nFactor para la autenticación de gateway

Requisitos de licencia de las funciones de autenticación, autorización y auditoría

Casos de uso

1. Selección dinámica de nombre de usuario y contraseña. Tradicionalmente, los clientes (incluidos los navegadores y los receptores) utilizan la contraseña de Active Directory (AD) como primer campo de contraseña. La segunda contraseña está reservada para la contraseña de un solo uso (OTP). Sin embargo, para proteger los servidores AD, es necesario validar primero la OTP. nFactor puede hacer esto sin necesidad de modificaciones del cliente.
2. Punto final de autenticación multiinquilino. Algunas organizaciones utilizan diferentes servidores Gateway para usuarios con y sin certificado. Con los usuarios que inician sesión con sus propios dispositivos, los niveles de acceso del usuario varían en el dispositivo NetScaler en función del dispositivo que se utilice. Gateway puede satisfacer diferentes necesidades de autenticación.
3. Autenticación basada en la pertenencia a grupos. Algunas organizaciones obtienen propiedades de usuario de los servidores AD para determinar los requisitos de autenticación. Los requisitos de autenticación pueden variar para cada usuario.
4. Cofactores de autenticación. A veces, se utilizan diferentes pares de directivas de autenticación para autenticar diferentes conjuntos de usuarios. Proporcionar directivas de pares aumenta la autenticación efectiva. Las directivas dependientes se pueden crear a partir de un flujo. De esta manera, los conjuntos de directivas independientes se convierten en flujos propios que aumentan la eficiencia y reducen la complejidad.

Gestión de respuestas de autenticación

Soporte al cliente

• La aplicación Citrix Workspace admite la autenticación nFactor para los sistemas operativos compatibles a partir de las siguientes versiones.
  • Windows 4.12
  • Linux 13.10
  • Mac 1808
  • iOS 2007
  • Android 1808
  • HTML5: Compatible a través de Store Web
  • Chrome: Compatible a través de Store Web

Compatibilidad del tipo de credencial WebView con los mecanismos de autenticación

1. La aplicación Citrix Workspace negocia con NetScaler Gateway para la compatibilidad con el protocolo AUTHv3.
2. NetScaler responde positivamente y sugiere una URL de inicio específica.
3. La aplicación Citrix Workspace se conecta entonces al punto final (URL) específico.
4. NetScaler Gateway envía una respuesta al cliente para iniciar WebView.
5. La aplicación Citrix Workspace inicia WebView y envía una solicitud inicial a NetScaler.
6. NetScaler redirige la URI al punto de conexión de inicio de sesión del navegador.
7. Una vez completada la autenticación, NetScaler envía una respuesta de finalización a WebView.
8. Ahora, WebView se cierra y devuelve el control a la aplicación Citrix Workspace para continuar con el protocolo AUTHv3 para el establecimiento de la sesión.

Configuración de línea de comandos

Desafíos de interoperabilidad

Análisis de puntos finales (EPA)

Consideraciones sobre la configuración incorrecta

Definición de clientes

Restricción de nFactor para Gateway

1. El authnProfile no está configurado en NetScaler Gateway.
2. Las directivas de autenticación avanzadas no están vinculadas al servidor virtual de autenticación y el mismo servidor virtual de autenticación se menciona en authnProfile.
3. La cadena User-Agent de la solicitud HTTP coincide con los User-Agents configurados en patset ns_vpn_client_useragents.

LoginSchema

Se requieren conocimientos de LoginSchema y nFactor

Configuración de la autenticación de doble factor sin usar LoginSchema

Expresiones de nombre de usuario y contraseña

• Cambiar la entrada del usuario para el nombre de usuario de username@citrix.com a username@xyz.com
  add authentication loginSchema user_schema -authenticationSchema LoginSchema/DualAuth.xml -userExpression "AAA.LOGIN.USERNAME.BEFORE_STR(\"@\").APPEND(\"@xyz.com\")"
• Considere un escenario en el que el usuario proporciona una contraseña y un código de acceso en el primer factor como parte del esquema de inicio de sesión configurado. Para usar el código de acceso proporcionado por el usuario en el primer factor y la contraseña en el segundo factor, puede modificar el esquema de inicio de sesión existente utilizando los siguientes comandos.
  add authentication loginSchema user_schema -authenticationSchema LoginSchema/DualAuth.xml -passwdExpression "AAA.LOGIN.PASSWORD2"add authentication loginSchema user_schema_second -authenticationSchema noschema  -passwdExpression "AAA.LOGIN.PASSWORD"

Pasos de alto nivel en la configuración de nFactor

Configuración de la GUI

• Crear un servidor virtual
• Crear un servidor virtual de autenticación
• Crear un perfil CERT de autenticación
• Crear una directiva de autenticación
• Agregar un servidor de autenticación LDAP
• Agregar una directiva de autenticación LDAP
• Agregar un servidor de autenticación RADIUS
• Agregar una directiva de autenticación RADIUS
• Crear un esquema de inicio de sesión de autenticación
• Crear una etiqueta de directiva

Crear un servidor virtual

1. Vaya a NetScaler Gateway > Servidores virtuales.
2. Haga clic en el botón Agregar para crear un servidor virtual de gateway.
3. Introduzca la siguiente información y haga clic en Aceptar.

   Nombre del parámetro	Descripción del parámetro
   Nombre	Nombre del servidor virtual de NetScaler Gateway. Debe comenzar con un carácter alfabético ASCII o un guion bajo (_), y debe contener solo caracteres alfanuméricos ASCII, guion bajo, almohadilla (#), punto (.), espacio, dos puntos (:), arroba (@), igual (=) y guion (-). Se puede cambiar después de crear el servidor virtual. El siguiente requisito se aplica solo a la CLI de NetScaler: Si el nombre incluye uno o más espacios, encierre el nombre entre comillas dobles o simples (por ejemplo, "mi servidor" o 'mi servidor').
   Tipo de dirección IP	Seleccione la opción Dirección IP o No direccionable en el menú desplegable.
   Dirección IP	Una dirección de Protocolo de Internet (dirección IP) es una etiqueta numérica asignada a cada dispositivo que participa en la red informática que utiliza el Protocolo de Internet para la comunicación.
   Puerto	Introduzca el número de puerto para el servidor virtual.
   Perfil de servidor RDP	Nombre del perfil de servidor RDP asociado al servidor virtual.
   Perfil de servidor virtual PCoIP	Nombre del perfil de servidor virtual PCoIP asociado al servidor virtual.
   Usuarios máximos	Número máximo de sesiones de usuario simultáneas permitidas en este servidor virtual. El número real de usuarios que pueden iniciar sesión en este servidor virtual depende del número total de licencias de usuario.
   Intentos máximos de inicio de sesión	Número máximo de intentos de inicio de sesión.
   Tiempo de espera de inicio de sesión fallido	Número de minutos que una cuenta permanece bloqueada si el usuario supera el número máximo de intentos permitidos.
   Actualización del complemento EPA de Windows	Opción para configurar el comportamiento de actualización del complemento para clientes Windows.
   Actualización del complemento EPA de Linux	Opción para configurar el comportamiento de actualización del complemento para clientes Linux.
   	>Nota:
   	>- Para eLux e IGEL OS, este parámetro siempre debe establecerse en Nunca.
   	La opción Essential no es compatible con el cliente Citrix Secure Access para Linux.
   Actualización del complemento EPA para Mac	Opción para configurar el comportamiento de actualización del complemento para clientes macOS.
   Iniciar sesión una vez	Esta opción habilita o deshabilita el SSO sin interrupciones para este servidor virtual.
   Solo ICA	- Cuando se establece en ON, implica el modo Básico, donde el usuario puede iniciar sesión usando la aplicación Citrix Workspace o un navegador y obtener acceso a las aplicaciones publicadas configuradas en el entorno de Citrix Virtual Apps and Desktops indicado por el parámetro Wihome. Los usuarios no pueden conectarse usando el cliente Citrix Secure Access y no se pueden configurar los análisis de puntos finales. El número de usuarios que pueden iniciar sesión y acceder a las aplicaciones no está limitado por la licencia en este modo.
   	- Cuando se establece en OFF, implica el modo SmartAccess, donde el usuario puede iniciar sesión usando la aplicación Citrix Workspace, un navegador o un cliente Citrix Secure Access. El administrador puede configurar análisis de puntos finales para que se ejecuten en los sistemas cliente y luego usar los resultados para controlar el acceso a las aplicaciones publicadas. En este modo, el cliente puede conectarse a la puerta de enlace en otros modos de cliente, a saber, VPN y VPN sin cliente. El número de usuarios que pueden iniciar sesión y acceder a los recursos está limitado por las licencias CCU en este modo.
   Habilitar autenticación	Requerir autenticación para los usuarios que se conectan a NetScaler Gateway.
   Doble salto	Utilice NetScaler Gateway en una configuración de doble salto. Una implementación de doble salto proporciona una capa adicional de seguridad para la red interna mediante el uso de tres firewalls para dividir la DMZ en dos etapas. Dicha implementación puede tener un dispositivo en la DMZ y otro en la red segura.
   Vaciar estado inactivo	Cierre las conexiones existentes cuando el servidor virtual esté marcado como DOWN (inactivo), lo que significa que el servidor podría haber agotado el tiempo de espera. Desconectar las conexiones existentes libera recursos y, en ciertos casos, acelera la recuperación de configuraciones de equilibrio de carga sobrecargadas. Habilite esta configuración en servidores en los que las conexiones se puedan cerrar de forma segura cuando estén marcadas como DOWN. No habilite el vaciado de estado DOWN en servidores que deban completar sus transacciones.
   DTLS	Esta opción inicia o detiene el servicio de turno en el servidor virtual.
   Registro de AppFlow	Registra los registros de AppFlow que contienen información estándar de NetFlow o IPFIX, como marcas de tiempo para el inicio y el final de un flujo, recuento de paquetes y recuento de bytes. También registra los registros que contienen información a nivel de aplicación, como direcciones web HTTP, métodos de solicitud HTTP y códigos de estado de respuesta, tiempo de respuesta del servidor y latencia.
   Migración de sesión de proxy ICA	Esta opción determina si una sesión de proxy ICA existente se transfiere cuando el usuario inicia sesión desde otro dispositivo.
   Estado	El estado actual del servidor virtual, como ACTIVO, INACTIVO, OCUPADO, etc.
   Habilitar certificado de dispositivo	Indica si la comprobación del certificado del dispositivo como parte de EPA está activada o desactivada.

   
4. Seleccione la sección Sin certificado de servidor de la página.
5. Haga clic en > en Seleccionar certificado de servidor para seleccionar el certificado de servidor.
6. Seleccione el certificado SSL y haga clic en el botón Seleccionar.
7. Haga clic en Enlazar.
8. Si ve una advertencia sobre No usable ciphers, haga clic en OK
9. Haga clic en el botón Continuar.
10. En la sección Autenticación, haga clic en el icono + en la parte superior derecha.

Crear un servidor virtual de autenticación

1. Vaya a Security > AAA – Application Traffic > Virtual Servers.
2. Haga clic en el botón Add.
3. Complete la siguiente Configuración básica para crear el servidor virtual de autenticación.
   Nota: El signo * a la derecha del nombre de la configuración indica campos obligatorios.
   • Introduzca el Nombre para el nuevo servidor virtual de autenticación.
   • Introduzca el Tipo de dirección IP. El Tipo de dirección IP se puede configurar como No direccionable.
   • Introduzca la Dirección IP. La Dirección IP puede ser cero.
   • Introduzca el tipo de Protocolo del servidor virtual de autenticación.
   • Introduzca el Puerto TCP en el que el servidor virtual acepta conexiones.
   • Introduzca el dominio de la cookie de autenticación establecida por el servidor virtual de autenticación.
4. Haga clic en OK.
5. Haga clic en la sección No Server Certificate.
6. Haga clic en > en Select Server Certificate.
7. Elija el certificado SSL deseado y haga clic en el botón Select.
   Nota: El servidor virtual de autenticación no necesita un certificado asociado a él.
8. Configure la Server Certificate Binding.
   • Marque la casilla Server Certificate for SNI para vincular una o más claves de certificado utilizadas para el procesamiento SNI.
   • Haga clic en el botón Bind.
   

