Fehlerbehebung bei Problemen mit der adaptiven Authentifizierung

• Bereitstellung
• Problem mit der Instanzzugänglichkeit
• AD/RADIUS-Konnektivitäts- und Authentifizierungsproblem
• Authentifizierungsprobleme
• EPA-/Gerätehaltungsbezogene Probleme
• Smart-Tag-bezogene Probleme
• Protokollerfassung

• Laden Sie einen SSH-Client wie PuTTY/SecureCRT auf Ihren Computer herunter.
• Greifen Sie auf die Adaptive Authentication-Instanz mithilfe der Management-IP-Adresse (primär) zu.
• Melden Sie sich mit Ihren Anmeldeinformationen an.

Protokollierung von Adaptive Authentication-Protokollen aktivieren

1. Melden Sie sich bei der CLI der Adaptive Authentication-Instanz an.
2. Geben Sie mit PuTTY die Management-Anmeldeinformationen ein.
3. Führen Sie den Befehl set audit syslogParams logLevel ALL aus.

1. Melden Sie sich über einen Browser bei der Adaptive Authentication-Instanz an.
2. Navigieren Sie zu Configuration > System > Auditing.
3. Klicken Sie auf der Seite Auditing unter Settings auf Change Auditing syslog Settings.
4. Wählen Sie unter Log Levels die Option ALL.

Bereitstellungsprobleme

• Zugriff auf die Adaptive Authentication-Benutzeroberfläche nicht möglich
  Überprüfen Sie, ob die Berechtigung für Ihre Kunden-ID/Ihren Tenant aktiviert ist.
• Länger als 45 Minuten auf der Bereitstellungsseite hängen geblieben
  Erfassen Sie gegebenenfalls den Screenshot des Fehlers und wenden Sie sich dann an den Citrix Support, um Unterstützung zu erhalten.
• VNet-Peer ist ausgefallen
  • Prüfen Sie, ob im Azure-Portal Warnungen zu diesem Peering vorliegen, und ergreifen Sie die empfohlenen Maßnahmen.
  • Löschen Sie das Peering und fügen Sie es über die Adaptive Authentication-Benutzeroberfläche erneut hinzu.
• Die Aufhebung der Bereitstellung ist nicht abgeschlossen
  Wenden Sie sich an den Citrix Support, um Unterstützung zu erhalten.

Problem mit der Instanzzugänglichkeit

• Management-IP-Adresse ist für die Instanz nicht zugänglich
  • Überprüfen Sie, ob die öffentliche IP-Adresse des Clients, die für den Zugriff verwendet wird, zu den zulässigen Quell-IP-Adressen gehört.
  • Überprüfen Sie, ob ein Proxy die Quell-IP-Adresse des Clients ändert.
• Anmeldung bei der Instanz nicht möglich
  Stellen Sie sicher, dass der Administratorzugriff mit den Anmeldeinformationen, die Sie während der Bereitstellung eingegeben haben, ordnungsgemäß funktioniert.
• Endbenutzer haben keine vollständigen Rechte
  Stellen Sie sicher, dass Sie beim Hinzufügen des Benutzers die entsprechende Befehlsrichtlinie für den Zugriff gebunden haben. Weitere Informationen finden Sie unter Benutzer, Benutzergruppen und Befehlsrichtlinien.

AD- oder RADIUS-Konnektivitätsproblem

• Prüfen Sie, ob das vom Kunden verwaltete Azure VNet von den Adaptive Authentication-Instanzen aus erreichbar ist.
• Prüfen Sie, ob die Konnektivität/Erreichbarkeit vom vom Kunden verwalteten Azure VNet zu AD funktioniert.
• Stellen Sie sicher, dass entsprechende Routen hinzugefügt werden, um den Datenverkehr von lokalen Systemen zu Azure VNets zu leiten.

