Citrix Gateway und Endpoint Management

Wenn Sie Citrix Endpoint Management für Citrix Gateway konfigurieren, richten Sie die Authentifizierungsmethode für den Remotegerätezugriff auf das interne Netzwerk ein. Mit dieser Funktionalität können Apps auf einem Mobilgerät auf Unternehmensserver im Intranet zugreifen. Endpoint Management erstellt ein Micro-VPN von den Apps auf dem Gerät zu Citrix Gateway.

Sie können den Citrix Gateway Service oder ein Citrix Gateway (NetScaler Gateway) im eigenen Rechenzentrum verwenden. Einen Überblick über diese beiden Citrix Gateway-Lösungen finden Sie unter Konfigurieren eines Citrix Gateway für Endpoint Management.

Konfigurieren der Authentifizierung für den Remotezugriff von Geräten auf das interne Netzwerk

  1. Klicken Sie in der Endpoint Management-Konsole auf das Zahnradsymbol rechts oben. Die Seite Einstellungen wird angezeigt.

  2. Klicken Sie unter Server auf Citrix Gateway. Die Seite Citrix Gateway wird angezeigt. In dem folgenden Beispiel ist eine Citrix Gateway-Instanz vorhanden.

    Citrix Gateway-Konfigurationsbildschirm

  3. Konfigurieren Sie folgende Einstellungen:

    • Authentifizierung: Wählen Sie aus, ob die Authentifizierung aktiviert werden soll. Die Standardeinstellung ist EIN.
    • Benutzerzertifikat für Authentifizierung bereitstellen: Wählen Sie aus, ob Endpoint Management das Authentifizierungszertifikat zusammen mit Secure Hub verwenden soll. Mit einem gemeinsam genutzten Zertifikats kann Citrix Gateway die Clientzertifikatauthentifizierung verarbeiten. Die Standardeinstellung ist AUS.
    • Anmeldeinformationsanbieter: Klicken Sie in der Liste auf den gewünschten Anmeldeinformationsanbieter. Weitere Informationen finden Sie unter Anmeldeinformationsanbieter.
  4. Klicken Sie auf Speichern.

Hinzufügen einer Citrix Gateway-Instanz

Nach dem Speichern der Authentifizierungseinstellungen fügen Sie Endpoint Management eine Citrix Gateway-Instanz hinzu.

  1. Klicken Sie in der Endpoint Management-Konsole auf das Zahnradsymbol rechts oben. Die Seite Einstellungen wird angezeigt.

  2. Klicken Sie unter Server auf Citrix Gateway. Die Seite Citrix Gateway wird angezeigt.

  3. Sie können den Citrix Gateway Service oder ein Citrix Gateway im eigenen Rechenzentrum hinzufügen. Zum Hinzufügen eines on-premises Gateway fahren Sie mit dem nächsten Schritt fort. Zum Hinzufügen von Gateway Service klicken Sie auf Hinzufügen und wählen Gateway Service hinzufügen. Die Seite Citrix Gateway-Dienst hinzufügen wird angezeigt. Legen Sie diese Einstellungen fest.

    Citrix Gateway-Konfigurationsbildschirm

    • Externe URL: Geben Sie die öffentlich zugängliche URL für Citrix Gateway ein. Beispiel: https://url.com.
    • Als Standard setzen: Wählen Sie aus, ob die Citrix Gateway-Instanz als Standard verwendet werden soll. Die Standardeinstellung ist EIN.
    • Ressourcenstandort: Bei Verwendung von Secure Mail erforderlich. Legen Sie den Ressourcenstandort für den STA-Dienst fest. Der Ressourcenstandort muss ein konfiguriertes Citrix Gateway enthalten. Wenn Sie später einen für den Gateway-Dienst konfigurierten Ressourcenstandort entfernen möchten, aktualisieren Sie diese Einstellung.

    Nach Abschluss der Einstellungen klicken Sie auf Speichern. Die neue Citrix Gateway-Instanz wird hinzugefügt und in der Tabelle angezeigt. Zum Bearbeiten oder Löschen einer Instanz klicken Sie auf deren Namen in der Liste.

