Usar certificados de dispositivo para la autenticación

Last published : Oct 14, 2026
NetScaler Gateway admite la comprobación de certificados de dispositivo que le permite vincular la identidad del dispositivo a la clave privada de un certificado. La comprobación de certificados de dispositivo se puede configurar como parte de las directivas de análisis de puntos finales (EPA) clásicas o avanzadas. En las directivas EPA clásicas, el certificado de dispositivo solo se puede configurar para EPA de preautenticación.
NetScaler Gateway verifica el certificado del dispositivo antes de que se ejecute el análisis de puntos finales o antes de que aparezca la página de inicio de sesión. Si configura el análisis de puntos finales, el análisis de puntos finales se ejecuta para verificar el dispositivo del usuario. Cuando el dispositivo supera el análisis y después de que NetScaler Gateway verifique el certificado del dispositivo, los usuarios pueden iniciar sesión en NetScaler Gateway.
Importante:
  • De forma predeterminada, Windows exige privilegios de administrador para acceder a los certificados de dispositivo.
  • Para agregar una comprobación de certificado de dispositivo para usuarios que no son administradores, debe instalar el complemento VPN. La versión del complemento VPN debe ser la misma que la del complemento EPA en el dispositivo.
  • Puede agregar varios certificados de CA a la puerta de enlace y validar el certificado del dispositivo.
  • Si instala dos o más certificados de dispositivo en NetScaler Gateway, los usuarios deben seleccionar el certificado correcto cuando inicien sesión en NetScaler Gateway o antes de que se ejecute el análisis de puntos finales.
  • Cuando cree el certificado de dispositivo, debe ser un certificado X.509.
  • Si tiene un certificado de dispositivo emitido por una CA intermedia, tanto los certificados de CA intermedios como los raíz deben estar vinculados.
  • El cliente EPA necesita que el usuario tenga derechos de administrador local para poder acceder al almacén de certificados de la máquina. Esto rara vez ocurre, por lo que una solución alternativa es instalar el complemento completo de NetScaler® Gateway que puede acceder al almacén local.
Para obtener más información sobre cómo crear certificados de dispositivo, consulte lo siguiente:
Related information
Administración de certificados en NetScaler Gateway
Administración de certificados en NetScaler Gateway

Pasos para configurar certificados de dispositivo

Para configurar un certificado de dispositivo, debe completar los siguientes pasos:
Habilite la comprobación del certificado de dispositivo en el servidor virtual y agregue el certificado de la autoridad de certificación del emisor del certificado de dispositivo a la lista de comprobación del certificado de dispositivo. Para obtener más información, consulte Habilitar la comprobación del certificado de dispositivo en un servidor virtual para la directiva EPA clásica.
Complete la configuración del lado del cliente y la verificación del certificado de dispositivo en la máquina Windows. Para obtener más información, consulte Verificación del certificado de dispositivo en una máquina Windows.
Nota:
Todos los clientes que deseen utilizar la comprobación EPA del certificado de dispositivo deben tener el certificado de dispositivo instalado en el almacén de certificados del sistema de la máquina.

Habilitar la comprobación del certificado de dispositivo en un servidor virtual para la directiva EPA clásica

Después de crear el certificado de dispositivo, instálelo en NetScaler Gateway mediante el procedimiento para Importar e instalar un certificado existente en NetScaler Gateway.
  1. En la ficha Configuración, vaya a NetScaler Gateway > Servidores virtuales.
  2. En la página Servidores virtuales de NetScaler Gateway, seleccione un servidor virtual existente y haga clic en Modificar.
  3. En la página Servidores virtuales VPN, en la sección Configuración básica, haga clic en Editar.
  4. Desactive la casilla Habilitar autenticación para deshabilitar la autenticación.
  5. Seleccione la casilla Habilitar certificado de dispositivo para habilitar el certificado de dispositivo.
  6. Haga clic en Agregar para añadir a la lista el nombre del certificado de CA del emisor de un certificado de dispositivo disponible.
  7. Para vincular un certificado de CA al servidor virtual, haga clic en Certificado de CA en la sección CA para certificado de dispositivo, haga clic en Agregar, seleccione el certificado y, a continuación, haga clic en +.
Nota:
Para obtener información sobre cómo habilitar y vincular certificados de dispositivo en un servidor virtual para una política EPA avanzada, consulte Certificado de dispositivo en nFactor como componente EPA.

Verificación del certificado de dispositivo en una máquina Windows

  1. Abra un navegador y acceda al FQDN de NetScaler Gateway.
  2. Permita que se ejecute el cliente de Citrix® End Point Analysis (EPA). Si aún no está instalado, instale EPA.
    Citrix EPA se ejecuta y valida el certificado de dispositivo y redirige a la página de autenticación si la comprobación EPA del certificado de dispositivo se supera; de lo contrario, le redirige a la página de error de EPA. En caso de que tenga otras comprobaciones EPA, los resultados del análisis EPA dependerán de las comprobaciones EPA configuradas.
Para depurar más a fondo en el cliente, examine los siguientes registros EPA en el cliente: C:\Users\<User name>\AppData\Local\Citrix\AGEE\nsepa.txt
Nota:
La verificación del certificado de dispositivo con CRL no es compatible.