Análisis EPA como un factor en la autenticación nFactor

Last published : Oct 14, 2026
Importante:
El análisis de puntos finales está diseñado para analizar el dispositivo del usuario según criterios de cumplimiento predeterminados y no aplica ni valida la seguridad de los dispositivos de usuario final. Se recomienda utilizar sistemas de seguridad de puntos finales para proteger los dispositivos de ataques de administradores locales.
Las siguientes son algunas de las entidades básicas de nFactor EPA.
Acción EPA: La acción EPA es un tipo de acción introducido para nFactor EPA. Contiene lo siguiente:
  • Expresión de comprobación del dispositivo cliente: Esta expresión se envía al complemento EPA de la puerta de enlace para su evaluación.
  • Grupo de éxito: Este grupo, si está configurado, se hereda a la sesión de la puerta de enlace si el resultado de EPA es verdadero.
  • Grupo de cuarentena: Este grupo, si está configurado, se hereda a la sesión de la puerta de enlace si el resultado de EPA es falso.
  • killProcess: Representa el nombre del proceso que el proceso EPA debe terminar.
  • deleteFiles: Especifica rutas separadas por comas a los archivos que el proceso EPA debe eliminar.
Los grupos se pueden utilizar durante la vida útil de la sesión para determinar si el cliente cumple una determinada condición de EPA. Si en un factor determinado, el EPA falla y la última acción no contiene un "Grupo de cuarentena", la autenticación se termina para ese usuario. Si existe un "Grupo de cuarentena", la autenticación continúa y el administrador puede comprobar el grupo para conceder acceso limitado. Para obtener más detalles, consulte ejecución de EPA.
Para configurar una acción EPA de autenticación mediante la GUI:
  • Vaya a Seguridad > AAA - Tráfico de aplicaciones > Directivas > Autenticación > Directivas avanzadas > Acciones > Acción EPA de autenticación.
  • Configure los siguientes parámetros:
    • Nombre: Nombre de la acción EPA.
    • Grupo predeterminado: El grupo predeterminado que se elige cuando la comprobación de EPA es correcta.
    • Grupo de cuarentena: El grupo de cuarentena que se elige cuando la comprobación de EPA falla.
    • Terminar proceso: Una cadena que especifica el nombre de un proceso que debe terminar la herramienta EPA. Varios procesos se separan con comas.
    • Eliminar archivos: Una cadena que especifica las rutas y los nombres de los archivos que debe eliminar la herramienta EPA. Varios archivos se separan con comas.
    • Expresión: Expresión de seguridad del cliente que se enviará al cliente.
Para configurar una acción de EPA de autenticación mediante la CLI:
add authentication epaAction CWA version check scan -csecexpr sys.client_expr("sys_0_MAC-CWA_version_>=_23.9.0.99")
El ejemplo de CLI anterior indica un análisis de EPA para verificar la versión de la aplicación Citrix Workspace™ en una máquina macOS.
Directiva EPA: En nFactor, todas las directivas se agregan con la misma sintaxis "add authentication policy". Sin embargo, el tipo de acción califica la directiva como una directiva EPA.
Factor EPA: El factor EPA es una etiqueta de directiva normal. No existe una entidad llamada factor EPA. Una vez que la directiva EPA se vincula a un factor, hereda ciertas propiedades que lo convierten en un factor EPA.
Nota:
El término "Factor EPA" se usa comúnmente en este documento para referirse a un factor con directivas EPA.
EPA – Cuarentena: Cuando un dispositivo falla un análisis de punto final (EPA), un grupo de cuarentena configurado concede acceso limitado en lugar de denegar el acceso inmediatamente.
Si una comprobación de EPA falla y la última acción de EPA incluye un grupo de cuarentena, el usuario se agrega al grupo de cuarentena y no se evalúa el siguiente factor. Configure el grupo de cuarentena como un nivel de acceso restringido autónomo.
El acceso para los usuarios en cuarentena está controlado por las directivas vinculadas al grupo de cuarentena. Estas directivas pueden restringir el acceso a aplicaciones o recursos, aplicar flujos de trabajo solo de remediación o reducir los privilegios en comparación con los usuarios conformes.
Si una comprobación EPA falla y no se configura ningún grupo de cuarentena en la última acción, la autenticación falla y se deniega el acceso.
EPA en nFactor también utiliza las siguientes entidades:
  • LoginSchema: Representación XML del formulario de inicio de sesión. Define la «vista» del formulario de inicio de sesión y también tiene propiedades de un «factor».
  • Etiqueta de directiva o factor de directiva: Es una colección de directivas que se prueban en una etapa determinada de la autenticación.
  • Etiqueta de servidor virtual: El servidor virtual también es una etiqueta de directiva a la que se pueden vincular directivas. Sin embargo, el servidor virtual es la colección de varias etiquetas de directiva, ya que es el punto de entrada para el acceso de los usuarios.
  • next factor: Se utiliza para especificar la etiqueta de directiva/factor que se debe tomar una vez que la directiva de autenticación dada se realiza correctamente.
  • Directiva NO_AUTHN: Directiva especial cuya acción siempre se realiza correctamente.
  • Factor de paso: Es una etiqueta de directiva/factor cuyo esquema de inicio de sesión no contiene vista. Es una indicación para el dispositivo NetScaler de que debe continuar la autenticación en el factor dado sin la intervención del usuario.
Para obtener más información, consulte Conceptos, entidades y terminología de nFactor.
Related information
Análisis de puntos finales

Exclusividad mutua del factor EPA

El factor EPA contiene una o varias directivas EPA. Una vez que las directivas EPA se vinculan a un factor, las directivas de autenticación normales no están permitidas en ese factor. Esta restricción tiene como objetivo ofrecer la mejor experiencia de usuario y una clara separación del análisis de puntos finales. La única excepción a esta regla es la directiva NO_AUTHN. Dado que la directiva NO_AUTHN es una directiva especial utilizada para simular un «salto en caso de error», está permitida en el factor EPA.

Ejecución de EPA

En cualquier factor dado (incluido el factor de servidor virtual), antes de servir el formulario de inicio de sesión, el dispositivo NetScaler comprueba si el factor está configurado para EPA. Si es así, envía una respuesta específica al cliente (UI) para que se active la secuencia EPA. Esta secuencia comprende la solicitud del cliente de expresiones de comprobación del dispositivo cliente y el envío de los resultados. Las expresiones de comprobación del dispositivo cliente para todas las directivas de un factor se envían a la vez al cliente. Una vez que se obtienen los resultados en el dispositivo NetScaler, cada una de las expresiones de todas las acciones se evalúa en una secuencia. La primera acción que da como resultado una EPA exitosa finaliza ese factor, y DefaultGroup, si está configurado, se hereda en la sesión. Si se encuentra una directiva NO_AUTHN, se califica como éxito automático. Si se especifica nextFactor, el dispositivo continúa con ese factor. De lo contrario, la autenticación finaliza. Esta condición también es aplicable al primer factor. Si no hay un factor de directiva de autenticación después de EPA en el servidor virtual, la autenticación finaliza. Esto es diferente del comportamiento de la directiva clásica, donde al usuario siempre se le muestra la página de inicio de sesión después de EPA. Sin embargo, en caso de que no haya una directiva EPA exitosa, NetScaler Gateway busca el Grupo de Cuarentena configurado para la última directiva EPA en ese factor o cascada. Si la última directiva está configurada con el Grupo de Cuarentena, ese grupo se agrega a la sesión y se inspecciona el nextFactor. Si existe un nextFactor, la autenticación procede a ese factor. De lo contrario, la autenticación se completa.

Configurar el análisis EPA para que se ejecute después de la autenticación

Puede configurar el análisis EPA para que se ejecute después de la autenticación. En el siguiente ejemplo, el análisis EPA se utiliza como una comprobación final en una autenticación nFactor o multifactor. En esta configuración, si el análisis EPA falla durante cualquiera de estas comprobaciones, la sesión se termina.
Nota:
Al configurar la autenticación nFactor con varias políticas EPA, se recomienda no posicionarlas secuencialmente, ya que esto podría dar lugar a múltiples solicitudes para que el usuario inicie el complemento EPA. En su lugar, se recomienda alternar las políticas EPA con otros métodos de autenticación.
Ejemplos:
  • Recomendado: Factor EPA 1 > LDAP > Factor EPA 2
  • No recomendado: LDAP > Factor EPA 1 > Factor EPA 2
Secuencia de flujo de EPA en nFactor
  • El usuario intenta conectarse a la IP virtual de NetScaler® Gateway.
  • Se muestra al usuario una página de inicio de sesión con campos de nombre de usuario y contraseña para que proporcione las credenciales de inicio de sesión. Con estas credenciales, se realiza la autenticación basada en LDAP o AD en el back-end. Si tiene éxito, se presenta al usuario una ventana emergente para autorizar el escaneo EPA.
  • Una vez que el usuario autoriza, se realiza el escaneo EPA y, en función del éxito o fracaso de la configuración del cliente del usuario, se proporciona el acceso.
  • Si el escaneo es exitoso, el escaneo EPA se realiza periódicamente para verificar que los requisitos de verificación del dispositivo configurados aún se cumplen.
  • Si el escaneo EPA falla durante cualquiera de estas comprobaciones, la sesión se termina.

Requisitos previos

Se asume que la siguiente configuración está implementada:
  • Configuración del servidor virtual VPN, la puerta de enlace y el servidor virtual de autenticación
  • Configuraciones del servidor LDAP y políticas asociadas.
La siguiente sección describe las configuraciones de políticas y etiquetas de política requeridas, y también la asignación de políticas y etiquetas de política a un perfil de autenticación.
EPA en la asignación de políticas y etiquetas de política de nFactor

En la CLI

  1. Cree una acción para realizar un escaneo EPA antes de la autenticación LDAP y asóciela a una política de escaneo EPA.
    add authentication epaAction pre-ldap-epa-action -csecexpr "sys.client_expr (\"proc_2_firefox\")"

    add authentication Policy pre-ldap-epa-pol -rule true -action pre-ldap-epa-action
    La expresión anterior escanea si el proceso 'Firefox' se está ejecutando. El cliente EPA comprueba la existencia del proceso cada 2 minutos, indicado por el dígito '2' en la expresión de escaneo.
  2. Configure la etiqueta de política pre-ldap-epa-label, que aloja la política para el escaneo EPA.
    add authentication policylabel pre-ldap-epa-label -loginSchema LSCHEMA_INT
    Nota:
    LSCHEMA_INT es un esquema integrado sin esquema (noschema), lo que significa que no se presenta ninguna página web adicional al usuario en este paso.
  3. Asocie la política configurada en el paso 1 a la etiqueta de política configurada en el paso 2. Esto completa el mecanismo de autenticación.
    bind authentication policylabel pre-ldap-epa-label -policyName pre-ldap-epa-pol -priority 100 -gotoPriorityExpression END
  4. Configure una acción y política LDAP.
    add authentication ldapAction ldap-act -serverIP 192.0.2.0 -ldapBase "dc=example,dc=net" -ldapBindDn user1@example.net -ldapBindDnPassword 1.cloud -ldapLoginName samAccountName -groupAttrName memberOf -subAttributeName CN -passwdChange ENABLED

    add authentication Policy ldap-pol -rule true -action ldap-act
  5. Cree un esquema de inicio de sesión con SSO habilitado.
    add authentication loginSchema ldap-schema -authenticationSchema "/nsconfig/loginschema/LoginSchema/SingleAuth.xml" -SSOCredentials Yes
  6. Configure la etiqueta de política ldap-pol-label, que aloja la política para la autenticación LDAP.
    add authentication policylabel ldap-pol-label -loginSchema ldap-schema
  7. Vincule el esquema de inicio de sesión configurado en el paso 5 a la etiqueta de política configurada en el paso 6.
    bind authentication policylabel ldap-pol-label -policyName ldap-pol -priority 100 -gotoPriorityExpression NEXT
  8. Cree una acción para realizar un escaneo EPA después de la autenticación LDAP y asóciela a una política de escaneo EPA.
    add authentication epaAction post-ldap-epa-action -csecexpr "sys.client_expr (\"proc_2_chrome\")"

    add authentication Policy post-ldap-epa-pol -rule true -action post-ldap-epa-action

    add authentication policylabel post-ldap-epa-label -loginSchema LSCHEMA_INT

    bind authentication policylabel post-ldap-epa-label -policyName post-ldap-epa-pol -priority 100 -gotoPriorityExpression
  9. En resumen, asocie la política pre-ldap-epa-pol al servidor virtual de autenticación con el siguiente paso apuntando a la etiqueta de política ldap-pol-label para realizar un escaneo EPA.
    bind authentication vserver user.auth.test -policy pre-ldap-epa-pol -priority 100 -nextFactor ldap-pol-label -gotoPriorityExpression NEXT

    bind authentication policylabel ldap-pol-label -policyName ldap-pol -priority 100 -gotoPriorityExpression NEXT -nextFactor post-ldap-epa-label
Nota:
  • En el EPA periódico configurado como múltiples factores, se considera el último factor con la configuración de EPA periódica.
  • Los análisis periódicos solo se pueden ejecutar utilizando el complemento EPA y no en el navegador.
  • En el primer ejemplo, EPA es el primer factor donde el análisis busca el proceso 'Firefox'.
  • Si el análisis EPA es correcto, conduce a la autenticación LDAP, seguida del siguiente análisis EPA, que busca el proceso 'Chrome'.
  • Cuando se configuran varios análisis periódicos como factores diferentes, el último análisis tiene prioridad. En este caso, el complemento EPA analiza el proceso 'Chrome' cada 2 minutos después de que el inicio de sesión sea correcto.

En la GUI (mediante nFactor Visualizer)

Puede configurar un análisis EPA avanzado como factor mediante el visualizador nFactor en la GUI. En el siguiente ejemplo, hemos utilizado LDAP como primer factor y EPA como siguiente factor.
  1. Cree un primer factor para el flujo nFactor.
    • Vaya a Security > AAA-Application Traffic > nFactor Visualizer > nFactor Flows y haga clic en Add.
    • Haga clic en + para agregar el flujo nFactor.
    • Agregue un factor y haga clic en Create.
    EPA en la secuencia de flujo nFactor
  2. Cree un esquema de inicio de sesión y una directiva para el primer factor.
    • En el mosaico del primer factor, haga clic en Add Schema para agregar un esquema de inicio de sesión. Puede seleccionar un esquema de inicio de sesión de autenticación existente en la lista desplegable o crear un esquema de inicio de sesión.
    • Para crear un esquema de inicio de sesión de autenticación, haga clic en Agregar. Para obtener información detallada sobre el esquema de inicio de sesión de autenticación, consulte Configuración de la autenticación nFactor.
      Secuencia de flujo de EPA en nFactor
    • Haga clic en Agregar política para agregar la política LDAP. Si la política LDAP ya está creada, puede seleccionarla. Haga clic en Agregar.
      Nota:
      Si no se ha creado una política LDAP, puede crear una. Haga clic en el botón Agregar junto a la lista desplegable Seleccionar política. En el campo Acción, seleccione LDAP. Para obtener más información sobre cómo agregar un servidor LDAP de autenticación, consulte https://support.citrix.com/article/CTX123782.
      Secuencia de flujo de EPA en nFactor
  3. Cree un factor siguiente y conéctelo al primer factor.
    • Haga clic en el icono + de color verde o rojo para agregar EPA como el siguiente factor.
    • Cree el siguiente factor en la página Siguiente factor para conectar.
    • Deje la sección Agregar esquema en blanco para que no se aplique ningún esquema predeterminado a este factor.
  4. Agregue una política para el siguiente factor.
    • Haga clic en Agregar política para agregar la política y la acción de EPA posterior a la autenticación.
    • Puede elegir entre una lista existente de políticas o crear una. Para elegir entre las políticas existentes, seleccione una política de la lista desplegable Seleccionar política, proporcione los detalles de enlace y haga clic en Agregar.
    • Para crear una política, haga clic en el botón Agregar junto a la lista desplegable Seleccionar política.
    Secuencia de flujo de EPA en nFactor
  5. Una vez completado el flujo nFactor, haga clic en Listo.
  6. Enlace el flujo nFactor a un servidor de autenticación.
    • Vaya a Seguridad AAA - Tráfico de aplicaciones > Visualizador nFactor > Flujos nFactor.
    • Seleccione el nFactor y haga clic en Enlazar a servidor de autenticación.
    EPA en secuencia de flujo nFactor

Referencias