Citrix Gateway y XenMobile®
Cuando configuras Citrix Gateway usando XenMobile, estableces el mecanismo de autenticación para el acceso remoto de dispositivos a la red interna. Esta funcionalidad permite que las aplicaciones de un dispositivo móvil accedan a los servidores corporativos en la intranet. XenMobile crea una micro VPN desde las aplicaciones del dispositivo hasta Citrix Gateway.
Configuras Citrix Gateway para usarla con XenMobile exportando un script de XenMobile que ejecutas en Citrix Gateway.
Requisitos previos para usar el script de configuración de Citrix Gateway
Requisitos de Citrix ADC:
- Citrix ADC (versión mínima 11.0, compilación 70.12).
- La dirección IP de Citrix ADC está configurada y tiene conectividad con el servidor LDAP, a menos que LDAP esté equilibrado por carga.
- La dirección IP de subred (SNIP) de Citrix ADC está configurada, tiene conectividad con los servidores de back-end necesarios y tiene acceso a la red pública a través del puerto 8443/TCP.
- DNS puede resolver dominios públicos.
- Citrix ADC tiene licencia con licencias de Plataforma/Universal o de prueba. Para obtener más información, consulta https://support.citrix.com/article/CTX126049.
- Se carga e instala un certificado SSL de Citrix Gateway en Citrix ADC. Para obtener más información, consulta https://support.citrix.com/article/CTX136023.
Requisitos de XenMobile:
- XenMobile Server (versión mínima 10.6).
- El servidor LDAP está configurado.
Configurar la autenticación para el acceso remoto de dispositivos a la red interna
-
En la consola de XenMobile, haz clic en el icono de engranaje en la esquina superior derecha de la consola. Aparece la página de Configuración.
-
En Servidor, haz clic en Citrix Gateway. Aparece la página de Citrix Gateway. En el siguiente ejemplo, existe una instancia de Citrix Gateway.
-
Configura estos ajustes:
- Autenticación: Selecciona si quieres habilitar la autenticación. El valor predeterminado es ACTIVADO.
- Entregar certificado de usuario para autenticación: Selecciona si quieres que XenMobile comparta el certificado de autenticación con Secure Hub para permitir que Citrix Gateway gestione la autenticación de certificados de cliente. El valor predeterminado es DESACTIVADO.
- Proveedor de credenciales: En la lista, haz clic en el proveedor de credenciales que quieres usar. Para obtener más información, consulta Proveedores de credenciales.
-
Haz clic en Guardar.
Agregar una instancia de Citrix Gateway
Después de guardar los ajustes de autenticación, agregas una instancia de Citrix Gateway a XenMobile.
-
En la consola de XenMobile, haz clic en el icono de engranaje en la esquina superior derecha de la consola. Se abre la página de Configuración.
-
En Servidor, haz clic en Citrix Gateway. Aparece la página de Citrix Gateway.
-
Haz clic en Agregar. Aparece la página de Agregar nueva Citrix Gateway.
-
Configura estos ajustes:
- Nombre: Escribe un nombre para la instancia de Citrix Gateway.
- Alias: Opcionalmente, incluye un nombre de alias para Citrix Gateway.
-
URL externa: Escribe la URL de acceso público para Citrix Gateway. Por ejemplo,
https://receiver.com. - Tipo de inicio de sesión: Elige un tipo de inicio de sesión. Los tipos incluyen Solo dominio, Solo token de seguridad, Dominio y token de seguridad, Certificado, Certificado y dominio y Certificado y token de seguridad. El ajuste predeterminado para el campo Contraseña requerida cambia según el Tipo de inicio de sesión que selecciones. El valor predeterminado es Solo dominio.
Si tienes varios dominios, usa Certificado y dominio. Para obtener más información sobre cómo configurar la autenticación de varios dominios con XenMobile y Citrix Gateway, consulta Configurar la autenticación para varios dominios.
Si usas Certificado y token de seguridad, se requiere una configuración adicional en Citrix Gateway para admitir Secure Hub. Para obtener más información, consulta Configuración de XenMobile para la autenticación de certificados y tokens de seguridad.
