ADC

Notas de lanzamiento para la versión 13.1-42.47 de NetScaler

April 15, 2024

Contribución de:

Este documento de notas de la versión describe las mejoras y los cambios, los problemas resueltos y conocidos que existen en la versión 13.1-42.47 de NetScaler.

Notas

Este documento de notas de la versión no incluye correcciones relacionadas con la seguridad. Para obtener una lista de correcciones y avisos relacionados con la seguridad, consulte el boletín de seguridad.

Novedades

Las mejoras y los cambios que están disponibles en la compilación 13.1-42.47.

Administración de bots

Soporte para detener las descargas de reputación IP en la configuración del bot

Tras inhabilitar la función de reputación IP, defina el perfil no intrusivo predeterminado en BOT_BYPASS en la configuración de administración de bots de NetScaler. Esta configuración detiene las descargas de reputación IP.

Para cambiar la configuración de administración de bots, vaya a Seguridad > Administración de bots de Citrix > Cambiar la configuración de administración de bots de Citrix.

[ NSBOT-1050, NSHELP-34310, NSHELP-33835, NSHELP-34410 ]
Aparecen nuevas infracciones de bots en la GUI de NetScaler Console

Las siguientes infracciones de bots se han introducido recientemente en la GUI de NetScaler Console:
- Sin encabezado de agente de usuario
- Varios encabezados de agentes de usuario
Un servidor de aplicaciones utiliza la información del encabezado del agente de usuario para obtener más información sobre una solicitud entrante. Algunas solicitudes de bots pueden tener varios encabezados de agente de usuario o ningún encabezado de agente de usuario. Puede detectar estas infracciones de bots mediante un perfil de administración de bots de NetScaler. A continuación, utilice la GUI de NetScaler Console para supervisar las infracciones de los bots. Para obtener más información, consulte Categorías de infracciones.

[ NSBOT-1023 ]

Dispositivo NetScaler SDX

La compatibilidad con SD-WAN ha quedado obsoleta en el Servicio de Administración

A partir de la versión 13.1, compilación 42.x y versiones posteriores, la compatibilidad con SD-WAN ha quedado obsoleta en el dispositivo NetScaler SDX.

[ NSSVM-5465 ]
Los campos “Gateway” y “Nexthop” son opcionales al aprovisionar o modificar el VPX

En un servicio de administración de dispositivos NetScaler SDX, los campos Gateway y Nexthop ya no son obligatorios para aprovisionar, modificar, realizar copias de reserva o restaurar VPX cuando se cumplen las siguientes condiciones:
- Se cumple una de las siguientes opciones:
  - La opción “Administrar a través de la red interna” está habilitada para VPX.
  - La dirección IP VPX se encuentra en la misma subred que la dirección IP del servicio de administración.
- VPX se suministra con las versiones 13.0-88.9 o 13.1-37.8 y sus versiones superiores.
Para obtener más información, consulte Aprovisionar instancias de NetScaler.

[ NSSVM-5307 ]

NetScaler Gateway

Soporte para habilitar la propagación de bits DF para EDT de forma predeterminada

En el dispositivo NetScaler Gateway, la aplicación de bits DF para la opción EDT path maximum transmission unit discovery (PMTUD) ahora está habilitada de forma predeterminada. Esta opción evita la fragmentación del EDT, que podría provocar una degradación del rendimiento o la imposibilidad de establecer una sesión. Anteriormente, esta opción estaba inhabilitada de forma predeterminada. Los administradores tenían que habilitar la opción mediante la configuración de los parámetros ICA.

[CGOP-22615 ]

Web App Firewall NetScaler

Utilice la CLI o la API para habilitar las firmas en su NetScaler Web App Firewall

Ahora puede habilitar firmas individuales en su NetScaler Web App Firewall mediante comandos de CLI o llamadas a la API. Para ello, seleccione las firmas por sus ID o categorías y, a continuación, defina las acciones. Antes, solo podía habilitar las firmas cargando un archivo de firmas.

Ejemplo 1:

import appfw signature DEFAULT object_name -sigRuleId 1001 9882 2000 1250 810 -Enabled ON -Action LOG BLOCK

Ejemplo 2:
import appfw signature DEFAULT object_name -sigCategory web-misc -Enabled ON -Action LOG BLOCK

Consulte Para agregar firmas individuales mediante la CLI.

[ NSWAF-9333 ]
Nuevos patrones de coincidencia para las firmas de NetScaler Web App Firewall

Para las firmas de NetScaler Web App Firewall, ahora puede seleccionar los siguientes patrones de coincidencia nuevos:
- Inyección de
- Gramática de inyección SQL
- Gramática de la inyección
NetScaler Web App Firewall busca el patrón seleccionado y clasifica el ataque.

Nota: Puede modificar los patrones de las reglas de firma solo para las firmas personalizadas.

Para obtener más información, consulte Agregar patrones de reglas de firma.

[ NSWAF-9280 ]
Configure listas globales para omitir el WAF o denegar las solicitudes

Ahora puede configurar listas globales en un perfil de NetScaler Web App Firewall para omitir Web App Firewall o denegar las solicitudes. Si las solicitudes entrantes coinciden con la lista de omisiones global, omiten Web App Firewall de NetScaler. Si las solicitudes entrantes coinciden con la lista global de denegaciones, NetScaler Web App Firewall bloquea esas solicitudes y aplica la acción definida.

Las listas de omisión y denegación admiten direcciones URL, IPv4 e IPv6. Puede especificarlos mediante literales, PCRE y expresiones. Para obtener más información, consulte Administrar listas globales para omitir las solicitudes de WAF o denegar.

[ NSWAF-8981 ]
Se simplificó la creación de perfiles de NetScaler Web App Firewall para protegerlos de los CVE

Proteja su dispositivo NetScaler aplicando la firma adecuada en el NetScaler Web App Firewall. Es posible que desee proteger el dispositivo de los CVEs sin realizar ninguna otra comprobación de seguridad. En este caso, ahora puede crear un perfil que inhabilite las comprobaciones restantes del NetScaler Web App Firewall.

En un perfil de NetScaler Web App Firewall, seleccione la opción CVE como predeterminada. Con esta opción, solo tiene que agregar y vincular una firma. Inhabilita automáticamente las comprobaciones restantes. Antes, había que inhabilitar manualmente las comprobaciones de seguridad del perfil una por una.

