Configurar grupos de direcciones

• Voz sobre IP
• FTP activo
• Mensajería instantánea
• Secure Shell (SSH)
• Virtual Network Computing (VNC) para conectarse a un escritorio de equipo
• Escritorio remoto (RDP) para conectarse a un escritorio de cliente

• Las direcciones IP asignadas deben enrutarse correctamente. Para garantizar el enrutamiento correcto, considere lo siguiente:
  • Si no habilita la tunelización dividida, asegúrese de que las direcciones IP se puedan enrutar a través de dispositivos de traducción de direcciones de red (NAT).
  • Cualquier servidor al que accedan las conexiones de usuario con direcciones IP de intranet debe tener las puertas de enlace adecuadas configuradas para llegar a esas redes.
  • Configure pasarelas o una ruta estática en NetScaler Gateway para que el tráfico de red del software de usuario se enrute a la red interna.
• Solo se pueden usar máscaras de subred contiguas al asignar rangos de direcciones IP. Se puede asignar un subconjunto de un rango a una entidad de nivel inferior. Por ejemplo, si un rango de direcciones IP está vinculado a un servidor virtual, vincule un subconjunto del rango a un grupo.
• Los rangos de direcciones IP no se pueden vincular a varias entidades dentro de un nivel de vinculación. Por ejemplo, un subconjunto de un rango de direcciones que está vinculado a un grupo no se puede vincular a un segundo grupo.
• NetScaler Gateway no permite eliminar o desvincular direcciones IP mientras están en uso activo por una sesión de usuario.
• Las direcciones IP de la red interna se asignan a los usuarios mediante la siguiente jerarquía:
  • Vinculación directa del usuario
  • Grupo de direcciones asignado al grupo
  • Grupo de direcciones asignado al servidor virtual
  • Rango global de direcciones
• Solo se pueden usar máscaras de subred contiguas al asignar rangos de direcciones. Sin embargo, un subconjunto de un rango asignado podría asignarse a una entidad de nivel inferior. Un rango de direcciones global vinculado puede tener un rango vinculado a lo siguiente:
  • Servidor virtual
  • Grupo
  • Usuario
• Un rango de direcciones de servidor virtual vinculado puede tener un subconjunto vinculado a lo siguiente:
  • Grupo
  • Usuario

Registro DNS de IP de intranet

• nsapimgr -ys enable_vpn_dns_override=1: Este indicador se envía al cliente VPN de NetScaler Gateway junto con los demás parámetros de configuración. Si este indicador no está establecido y el cliente VPN intercepta una solicitud DNS/WINS, envía una solicitud HTTP "GET /DNS" correspondiente al servidor virtual de NetScaler Gateway a través del túnel para obtener la dirección IP resuelta. Sin embargo, si el indicador 'enable_vpn_dnstruncate_fix' está establecido, el cliente VPN reenvía las solicitudes DNS/WINS de forma transparente al servidor virtual de NetScaler Gateway. En este caso, el paquete DNS se envía tal cual al servidor virtual de NetScaler Gateway a través del túnel VPN. Esto ayuda en los casos en que los registros DNS que regresan de los servidores de nombres configurados en NetScaler Gateway son enormes y no caben en el paquete de respuesta UDP. En este caso, cuando el cliente recurre al uso de TCP-DNS, este paquete TCP-DNS llega al servidor de NetScaler Gateway tal cual, y por lo tanto el servidor de NetScaler Gateway realiza una consulta TCP-DNS a un servidor DNS.
• nsapimgr -ys enable_vpn_dnstruncate_fix=1: Este indicador es utilizado por el propio servidor NetScaler Gateway. Si este indicador está establecido, NetScaler Gateway anula el destino de las "conexiones TCP en el puerto DNS" a los servidores DNS configurados en NetScaler Gateway (en lugar de intentar enviarlas a la IP del servidor DNS originalmente presente en el paquete TCP-DNS entrante). Para las solicitudes DNS UDP, el valor predeterminado es utilizar los servidores DNS configurados para la resolución DNS. El complemento NetScaler Gateway para Windows admite actualizaciones DNS seguras y no seguras. La compatibilidad con actualizaciones DNS seguras existe de forma predeterminada en las compilaciones 21.7.1.1 o superiores.
  La actualización DNS segura en el complemento de Windows está deshabilitada de forma predeterminada. Para habilitarla, cree un valor de tipo REG_DWORD en HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\Secure Access y establézcalo en 1.
  • Cuando se establece el valor en 1, el complemento VPN intenta primero la actualización DNS no segura. Si la actualización DNS no segura falla, el complemento VPN intenta la actualización DNS segura.
  • Para intentar solo la actualización DNS segura, puede establecer el valor en 2.

Configurar grupos de direcciones para un usuario, grupo o servidor virtual mediante la GUI

1. Vaya a Configuration > NetScaler® Gateway y realice una de las siguientes acciones:
   • Vaya a NetScaler Gateway > User Administration y, a continuación, haga clic en AAA Users.
   • Vaya a NetScaler Gateway > User Administration y, a continuación, haga clic en AAA Groups.
   • Expanda NetScaler Gateway y, a continuación, haga clic en Virtual Servers.
2. En el panel de detalles, haga clic en un usuario, grupo o servidor virtual y, a continuación, haga clic en Open.
3. En los cuadros de texto IP Address y Netmask de la ficha Intranet IPs, escriba la dirección IP y la máscara de subred y, a continuación, haga clic en Add.
4. Repita el paso 3 para cada dirección IP que quiera agregar al grupo y, a continuación, haga clic en OK.

Configurar grupos de direcciones globalmente mediante la GUI

1. Vaya a Configuration > NetScaler Gateway > Global Settings.
2. En el panel de detalles, en Intranet IPs, haga clic en To assign a unique, static IP Address or pool of IP Addresses for use by all client NetScaler Gateway sessions, configure Intranet IPs.
3. En el cuadro de diálogo Bind Intranet IPs, haga clic en Action y, a continuación, haga clic en Insert.
4. En los cuadros de texto IP Address y Netmask, escriba la dirección IP y la máscara de subred y, a continuación, haga clic en Add.
5. Repita los pasos 3 y 4 para cada dirección IP que quiera agregar al grupo y, a continuación, haga clic en OK.

Configurar grupos de direcciones mediante la CLI

1. Ejecute uno de los siguientes comandos para configurar los grupos de direcciones:
   • Para un usuario AAA: bind aaa user <username> -intranetIP <ip_address> <netmask>
   • Para un grupo AAA: bind aaa group <groupname> -intranetIP <ip_address> <netmask>
   • Para un servidor virtual VPN: bind vpn vserver <vservername> -intranetIP <ip_address> -netmask <netmask>
   • Para VPN global: bind vpn global -intranetIP <ip_address> -netmask <netmask>
2. Ejecute el siguiente comando para establecer el límite en el número máximo de direcciones IP de intranet que se pueden asignar a un usuario:
   set vpn parameter -maxIIPperUser <number>
   Nota:
   • El valor mínimo para maxIIPperUser es 1 y el máximo es 10.
   • Si el parámetro maxIIPperUser no está configurado, de forma predeterminada, el número de direcciones IP de intranet asignadas al usuario es 1.
   • La configuración maxIIPperUser solo es aplicable a las direcciones IP de intranet configuradas a nivel de grupo AAA, servidor virtual VPN o VPN global. Las direcciones IP de intranet configuradas a nivel de usuario AAA no se ven afectadas por esta configuración.
   • Aumentar o disminuir el límite maxIIPPerUser no afecta a las sesiones existentes ni al número de direcciones IP de intranet asignadas. Las sesiones existentes permanecen activas hasta que se agote el tiempo de espera de la sesión/inactividad o la intervención del administrador. Sin embargo, la configuración surte efecto inmediatamente para las nuevas sesiones.

Definir opciones de grupo de direcciones

• Nospillover - Cuando configura grupos de direcciones para una dirección IP de intranet, obtiene una sesión con una IP disponible del grupo. Para los usuarios que han utilizado todas las direcciones IP de intranet disponibles, aparece la página de inicio de sesión de transferencia.
• Desbordamiento - Cuando se configuran grupos de direcciones y la IP asignada se utiliza como dirección IP de intranet, la dirección IP asignada se utiliza para los usuarios que han utilizado todas las direcciones IP de intranet disponibles.
• Desactivado - Los grupos de direcciones no están configurados.

Para definir grupos de direcciones

1. En la utilidad de configuración, en la ficha Configuración, en el panel de navegación, expanda NetScaler Gateway > Directivas y, a continuación, haga clic en Sesión.
2. En el panel de detalles, en la ficha Directivas, haga clic en Agregar.
3. En Nombre, escriba un nombre para la directiva.
4. Junto a Perfil de solicitud, haga clic en Nuevo.
5. En Nombre, escriba un nombre para el perfil.
6. En la ficha Configuración de red, haga clic en Avanzado.
7. Junto a IP de intranet, haga clic en Anular global y, a continuación, seleccione una opción.
8. Si selecciona SPILLOVER en el paso 9, junto a IP asignada, haga clic en Anular global, seleccione el nombre de host del dispositivo, haga clic en Aceptar y, a continuación, haga clic en Crear.
9. En el cuadro de diálogo Crear directiva de sesión, cree una expresión. Haga clic en Crear y, a continuación, haga clic en Cerrar.

Configurar la página de inicio de sesión de transferencia

• A un usuario se le asigna una dirección IP de intranet estática y tiene una sesión de NetScaler Gateway existente. Si el usuario intenta establecer una segunda sesión desde un dispositivo diferente, aparece la página de inicio de sesión de transferencia y el usuario puede transferir la sesión al nuevo dispositivo.
• A un usuario se le asignan cinco direcciones IP de intranet y tiene cinco sesiones a través de NetScaler Gateway. Si el usuario intenta establecer una sexta sesión, aparece la página de inicio de sesión de transferencia y el usuario puede optar por reemplazar una sesión existente por una nueva.

Configurar un sufijo DNS