Citrix ADC

Konfigurieren der Vorauthentifizierung und des EPA-Scans nach der Authentifizierung als Faktor in nFactor-Authentifizierung

January 19, 2021

Beigesteuert von:

In Citrix Gateway kann Endpoint Analysis (EPA) konfiguriert werden, um zu überprüfen, ob ein Benutzergerät bestimmte Sicherheitsanforderungen erfüllt und dem Benutzer dementsprechend den Zugriff auf interne Ressourcen ermöglicht. Das Endpoint Analysis-Plug-In wird heruntergeladen und auf dem Benutzergerät installiert, wenn sich Benutzer zum ersten Mal bei Citrix Gateway anmelden. Wenn ein Benutzer das Endpoint Analysis-Plug-In nicht auf dem Benutzergerät installiert, kann sich der Benutzer nicht mit dem Citrix Gateway-Plug-In anmelden.

Weitere Informationen zu EPA in nFactor Konzepten finden Sie unter Konzepte und Entitäten, die für EPA in nFactor Authentication über NetScaler verwendet werden.

In diesem Thema wird der EPA-Scan als erste Prüfung in einer nFactor- oder Multifaktor-Authentifizierung verwendet, gefolgt von der Anmeldung und dem EPA-Scan als abschließende Prüfung.

Darstellung des EPA-Scans, der als Erstüberprüfung in nFactor- oder Multifaktor-Authentifizierung verwendet wird

Der Benutzer stellt eine Verbindung mit der virtuellen IP-Adresse von Citrix Gateway her. Ein EPA-Scan wird gestartet. Wenn der EPA-Scan erfolgreich ist, wird der Benutzer die Anmeldeseite mit Benutzernamen und Kennwortfeldern für die LDAP- oder AD (Active Directory) -basierte Authentifizierung gerendert. Basierend auf dem Erfolg der Benutzeranmeldeinformationen wird der Benutzer zum nächsten EPA-Faktor umgeleitet.

Höchste Schritte in dieser Konfiguration

Wenn der Scan erfolgreich ist, wird der Benutzer mit einer Standardbenutzergruppe versehen oder markiert.
Die nächste Authentifizierungsmethode (LDAP) wird gewählt.
Basierend auf dem Ergebnis der Authentifizierung wird dem Benutzer der nächste Satz von Scan angezeigt.

Voraussetzungen

Es wird davon ausgegangen, dass folgende Konfiguration vorhanden ist.

Konfigurationen virtueller VPN-Server/Gateway- und Authentifizierungsserver
Authentifizierung, Autorisierung und Überwachung von Benutzergruppen (für standardmäßige und isolierte Benutzergruppen) und zugeordnete Richtlinien
LDAP-Serverkonfigurationen und zugehörige Richtlinien

Konfiguration mit der CLI

Erstellen Sie eine Aktion zum Ausführen eines EPA-Scans, und ordnen Sie sie einer EPA-Scanrichtlinie zu.
```
add authentication epaAction SecondEPA_client_scan -csecexpr "sys.client_expr("proc_0_firefox")"
```
Der vorhergehende Ausdruck scannt, ob der Firefox-Prozess auf dem Clientcomputer ausgeführt wird.
```
add authentication Policy SecondEPA_check -rule true -action SecondEPA_client_scan
```
Konfigurieren Sie das Richtlinienlabel nach dem EPA-Scan, das die Richtlinie für den EPA-Scan hostet.
```
add authentication policylabel post-epa-scan -loginSchema LSCHEMA_INT
```
Hinweis: LSCHEMA_INT ist ein eingebautes Schema ohne Schema (Noschema), was bedeutet, dass dem Benutzer in diesem Schritt keine zusätzliche Webseite angezeigt wird.
Ordnen Sie die in Schritt 1 konfigurierte Richtlinie mit der in Schritt 2 konfigurierten Richtlinienbezeichnung zu.
```
bind authentication policylabel post-epa-scan -policyName SecondEPA_check - priority 100 -gotoPriorityExpression END
```
END gibt das Ende des Authentifizierungsmechanismus an.
Konfigurieren Sie die ldap-auth-Richtlinie und verknüpfen Sie sie mit einer LDAP-Richtlinie, die für die Authentifizierung mit einem bestimmten LDAP-Server konfiguriert ist.
```
add authentication Policy ldap-auth -rule true -action ldap_server1

ldap_server1 is LDAP policy and ldap-auth is policy name
```
Konfigurieren Sie die Richtlinienbezeichnung ldap-factor mit Anmeldeschema, um Benutzernamen und Kennwort für einzelne Faktoren zu erfassen.
```
add authentication policylabel ldap-factor -loginSchema LoginSchema/SingleAuth.xml
```
Hinweis: Ersetzen Sie durch das gewünschte Schema, falls Sie nicht in erstelltem Schema LoginSchema/SingleAuth.xml verwenden möchten
Ordnen Sie die in Schritt 4 konfigurierte Richtlinie mit der in Schritt 5 konfigurierten Richtlinienbezeichnung zu.
```
bind authentication policylabel ldap-factor -policyName ldap-auth -priority 100 -gotoPriorityExpression END -nextFactor post-epa-scan
```
END gibt das Ende des Authentifizierungsmechanismus für dieses Bein an, und NextFactor gibt den nächsten Faktor nach der Authentifizierung an.
Erstellen Sie eine Aktion zum Ausführen des EPA-Scans, und ordnen Sie sie einer EPA-Scanrichtlinie zu.
```
add authentication epaAction FirstEPA_client_scan –csecexpr “sys.client_expr("os_0_win7_sp_1")" -defaultEPAGroup default_group
```
Hier ist default_group eine vorkonfigurierte Benutzergruppe.

Der obige Ausdruck wird überprüft, ob Windows 7-Benutzer Service Pack 1 installiert haben.
```
add authentication Policy FirstEPA-check -rule true -action FirstEPA_client_scan
```
Verknüpfen Sie eine EPA-Scan-Richtlinie zu Authentifizierung, Autorisierung und Überwachung des virtuellen Servers mit dem nächsten Schritt, der auf die Richtlinienbezeichnung ldap-factor verweist, um den nächsten Schritt in der Authentifizierung durchzuführen.
```
bind authentication vserver MFA_AAA_vserver -policy FirstEPA-check -priority 100 -nextFactor ldap-factor -gotoPriorityExpression NEXT
```

Konfiguration mit der GUI

Navigieren Sie zu Sicherheit > AAA-Anwendungsdatenverkehr > Richtlinien > Authentifizierung > Erweiterte Richtlinien > Aktionen > EPA.

Erster EPA-Scan, um nach automatischem Windows Update und einer Standardgruppe zu suchen

Zweiter EPA Scan zur Überprüfung des Firefox-Browsers
Erstellen Sie eine EPA-Richtlinie. Navigieren Sie zu Sicherheit > AAA-Anwendungsdatenverkehr > Richtlinien > Authentifizierung > Erweiterte Richtlinien > Richtlinie, und binden Sie die in Schritt 1 erstellte Aktion.

Richtlinie für den ersten EPA-Scan

Richtlinie für den zweiten EPA-Scan

Weitere Informationen zu Advanced EPA finden Sie unterErweiterte Endpunktanalysescans
Erstellen Sie einen nFactor-Flow. Navigieren Sie zu Sicherheit > AAA-Application Traffic > nFactor Visualizer > nFactor Flow und klicken Sie auf Hinzufügen.

Hinweis: nFactor Visualizer ist auf Firmware 13.0 und höher verfügbar.
Fügen Sie einen Faktor hinzu. Der eingegebene Name ist der Name des nFactor-Flows.

Für den EPA-Scan ist kein Schema erforderlich.
Klicken Sie auf Richtlinie hinzufügen, um eine Richtlinie für den ersten Faktor hinzuzufügen.
Wählen Sie die erste EPA-Richtlinie aus, die in Schritt 2 erstellt wurde.
Klicken Sie auf das grüne + Zeichen und fügen Sie den nächsten Faktor hinzu, also die LDAP-Authentifizierung.
Klicken Sie auf Schema hinzufügen, und klicken Sie dann auf Hinzufügen, um ein Schema für den zweiten Faktor hinzuzufügen.
Erstellen Sie ein Schema, in diesem Beispiel Single_Auth, und wählen Sie dieses Schema aus.
Klicken Sie auf Richtlinie hinzufügen, um eine LDAP-Richtlinie für die Authentifizierung hinzuzufügen.

Weitere Informationen zum Erstellen der LDAP-Authentifizierung finden Sie unterKonfigurieren der LDAP-Authentifizierung
Erstellen Sie den nächsten Faktor für den EPA-Scan nach der Authentifizierung.
Klicken Sie auf Richtlinie hinzufügen, wählen Sie SecondEPA_Check-Richtlinie aus, die in Schritt 2 erstellt wurde, und klicken Sie auf Hinzufügen.
Klicken Sie auf Fertig.
Klicken Sie auf An Authentifizierungsserver binden, wählen Sie den nFactor-Flow aus, und klicken Sie dann auf Erstellen.

Bindung des nFactor-Flows aufheben

Wählen Sie den nFactor-Flow, und klicken Sie auf Bindungen anzeigen.
Wählen Sie den virtuellen Authentifizierungsserver aus, und klicken Sie auf Bindung aufheben.

Die offizielle Version dieses Inhalts ist auf Englisch. Für den einfachen Einstieg wird Teil des Inhalts der Citrix Dokumentation maschinell übersetzt. Citrix hat keine Kontrolle über maschinell übersetzte Inhalte, die Fehler, Ungenauigkeiten oder eine ungeeignete Sprache enthalten können. Es wird keine Garantie, weder ausdrücklich noch stillschweigend, für die Genauigkeit, Zuverlässigkeit, Eignung oder Richtigkeit von Übersetzungen aus dem englischen Original in eine andere Sprache oder für die Konformität Ihres Citrix Produkts oder Ihres Diensts mit maschinell übersetzten Inhalten gegeben, und jegliche Garantie, die im Rahmen der anwendbaren Endbenutzer-Lizenzvereinbarung oder der Vertragsbedingungen oder einer anderen Vereinbarung mit Citrix gegeben wird, dass das Produkt oder den Dienst mit der Dokumentation übereinstimmt, gilt nicht in dem Umfang, in dem diese Dokumentation maschinell übersetzt wurde. Citrix kann nicht für Schäden oder Probleme verantwortlich gemacht werden, die durch die Verwendung maschinell übersetzter Inhalte entstehen können.

Konfigurieren der Vorauthentifizierung und des EPA-Scans nach der Authentifizierung als Faktor in nFactor-Authentifizierung

January 19, 2021

Beigesteuert von:

January 19, 2021

Beigesteuert von: