Produktdokumentation
Citrix Gateway
Current Release 13.0 12.1
PDF anzeigen

Einrichten von Citrix Gateway für die Verwendung von Micro-VPN mit Microsoft Endpoint Manager

March 19, 2020
Beitrag von: 
C

Die Citrix Micro VPN-Integration in Microsoft Endpoint Management ermöglicht Ihren Apps den Zugriff auf lokale Ressourcen. Einzelheiten finden Sie unter Citrix Micro-VPN-Integration mit Microsoft Endpoint Manager.

Systemanforderungen

  • Citrix Gateway, Version 12.0.59.x oder 12.1.50.x oder höher.

    Sie können die neueste Version von Citrix Gateway von der Citrix Gateway-Downloadseite herunterladen.

  • Windows-Desktop mit Windows 7 oder höher (nur für das Umschließen von Android-Apps)

  • Microsoft
    • Azure AD-Zugriff (mit Mandantenadministratorberechtigung)
    • Intune-fähiger Mandant
  • Firewall-Regeln
    • Aktivieren einer Firewallregel für SSL-Datenverkehr von einer Citrix Gateway-Subnetz-IP zu *.manage.microsoft.com, https://login.microsoftonline.com und https://graph.windows.net(Port 443)
    • Citrix Gateway muss die vorherigen URLs extern auflösen können.

Voraussetzungen

  • Intune Umgebung: Wenn Sie keine Intune Umgebung haben, richten Sie eine ein. Anweisungen finden Sie in der Microsoft-Dokumentation.

  • Edge-Browser-App: Das Micro VPN SDK ist in die Microsoft Edge-App und die Intune Managed Browser App für iOS und Android integriert. Weitere Informationen zum Managed Browser finden Sie auf der Managed Browser-Seite von Microsoft.

Gewähren Sie Azure Active Directory (AAD) -Anwendungsberechtigungen

  1. Zustimmung zur Citrix Multitenant-AAD-Anwendung, um Citrix Gateway die Authentifizierung bei der AAD-Domäne zu ermöglichen. Der globale Azure-Administrator muss die folgende URL besuchen und zustimmen:

    https://login.windows.net/common/adminconsent?client_id=b6a53a76-5d50-499e-beb3-c8dbdad5c40b&redirect_uri=https://www.citrix.com&state=consent.

  2. Zustimmung zur Citrix Multitenant-AAD-Anwendung, damit mobile Anwendungen sich mit dem Citrix Gateway Micro VPN authentifizieren können. Dieser Link ist nur erforderlich, wenn der Azure Global Admin den Standardwert für Benutzer können Anwendungen von Ja auf Nein geändert hat. Diese Einstellung finden Sie im Azure-Portal unter Azure Active Directory > Benutzer > Benutzereinstellungen. Der globale Azure-Administrator muss die folgende URL und Zustimmung (fügen Sie Ihre Mandanten-ID hinzu)https://login.microsoftonline.com/[tenant_id]/adminconsent?client_id=9215b80e-186b43a1-8aed-9902264a5af7.

Konfigurieren von Citrix Gateway für Micro-VPN

Zur Verwendung von Micro-VPN in Intune müssen Sie Citrix Gateway für die Authentifizierung bei Azure AD konfigurieren. Ein vorhandener virtueller Citrix Gateway-Server kann in diesem Anwendungsfall nicht verwendet werden. Konfigurieren Sie Azure AD zunächst zur Synchronisierung mit dem On-Premises-Active Directory. Dieser Schritt ist erforderlich, um eine einwandfreie Authentifizierung zwischen Intune und Citrix Gateway sicherzustellen.

Download-Skript: Die ZIP-Datei enthält eine Readme-Datei mit Anweisungen zum Implementieren des Skripts. Sie müssen die erforderlichen Informationen manuell eingeben und das Skript auf dem Citrix Gateway ausführen, um den Dienst zu konfigurieren. Sie können die Skriptdatei aus dem herunterladenCitrix-Downloadseite.

Wichtig: Wenn Sie die Citrix Gateway Konfiguration abgeschlossen haben und der OAuth-Status außer COMPLETE angezeigt wird, lesen Sie den Abschnitt Problembehandlung.

Konfigurieren des Microsoft Edge-Browsers

  1. Melden Sie sich bei https://portal.azure.com/ an und navigieren Sie zu Intune > Mobile Apps.
  2. Veröffentlichen Sie die Edge-App wie gewohnt, und fügen Sie dann eine App-Konfigurationsrichtlinie hinzu.
  3. Klicken Sie unter Verwalten auf App-Konfigurationsrichtlinien.
  4. Klicken Sie auf Hinzufügen und geben Sie einen Namen für die Richtlinie ein, die Sie erstellen möchten. Wählen Sie unter Geräteregistrierung die Option Verwaltete Appsaus.
  5. Klicken Sie auf Associated App.
  6. Wählen Sie die Apps aus, auf die Sie die Richtlinie anwenden möchten (Microsoft Edge- oder Intune verwalteter Browser), und klicken Sie dann auf OK.
  7. Klicken Sie auf Konfigurationseinstellungen.
  8. Geben Sie im Feld Name den Namen einer der in der folgenden Tabelle aufgeführten Richtlinien ein.
  9. Geben Sie im Feld Wert den Wert ein, den Sie für diese Richtlinie anwenden möchten. Klicken Sie außerhalb des Felds, um die Richtlinie zur Liste hinzuzufügen. Sie können mehrere Richtlinien hinzufügen.
  10. Klicken Sie auf OK und dann auf Hinzufügen.

Die Richtlinie wird der Liste hinzugefügt.

Name (iOS/Android) Wert Beschreibung
MvpnGatewayAddress https://external.companyname.com Externe URL Ihres Citrix Gateway
MvpnNetworkAccess MvpnNetworkAccessTunneledWebSSO oder Unrestricted MvpnNetworkAccessTunneledWebSSO ist die Standardeinstellung für Tunneling
MVPNExcludeDomains Kommagetrennte Liste des auszuschließenden Domänennamens Optional. Standard=leer

Hinweis: Web SSO ist der Name für Secure Browse in den Einstellungen. Das Verhalten ist dasselbe.

  • MvpnNetworkAccess - MvpnNetworkAccessTunneledWebSSO aktiviert die HTTP/HTTPS-Umleitung über das Citrix Gateway, auch bekannt als Tunneled-Web-SSO. Das Gateway reagiert auf die Herausforderungen der HTTP-Authentifizierung inline und bietet eine einmalige Anmeldung (SSO) Erfahrung. Um Web SSO zu verwenden, legen Sie diese Richtlinie auf MvpnNetworkAccessTunneledWebSSO fest. Die vollständige Tunnelumleitung wird derzeit nicht unterstützt. Verwenden Sie Unrestricted, um das Micro-VPN-Tunneling zu verlassen.

  • MVPNExcludeDomains - Kommagetrennte Liste von Host- oder Domänennamen, die von der Weiterleitung über den Citrix Gateway Reverse Web Proxy ausgeschlossen werden sollen. Die Host- oder Domänennamen werden ausgeschlossen, obwohl die Citrix Gateway konfigurierten geteilten DNS-Einstellungen andernfalls die Domäne oder den Host auswählen können.

    Hinweis: Diese Richtlinie wird nur für MvpnNetworkAccessTunneledWebSSO-Verbindungen durchgesetzt. Wenn MvpnNetworkAccess den Wert Unrestricted hat, wird diese Richtlinie ignoriert.

Problembehandlung

Allgemeine Probleme

Problem Auflösung
Die Meldung “Richtlinie hinzufügen erforderlich” wird angezeigt, wenn Sie eine App öffnen Hinzufügen von Richtlinien in der Microsoft Graph -API
Es gibt Richtlinienkonflikte Nur eine einzelne Richtlinie pro App ist zulässig
Die Meldung “App konnte nicht gepackt werden” wird beim Umschließen einer App angezeigt. Die vollständige Nachricht finden Sie unter Die App ist in das Intune SDK integriert. Sie müssen die App nicht mit der Intune umschließen
Ihre App kann keine Verbindung zu internen Ressourcen herstellen Stellen Sie sicher, dass die richtigen Firewallports geöffnet sind, Sie die Mandanten-ID korrigieren usw.

Fehlermeldung: App konnte nicht gepackt werden:

Failed to package app. com.microsoft.intune.mam.apppackager.utils.AppPackagerException: This app already has the MAM SDK integrated. com.microsoft.intune.mam.apppackager.AppPackager.packageApp(AppPackager.java:113) com.microsoft.intune.mam.apppackager.PackagerMain.mainInternal(PackagerMain.java:198) com.microsoft.intune.mam.apppackager.PackagerMain.main(PackagerMain.java:56) The application cannot be wrapped.

Citrix Gateway-Probleme

Problem Auflösung
Die Berechtigungen, die für die Konfiguration der Gateway App in Azure erforderlich sind, sind nicht verfügbar. Überprüfen Sie, ob eine Intune-Lizenz verfügbar ist. Versuchen Sie, das Portal manage.windowsazure.com zu verwenden, um zu sehen, ob die Berechtigung hinzugefügt werden kann. Wenden Sie sich an den Microsoft-Support, wenn das Problem weiterhin besteht.
Citrix Gateway kann login.microsoftonline.comandgraph.windows.net nicht erreichen. Überprüfen Sie von NS Shell, ob Sie die folgende Microsoft-Website erreichen können: curl -v -khttps://login.microsoftonline.com. Überprüfen Sie dann, ob DNS auf Citrix Gateway konfiguriert ist. Überprüfen Sie auch, ob die Firewall-Einstellungen korrekt sind (falls DNS-Anforderungen Firewall sind).
Ein Fehler erscheint in ns.log nachdem Sie OAuthAction konfiguriert haben. Überprüfen Sie, ob die Intune-Lizenzierung aktiviert ist und die Azure Gateway-App über die richtigen Berechtigungen verfügt.
Der Befehl “OAuthAction” zeigt den OAuth-Status nicht als abgeschlossen an. Überprüfen Sie die DNS-Einstellungen und Berechtigungen für die Azure Gateway-App.
Auf dem Android- bzw. iOS-Gerät wird die Zweifaktor-Authentifizierungsaufforderung nicht angezeigt. Überprüfen Sie, ob das Zweifaktor-Geräte-ID-LogonSchema an den virtuellen Authentifizierungsserver gebunden ist.

Citrix Gateway OAuth-Status und Fehlerbedingung

Status Fehlerbedingung
AADFORGRAPH Ungültiger Schlüssel, URL nicht aufgelöst, Verbindungstimeout
MDMINFO *manage.microsoft.comist nicht erreichbar oder nicht erreichbar
GRAPH Graph-Endpunkt nicht erreichbar
CERTFETCH Kommunikation mit Token Endpoint: https://login.microsoftonline.com wegen eines DNS-Fehlers nicht möglich. Um diese Konfiguration zu validieren, gehen Sie zu shell und geben Sie curl einhttps://login.microsoftonline.com. Der Befehl muss validieren.

Hinweis: Wenn der OAuth-Status erfolgreich ist, wird der Status als COMPLETE angezeigt.

Einrichten von Citrix Gateway für die Verwendung von Micro-VPN mit Microsoft Endpoint Manager
March 19, 2020
Beitrag von: 
C
March 19, 2020
Beitrag von: 
C

In diesem Artikel

Feedback zur Site | Datenschutz und rechtliche Bestimmungen | Cookie-Einstellungen | Einstellungen für die Zustimmung
© 1999- Cloud Software Group, Inc. All rights reserved.