ADC

Notas de lanzamiento para la versión 13.0-84.11 de Citrix ADC

May 9, 2023

Contribución de:

Este documento de notas de la versión describe las mejoras y los cambios, los problemas resueltos y conocidos que existen en la versión 13.0-84.11 de Citrix ADC.

Notas

Este documento de notas de la versión no incluye correcciones relacionadas con la seguridad. Para obtener una lista de correcciones y avisos relacionados con la seguridad, consulte el boletín de seguridad de Citrix.
La compilación 13.0-84.11 reemplaza a la compilación 13.0-84.10.
Esta compilación también incluye una solución para el siguiente problema: NSWAF-8668.

Novedades

Las mejoras y los cambios que están disponibles en la compilación 13.0-84.11.

Autenticación, autorización y auditoría

Compatibilidad con las últimas versiones de las API NAC de Intune

La compatibilidad de Citrix Gateway para el control de acceso a redes (NAC) de Intune ahora se ha mejorado para las últimas versiones de las API NAC de Intune.

[ NSAUTH-9722 ]

Plataforma

Compatibilidad con los controladores Ethernet Intel de las series X710 y XL710 en el hipervisor Citrix

Ahora puede configurar una instancia Citrix ADC VPX que se ejecute en el hipervisor Citrix mediante la virtualización de E/S de raíz única (SR-IOV) con las siguientes NIC:
- Intel X710 10G
- Intel XL710 40G
[ NSPLAT-21410 ]

Problemas resueltos

Los problemas que se abordan en la compilación 13.0-84.11.

Autenticación, autorización y auditoría

El dispositivo Citrix ADC se bloquea si se configura la OTP de correo electrónico.

[ NSHELP-29312 ]
Un dispositivo Citrix ADC puede bloquearse si se cumplen las siguientes condiciones.
1. El dispositivo está bajo presión de memoria.
2. El registro de auditoría está habilitado y se establece como nivel INFO.
3. La autenticación del usuario está en curso.
[ NSHELP-29053 ]
Si el dispositivo Citrix ADC está configurado para el atributo de cookie SameSite y el atributo Domain para la autenticación, se produce un error en la autenticación. Esto ocurre porque el valor del atributo de cookie SameSite y el atributo Domain no están separados por punto y coma.

[ NSHELP-28971 ]
Un dispositivo Citrix ADC puede bloquearse si se cumplen las siguientes condiciones.
1. El dispositivo está bajo presión de memoria.
2. SAML se configura como uno de los métodos de autenticación.
[ NSHELP-28855 ]
La herramienta de cifrado OTP nativa no permite caracteres especiales en el nombre del dispositivo.

[ NSHELP-28795 ]
Se devuelve una URL de cierre de sesión (“/cgi/tmlogout”) incorrecta cuando se configura un servidor virtual VPN como SAML SP. El problema ocurre porque se genera una URL de cierre de sesión incorrecta en los metadatos SAML.

[ NSHELP-28726 ]
En algunos casos, en un entorno multinúcleo, el explorador del cliente no accede a los recursos detrás de un servidor virtual de autenticación, autorización y auditoría.

[ NSHELP-28474 ]
Cuando inicia sesión en el dispositivo Citrix ADC, aparece un campo de contraseña en blanco cuando se cumplen las dos condiciones siguientes.
- Se configura la autenticación de dos factores Duo
- Se utiliza el tema del portal RFwebUI
[ NSHELP-27868 ]
Los atributos de cookie de SameSite no se agregan a las cookies de autenticación si un dispositivo Citrix ADC está configurado para la autenticación basada en 401.

[ NSHELP-27764 ]
Cuando un usuario realiza un cierre de sesión de SAML, el cierre de sesión no se produce de inmediato y se muestra el siguiente mensaje de error:

“Se han encontrado mecanismos no compatibles en Assertion; póngase en contacto con su administrador. “

Este error se observa porque el IDP que configuró el cliente utiliza una técnica de codificación de URL diferente para codificar el parámetro del algoritmo de firma en la respuesta. Esta corrección ahora admite la codificación del parámetro del algoritmo de firma en una respuesta SAML mediante varias técnicas de codificación de URL.

[ NSHELP-27621 ]
En algunos casos, una solicitud HTTP POST a un servidor virtual de autenticación, autorización y auditing-TM se procesa de forma incorrecta si la solicitud no tiene una cookie de autenticación. El cuerpo POST se pierde durante el procesamiento.

[ NSHELP-27227 ]
En un caso poco frecuente, el nodo secundario en una configuración de alta disponibilidad puede bloquearse si se cumple la siguiente condición.
- Los “grupos aaa” y/o los “usuarios aaa” se configuran en el dispositivo Citrix ADC.
[ NSHELP-26732 ]

Administración de bots

Un dispositivo Citrix ADC puede bloquearse al utilizar la función URL de captura de bots generada automáticamente.

[ NSBOT-780 ]
La respuesta a una solicitud de la API de nitro “botprofile_captcha_binding” no contiene los valores de configuración de CAPTCHA predeterminados.

[ NSBOT-748 ]
La comprobación de URL de Bot Trap se activa en los clientes de la lista blanca.

[ NSBOT-581 ]
La técnica de detección de huellas dactilares del dispositivo bot falla si el valor del campo del encabezado del agente de usuario contiene la palabra clave “Android”.

[ NSBOT-577 ]

Dispositivo Citrix ADC SDX

Cuando el valor de la velocidad de la interfaz es superior a 4 Gbps, se devuelve un valor incorrecto debido a un desbordamiento de números enteros.

[ NSHELP-29658 ]
En un dispositivo Citrix ADC SDX, Management Service no envía notificaciones de syslog o correo electrónico si las fallas de la fuente de alimentación, el voltaje o el disco se producen más de una vez.

[ NSHELP-29443 ]
En las plataformas Citrix ADC SDX 14000-40G, 15000 y 15000-50G, se produce un error al configurar la velocidad de la interfaz mediante la CLI.

[ NSHELP-29388 ]
Al cambiar el perfil en una instancia de ADC alojada en la plataforma Citrix ADC SDX, es posible que observe algunas entradas adicionales para el comando “save config” en el archivo de registro.

[ NSHELP-29343 ]
En un dispositivo Citrix ADC SDX, un agente SNMP que se ejecuta en Management Service devuelve un código de error incorrecto para los OID inexistentes.