Crear un perfil CERT de autenticación

1. Vaya a Security > AAA – Application Traffic > Policies > Authentication > Basic Policies > CERT.
2. Seleccione la pestaña Profiles y, a continuación, seleccione Add.
3. Rellene los siguientes campos para crear el perfil Authentication CERT. El signo * a la derecha del nombre de la configuración indica los campos obligatorios.
   • Nombre - Nombre del perfil de servidor de autenticación de certificado de cliente (acción).
   • Doble factor – En este caso, la opción de autenticación de doble factor es NOOP.
   • Campo de nombre de usuario – introduzca el campo de certificado de cliente del que se extrae el nombre de usuario. Debe establecerse en ""Subject"" o ""Issuer"" (incluya ambos conjuntos de comillas dobles).
   • Campo de nombre de grupo - introduzca el campo de certificado de cliente del que se extrae el grupo. Debe establecerse en ""Subject"" o ""Issuer"" (incluya ambos conjuntos de comillas dobles).
   • Grupo de autenticación predeterminado - Este es el grupo predeterminado que se elige cuando la autenticación se realiza correctamente, además de los grupos extraídos.
4. Haga clic en Crear.

Crear una directiva de autenticación

1. Vaya a Security > AAA – Application Traffic > Policies > Authentication > Advanced Policies > Policy.
2. Seleccione el botón Agregar
3. Complete la siguiente información para crear una directiva de autenticación. El signo * a la derecha del nombre de la configuración indica los campos obligatorios.
   a) Nombre – introduzca el nombre de la directiva de AUTENTICACIÓN avanzada. Debe comenzar con una letra, un número o el carácter de subrayado (_), y debe contener solo letras, números y los caracteres de guion (-), punto (.), almohadilla (#), espacio (), arroba (@), igual (=), dos puntos (:) y subrayado. No se puede cambiar después de crear la directiva de autenticación.
   El siguiente requisito se aplica solo a la CLI de NetScaler: Si el nombre incluye uno o más espacios, encierre el nombre entre comillas dobles o simples (por ejemplo, "my authentication policy" o 'my authentication policy').
   b) Tipo de acción - introduzca el tipo de acción de autenticación.
   c) Acción - introduzca el nombre de la acción de autenticación que se realizará si la directiva coincide.
   d) Acción de registro - introduzca el nombre de la acción de registro de mensajes que se utilizará cuando una solicitud coincida con esta directiva.
   e) Expresión - introduzca el nombre de la regla con nombre de NetScaler, o una expresión de sintaxis predeterminada, que la directiva utiliza para determinar si se debe intentar autenticar al usuario con el servidor AUTHENTICATION.
   f) Comentarios – introduzca cualquier comentario para conservar información sobre esta directiva.
4. Haga clic en Crear

Agregar un servidor de autenticación LDAP

1. Vaya a Seguridad > AAA – Tráfico de aplicaciones > Directivas > Autenticación > Directivas básicas > LDAP.
2. Agregue un servidor LDAP seleccionando la pestaña Servidor y haciendo clic en el botón Agregar.

Agregar una directiva de autenticación LDAP

1. Vaya a Seguridad > AAA – Tráfico de aplicaciones > Directivas > Autenticación > Directivas avanzadas > Directiva.
2. Haga clic en Agregar para añadir una directiva de autenticación.
3. Complete la siguiente información para crear una directiva de autenticación. El signo * a la derecha del nombre de la configuración indica los campos obligatorios.
   a) Nombre - Nombre de la directiva de AUTHENTICATION avanzada. Debe comenzar con una letra, un número o el carácter de subrayado (_), y debe contener solo letras, números y los caracteres guion (-), punto (.), almohadilla (#), espacio (), arroba (@), igual (=), dos puntos (:) y subrayado. No se puede cambiar después de crear la directiva de autenticación.
   El siguiente requisito se aplica solo a la CLI de NetScaler: Si el nombre incluye uno o más espacios, encierre el nombre entre comillas dobles o simples (por ejemplo, "mi directiva de autenticación" o 'mi directiva de autenticación').
   b) Tipo de acción - Tipo de la acción de autenticación.
   c) Acción - Nombre de la acción de autenticación que se realizará si la directiva coincide.
   d) Acción de registro - Nombre de la acción de registro de mensajes que se utilizará cuando una solicitud coincida con esta directiva.
   e) Expresión - Nombre de la regla con nombre de NetScaler, o una expresión de sintaxis predeterminada, que la política utiliza para determinar si se debe intentar autenticar al usuario con el servidor de AUTENTICACIÓN.
   f) Comentarios - Cualquier comentario para preservar información sobre esta política.
4. Haga clic en Crear.

