常见问题

升级自适应身份验证或 NetScaler 后，用户无法登录。我该怎么办?

• 如果自适应身份验证 IdP FQDN 无法访问：
  • 检查身份验证虚拟服务器 (auth_vs) 是否处于 UP 状态。
  • 如果它未处于 UP 状态，请验证证书是否正确绑定。
  未保存的配置或配置错误可能导致证书解除绑定或丢失，从而使身份验证虚拟服务器处于 DOWN 状态。
• 使用以下命令从主自适应身份验证 NetScaler CLI 检查云隧道虚拟服务器是否处于 UP 状态：show cloudtunnel vserver。
  由于间歇性 Azure IMDS 连接问题，云隧道虚拟服务器配置在重启后可能会丢失。
  解决方法： 执行另一次重启。
• 如果使用 LDAP，请确保 ldapAction 配置了 7-10 秒的超时时间 (authTimeout)。
  注意：
  无论是否执行了升级，都可能发生此与 LDAP 相关的登录问题。

为什么自适应身份验证 NetScaler 实例在 ADM/NetScaler Console 中显示为“Down”或“In Grace Period”?

• 控制台中显示的 UP（绿色）或 DOWN（红色）状态表示控制台服务与自适应身份验证 NetScaler 实例之间的连接性，而不是自适应身份验证节点的实际状态。
• DOWN 连接状态不影响用户登录或功能，但可能会产生以下影响：
  • Citrix 无法将升级推送到 NetScaler 实例。
  • 如果连接状态保持 DOWN 超过 30 天，自适应身份验证 NetScaler LAS 许可证租约刷新可能会失败，并且实例带宽可能会限制为 10 Mbps。NetScaler 管理员 UI 中会出现警告横幅。

1. 通过 SSH 连接到连接状态显示为 DOWN 的 NetScaler 实例。
2. 运行 shell。
3. 验证 mastools 进程是否正在运行：
   ps -ax | grep mastools
   输出必须显示 mastools 和 mastools_upgrade 进程都在运行。
4. 如果需要，请重新启动 mastools：
   cd /var/mastools/scripts
   ./mastoolsd restart

为什么用户在自适应身份验证升级后会收到“依赖方请求的用户声明未找到”?

• 如果问题发生在自适应身份验证 IdP 登录页面出现之前，请联系 Citrix 支持。
• 如果问题发生在自适应身份验证 IdP 登录页面出现之后以及输入凭据之后：
  • 确保用户在 AD 中拥有以下所有 7 个必需的声明。
    • 电子邮件地址
    • 显示名称
    • 通用名称
    • sAMAccountName
    • 用户主体名称
    • 对象标识符 (OID)
    • 安全标识符 (SID)
  • 如果您正在使用 SAML 或 RADIUS，请在末尾添加一个 NOAUTH LDAP 因子以提取所有 7 个必需的声明。

自适应身份验证无法通过 LDAP 端口 389 或 636 工作。我应该检查什么?

1. 通过检查 ns.log 中的 Entering bitpump 日志条目，验证到本地 AD 的隧道是否成功。
2. 如果隧道成功，运行 cat /tmp/aaad.debug 查看身份验证错误。
3. 如果问题仍然存在，请联系 Citrix 支持。

我正在尝试预配自适应身份验证设备，但入门流程要求我填写一个我无法访问的表单。我该怎么办?

提交表单后，启用自适应身份验证需要多长时间?