Notes de mise à jour de Citrix Secure Access pour Windows

Le client Citrix Secure Access pour Windows est désormais disponible de manière autonome et est compatible avec toutes les versions de NetScaler. Nous vous recommandons d’utiliser la dernière version du client Citrix Secure Access car elle contient les derniers correctifs et améliorations.

Les versions du client Citrix Secure Access suivent le format YY.MM.Release.Build.

Les notes de version décrivent les nouvelles fonctionnalités, les améliorations apportées aux fonctionnalités existantes et les problèmes résolus.

Nouveautés : Les nouvelles fonctionnalités et améliorations disponibles dans la version actuelle.

Problèmes résolus : problèmes résolus dans la version actuelle.

Pour obtenir des informations détaillées sur les fonctionnalités prises en charge, consultez la documentation du produit NetScaler Gateway.

Remarques :

• La version 24.6.1.18 de Citrix Secure Access, désormais disponible pour tous, remplace la version 24.6.1.17.

• Les versions 23.7.1.1 et ultérieures du client Citrix Secure Access pour Windows contiennent le correctif pour https://support.citrix.com/article/CTX564833.

• Citrix Secure Access pour Windows 23.5.1.3 et les versions ultérieures corrigent les failles de sécurité décrites dans https://support.citrix.com/article/CTX561480/citrix-secure-access-client-for-windows-security-bulletin-for-cve202324491.

• Le client Citrix Secure Access (anciennement connu sous le nom de plug-in NetScaler Gateway pour Windows) versions 21.9.1.2 et ultérieures contient le correctif pour https://support.citrix.com/article/CTX341455.

24.6.1.18 (24 juillet 2024)

Mise à jour importante :

La version 24.6.1.18 de Citrix Secure Access, désormais disponible pour tous, remplace la version 24.6.1.17.

Nouveautés

• Analyse de point de terminaison permettant de vérifier la version de l’application Citrix Workspace

  Citrix Secure Access est compatible avec une nouvelle analyse de point de terminaison « Version CWA », qui vérifie la version de Citrix Workspace sur les machines Windows. Pour plus de détails sur les analyses de point de terminaison compatibles, consultez la section Chaînes d’expression.

  [AAUTH-4870]

• Authentification unique automatique pour accéder à Citrix Secure Access via l’application Citrix Workspace

  L’application Citrix Workspace offre une expérience de gestion client unifiée pour Citrix Secure Access. Lorsque les utilisateurs se connectent à l’application Citrix Workspace, ils sont automatiquement connectés à Citrix Secure Access et peuvent accéder aux applications TCP/UDP de manière fluide sans avoir à configurer ni se connecter manuellement à plusieurs applications clientes. Pour plus de détails, consultez la section Authentification unique automatique à Citrix Secure Access via l’application Citrix Workspace pour Windows - Technical Preview.

  [CSACLIENTS-6418]

• Prise en charge de l’exclusion des tunnels dans Secure Private Access

  Citrix Secure Access peut désormais empêcher certains trafics d’applications d’être tunnelisés à l’aide du registre ExcludeDomainsFromTunnel.

  Si example.com est un domaine intranet qui héberge plusieurs applications et que vous souhaitez en exclure des certaines telles que sshhost.example.com, rdphost.example.com, *.ftphost.example.com, vous pouvez utiliser ce registre.

  Pour plus de détails, consultez la section Clés de registre du client VPN Windows NetScaler Gateway.

  [CSACLIENTS-8972]

• Usurpation d’adresse IP pour les requêtes DNS basées sur TCP

  Citrix Secure Access prend en charge l’usurpation d’adresse IP des requêtes DNS basées sur le protocole TCP dans les scénarios suivants :

  • Les règles de tunneling basées sur le FQDN sont configurées sur NetScaler Gateway.
  • Les noms de domaine complets correspondent aux suffixes DNS dans un déploiement de Citrix Secure Private Access.

  [CSACLIENTS-8328]

• Améliorations de l’interopérabilité avec une passerelle Web sécurisée tierce

  Les chaînes User-Agent pour Citrix Secure Access ont été mises à jour pour améliorer l’interopérabilité avec les passerelles Web sécurisées tierces.

  [CSACLIENTS-8593]

• Prise en charge de Citrix Secure Private Access pour les applications sur site

  Citrix Secure Access prend désormais en charge Citrix Secure Private Access pour les applications sur site.

  [CSACLIENTS-10543]

• Amélioration du cryptage des analyses de point de terminaison

  Le cryptage de sécurité des analyses de point de terminaison est renforcé par les clés Diffie-Hellman (ECDH) à courbe elliptique.

  [CSACLIENTS-8308]

• Clé de hachage pour la création de signatures

  Les administrateurs peuvent désormais utiliser la clé de hachage SHA-384 pour créer des signatures pour l’authentification du certificat de l’appareil.

  [CSACLIENTS-8296]

• Connectivité fluide en cas de panne POP

  Dans un déploiement d’accès privé sécurisé, les utilisateurs du VPN sont automatiquement reconnectés à un autre point de présence (POP) sans intervention manuelle, en cas de défaillance de la connectivité au POP actuel.

  [CSACLIENTS-6396]

• Améliorations des diagnostics

  Les diagnostics Citrix Secure Access sont améliorés par l’ajout de champs supplémentaire permettant de résoudre les problèmes d’accès liés aux applications TCP/UDP.

  [CSACLIENTS-8335]

Problèmes résolus

• La résolution DNS échoue sur les appareils Windows 11 si la fonctionnalité de ligne de commande Windows Management Instrumentation (WMIC) est désactivée.

  [NSHELP-37603]

• Citrix Secure Access empêche le routage du trafic IPv6 via une interface de bouclage si le tunneling fractionné inversé et l’adresse IP intranet sont configurés sur NetScaler Gateway.

  [NSHELP-37096], [NSHELP-37534]

• Citrix Secure Access se bloque si la plage d’adresses IP de l’application intranet est configurée avec un masque de sous-réseau générique.

  [NSHELP-37788]

• Après une mise à niveau, les utilisateurs ne peuvent pas se connecter aux applications Microsoft si le split tunneling inversé et les adresses IP intranet sont configurées sur NetScaler Gateway.

  [NSHELP-37876]

• Lorsque le client Citrix Secure Access est configuré avec WFP, la connectivité VPN est perdue pendant une session active ou lorsque plusieurs connexions et déconnexions se produisent.