• Alle Protokolle sind im Verzeichnis /var/log/ns.log verfügbar und jedes Protokoll ist mit präfixiert.
• Die ConnectionID aus den Protokollen kann verwendet werden, um verschiedene Transaktionen zu korrelieren.
• Stellen Sie sicher, dass die private IP-Adresse der Connector-VM als einer der RADIUS-Clients im RADIUS-Server hinzugefügt wird, da diese IP-Adresse die Quell-IP-Adresse für den Connector ist.
  Für jede Authentifizierungsanforderung wird der Tunnel zwischen der Adaptive Authentication-Instanz (NS - AAAD-Prozess) und dem Authentifizierungsserver aufgebaut. Sobald der Tunnel erfolgreich aufgebaut ist, erfolgt die Authentifizierung.
  Stellen Sie sicher, dass die Connector-VM den FQDN der adaptiven Authentifizierung auflösen kann.
• Der Connector ist installiert, aber die lokale Konnektivität schlägt fehl.
  Überprüfen Sie, ob NSAUTH-TUNNEL aufgebaut wird.
  cat ns.log | grep -I “tunnel”
  Wenn das folgende Beispielprotokoll für die Authentifizierungsanforderung nicht in der Datei ns.log ausgegeben wird, liegt möglicherweise ein Problem beim Aufbau eines Tunnels oder ein Problem auf der Connector-Seite vor.
  LDAP:
[NS_AAUTH_TUNNEL] Entering bitpump for
Connection1 => Src : 192.168.0.7:28098, Dst : 10.106.103.60:636 , Connection2 => Src : 10.106.103.70:2271, Dst : 10.106.103.80:443"
RADIUS:
[NS_AAUTH_UDP_TUNNEL] MUX channel established"
  Überprüfen Sie die Protokolldetails und ergreifen Sie entsprechende Maßnahmen.

  Protokolldetails	Korrekturmaßnahme
  Keine Protokolle mit dem Präfix [NS_AAUTH_TUNNEL] sind in der Protokolldatei enthalten	Führen Sie den Befehl show cloudtunnel vserver aus. Dieser Befehl muss beide (TCP und UDP) Cloud-Tunnel-Virtual-Server mit dem Status „UP“ auflisten.
  [NS_AAUTH_TUNNEL] Waiting for outbound from connector Für dieses Protokoll, wenn die folgende Antwort nicht empfangen wird: [NS-AAUTH-TUNNEL] Received connect command from connector and client connection lookupsucceeded"	Überprüfen Sie, ob die Connector-Maschine die Adaptive Authentication FQDN erreichen kann ODER überprüfen Sie die Firewall auf der Connector-Seite auf ausgehende Verbindungen zur Adaptive Authentication FQDN.
  [NS_AAUTH_TUNNEL] Server is down or couldn't create connection to ip 0.0.0.0 und [NS_AAUTH_TUNNEL] Connect response code 401 is not 200 OK, bailing out"	Wenden Sie sich an den Citrix Support.

• Stellen Sie sicher, dass die Adaptive Authentication FQDN von der virtuellen Connector-Maschine aus erreichbar ist.
• Stellen Sie sicher, dass Sie ein Zwischenzertifikat an das Serverzertifikat auf der Adaptive Authentication-Instanz gebunden und verknüpft haben.

• So fügen Sie ein Subnetz oder eine IP-Adresse über die CLI hinzu:
  set policy expression aauth_allow_rfc1918_subnets "(CLIENT.IP.DST.BETWEEN(10.0.0.0,10.255.255.255) || CLIENT.IP.DST.BETWEEN(172.16.0.0,172.31.255.255) || CLIENT.IP.DST.BETWEEN(192.168.0.0, 192.168.255.255) || CLIENT.IP.DST.BETWEEN(13.14.0.0, 13.14.255.255)||CLIENT.IP.DST.EQ(1.2.5.4))"
• So fügen Sie ein Subnetz oder eine IP-Adresse über die GUI hinzu:
  1. Navigieren Sie zu Appexpert > Expressions.
  2. Fügen Sie den Ausdruck aauth_allow_rfc1918_subnets hinzu.