[ NSHELP-29209 ]

Citrix Gateway

El dispositivo Citrix ADC puede bloquearse durante el inicio de sesión de la VPN si una directiva de AppFlow con la regla HTTP está enlazada a Citrix Gateway.

[ NSHELP-28705 ]
Es posible que la página de inicio de sesión de Citrix Gateway no se cargue para los usuarios de 3G/con anclaje a red.

[ NSHELP-28367 ]
El dispositivo Citrix ADC podría bloquearse si se configura la EPA y no hay suficiente memoria disponible.

[ NSHELP-28329 ]
Es posible que vea una línea adicional para los registros NS_AUDITLOG_STR* en el archivo ns_aaa_json.c.

[ NSHELP-28160 ]
En casos excepcionales, la página del portal de Citrix Gateway no muestra el botón Descargar para el complemento EPA en el explorador Internet Explorer.

[ NSHELP-27849 ]
El registro de DNS no funciona después de que se establece la conexión VPN.

Para solucionar este problema, debe habilitar la perilla nsapimgr, nsapimgr_wr.sh -ys call=toggle_vpn_configured_dns_disable_override.

[ NSHELP-27760 ]
Al acceder al dispositivo Citrix Gateway mediante la VPN sin cliente, es posible que se genere un volcado de memoria.

[ NSHELP-27653 ]
Es posible que el dispositivo Citrix Gateway se bloquee al procesar el tráfico UDP iniciado por el servidor.

[ NSHELP-27611 ]
La localización del portal de Citrix Gateway no funciona con el explorador Internet Explorer.

[ NSHELP-26822 ]
La función de marcadores empresariales del portal de Citrix Gateway solo admite los siguientes protocolos. Todos los demás marcadores están bloqueados. http://, https://, rdp://y ftp://.

[ CGOP-19543 ]

Citrix Web App Firewall

Si utiliza firmas WAF, después de actualizar la compilación, debe actualizar todas las firmas WAF, incluidas las firmas predeterminadas, a la versión más reciente. A continuación, vuelva a habilitar las reglas de firma requeridas.

[ NSWAF-8668 ]
En algunos casos, un dispositivo Citrix ADC puede bloquearse cuando las URL de captura se generan automáticamente en el sistema de administración de bots.

[ NSHELP-29339 ]
El ID de firma de Web App Firewall 1048 bloquea la carga de la página de Citrix Gateway.

[ NSHELP-29113 ]

Equilibrio de carga

Se produce un error en la sincronización incremental de los comandos “agregar acción de DNS” y “agregar ubicación” con expresiones de directiva que contienen caracteres comodín.

[ NSHELP-29301 ]
El grupo de servicios GSLB no puede gestionar las actualizaciones del monitor debido a la falta de un valor ENUM en los comandos fallidos.

[ NSHELP-29050 ]
Si hay un registro DNS de tipo ZONE disponible para el dominio principal, la consulta del dominio secundario con un registro NS existente da como resultado un registro SOA del dominio principal en lugar del registro NS del dominio secundario.

[ NSHELP-28793 ]
Es posible que el dispositivo Citrix ADC no responda a una consulta de dominio GSLB con una dirección IP de servicio GSLB esperada si el servidor virtual GSLB está configurado de la siguiente manera: Tipo de
persistencia: dirección IP de origen Algoritmo de equilibrio de
carga: proximidad estática Método de equilibrio de carga de
respaldo: tiempo de ida y vuelta (RTT)

[ NSHELP-28668 ]
Los sitios VPX principal y secundario se bloquearon tras configurar el grupo de servicios GSLB con Autoscale habilitado.

[ NSHELP-28530 ]
Un dispositivo Citrix ADC en una configuración de alta disponibilidad pierde conectividad porque la memoria NSB no se libera después de enviar la respuesta HTTP durante la supervisión de la sonda HTTP.

[ NSHELP-28466 ]
El último mensaje de respuesta se muestra incorrectamente para los monitores enlazados a grupos de servicios GSLB.

[ NSHELP-28393 ]
La configuración de persistencia para un grupo LB se pierde después de una conmutación por error de HA o cuando se reinicia el dispositivo Citrix ADC.

[ NSHELP-28071 ]
El valor cookieTimeout se establece incorrectamente durante la operación GET, lo que provoca un error en la operación de actualización del servidor virtual de CS.

[ NSHELP-27979 ]
A veces, en un sistema de varios PE, los grupos basados en dominio no se recuperan al estado UP después de algunos fallos en el sistema. Este problema se debe a una condición de carrera entre la CLI y los monitores internos.

[ NSHELP-27965 ]
El estado configurado del monitor predeterminado se muestra como inhabilitado incluso cuando el monitor predeterminado está enlazado a un servicio.

[ NSHELP-27669 ]
En una configuración de clúster, cuando uno o más nodos pasan al estado “INACTIVO”, es posible que el nodo de respaldo no pueda unirse al grupo de nodos del clúster. Este error provoca que algunas funciones de Citrix ADC fallen.

[ NSHELP-27664 ]
Cuando se configura una gran cantidad de servicios GSLB en varios sitios GSLB que tienen una latencia de red alta, es posible que el estado de los servicios GSLB no se actualice en el sitio GSLB remoto.

[ NSHELP-23799 ]

Otros

La coincidencia del patrón del conjunto de URL falla para los dominios estándar IDNA2008.

[ NSHELP-28902 ]
Cuando el reenvío basado en Mac (MBF) está habilitado para VXLAN, no se establecía la sesión TCP con estado.

[ NSHELP-27125 ]

Redes

La actualización de un dispositivo Citrix ADC que tiene particiones de administración puede provocar alguna pérdida de configuración si se cumple la siguiente condición:
- Si toda la memoria del sistema disponible se asigna a particiones de administración.
[ NSNET-23031 ]
El dispositivo Citrix ADC puede bloquearse al crear una sonda de monitor para el servicio relacionado si se cumplen las siguientes condiciones:
- Un perfil de red con un conjunto de IP que tiene al menos una dirección IPv4 y ninguna dirección IPv6. El perfil de red está enlazado a un monitor, que se establece en un servicio IPv6.
- Un perfil de red con un conjunto de IP que tiene al menos una dirección IPv6 y ninguna dirección IPv4. El perfil de red está enlazado a un monitor, que se establece en un servicio IPv4.
[ NSHELP-29382 ]
En una configuración de alta disponibilidad, en el caso de que la versión de alta disponibilidad no coincida entre ambos nodos, las rutas dinámicas no se sincronizan con el nodo secundario. No se puede acceder al nodo secundario si su accesibilidad depende de las rutas dinámicas.