  [NSHELP-37881]

• La résolution DNS est retardée lorsque les applications de la machine cliente envoient des requêtes DNS de type enregistrement A et AAAA.

  [NSHELP-38067]

• L’authentification Kerberos échoue dans un déploiement de Citrix Secure Private Access.

  [SPAHELP-286]

24.4.1.7 (30 avril 2024)

Problèmes résolus

Les utilisateurs ne peuvent pas se connecter à Citrix Secure Access lorsque l’ouverture de session automatique échoue en mode Microsoft Edge WebView.

[CSACLIENTS-10005]

La résolution DNS échoue pour certaines ressources du backend lorsque les requêtes DNS de type enregistrement AAAA sont envoyées par l’application cliente.

[SPAHELP-288], [CSACLIENTS-10460]

Citrix Secure Access peut ne pas établir de nouvelles connexions en mode pilote WFP si le client s’exécute pendant plusieurs heures.

[NSHELP-37427], [NSHELP-37124], [SPAHELP-280]

Citrix Secure Access affiche un message d’erreur d’analyse de point de terminaison concernant l’échec d’un certificat de périphérique dans une autre langue, bien que la langue définie soit l’anglais.

[NSHELP-37477]

Les connexions Internet et intranet peuvent être perdues après une session VPN prolongée si Always On VPN est configuré en mode WFP.

[NSHELP-37283]

L’analyse de point de terminaison échoue lorsque le paramètre « filetime » est configuré.

[NSHELP-37564]

La configuration de la somme de contrôle MD5 d’un fichier échoue lors d’une analyse de point de terminaison.

[NSHELP-37491]

L’écran du gestionnaire d’informations d’identification Windows affiche l’icône Citrix Secure Access même si le mode VPN Always On n’est pas activé pour le VPN.

[NSHELP-37205]

Les journaux Citrix Secure Access affichent les adresses IP dans l’ordre inverse. Par exemple, si un navigateur Microsoft Edge est connecté à NetScaler (IP : 192.20.4.5:24), le message du journal s’affiche sous la forme suivante :

"Application msedge.exe has opened a connection to 5.4.20.192:24 |Making a connection to 5.4.20.192:24 by msedge.exe |"

[NSHELP-37314]

Après une mise à niveau, lorsque les utilisateurs cliquent sur le bouton de la page d’accueil de l’interface graphique Citrix Secure Access, l’URL ne lance pas la page d’accueil dans le navigateur par défaut.

[NSHELP-37659]

La vérification du certificat de l’appareil échoue dans un déploiement de Citrix Secure Private Access si le certificat est signé par une autorité de certification intermédiaire au lieu de l’autorité de certification racine.

[SPAHELP-287]

24.2.1.15 (4 mars 2024)

Nouveautés

• Support pour SNI

  Dans un déploiement Citrix Secure Private Access, le client Citrix Secure Access prend désormais en charge l’extension d’indication du nom de serveur (SNI) sur toutes les demandes de pré-authentification.

  [SPAHELP-236]

• Support pour TLS 1.3

  Le client Citrix Secure Access prend désormais en charge le protocole TLS 1.3. Le protocole TLS 1.3 est pris en charge sur les plateformes suivantes :

  • Windows 11 et versions ultérieures
  • Windows Server 2022 et versions ultérieures

  Pour plus de détails sur la configuration de TLS 1.3 sur NetScaler, consultez la section Supportdu protocole TLS 1.3.

  [CSACLIENTS-6106]

• Prise en charge des détails du système d’exploitation Windows dans l’en-tête HTTP

  Le client Citrix Secure Access inclut désormais les détails du système d’exploitation Windows dans la chaîne d’en-tête HTTP (agent utilisateur).

  [NSHELP-36732]

Problèmes résolus

La résolution DNS échoue par intermittence si IPv6 est activé sur l’adaptateur réseau client.

[NSHELP-35708]

Les utilisateurs peuvent ne pas être en mesure de se connecter au client Citrix Secure Access en cas de tentatives de connexion simultanées à l’aide de la connexion automatique.

[NSHELP-35768]

L’installation de Citrix Secure Access échoue lorsque Smart App Control est activé sur des ordinateurs clients non anglophones.

[NSHELP-36126], [NSHELP-36907]

Les utilisateurs ne peuvent pas accéder à certaines applications via un VPN si le client Citrix Secure Access est configuré avec le pilote WFP. Ce problème se produit en raison de modifications apportées aux politiques de pare-feu.

[NSHELP-36254], [NSHELP-36312]

Une boîte de dialogue contextuelle apparaît lors d’un scan EPA. Cependant, lorsque l’utilisateur clique sur OK, le scan EPA fonctionne comme d’habitude. Ce problème se produit lorsque la langue suédoise est sélectionnée (Configuration > Langue) sur l’interface utilisateur du client Citrix Secure Access.

[NSHELP-36408]

En mode VPN Always On, le tunnel au niveau de la machine ne parvient pas à transférer la session lorsque l’authentification par certificat utilisateur est configurée sur NetScaler Gateway.

[NSHELP-36492]

L’accès aux ressources de l’intranet échoue par intermittence lorsque le pilote Windows Filtering Platform (WFP) est activé sur le client Citrix Secure Access.

[NSHELP-36568]

La page de l’interface utilisateur du client Citrix Secure Access se bloque par intermittence lorsque les utilisateurs cliquent sur le bouton Accueil.

[NSHELP-37046]

Les utilisateurs non administrateurs ne peuvent pas se connecter au tunnel VPN complet si les conditions suivantes sont remplies :

• L’EPA est configuré en tant que facteur dans un flux nFactor.
• Edge WebView est activé.
• Le paramètre de mise à niveau des contrôles du client Citrix EPA est défini sur Always on NetScaler Gateway et il existe une incohérence dans les versions du client Citrix EPA entre l’appareil client et NetScaler.

[NSHELP-37340]

L’analyse des certificats de périphérique EPA échoue si le magasin de certificats système de la machine cliente ne contient qu’un seul certificat de périphérique.

[NSHELP-37371]

La page de connexion du client Citrix Secure Access devient vide par intermittence lors de la connexion au service Citrix Secure Private Access.

