Configuración de directivas de autorización

Last published : Oct 14, 2026
Al configurar una directiva de autorización, puede establecerla para permitir o denegar el acceso a los recursos de red en la red interna. Por ejemplo, para permitir a los usuarios el acceso a la red 10.3.3.0, utilice la siguiente expresión:
CLIENT.IP.DST.IN_SUBNET(10.3.0.0/16)
Las directivas de autorización se aplican a usuarios y grupos. Después de que un usuario se autentica, NetScaler Gateway realiza una comprobación de autorización de grupo obteniendo la información de grupo del usuario de un servidor RADIUS, LDAP o TACACS+. Si la información de grupo está disponible para el usuario, NetScaler Gateway comprueba los recursos de red permitidos para el grupo.
Para controlar a qué recursos pueden acceder los usuarios, debe crear directivas de autorización. Si no necesita crear directivas de autorización, puede configurar la autorización global predeterminada.
Si crea una expresión dentro de la directiva de autorización que deniega el acceso a una ruta de archivo, solo puede usar la ruta del subdirectorio y no el directorio raíz. Por ejemplo, use fs.path contains "\\\\dir1\\\\dir2" en lugar de fs.path contains "\\\\rootdir\\\\dir1\\\\dir2". Si utiliza la segunda versión de este ejemplo, la directiva falla.
Después de configurar la directiva de autorización, la vincula a un usuario o grupo como se muestra en las tareas siguientes.
De forma predeterminada, las directivas de autorización se validan primero con las directivas que se vinculan al servidor virtual y, a continuación, con las directivas vinculadas globalmente. Si vincula una directiva globalmente y desea que la directiva global tenga prioridad sobre una directiva que vincula a un usuario, grupo o servidor virtual, puede cambiar el número de prioridad de la directiva. Los números de prioridad comienzan en cero. Un número de prioridad más bajo otorga a la directiva una mayor precedencia.
Por ejemplo, si la directiva global tiene un número de prioridad de uno y el usuario tiene una prioridad de dos, la directiva de autenticación global se aplica primero.
Importante:
  • Las directivas de autorización clásicas se aplican solo al tráfico TCP.
  • La directiva de autorización avanzada se puede aplicar a todos los tipos de tráfico (TCP/UDP/ICMP/DNS).
    • Para aplicar la directiva al tráfico UDP/ICMP/DNS, las directivas deben vincularse al tipo UDP_REQUEST, ICMP_REQUEST y DNS_REQUEST, respectivamente.
    • Durante la vinculación, si no se menciona explícitamente "type" o si "type" se establece en REQUEST, el comportamiento no cambia con respecto a las compilaciones anteriores, es decir, estas directivas se aplican solo al tráfico TCP.
    • Las directivas vinculadas a UDP_REQUEST no se aplican al tráfico DNS. Para DNS, las directivas deben vincularse explícitamente a DNS_REQUEST. TCP_DNS es similar a otras solicitudes TCP.
Para obtener más detalles sobre las políticas de autorización avanzadas, consulte el artículo <https://support.citrix.com/article/CTX232237>.
Related information
Configuración de la autorización

Ejemplos de expresiones de políticas de autorización

A continuación, se muestran ejemplos de expresiones de políticas de autorización:
  • add authorization policy athzPol1 "HTTP.REQ.USER.IS_MEMBER_OF(\"allowedGroup\")" ALLOW
  • add authorization policy athzPol2 "CLIENT.IP.DST.BETWEEN(192.0.2.10,192.0.2.20)" DENY
  • add authorization policy athzPol3 "HTTP.REQ.HOSTNAME.CONTAINS(\"portal-srv") || CLIENT.IP.DST.IN_SUBNET(192.0.2.0/25)" ALLOW

Para configurar una política de autorización mediante la GUI

  1. Vaya a NetScaler Gateway > Directivas > Autorización.
  2. En el panel de detalles, haga clic en Agregar.
  3. En Nombre, escriba un nombre para la directiva.
  4. En Acción, seleccione Permitir o Denegar.
  5. En Expresión, haga clic en Editor de expresiones.
  6. Para empezar a configurar la expresión, haga clic en Seleccionar y elija los elementos necesarios.
  7. Haga clic en Listo cuando su expresión esté completa.
  8. Haga clic en Crear.

Para enlazar una política de autorización a un usuario mediante la GUI

  1. Vaya a NetScaler Gateway > User Administration.
  2. Haga clic en AAA Users.
  3. En el panel de detalles, seleccione un usuario y, a continuación, haga clic en Edit.
  4. En Advanced Settings, haga clic en Authorization Policies.
  5. En la página Policy Binding, seleccione una política o cree una política.
  6. En Priority, establezca el número de prioridad.
  7. En Type, seleccione el tipo de solicitud y, a continuación, haga clic en OK.

Para enlazar una política de autorización a un grupo mediante la GUI

  1. Vaya a NetScaler Gateway > User Administration.
  2. Haga clic en AAA Groups.
  3. En el panel de detalles, seleccione un grupo y, a continuación, haga clic en Edit.
  4. En Advanced Settings, haga clic en Authorization Policies.
  5. En la página Policy Binding, seleccione una política o cree una política.
  6. En Priority, establezca el número de prioridad.
  7. En Tipo, seleccione el tipo de solicitud y, a continuación, haga clic en Aceptar.