  4. Zum Hinzufügen eines on-premises Gateway klicken Sie auf Hinzufügen und wählen On-Premises Gateway hinzufügen. Die Seite Neues Citrix Gateway hinzufügen wird angezeigt.

    Citrix Gateway-Konfigurationsbildschirm

    Konfigurieren Sie folgende Einstellungen:

    • Name: Geben Sie einen Namen für die Citrix Gateway-Instanz ein.
    • Alias: Geben Sie optional einen Aliasnamen für Citrix Gateway ein.
    • Externe URL: Geben Sie die öffentlich zugängliche URL für Citrix Gateway ein. Beispiel: https://receiver.com.
    • Anmeldetyp: Wählen Sie einen Anmeldetyp. Zur Auswahl stehen Domäne und Sicherheitstoken, Zertifikat und Domäne und Zertifikat und Sicherheitstoken. Der Standardwert des Felds Kennwort erforderlich ändert sich je nach der Auswahl unter Anmeldetyp. Die Standardeinstellung ist Nur Domäne.

    Wenn Sie mehrere Domänen haben, verwenden Sie Zertifikat und Domäne. Weitere Informationen finden Sie unter Konfigurieren der Authentifizierung für mehrere Domänen.

    Wenn Sie Zertifikat und Sicherheitstoken verwenden, müssen Sie zur Unterstützung von Secure Hub einige zusätzliche Konfigurationen auf dem Citrix Gateway ausführen. Weitere Informationen finden Sie unter Configuring Endpoint Management for Certificate and Security Token Authentication.

    Weitere Informationen finden Sie unter Authentifizierung im Bereitstellungshandbuch.

    • Kennwort erforderlich: Wählen Sie aus, ob die Kennwortauthentifizierung erzwungen werden soll. Der Standardwert variiert je nach gewähltem Anmeldetyp.
    • Als Standard setzen: Wählen Sie aus, ob die Citrix Gateway-Instanz als Standard verwendet werden soll. Die Standardeinstellung ist AUS.
    • Konfigurationsskript exportieren: Klicken Sie auf die Schaltfläche, um ein Konfigurationspaket zu exportieren, das Sie in Citrix Gateway hochladen und zur Konfiguration der Endpoint Management-Einstellungen verwenden. Weitere Informationen finden Sie im Anschluss an diese Schritte unter “Konfigurieren eines Citrix Gateway für Endpoint Management”.
  5. Klicken Sie auf Speichern.

    Die neue Citrix Gateway-Instanz wird hinzugefügt und in der Tabelle angezeigt. Zum Bearbeiten oder Löschen einer Instanz klicken Sie auf deren Namen in der Liste.

Konfigurieren eines on-premises Citrix Gateway für Endpoint Management

Zum Konfigurieren eines lokalen Citrix Gateway für Endpoint Management führen Sie die folgenden, im vorliegenden Artikel erläuterten allgemeinen Schritte aus:

  1. Laden Sie ein Skript und zugehörige Dateien vom Endpoint Management-Server herunter. Aktuelle und detaillierte Anweisungen finden Sie in der Readmedatei des Skripts.

  2. Vergewissern Sie sich, dass Ihre Umgebung die Voraussetzungen erfüllt.

  3. Aktualisieren Sie das Skript gemäß Ihrer Umgebung.

  4. Führen Sie das Skript auf Citrix Gateway aus.

  5. Testen Sie die Konfiguration.

Mit dem Skript werden die folgenden, für Endpoint Management erforderlichen, Citrix Gateway-Einstellungen konfiguriert:

  • Virtuelle Citrix Gateway-Server für MDM und MAM
  • Sitzungsrichtlinien für virtuelle Citrix Gateway-Server
  • Endpoint Management-Serverdetails
  • Proxy-Load-Balancer für die Zertifikatüberprüfung
  • Authentifizierungsrichtlinien und Aktionen für den virtuellen NSG-Server Das Skript beschreibt die Einstellungen der LDAP-Konfiguration.
  • Datenverkehrsaktionen und Richtlinien für den Proxyserver
  • Profil für den clientlosen Zugriff
  • Statischer lokaler DNS-Eintrag auf Citrix Gateway
  • Andere Bindungen: Dienstrichtlinie, ZS-Zertifikat

Mit dem Skript wird folgende Konfiguration nicht erstellt:

  • Exchange-Lastausgleich
  • Citrix Files-Lastausgleich
  • ICA-Proxykonfiguration
  • SSL-Offload

Voraussetzungen für die Verwendung des Skripts zur Citrix Gateway-Konfiguration

Sie können ein on-premises Citrix Gateway für Endpoint Management konfigurieren, indem Sie ein Skript aus Endpoint Management exportieren. Anschließend führen Sie das Skript in Citrix Gateway aus.