Agregar un servidor de autenticación RADIUS

1. Vaya a Seguridad > AAA – Tráfico de aplicaciones > Políticas de autenticación > Políticas básicas > RADIUS.
2. Para agregar un servidor, seleccione la pestaña Servidores y haga clic en el botón Agregar.
3. Introduzca lo siguiente para crear un servidor RADIUS de autenticación. El signo * a la derecha del nombre de la configuración indica los campos obligatorios.
   1. Introduzca un Nombre para la acción RADIUS.
   2. Introduzca el Nombre del servidor o la Dirección IP del servidor asignada al servidor RADIUS.
   3. Introduzca el número de Puerto en el que el servidor RADIUS escucha las conexiones.
   4. Introduzca el valor de Tiempo de espera en segundos. El dispositivo NetScaler espera una respuesta del servidor RADIUS hasta que expire el valor de tiempo de espera configurado.
   5. Introduzca la Clave secreta que se comparte entre el servidor RADIUS y el dispositivo NetScaler. La Clave secreta es necesaria para permitir que el dispositivo NetScaler se comunique con el servidor RADIUS.
   6. Confirme la clave secreta.
4. Haga clic en Crear.

Agregar una directiva de autenticación RADIUS

1. Vaya a Security > AAA – Application Traffic > Policies > Authentication > Advanced Policies > Policy.
2. Haga clic en Add para crear una directiva de autenticación.
3. Complete la siguiente información para crear una directiva de autenticación. El signo * a la derecha del nombre de la configuración indica los campos obligatorios.
   1. Name - Nombre de la directiva de AUTENTICACIÓN avanzada. Debe comenzar con una letra, un número o un guion bajo (_), y debe contener solo letras, números y los caracteres guion (-), punto (.), almohadilla (#), espacio (), arroba (@), igual (=), dos puntos (:) y guion bajo. No se puede cambiar después de crear la directiva de AUTENTICACIÓN.
   El siguiente requisito se aplica solo a la CLI de NetScaler: Si el nombre incluye uno o más espacios, encierre el nombre entre comillas dobles o simples (por ejemplo, "mi directiva de autenticación" o 'mi directiva de autenticación').
   1. Action Type - Tipo de acción de autenticación.
   2. Action - Nombre de la acción de autenticación que se realizará si la directiva coincide.
   3. Log Action - Nombre de la acción de registro de mensajes que se utilizará cuando una solicitud coincida con esta directiva.
   4. Expression - Nombre de la regla con nombre de NetScaler, o una expresión de sintaxis predeterminada, que la directiva utiliza para determinar si se debe intentar autenticar al usuario con el servidor de AUTENTICACIÓN.
   5. Comments - Cualquier comentario para preservar información sobre esta directiva.
4. Haga clic en OK. La directiva de autenticación que ha creado aparece en la lista de directivas.
   