Para obtener más información, consulte Creación de perfiles de Web App Firewall.

[ NSWAF-8970 ]

Plataforma

Soporte para VMware vSphere 8.0.0b

La instancia de NetScaler VPX ahora es compatible con VMware vSphere 8.0.0b (compilación 20513097).

[ NSPLAT-25844 ]
Soporte para múltiples servicios con el mismo grupo de Autoscaling en la nube pública

Para la función de escalado automático de fondo en la nube pública, la instancia NetScaler VPX ahora admite varios servicios con el mismo grupo de escalado automático. Esta función es compatible con las nubes de Azure, AWS y GCP. En la GUI de NetScaler, puede crear diferentes perfiles de nube para diferentes servicios (con diferentes puertos) con el mismo grupo de escalado automático en la nube.

Anteriormente, el soporte de instancias de NetScaler VPX estaba limitado a un solo servicio por grupo de escalado automático. Tenías que agregar diferentes grupos de ajuste de escala automático para diferentes servicios.

[ NSPLAT-21596 ]
Compatibilidad con la NIC Mellanox ConnectX-4 con SR-IOV en el hipervisor VMware ESXi

La instancia NetScaler VPX ahora admite la NIC Mellanox ConnectX-4 con SR-IOV en el hipervisor VMware ESXi.

[ NSPLAT-20295 ]

Directivas

Aumento del límite de patrones que se pueden vincular a un conjunto de patrones

En un dispositivo NetScaler, ahora puede vincular 50 000 patrones a un conjunto de patrones. Con el archivo de conjunto de patrones, solo se pueden vincular 10000 patrones a un conjunto de patrones. Además, si el conjunto de patrones se usa en la transmisión, solo se pueden vincular 5000 patrones a ese conjunto de patrones. Se utiliza un patrón establecido para la transmisión en el parámetro de búsqueda de acciones de reescritura, el cuerpo HTTP o la expresión basada en la carga útil de TCP. Anteriormente, solo se podían vincular 5000 patrones a un conjunto de patrones.

[ NSPOLICY-2733 ]
Soporte para todas las expresiones asociadas a los encabezados y cargas UDP en el lado del cliente y del servidor

Se han realizado las siguientes mejoras para los encabezados y cargas UDP del lado del cliente y del servidor:
- Las expresiones asociadas al protocolo UDP se dividen en expresiones del lado del cliente y del lado del servidor.
- Anteriormente, el soporte solo estaba disponible para las expresiones del lado del cliente y las mismas expresiones se usaban para el lado del servidor.
- El protocolo UDP ahora admite expresiones del lado del servidor. Esta expresión se puede utilizar para extraer el puerto de origen, el puerto de destino, la longitud, la suma de comprobación y la carga útil de UDP.
- Las expresiones del lado del cliente también se han mejorado para extraer la longitud, la suma de verificación y la carga útil de un paquete UDP determinado.
- Por motivos de compatibilidad con versiones anteriores, si se usa una expresión del lado del cliente en el lado del servidor, se sigue admitiendo. Citrix recomienda utilizar las expresiones del lado del servidor para el lado del servidor.
Para obtener más información, consulte Expresiones para datos de TCP, UDP y VLAN.

[ NSPOLICY-1829 ]

SSL

Soporte para la validación de certificados con firma cruzada

El dispositivo NetScaler ahora admite la validación de certificados con firma cruzada. Si un certificado está firmado por varios emisores, la validación se realiza si hay al menos una ruta válida al certificado raíz.

Anteriormente, si uno de los certificados de la cadena de certificados estaba firmado de forma cruzada y tenía varias rutas al certificado raíz, el dispositivo ADC solo comprobaba si había una ruta. Y si esa ruta no era válida, la validación falló.

[ NSSSL-11259 ]

Sistema

Soporte para exportar métricas directamente a Prometheus desde el dispositivo NetScaler

NetScaler ahora admite la exportación directa de métricas a Prometheus. Con esta función, Prometheus extrae métricas directamente de las instancias de NetScaler sin necesidad de ningún exportador externo. Anteriormente, se necesitaba un recurso exportador externo al dispositivo para exportar las métricas de NetScaler al servidor Prometheus.

Para obtener más información, consulte Supervisión de NetScaler y aplicaciones mediante Prometheus.

[ NSBASE-17100 ]

Interfaz de usuario

Soporte de límite de carga de 8 MB para la API de NITRO systemfile

El límite máximo de carga de la API de NITRO systemfile se ha incrementado de 2 MB a 8 MB.

[ NSCONFIG-7089 ]
Compatibilidad con valores numéricos de 64 bits en las respuestas de la API de NITRO

Anteriormente, el dispositivo NetScaler devolvía un valor entero sin signo o un valor de tipo de propiedad largo como cadena en la respuesta de la API de NITRO porque no se admitía la respuesta de enteros para estos tipos. Además, el dispositivo devolvió un valor de datos doble de tipo stats-counter-rate como un entero.

Las API de NITRO ahora admiten números enteros de 64 bits. Esta compatibilidad permite que el dispositivo devuelva lo siguiente en las respuestas de la API de NITRO:
- el valor entero exacto en lugar de una cadena para un tipo de datos entero largo o entero sin signo.
- el valor exacto de la velocidad del contador serializado en lugar de un entero.
Se largeintsupport ha introducido un nuevo parámetro de consulta para habilitar la compatibilidad con enteros de 64 bits en las API de NITRO.

Cuando largeintsupport se establece yes en una solicitud de API de NITRO, el dispositivo NetScaler devuelve el valor entero exacto en la respuesta de la API de NITRO. La funcionalidad anterior se conserva cuando largeintsupport se establece en no, que también es la configuración predeterminada.

[ NSCONFIG-5399 ]

Problemas resueltos

Los problemas que se abordan en la compilación 13.1-42.47.

Autenticación, autorización y auditoría

Cuando se actualiza un dispositivo NetScaler, los usuarios no pueden acceder al dispositivo NetScaler mediante la autenticación RADIUS.

[ NSHELP-33200 ]
En la GUI de NetScaler, la sección Directivas de respuesta de la página Servidor virtual de autenticación no muestra las directivas de caché del tipo de respuesta.

[ NSHELP-33111 ]
La autenticación de Gateway a través del cliente CWA o de los clientes VPN nativos puede fallar porque faltan cadenas en el patset ns_aaa_relaystate_param_whitelist.

