Configuración de la autenticación de certificados de cliente
Los usuarios que inician sesión en un servidor virtual de NetScaler Gateway también pueden autenticarse en función de los atributos del certificado de cliente presentados al servidor virtual. La autenticación de certificados de cliente también se puede utilizar con otros tipos de autenticación, como LDAP o RADIUS, para proporcionar autenticación de dos factores.
Para autenticar a los usuarios en función de los atributos del certificado del lado del cliente, la autenticación de cliente debe estar habilitada en el servidor virtual y se debe solicitar el certificado de cliente. Debe vincular un certificado raíz al servidor virtual en NetScaler Gateway.
Cuando los usuarios inician sesión en el servidor virtual de NetScaler Gateway, después de la autenticación, la información del nombre de usuario se extrae del campo especificado del certificado. Normalmente, este campo es Subject:CN. Si el nombre de usuario se extrae correctamente, el usuario se autentica. La autenticación falla en los siguientes casos.
-
Si el usuario no proporciona un certificado válido durante el protocolo de enlace Secure Sockets Layer (SSL).
-
Si la extracción del nombre de usuario falla, la autenticación falla.
Puede autenticar a los usuarios en función del certificado de cliente configurando el tipo de autenticación predeterminado para usar el certificado de cliente. También puede crear una acción de certificado que defina lo que se debe hacer durante la autenticación en función de un certificado SSL de cliente.
A partir de la versión 24.8.1.15 del cliente Citrix Secure Access para Windows y la versión 25.11.1.1 para macOS, durante la autenticación de certificados de cliente, Citrix Secure Access selecciona automáticamente el certificado de cliente en función de los certificados de CA configurados en NetScaler Gateway. En las versiones anteriores, los usuarios tenían que usar un proceso de prueba y error para seleccionar el certificado correcto para la autenticación cuando había varios certificados de diferentes autoridades de certificación.
Nota:
-
Póngase en contacto con el soporte de Citrix para habilitar la selección automática de certificados de cliente en dispositivos macOS.
-
La selección automática de certificados de cliente no es compatible con la versión de App Store de Citrix Secure Access para macOS.
La siguiente tabla ilustra diferentes escenarios de autenticación de certificados de cliente:
| Configuraciones de certificados de CA | Opciones de certificados de cliente | Comportamiento esperado de Citrix Secure Access™ |
|---|---|---|
| CA1 está configurado en NetScaler Gateway | Certificado de cliente 1 de CA1 | Citrix Secure Access selecciona automáticamente el certificado de cliente y procede con la autenticación sin interacción del usuario. |
| Certificado de cliente 1 y certificado de cliente 2 de CA 1 | Citrix Secure Access selecciona el certificado de cliente basándose en el tiempo máximo de caducidad y procede con la autenticación sin interacción del usuario. | |
| CA1 y CA2 están configurados en NetScaler Gateway | Certificado de cliente 1 y certificado de cliente 2, ya sea de CA 1 o de CA 2 | Citrix Secure Access selecciona el certificado de cliente basándose en el tiempo máximo de caducidad y procede con la autenticación sin interacción del usuario. |
| Solo 1 certificado de cliente, ya sea de CA1 o de CA2 | Citrix Secure Access selecciona automáticamente el certificado de cliente y procede con la autenticación sin interacción del usuario. | |
| Certificado de cliente 1 de CA1 y certificado de cliente 2 de CA 2 | Citrix Secure Access solicita al usuario ambos certificados de cliente y el usuario debe seleccionar el certificado de cliente según sus requisitos. |
Para configurar el certificado de cliente como tipo de autenticación predeterminado mediante la GUI
-
Vaya a Configuration > NetScaler Gateway y, a continuación, haga clic en Global Settings.
-
En el panel de detalles, en Authentication Settings, haga clic en Change authentication CERT settings.
-
Seleccione ON para habilitar la autenticación de dos factores mediante el certificado según sus requisitos.
-
En User Name Field, seleccione el tipo de campo de certificado que contiene los nombres de usuario.
-
En Group Name Field, seleccione el tipo de campo de certificado que contiene el nombre del grupo.
-
En Default Authorization Group, escriba el nombre del grupo predeterminado y, a continuación, haga clic en OK.
Extracción del nombre de usuario del certificado de cliente
Si la autenticación de certificado de cliente está habilitada en NetScaler Gateway, los usuarios se autentican en función de ciertos atributos del certificado de cliente. Una vez que la autenticación se realiza correctamente, el nombre de usuario o el nombre de usuario y grupo del usuario se extraen del certificado. Además, se aplican las directivas especificadas para ese usuario.