Como solución, las rutas dinámicas se sincronizan con el nodo secundario incluso en caso de que la versión de alta disponibilidad no coincida.

[ NSHELP-28326 ]

Plataforma

El dispositivo Citrix ADC genera alertas de límite de velocidad de paquetes falsos por segundo (PPS) incluso antes de que el dispositivo Citrix ADC alcance su límite de PPS para la licencia.

[ NSHELP-26935 ]

Directivas

Un dispositivo Citrix ADC puede bloquearse con las siguientes condiciones:
- Una acción de mensaje de auditoría se configura con la expresión del generador de cadenas con una o más funciones REGEX aplicadas al cuerpo de una solicitud.
- Un perfil de Application Firewall configurado con la opción Streaming habilitada.
Por ejemplo, HTTP.REQ.BODY (10000000) .REGEX_SELECT (re/name= [^rn] * [rn] +/).

[ NSHELP-27895 ]

SSL

Un dispositivo Citrix ADC se bloquea al procesar una solicitud HTTP si la acción de la directiva está configurada en “Reenviar” para una directiva que ya está enlazada en el punto de enlace de la solicitud.

[ NSHELP-29115 ]
La adición de un par de claves de certificado puede fallar debido a un error en la asignación de memoria. Como resultado, la búsqueda del par de claves de certificado de CA falla y el dispositivo se bloquea.

[ NSHELP-28197 ]
Ahora se muestran todas las direcciones IP de un certificado SAN. Anteriormente, solo se mostraba la última dirección IP de SAN de todas las direcciones IP del certificado de SAN.

[ NSHELP-27336 ]
El dispositivo Citrix ADC se bloquea durante el reinicio si cambia el nombre del certificado integrado (“ns-server-certificate”) en el archivo de configuración.

[ NSHELP-26858 ]

Sistema

Cuando un dispositivo Citrix ADC recibe una trama GOWAY HTTP/2 de un cliente, restablece incorrectamente todas las transmisiones con un ID de transmisión mayor que el ID prometido (último identificador de transmisión iniciado por el par).

[ NSHELP-29328 ]
En Citrix ADM, el agente ADM puede informar de un uso elevado de memoria debido a un problema en el agente ADM.

[ NSHELP-29285 ]
El encabezado X-Forwarder no se agrega a algunas solicitudes enviadas desde el dispositivo Citrix ADC al servidor back-end.

[ NSHELP-29142 ]
Un sistema de prevención de intrusiones (IPS) de Citrix ADC observa un problema con la directiva de reescritura al insertar o modificar datos si se cumple la siguiente condición:
- El dispositivo Citrix ADC envía paquetes de datos al servidor IPS antes de que se abra la conexión con el servidor de fondo.
[ NSHELP-28496 ]
En una configuración de alta disponibilidad, la sincronización de alta disponibilidad de las configuraciones de la partición de administración falla en el nodo secundario por la siguiente razón:
- Problemas de memoria bajos causados por las enormes cargas de configuración en el nodo secundario
[ NSHELP-28409 ]
El dispositivo Citrix ADC se bloquea cuando se cumplen todas las condiciones siguientes:
- Una acción de inspección de contenido, con una dirección IP de servidor, utiliza los datos internos de un servicio si ya está configurado.
- Como resultado, los datos internos del servicio también se eliminan cuando se elimina la acción de CI.
- Cuando se elimina el servicio real, el dispositivo Citrix ADC intenta acceder y eliminar los datos internos ya eliminados.
[ NSHELP-28293 ]
Cuando un cliente restablece una conexión con varios flujos TCP, no se envía el registro de transacciones del lado del servidor, lo que hace que falten registros L4 para esos flujos de datos.

[ NSHELP-28281 ]
La opción TCP de encadenamiento de conexiones se agrega a las conexiones RPC de Citrix ADC. El problema provoca un problema de interoperabilidad con la comunicación de los sitios GSLB.

[ NSHELP-27417 ]
En raras ocasiones, un dispositivo Citrix ADC podría enviar números de secuencia TCP SACK incorrectos al cliente al reenviarlo desde el servidor backend. El problema se produce si la opción ACK selectiva de TCP (SACK) está habilitada en un perfil TCP.

[ NSHELP-24875 ]
Cuando un dispositivo Citrix ADC recibe un paquete TCP desordenado con el indicador FIN establecido, se pueden observar los siguientes problemas:
- El dispositivo Citrix ADC envía un SACK incorrecto, que indica que el dispositivo recibió un paquete TCP desordenado de 2 bytes en lugar de 1 byte.
- El dispositivo Citrix ADC no reconoce el paquete TCP FIN al recibir paquetes TCP en orden.
[ NSBASE-15735 ]
En caso de que se restablezca la conexión, es posible que la función de simulación de TCP del módulo de caché no devuelva la CPU a tiempo para responder a los latidos del corazón de los “pitboss”.

[ NSBASE-15367 ]

Interfaz de usuario

La modificación de una regla RNAT basada en ACL, que ya tiene habilitada la conmutación por error de conexión, mediante la GUI de Citrix ADC puede producir el siguiente error:
- “Valor de argumento no válido [connfailover]”
[ NSHELP-29243 ]
Las instancias de ADC en un modo de clúster configuradas con capacidad agrupada disminuyen. Este problema ocurre cuando se configura un nombre de host en los nodos del clúster y si los nodos tardan más en conectarse al servidor de licencias ADM durante el arranque.

[ NSHELP-28613 ]
Se observa el siguiente problema si se realiza alguna operación que lee el archivo ns.conf. Por ejemplo: show ns saved config.
- El proceso HTTPD puede congelarse y provocar que la GUI y la API de NITRO se vuelvan inaccesibles.
[ NSHELP-28249 ]
La carga y adición de un archivo de lista de revocación de certificados (CRL) produce un error en la configuración de una partición de administración.

