Konfigurieren von Always On VPN vor der Windows-Anmeldung mithilfe der klassischen Richtlinie
Voraussetzungen
-
Citrix Gateway und VPN-Plug-In müssen Version 12.0.51.24 und höher sein
-
Mit der klassischen Richtlinie können Sie nur Tunnel auf Maschinenebene konfigurieren. Informationen zur Tunnelkonfiguration auf Benutzerebene finden Sie unter [Erweiterte Richtlinienkonfigurationsverknüpfung]
Konfigurieren von AlwaysOn-VPN vor der Windows-Anmeldung mithilfe der klassischen Richtlinie in der GUI
AlwaysOn VPN vor der Windows-Anmeldung unterstützt die folgenden zwei Konfigurationen:
- Gerätezertifikatauthentifizierung
- Clientzertifikatauthentifizierung
Gerätezertifikat-basierte Authentifizierung
- Navigieren Sie auf der Registerkarte Konfiguration zu Citrix Gateway > Virtuelle Server.
- Wählen Sie auf der Seite Virtuelle Citrix Gateway Server einen vorhandenen virtuellen Server aus, und klicken Sie auf Bearbeiten.
- Klicken Sie auf der Seite Virtuelle VPN-Server unter Grundeinstellungen auf Bearbeiten .
- Deaktivieren Sie das Kontrollkästchen Authentifizierung aktivieren, um die Authentifizierung zu deaktivieren, und aktivieren Sie das Gerätezertifikat, indem Sie das Kontrollkästchen Gerätezertifikat aktivieren aktivieren.
-
Klicken Sie auf Hinzufügen, um der Liste den Namen des CA-Zertifikats des Ausstellers des verfügbaren Gerätezertifikats hinzuzufügen.
-
Um ein Zertifizierungsstellenzertifikat an den virtuellen Server zu binden, klicken Sie im Abschnitt Zertifikat auf Zertifizierungsstellenzertifikat. Klicken Sie unter SSL Virtual Server CA-Zertifikatbindung auf Bindung hinzufügen.
-
Klicken Sie auf den Text, Klicken Sie, um das erforderliche Zertifikat auszuwählen.
-
Wählen Sie das erforderliche Zertifizierungsstellenzertifikat aus.
-
Klicken Sie auf Bind.
- Klicken Sie auf OK, um die Konfiguration zu speichern.
Clientzertifikat-basierte Authentifizierung
- Navigieren Sie auf der Registerkarte Konfiguration zu Citrix Gateway > Virtuelle Server.
- Wählen Sie auf der Seite Virtuelle Citrix Gateway Server einen vorhandenen virtuellen Server aus, und klicken Sie auf Bearbeiten.
- Klicken Sie im Navigationsbereich unter Authentifizierungauf CERT.
- Klicken Sie im Detailbereich auf Hinzufügen.
- Geben Sie im Feld Name einen Namen für die Richtlinie ein.
- Klicken Sie neben dem Server auf Neu .
- Geben Sie unter Name einen Namen für das Profil ein.
- Wählen Sie neben Two Factordie Option OFF aus.
- Wählen Sie unter Benutzername und Gruppenname die Werte aus, und klicken Sie dann auf Erstellen .
- Wählen Sie im Dialogfeld Authentifizierungsrichtlinie erstellen neben Benannte Ausdrücke den Ausdruck aus, klicken Sie auf Ausdruck hinzufügen, klicken Sie auf Erstellen und dann auf Schließen .
- Binden Sie den Ausdruck an den virtuellen Server.
- Navigieren Sie auf der Registerkarte Konfiguration zu Citrix Gateway > Virtuelle Server.
- Wählen Sie auf der Seite Virtuelle Citrix Gateway Server einen vorhandenen virtuellen Server aus, und klicken Sie auf Bearbeiten.
- Klicken Sie im Dialogfeld Citrix Gateway Virtual Server konfigurieren auf die Registerkarte Authentifizierung .
- Klicken Sie auf Primär und unter Details auf Richtlinie einfügen .
- Wählen Sie unter Richtlinienname die Richtlinie aus, und klicken Sie dann auf OK.
- Erstellen Sie auf der Seite Virtuelle VPN-Server ein SSL-Profil.
- Wählen Sie unter SSL-Neuverhandlung verweigerndie Option NONSECUREnur für nicht sichere Anforderungen aus.
- Klicken Sie auf OK.
Clientseitige Konfiguration
AlwaysOn-, LocationDetection- und SuffixList-Register sind optional und nur erforderlich, wenn die Standorterkennungsfunktion erforderlich ist.
| Registrierungsschlüssel | Registrierungstyp | Werte und Beschreibung |
|---|---|---|
| AlwaysOnService | REG_DWORD | 1 => AlwaysOn-Dienst ohne Benutzerpersona aktivieren; 2 => AlwaysOn-Dienst mit Benutzerpersona aktivieren |
| AlwayOnURL | REG SZ | URL des virtuellen Citrix Gateway-Serverbenutzers, mit dem eine Verbindung hergestellt werden soll. Beispiel: https://xyz.companyDomain.com
|
| AlwaysOn | REG_DWORD | 1 => Netzwerkzugriff bei VPN-Ausfall zulassen; 2=> Netzwerkzugriff bei VPN-Ausfall blockieren |
| locationDetection | REG_DWORD | 1 => So aktivieren Sie die Standorterkennung; 0 => So deaktivieren Sie die Standorterkennung |
| suffixList | REG SZ | Kommagetrennte Liste der Intranetdomänen. Wird verwendet, wenn die Standorterkennung aktiviert ist. |