Configuration de l’extraction de groupe RADIUS
Vous pouvez configurer l’autorisation RADIUS à l’aide d’une méthode appelée extraction de groupe. La configuration de l’extraction de groupe vous permet d’administrer les utilisateurs sur votre serveur RADIUS au lieu de les ajouter à Citrix Gateway.
Vous configurez l’autorisation RADIUS à l’aide d’une stratégie d’authentification et en configurant l’identifiant du fournisseur (ID) du groupe, le type d’attribut de groupe, le préfixe de groupe et un séparateur de groupe. Lorsque vous configurez la stratégie, vous ajoutez une expression, puis liez la stratégie globalement ou à un serveur virtuel.
Configuration de RADIUS sur Windows Server 2003
Si vous utilisez Microsoft Internet Authentication Service (IAS) pour l’autorisation RADIUS sur Windows Server 2003, lors de la configuration de Citrix Gateway, vous devez fournir les informations suivantes :
- ID fournisseur est le code spécifique au fournisseur que vous avez entré dans IAS.
- Le type correspond au numéro d’attribut attribué par le fournisseur.
- Nom d’attribut est le type de nom d’attribut que vous avez défini dans IAS. Le nom par défaut est CTXsuserGroups=
Si IAS n’est pas installé sur le serveur RADIUS, vous pouvez l’installer à partir d’Ajout/Suppression de programmes dans le Panneau de configuration. Pour plus d’informations, consultez l’aide en ligne de Windows.
Pour configurer IAS, utilisez la console MMC (Microsoft Management Console) et installez le composant logiciel enfichable pour IAS. Suivez l’assistant en vous assurant de sélectionner les paramètres suivants :
- Sélectionnez ordinateur local.
- Sélectionnez Stratégies d’accès à distance et créez une stratégie personnalisée.
- Sélectionnez Windows-Groupes pour la stratégie.
- Sélectionnez l’un des protocoles suivants :
- Protocole d’authentification Microsoft Challenge-Handshake version 2 (MS-CHAP v2)
- Protocole d’authentification Microsoft Challenge-Handshake (MS-CHAP)
- Protocole d’authentification CHAP (Challenge-Handshake Authentication Protocol)
- Authentification non chiffrée (PAP, SPAP)
-
Sélectionnez l’attribut spécifique au fournisseur.
L’attribut spécifique au fournisseur doit correspondre aux utilisateurs que vous avez définis dans le groupe sur le serveur avec les utilisateurs sur Citrix Gateway. Pour répondre à cette exigence, vous envoyez les attributs spécifiques au fournisseur à Citrix Gateway. Assurez-vous de sélectionner Radius = Standard.
-
La valeur par défaut RADIUS est 0. Utilisez ce numéro pour le code fournisseur.
-
Le numéro d’attribut attribué par le fournisseur est 0.
Il s’agit du numéro attribué à l’attribut Groupe d’utilisateurs. L’attribut est au format chaîne.
-
Sélectionnez Chaîne pour le format d’attribut.
La valeur Attribut requiert le nom de l’attribut et les groupes.
Pour Access Gateway, la valeur d’attribut est CTXsuserGroups = groupname. Si deux groupes sont définis, tels que sales et finance, la valeur de l’attribut est CTXSUserGroups=sales;finance. Séparez chaque groupe par un point-virgule.
- Supprimez toutes les autres entrées de la boîte de dialogue Modifier le profil d’accès à distance, en laissant celle qui indique Spécifique au fournisseur.
Après avoir configuré la stratégie d’accès distant dans IAS, vous configurez l’authentification et l’autorisation RADIUS sur Citrix Gateway.
Lors de la configuration de l’authentification RADIUS, utilisez les paramètres que vous avez configurés sur le serveur IAS.
Configuration de RADIUS pour l’authentification sous Windows Server 2008
Sous Windows Server 2008, vous configurez l’authentification et l’autorisation RADIUS à l’aide du serveur de stratégie réseau (NPS), qui remplace le service d’authentification Internet (IAS). Vous pouvez utiliser le gestionnaire de serveurs et ajouter NPS en tant que rôle pour installer ce dernier.
Lorsque vous installez NPS, sélectionnez le Service de stratégie réseau. Après l’installation, vous pouvez configurer les paramètres RADIUS pour votre réseau en démarrant NPS à partir des Services administratifs dans le menu Démarrer. Lorsque vous ouvrez le NPS, vous ajoutez Citrix Gateway en tant que client RADIUS, puis configurez les groupes de serveurs.
Lorsque vous configurez le client RADIUS, assurez-vous de sélectionner les paramètres suivants :
- Pour le nom du fournisseur, sélectionnez RADIUS Standard.
- Notez le secret partagé car vous devrez configurer le même secret partagé sur Citrix Gateway.
Pour les groupes RADIUS, vous avez besoin de l’adresse IP ou du nom d’hôte du serveur RADIUS. Ne modifiez pas les paramètres par défaut.
Après avoir configuré le client RADIUS et les groupes, vous configurez ensuite les paramètres dans les deux stratégies suivantes :
- Stratégies de demande de connexion dans lesquelles vous configurez les paramètres de la connexion Citrix Gateway, y compris le type de serveur réseau, les conditions de la stratégie réseau et les paramètres de la stratégie.
- Stratégies réseau dans lesquelles vous configurez l’authentification EAP (Extensible Authentication Protocol) et les attributs spécifiques au fournisseur.
Lorsque vous configurez la stratégie de demande de connexion, sélectionnez Non spécifié pour le type de serveur réseau. Vous configurez ensuite votre condition en sélectionnant le type de port NAS comme condition et Virtual (VPN) comme valeur.
Lorsque vous configurez une stratégie réseau, vous devez configurer les paramètres suivants :
-
Sélectionnez Serveur d’accès distant (VPN Dial-up) comme type de serveur d’accès réseau.
-
Sélectionnez Authentification cryptée (CHAP) et Authentification non chiffrée (PAP et SPAP) pour l’EAP.
-
Sélectionnez RADIUS Standard pour l’attribut spécifique au fournisseur.
Le numéro d’attribut par défaut est 26. Cet attribut est utilisé pour l’autorisation RADIUS.
Citrix Gateway a besoin de l’attribut spécifique au fournisseur pour faire correspondre les utilisateurs définis dans le groupe sur le serveur avec ceux de Citrix Gateway. Pour ce faire, envoyez les attributs spécifiques au fournisseur à Citrix Gateway.
-
Sélectionnez String pour le format d’attribut.
La valeur Attribut requiert le nom de l’attribut et les groupes.
Pour Citrix Gateway, la valeur de l’attribut est CTXsuserGroups = groupname. Si deux groupes sont définis, tels que sales et finance, la valeur de l’attribut est CTXSUserGroups=sales;finance. Séparez chaque groupe par un point-virgule.
-
Le séparateur est celui que vous avez utilisé sur le NPS pour séparer des groupes, tels qu’un point-virgule, un deux-points, un espace ou un point.
Lorsque vous avez terminé la configuration de la stratégie d’accès distant dans IAS, vous pouvez configurer l’authentification et l’autorisation RADIUS sur Citrix Gateway.