Análisis de puntos finales v2

Last published : Oct 14, 2026
El análisis de puntos finales (EPA) es vital para el acceso a la red de confianza cero (ZTNA), ya que evalúa el contexto y la postura del dispositivo de punto final antes de conceder el acceso. A partir de la versión 14.1 compilación 25.56, EPA v2 ofrece una evaluación de políticas más sólida y fiable, con capacidades mejoradas para una mayor seguridad y una protección mejorada, lo que la convierte en la opción recomendada.
Related information
Análisis de puntos finales

Plataformas y versiones compatibles

En la siguiente tabla se enumeran las plataformas y versiones de cliente de EPA que admiten EPA v2:
Plataforma cliente de EPA Versión
Windows 25.8.1.6 y posteriores
macOS 25.11.19 y posteriores
Linux 26.2.3 y posteriores

Análisis compatibles y no compatibles

EPA v2 admite la mayoría de los análisis para sesiones iniciadas por el navegador y por la aplicación Citrix Workspace, que son compatibles con EPA v1. Para obtener más información, consulte Análisis de puntos finales.
EPA v2 no admite los siguientes análisis:
  • Análisis de EPA de Windows para parches faltantes
  • Análisis de la última actualización de Windows
  • Análisis de direcciones MAC en los menús desplegables de Windows y Mac en el editor de expresiones
  • Análisis del registro con comparación de versiones mediante operadores (<, >, ==, !=, <=, >=). Esta limitación es específica solo para las comparaciones de versiones, mientras que las comparaciones de enteros estándar funcionan como se espera.

Requisitos previos

  • Configurar la autenticación nFactor (autenticación avanzada) en NetScaler Gateway.
  • Habilitar el parámetro HttpOnlyCookie ya sea mediante la CLI o la GUI.
    • Para habilitar el parámetro HttpOnlyCookie mediante la CLI, escriba el siguiente comando en el símbolo del sistema:
      set aaa parameter -httpOnlyCookie ENABLED
    • Para habilitar el parámetro HttpOnlyCookie mediante la GUI, vaya a NetScaler Gateway > Global Settings > Change authentication AAA settings. En la página Configurar parámetro AAA, establezca HttpOnly Cookie en ENABLED.

Habilitar EPA v2 en NetScaler Gateway

Para habilitar EPA v2 mediante la CLI

En el símbolo del sistema, escriba:
set aaa parameter -enhancedEPA ENABLED

Para habilitar EPA v2 mediante la GUI

  1. Vaya a NetScaler Gateway > Global Settings > Change authentication AAA settings.
  2. En la página Configurar parámetro AAA, establezca Enhanced EPA en ENABLED.
  3. Haga clic en Aceptar.
  4. Reinicie el nodo principal (que anteriormente era un nodo secundario) para asegurarse de que ambos nodos de la configuración HA tengan la misma configuración.
    Nota:
    No es necesario reiniciar para una nueva configuración de NetScaler.
Habilitar EPA v2

Actualizar NetScaler

Actualice su NetScaler a la versión adecuada descargándolo de la página Descargas de Citrix. Para obtener instrucciones detalladas sobre cómo actualizar un par HA, consulte Actualizar un par de alta disponibilidad.

Actualizar componentes de cliente en NetScaler Gateway

Ejecute el siguiente comando en el shell de NetScaler para comprobar las versiones de cliente asociadas a su NetScaler:
cat /var/netscaler/gui/vpn/pluginlist.xml
Si las versiones de cliente asociadas no cumplen con Plataformas y versiones compatibles, actualice los clientes como se menciona en las siguientes secciones.

Actualizar el cliente Citrix Secure Access™ y el cliente EPA para Windows

Actualice el cliente Citrix Secure Access y el cliente EPA para Windows según los pasos mencionados en Actualizar el cliente Citrix Secure Access y el cliente EPA para Windows en NetScaler Gateway.

