Documentation Produit
Gateway
Current Release 13.1 13.0 12.1
Voir PDF

Configurer NetScaler Gateway pour utiliser un micro VPN avec Microsoft Endpoint Manager

March 27, 2024
Contributeur: 
C

L’intégration de Citrix Micro VPN avec Microsoft Endpoint Management permet à vos applications d’accéder aux ressources locales. Pour plus d’informations, consultez la section Intégration de Citrix Micro VPN avec Microsoft Endpoint Manager.

Configuration système requise

  • Versions de NetScaler Gateway
    • 13.1
    • 13.0
    • 12.1.50.x ou version ultérieure
    • 12.0.59.x ou version ultérieure

    Vous pouvez télécharger la dernière version de NetScaler Gateway depuis la page de téléchargement de NetScaler Gateway.

  • Un bureau Windows exécutant Windows 7 ou version ultérieure (pour encapsuler les applications Android uniquement)

  • Microsoft
    • Accès Azure AD (avec privilèges d’administrateur de locataires)
    • Locataire activé par Intune
  • Règles de pare-feu
    • Activer une règle de pare-feu pour le trafic SSL provenant d’une adresse IP de sous-réseau NetScaler Gateway vers,*.manage.microsoft.com https://login.microsoftonline.com et https://graph.windows.net (port 443)
    • NetScaler Gateway doit être capable de résoudre de manière externe les URL précédentes.

Pré-requis

  • Environnement Intune : si vous n’avez pas d’environnement Intune, configurez-en un. Pour obtenir des instructions, consultez la documentation Microsoft.

  • Application Edge Browser : Le SDK Micro VPN est intégré à l’application Microsoft Edge et à l’application Intune Managed Browser pour iOS et Android. Pour plus d’informations sur Managed Browser, consultez la page Managed Browser de Microsoft.

  • Droits Citrix Endpoint Management : assurez-vous de disposer d’un droitCitrix Endpoint Management actif pour bénéficier d’une prise en charge continue du SDK micro VPN sur un navigateur mobile Microsoft Edge (iOS et Android). Pour plus d’informations, contactez le représentant de votre service commercial, de votre compte ou de votre partenaire.

Accorder des autorisations d’application Azure Active Directory (AAD)

  1. Consentement à l’application Citrix multitenant AAD pour permettre à NetScaler Gateway de s’authentifier auprès du domaine AAD. L’administrateur global Azure doit visiter l’URL suivante et donner son consentement :

    https://login.windows.net/common/adminconsent?client_id=b6a53a76-5d50-499e-beb3-c8dbdad5c40b&redirect_uri=https://www.citrix.com&state=consent.

  2. Autorisation à l’application Citrix multitenant AAD d’autoriser les applications mobiles à s’authentifier avec le micro VPN NetScaler Gateway. Ce lien n’est requis que si l’administrateur mondial Azure a modifié la valeur par défaut pour que les utilisateurs puissent inscrire des applications de Oui à Non. Ce paramètre se trouve dans le portail Azure sous Azure Active Directory > Utilisateurs > Paramètres utilisateur. L’administrateur global Azure doit visiter l’URL suivante et donner son consentement (ajoutez votre ID de locataire) https://login.microsoftonline.com/[tenant_id]/adminconsent?client_id=9215b80e-186b-43a1-8aed-9902264a5af7.

Configuration de NetScaler Gateway pour un micro VPN

Pour utiliser un micro VPN avec Intune, vous devez configurer NetScaler Gateway pour vous authentifier auprès d’Azure AD. Un serveur virtuel NetScaler Gateway existant ne fonctionne pas pour ce cas d’utilisation. Tout d’abord, configurez Azure AD pour qu’il se synchronise avec le répertoire Active Directory local. Cette étape est nécessaire pour garantir que l’authentification entre Intune et NetScaler Gateway s’effectue correctement.

Télécharger le script : Le fichier .zip inclut un fichier Lisez-moi contenant des instructions pour implémenter le script. Vous devez saisir manuellement les informations requises par les scripts et exécuter le script sur NetScaler Gateway pour configurer le service. Vous pouvez télécharger le fichier script depuis la page de téléchargement de NetScaler.

Important : Une fois que vous avez terminé la configuration de NetScaler Gateway et si vous voyez un état OAuth différent de COMPLETE, consultez la section Résolution des problèmes.