[SPAHELP-202]

Les utilisateurs finaux peuvent ne pas être en mesure de connecter les machines clientes au domaine via un VPN si Windows Server 2019 ou une version ultérieure est utilisé.

[SPAHELP-219]

Lorsque le service Citrix Device Posture est activé, les entrées indésirables apparaissent dans la liste déroulante Connection de l’interface utilisateur du client Citrix Secure Access.

[SPAHELP-271]

Les utilisateurs finaux ne peuvent pas accéder aux ressources de l’intranet si la fonctionnalité d’authentification unique est activée sur le client Citrix Secure Access.

[CSACLIENTS-9940]

23.10.1.7 (29 novembre 2023)

Nouveautés

• Configurer la plage de ports privés pour les connexions initiées par le serveur

  Vous pouvez désormais configurer un port privé compris entre 49152 et 64535 pour les connexions initiées par le serveur. La configuration des ports privés permet d’éviter les conflits qui peuvent survenir lorsque vous utilisez des ports pour créer des sockets entre le client Citrix Secure Access et des applications tierces sur les machines clientes. Vous pouvez configurer les ports privés à l’aide du registre VPN Windows « SicBeginPort ». Vous pouvez également configurer la plage de ports privés à l’aide d’un fichier JSON de personnalisation du plug-in VPN sur NetScaler.

  Pour plus d’informations, consultez la section Configurer les connexions initiées par le serveur et les clés de registre du client VPN Windows NetScaler Gateway.

  [NSHELP-36627]

• Prise en charge de l’authentification Kerberos pour une connexion automatique fluide

  Le client Citrix Secure Access utilise désormais la méthode d’authentification Kerberos pour la connexion automatique. Dans le cadre de cette prise en charge, une clé de registre client VPN « EnableKerberosAuth » est introduite. Comme condition préalable, les administrateurs doivent configurer l’authentification Kerberos sur NetScaler et sur leurs machines clientes. Les utilisateurs finaux doivent installer Microsoft Edge WebView sur leurs machines pour activer la méthode d’authentification Kerberos. Pour plus d’informations, voir Autologon avec authentification Kerberos.

  [CSACLIENTS-3128]

• Attribution automatique d’une plage d’adresses IP frauduleuses

  Le client Citrix Secure Access peut désormais détecter et appliquer une nouvelle plage d’adresses IP frauduleuses en cas de conflit entre la plage d’adresses IP usurpées configurée par l’administrateur et les applications basées sur IP ou le réseau de l’utilisateur final.

  [CSACLIENTS-6132]

• Notifications Microsoft

  Les notifications du client Citrix Secure Access apparaissent désormais sous forme de notifications Microsoft dans le panneau Notifications de votre machine Windows.

  [CSACLIENTS-6136]

• Collecte de journaux améliorée

  Le niveau de journalisation Verbose est désormais utilisé comme niveau de journalisation de débogage par défaut afin d’améliorer la collecte des journaux et la résolution des problèmes. Pour plus d’informations sur la journalisation, voir Configurer la journalisation à l’aide de l’interface utilisateur du client.

  [CSACLIENTS-8151]

Problèmes résolus

Le client Citrix Secure Access reste dans l’état « Connexion » si le tunnel machine du service Always On ne détecte pas l’emplacement de la machine cliente.

[CSACLIENTS-1174]

La fonctionnalité d’ouverture de session par transfert ne fonctionne pas lorsque Microsoft Edge WebView est activé dans le client Citrix Secure Access.

[CSACLIENTS-6655]

En mode de service Always On, le client Citrix Secure Access ne parvient pas à établir de tunnel au niveau de la machine avec NetScaler Gateway si les stratégies d’authentification classiques basées sur les certificats de l’appareil sont liées à un serveur virtuel VPN.

[NSHELP-33766]

Les appels Webex entrants et sortants échouent lorsque les utilisateurs sont connectés au VPN. Ce problème se produit lorsque le pilote de la plateforme de filtrage Windows (WFP) est activé sur le client Citrix Secure Access au lieu du pilote DNE (Deterministic Network Enhancer).

[NSHELP-34651]

Le client Citrix Secure Access se bloque si les conditions suivantes sont remplies :

• Les connexions sont permutées lorsque les stratégies SAML sont liées à un serveur virtuel VPN.
• La prise en charge d’Internet Explorer WebView est activée.

[NSHELP-35366]

L’interface utilisateur du client Citrix Secure Access affiche le bouton Connect lors de la connexion automatique. Ce problème se produit si la méthode d’authentification UserCert est utilisée pour se connecter au VPN.

[NSHELP-36134]

La fonctionnalité d’accès au réseau local ne fonctionne pas avec le client Citrix Secure Access si un tunnel au niveau de la machine est configuré.

Dans cette version, la fonctionnalité d’accès au réseau local peut être définie avec une configuration de tunnel au niveau de la machine. Pour ce faire, vous devez configurer le paramètre d’accès au réseau local sur FORCED lorsque vous utilisez le mode tunnel de la machine. Pour plus de détails, voir Appliquer l’accès au réseau local aux utilisateurs finaux en fonction de la configuration ADC.

[NSHELP-36214]

Lorsqu’un ordinateur client sort du mode veille plusieurs fois, le client Citrix Secure Access ne parvient pas à établir de connexion VPN avec les applications intranet.

[NSHELP-36221]

23.8.1.11 (19 octobre 2023)

Problèmes résolus

Le téléchargement du fichier epaPackage.exe peut échouer si la prise en charge du proxy de transfert est configurée sur NetScaler Gateway.

[CSACLIENTS-6917]

L’installation du client Citrix EPA échoue pour les utilisateurs non administrateurs ayant un accès restreint au lecteur C.

[NSHELP-36590]

23.8.1.5 (09 août 2023)

Problèmes résolus

L’authentification unique Kerberos échoue pour les applications lorsqu’elles sont connectées via le service Citrix Secure Private Access.

[CSACLIENTS-912]

L’accès aux applications avec le service Citrix Secure Private Access échoue par intermittence. Ce problème se produit lorsque le client Citrix Secure Access partage une adresse IP de destination incorrecte pour le trafic TCP ou UDP.

[CSACLIENTS-1151, CSACLIENTS-6326]

Le client Citrix Secure Access ne parvient pas à lancer les applications par intermittence en raison d’un problème de mise en cache DNS.