Crear un esquema de inicio de sesión de autenticación

1. Vaya a Security > AAA – Application Traffic > Login Schema.
2. Seleccione la ficha Perfiles y haga clic en el botón Add.
3. Complete los siguientes campos para crear un esquema de inicio de sesión de autenticación:
   1. Introduzca Nombre – Nombre para el nuevo esquema de inicio de sesión.
   2. Introduzca Esquema de autenticación - Nombre del archivo para leer el esquema de autenticación que se enviará a la interfaz de usuario de la página de inicio de sesión. Este archivo debe contener la definición XML de los elementos según el Protocolo de autenticación de formularios de Citrix para poder renderizar un formulario de inicio de sesión. Si un administrador no desea solicitar más credenciales a los usuarios, sino continuar con las credenciales obtenidas previamente, se puede proporcionar "noschema" como argumento. Esto se aplica solo a los esquemas de inicio de sesión que se utilizan con factores definidos por el usuario, y no con el factor de servidor virtual.
   3. Introduzca Expresión de usuario - Expresión para la extracción del nombre de usuario durante el inicio de sesión.
   4. Introduzca Expresión de contraseña - Expresión para la extracción de la contraseña durante el inicio de sesión.
   5. Introduzca Índice de credenciales de usuario - Un índice en el que se almacena el nombre de usuario introducido por el usuario en la sesión.
   6. Introduzca Índice de credenciales de contraseña - Un índice en el que se debe almacenar la contraseña introducida por el usuario en la sesión.
   7. Introduzca Fuerza de autenticación - Peso de la autenticación actual.
4. Haga clic en Crear. El perfil de esquema de inicio de sesión que creó debe aparecer en la lista de perfiles de esquema de inicio de sesión.
   

Crear una etiqueta de directiva

1. Vaya a Seguridad > AAA – Tráfico de aplicaciones > Directivas > Autenticación > Directivas avanzadas > Etiqueta de directiva.
2. Haga clic en el botón Agregar.
3. Complete los siguientes campos para crear una etiqueta de directiva de autenticación:
   1. Introduzca el Nombre para la nueva etiqueta de política de autenticación.
   2. Introduzca el Esquema de inicio de sesión asociado a la etiqueta de política de autenticación.
   3. Haga clic en Continuar.
4. Seleccionar una política en el menú desplegable.
5. Elija la Política de autenticación deseada y haga clic en el botón Seleccionar.
6. Complete los siguientes campos:
   1. Introduzca la Prioridad de la vinculación de la directiva.
   2. Introduzca la expresión Goto – la expresión especifica la prioridad de la siguiente política que se evaluará si la regla de política actual se evalúa como VERDADERA.
   
7. Seleccione la Política de autenticación deseada y haga clic en el botón Seleccionar.
8. Haga clic en el botón Enlazar.
9. Haga clic en Listo.
10. Revise la etiqueta de política de autenticación.

Configuración de re-Captcha para la autenticación nFactor

• re-Captcha v2 para la consola de administración
• re-Captcha v3 para la consola de administración
• re-Captcha v3 para la consola Enterprise

Crear un servidor virtual de Gateway para la autenticación nFactor en la licencia estándar de NetScaler

1. Vaya a NetScaler Gateway > Servidores virtuales.
2. En la página Servidores virtuales de NetScaler Gateway, haga clic en Agregar.
3. Introduzca los siguientes detalles en la página Servidor virtual VPN, haga clic en Aceptar y, a continuación, en Continuar.
   • Nombre: nombre del servidor virtual de NetScaler Gateway
   • Protocolo: seleccione SSL
   • Dirección IP: dirección IP del servidor virtual de NetScaler Gateway
   • Puerto: introduzca 443

1. En la página Servidor virtual VPN, haga clic en el icono más junto a Perfil de autenticación.
2. Haga clic en Agregar para configurar el perfil de autenticación.
   
3. Introduzca un nombre para el perfil de autenticación y haga clic en Agregar.
   
4. Introduzca los siguientes detalles en la página Servidor virtual VPN, haga clic en Aceptar y haga clic en Continuar.
   • Nombre: nombre del servidor virtual de autenticación, autorización y auditoría
   • Protocolo: seleccione No direccionable. Solo un servidor virtual de autenticación, autorización y auditoría no direccionable se puede vincular a un servidor virtual de Gateway/VPN en la licencia estándar de NetScaler.
   
   Nota:
   • En la licencia estándar de NetScaler, los pasos para crear una directiva son los mismos que en la licencia Premium para los tipos de directiva admitidos.
   • La licencia estándar de NetScaler no admite la adición de nuevos esquemas de inicio de sesión en la configuración de nFactor.

Referencias