排查自适应身份验证问题

• 预配
• 实例可访问性问题
• AD/RADIUS 连接和身份验证问题
• 身份验证问题
• EPA/设备姿态相关问题
• 智能标签相关问题
• 日志收集

• 在您的计算机上下载 SSH 客户端，例如 putty/securecrt。
• 使用管理 IP（主）地址访问自适应身份验证实例。
• 使用您的凭据登录。

启用自适应身份验证日志的记录

1. 登录到自适应身份验证实例 CLI。
2. 使用 PuTTY 输入管理凭据。
3. 运行命令 set audit syslogParams logLevel ALL

1. 使用浏览器登录到自适应身份验证实例。
2. 导航到 配置 > 系统 > 审计。
3. 在“Auditing”页面中，在 Settings 下，单击 Change Auditing syslog Settings。
4. 在 Log Levels 中，选择 ALL。

预配问题

• 无法访问自适应身份验证 UI
  检查是否为您的客户 ID/租户启用了授权。
• 在预配页面停留超过 45 分钟
  收集错误屏幕截图（如果有），然后联系 Citrix 支持寻求帮助。
• VNet 对等互连已关闭
  • 检查 Azure 门户中是否有与此对等互连对应的警报，并采取建议的操作。
  • 删除对等互连，然后从自适应身份验证 UI 再次添加。
• 取消预配未完成
  联系 Citrix 支持寻求帮助。

实例可访问性问题

• 实例的管理 IP 地址无法访问
  • 检查用于访问的客户端公共 IP 地址是否在允许的源 IP 地址之列。
  • 验证是否有任何代理正在更改客户端源 IP 地址。
• 无法登录实例
  确保管理员访问权限使用您在预配期间输入的凭据正常工作。
• 最终用户没有完整权限
  确保在添加用户时，您已绑定了合适的命令策略以进行访问。有关详细信息，请参阅用户、用户组和命令策略。

AD 或 RADIUS 连接问题

• 检查自适应身份验证实例是否可访问客户管理的 Azure VNet。
• 检查从客户管理的 Azure VNet 到 AD 的连接/可达性是否正常工作。
• 确保已添加适当的路由，以将流量从本地导向 Azure VNet。

• 所有日志都位于目录 /var/log/ns.log 中，并且每个日志都以 为前缀。
• 日志中的 ConnectionID 可用于关联不同的事务。
• 确保连接器虚拟机的私有 IP 地址已作为 RADIUS 服务器中的 RADIUS 客户端之一添加，因为该 IP 地址是连接器的源 IP 地址。
  对于每个身份验证请求，隧道在自适应身份验证实例 (NS - AAAD 进程) 和身份验证服务器之间建立。一旦隧道成功建立，就会进行身份验证。
  确保连接器虚拟机可以解析自适应身份验证 FQDN。
• 连接器已安装，但本地连接失败。
  验证 NSAUTH-TUNNEL 是否正在建立。
  cat ns.log | grep -I “tunnel”
  如果身份验证请求的以下示例日志未打印在 ns.log 文件中，则可能在建立隧道时出现问题或连接器端出现问题。
  LDAP:
[NS_AAUTH_TUNNEL] Entering bitpump for
Connection1 => Src : 192.168.0.7:28098, Dst : 10.106.103.60:636 , Connection2 => Src : 10.106.103.70:2271, Dst : 10.106.103.80:443"
RADIUS:
[NS_AAUTH_UDP_TUNNEL] MUX channel established"
  检查日志详细信息并采取适当措施。

  日志详细信息	纠正措施
  日志文件中不包含前缀为 [NS_AAUTH_TUNNEL] 的日志	运行 show cloudtunnel vserver 命令。此命令必须列出状态为“UP”的（TCP 和 UDP）云隧道虚拟服务器。
  [NS_AAUTH_TUNNEL] Waiting for outbound from connector 对于此日志，如果未收到以下响应：[NS-AAUTH-TUNNEL] Received connect command from connector and client connection lookupsucceeded"	检查连接器计算机是否能够访问自适应身份验证 FQDN 或检查连接器端防火墙是否有到自适应身份验证 FQDN 的出站连接
  [NS_AAUTH_TUNNEL] Server is down or couldn't create connection to ip 0.0.0.0 和 [NS_AAUTH_TUNNEL] Connect response code 401 is not 200 OK, bailing out"	联系 Citrix 支持。