Anforderungen für ein on-premises Citrix Gateway:

  • Citrix Gateway (Mindestversion 11.0, Build 70.12).
  • Citrix Gateway-IP-Adresse ist konfiguriert und verfügt über Konnektivität mit dem LDAP-Server (es sei denn, für LDAP ist ein Lastausgleich eingerichtet).
  • Citrix Gateway-Subnetz-IP-Adresse (SNIP) ist konfiguriert, verfügt über Konnektivität mit den erforderlichen Back-End-Servern und über Zugriff auf das öffentliche Netzwerk über Port 8443/TCP.
  • DNS kann öffentliche Domänen auflösen.
  • Citrix Gateway ist per Plattform-/Universell- oder Testlizenz lizenziert. Weitere Informationen finden Sie unter https://support.citrix.com/article/CTX126049.
  • Ein Citrix Gateway-SSL-Zertifikat wurde hochgeladen und in Citrix Gateway installiert. Weitere Informationen finden Sie unter https://support.citrix.com/article/CTX136023.

Anforderungen für Endpoint Management:

  • LDAP-Server ist konfiguriert.

Herunterladen des Skriptpakets und Aktualisieren des Skripts gemäß der Umgebung

  1. Hinzufügen eines Citrix Gateway-Geräts zu Endpoint Management:

    • Beim Onboarding im Assistenten für die Erstkonfiguration.
    • Nach dem Onboarding in Einstellungen > Citrix Gateway.
  2. Zum Herunterladen des Skriptpakets wählen Sie ein Citrix Gateway-Gerät, klicken auf Konfigurationsskript exportieren und anschließend auf Herunterladen.

    Die Schaltfläche Konfigurationsskript exportieren wird auch auf der Seite angezeigt, auf der Sie ein Citrix Gateway hinzufügen.

    Das Skriptpaket enthält Folgendes:

    • Infodatei mit detaillierten Anweisungen
    • Skript mit den NetScaler-CLI-Befehlen zum Konfigurieren der erforderlichen Komponenten in NetScaler
    • Öffentliches Stamm-ZS-Zertifikat und Zwischenzertifikat
    • Skript mit den NetScaler-CLI-Befehlen zum Entfernen der NetScaler-Konfiguration
  3. Laden Sie die Zertifikatdateien aus dem Skriptpaket auf das NetScaler Gateway-Gerät hoch und installieren Sie sie im Verzeichnis /nsconfig/ssl/.

    Citrix Gateway-Konfigurationsbildschirm

    Die folgenden Beispiele zeigen, wie das Stammzertifikat installiert wird.

    Citrix Gateway-Konfigurationsbildschirm

    Citrix Gateway-Konfigurationsbildschirm

    Citrix Gateway-Konfigurationsbildschirm

    Citrix Gateway-Konfigurationsbildschirm

    Installieren Sie auf jeden Fall sowohl das Stammzertifikat als auch das Zwischenzertifikat.

  4. Ersetzen in dem Skript “OfflineNSGConfigtBundle_CREATESCRIPT” alle Platzhalter durch Informationen über Ihre Umgebung.

    Citrix Gateway-Konfigurationsbildschirm

  5. Führen Sie das bearbeitete Skript in der NetScaler-Bash-Shell gemäß den Anweisungen in der im Skriptpaket enthaltenen Readmedatei aus. Zum Beispiel:

    /netscaler/nscli -U :<NetScaler Management Username>:<NetScaler Management Password> batch -f "/var/OfflineNSGConfigtBundle_CREATESCRIPT.txt"

    Citrix Gateway-Konfigurationsbildschirm

    Nach Abschluss der Skriptausführung werden die folgenden Zeilen angezeigt:

    Citrix Gateway-Erfolgsbildschirm

Testen der Konfiguration

Führen Sie zum Überprüfen der Konfiguration folgende Schritte aus:

  1. Überprüfen Sie, ob für den virtuellen Citrix Gateway-Server der Zustand UP angezeigt wird.

