Documentation Produit
Gateway
Current Release 13.1 13.0 12.1
Voir PDF

Configurer Citrix Gateway pour l’utilisation de micro VPN avec Microsoft Endpoint Manager

March 13, 2020
Contributeur: 
C

L’intégration Citrix micro VPN avec Microsoft Endpoint Management permet à vos applications d’accéder aux ressources locales. Pour plus de détails, voir Intégration de Citrix micro VPN avec Microsoft Endpoint Manager.

Configuration système requise

  • Citrix Gateway version 12.0.59.x ou 12.1.50.x ou ultérieure.

    Vous pouvez télécharger la dernière version de Citrix Gateway à partir de la page de téléchargement de Citrix Gateway.

  • Un bureau Windows exécutant Windows 7 ou version ultérieure (pour encapsuler les applications Android uniquement)

  • Microsoft
    • Accès Azure AD (avec privilèges d’administrateur de locataires)
    • Locataire activé par Intune
  • Règles de pare-feu
    • Activer une règle de pare-feu pour le trafic SSL à partir d’une adresse IP de sous-réseau Citrix Gateway vers *.manage.microsoft.com https://login.microsoftonline.com, et https://graph.windows.net(port 443)
    • Citrix Gateway doit être en mesure de résoudre de manière externe les URL précédentes.

Composants requis

  • Environnement Intune : si vous n’avez pas d’environnement Intune, configurez un environnement Intune. Pour obtenir des instructions, reportez-vous à la section documentation Microsoft.

  • Application Browser Edge : Le SDK Micro VPN est intégré à l’application Microsoft Edge et à l’application Intune Managed Browser pour iOS et Android. Pour plus d’informations sur Managed Browser, consultez la page Managed Browser de Microsoft.

Accorder des autorisations d’application Azure Active Directory (AAD)

  1. Consentement à l’application AAD multilocataire Citrix pour permettre à Citrix Gateway de s’authentifier avec le domaine AAD. Azure Global Administrator doit consulter l’URL et le consentement suivants :

    https://login.windows.net/common/adminconsent?client_id=b6a53a76-5d50-499e-beb3-c8dbdad5c40b&redirect_uri=https://www.citrix.com&state=consent.

  2. Consentement à l’application AAD multilocataire Citrix pour permettre aux applications mobiles de s’authentifier auprès du micro VPN Citrix Gateway. Ce lien n’est requis que si l’administrateur global Azure a modifié la valeur par défaut pour que les utilisateurs puissent enregistrer des applications de Oui à Non. Ce paramètre se trouve dans le portail Azure sous Azure Active Directory > Utilisateurs > Paramètres utilisateur. L’administrateur global Azure doit consulter l’URL et le consentement suivants (ajoutez votre ID de locataire)https://login.microsoftonline.com/[tenant_id]/adminconsent?client_id=9215b80e-186b43a1-8aed-9902264a5af7.

Configurer Citrix Gateway pour micro VPN

Pour utiliser un micro VPN avec Intune, vous devez configurer Citrix Gateway pour l’authentification auprès d’Azure AD. Un serveur virtuel Citrix Gateway existant ne fonctionne pas pour ce cas d’utilisation. Tout d’abord, configurez Azure AD pour qu’il se synchronise avec le répertoire Active Directory local. Cette étape est nécessaire pour s’assurer que l’authentification entre Intune et Citrix Gateway se produit correctement.

Script de téléchargement : le fichier .zip inclut un fichier readme contenant des instructions pour l’implémentation du script. Vous devez saisir manuellement les informations requises par les scripts et exécuter le script sur Citrix Gateway pour configurer le service. Vous pouvez télécharger le fichier de script à partir dupage de téléchargements Citrix.

Important : une fois la configuration de Citrix Gateway terminée, et si vous voyez l’état OAuth autre que COMPLETE, reportez-vous à la section Dépannage.

Configuration du navigateur Microsoft Edge

  1. Connectez-vous à,https://portal.azure.com/ puis accédez à Intune > Applications mobiles.
  2. Publiez l’application Edge comme vous le faites normalement, puis ajoutez une stratégie de configuration d’application.
  3. Sous Gérer, cliquez sur Stratégies de configuration des applications.
  4. Cliquez sur Ajouter, puis entrez un nom pour la stratégie que vous souhaitez créer. Pour Type d’inscription de périphérique, sélectionnez Applications gérées.
  5. Cliquez sur Associated App.
  6. Sélectionnez les applications auxquelles vous souhaitez appliquer la stratégie (navigateur géré Microsoft Edge ou Intune), puis cliquez sur OK.
  7. Cliquez sur Paramètres de configuration.
  8. Dans le champ Nom, entrez le nom de l’une des stratégies répertoriées dans le tableau suivant.
  9. Dans le champ Valeur, entrez la valeur à appliquer pour cette stratégie. Cliquez sur le champ pour ajouter la stratégie à la liste. Vous pouvez ajouter plusieurs stratégies.
  10. Cliquez sur OK, puis sur Ajouter.

La stratégie est ajoutée à votre liste de stratégies.

Nom (iOS /Android) Valeur Description
MvpnGatewayAddress https://external.companyname.com URL externe de votre Citrix Gateway
MvpnNetworkAccess MvpnNetworkAccessTunneledWebSSO ou Non restreint mvpnNetworkAccessStunneLeedWebSSo est la valeur par défaut pour le tunneling
MvpnExcludeDomains Liste séparée par des virgules des noms de domaine à exclure Facultatif. Default=blanc

Remarque : Web SSO est le nom de la Secure Browse dans les paramètres. Le comportement est le même.

  • mvpnNetworkAccess - MvpnNetworkAccessStunneLeedWebSSO active la redirection HTTP/HTTPS via Citrix Gateway, également appelée SSO Tunneled-Web. La Gateway répond aux défis d’authentification HTTP en ligne, offrant une expérience SSO (Single Sign-On). Pour utiliser l’SSO Web, définissez cette stratégie sur mvpnNetworkAccessStunneLeedWebSSO. La redirection totale du tunnel n’est pas prise en charge actuellement. Utilisez Unrestricted pour laisser le tunnel micro VPN hors tension.

  • MVPNExcludeDomains : liste séparée par des virgules des noms d’hôte ou de domaine à exclure du routage via le proxy Web inverse Citrix Gateway. Les noms d’hôte ou de domaine sont exclus même si les paramètres DNS fractionnés configurés par Citrix Gateway peuvent sinon sélectionner le domaine ou l’hôte.

    Remarque : cette stratégie n’est appliquée que pour les connexions MVPNNetworkAccessStunneLeedWebSSO. Si MvpnNetworkAccess a la valeur Non restreint, cette stratégie est ignorée.

Résolution des problèmes

Problèmes d’ordre général

Problème Résolution
Le message « Ajouter une stratégie requise » s’affiche lorsque vous ouvrez une application Ajouter des stratégies dans l’API Microsoft Graph
Il y a des conflits de politiques Une seule stratégie par application est autorisée
Le message « Échec de la mise en package de l’application » s’affiche lors de l’encapsulage d’une application. Pour le message complet, voir ci-dessous L’application est intégrée au SDK Intune. Vous n’avez pas besoin d’envelopper l’application avec l’Intune
Votre application ne peut pas se connecter aux ressources internes Assurez-vous que les ports de pare-feu appropriés sont ouverts, que vous corrigez l’ID de locataire, etc.

Échec de la mise en package du message d’erreur de l’application :

Impossible de packager app. com.microsoft.intune.mam.apppackager.utils.AppPackagerException: le SDK MAM est déjà intégré à cette application. com.microsoft.intune.mam.apppackager.AppPackager.packageApp(AppPackager.java:113) com.microsoft.intune.mam.apppackager.PackagerMain.mainInternal(PackagerMain.java:198) com.microsoft.intune.mam.apppackager.PackagerMain.main(PackagerMain.java:56) L’application ne peut pas être encapsulée.

Problèmes avec Citrix Gateway

Problème Résolution
Les autorisations requises pour être configurées pour l’application Gateway sur Azure ne sont pas disponibles. Vérifiez si une licence Intune appropriée est disponible. Essayez d’utiliser lemanage.windowsazure.comportail pour voir si l’autorisation peut être ajoutée. Contactez le support technique Microsoft si le problème persiste.
Citrix Gateway ne peut pas atteindrelogin.microsoftonline.comandgraph.windows.net. À partir de NS Shell, vérifiez si vous êtes en mesure d’accéder au site Web Microsoft suivant : curl -v -khttps://login.microsoftonline.com. Vérifiez ensuite si le DNS est configuré sur Citrix Gateway. Vérifiez également que les paramètres du pare-feu sont corrects (dans le cas où les demandes DNS sont protégées par un pare-feu).
Une erreur apparaît dans ns.log après la configuration de OAuthAction. Vérifiez si la licence Intune est activée et si l’application de passerelle Azure dispose des autorisations appropriées.
La commande Sh OAuthAction n’affiche pas l’état OAuth comme terminé. Vérifiez les paramètres DNS et les autorisations configurées sur l’application de passerelle Azure.
L’appareil Android ou iOS n’affiche pas l’invite d’authentification double. Vérifiez si l’ID d’appareil à double facteur LogonSchema est lié au serveur virtuel d’authentification.

État OAuth de Citrix Gateway et condition d’erreur

État Condition d’erreur
AADFORGRAPH Secret non valide, URL non résolue, expiration de la connexion
MDMINFO *manage.microsoft.comest en panne ou inaccessible
GRAPH Le point de terminaison graphique est inaccessible
CERTFETCH Communication impossible avec « Token Endpoint: https://login.microsoftonline.com » en raison d’une erreur DNS. Pour valider cette configuration, allez dans shell et tapez curlhttps://login.microsoftonline.com. Cette commande doit être validée.

Remarque : Lorsque l’état OAuth réussit, l’état s’affiche comme COMPLETE.

Configurer Citrix Gateway pour l’utilisation de micro VPN avec Microsoft Endpoint Manager
March 13, 2020
Contributeur: 
C
March 13, 2020
Contributeur: 
C

Dans cet article

Commentaires sur le site | Confidentialité et conditions légales | Préférences de cookies | Paramètres de consentement | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.