[ NSHELP-20988 ]
En una interfaz CLI de Citrix ADC, las opciones para vincular comandos no se rellenan automáticamente si presiona la tecla Tab mientras escribe el comando en la línea de comandos.

Por ejemplo, escriba el siguiente comando y, al utilizar la tecla Tab, los objetos no se rellenarán automáticamente:

bind authentication vserver <authvservername> -policy <Tab>.

En este caso, el servidor virtual de autenticación se puede vincular a varios tipos de objetos, como la directiva de radio, la directiva de Idappolicy, la directiva de certificados, la directiva de TACAS, la directiva de autenticación avanzada, etc.

[ NSCONFIG-6340 ]
Al desvincular la URL que limita la velocidad del perfil de un bot, se produce un error interno en la base de datos.

[ NSCONFIG-6231 ]

Problemas conocidos

Los problemas que existen en la versión 13.0-84.11.

AppFlow

HDX Insight no informa de un error de inicio de aplicación causado por un usuario que intenta iniciar una aplicación o un escritorio a los que el usuario no tiene acceso.

[ NSINSIGHT-943 ]

Autenticación, autorización y auditoría

En algunos casos, se observa una pérdida de memoria en un dispositivo Citrix ADC si la funcionalidad SSO se usa con un servidor proxy.

[ NSHELP-27744 ]
En algunos casos, aparece el mensaje de error “credenciales no válidas” durante el proceso de autenticación RADIUS. El error aparece cuando se accede al dispositivo Citrix ADC desde un dispositivo cliente mediante el explorador Google Chrome.

[ NSHELP-27113 ]
Se deniega el acceso a un servicio si se cumplen las siguientes condiciones:
- El servicio está enlazado a un servidor virtual de autenticación.
- La autenticación 401 se configura en el servicio y en el servidor virtual al que está enlazado el servicio.
[ NSHELP-26903 ]
El dispositivo Citrix ADC se bloquea si se cumplen las dos condiciones siguientes.
- La OTP de correo electrónico está configurada
- El servidor de correo electrónico no responde o hay un problema de red con el servidor de correo electrónico
[ NSHELP-26137 ]
En algunos casos, el comando Vincular autenticación, autorización y grupo de auditoría puede fallar si el nombre de la directiva es más largo que el nombre de la aplicación de la intranet.

[NSHELP-25971]
Si la contraseña de administrador de los servicios LDAP, RADIUS o TACACS contiene comillas dobles (“), el dispositivo Citrix ADC lo elimina durante la comprobación de “Probar conectividad”, lo que provoca un error de conexión.

[ NSHELP-23630 ]
Un dispositivo Citrix ADC no autentica los intentos de inicio de sesión con contraseñas duplicadas y evita los bloqueos de cuentas.

[ NSHELP-563 ]
LoginSchema de DualAuthPushOrOTP.xml no aparece correctamente en la pantalla del editor de esquemas de inicio de sesión de la GUI de Citrix ADC.

[ NSAUTH-6106 ]
El perfil proxy ADFS se puede configurar en una implementación de clúster. El estado de un perfil de proxy se muestra incorrectamente en blanco al ejecutar el siguiente comando: show adfsproxyprofile <profile name>

Solución temporal: Conéctese al Citrix ADC activo principal del clúster y ejecute el comando show adfsproxyprofile <profile name>. Mostraría el estado del perfil de proxy.

[ NSAUTH-5916 ]
La página Configurar servidor LDAP de autenticación de la GUI de Citrix ADC deja de responder si sigue los pasos siguientes:
- Se abre la opción Probar accesibilidad LDAP.
- Las credenciales de inicio de sesión no válidas se rellenan y envían.
- Las credenciales de inicio de sesión válidas se rellenan y envían.
Solución temporal: cierre y abra la opción Probar accesibilidad de LDAP.

[ NSAUTH-2147 ]

Almacenamiento en caché

Es posible que un dispositivo Citrix ADC se bloquee si la función Almacenamiento en caché integrado está habilitada y el dispositivo tiene poca memoria.

[ NSHELP-22942 ]

Dispositivo Citrix ADC SDX

En un dispositivo Citrix ADC SDX, si el CLAG se crea en una NIC Mellanox, la MAC de CLAG cambia cuando se reinicia la instancia VPX. El tráfico a la instancia VPX se detiene tras el reinicio porque la tabla MAC tiene la antigua entrada MAC de CLAG.

[ NSSVM-4333 ]
Los datos de la tabla de eventos ADC ahora se pueden ordenar en las páginas si el número total de registros de datos es inferior a 5000.

[ NSHELP-29170 ]
Las caídas de paquetes se observan en una instancia VPX alojada en un dispositivo Citrix ADC SDX si se cumplen las siguientes condiciones:
- El modo de asignación de rendimiento está en ráfaga.
- Existe una gran diferencia entre el rendimiento y la capacidad máxima de ráfaga.
[ NSHELP-21992 ]

Citrix Gateway

En una configuración de alta disponibilidad de Citrix Gateway, el nodo secundario podría bloquearse si Gateway Insight está habilitado.

[ NSHELP-28856 ]
A veces, después de desconectar la VPN, el solucionador de DNS no resuelve los nombres de host porque los sufijos DNS se eliminan durante la desconexión de la VPN.

[ NSHELP-28848 ]
La autenticación de certificados de cliente falla para Citrix SSO para macOS si no hay certificados de cliente en el llavero de macOS.

[ NSHELP-28551 ]
A veces, se desactiva la sesión de un usuario en Citrix Gateway en unos segundos cuando se establece el tiempo de espera por inactividad del cliente.

[ NSHELP-28404 ]
Es posible que el plug-in de Windows se bloquee durante la autenticación.

[ NSHELP-28394 ]
El dispositivo Citrix Gateway puede bloquearse si se bloquea la sincronización y se modifica la configuración de la directiva de conmutación de contenido.

[ NSHELP-27570 ]
El dispositivo Citrix Gateway puede bloquearse si se establece una opción de cliente VPN desconocida en la directiva de sesión.

[ NSHELP-27380 ]
No se puede desvincular una directiva de autorización clásica mediante la interfaz gráfica de usuario. Sin embargo, puede usar la CLI para desvincular la directiva Autenticación, autorización y autorización de auditoría.

Con esta corrección, ahora puede desvincular la directiva de autorización mediante la interfaz gráfica de usuario.

[ NSHELP-27064 ]
A veces, durante el inicio de sesión de transferencia, las subredes IP de intranet se muestran incorrectamente en el lado del cliente.

[ NSHELP-26904 ]
La GUI de Citrix Gateway muestra el mensaje “IP o puerto no válidos” al editar un perfil de sesión de VPN.

[ NSHELP-26722 ]
El dispositivo Citrix ADC se bloquea si se produce alguna de las siguientes condiciones:
- La acción syslog se configura con el nombre de dominio y usted borra la configuración mediante la GUI o la CLI.
- La sincronización de alta disponibilidad se produce en el nodo secundario.
Solución temporal:

Cree una acción syslog con la dirección IP del servidor syslog en lugar del nombre de dominio del servidor syslog.

[ NSHELP-25944 ]
Al crear un perfil de cliente RDP mediante la GUI de Citrix ADC, aparece un mensaje de error cuando se cumplen las siguientes condiciones:
- Se ha configurado una clave previamente compartida (PSK) predeterminada.
- Intenta modificar el temporizador de validez de la cookie de RDP en el campo Validez de cookies de RDP (segundos).
[ NSHELP-25694 ]
En una configuración de alta disponibilidad, las sesiones de usuario VPN se desconectan si se cumple la siguiente condición:
- Si se realizan dos o más operaciones de failover manual de alta disponibilidad sucesivas cuando la sincronización de alta disponibilidad está en curso.
Solución temporal: Realice sucesivas conmutaciones por error de HA manuales solo después de que se haya completado la sincronización de HA (ambos nodos se encuentran en el estado de sincronización correcta).

[ NSHELP-25598 ]
Gateway Insight no muestra información precisa sobre los usuarios de VPN.

[ NSHELP-23937 ]
El plug-in de VPN no establece un túnel después del inicio de sesión de Windows si se cumplen las siguientes condiciones:
- El dispositivo Citrix Gateway está configurado para la función Always On
- El dispositivo está configurado para la autenticación basada en certificados con la autenticación de dos factores “desactivada”
[ NSHELP-23584 ]

El resultado del comando “show tunnel global” incluye nombres de directivas avanzados. Anteriormente, el resultado no mostraba los nombres de directivas avanzadas.

Ejemplo:

Nuevo resultado:

 > show tunnel global  
 Policy Name: ns_tunnel_nocmp Priority: 0

 Policy Name: ns_adv_tunnel_nocmp Type: Advanced policy  
 Priority: 1  
 Global bindpoint: REQ_DEFAULT

 Policy Name: ns_adv_tunnel_msdocs Type: Advanced policy  
 Priority: 100  
 Global bindpoint: RES_DEFAULT  
 Done  
 >
 <!--NeedCopy-->

Resultado anterior:

 > show tunnel global  
 Policy Name: ns_tunnel_nocmp Priority: 0 Disabled

 Advanced Policies:

 Global bindpoint: REQ_DEFAULT  
 Number of bound policies: 1

 Done
 <!--NeedCopy-->

[ NSHELP-23496 ]

A veces, al navegar por los esquemas, aparece el mensaje de error “No se puede leer la propiedad ‘tipo’ indefinida”.

[ NSHELP-21897 ]
Si quiere utilizar la funcionalidad Always On VPN antes de iniciar sesión en Windows, se recomienda actualizar a Citrix Gateway 13.0 o posterior. Esto le permite aprovechar las mejoras adicionales introducidas en la versión 13.0 que no están disponibles en la versión 12.1.

[ CGOP-19355 ]
El error de inicio de la aplicación debido a un tíquet STA no válido no se informa en Gateway Insight.

[ CGOP-13621 ]
El informe de Gateway Insight muestra incorrectamente el valor “Local” en lugar de “SAML” en el campo Tipo de autenticación para errores de SAML.

[ CGOP-13584 ]
En una configuración de alta disponibilidad, durante la conmutación por error de Citrix ADC, el recuento de SR aumenta en lugar del recuento de conmutación por error en Citrix ADM.

[ CGOP-13511 ]
Al aceptar conexiones de host local desde el explorador web, el cuadro de diálogo Aceptar conexión para macOS muestra el contenido en inglés independientemente del idioma seleccionado.

[ CGOP-13050 ]
El texto “Página de inicio” de la Aplicación Citrix SSO > Página de inicio aparece cortado en algunos idiomas.

[ CGOP-13049 ]
Aparece un mensaje de error al agregar o modificar una directiva de sesión desde la GUI de Citrix ADC.

[ CGOP-11830 ]
En Outlook Web App (OWA) 2013, al hacer clic en Opciones en el menú Configuración, aparece un cuadro de diálogo Error crítico. Además, la página deja de responder.

[ CGOP-7269 ]
En una implementación de clúster, si ejecuta el comando “forzar la sincronización del clúster” en un nodo que no es de CCO, el archivo ns.log contiene entradas de registro duplicadas.

[ CGOP-6794 ]

Citrix Web App Firewall

Un dispositivo Citrix ADC podría bloquearse si se habilitan los siguientes módulos:
- Web App Firewall con comprobaciones de seguridad avanzadas.
- Appqoe.
[ NSHELP-28251 ]

Equilibrio de carga

En una configuración de alta disponibilidad, es posible que las sesiones de suscriptor del nodo principal no se sincronicen con el nodo secundario. Este es un caso raro.

[ NSLB-7679 ]
El estado del grupo de servicios que se muestra en los comandos show y stat es incoherente.

[ NSHELP-28931 ]
El estado del grupo de servicios Autoscale basado en el dominio GSLB o equilibrio de carga permanece INACTIVO si utiliza un puerto comodín.

[ NSHELP-28548 ]
En una configuración de clúster, la dirección IP del servicio GSLB no se muestra en la GUI cuando se accede a ella a través de enlaces de servidores virtuales GSLB. Esto es solo un problema de visualización y no afecta a la funcionalidad.

[ NSHELP-20406 ]

Otros

Cuando se realiza una sincronización forzada en una configuración de alta disponibilidad, el dispositivo ejecuta el comando “set urlfiltering parameter” en el nodo secundario.
Como resultado, el nodo secundario omite cualquier actualización programada hasta la siguiente hora programada mencionada en el parámetro “TimeOfDayToUpdateDB”.

[ NSSWG-849 ]
La instancia CPX de Citrix ADC, que se ejecuta en un sistema Linux con arquitectura de 64 bits y 1 TB de almacenamiento de archivos, puede cargar archivos de certificados y claves ahora.

[ NSHELP-28986 ]
Un dispositivo Citrix ADC puede reiniciarse debido al estancamiento de la CPU de administración si se produce un problema de conectividad con el proveedor externo de filtrado de URL.

[ NSHELP-22409 ]

Redes

Un dispositivo Citrix ADC puede bloquearse si se cumplen todas las condiciones siguientes:
- Se configura una ruta de equilibrio de carga en un dominio de tráfico del dispositivo.
- Se realiza una operación de configuración clara en el dispositivo.
[ NSNET-23847 ]
Un dispositivo Citrix ADC BLX en modo DPDK podría bloquearse si se configura un perfil de Firewall de aplicaciones web con comprobaciones de protección de seguridad avanzadas.

Solución alternativa: elimine la configuración de protección de seguridad avanzada para WAF.

[ NSNET-22654 ]
En un dispositivo Citrix ADC BLX, es posible que la NSVLAN enlazada con interfaces etiquetadas que no sean de dpdk no funcione como se esperaba. La NSVLAN enlazada con interfaces no dpdk sin etiquetar funciona bien.

[ NSNET-18586 ]
Tras una actualización de la versión 13.0 61.x del dispositivo Citrix ADC BLX a la versión 13.0 64.x, se pierde la configuración del archivo de configuración BLX. El archivo de configuración de BLX se restablece a los valores predeterminados.

[ NSNET-17625 ]
Las siguientes operaciones de interfaz no son compatibles con las interfaces X710 10G (i40e) de Intel en un dispositivo Citrix ADC BLX con DPDK:
- Disable
- Enable
- Restablecer
[ NSNET-16559 ]
En un host Linux basado en Debian (Ubuntu versión 18 y versiones posteriores), un dispositivo Citrix ADC BLX siempre se implementa en modo compartido, independientemente de la configuración del archivo de configuración de BLX (“/etc/blx/blx.conf”). Este problema se debe a que “mawk”, que está presente de forma predeterminada en los sistemas Linux basados en Debian, no ejecuta algunos de los comandos awk presentes en el archivo “blx.conf”.

Solución alternativa: instale “gawk” antes de instalar un dispositivo Citrix ADC BLX. Puede ejecutar el siguiente comando en la CLI del host de Linux para instalar “gawk”:
- apt-get install gawk
[ NSNET-14603 ]
La instalación de un dispositivo Citrix ADC BLX podría fallar en un host Linux basado en Debian (versión 18 y posteriores de Ubuntu) con el siguiente error de dependencia:

“Los siguientes paquetes tienen dependencias incumplidas: blx-core-libs:i386: PreDepends: libc6:i386 (>= 2.19) pero no se puede instalar”

Solución temporal: ejecute los siguientes comandos en la CLI del host de Linux antes de instalar un dispositivo Citrix ADC BLX:
- dpkg — agregar arquitectura i386
- actualización apt-get
- apt-get dist-upgrade
- apt-get install libc6:i386
[ NSNET-14602 ]
En algunos casos de conexiones de datos FTP, el dispositivo Citrix ADC solo realiza operaciones NAT y no procesamiento TCP en los paquetes para la negociación TCP MSS. Como resultado, la MTU de interfaz óptima no está configurada para la conexión. Esta configuración de MTU incorrecta provoca la fragmentación de los paquetes y afecta al rendimiento de la CPU.

[ NSNET-5233 ]
En una configuración NAT44 a gran escala, el dispositivo Citrix ADC puede bloquearse mientras recibe tráfico SIP por el siguiente motivo:
- El módulo LSN no encuentra el servicio mientras disminuye el recuento de referencias o elimina el servicio.
[ NSHELP-29134 ]
En una implementación NAT44 a gran escala, el dispositivo Citrix ADC puede bloquearse al recibir tráfico SIP por el siguiente motivo:
- El módulo LSN accedió a la ubicación de memoria de un servicio ya eliminado.
[ NSHELP-28815 ]
En una configuración de alta disponibilidad, la dirección SNIP habilitada para el enrutamiento dinámico no se expone a VTYSH al reiniciar si se cumple la siguiente condición:
- Una dirección SNIP habilitada para el enrutamiento dinámico está enlazada a la VLAN compartida en una partición no predeterminada.
Como parte de la corrección, el dispositivo Citrix ADC ahora no permite vincular una dirección SNIP habilitada para el enrutamiento dinámico a la VLAN compartida en la partición no predeterminada

[ NSHELP-24000 ]
Cuando se cambia un límite de memoria de la partición de administración en el dispositivo Citrix ADC, el límite de memoria intermedia TCP se establece automáticamente en el nuevo límite de memoria de la partición de administración.

[ NSHELP-21082 ]

Plataforma

La conmutación por error de alta disponibilidad no funciona en las nubes de AWS y GCP. La CPU de administración puede alcanzar su capacidad del 100% en las nubes de AWS y GCP, y en Citrix ADC VPX en las instalaciones. Ambos problemas se producen cuando se cumplen las siguientes condiciones:
1. Durante el primer arranque del dispositivo Citrix ADC, no guarda la contraseña solicitada.
2. Posteriormente, reinicie el dispositivo Citrix ADC.
[ NSPLAT-22013 ]
Cuando actualiza de compilaciones 13.0/12.1/11.1 a una versión 13.1 o baja de una compilación 13.1 a 13.0/12.1/11.1, algunos paquetes python no se instalan en los dispositivos Citrix ADC. Este problema se ha solucionado en las siguientes versiones de Citrix ADC:
- 13.1-4.x
- 13.0-82.31 y posteriores
- 12.1-62.21 y posteriores
Los paquetes python no se instalan cuando se degrada la versión de Citrix ADC de la versión 13.1-4.x a cualquiera de las siguientes versiones:
- Cualquier compilación 11.1
- 12.1-62.21 y anteriores
- 13.0-81.x y anteriores
[ NSPLAT-21691 ]
En una configuración de clúster en un dispositivo Citrix ADC SDX, hay una discordancia de CLAG MAC en el segundo nodo y CLIP si se cumplen las siguientes condiciones:
- El CLAG se crea en una NIC Mellanox.
- Agrega otra instancia VPX al clúster y a la configuración de CLAG.
Como resultado, el tráfico a la instancia VPX se detiene.

[ NSPLAT-21049 ]
En una configuración de clúster en un dispositivo Citrix ADC SDX, el primer nodo se cae debido a una discordancia de direcciones MAC en la tabla CLIP y MAC, si se cumplen las siguientes condiciones:
- El CLAG se crea en una NIC Mellanox.
- Quita el segundo nodo del clúster.
[ NSPLAT-21042 ]
Al eliminar una configuración de escalabilidad automática o un conjunto de escalas de VM de un grupo de recursos de Azure, elimine la configuración del perfil de nube correspondiente de la instancia de Citrix ADC. Utilice el comando “rm cloudprofile” para eliminar el perfil.

[ NSPLAT-4520 ]
En una configuración de alta disponibilidad en Azure, al iniciar sesión en el nodo secundario a través de la GUI, aparece la pantalla de usuario por primera vez (FTU) para la configuración del perfil de nube de escalabilidad automática.
Solución temporal: omita la pantalla e inicie sesión en el nodo principal para crear el perfil de nube. El perfil de la nube siempre debe configurarse en el nodo principal.

[ NSPLAT-4451 ]

Directivas

Las conexiones pueden bloquearse si el tamaño de los datos de procesamiento es superior al tamaño del búfer TCP predeterminado configurado.

Solución temporal: Establezca el tamaño del búfer TCP en el tamaño máximo de los datos que deben procesarse.

[ NSPOLICY-1267 ]

SSL

En un clúster heterogéneo de dispositivos Citrix ADC SDX 22000 y Citrix ADC SDX 26000, se produce una pérdida de configuración de entidades SSL si se reinicia el dispositivo SDX 26000.

Solución temporal:
1. En el CLIP, inhabilite SSLv3 en todas las entidades SSL nuevas y existentes, como servidores virtuales, servicios, grupos de servicios y servicios internos. Por ejemplo: set ssl vserver <name> -SSL3 DISABLED.
2. Guarde la configuración.
[ NSSSL-9572 ]
No se puede agregar un objeto de Azure Key Vault si ya se ha agregado un objeto de autenticación de Azure Key Vault.

[ NSSSL-6478 ]
Puede crear varias entidades de la aplicación Azure con el mismo ID de cliente y secreto de cliente. El dispositivo Citrix ADC no devuelve ningún error.

[ NSSSL-6213 ]
El siguiente mensaje de error incorrecto aparece al quitar una clave HSM sin especificar KEYVAULT como tipo HSM.
ERROR: actualización de crl inhabilitada

[ NSSSL-6106 ]
La actualización automática de claves de sesión aparece incorrectamente como inhabilitada en una dirección IP de clúster (esta opción no se puede inhabilitar).

[ NSSSL-4427 ]
Si intenta cambiar el protocolo SSL o el cifrado del perfil SSL, aparece un mensaje de advertencia incorrecto, titulado “Advertencia: no hay cifrados utilizables configurados en el servidor o servicio SSL”.

[ NSSSL-4001 ]
Un tíquet de sesión caducado se respeta en un nodo que no es de CCO y en un nodo de alta disponibilidad después de una conmutación por error de alta disponibilidad.

[ NSSSL-3184 ]
En una configuración de clúster, cuando dos certificados instalados son emisores de un certificado de servidor que tiene la extensión AIA de OCSP, el dispositivo deja de estar disponible si quita el certificado del servidor.

[ NSHELP-28058 ]
En una implementación de VPN, el dispositivo Citrix ADC selecciona una sesión SSL para reutilizar la sesión de la memoria caché para comunicarse con el servidor proxy o back-end. Lo hace sin hacer coincidir el SNI recibido del cliente con el SNI presente en la sesión en caché.

Como resultado, el SNI no se envía o se envía un SNI diferente en función de los datos almacenados en caché.

[ NSHELP-27439 ]
El nombre del certificado de CA que emitió la CRL se corta en 32 caracteres, aunque el nombre de la clave de certificado puede tener hasta 64 caracteres. Este problema se produce porque el campo CRL tiene un límite de 32 caracteres.

[ NSHELP-26986 ]

Sistema

El aumento de las retransmisiones de paquetes se observa en las implementaciones de clúster MPTCP en la nube pública si el conjunto de enlaces está inhabilitado.

[ NSHELP-27410 ]
Un dispositivo Citrix ADC podría enviar un paquete TCP no válido junto con opciones TCP como bloques SACK, marca de tiempo y ACK de datos MPTCP en conexiones MPTCP.

[ NSHELP-27179 ]
La falla de Pitboss ocurre cuando se hace un bucle de una gran cantidad de paquetes en la cola de retransmisión.

[ NSHELP-26071 ]
Se observa una discrepancia en los registros de Logstream en el dispositivo Citrix ADC y en el cargador de datos.

[ NSHELP-25796 ]
En la configuración de un clúster, el comando “set ratecontrol” solo funciona después de reiniciar el dispositivo Citrix ADC.

Solución alternativa: utilice el comando nsapimgr_wr.sh -ys icmp_rate_threshold=<new value>.

[ NSHELP-21811 ]
El valor MAX_CONCURRENT_STREAMS se establece en 100 de forma predeterminada si el dispositivo no recibe el marco de configuración max_concurrent_stream del cliente.

[ NSHELP-21240 ]
Los contadores mptcp_cur_session_without_subflow disminuyen incorrectamente a un valor negativo en lugar de cero.

[ NSHELP-10972 ]
Al procesar grandes flujos de tráfico de gRPC, la ventana anunciada por TCP aumenta exponencialmente, lo que lleva a un uso elevado de memoria.

[ NSBASE-15447 ]
En una configuración de clúster, un nodo con prioridad de CCO se desconecta de Open vSwitch (OVS) debido a problemas de red. Cuando el nodo se vuelve a unir a la configuración del clúster, no recibe la cookie SYN más reciente.

[ NSBASE-14419 ]
La IP del cliente y la IP del servidor se invierten en el registro SkipFlow de HDX Insight cuando el tipo de transporte LogStream se configura para Insight.

[ NSBASE-8506 ]
Compatibilidad con ICAP para Citrix ADC

Un dispositivo Citrix ADC ahora admite el Protocolo de adaptación de contenido de Internet (ICAP) para el servicio de transformación de contenido en el tráfico HTTP y HTTPS. El dispositivo actúa como cliente ICAP e interactúa con servidores ICAP de terceros, como antimalware y Prevención de fugas de datos (DLP). Los servidores ICAP realizan una transformación del contenido de los mensajes HTTP y HTTPS y responden al dispositivo como mensajes modificados. Los mensajes adaptados son una respuesta o solicitud HTTP o HTTPS.

Para obtener más información, consulte https://docs.citrix.com/en-us/netscaler/12-1/security/icap-for-remote-content-inspection.html

[ NSBASE-825 ]

Interfaz de usuario

En la GUI de Compression Policy Manager, no se puede enlazar una directiva de compresión a un protocolo HTTP especificando un punto de enlace y un tipo de conexión pertinentes.

[ NSUI-17682 ]
En la GUI de Citrix ADC, el enlace “Ayuda” que aparece en la ficha “Panel de control” está roto.

[ NSUI-14752 ]
El asistente Crear/Supervisar CloudBridge Connector podría dejar de responder o no configurar un conector de cloudbridge.

Solución temporal: Configure los conectores de Cloudbridge agregando perfiles IPSec, túneles IP y reglas de PBR mediante la GUI o CLI de Citrix ADC.

[ NSUI-13024 ]
Si crea una clave ECDSA mediante la interfaz gráfica de usuario, no se muestra el tipo de curva.

[ NSUI-6838 ]
La GUI de Citrix ADC puede generar incorrectamente un paquete de asistencia técnica en clúster de un solo nodo en lugar de todos los nodos del clúster.

[ NSHELP-28606 ]
La generación de un paquete de asistencia técnica en clúster mediante la GUI de Citrix ADC puede fallar con un error.

[ NSHELP-28586 ]
Después de actualizar una configuración de alta disponibilidad o una configuración de clúster a la versión 13.0 compilación 74.14 o posterior, la sincronización de la configuración podría fallar por la siguiente razón:
- Las claves privadas y públicas “ssh_host_rsa_key” son un par incorrecto.
Solución alternativa: vuelva a generar “ssh_host_rsa_key”. Para obtener más información, consulte https://support.citrix.com/article/CTX322863.

[ NSHELP-27834 ]
No se puede enlazar un servicio o un grupo de servicios a un servidor virtual de equilibrio de carga prioritario mediante la GUI de Citrix ADC.

[ NSHELP-27252 ]
En un dispositivo Citrix ADC VPX, una operación de configuración de capacidad puede fallar tras agregar un servidor de licencias. El problema se produce porque los componentes relacionados con Flexera tardan más en inicializarse debido al gran número de licencias admitidas de tipo check-in y check-out (CICO)

[ NSHELP-23310 ]
Al cambiar una versión 13.0-71.x de un dispositivo Citrix ADC a una versión anterior, es posible que algunas API de Nitro no funcionen debido a los cambios en los permisos del archivo.

Solución alternativa: cambie el permiso de “/nsconfig/ns.conf” a 644.

[ NSCONFIG-4628 ]
A veces, las firmas del firewall de la aplicación tardan mucho en sincronizarse con los nodos que no son de CCO. Como resultado, los comandos que utilizan estos archivos pueden fallar.

[ NSCONFIG-4330 ]
Si usted (administrador del sistema) realiza todos los pasos siguientes en un dispositivo Citrix ADC, es posible que los usuarios del sistema no inicien sesión en el dispositivo Citrix ADC degradado.
1. Actualice el dispositivo Citrix ADC a una de las compilaciones:
  - 13.0 52.24 compilación
  - 12.1 57,18 compilación
  - 11.1 65.10 compilación
2. Agregar un usuario del sistema o cambiar la contraseña de un usuario del sistema existente y guardar la configuración, y
3. Rebaja la versión del dispositivo Citrix ADC a cualquier versión anterior.
Para mostrar la lista de estos usuarios del sistema mediante la CLI:
En la línea de comandos, escriba:

query ns config -changedpassword [-config <full path of the configuration file (ns.conf)>]

Solución temporal:

Para solucionar este problema, utilice una de las siguientes opciones independientes:
- Si el dispositivo Citrix ADC aún no se ha rebajado (paso 3 de los pasos mencionados anteriormente), revierta la versión del dispositivo Citrix ADC con un archivo de configuración del que se ha creado previamente una copia de seguridad (ns.conf) de la misma compilación de la versión.
- Cualquier administrador del sistema cuya contraseña no se haya cambiado en la compilación actualizada puede iniciar sesión en la compilación degradada y actualizar las contraseñas de otros usuarios del sistema.
- Si ninguna de las opciones anteriores funciona, el administrador del sistema puede restablecer las contraseñas de usuario del sistema.
Para obtener más información, consulte https://docs.citrix.com/en-us/citrix-adc/13/system/ns-ag-aa-intro-wrapper-con/ns-ag-aa-reset-default-amin-pass-tsk.html

[ NSCONFIG-3188 ]

La versión oficial de este contenido está en inglés. Para mayor comodidad, parte del contenido de la documentación de Cloud Software Group solo tiene traducción automática. Cloud Software Group no puede controlar el contenido con traducción automática, que puede contener errores, imprecisiones o un lenguaje inadecuado. No se ofrece ninguna garantía, ni implícita ni explícita, en cuanto a la exactitud, la fiabilidad, la idoneidad o la precisión de las traducciones realizadas del original en inglés a cualquier otro idioma, o que su producto o servicio de Cloud Software Group se ajusten a cualquier contenido con traducción automática, y cualquier garantía provista bajo el contrato de licencia del usuario final o las condiciones de servicio, o cualquier otro contrato con Cloud Software Group, de que el producto o el servicio se ajusten a la documentación no se aplicará en cuanto dicha documentación se ha traducido automáticamente. Cloud Software Group no se hace responsable de los daños o los problemas que puedan surgir del uso del contenido traducido automáticamente.

Notas de lanzamiento para la versión 13.0-84.11 de Citrix ADC

May 9, 2023

Contribución de:

May 9, 2023

Contribución de: