo y otros atributos.
El DN base normalmente se deriva del DN de Bind eliminando el nombre de usuario y especificando el grupo al que pertenecen los usuarios. En el cuadro de texto Administrator Bind DN, escriba el administrador Bind DN para las consultas al directorio LDAP.
Algunos ejemplos de sintaxis para el DN base son:
-
ou=usuarios, dc=ace, dc=com
-
CN=usuarios, dc=ace, dc=com
Algunos ejemplos de sintaxis para bind DN son:
-
nombre de dominio/usuario
-
ou=administrador, dc=ace, dc=com
-
user@domain.name (para Active Directory)
-
CN=administrador, CN=usuarios, dc=ace, dc=com
El nombre del grupo y el nombre de los usuarios que defina en Citrix ADM deben ser similares a los configurados en el servidor LDAP.
Nota
Al configurar un servidor RADIUS o LDAP, en la sección Detalles , puede introducir el nombre de un grupo de autenticación predeterminado . Este grupo predeterminado se elige para autorizar al usuario cuando la autenticación se realiza correctamente, independientemente de que el usuario esté vinculado a un grupo o no. A continuación, el usuario recibe una combinación de permisos configurados en este grupo predeterminado y en los demás grupos, independientemente de que el usuario esté asignado al grupo o no.
Para obtener más información sobre cómo agregar servidores LDAP, consulte Cómo agregar servidores de autenticación LDAP .
Para obtener más información sobre cómo conectar en cascada servidores de autenticación externos, consulte Cómo conectar en cascada servidores de autenticación externos .
Configurar un servidor de autenticación TACACS
Los TACACS, al igual que RADIUS y LDAP, gestionan los servicios de autenticación remota para el acceso a la red.
Configure un servidor de autenticación TACACS:
-
En Citrix ADM , vaya a Sistema > Autenticación > TACACS .
-
En la página TACACS , haga clic en Agregar .
-
En la página Crear servidor TACACS , introduzca los siguientes detalles:
-
Nombre del servidor TACACS
-
Dirección IP del servidor TACACS
-
Puerto y tiempo de espera (en segundos)
-
La clave que comparten el sistema y el servidor TACACS para la comunicación.
-
Seleccione Contabilidad si quiere que el dispositivo registre la información de auditoría con el servidor TACACS.
-
-
Haga clic en Crear.
Para obtener más información sobre cómo agregar servidores TACACS, consulte Cómo agregar servidores de autenticación TACACS .
Nota
Para buscar servidores de autenticación agregados a Citrix ADM, haga clic en la barra de búsqueda y seleccione los criterios de búsqueda necesarios.
Configurar una autenticación local de usuarios en Citrix ADM
Si utiliza la autenticación local, cree usuarios y, a continuación, agréguelos a los grupos que cree en Citrix ADM. Tras configurar usuarios y grupos, puede aplicar directivas de autorización y sesión, crear marcadores, especificar aplicaciones y especificar la dirección IP de los recursos compartidos de archivos y los servidores a los que los usuarios tienen acceso.
Para configurar una autenticación local en Citrix ADM:
-
En Citrix ADM, vaya a Sistema > Autenticación y haga clic en Configuración de autenticación .
-
En la página Configuración de autenticación , seleccione LOCAL en el cuadro desplegable Tipo de servidory haga clic en Aceptar .
Configurar una autenticación externa en Citrix ADM
Al configurar servidores de autenticación externos en Citrix ADM, los grupos de usuarios que se autentican en esos servidores externos se importan a Citrix ADM. No es necesario crear usuarios en Citrix ADM. Los usuarios se administran en los servidores externos desde Citrix ADM. Sin embargo, debe asegurarse de que los niveles de permisos que tienen los grupos de usuarios en los servidores de autenticación externos se mantengan en Citrix ADM. Citrix ADM autoriza a los usuarios asignando permisos de grupo para acceder a servidores virtuales de equilibrio de carga específicos y a aplicaciones específicas del sistema. Si más adelante se quita un servidor de autenticación del sistema, los grupos y los usuarios se eliminarán automáticamente del sistema.
Para configurar una autenticación externa en Citrix ADM:
-
En Citrix ADM, vaya a Sistema > Autenticación y haga clic en Configuración de autenticación .
-
En la página Configuración de autenticación , seleccione EXTERNO en la lista desplegable Tipo de servidor .
-
Haga clic en Insertar.
-
En la página Servidores externos , seleccione un servidor de autenticación. Si lo desea, puede seleccionar varios servidores de autenticación para que se conecten en cascada.
Nota
Solo los servidores externos se pueden conectar en cascada.
-
Seleccione Habilitar la autenticación local alternativa si desea que la autenticación local asuma el control si la autenticación externa falla.
-
Haga clic en Aceptar para cerrar la página.
Los servidores seleccionados se muestran en la página Servidores de autenticación .
También puede especificar el orden de autenticación mediante el icono situado junto a los nombres de servidor para mover los servidores hacia activo o hacia abajo en la lista.
Configurar grupos en Citrix ADM
NetScaler ADM le permite autenticar y autorizar a sus usuarios mediante la creación de grupos y la adición de usuarios a los grupos. Un grupo puede tener permisos de «administrador» o de «solo lectura» y todos los usuarios de ese grupo recibirán los mismos permisos.
En Citrix ADM, un grupo se define como un conjunto de usuarios que tienen permisos similares. Un grupo puede tener uno o varios roles. Un usuario se define como una entidad que puede tener acceso en función de los permisos asignados. Un usuario puede pertenecer a uno o más grupos.
Puede crear grupos locales en NetScaler ADM y utilizar la autenticación local para los usuarios de los grupos. Si utiliza servidores externos para la autenticación, configure los grupos en Citrix ADM para que coincidan con los grupos configurados en los servidores de autenticación de la red interna. Cuando un usuario inicia sesión y se autentica, si un nombre de grupo coincide con un grupo de un servidor de autenticación, el usuario hereda la configuración del grupo en NetScaler ADM.
Después de configurar los grupos, puede aplicar políticas de autorización y sesión, crear marcadores, especificar aplicaciones y especificar las direcciones IP de los servidores y recursos compartidos de archivos a los que el usuario tiene acceso.
Si utiliza la autenticación local, cree usuarios y agréguelos a los grupos configurados en Citrix ADM. A continuación, los usuarios heredan la configuración de esos grupos.
Nota
Si los usuarios son miembros de un grupo de Active Directory, el nombre del grupo y los nombres de los usuarios de Citrix ADM deben ser los mismos que en el grupo Active Directory.
Para configurar grupos de usuarios en Citrix ADM:
-
En Citrix ADM, vaya a Sistema > Administración de usuarios > Grupos.
-
En la página Grupos , haga clic en Agregar para crear un grupo. De forma predeterminada, se crean dos grupos en Citrix ADM, con los permisos establecidos en administrador y de solo lectura. Puede agregar sus usuarios a estos grupos o puede crear otros grupos para sus usuarios.
-
En la pestaña Configuración del grupo de la página Crear grupo del sistema , escriba el nombre del grupo y defina los roles como de administrador o de solo lectura. Puede seleccionar Configurar el tiempo de espera de la sesión de usuario para establecer un límite de tiempo de espera para las sesiones de usuario que hayan iniciado sesión en ese grupo.
Nota
Asegúrese de que el nombre del grupo de usuarios creado en Citrix ADM sea el mismo que en los servidores de autenticación externos. De lo contrario, el sistema no reconocerá el grupo y los miembros del grupo no se incorporarán al sistema.
-
En la pestaña Configuración de autorización , seleccione los grupos necesarios. Haga clic en Crear grupo.
-
En la pestaña Asignar usuarios , seleccione los usuarios que desea agregar al grupo. Los usuarios se agregan a esta tabla cuando se configuran los usuarios en Configurar usuarios en Citrix ADM.
-
Haga clic en Finalizar.
Cuando termine de crear un grupo en el sistema, todos los usuarios del servidor de autenticación externo se extraerán al sistema. Si el nombre del grupo coincide con el nombre del grupo del servidor de autenticación externo, el usuario hereda todas las definiciones de autorización cuando inicia sesión en el sistema.
Configurar usuarios en Citrix ADM
Puede crear cuentas de usuario localmente en NetScaler ADM para complementar los usuarios de los servidores de autenticación. Por ejemplo, puede que quiera crear cuentas de usuario locales para usuarios temporales, como consultores o visitantes, sin crear una entrada para esos usuarios en el servidor de autenticación. Si está autenticando localmente a los usuarios que están presentes en servidores de autenticación externos, asegúrese de que los mismos usuarios estén presentes tanto en los servidores de autenticación como en Citrix ADM.
Para configurar usuarios en Citrix ADM:
-
En Citrix ADM, vaya a Sistema > Administración de usuarios > Usuarios.
-
En la página Usuarios , haga clic en Agregar para agregar usuarios a Citrix ADM.
-
En la página Crear usuario del sistema , defina los siguientes parámetros:
-
Nombre de usuario. Nombre del usuario
-
Contraseña. Contraseña que utilizará el usuario para iniciar sesión en Citrix ADM
-
Habilite la autenticaciónexterna . Si no está habilitada, el usuario se autenticará como usuario local.
-
Configure el tiempo de espera de la sesión deusuario . Tiempo durante el cual un usuario puede permanecer activo. Este período de tiempo se puede configurar en minutos u horas.
-
-
En la tabla Grupos , seleccione el grupo al que desea añadir el usuario. Los miembros del grupo se agregan a esta tabla al configurar los grupos en Configuración de grupos de usuarios en Citrix ADM.
-
Haga clic en Crear.
Nota
Si los usuarios están en Active Directory, asegúrese de que el nombre del grupo en Citrix ADM sea el mismo que el del grupo Active Directory en el servidor externo.