• 确保从连接器虚拟机可以访问自适应身份验证 FQDN。
• 确保您已将中间证书绑定并链接到自适应身份验证实例上的服务器证书。

• 要使用 CLI 添加子网或 IP 地址：
  set policy expression aauth_allow_rfc1918_subnets "(CLIENT.IP.DST.BETWEEN(10.0.0.0,10.255.255.255) || CLIENT.IP.DST.BETWEEN(172.16.0.0,172.31.255.255) || CLIENT.IP.DST.BETWEEN(192.168.0.0, 192.168.255.255) || CLIENT.IP.DST.BETWEEN(13.14.0.0, 13.14.255.255)||CLIENT.IP.DST.EQ(1.2.5.4))"
• 通过 GUI 添加子网或 IP 地址：
  1. 导航到 Appexpert > 表达式。
  2. 添加表达式 aauth_allow_rfc1918_subnets。

• 验证 Bind DN 详细信息。
• 使用测试连接确认错误。
• 使用 aaad debug 验证错误。
• 使用 CLI 登录到 Adaptive Authentication 实例。
  shell
cd /tmp
cat aaad.debug

• 服务器超时 – 连接器对 LDAP 查询无响应。
• 其他 LDAP 错误，请参阅 CTX138663。

• 必须在 RADIUS 服务器配置中将连接器 IP 地址添加为 RADIUS 客户端源 IP 地址。

身份验证问题

• OAuth 的断言后错误
  • 确保所有声明都由 AD 提供。要成功，您需要 7 个声明。
  • 验证 /var/log/ns.log 中的日志，以查找 OAuth 失败的错误。
  cat /var/log/ns.log
  • 验证 OAuth 配置文件参数。
• Azure AD 身份验证卡在断言后
  将 AD 身份验证添加为下一个因素，并将身份验证设置为关闭。这是为了获取成功身份验证所需的所有声明。

EPA 相关问题

• 插件已存在，但用户收到下载插件的提示。
  可能的原因：版本不匹配或文件损坏
  • 运行开发人员工具并验证插件列表文件是否包含与 NetScaler® 和您的客户端计算机相同的版本。
  • 确保 NetScaler 上的客户端版本与客户端计算机上的版本相同。
    更新 NetScaler 上的客户端。
    在自适应身份验证实例上，导航到 Citrix Gateway > Global Settings > Update client libraries。
    Citrix Downloads 上的 EPA 插件库页面为您提供了详细信息。
  • 有时，即使版本已更新，请求也可能缓存在 NetScaler 上。
    show cache object 显示缓存的插件详细信息。您可以使用以下命令将其删除；
    flush cache object -locator 0x00000023345600000007
  有关 EPA 日志收集的详细信息，请参阅 CTX209148。
• 用户选择选项后，是否有办法恢复 EPA 设置（始终、是、否）？
  目前，EPA 设置的恢复是手动完成的。
  • 在客户端计算机上，导航到 C:\Users\<user_name>\AppData\Local\Citrix\AGEE。
  • 打开 config.js 文件并将 trustAlways 设置为 null - "trustAlways":null

智能访问标签问题

• 配置智能访问后，应用程序不可用
  确保标签在自适应身份验证实例和 Citrix VDA 交付组上都已定义。
  检查标签是否以全大写形式添加到交付组中。
  如果此方法无效，您可以收集 ns.log 并联系 Citrix 支持。

自适应身份验证实例的通用日志收集

• 技术支持包：有关详细信息，请参阅 如何从 SDX 和 VPX 设备收集技术支持包以进行洞察分析。
• 跟踪文件。有关详细信息，请参阅 如何在 NetScaler 上记录数据包跟踪。