    Citrix Gateway-Statusbildschirm

  2. Überprüfen Sie, ob für den virtuellen Lastausgleichsserver der Zustand UP angezeigt wird.

    Citrix Gateway-Statusbildschirm

  3. Öffnen Sie einen Webbrowser, stellen Sie eine Verbindung mit der Citrix Gateway-URL her und versuchen Sie, sich zu authentifizieren. Wenn die Authentifizierung gelingt, werden Sie an einen HTTP-404-Fehler (nicht gefunden) weitergeleitet.

  4. Registrieren Sie ein Gerät für MDM und MAM.

Konfigurieren der Authentifizierung für mehrere Domänen

Wenn Sie mehrere Endpoint Management-Instanzen haben (z. B. für die Test-, die Entwicklungs- und die Produktionsumgebung), müssen Sie Citrix Gateway für die zusätzlichen Umgebungen manuell konfigurieren. (Sie können den NetScaler für XenMobile-Assistenten nur einmal ausführen.)

Konfigurieren von Citrix Gateway

Führen Sie zum Konfigurieren von Citrix Gateway-Authentifizierungsrichtlinien und einer Sitzungsrichtlinie für eine Umgebung mit mehreren Domänen folgende Schritte aus:

  1. Erweitern Sie im Konfigurationsprogramm für Citrix Gateway auf der Registerkarte Configuration die Optionen Citrix Gateway > Policies > Authentication.
  2. Klicken Sie im Navigationsbereich auf LDAP.
  3. Klicken Sie zum Bearbeiten des LDAP-Profils. Ändern Sie Server Logon Name Attribute in userPrincipalName bzw. das Attribut, das Sie für Suchen verwenden möchten. Notieren Sie sich das angegebene Attribut. Sie geben es beim Konfigurieren von LDAP-Einstellungen in der Endpoint Management-Konsole an.

    Citrix Gateway-Konfigurationsbildschirm

  4. Wiederholen Sie diese Schritte für jede LDAP-Richtlinie. Für jede Domäne ist eine separate LDAP-Richtlinie erforderlich.
  5. Geben Sie in der an den virtuellen Citrix Gateway-Server gebundenen Sitzungsrichtlinie zu Edit session profile > Published Applications. Stellen Sie sicher, dass Single Sign-On Domain leer ist.

Endpoint Management-Konfiguration

Konfigurieren von Endpoint Management-LDAP für eine Umgebung mit mehreren Domänen:

  1. Gehen Sie in der Endpoint Management-Konsole zu Einstellungen > LDAP und fügen Sie ein Verzeichnis hinzu bzw. wählen Sie eines zum Bearbeiten aus.

    Endpoint Management-Bildschirm für LDAP-Einstellungen

  2. Geben Sie die Informationen an.

    • Geben Sie unter Domänenalias jede Domäne an, die für die Benutzerauthentifizierung verwendet werden soll. Trennen Sie die Domänen durch Kommas ohne Leerzeichen ab. Beispiel: domäne1.com,domäne2.com,domäne3.com

    • Stellen Sie sicher, dass die Angabe im Feld Benutzersuche nach mit der Angabe unter Server Logon Name Attribute in der LDAP-Richtlinie von Citrix Gateway übereinstimmt.

    Endpoint Management-Bildschirm für LDAP-Einstellungen

Verwerfen eingehender Verbindungsanforderungen an bestimmte URLs

Wenn Citrix Gateway in Ihrer Umgebung für SSL-Offload konfiguriert ist, soll das Gateway möglicherweise eingehende Verbindungsanforderungen für bestimmte URLs verwerfen. Wenn Sie diese zusätzliche Sicherheit wünschen, wenden Sie sich an Citrix Cloud Operations und fordern Sie an, dass Ihre IP-Adresse zu Ihren On-Premises-Rechenzentren auf eine Positivliste gesetzt wird.