Actualizar el cliente Citrix Secure Access y el cliente EPA para macOS

Actualice el cliente Citrix Secure Access para macOS a la última versión desde la App Store.
Realice los siguientes pasos en NetScaler Gateway para actualizar el cliente EPA para macOS:
  1. Descargue el cliente EPA más reciente para macOS desde <https://www.citrix.com/downloads/citrix-secure-access/plug-ins/citrix-secure-access-client-for-macOS.html>
  2. Vaya a NetScaler Gateway > Actualizar componentes de cliente.
  3. En Actualizar componentes de cliente, haga clic en el enlace Actualizar bibliotecas EPA o complementos EPA/VPN.
    Actualizar componente de cliente
  4. Haga clic en Elegir archivo y seleccione el archivo de cliente EPA descargado.
  5. Haga clic en Actualizar.
  6. Actualice el pluginlist.xml para que refleje los detalles de la nueva versión de la siguiente manera:
    1. Copie el Citrix_Endpoint_Analysis.dmg descargado en el /var/netscaler/gui/epa/scripts/mac/directory de NetScaler Gateway.
    2. Modifique los atributos version y compatibleFrom de la etiqueta plugin con el nombre NetScaler Gateway EPA plug-in for Mac en /var/netscaler/gui/vpn/pluginlist.xml a los valores adecuados.
      version=“<version>”
      compatibleFrom=”<version>”
      La nueva etiqueta plugin aparece de la siguiente manera:
      <plugin
          name="NetScaler Gateway EPA plug-in for Mac" type="MAC-EPA"
          version="23.7.6" path="/epa/scripts/mac/Citrix_Endpoint_Analysis.dmg"
          compatibleFrom="23.7.6" compatibleTill=""
      />
    3. Para que los cambios surtan efecto, ejecute los siguientes comandos en los nodos principal y secundario:
      rm -rf /netscaler/ns_gui
      ln -s /var/netscaler/gui /netscaler/ns_gui

Actualizar el cliente EPA para Windows y macOS en máquinas de usuario final

Al actualizar EPA en NetScaler Gateway a EPA v2, el cliente EPA no se inicia si la versión del cliente EPA instalada en la máquina del usuario final no es compatible con EPA v2. Después de un tiempo de espera de 20 segundos, se solicita a los usuarios que descarguen el nuevo cliente EPA.
Tiempo de espera del cliente EPA
Actualice el cliente EPA en las máquinas de usuario final siguiendo estos pasos:
  1. Haga clic en el botón Descargar para descargar el nuevo cliente EPA que se cargó previamente en NetScaler Gateway.
  2. Una vez instalado el nuevo cliente EPA, haga clic en el botón Reintentar inicio de EPA en la misma página para reiniciar el cliente EPA.
Actualizar cliente EPA(/en-us/netscaler-gateway/media/epa-v2-launch.png)

Solución de problemas con EPA v2

Análisis de direcciones MAC

EPA v2 no admite análisis de direcciones MAC en los menús desplegables de Windows y Mac en el editor de expresiones. La siguiente es una configuración de análisis de ejemplo:
Windows: sys.client_expr("sys_0_MAC_1A2B3C4D5E6F,1D2B3E4D5F6E[COMMENT: MAC Address]")
macOS: sys.client_expr("sys_0_MAC-MAC_1A2B3C4D5E6F,1D2B3E4D5F6E[COMMENT: MAC Address]")
Solución alternativa:
Configure el análisis de EPA para permitir direcciones MAC específicas. Para obtener más información, consulte Análisis de EPA para direcciones MAC.

Error de descarga del cliente EPA

La descarga del cliente EPA desde NetScaler Gateway podría fallar durante una actualización del cliente EPA en la máquina del usuario final.
Solución alternativa:
Utilice el parámetro NOCACHE para evitar este problema:
add cache policy bypass_epa_plugin_cache -rule "HTTP.REQ.URL.ENDSWITH(\".dmg\") || HTTP.REQ.URL.ENDSWITH(\".exe\") || HTTP.REQ.URL.ENDSWITH(\".deb\")" -action NOCACHE

bind vpn vserver <vpn-vserver-name> -policy bypass_epa_plugin_cache -priority 5 -gotoPriorityExpression END -type REQUEST

bind authentication vserver <authvs-name> -policy bypass_epa_plugin_cache -priority 5 -gotoPriorityExpression END -type REQUEST