Para obtener más información, consulta Autenticación en el Manual de implementación.
- Contraseña requerida: Selecciona si quieres requerir autenticación con contraseña. El valor predeterminado varía según el Tipo de inicio de sesión elegido.
- Establecer como predeterminado: Selecciona si quieres usar esta Citrix Gateway como predeterminada. El valor predeterminado es DESACTIVADO.
- Exportar script de configuración: Haz clic en el botón para exportar un paquete de configuración que subirás a Citrix Gateway para configurarlo con los ajustes de XenMobile. Para obtener más información, consulta “Configurar una Citrix Gateway local para usarla con XenMobile Server” después de estos pasos.
- URL de devolución de llamada y IP virtual: Guarda tus ajustes antes de agregar estos campos. Para obtener más información, consulta Agregar una URL de devolución de llamada y una IP virtual de VPN de Citrix Gateway en este artículo.
-
Haz clic en Guardar.
La nueva Citrix Gateway se agrega y aparece en la tabla. Para modificar o eliminar una instancia, haz clic en el nombre de la lista.
Configurar Citrix Gateway para usarla con XenMobile Server
Para configurar una Citrix Gateway local para usarla con XenMobile, realiza los siguientes pasos generales, detallados en este artículo:
-
Descarga un script y los archivos relacionados de XenMobile Server. Consulta el archivo Léame proporcionado con el script para obtener las últimas instrucciones detalladas.
-
Verifica que tu entorno cumpla los requisitos previos.
-
Actualiza el script para tu entorno.
-
Ejecuta el script en Citrix ADC.
-
Prueba la configuración.
El script configura estos ajustes de Citrix Gateway requeridos por XenMobile:
- Servidores virtuales de Citrix Gateway necesarios para MDM y MAM
- Directivas de sesión para los servidores virtuales de Citrix Gateway
- Detalles de XenMobile Server
- Directivas y acciones de autenticación para el servidor virtual de Citrix Gateway. El script describe los ajustes de configuración de LDAP.
- Acciones y directivas de tráfico para el servidor proxy
- Perfil de acceso sin cliente
- Registro DNS local estático en Citrix ADC
- Otras vinculaciones: Directiva de servicio, certificado de CA
El script no gestiona la siguiente configuración:
- Equilibrio de carga de Exchange
- Equilibrio de carga de Citrix Files
- Configuración de proxy ICA®
- Descarga SSL
Para descargar, actualizar y ejecutar el script
-
Si estás agregando una Citrix Gateway, haz clic en Exportar script de configuración en la página Agregar nueva Citrix Gateway.
O bien, si agregas una instancia de Citrix Gateway y haces clic en Guardar antes de exportar el script: Vuelve a Configuración > Citrix Gateway, selecciona Citrix ADC, haz clic en Exportar script de configuración y, a continuación, haz clic en Descargar.
Después de hacer clic en Exportar script de configuración, XenMobile crea un paquete de script .tar.gz. El paquete de script incluye:
- Archivo Léame con instrucciones detalladas
- Script que contiene los comandos de la CLI de Citrix ADC usados para configurar los componentes requeridos en Citrix ADC
- Certificado de CA raíz pública y el certificado de CA intermedia de XenMobile Server (estos certificados, para la descarga SSL, no son necesarios para la versión actual)
- Script que contiene los comandos de la CLI de Citrix ADC usados para eliminar la configuración de Citrix ADC
-
Modifica el script (NSGConfigBundle_CREATESCRIPT.txt) para reemplazar todos los marcadores de posición con los detalles de tu entorno.
-
Ejecuta el script modificado en el shell bash de Citrix ADC, como se describe en el archivo Léame incluido en el paquete de script. Por ejemplo:
/netscaler/nscli -U :<NetScaler Management Username>:<NetScaler Management Password> batch -f "/var/NSGConfigBundle_CREATESCRIPT.txt"
Cuando el script finaliza, aparecen las siguientes líneas.
Probar la configuración
-
Valida que el servidor virtual de Citrix Gateway muestre un estado de ACTIVO.
-
Valida que el servidor virtual de equilibrio de carga del proxy muestre un estado de ACTIVO.
-
Abre un explorador web, conéctate a la URL de Citrix Gateway e intenta autenticarte. Si la autenticación falla, aparece este mensaje: HTTP Status 404 - Not Found
-
Inscribe un dispositivo y asegúrate de que obtenga la inscripción MDM y MAM.
Agregar una URL de devolución de llamada y una IP virtual de VPN de Citrix Gateway
Después de agregar la instancia de Citrix Gateway, puedes agregar una URL de devolución de llamada y especificar una dirección IP virtual de VPN de Citrix Gateway. Estos ajustes son opcionales, pero se pueden configurar para mayor seguridad, especialmente cuando XenMobile Server está en la DMZ.
-
En Configuración > Citrix Gateway, selecciona Citrix Gateway y, a continuación, haz clic en Modificar.
-
En la tabla, haz clic en Agregar.
-
Para la URL de devolución de llamada, escribe el nombre de dominio completo (FQDN). La URL de devolución de llamada verifica que una solicitud se originó en Citrix Gateway.
Asegúrate de que la URL de devolución de llamada se resuelva en una dirección IP a la que se pueda acceder desde XenMobile Server. La URL de devolución de llamada puede ser una URL externa de Citrix Gateway o alguna otra URL.
-
Escribe la dirección IP virtual de Citrix Gateway y, a continuación, haz clic en Guardar.
Configurar la autenticación para varios dominios
Si tienes varias instancias de XenMobile Server, como para entornos de prueba, desarrollo y producción, configuras Citrix Gateway para los entornos adicionales manualmente. (Solo puedes usar el asistente de Citrix ADC para XenMobile una vez).
Configuración de Citrix Gateway
Para configurar las directivas de autenticación de Citrix Gateway y una directiva de sesión para un entorno de varios dominios:
- En la utilidad de configuración de Citrix Gateway, en la ficha Configuración, expande Citrix Gateway > Directivas > Autenticación.
- En el panel de navegación, haz clic en LDAP.
-
Haz clic para modificar el perfil LDAP. Cambia el Atributo de nombre de inicio de sesión del servidor a userPrincipalName o al atributo que quieras usar para las búsquedas. Toma nota del atributo que especifiques para tenerlo al configurar los ajustes de LDAP en la consola de XenMobile.
- Repite esos pasos para cada directiva LDAP. Se requiere una directiva LDAP independiente para cada dominio.
- En la directiva de sesión vinculada al servidor virtual de Citrix Gateway, navega a Modificar perfil de sesión > Aplicaciones publicadas. Asegúrate de que el Dominio de inicio de sesión único esté en blanco.
Configuración de XenMobile Server
Para configurar LDAP para un entorno XenMobile de varios dominios:
-
En la consola de XenMobile, ve a Configuración > LDAP y agrega o modifica un directorio.
-
Proporciona la información.
-
En Alias de dominio, especifica cada dominio que quieres usar para la autenticación de usuarios. Separa los dominios con una coma y no uses espacios entre ellos. Por ejemplo:
domain1.com,domain2.com,domain3.com -
Asegúrate de que el campo Buscar usuario por coincida con el Atributo de nombre de inicio de sesión del servidor especificado en la directiva LDAP de Citrix Gateway.
-
Descartar solicitudes de conexión entrantes a URL específicas
Si la Citrix Gateway de tu entorno está configurada para la descarga SSL, es posible que prefieras que la puerta de enlace descarte las solicitudes de conexión entrantes para URL específicas.
Si prefieres esa seguridad adicional, configura los dos servidores virtuales de equilibrio de carga de MDM (uno para el puerto 443 y otro para el puerto 8443) en Citrix Gateway. Usa la siguiente información como plantilla para tus ajustes.
Importante:
Las siguientes actualizaciones son solo para una Citrix Gateway configurada para la descarga SSL.
-
Crea un conjunto de patrones con el nombre
XMS_DropURLs.add policy patset XMS_DropURLs <!--NeedCopy--> -
Agrega las siguientes URL al nuevo conjunto de patrones. Personaliza esta lista según sea necesario.
bind policy patset XMS_DropURLs /zdm/shp/console -index 6 bind policy patset XMS_DropURLs /zdm/login_xdm_uc.jsp -index 5 bind policy patset XMS_DropURLs /zdm/helper.jsp -index 4 bind policy patset XMS_DropURLs /zdm/log.jsp -index 3 bind policy patset XMS_DropURLs /zdm/login.jsp -index 2 bind policy patset XMS_DropURLs /zdm/console -index 1 <!--NeedCopy--> -
Crea una directiva para descartar todo el tráfico a estas URL, a menos que la solicitud de conexión se origine en la subred especificada.
add responder policy XMS_DROP_pol “CLIENT.IP.SRC.IN_SUBNET(192.168.0.0/24).NOT && HTTP.REQ.URL.CONTAINS_ANY(”XMS_DropURLs”)” DROP -comment "Allow only subnet 192.168.0.0/24 to access these URLs. All other connections are DROPed" <!--NeedCopy--> -
Vincula la nueva directiva a ambos servidores virtuales de equilibrio de carga de MDM (puertos 443 y 8443).
bind lb vserver _XM_LB_MDM_XenMobileMDM_443 -policyName XMS_DROP_pol -priority 100 -gotoPriorityExpression END -type REQUEST bind lb vserver _XM_LB_MDM_XenMobileMDM_8443 -policyName XMS_DROP_pol -priority 100 -gotoPriorityExpression END -type REQUEST <!--NeedCopy--> -
Bloquear el acceso a la URL de MAM a través del explorador
Acceder a la URL de MAM directamente a través del explorador solicita a los usuarios que introduzcan sus credenciales de Active Directory. Aunque actúa como una herramienta para que los usuarios validen sus credenciales, algunos usuarios podrían considerarlo una violación de seguridad. La siguiente sección te ayuda a restringir el acceso del explorador a la URL de MAM (VIP de NetScaler® Gateway), usando la función Directiva de respuesta en NetScaler.
Crea una de las siguientes directivas de respuesta y vincúlala a tu servidor virtual de NetScaler Gateway:
add responder policy Resp_Brow_Pol "HTTP.REQ.HEADER(\"User-Agent\").CONTAINS(\"Mozilla\")&&HTTP.REQ.URL.PATH_AND_QUERY.EQ(\"/vpn/index.html\")" DROP <!--NeedCopy-->add responder policy Resp_Brow_Pol_CR "!HTTP.REQ.HEADER(\"User-Agent\").CONTAINS(\"CitrixReceiver\")&&HTTP.REQ.URL.PATH_AND_QUERY.EQ(\"/vpn/index.html\")" DROP <!--NeedCopy-->add responder policy Resp_Brow_Pol_CR "HTTP.REQ.HEADER(\"User-Agent\").CONTAINS(\"CitrixReceiver\").NOT&&HTTP.REQ.URL.PATH_AND_QUERY.EQ(\"/vpn/index.html\")" DROP <!--NeedCopy-->Vincula al servidor virtual de NetScaler Gateway usando
bind vpn vserver _XM_XenMobileGateway -policy Resp_Brow_Pol_CR -priority 100 -gotoPriorityExpression END -type REQUESTNota:
_XM_XenMobileGatewayes un nombre de ejemplo de un servidor virtual de NetScaler Gateway.
En este artículo
- Requisitos previos para usar el script de configuración de Citrix Gateway
- Configurar la autenticación para el acceso remoto de dispositivos a la red interna
- Agregar una instancia de Citrix Gateway
- Configurar Citrix Gateway para usarla con XenMobile Server
- Agregar una URL de devolución de llamada y una IP virtual de VPN de Citrix Gateway
- Configurar la autenticación para varios dominios
- Descartar solicitudes de conexión entrantes a URL específicas