[ NSHELP-33054 ]
La suplantación del SSO de Kerberos con tipos de cifrado avanzados puede fallar si se utiliza un nombre principal de usuario incorrecto en las credenciales de SSO.

[ NSHELP-32890, NSHELP-34087 ]

Administración de bots

El dispositivo NetScaler se bloquea al procesar la firma de un bot si el formato del archivo de firma no es válido.

[ NSHELP-33690 ]
En la GUI de NetScaler, la firma del bot definida por el usuario muestra una versión base incorrecta.

[ NSHELP-33546 ]

Dispositivo NetScaler SDX

Al actualizar un dispositivo NetScaler SDX, en raras ocasiones aparece el siguiente evento incorrecto en la GUI del servicio de administración:

“La versión SVM y la versión de Hypervisor no son compatibles”

[ NSHELP-32949 ]

NetScaler Gateway

Un dispositivo NetScaler Gateway se bloquea al evaluar una directiva para una URL de VPN.

[ NSHELP-33683, CGOP-20369, NSHELP-34002, NSHELP-34030, NSHELP-34052, NSHELP-34076, NSHELP-34077, NSHELP-34100, NSHELP-34151, NSHELP-34180, NSHELP-34243, NSHELP-34276, NSHELP-34327, NSHELP-34402 ]
Tras actualizar un dispositivo NetScaler, las URL del proxy RDP no funcionan con el tema del portal X1 y aparece el mensaje
“No se encontró el objeto Http/1.1”.

[ NSHELP-33676, NSHELP-33845, NSHELP-33921, NSHELP-34032 ]
Cuando se actualiza un dispositivo NetScaler, es posible que el dispositivo se bloquee al procesar el tráfico UDP.

[ NSHELP-33417, NSHELP-34031 ]
Tras actualizar un dispositivo NetScaler, las URL del proxy RDP dejan de estar accesibles y aparece el mensaje de error “No se encuentra el objeto Http/1.1”. Este problema se produce cuando los parámetros personalizados de las URL de RDP contienen espacios.

[ NSHELP-33333 ]
En una configuración de alta disponibilidad de NetScaler Gateway, los dispositivos principal y secundario pueden fallar durante una conmutación por error.

[ NSHELP-33198, NSHELP-33483 ]
Es posible que algunas de las sesiones de VPN se borren o eliminen del dispositivo ADC secundario tras una conmutación por error.

[ NSHELP-33125 ]
El dispositivo NetScaler Gateway podría bloquearse si HDX Insight está activado y el usuario inicia sesión en StoreFront inmediatamente después de cerrar sesión.

[ NSHELP-32907, NSHELP-33079, NSHELP-33289 ]
En raras ocasiones, el dispositivo NetScaler podría bloquearse al buscar un monitor STA en una implementación de VPN.

[ NSHELP-32893 ]
Tras actualizar un dispositivo NetScaler Gateway, la sección Configuración > Integrar con los productos de NetScaler no aparece en la GUI de NetScaler.

[ NSHELP-32335 ]
El escaneo de la EPA para comprobar el certificado de CA de un dispositivo cliente falla en el dispositivo NetScaler cuando los certificados de CA son de diferentes dominios.

[ NSHELP-32118 ]
El complemento Citrix EPA para macOS se bloquea cuando se habilita el GSLB en un dispositivo NetScaler.

[CGOP-22722]

Web App Firewall NetScaler

En NetScaler Web App Firewall, al habilitar la transmisión y las comprobaciones de coherencia de los campos, se retrasa la transferencia de la carga al servidor de origen. Como resultado, se produce un error en el método POST para la carga útil.

[ NSHELP-33700 ]
La redirección de secuestro de cookie elimina los parámetros de la consulta de la URL de la solicitud. Como resultado, la solicitud redirigida podría fallar.

[ NSHELP-33633, NSHELP-33812 ]

Equilibrio de carga

El nodo secundario puede bloquearse si utiliza el mismo servidor virtual GSLB como respaldo para varios servidores virtuales GSLB.

[ NSHELP-33400, NSHELP-34247 ]
El dispositivo NetScaler no responde con la dirección IP de servicio correcta para la consulta de dominio GSLB si se configuran los siguientes parámetros en el servidor virtual de GSLB:
1. La opción ECS está habilitada.
2. La proximidad estática está configurada como método de equilibrio de carga.
[ NSHELP-32879 ]

Redes

En una configuración de alta disponibilidad en modo INC, cuando hay una discrepancia entre la versión HA, el nodo secundario puede aprender rutas no válidas del nodo principal.

[ NSHELP-33948 ]
En un dispositivo NetScaler con el enrutamiento OSPF configurado, la ruta predeterminada no se instala incluso cuando está presente la ruta predeterminada de OSPF LSA.

[ NSHELP-33070 ]
Es posible que las instancias de nstrace de algunos paquetes entrantes de una sesión SSH muestren incorrectamente un número de interfaz de recepción y un ID de VLAN diferentes cuando se cumplan todas las condiciones siguientes:
- Las rutas ECMP para el cliente de la sesión SSH están presentes en el dispositivo NetScaler.
- La sesión SSH permanece inactiva durante unos segundos.
[ NSHELP-32734 ]
Es posible que no se pueda cargar el archivo SNMP MIB dataStreamRateLimitHit en una herramienta matutina de red porque el nombre de la captura SNMP del archivo no aparece en mayúsculas y minúsculas.

[ NSHELP-32634 ]
En una configuración de NAT 64 a gran escala, el dispositivo NetScaler podría bloquearse debido a un problema de discordancia del motor de paquetes interno.

[ NSHELP-31985 ]
En una configuración de GSLB con una de las direcciones IP del sitio GSLB configurada en una partición de administración, las solicitudes ARP de esta dirección IP del sitio GSLB desde los enrutadores ascendentes no llegan a la partición de administración. Este problema se produce cuando se cumplen todas las condiciones siguientes:
- Una VLAN compartida está enlazada a la partición de administración.
- En la VLAN compartida hay una dirección IP de SNIP, por ejemplo, SNIP-1, en la misma subred que la dirección IP del sitio GSLB.
- Se agrega otra dirección IP de SNIP, por ejemplo, SNIP-2, en la misma subred que la dirección IP del sitio GSLB y se elimina el SNIP-1.
[ NSHELP-30552 ]

Plataforma

Para una versión 13.1 de NetScaler VPX, compilación 37.38, en el hipervisor VMware ESX con interfaces VMXNET3, se observa el siguiente comportamiento en la configuración de HA:

El par HA NetScaler VPX no está configurado porque la comunicación entre los nodos HA no está establecida. Como resultado, el estado del nodo homólogo se muestra como DESCONOCIDO.