[CSACLIENTS-1170]

Le client Citrix Secure Access ne parvient pas à appliquer de suffixe DNS à Citrix Virtual Adapter. Ce problème se produit lorsque Citrix Virtual Adapter ne parvient pas à s’authentifier auprès d’Active Directory.

[NSHELP-33817]

Le client Citrix Secure Access se bloque si les conditions suivantes sont remplies :

• Le serveur virtuel NetScaler Gateway contient un certificat client comme facteur d’authentification nFactor.
• La prise en charge de Microsoft Edge WebView est activée.

[CSACLIENTS-6171]

Lorsque vous êtes connecté au VPN, il se peut que vous ne puissiez pas accéder aux ressources principales après avoir appliqué Microsoft KB5028166.

[NSHELP-35909]

Le client Citrix Secure Access ne parvient pas par intermittence à télécharger les configurations depuis NetScaler Gateway lorsque la personnalisation du portail dépasse la limite autorisée.

[NSHELP-35971]

Problèmes connus

La fonctionnalité d’ouverture de session par transfert ne fonctionne pas avec le client Citrix Secure Access. Ce problème se produit lorsque Microsoft Edge WebView est activé.

Solution : ouvrez une session à l’aide d’un navigateur Web pour transférer la session.

23.7.1.1 (14 juillet 2023)

Problèmes résolus

Dans certains cas, après une mise à niveau vers la version 23.x.x.x, le trafic ne passe pas par le tunnel VPN, ce qui bloque l’accès au VPN lorsqu’une plage d’adresses IP Intranet est configurée sur NetScaler. Cela se produit lorsque la règle de pare-feu multiprofil n’est pas appliquée aux applications VPN.

[NSHELP-35766]

23.5.1.3 (2 juin 2023)

Problèmes résolus

Le service Always On se bloque lorsque la collecte de journaux améliorée est activée à l’aide du registre « UseNewLogger » ci-dessous. HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\Secure Access Client

[CGOP-24462]

23.4.1.5 (14 avril-2023)

Nouveautés

• Compatibilité avec Microsoft Edge WebView

  La prise en charge de Microsoft Edge WebView sur le client Citrix Secure Access pour Windows améliore l’expérience de l’utilisateur final. Cette fonctionnalité est désactivée par défaut. Pour plus de détails, consultez la section Support de Microsoft Edge WebView pour Windows Citrix Secure Access.

  [CGOP-22245]

• Ajout de suffixes DNS pour résoudre les FQDN en adresses IP

  Les administrateurs peuvent désormais ajouter des suffixes aux applications au niveau du système d’exploitation. Cela permet aux clients Citrix Secure Access de résoudre un nom de domaine non entièrement qualifié lors de la résolution du nom.

  Les administrateurs peuvent également configurer les applications à l’aide des adresses IP (CIDR/plage IP) afin que les utilisateurs finaux puissent accéder aux applications à l’aide des FQDN correspondants. Pour plus de détails, voir Suffixes DNS pour résoudre les FQDN en adresses IP.

  [ACS-2490]

• Collecte de journaux améliorée

  La fonctionnalité de journalisation du client Windows Secure Access est désormais améliorée pour la collecte des journaux et le débogage. Les modifications suivantes sont apportées à la fonction de journalisation.

  • Permettez aux utilisateurs de modifier la taille maximale du fichier journal à une valeur inférieure à 600 Mo.
  • Permettez aux utilisateurs de mettre à jour le nombre de fichiers journaux à moins de 5.
  • Augmentez les niveaux de journalisation à trois pour la nouvelle fonctionnalité de journalisation.

  Grâce à ces modifications, les administrateurs et les utilisateurs finaux peuvent collecter les journaux de la session en cours et des sessions précédentes. Auparavant, la collecte des journaux était limitée aux sessions en cours uniquement. Pour plus de détails, consultez la section Amélioration de la collecte des journaux pour le client Windows.

  Remarque :

  Pour activer la journalisation du débogage, sélectionnez Journalisation > Verbose dans la liste déroulante Sélectionner le niveau de journalisation. Avant la version 23.4.1.5 du client Citrix Secure Access pour Windows, la journalisation du débogage pouvait être activée à l’aide de la case à cocher Configuration > Activer la journalisation du débogage.

  [CGOP-23537]

• Prise en charge de l’envoi d’événements au service Citrix Analytics

  Le client Citrix Secure Access pour Windows prend désormais en charge l’envoi d’événements tels que la création de session, la fermeture de session et la connexion d’applications au service Citrix Analytics. Ces événements sont ensuite enregistrés dans le tableau de bord Citrix Secure Private Access.

  [SPA-2197]

Problèmes résolus

• L’authentification unique du client Citrix Secure Access avec l’application Citrix Workspace vers le point de terminaison cloud échoue pour les utilisateurs Unicode.

  [CGOP-22334]

• L’accès aux ressources échoue lorsque des applications basées sur le nom d’hôte sont configurées avec le suffixe DNS dans Citrix Secure Private Access.

  [SPA-4430]

• La connexion VPN permanente échoue par intermittence au démarrage en raison d’un problème d’accessibilité du serveur virtuel de passerelle.

  [NSHELP-33500]

• Les ressources de l’intranet qui se chevauchent avec une plage d’adresses IP usurpée ne sont pas accessibles lorsque le tunnel partagé est défini sur OFF sur le client Citrix Secure Access.

  [NSHELP-34334]

• Le client Citrix Secure Access ne parvient pas à charger le schéma d’authentification, ce qui entraîne un échec de connexion au service Citrix Secure Private Access.

  [SPAHELP-98]

23.1.1.11 (20-févr. 2023)

Cette version résout les problèmes qui contribuent à améliorer les performances globales et la stabilité du service Citrix Secure Private Access.

23.1.1.8 (8 février 2023)

Problèmes résolus

• Les échecs de résolution DNS se produisent lorsque Citrix Secure Access ne donne pas la priorité aux paquets IPv4 par rapport aux paquets IPv6.

  [NSHELP-33617]

• Les règles de filtrage du système d’exploitation sont capturées lorsque le client Citrix Secure Access s’exécute en mode Windows Filtering Platform (WFP).

  [NSHELP-33715]

• Une adresse IP usurpée est utilisée pour les applications intranet IP lorsque le client Citrix Secure Access s’exécute en mode Citrix Deterministic Network Enhancer (DNE).

  [NSHELP-33722]

• Lorsque vous utilisez le pilote Windows Filtering Platform (WFP), l’accès à l’intranet ne fonctionne parfois pas une fois le VPN reconnecté.

  [NSHELP-32978]

• L’analyse des terminaux (EPA) pour vérifier la version du système d’exploitation échoue sur les postes de travail multi-sessions Windows 10 et Windows 11 Enterprise.

  [NSHELP-33534]

• Le client Windows prend en charge la taille du fichier de configuration de 64 Ko, par défaut, ce qui limite la possibilité pour les utilisateurs d’ajouter des entrées supplémentaires dans le fichier de configuration. Cette taille peut être augmentée en définissant la valeur de ConfigSize registre dans HKEY_LOCAL_MACHINE \ SOFTWARE \ Citrix \ Secure Access Client. Le type de clé de registre ConfigSize est REG_DWORD et les données clés sont <Bytes size>. Si la taille du fichier de configuration est supérieure à la valeur par défaut (64 Ko), la valeur de registre ConfigSize doit être définie sur 5 x 64 Ko (après conversion en octets) pour chaque ajout de 64 Ko. Par exemple, si vous ajoutez 64 Ko supplémentaires, vous devez définir la valeur du registre sur 64 x 1024 x 5 = 327680. De même, si vous ajoutez 128 Ko, vous devez définir la valeur de registre sur 64 x 1024 x (5+5) = 655360.

  [SPA-2865]

• Lors de la fermeture de session VPN, les entrées de la liste de suffixes DNS dans le registre SearchList sont réécrites dans l’ordre inverse, séparées par une ou plusieurs virgules.

  [NSHELP-33671]

• L’authentification par proxy échoue lorsque l’appliance NetScaler effectue une analyse EPA pour détecter la présence d’un antivirus.

  [NSHELP-30876]

• Si les valeurs de registre associées à Citrix Secure Access sont supérieures à 1 500 caractères, le collecteur de journaux ne parvient pas à recueillir les journaux d’erreurs.

  [NSHELP-33457]

22.10.1.9 (08-nov.-2022)

Nouveautés

• Support de l’EPA pour la persistance du site de type proxy de connexion dans GSLB

  Le scan EPA de Windows prend désormais en charge la persistance du site de type proxy de connexion dans GSLB lorsque le scan est lancé depuis un navigateur. Auparavant, le scan EPA pour Windows ne prenait pas en charge le type de persistance du proxy de connexion pour le scan EPA lancé par le navigateur.

  [CGOP-21545]

• Authentification unique fluide pour l’URL Workspace (Cloud uniquement)

  Le client Citrix Secure Access prend désormais en charge l’authentification unique pour l’URL de Workspace (cloud uniquement) si l’utilisateur s’est déjà connecté via l’application Citrix Workspace. Pour plus de détails, consultez la section Single sign-on support for the Workspace URL for users logged in via Citrix Workspace app.

  [ACS-2427]

• Gérer le client Citrix Secure Access et/ou la version du plug-in EPA via l’application Citrix Workspace (cloud uniquement)

  L’application Citrix Workspace peut désormais télécharger et installer la dernière version de Citrix Secure Access et/ou du plug-in EPA via le Global App Configuration Service. Pour plus de détails, consultez Global App Configuration Service.

  [ACS-2426]

• Amélioration du contrôle de la journalisation de débogage

  Le contrôle de journalisation des débogues pour le client Citrix Secure Access est désormais indépendant de NetScaler Gateway et peut être activé ou désactivé depuis l’interface utilisateur du plug-in pour la machine et le tunnel utilisateur.

  [NSHELP-31968]

• Prise en charge des demandes de vérification préliminaire de Private Network Access

  Le client Citrix Secure Access pour Windows prend désormais en charge les demandes de vérification préliminaire de Private Network Access émises par le navigateur Chrome lors de l’accès aux ressources du réseau privé à partir de sites Web publics.

  [CGOP-20544]

Problèmes résolus

• Le client Citrix Secure Access, version 21.7.1.1 et versions ultérieures, ne parvient pas à effectuer la mise à niveau vers des versions ultérieures pour les utilisateurs ne disposant pas de droits d’administration.

  Cela s’applique uniquement si la mise à niveau du client Citrix Secure Access est effectuée à partir d’une appliance NetScaler. Pour plus de détails, consultez la section Problème de mise à niveau ou de rétrogradation sur le client Citrix Secure Access.

  [NSHELP-32793]

• Les utilisateurs ne peuvent pas se connecter au VPN en raison de défaillances intermittentes de l’EPA.

  [NSHELP-32138]

• Parfois, le client Citrix Secure Access en mode tunnel machine uniquement n’établit pas automatiquement le tunnel machine une fois que la machine sort du mode veille.

  [NSHELP-30110]

• En mode service Always on, le tunnel utilisateur essaie de démarrer même si seul le tunnel machine est configuré.

  [NSHELP-31467]

• Le lien de la page d’accueil sur l’interface utilisateur de Citrix Secure Access ne fonctionne pas si Microsoft Edge est le navigateur par défaut.

  [NSHELP-31894]

• Le message personnalisé du journal des défaillances de l’EPA ne s’affiche pas sur le portail NetScaler Gateway, mais le message « erreur interne » s’affiche.

  [NSHELP-31434]

• Lorsque les utilisateurs cliquent sur l’onglet Page d’accueil de l’écran Citrix Secure Access pour Windows, la page affiche l’erreur de refus de connexion.

  [NSHELP-32510]

• Sur certaines machines clientes, le client Citrix Secure Access ne parvient pas à détecter le paramètre proxy, ce qui entraîne un échec de connexion.

  [SPAHELP-73]

Problèmes connus

• Le scan EPA basé sur des contrôles Windows Update ne fonctionne pas sur la version Windows 11 22H2. Pour plus de détails, voir Echec du contrôle EPA pour Windows11 22H2.

  [NSHELP-33068]

22.6.1.5 (17 juin-2022)

Nouveautés

• Configuration des scripts de connexion et de déconnexion

  Le client Citrix Secure Access accède à la configuration du script de connexion et de déconnexion à partir des registres suivants lorsque le client Citrix Secure Access se connecte au service cloud Citrix Secure Private Access.

