Configuración de certificados de cliente y autenticación de doble factor LDAP

Last published : Oct 14, 2026
Puede utilizar un certificado de cliente seguro con autenticación y autorización LDAP, como el uso de la autenticación con tarjeta inteligente con LDAP. El usuario inicia sesión y, a continuación, el nombre de usuario se extrae del certificado de cliente. El certificado de cliente es la forma principal de autenticación y LDAP es la forma secundaria. La autenticación del certificado de cliente debe tener prioridad sobre la directiva de autenticación LDAP. Al establecer la prioridad de las directivas, asigne un número inferior a la directiva de autenticación de certificado de cliente que el número que asigne a la directiva de autenticación LDAP.
Para usar un certificado de cliente, debe tener una entidad de certificación (CA) empresarial, como los Servicios de certificados en Windows Server 2008, ejecutándose en el mismo equipo que ejecuta Active Directory. Puede usar la CA para crear un certificado de cliente.
Para usar un certificado de cliente con autenticación y autorización LDAP, debe ser un certificado seguro que utilice Secure Sockets Layer (SSL). Para usar certificados de cliente seguros para LDAP, instale el certificado de cliente en el dispositivo del usuario e instale un certificado raíz correspondiente en NetScaler Gateway.
Antes de configurar un certificado de cliente, haga lo siguiente:
  • Cree un servidor virtual.
  • Cree una directiva de autenticación LDAP para el servidor LDAP.
  • Establezca la expresión de la directiva LDAP en el valor True.
Related information
Configuración de la autenticación de dos factores

Para configurar la autenticación de certificado de cliente con LDAP

  1. En la utilidad de configuración, en la ficha Configuración, expanda NetScaler Gateway \> Directivas \ > Autenticación.
  2. En el panel de navegación, en Autenticación, haga clic en Cert.
  3. En el panel de detalles, haga clic en Agregar.
  4. En Nombre, escriba un nombre para la directiva.
  5. En Tipo de autenticación, seleccione Cert.
  6. Junto a Servidor, haga clic en Nuevo.
  7. En Nombre, escriba un nombre para el servidor y, a continuación, haga clic en Crear.
  8. En el cuadro de diálogo Crear servidor de autenticación, en Nombre, escriba el nombre del servidor.
  9. Junto a Doble factor, seleccione ACTIVADO.
  10. En el campo Nombre de usuario, seleccione Asunto:CN y, a continuación, haga clic en Crear.
  11. En el cuadro de diálogo Crear directiva de autenticación, junto a Expresiones con nombre, seleccione Valor verdadero, haga clic en Agregar expresión, haga clic en Crear y, a continuación, haga clic en Cerrar.
Después de crear la directiva de autenticación de certificados, vincule la directiva al servidor virtual. Después de vincular la directiva de autenticación de certificados, vincule la directiva de autenticación LDAP al servidor virtual.
Importante:
Debe vincular la directiva de autenticación de certificados al servidor virtual antes de vincular la directiva de autenticación LDAP al servidor virtual.

Para instalar un certificado raíz en NetScaler Gateway

Después de crear la directiva de autenticación de certificados, descargue e instale un certificado raíz de su CA en formato Base64 y guárdelo en su equipo. A continuación, puede cargar el certificado raíz en NetScaler Gateway.
  1. En la utilidad de configuración, en la ficha Configuración, en el panel de navegación, expanda SSL y, a continuación, haga clic en Certificados.
  2. En el panel de detalles, haga clic en Instalar.
  3. En Nombre de par de claves de certificado, escriba un nombre para el certificado.
  4. En Nombre de archivo de certificado, haga clic en Examinar y, en la lista, seleccione Dispositivo o Local.
  5. Vaya al certificado raíz, haga clic en Abrir y, a continuación, haga clic en Instalar.

Para añadir un certificado raíz a un servidor virtual

Después de instalar el certificado raíz en NetScaler Gateway, añada el certificado al almacén de certificados del servidor virtual.
Importante:
Al añadir el certificado raíz al servidor virtual para la autenticación con tarjeta inteligente, debe seleccionar el certificado de la lista Seleccionar certificado CA, como se muestra en la siguiente figura.
Figura 1. Adición de un certificado raíz como CA
Adición de certificado raíz
  1. En la utilidad de configuración, en la ficha Configuración, en el panel de navegación, expanda NetScaler Gateway y, a continuación, haga clic en Servidores virtuales.
  2. En el panel de detalles, seleccione un servidor virtual y, a continuación, haga clic en Abrir.
  3. En la ficha Certificados, en Disponible, seleccione el certificado, junto a Añadir, en la lista, haga clic en CA y, a continuación, haga clic en Aceptar.
  4. Repita el paso 2.
  5. En la ficha Certificados, haga clic en Parámetros SSL.
  6. En Otros, seleccione Autenticación de cliente.
  7. En Otros, junto a Certificado de cliente, seleccione Opcional y, a continuación, haga clic en Aceptar dos veces.
  8. Después de configurar el certificado de cliente, pruebe la autenticación iniciando sesión en NetScaler Gateway con el cliente Citrix Secure Access. Si tiene más de un certificado instalado, recibirá un mensaje pidiéndole que seleccione el certificado correcto. Después de seleccionar el certificado, aparece la pantalla de inicio de sesión con el nombre de usuario rellenado con la información obtenida del certificado. Escriba la contraseña y, a continuación, haga clic en Iniciar sesión.
Si no ve el nombre de usuario correcto en el campo Nombre de usuario de la pantalla de inicio de sesión, compruebe las cuentas de usuario y los grupos en su directorio LDAP. Los grupos definidos en NetScaler Gateway deben ser los mismos que los del directorio LDAP. En Active Directory, configure los grupos en el nivel raíz del dominio. Si crea grupos de Active Directory que no están en el nivel raíz del dominio, puede producirse una lectura incorrecta del certificado de cliente.
Si los usuarios y grupos no están en el nivel raíz del dominio, la página de inicio de sesión de NetScaler Gateway muestra el nombre de usuario configurado en Active Directory. Por ejemplo, en Active Directory, tiene una carpeta llamada Usuarios y el certificado dice CN=Users. En la página de inicio de sesión, en Nombre de usuario, aparece la palabra Usuarios.
Si no desea mover sus cuentas de grupo y de usuario al nivel raíz del dominio, al configurar el servidor de autenticación de certificados en NetScaler Gateway, deje en blanco los campos Nombre de usuario y Nombre de grupo.