Konfigurieren des EPA-Scans für die Vor- und Nachauthentifizierung als Faktor in der mehrstufigen Authentifizierung (nFactor)
In Citrix Gateway kann Endpoint Analysis (EPA) konfiguriert werden, um zu überprüfen, ob ein Benutzergerät bestimmte Sicherheitsanforderungen erfüllt und dem Benutzer dementsprechend den Zugriff auf interne Ressourcen ermöglicht. Das Endpoint Analysis-Plug-In wird heruntergeladen und auf dem Benutzergerät installiert, wenn sich Benutzer zum ersten Mal bei Citrix Gateway anmelden. Wenn ein Benutzer das Endpoint Analysis-Plug-In nicht auf dem Benutzergerät installiert, kann sich der Benutzer nicht mit dem Citrix Gateway-Plug-In anmelden.
Informationen zum Verständnis von EPA in nFactor-Konzepten finden Sie unter Konzepte und Entitäten, die für EPA in nFactor Authentication Through NetScaler verwendet werden.
In diesem Thema wird der EPA-Scan als erste Prüfung in einer nFactor- oder Multifaktor-Authentifizierung verwendet, gefolgt von der Anmeldung und dem EPA-Scan als abschließende Prüfung.
Der Benutzer stellt eine Verbindung mit der virtuellen IP-Adresse von Citrix Gateway her. Ein EPA-Scan wird gestartet. Wenn der EPA-Scan erfolgreich ist, wird der Benutzer die Anmeldeseite mit Benutzernamen und Kennwortfeldern für die LDAP- oder AD (Active Directory) -basierte Authentifizierung gerendert. Basierend auf dem Erfolg der Benutzeranmeldeinformationen wird der Benutzer zum nächsten EPA-Faktor umgeleitet.
Höchste Schritte in dieser Konfiguration
-
Wenn der Scan erfolgreich ist, wird der Benutzer mit einer Standardbenutzergruppe versehen oder markiert.
-
Die nächste Authentifizierungsmethode (LDAP) wird gewählt.
-
Basierend auf dem Ergebnis der Authentifizierung wird dem Benutzer der nächste Satz von Scan angezeigt.
Voraussetzungen
Es wird davon ausgegangen, dass folgende Konfiguration vorhanden ist.
- Konfigurationen virtueller VPN-Server/Gateway- und Authentifizierungsserver
- Authentifizierung, Autorisierung und Überwachung von Benutzergruppen (für standardmäßige und isolierte Benutzergruppen) und zugeordnete Richtlinien
- LDAP-Serverkonfigurationen und zugehörige Richtlinien
Konfiguration mit der CLI
-
Erstellen Sie eine Aktion zum Ausführen eines EPA-Scans, und ordnen Sie sie einer EPA-Scanrichtlinie zu.
add authentication epaAction SecondEPA_client_scan -csecexpr "sys.client_expr("proc_0_firefox")" <!--NeedCopy-->Der vorhergehende Ausdruck scannt, ob der Firefox-Prozess auf dem Clientcomputer ausgeführt wird.
add authentication Policy SecondEPA_check -rule true -action SecondEPA_client_scan <!--NeedCopy--> -
Konfigurieren Sie das Richtlinienlabel nach dem EPA-Scan, das die Richtlinie für den EPA-Scan hostet.
add authentication policylabel post-epa-scan -loginSchema LSCHEMA_INT <!--NeedCopy-->Hinweis: LSCHEMA_INT ist ein eingebautes Schema ohne Schema (Noschema), was bedeutet, dass dem Benutzer in diesem Schritt keine zusätzliche Webseite angezeigt wird.
-
Ordnen Sie die in Schritt 1 konfigurierte Richtlinie mit der in Schritt 2 konfigurierten Richtlinienbezeichnung zu.
bind authentication policylabel post-epa-scan -policyName SecondEPA_check - priority 100 -gotoPriorityExpression END <!--NeedCopy-->END gibt das Ende des Authentifizierungsmechanismus an.
-
Konfigurieren Sie die ldap-auth-Richtlinie und verknüpfen Sie sie mit einer LDAP-Richtlinie, die für die Authentifizierung mit einem bestimmten LDAP-Server konfiguriert ist.
add authentication Policy ldap-auth -rule true -action ldap_server1 ldap_server1 is LDAP policy and ldap-auth is policy name <!--NeedCopy--> -
Konfigurieren Sie die Richtlinienbezeichnung ldap-factor mit Anmeldeschema, um Benutzernamen und Kennwort für einzelne Faktoren zu erfassen.
add authentication policylabel ldap-factor -loginSchema LoginSchema/SingleAuth.xml <!--NeedCopy-->Hinweis: Ersetzen Sie durch das gewünschte Schema, falls Sie nicht in erstelltem Schema LoginSchema/SingleAuth.xml verwenden möchten
-
Ordnen Sie die in Schritt 4 konfigurierte Richtlinie mit der in Schritt 5 konfigurierten Richtlinienbezeichnung zu.
bind authentication policylabel ldap-factor -policyName ldap-auth -priority 100 -gotoPriorityExpression END -nextFactor post-epa-scan <!--NeedCopy-->END gibt das Ende des Authentifizierungsmechanismus für dieses Bein an, und NextFactor gibt den nächsten Faktor nach der Authentifizierung an.
-
Erstellen Sie eine Aktion zum Ausführen des EPA-Scans, und ordnen Sie sie einer EPA-Scanrichtlinie zu.
add authentication epaAction FirstEPA_client_scan –csecexpr “sys.client_expr("os_0_win7_sp_1")" -defaultEPAGroup default_group <!--NeedCopy-->Hier ist default_group eine vorkonfigurierte Benutzergruppe.
Der obige Ausdruck wird überprüft, ob Windows 7-Benutzer Service Pack 1 installiert haben.
add authentication Policy FirstEPA-check -rule true -action FirstEPA_client_scan <!--NeedCopy--> -
Verknüpfen Sie eine EPA-Scan-Richtlinie zu Authentifizierung, Autorisierung und Überwachung des virtuellen Servers mit dem nächsten Schritt, der auf die Richtlinienbezeichnung ldap-factor verweist, um den nächsten Schritt in der Authentifizierung durchzuführen.
bind authentication vserver MFA_AAA_vserver -policy FirstEPA-check -priority 100 -nextFactor ldap-factor -gotoPriorityExpression NEXT <!--NeedCopy-->
Konfiguration mit der GUI
-
Navigieren Sie zu Sicherheit > AAA-Anwendungsdatenverkehr > Richtlinien > Authentifizierung > Erweiterte Richtlinien > Aktionen > EPA.
Erster EPA-Scan, um nach automatischem Windows Update und einer Standardgruppe zu suchen
Zweiter EPA Scan zur Überprüfung des Firefox-Browsers
-
Erstellen Sie eine EPA-Richtlinie. Navigieren Sie zu Sicherheit > AAA-Anwendungsdatenverkehr > Richtlinien > Authentifizierung > Erweiterte Richtlinien > Richtlinie, und binden Sie die in Schritt 1 erstellte Aktion.
Richtlinie für den ersten EPA-Scan
Richtlinie für den zweiten EPA-Scan
Weitere Informationen zu Advanced EPA finden Sie unter Advanced Endpoint Analysis-Scans
-
Erstellen Sie einen nFactor-Flow. Navigieren Sie zu Sicherheit > AAA-Anwendungsverkehr > nFactor Visualizer > nFactor Flow und klicken Sie auf Hinzufügen.
Hinweis: nFactor Visualizer ist auf Firmware 13.0 und höher verfügbar.
-
Fügen Sie einen Faktor hinzu. Der eingegebene Name ist der Name des nFactor-Flows.
Für den EPA-Scan ist kein Schema erforderlich.
-
Klicken Sie auf Richtlinie hinzufügen, um eine Richtlinie für den ersten Faktor hinzuzufügen.
-
Wählen Sie die erste EPA-Richtlinie aus, die in Schritt 2 erstellt wurde.
-
Klicken Sie auf das grüne + Zeichen und fügen Sie den nächsten Faktor hinzu, also die LDAP-Authentifizierung.
-
Klicken Sie auf Schema hinzufügen, und klicken Sie dann auf Hinzufügen, um ein Schema für den zweiten Faktor hinzuzufügen.
-
Erstellen Sie ein Schema, in diesem Beispiel Single_Auth, und wählen Sie dieses Schema aus.
-
Klicken Sie auf Richtlinie hinzufügen, um eine LDAP-Richtlinie für die Authentifizierung hinzuzufügen.
Weitere Informationen zum Erstellen der LDAP-Authentifizierung finden Sie unter Konfigurieren der LDAP-Authentifizierung
-
Erstellen Sie den nächsten Faktor für den EPA-Scan nach der Authentifizierung.
-
Klicken Sie auf Richtlinie hinzufügen, wählen Sie SecondEPA_Check-Richtlinie aus, die in Schritt 2 erstellt wurde, und klicken Sie auf Hinzufügen.
-
Klicken Sie auf Fertig.
-
Klicken Sie auf An Authentifizierungsserver binden, wählen Sie den nFactor-Flow aus, und klicken Sie dann auf Erstellen.
Bindung des nFactor-Flows aufheben
-
Wählen Sie den nFactor-Flow aus und klicken Sie auf Bindungen anzeigen.
-
Wählen Sie den virtuellen Authentifizierungsserver aus und klicken Sie auf Binden aufheben.