  Chemin d’accès au registre : HKEY_LOCAL_MACHINE>SOFTWARE > Citrix > Secure Access Client

  Valeurs du registre :

  • SecureAccessLogInScript type REG_SZ - chemin d’accès au script de connexion
  • SecureAccessLogOutScript type REG_SZ - chemin d’accès au script de déconnexion

  [ACS-2776]

• Client Windows Citrix Secure Access utilisant la plate-forme de filtrage Windows (WFP)

  WFP est un ensemble d’API et de services système qui fournit une plate-forme pour créer une application de filtrage de réseau. WFP est conçu pour remplacer les technologies de filtrage de paquets précédentes, le filtre NDIS (Network Driver Interface Specification) qui était utilisé avec le pilote DNE. Pour plus de détails, consultez la section Client Windows Citrix Secure Access utilisant la plate-forme de filtrage Windows.

  [CGOP-19787]

• Prise en charge du split tunnel inversé basé sur le nom

  Le pilote WFP prend désormais en charge le split tunneling REVERSE basé sur le nom de domaine complet. Il n’est pas pris en charge par le pilote DNE. Pour plus de détails sur le split tunnel inversé, voir Options de split tunneling.

  [CGOP-16849]

Problèmes résolus

• Parfois, l’ouverture de session automatique Windows ne fonctionne pas lorsqu’un utilisateur se connecte à la machine Windows en mode de service Always On. Le tunnel machine ne passe pas au tunnel utilisateur et le message Connexion s’affiche dans l’interface utilisateur du plug-in VPN.

  [NSHELP-31357]

• Lors de la fermeture de session VPN, les entrées de la liste de suffixes DNS dans le registre SearchList (Computer\HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\Secure Access Client) sont réécrites dans l’ordre inverse, séparées par une ou plusieurs virgules.

  [NSHELP-31346]

• L’adresse IP falsifiée est utilisée même après que la configuration de l’application intranet NetScaler est passée d’une application basée sur un FQDN à une application basée sur IP.

  [NSHELP-31236]

• La page d’accueil de la passerelle ne s’affiche pas immédiatement après que le plug-in de passerelle a réussi à établir le tunnel VPN.

  Avec ce correctif, la valeur de Registre suivante est introduite.

  \HKLM\Software\Citrix\Secure Access Client\SecureChannelResetTimeoutSeconds

  Type : DWORD

  Par défaut, cette valeur de registre n’est ni définie ni ajoutée. Lorsque la valeur de « SecureChannelResetTimeoutSeconds » est 0 ou n’est pas ajoutée, le correctif pour gérer le délai ne fonctionne pas, ce qui est le comportement par défaut. L’administrateur doit définir ce registre sur le client pour activer le correctif (c’est-à-dire afficher la page d’accueil immédiatement après que le plug-in de passerelle ait établi le tunnel VPN avec succès).

  [NSHELP-30189]

• Le registre de liste AlwaysOnAllow ne fonctionne pas comme prévu si la valeur du registre est supérieure à 2000 octets.

  [NSHELP-31836]

• Le client Citrix Secure Access pour Windows ne crée pas de tunnel pour les nouvelles connexions TCP vers le serveur TCP principal si la région du service Citrix Secure Private Access déjà connectée devient inaccessible. Toutefois, cela n’affecte pas les connexions de passerelle sur site.

  [ACS-2714]

22.3.1.5 (24-mars-2022)

Problèmes résolus

• Le nom du plug-in Windows EPA est rebaptisé Plug-in NetScaler Gateway EPA.

  [CGOP-21061]

Problèmes connus

• Le client Citrix Secure Access pour Windows ne crée pas de tunnel pour les nouvelles connexions TCP vers le serveur TCP principal si la région du service Citrix Secure Private Access déjà connectée devient inaccessible. Toutefois, cela n’affecte pas les connexions de passerelle sur site.

  [ACS-2714]

22.3.1.4 (10-mars-2022)

Nouveautés

• Appliquer l’accès au réseau local aux utilisateurs finaux en fonction de la configuration ADC

  Les administrateurs peuvent empêcher les utilisateurs finaux de désactiver l’option d’accès au réseau local sur leurs machines clientes. Une nouvelle option, FORCED, est ajoutée aux valeurs des paramètres d’accès au réseau local existants. Lorsque la valeur Accès au réseau local est définie sur FORCED, l’accès au réseau local est toujours activé pour les utilisateurs finaux sur les machines clientes. Les utilisateurs finaux ne peuvent pas désactiver les paramètres du réseau local à l’aide de l’interface utilisateur du client Citrix Secure Access. Si les administrateurs souhaitent proposer une option permettant d’activer ou de désactiver l’accès au réseau local à l’utilisateur final, ils doivent reconfigurer le paramètre d’accès au réseau local sur ON.

  Pour activer l’option FORCED à l’aide de l’interface graphique :

  1. Accédez à NetScaler Gateway > Paramètres globaux > Modifier les paramètres globaux.
  2. Cliquez sur l’onglet Expérience client, puis sur Paramètres avancés.
  3. Dans Accès au réseau local, sélectionnez FORCÉ.

  Pour activer l’option FORCED à l’aide de l’interface de ligne de commande, exécutez la commande suivante :

   set vpn parameter -localLanAccess FORCED
   <!--NeedCopy-->
  

  [CGOP-19935]

• Prise en charge de Windows Server 2019 et 2022 dans l’analyse du système d’exploitation EPA

  L’analyse du système d’exploitation EPA prend désormais en charge Windows Server 2019 et 2022.

  Vous pouvez sélectionner les nouveaux serveurs à l’aide de l’interface graphique.

  1. Accédez à NetScaler Gateway > Stratégies > Préauthentification.
  2. Créez une nouvelle stratégie de préauthentification ou modifiez une stratégie existante.
  3. Cliquez sur le lien OPSWAT EPA Editor.
  4. Dans Expression Editor, sélectionnez Windows > Windows Update et cliquez sur l’icône +.
  5. Dans Nom du système d’exploitation, sélectionnez le serveur selon vos besoins.

  Vous pouvez mettre à niveau vers la version OPSWAT 4.3.2744.0 pour utiliser les serveurs Windows 2019 et 2022 dans l’analyse du système d’exploitation EPA.

  [CGOP-20061]

• Nouveaux types de classification d’analyse EPA pour les correctifs de sécurité manquants

  Les nouveaux types de classification suivants sont ajoutés à l’analyse EPA pour détecter les correctifs de sécurité manquants. L’analyse EPA échoue si l’un des correctifs de sécurité suivants est manquant sur le client.

  • Application
  • Connecteurs
  • CriticalUpdates
  • DefinitionUpdates
  • DeveloperKits
  • FeaturePacks
  • Conseils
  • SecurityUpdates
  • ServicePacks
  • Outils
  • UpdateRollups
  • Mises à jour

  Vous pouvez configurer les types de classification à l’aide de l’interface graphique.

  1. Accédez à NetScaler Gateway > Stratégies > Préauthentification.
  2. Créez une nouvelle stratégie de préauthentification ou modifiez une stratégie existante.
  3. Cliquez sur le lien ((OPSWAT EPA Editor)).
  4. Dans Expression Editor, sélectionnez Windows > Windows Update.
  5. Dans Ne devrait pas avoir de correctif manquant du type de classification Windows Update suivant, sélectionnez le type de classification pour les correctifs de sécurité manquants
  6. Cliquez sur OK.

  Vous pouvez effectuer une mise à niveau vers la version 4.3.2744.0 d’OPSWAT pour utiliser ces options.

  • Pour plus d’informations sur les GUID de classification des services de mise à jour Windows Server, voir https://docs.microsoft.com/en-us/previous-versions/windows/desktop/ff357803(v=vs.85)
  • Pour obtenir une description de la terminologie relative aux mises à jour logicielles Microsoft, voir https://docs.microsoft.com/en-us/troubleshoot/windows-client/deployment/standard-terminology-software-updates

  Auparavant, les analyses EPA pour détecter les correctifs de sécurité manquants étaient effectuées sur les niveaux de gravité : Critique, Important, Modéré et Faible sur le client Windows.

  [CGOP-19465]

• Prise en charge de plusieurs certificats d’appareils pour l’analyse EPA

  Dans la configuration VPN Always on, si plusieurs certificats d’appareil sont configurés, le certificat dont la date d’expiration est la plus longue est essayé pour la connexion VPN. Si ce certificat autorise l’analyse EPA avec succès, la connexion VPN est établie. Si ce certificat échoue au cours du processus d’analyse, le certificat suivant est utilisé. Ce processus se poursuit jusqu’à ce que tous les certificats soient essayés.

  Auparavant, si plusieurs certificats valides étaient configurés, si l’analyse EPA échouait pour un certificat, l’analyse n’avait pas été tentée sur les autres certificats.

  [CGOP-19782]

Problèmes résolus

• Si le paramètre ClientCert est défini sur « Facultatif » dans le profil SSL lors de la configuration du serveur virtuel VPN, les utilisateurs sont invités à plusieurs reprises à sélectionner la carte à puce.

  [NSHELP-30070]

• Les utilisateurs ne peuvent pas se connecter à l’appliance NetScaler Gateway après avoir modifié le paramètre de profil « networkAccessOnVPNFailure » de « fullAccess » à « onlyToGateway ».

  [NSHELP-30236]

• Lorsque Always on est configuré, le tunnel utilisateur échoue en raison du numéro de version incorrect (1.1.1.1) dans le fichier aoservice.exe.

  [NSHELP-30662]

• La résolution DNS des ressources internes et externes cesse de fonctionner pendant une session VPN prolongée.

  [NSHELP-30458]

• Le client VPN Windows n’honore pas l’alerte « Notification de fermeture SSL » du serveur et envoie la demande de connexion de transfert sur la même connexion.

  [NSHELP-29675]

• Vérification EPA du registre pour les « == » et « ! = » échoue pour certaines entrées de registre.

  [NSHELP-29582]

22.2.1.103 (17-févr-2022)

Problèmes résolus

• Les utilisateurs ne peuvent pas lancer le plug-in EPA ou le plug-in VPN après une mise à niveau vers les versions de navigateur Chrome 98 ou Edge 98. Pour résoudre ce problème, effectuez les opérations suivantes :

  1. Pour la mise à niveau du plug-in VPN, les utilisateurs finaux doivent se connecter à l’aide du client VPN pour la première fois afin d’obtenir le correctif sur leurs machines. Lors des tentatives de connexion suivantes, les utilisateurs peuvent choisir le navigateur ou le plug-in à connecter.

  2. Pour le cas d’utilisation EPA uniquement, les utilisateurs finaux n’auront pas le client VPN pour se connecter à la passerelle. Dans ce cas, effectuez les opérations suivantes :

     1. Connectez-vous à la passerelle à l’aide d’un navigateur.
     2. Attendez que la page de téléchargement apparaisse et téléchargez le fichier nsepa_setup.exe.
     3. Après le téléchargement, fermez le navigateur et installez le fichier nsepa_setup.exe.
     4. Redémarrez le client.

  [NSHELP-30641]

21.12.1.4 (17-déc-2021)

Nouveautés

• Changements liés au rebranding

  Le plug-in NetScaler Gateway pour Windows est renommé client Citrix Secure Access.

  [ACS-2044]

• Prise en charge des applications privées TCP/HTTP (S)

  Le client Citrix Secure Access prend désormais en charge les applications privées TCP/HTTP (S) pour les utilisateurs distants via le service Citrix Workspace Secure Access.

  [ACS-870]

• Nouvelles langues prises en charge

  Les plug-ins VPN et EPA pour Windows pour NetScaler Gateway prennent désormais en charge les langues suivantes :

  • Coréen
  • Russe
  • Chinois (traditionnel)

  [CGOP-17721]

• Prise en charge de Citrix Secure Access pour Windows 11

  Le client Citrix Secure Access est désormais pris en charge pour Windows 11.

  [CGOP-18923]

• Ouverture de session de transfert automatique lorsque l’utilisateur se connecte à partir de la même machine et que Always on est configuré

  Le transfert automatique de connexion se produit désormais sans aucune intervention de l’utilisateur lorsque Always on est configuré et que l’utilisateur se connecte à partir du même ordinateur. Auparavant, lorsque le client (utilisateur) devait se reconnecter dans des scénarios tels que le redémarrage du système ou des problèmes de connectivité réseau, un message contextuel apparaissait. L’utilisateur devait confirmer la connexion au transfert. Avec cette amélioration, la fenêtre contextuelle est désactivée.

  [CGOP-14616]

• Dérivation de l’adresse IP de la passerelle par défaut de Citrix Virtual Adapter à partir du masque réseau fourni par NetScaler

  L’adresse IP de la passerelle par défaut de Citrix Virtual Adapter est désormais dérivée du masque réseau fourni par NetScaler.

  [CGOP-18487]

Problèmes résolus

• Parfois, les utilisateurs perdent l’accès à Internet après l’établissement d’un tunnel VPN en mode split tunnel ON. L’itinéraire par défaut erroné de l’adaptateur virtuel Citrix est à l’origine de ce problème réseau.

  [NSHELP-26779]

• Lorsque Split Tunnel est réglé sur « Inverse », la résolution DNS pour les domaines intranet échoue.

  [NSHELP-29371]

21.9.100.1 (30-déc-2021)

Nouveautés

• Prise en charge de Citrix Secure Access pour Windows 11

  Le client Citrix Secure Access est désormais pris en charge pour Windows 11.

  [CGOP-18923]

Problèmes résolus

• Parfois, les utilisateurs perdent l’accès à Internet après l’établissement d’un tunnel VPN en mode split tunnel ON. L’itinéraire par défaut erroné de l’adaptateur virtuel Citrix est à l’origine de ce problème réseau.

  [NSHELP-26779]

• Lorsque Split Tunnel est réglé sur « Inverse », la résolution DNS pour les domaines intranet échoue.

  [NSHELP-29371]

21.9.1.2 (04-oct-2021)

Problèmes résolus

• Parfois, après la déconnexion du VPN, le résolveur DNS ne parvient pas à résoudre les noms d’hôtes, car les suffixes DNS sont supprimés lors de la déconnexion du VPN.

  [NSHELP-28848]

• Parfois, un utilisateur est déconnecté de NetScaler Gateway en quelques secondes lorsque le délai d’inactivité du client est défini.

  [NSHELP-28404]

• Le plug-in Windows peut se bloquer pendant l’authentification.

  [NSHELP-28394]

• En mode de service Always On, le plug-in VPN pour Windows ne parvient pas à établir automatiquement le tunnel utilisateur une fois que les utilisateurs se connectent à leurs machines Windows.

  [NSHELP-27944]

• Après l’établissement du tunnel, au lieu d’ajouter des routes de serveur DNS avec l’adresse IP de la passerelle précédente, le plug-in Windows ajoute les routes avec l’adresse de passerelle par défaut.

  [NSHELP-27850]

V21.7.1.1 (27-Aug-2021)

Nouveautés

• Analyse des nouvelles adresses MAC

  La prise en charge des analyses d’adresses MAC plus récentes est ajoutée.

  [CGOP-16842]

• Analyse EPA pour vérifier le système d’exploitation Windows et sa version de compilation

  Ajout de l’analyse EPA pour vérifier le système d’exploitation Windows et sa version de compilation.

  [CGOP-15770]

• Analyse EPA pour vérifier l’existence d’une valeur particulière

  Une nouvelle méthode de l’analyse EPA du registre vérifie désormais l’existence d’une valeur particulière.

  [CGOP-10123]

Problèmes résolus

• Si une erreur JavaScript se produit lors de la connexion en raison d’une erreur réseau, les tentatives de connexion suivantes échouent avec la même erreur JavaScript.

  [NSHELP-27912]

• L’analyse EPA échoue pour la dernière vérification de l’heure de la dernière mise à jour de l’antivirus McAfee.

  [NSHELP-26973]

• Parfois, les utilisateurs perdent leur accès à Internet après l’établissement d’un tunnel VPN.

  [NSHELP-26779]

• Une erreur de script pour le plug-in VPN peut s’afficher pendant l’authentification nFactor.

  [NSHELP-26775]

• En cas de perturbation du réseau, le flux de trafic UDP qui a démarré avant l’interruption du réseau ne s’interrompt pas avant 5 minutes maximum.

  [NSHELP-26577]

• Vous risquez de subir un retard dans le démarrage du tunnel VPN si l’enregistrement DNS prend plus de temps que prévu.

  [NSHELP-26066]

V21.3.1.2 (31-Mar-2021)

Nouveautés

• Bibliothèques EPA mises à niveau

  Les bibliothèques EPA sont mises à niveau pour prendre en charge la dernière version des applications logicielles utilisées dans les analyses EPA.

  [NSHELP-26274]

• Compatibilité de l’adaptateur virtuel NetScaler Gateway

  L’adaptateur virtuel NetScaler Gateway est désormais compatible avec les adaptateurs virtuels directs Hyper-V et Microsoft Wi-Fi (utilisés avec les imprimantes).

  [NSHELP-26366]

Problèmes résolus

• Le plug-in de passerelle VPN Windows bloque l’utilisation de « CTRL+P » et « CTRL+O » sur le tunnel VPN.

  [NSHELP-26602]

• Le plug-in NetScaler Gateway pour Windows répond uniquement avec une adresse IP intranet enregistrée dans Active Directory lorsqu’une "nslookup" action est demandée pour le nom de la machine.

  [NSHELP-26563]

• L’enregistrement et le désenregistrement IIP échouent par intermittence si le split DNS est défini sur « Local » ou « Des deux côtés ».

  [NSHELP-26483]

• La connexion automatique au plug-in de passerelle VPN Windows échoue si Always On est configuré.

  [NSHELP-26297]

• Le plug-in de passerelle VPN Windows ne parvient pas à supprimer les paquets DNS IPv6, ce qui entraîne des problèmes de résolution DNS.

  [NSHELP-25684]

• Le plug-in de passerelle VPN Windows conserve la liste d’exceptions de proxy existante même si la liste déborde en raison de la limite du navigateur sur la liste des exceptions du proxy Internet Explorer.

  [NSHELP-25578]

• Le plug-in de passerelle VPN Windows ne parvient pas à restaurer les paramètres du proxy lorsque le client VPN est déconnecté en mode Always On.

  [NSHELP-25537]

• Le plug-in VPN pour Windows n’établit pas le tunnel après la connexion à Windows, si les conditions suivantes sont remplies :

  • L’appliance NetScaler Gateway est configurée pour la fonctionnalité Always On.
  • L’appliance est configurée pour l’authentification par certificat avec l’authentification à deux facteurs « désactivée ».

  [NSHELP-23584]