[ NSPLAT-25677 ]
Al proporcionar datos de usuario previos al arranque en una plantilla de OVF del cliente ESX vSphere, el host de ESXi no aplica la configuración de prearranque.

[ NSPLAT-24233, NSPLAT-25551 ]
La resolución de DNS falla si configura más de tres nombres de servidores DNS en la opción DHCP establecida en AWS VPC. Este problema se observa en las instancias de NetScaler VPX con versiones anteriores a la 13.1, compilación 42.x.

[ NSHELP-33171 ]
En la plataforma NetScaler SDX 8015/8400/8600, es posible que observe un aumento en el consumo de memoria en el servidor Xen.

[ NSHELP-32260 ]
Es posible que experimente bloqueos de transmisión en un dispositivo NetScaler SDX con una interfaz de 10G cuando se envía mucho tráfico a esta interfaz.

[ NSHELP-31232 ]

SSL

Un servidor virtual se bloquea debido a una conexión TLS1.3 fallida, porque el dispositivo NetScaler se queda sin memoria y se produce un error en una solicitud de asignación de memoria al iniciar un protocolo de enlace de TLS 1.3.

Con esta solución, se produce un error en la conexión TLS 1.3, pero el dispositivo no se bloquea.

[ NSSSL-12200 ]
Un servidor virtual puede finalizar incorrectamente un protocolo de enlace de TLS 1.3 con una decrypt_error alerta si se cumplen las siguientes condiciones:
- El cliente se autentica con un certificado.
- El servidor virtual está configurado para realizar una comprobación del estado del certificado mediante OCSP o una CRL.
- El cliente envía los mensajes Certificate y CertificateVerify en el mismo registro TLS.
[ NSHELP-33355 ]
Tras desvincular el cifrado DEFAULT, al inhabilitar una versión de protocolo en un servidor virtual y, posteriormente, intentar vincular un cifrado con el protocolo que figura en la descripción, aparece el siguiente mensaje de error.

No usable ciphers configured on the SSL vserver/service

Este mensaje es incorrecto porque el cifrado es compatible con otros protocolos que están habilitados en el servidor virtual. Por ejemplo:

Nombre de cifrado: TLS1-ECDHE-RSA-AES256-SHA
Description: SSLv3 Kx=ECC-DHE Au=RSA Enc=AES(256) Mac=SHA1 HexCode=0xc014

Este cifrado es compatible con todos los protocolos a partir de SSLv3 (SSLv3, TLS1, TLS11, TLS12). Al inhabilitar SSLv3 en un servidor virtual y, a continuación, intentar vincular este cifrado a ese servidor virtual, aparece la advertencia aunque los protocolos TLS1, TLS11 y TLS12 sigan habilitados en el servidor virtual.

Con esta corrección, la advertencia solo aparece cuando no se admite un cifrado para la configuración.

[ NSHELP-32739 ]
El dispositivo NetScaler no permite configurar certificados con un fecha notBefore date anterior a 1970.

[ NSHELP-32677 ]
El dispositivo NetScaler podría bloquearse si se cumplen las siguientes condiciones:
- Un cliente envía los primeros datos del TLS1.3 del mensaje Client Hello a un servidor virtual SSL Insight.
- Los cifrados ECDHE están habilitados en este servidor virtual.
[ NSHELP-31560 ]

Sistema

Las aplicaciones del cliente que no cumplen con RFC (RFC 7230) pueden fallar tras una actualización a NetScaler 13.1. Este error se produce debido a una comprobación de cumplimiento obligatoria que se impone al dispositivo NetScaler para cumplir con la RFC 7230.

Como parte de la solución, esta comprobación de cumplimiento específica se mueve bajo el parámetro de perfil HTTP “-markRfc7230NonCompliantInval.“ Los clientes pueden inhabilitar esta comprobación de cumplimiento que se aplicaba anteriormente.

[ NSHELP-34046 ]
Un dispositivo NetScaler puede fallar cuando se cumplen las dos condiciones siguientes:
- El dispositivo de inspección de contenido envía una respuesta de restablecimiento (RST) al dispositivo ADC y uno de los recursos del Sistema de prevención de intrusiones (IPS) no se borra correctamente.
- Se accede al mismo recurso de IPS en transacciones posteriores.
[ NSHELP-33691 ]
En algunos casos, un dispositivo NetScaler puede fallar al procesar un acuse de recibo correctivo enviado por una conexión de servidor que se encuentra en estado TIME_WAIT.

[ NSHELP-33469 ]
Un dispositivo NetScaler puede fallar cuando intenta acceder a los recursos del ICAP liberado. Esta condición ocurre cuando el ICAP está en modo de modificación de respuesta (RESPMOD).

[ NSHELP-33403 ]
El dispositivo NetScaler no puede enviar datos de Logstream desde las particiones de forma coherente.

[ NSHELP-33237 ]
El dispositivo NetScaler cancela la conexión cuando no puede analizar el valor fragmentado. Este problema se produce cuando el encabezado Transfer-Encoding tiene varios valores y Chunked no es el primer valor.

[ NSHELP-32420 ]
El dispositivo NetScaler podría bloquearse si procesa un paquete ACK correctivo relacionado con una conexión TCP del lado del servidor.

[ NSHELP-32290 ]
El dispositivo NetScaler configurado con un servicio SSL se bloquea cuando el dispositivo recibe un paquete de control TCP FIN seguido de un paquete de control TCP RESET.

[ NSHELP-31656 ]

Interfaz de usuario

Al crear un perfil de NetScaler Web App Firewall del tipo JSON e intenta actualizar la configuración del perfil, el objeto de error JSON muestra una lista vacía.

[ NSUI-18453 ]
Es posible que una cuenta de usuario del sistema vinculada a un conjunto de particiones de administración no pueda acceder a la partición predeterminada a través de las API de NITRO, incluso si la opción Permitir la partición predeterminada está habilitada como parte de la configuración global del sistema.