Configuration du navigateur Microsoft Edge

  1. Connectez-vous à,https://endpoint.microsoft.com/ puis accédez à Intune > Applications mobiles.
  2. Publiez l’application Edge comme vous le faites normalement, puis ajoutez une stratégie de configuration d’application.
  3. Sous Gérer, cliquez sur Stratégies de configuration des applications.
  4. Cliquez sur Ajouter, puis entrez un nom pour la stratégie que vous souhaitez créer. Dans Type d’inscription de l’appareil, sélectionnez Applications gérées.
  5. Cliquez sur Application associée.
  6. Sélectionnez les applications auxquelles vous souhaitez appliquer la stratégie (navigateur géré Microsoft Edge ou Intune), puis cliquez sur OK.
  7. Cliquez sur Paramètres de configuration.
  8. Dans le champ Nom, saisissez le nom de l’une des stratégies répertoriées dans le tableau suivant.
  9. Dans le champ Valeur, entrez la valeur à appliquer pour cette stratégie. Cliquez sur le champ pour ajouter la stratégie à la liste. Vous pouvez ajouter plusieurs stratégies.
  10. Cliquez sur OK, puis sur Ajouter.

La stratégie est ajoutée à votre liste de stratégies.

|Nom (iOS /Android)|Valeur|Description| |—|—|—| |MvpnGatewayAddress|https://external.companyname.com|URL externe de votre NetScaler Gateway| |MvpnNetworkAccess|MvpnNetworkAccessTunneledWebSSOor Unrestricted|MvpnNetworkAccessTunneledWebSSO est la valeur par défaut pour le tunneling.| |MvpnExcludeDomains|Liste des noms de domaine à exclure, séparés par des virgules|Facultatif. Default=Blank| |TunnelExcludeDomains|Utilisez cette propriété client pour remplacer la liste par défaut des domaines exclus. Défaut=app.launchdarkly.com,cis.citrix.com,cis-staging.citrix.com,cis-test.citrix.com,clientstream.launchdarkly.com,crashlytics.com,events.launchdarkly.com,fabric.io,firehose.launchdarkly.com, hockeyapp.net,mobile.launchdarkly.com,pushreg.xm.citrix.com,rttf.citrix.com,rttf-staging.citrix.com,rttf-test.citrix.com,ssl.google-analytics.com,stream.launchdarkly.com|

Remarque : L’SSO Web est le nom de la Secure Browse dans les paramètres. Le comportement est le même.

  • MvpnNetworkAccess : MvpnNetworkAccessTunneledWebSSO permet la redirection HTTP/HTTPS via Netscaler Gateway, également connue sous le nom de Tunneled-Web SSO. La passerelle répond aux défis de l’authentification HTTP en ligne, offrant ainsi une expérience d’authentification unique (SSO). Pour utiliser l’SSO Web, définissez cette stratégie sur MvpnNetworkAccessTunneledWebSSO. La redirection complète du tunnel n’est actuellement pas prise en charge. Utilisez l’ option Sans restriction pour désactiver le tunneling micro VPN.

  • MVPNExcludeDomains : liste séparée par des virgules de noms d’hôtes ou de domaines à exclure du routage via le proxy Web inverse NetScaler Gateway. Les noms d’hôte ou de domaine sont exclus même si les paramètres DNS fractionnés configurés par NetScaler Gateway pourraient autrement sélectionner le domaine ou l’hôte.

    Remarque :

    • Cette stratégie n’est appliquée que pour les connexions MVPNNetworkAccessTunneledWebSSO. Si cette MvpnNetworkAccess option n’est pas restreinte, cette stratégie est ignorée.

    • Cette stratégie s’applique uniquement au mode Tunneled-Web SSO avec NetScaler Gateway configuré pour le split tunneling inversé.

  • TunnelExcludeDomains - Par défaut, MDX exclut certains points de terminaison de service du tunneling micro VPN. Les kits SDK des applications mobiles et les applications utilisent ces points de terminaison de service pour diverses fonctionnalités. Par exemple, les points de terminaison des services incluent des services qui ne nécessitent pas de routage via les réseaux d’entreprise, tels que Google Analytics, les services Citrix Cloud et les services Active Directory. Utilisez cette propriété client pour remplacer la liste par défaut des domaines exclus.

    Pour configurer cette politique client globale, sur la console Microsoft Endpoint Management, accédez à Paramètres > Propriétés du client, ajoutez la clé personnalisée TUNNEL_EXCLUDE_DOMAINSet définissez la valeur.

    Valeur : pour remplacer la liste par défaut par les domaines que vous souhaitez exclure du tunneling, saisissez une liste de suffixes de domaines séparés par des virgules. Pour inclure tous les domaines dans le tunneling, entrez none. La valeur par défaut est :

    app.launchdarkly.com,cis.citrix.com,cis-staging.citrix.com,cis-test.citrix.com,clientstream.launchdarkly.com,crashlytics.com,events.launchdarkly.com,fabric.io,firehose.launchdarkly.com, hockeyapp.net,mobile.launchdarkly.com,pushreg.xm.citrix.com,rttf.citrix.com,rttf-staging.citrix.com,rttf-test.citrix.com,ssl.google-analytics.com,stream.launchdarkly.com

Dépannage

Problèmes d’ordre général

Problème Résolution
Le message « Ajouter une stratégie requise » s’affiche lorsque vous ouvrez une application Ajouter des stratégies dans l’API Microsoft Graph
Il y a des conflits de stratégie Une seule stratégie par application est autorisée
Le message « Échec du package de l’application » s’affiche lors de l’encapsulation d’une application. Pour obtenir le message complet, reportez-vous au tableau suivant L’application est intégrée au SDK Intune. Il n’est pas nécessaire d’encapsuler l’application avec Intune
Votre application ne peut pas se connecter aux ressources internes Assurez-vous que les ports de pare-feu appropriés sont ouverts, que vous avez corrigé l’ID de locataire, etc.

Message d’erreur Echec du package de l’application :

Échec de la mise en package de l’application. com.microsoft.Intune.mam.AppPackager.utils.AppPackagerException : le SDK MAM est déjà intégré à cette application. com.microsoft.intune.mam.apppackager.AppPackager.packageApp(AppPackager.java:113) com.microsoft.intune.mam.apppackager.PackagerMain.mainInternal(PackagerMain.java:198) com.microsoft.intune.mam.apppackager.PackagerMain.main(PackagerMain.java:56) The application cannot be wrapped.

Problèmes liés à NetScaler Gateway

Problème Résolution
Les autorisations requises pour être configurées pour l’application passerelle sur Azure ne sont pas disponibles. Vérifiez si une licence Intune appropriée est disponible. Essayez d’utiliser le portail manage.windowsazure.com pour voir si l’autorisation peut être ajoutée. Contactez le support technique Microsoft si le problème persiste.
NetScaler Gateway ne peut pas atteindre. login.microsoftonline.com and graph.windows.net À partir de NS Shell, vérifiez si vous êtes en mesure d’accéder au site Web Microsoft suivant : cURL -v -k https://login.microsoftonline.com. Vérifiez ensuite si le DNS est configuré sur NetScaler Gateway. Vérifiez également que les paramètres du pare-feu sont corrects (dans le cas où les demandes DNS sont pare-feu).
Une erreur apparaît dans ns.log après la configuration de OAuthAction. Vérifiez si la licence Intune est activée et si l’application de passerelle Azure dispose des autorisations appropriées.
La commande Sh OAuthAction n’affiche pas l’état OAuth comme terminé. Vérifiez les paramètres DNS et les autorisations configurées sur l’application de passerelle Azure.
L’appareil Android ou iOS n’affiche pas l’invite d’authentification double. Vérifiez si l’ID d’appareil à double facteur LogonSchema est lié au serveur virtuel d’authentification.

État et état d’erreur de NetScaler Gateway OAuth

État Condition d’erreur
AADFORGRAPH Secret non valide, URL non résolue, expiration de la connexion
MDMINFO *manage.microsoft.comest en panne ou inaccessible
GRAPH Le point de terminaison graphique est inaccessible
CERTFETCH Communication impossible avec Token Endpoint: https://login.microsoftonline.com en raison d’une erreur DNS. Pour valider cette configuration, accédez à l’interpréteur de commandes et tapez cURL https://login.microsoftonline.com. Cette commande doit être validée.

Remarque : Lorsque l’état OAuth est réussi, l’état est affiché comme COMPLETE.

Configurer NetScaler Gateway pour utiliser un micro VPN avec Microsoft Endpoint Manager
March 27, 2024
Contributeur: 
C
March 27, 2024
Contributeur: 
C

Dans cet article

Commentaires sur le site | Confidentialité et conditions légales | Préférences de cookies | Paramètres de consentement | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.