• Überprüfen Sie die Bind-DN-Details.
• Verwenden Sie die Testkonnektivität, um den Fehler zu bestätigen.
• Überprüfen Sie die Fehler mithilfe von aaad Debug.
• Melden Sie sich über die CLI bei der Adaptive Authentication-Instanz an.
  shell
cd /tmp
cat aaad.debug

• Server-Timeout – Keine Antwort vom Connector für die LDAP-Abfrage.
• Weitere LDAP-Fehler finden Sie unter CTX138663.

• Die IP-Adresse des Connectors muss als Quell-IP-Adresse des RADIUS-Clients in der RADIUS-Serverkonfiguration hinzugefügt werden.

Authentifizierungsprobleme

• Post-Assertion-Fehler für OAuth
  • Stellen Sie sicher, dass alle Claims von AD bereitgestellt werden. Sie benötigen 7 Claims, damit dies erfolgreich ist.
  • Überprüfen Sie die Protokolle in /var/log/ns.log, um den Fehler für OAuth-Fehler zu finden.
  cat /var/log/ns.log
  • Überprüfen Sie die OAuth-Profilparameter.
• Azure AD-Authentifizierung bleibt bei der Post-Assertion hängen
  Fügen Sie die AD-Authentifizierung als nächsten Faktor hinzu, wobei die Authentifizierung auf „Aus“ gesetzt ist. Dies dient dazu, alle erforderlichen Claims für eine erfolgreiche Authentifizierung zu erhalten.

EPA-bezogene Probleme

• Plug-in ist bereits vorhanden, aber der Benutzer erhält eine Aufforderung zum Herunterladen des Plug-ins.
  Mögliche Ursachen: Versionskonflikt oder beschädigte Dateien
  • Führen Sie die Entwicklertools aus und überprüfen Sie, ob die Plug-in-Listendatei dieselbe Version wie die des NetScaler® und Ihres Clientcomputers enthält.
  • Stellen Sie sicher, dass die Clientversion auf dem NetScaler mit der auf dem Clientcomputer übereinstimmt.
    Aktualisieren Sie den Client auf dem NetScaler.
    Navigieren Sie in der adaptiven Authentifizierungsinstanz zu Citrix Gateway > Globale Einstellungen > Clientbibliotheken aktualisieren.
    Die Seite mit den EPA-Plug-in-Bibliotheken auf Citrix Downloads bietet Ihnen detaillierte Informationen.
  • Manchmal kann die Anforderung auf NetScaler zwischengespeichert werden, auch wenn die Version aktualisiert wurde.
    show cache object zeigt die Details des zwischengespeicherten Plug-ins an. Sie können es mit dem Befehl löschen;
    flush cache object -locator 0x00000023345600000007
  Details zur EPA-Protokollsammlung finden Sie unter CTX209148.
• Gibt es eine Möglichkeit, die EPA-Einstellungen (Immer, Ja, Nein) zurückzusetzen, nachdem der Benutzer eine Option ausgewählt hat?
  Derzeit erfolgt das Zurücksetzen der EPA-Einstellungen manuell.
  • Navigieren Sie auf dem Clientcomputer zu C:\Users\<user_name>\AppData\Local\Citrix\AGEE.
  • Öffnen Sie die config.js-Datei und setzen Sie trustAlways auf null - "trustAlways":null

Probleme mit Smart Access-Tags

• Nach der Konfiguration des Smart Access sind Anwendungen nicht verfügbar
  Stellen Sie sicher, dass die Tags sowohl auf der Adaptive Authentication-Instanz als auch auf den Citrix VDA-Bereitstellungsgruppen definiert sind.
  Überprüfen Sie, ob die Tags in Großbuchstaben zur Bereitstellungsgruppe hinzugefügt wurden.
  Sie können die ns.log-Datei sammeln und sich an den Citrix Support wenden, falls dies nicht funktioniert.

Allgemeine Protokollsammlung für Adaptive Authentication-Instanz

• Technisches Support-Bundle: Details finden Sie unter How to collect the technical support bundle from SDX and VPX appliances for insight analysis.
• Trace-Dateien. Details finden Sie unter How to record a packet trace on NetScaler.