[ NSHELP-33990 ]
El enlace a los perfiles de administración de bots de NetScaler aparece incorrectamente en la página Administración del tráfico > Content Switching. Al hacer clic en ese enlace, se muestra una página en blanco. Este problema se produce si vincula una directiva de bots al servidor virtual de conmutación de contenido.

[ NSHELP-33697 ]
No se puede iniciar sesión en la GUI de NetScaler si el nombre de usuario o el nombre de dominio tienen un carácter especial.

[ NSHELP-33684 ]
Al borrar las configuraciones de NetScaler en ejecución, la sesión de administración de NetScaler creada por una configuración clásica de TACACS se desconecta incluso cuando el parámetro RBAconfig está establecido en NO.

[ NSHELP-33655 ]
Cuando un usuario ve el enlace en una directiva de cambio de contenido, los detalles del servidor virtual de conmutación de contenido no se muestran en la misma fila en Mostrar enlaces.

[ NSHELP-33149 ]
Soporte para la opción de apagado en la API de NITRO de apagado

La API de NITRO shutdown ahora dispone de la opción “-p now” para apagar y apagar un dispositivo NetScaler.

Ejemplo:

En el siguiente ejemplo de una solicitud de curl, se utiliza la API de NITRO shutdown con la opción “-p now” para apagar y apagar un dispositivo NetScaler que tenga la dirección IP 192.0.0.33.

`curl -v -X POST -H Content-Type: application/json -u nsroot:examplepassword http://192.0.0.33/nitro/v1/config/install?warning=yes -d ‘{“shutdown”: {“args”:”-p now”}}’`

[ NSHELP-32915 ]
Tras crear un perfil para NetScaler Web App Firewall e intentar generar el informe de configuración del firewall de aplicaciones en Sistema > Informes, aparece el siguiente error:

“No se pudo cargar el documento PDF”.

[ NSHELP-32469 ]
En la configuración del clúster, la opción TFTP no aparece en la lista de protocolos al crear un servidor virtual mediante la GUI de NetScaler.

[ NSHELP-32036 ]
En la GUI de NetScaler, la página Archivos de registro del sistema (Configuración > Sistema > Auditoría > Mensajes de Syslog) y la página de registros (Configuración > Autenticación > Registros) no pueden cargar los archivos de registro.

[ NSHELP-30868 ]
En la GUI de NetScaler, la pantalla de configuración entre guardado y ejecución (Sistema > Diagnóstico) muestra incorrectamente las etiquetas HTML en lugar de mostrar texto sin formato.

[ NSHELP-27169 ]
Al ver las directivas vinculadas a una etiqueta de directiva de cambio de contenido en la GUI de NetScaler, solo se muestran 25 directivas, aunque hay más directivas vinculadas a esa etiqueta de directiva.

[ NSHELP-23428 ]

Problemas conocidos

Los problemas que existen en la versión 13.1-42.47.

AppFlow

HDX Insight no informa de un error de inicio de aplicación causado por un usuario que intenta iniciar una aplicación o un escritorio a los que el usuario no tiene acceso.

[ NSINSIGHT-943 ]

Autenticación, autorización y auditoría

Los administradores no pueden realizar un registro personalizado de los errores de autenticación que se producen debido a credenciales no válidas. Este problema se produce porque las directivas de respuesta de NetScaler no detectan los errores de inicio de sesión.

[ NSAUTH-11151 ]
El perfil proxy ADFS se puede configurar en una implementación de clúster. El estado de un perfil proxy se muestra incorrectamente en blanco al ejecutar el siguiente comando.
show adfsproxyprofile <profile name>

Solución alternativa: conéctese al NetScaler principal activo del clúster y ejecute el comando show adfsproxyprofile <profile name>. Mostraría el estado del perfil de proxy.

[ NSAUTH-5916 ]
La página Configurar servidor LDAP de autenticación de la GUI de NetScaler deja de responder si sigue los pasos siguientes:
- Se abre la opción Probar accesibilidad LDAP.
- Las credenciales de inicio de sesión no válidas se rellenan y envían.
- Las credenciales de inicio de sesión válidas se rellenan y envían.
Solución alternativa: cierre y abra la opción Probar la accesibilidad de LDAP.

[ NSAUTH-2147 ]

Dispositivo NetScaler SDX

Las caídas de paquetes se observan en una instancia VPX alojada en un dispositivo NetScaler SDX si se cumplen las siguientes condiciones:
- El modo de asignación de rendimiento está en ráfaga.
- Existe una gran diferencia entre el rendimiento y la capacidad máxima de ráfaga.
[ NSHELP-21992 ]

NetScaler Gateway

Si los valores del Registro relacionados con Citrix Secure Access superan los 1500 caracteres, el recopilador de registros no puede recopilar los registros de errores.

[ NSHELP-33457 ]
Cuando se utiliza el controlador de la plataforma de filtrado de Windows (WFP), a veces el acceso a la intranet no funciona después de volver a conectar la VPN.

[ NSHELP-32978 ]
El cliente Citrix Secure Access, versión 21.7.1.2 y posteriores, no puede actualizar a versiones posteriores para los usuarios sin privilegios administrativos. Este problema solo se aplica si la actualización del cliente Citrix Secure Access se realiza desde un dispositivo NetScaler.

[ NSHELP-32793 ]
Cuando los usuarios hacen clic en la ficha Página principal de la pantalla de Citrix Secure Access para Windows, la página muestra el error de denegación de conexión.

[ NSHELP-32510 ]
En un dispositivo Mac que usa Chrome, la extensión VPN se bloquea al acceder a dos FQDN.

[ NSHELP-32144 ]
En algunos casos, la configuración de proxy vacía de las versiones 13.0 o 13.1 de NetScaler Gateway hace que Citrix SSO cree una configuración de proxy incorrecta.

[ NSHELP-31970 ]
El control del registro de depuraciones para el cliente de Citrix Secure Access ahora es independiente de NetScaler Gateway y se puede habilitar o inhabilitar desde la interfaz de usuario del complemento tanto para la máquina como para el túnel de usuario.

[ NSHELP-31968 ]
Las conexiones directas a los recursos fuera del túnel establecido por Citrix Secure Access pueden fallar si se produce un retraso o una congestión significativos.

[ NSHELP-31598 ]
El mensaje personalizado de registro de errores de la EPA no se muestra en el portal de NetScaler Gateway. En su lugar, aparece el mensaje “error interno”.

[ NSHELP-31434 ]
A veces, el inicio de sesión automático de Windows no funciona cuando un usuario inicia sesión en la máquina con Windows en un modo de servicio siempre activo. El túnel de la máquina no pasa al túnel de usuario y aparece el mensaje “Conectando… “aparece en la interfaz de usuario del plug-in de VPN.

[ NSHELP-31357, CGOP-21192, NSHELP-34211 ]
Cuando se configura AlwaysOn, se produce un error en el túnel de usuario debido al número de versión incorrecto (1.1.1.1) en el archivo aoservice.exe.

[ NSHELP-30662 ]
Los usuarios no pueden conectarse al dispositivo NetScaler Gateway después de cambiar el parámetro “networkAccessOnVPNFailure” siempre en el perfil de “fullAccess” a “onlyToGateway”.

[ NSHELP-30236 ]
La página principal de la puerta de enlace no se muestra inmediatamente después de que el plug-in de puerta de enlace establezca el túnel VPN correctamente. Para solucionar este problema, se introduce el siguiente valor de Registro.

HKLMSoftwareCitrixSecure Access ClientSecureChannelResetTimeoutSeconds
Tipo: DWORD

De forma predeterminada, este valor de Registro no se establece ni se agrega. Cuando el valor de “SecureChannelResetTimeoutSeconds” es 0 o no se agrega, la solución para gestionar la demora no funciona, que es el comportamiento predeterminado. El administrador debe configurar este Registro en el cliente para habilitar la corrección (es decir, mostrar la página de inicio inmediatamente después de que el plug-in de puerta de enlace establezca correctamente el túnel VPN).

[ NSHELP-30189 ]
El cliente VPN de Windows no respeta la alerta de “notificación de cierre SSL” del servidor y envía la solicitud de inicio de sesión de transferencia en la misma conexión.

[ NSHELP-29675 ]
La autenticación de certificados de cliente falla para Citrix SSO para macOS si no hay certificados de cliente en el llavero de macOS.

[ NSHELP-28551 ]
A veces, se desactiva la sesión de un usuario en NetScaler Gateway en unos segundos cuando se establece el tiempo de espera por inactividad del cliente.

[ NSHELP-28404 ]
El plug-in de VPN no establece un túnel después del inicio de sesión de Windows si se cumplen las siguientes condiciones:
- El dispositivo NetScaler Gateway está configurado para la función Always On
- El dispositivo está configurado para la autenticación basada en certificados con la autenticación de dos factores “desactivada”
[ NSHELP-23584 ]
A veces, al navegar por los esquemas, aparece el mensaje de error “No se puede leer la propiedad ‘tipo’ indefinida”.

[ NSHELP-21897 ]
En una configuración de clúster de NetScaler, HDX Insight y Gateway Insight no se pueden habilitar simultáneamente.

[CGOP-23570 ]
La opción del sistema operativo Windows no aparece en la lista desplegable del Editor de expresiones para las directivas de autenticación previa y las acciones de autenticación en la GUI de NetScaler. Sin embargo, si ya configuró el escaneo del sistema operativo Widows en una compilación anterior de NetScaler mediante la GUI o la CLI, la actualización no afectará a la funcionalidad. Puede utilizar la CLI para realizar cambios, si es necesario.

Solución temporal:

Utilice los comandos de la CLI para la configuración.
- Para configurar la acción EPA avanzada en la autenticación nFactor, utilice el siguiente comando.
  add authentication epaAction adv_win_scan -csecexpr “sys.client_expr(“sys_0_WIN-OS_NAME_anyof_WIN-10[COMMENT: Windows OS]”)”
- Para configurar una acción de autenticación previa clásica, utilice los siguientes comandos.
  add aaa preauthenticationaction win_scan_action ALLOW
  add aaa preauthenticationpolicy win_scan_policy "CLIENT.SYSTEM('WIN-OS_NAME_anyof_WIN-10[COMMENT: Windows OS]') EXISTS" win_scan_action
[CGOP-22966 ]
Si quiere utilizar la funcionalidad Always On VPN antes de iniciar sesión en Windows, se recomienda actualizar a NetScaler Gateway 13.0 o posterior. Esto le permite aprovechar las mejoras adicionales introducidas en la versión 13.0 que no están disponibles en la versión 12.1.

[CGOP-19355 ]
El informe de Gateway Insight muestra incorrectamente el valor “Local” en lugar de “SAML” en el campo Tipo de autenticación para errores de SAML.

[CGOP-13584 ]
En una configuración de alta disponibilidad, durante la conmutación por error de NetScaler, el recuento de SR aumenta en lugar del recuento de conmutación por error en NetScaler Console.

[CGOP-13511 ]
Cuando se inicia una conexión ICA desde un receptor MAC versión 19.6.0.32 o Citrix Virtual Apps and Desktops versión 7.18, la función HDX Insight se inhabilita.

[CGOP-13494 ]
Cuando la función EDT Insight está habilitada, a veces los canales de audio pueden fallar durante una discrepancia de red.

[CGOP-13493 ]
Al aceptar conexiones de host local desde el navegador, el cuadro de diálogo Aceptar conexión para macOS muestra el contenido en inglés independientemente del idioma seleccionado.

[CGOP-13050 ]
El texto “Página de inicio” de la Aplicación Citrix SSO > Página de inicio aparece cortado en algunos idiomas.

[CGOP-13049 ]
Aparece un mensaje de error al agregar o modificar una directiva de sesión desde la GUI de NetScaler.

[CGOP-11830 ]
En Outlook Web App (OWA) 2013, al hacer clic en Opciones en el menú Configuración, aparece un cuadro de diálogo de error crítico. Además, la página deja de responder.

[CGOP-7269 ]

Equilibrio de carga

En una configuración de alta disponibilidad, es posible que las sesiones de suscriptor del nodo principal no se sincronicen con el nodo secundario. Este es un caso raro.

[ NSLB-7679 ]
El formato ServiceGroupName de la entityofstrampa para el grupo de servicios es el siguiente: <service(group)name>?<ip/DBS>?<port>

En el formato de captura, el grupo de servicios se identifica mediante una dirección IP o un nombre y puerto de DBS. El signo de interrogación (“? “) se usa como separador. NetScaler envía la captura con el signo de interrogación (“?”). El formato aparece igual en la GUI de NetScaler Console. Este es el comportamiento esperado.

[ NSHELP-28080 ]

Otros

Cuando se produce una sincronización forzada en una configuración de alta disponibilidad, el dispositivo ejecuta el comando set urlfiltering parameter en el nodo secundario.
Como resultado, el nodo secundario omite cualquier actualización programada hasta la siguiente hora programada mencionada en el parámetro “TimeOfDayToUpdateDB”.

[ NSSWG-849 ]
El Registro de la lista AlwaysOnAllow no funciona como se esperaba si el valor del registro es superior a 2000 bytes.

[ NSHELP-31836 ]
Un dispositivo NetScaler puede reiniciarse debido al estancamiento de la CPU de administración si se produce un problema de conectividad con el proveedor externo de filtrado de URL.

[ NSHELP-22409 ]

Redes

En un dispositivo NetScaler BLX compatible con DPDK, las VLAN etiquetadas no son compatibles con los puertos NIC DPDK Intel i350. Esto se observa, ya que es un problema conocido presente en el controlador DPDK.

[ NSNET-25299 ]
Es posible que un dispositivo NetScaler BLX con DPDK no se reinicie si se cumplen todas las condiciones siguientes:
- El dispositivo NetScaler BLX se asigna con un número bajo de hugepages. Por ejemplo, 1G.
- El dispositivo NetScaler BLX se asigna con una gran cantidad de procesos de trabajo. Por ejemplo, 28.
El problema se registra como un mensaje de error en “/var/log/ns.log “:
- BLX-DPDK:DPDK Mempool could Not be Initialized for PE-x
Nota: x es un número <= número de procesos de trabajo.

Solución alternativa: asigne un número elevado de dispositivos hugepages y, a continuación, reinícielo.

[ NSNET-25173 ]
Un dispositivo NetScaler BLX en modo DPDK puede tardar un poco más en reiniciarse debido a la funcionalidad de facilidad de DPDK.

[ NSNET-24449 ]
Las siguientes operaciones de interfaz no son compatibles con las interfaces X710 10G (i40e) de Intel en un dispositivo NetScaler BLX con DPDK:
- Disable
- Enable
- Restablecer
[ NSNET-16559 ]
La instalación de un dispositivo NetScaler BLX podría fallar en un host Linux basado en Debian (versión 18 y posteriores de Ubuntu) con el siguiente error de dependencia:

The following packages have unmet dependencies: blx-core-libs:i386 : PreDepends: libc6:i386 (>= 2.19) but it is not installable

Solución alternativa : ejecute los siguientes comandos en la CLI del host Linux antes de instalar un dispositivo NetScaler BLX:
- dpkg --add-architecture i386
- apt-get update
- apt-get install libc6:i386
[ NSNET-14602 ]
En algunos casos de conexiones de datos FTP, el dispositivo NetScaler solo realiza operaciones NAT y no procesamiento TCP en los paquetes para la negociación TCP MSS. Como resultado, la MTU de interfaz óptima no está configurada para la conexión. Esta configuración de MTU incorrecta provoca la fragmentación de los paquetes y afecta al rendimiento de la CPU.

[ NSNET-5233 ]
Es posible que el dispositivo NetScaler no genere mensajes de captura SNMP “coldStart” después de un reinicio en frío.

[ NSHELP-27917 ]
Cuando se cambia un límite de memoria de la partición de administración en el dispositivo NetScaler, el límite de memoria intermedia TCP se establece automáticamente en el nuevo límite de memoria de la partición de administración.

[ NSHELP-21082 ]

Plataforma

Algunos paquetes de Python no se instalan al cambiar el dispositivo NetScaler de la versión 13.1 a 4.x y versiones superiores a cualquiera de las siguientes versiones:
- Cualquier compilación 11.1
- 12.1-62.21 y anteriores
- 13.0-81.x y anteriores
[ NSPLAT-21691 ]
Al eliminar una configuración de escalabilidad automática o un conjunto de escalas de VM de un grupo de recursos de Azure, elimine la configuración del perfil de nube correspondiente de la instancia de NetScaler. Utilice el comando rm cloudprofile para borrar el perfil.

[ NSPLAT-4520 ]
En una configuración de alta disponibilidad en Azure, al iniciar sesión en el nodo secundario a través de la GUI, aparece la pantalla de usuario por primera vez (FTU) para la configuración del perfil de nube de escalabilidad automática.
Solución alternativa: omita la pantalla e inicie sesión en el nodo principal para crear el perfil de nube. El perfil de la nube siempre debe configurarse en el nodo principal.

[ NSPLAT-4451 ]

Directivas

Las conexiones pueden bloquearse si el tamaño de los datos de procesamiento es superior al tamaño del búfer TCP predeterminado configurado.

Solución alternativa: establezca el tamaño del búfer TCP en el tamaño máximo de los datos que deben procesarse.

[ NSPOLICY-1267 ]

SSL

En un clúster heterogéneo de dispositivos NetScaler SDX 22000 y NetScaler SDX 26000, se produce una pérdida de configuración de entidades SSL si se reinicia el dispositivo SDX 26000.

Solución temporal:
1. En el CLIP, inhabilite SSLv3 en todas las entidades SSL nuevas y existentes, como servidores virtuales, servicios, grupos de servicios y servicios internos. Por ejemplo: set ssl vserver <name> -SSL3 DISABLED.
2. Guarde la configuración.
[ NSSSL-9572 ]
No se puede agregar un objeto de Azure Key Vault si ya se ha agregado un objeto de autenticación de Azure Key Vault.

[ NSSSL-6478 ]
Puede crear varias entidades de la aplicación Azure con el mismo ID de cliente y secreto de cliente. El dispositivo NetScaler no devuelve ningún error.

[ NSSSL-6213 ]
El siguiente mensaje de error incorrecto aparece al quitar una clave HSM sin especificar KEYVAULT como tipo HSM.
ERROR: crl refresh disabled

[ NSSSL-6106 ]
La actualización automática de claves de sesión aparece incorrectamente como inhabilitada en una dirección IP de clúster (esta opción no se puede inhabilitar).

[ NSSSL-4427 ]
Si intenta cambiar el protocolo SSL o el cifrado del perfil SSL, aparece un mensaje de advertencia incorrecto, titulado “Advertencia: no hay cifrados utilizables configurados en el servidor o servicio SSL”.

[ NSSSL-4001 ]
Un tíquet de sesión caducado se respeta en un nodo que no es de CCO y en un nodo de alta disponibilidad después de una conmutación por error de alta disponibilidad.

[ NSSSL-3184, NSSSL-1379, NSSSL-1394 ]

Sistema

Se observa un RTT alto en una conexión TCP si se cumple la siguiente condición:
- se establece una ventana de congestión máxima alta (>4 MB)
- El algoritmo TCP NILE está activado
Para que un dispositivo NetScaler utilice el algoritmo NILE para el control de la congestión, las condiciones deben superar el umbral de inicio lento, que se combina con la ventana de congestión máxima

Por lo tanto, hasta que se alcance la ventana de congestión máxima configurada, el NetScaler sigue aceptando datos y termina con un RTT alto.

[ NSHELP-31548 ]
El valor MAX_CONCURRENT_STREAMS se establece en 100 de forma predeterminada si el dispositivo no recibe el marco de configuración max_concurrent_stream del cliente.

[ NSHELP-21240 ]
Los contadores mptcp_cur_session_without_subflow disminuyen incorrectamente a un valor negativo en lugar de cero.

[ NSHELP-10972 ]
En raras ocasiones, NetScaler podría iniciar una trama GoAway HTTP/2 con un error interno en una conexión de cliente HTTP/2 si se cumplen todas las condiciones siguientes:
- El cliente o el servidor backend intenta cerrar la última transmisión de WebSocket o Connect en la conexión HTTP/2 del cliente.
- La multiplexación está habilitada.
El error no afecta a las transacciones en curso en la conexión HTTP/2 del cliente.

Solución alternativa: inhabilite la multiplexación de conexiones para el perfil HTTP/2 relacionado mediante el siguiente comando:

set httpProfile <name> [-conMultiplex ( ENABLED | DISABLED )]

[ NSBASE-17449 ]
En una implementación de clúster, si ejecuta el comando “forzar la sincronización del clúster” en un nodo que no es de CCO, el archivo ns.log contiene entradas de registro duplicadas.

[ NSBASE-16304, NSGI-1293 ]
Al instalar NetScaler Console en un clúster de Kubernetes, no funciona como se esperaba porque es posible que no se inicien los procesos necesarios.

Solución alternativa: Reinicie el pod de administración.

[ NSBASE-15556 ]
La IP del cliente y la IP del servidor se invierten en el registro SkipFlow de HDX Insight cuando se configura el tipo de transporte LogStream para Insight

[ NSBASE-8506 ]

Interfaz de usuario

En la GUI de NetScaler, el enlace “Ayuda” que aparece en la ficha “Panel de control” está roto.

[ NSUI-14752 ]
El asistente Crear/Supervisar CloudBridge Connector podría dejar de responder o no configurar un conector de cloudbridge.

Solución alternativa: configure los conectores de Cloudbridge añadiendo perfiles IPSec, túneles IP y reglas de PBR mediante la GUI o la CLI de NetScaler.

[ NSUI-13024 ]
Si crea una clave ECDSA mediante la interfaz gráfica de usuario, no se muestra el tipo de curva.

[ NSUI-6838 ]
En una configuración de alta disponibilidad, las sesiones de usuario VPN se desconectan si se cumple la siguiente condición:
- Si se realizan dos o más operaciones de failover manual de alta disponibilidad sucesivas cuando la sincronización de alta disponibilidad está en curso.
Solución temporal: Realice sucesivas conmutaciones por error de HA manuales solo después de que se haya completado la sincronización de HA (ambos nodos se encuentran en el estado de sincronización correcta).

[ NSHELP-25598 ]
Si usted (administrador del sistema) realiza todos los pasos siguientes en un dispositivo NetScaler, es posible que los usuarios del sistema no inicien sesión en el dispositivo NetScaler degradado.
1. Actualice el dispositivo NetScaler a una de las compilaciones
  - 13.0 52.24 compilación
  - 12.1 57,18 compilación
  - 11.1 65.10 compilación
2. Agregar un usuario del sistema o cambiar la contraseña de un usuario del sistema existente y guardar la configuración, y
3. Rebaja la versión del dispositivo NetScaler a cualquier versión anterior.
Para mostrar la lista de estos usuarios del sistema mediante la CLI:
En la línea de comandos, escriba:

query ns config -changedpassword [-config <full path of the configuration file (ns.conf)>]

Solución temporal: Para corregir este problema, utilice una de las siguientes opciones independientes:
- Si el dispositivo NetScaler aún no se ha rebajado (paso 3 de los pasos mencionados anteriormente), revierta la versión del dispositivo NetScaler con un archivo de configuración del que se ha creado previamente una copia de seguridad (ns.conf) de la misma compilación de la versión.
- Cualquier administrador del sistema cuya contraseña no se haya cambiado en la compilación actualizada puede iniciar sesión en la compilación degradada y actualizar las contraseñas de otros usuarios del sistema.
- Si ninguna de las opciones anteriores funciona, el administrador del sistema puede restablecer las contraseñas de usuario del sistema.
Para obtener más información, consulte /en-us/citrix-adc/13/system/ns-ag-aa-intro-wrapper-con/ns-ag-aa-reset-default-amin-pass-tsk.html.

[ NSCONFIG-3188 ]

La versión oficial de este contenido está en inglés. Para mayor comodidad, parte del contenido de la documentación de Cloud Software Group solo tiene traducción automática. Cloud Software Group no puede controlar el contenido con traducción automática, que puede contener errores, imprecisiones o un lenguaje inadecuado. No se ofrece ninguna garantía, ni implícita ni explícita, en cuanto a la exactitud, la fiabilidad, la idoneidad o la precisión de las traducciones realizadas del original en inglés a cualquier otro idioma, o que su producto o servicio de Cloud Software Group se ajusten a cualquier contenido con traducción automática, y cualquier garantía provista bajo el contrato de licencia del usuario final o las condiciones de servicio, o cualquier otro contrato con Cloud Software Group, de que el producto o el servicio se ajusten a la documentación no se aplicará en cuanto dicha documentación se ha traducido automáticamente. Cloud Software Group no se hace responsable de los daños o los problemas que puedan surgir del uso del contenido traducido automáticamente.

Notas de lanzamiento para la versión 13.1-42.47 de NetScaler

April 15, 2024

Contribución de:

April 15, 2024

Contribución de: