Citrix ADC

Configuración de la autenticación de usuario externo

La autenticación en un dispositivo Citrix ADC puede ser local o externa. Para autenticar usuarios externos, el dispositivo utiliza un servidor de autenticación externo como LDAP, RADIUS y TACACS+. Para autenticar a un usuario externo y conceder acceso al usuario en el dispositivo, debe utilizar una directiva de autenticación. La autenticación del sistema Citrix ADC utiliza la directiva de autenticación avanzada. Las directivas de autenticación avanzada utilizan expresiones de directivas avanzadas de Citrix ADC. Las directivas de autenticación avanzadas se utilizan para la administración de usuarios del sistema en un dispositivo Citrix ADC con particiones.

Nota:

Si el dispositivo tiene directivas clásicas y sus expresiones, debe dejar de usarlo y migrar el uso de directivas clásicas a la infraestructura de directivas avanzada.

Una vez creada una directiva de autenticación, debe vincularla a la entidad global del sistema. Puede configurar un servidor de autenticación externo (por ejemplo, TACACS) vinculando una única directiva de autenticación a la entidad global del sistema. O bien, puede configurar una cascada de servidores de autenticación vinculando varias directivas a la entidad global del sistema.

Nota:

Cuando un usuario externo inicia sesión en el dispositivo, el sistema genera un mensaje de error “El usuario no existe” en el archivo ns.log. Esto ocurre porque el sistema ejecuta el comando systemuser_systemcmdpolicy_binding para inicializar la GUI del usuario.

Configuración de la autenticación LDAP

Puede configurar el dispositivo Citrix ADC para autenticar el acceso de los usuarios con uno o más servidores LDAP. La autorización LDAP requiere nombres de grupo idénticos en Active Directory, en el servidor LDAP y en el dispositivo. Los caracteres y mayúsculas también deben ser los mismos.

De forma predeterminada, la autenticación LDAP se protege mediante el protocolo SSL/TLS. Existen dos tipos de conexiones LDAP seguras. En el primer tipo, el servidor LDAP acepta la conexión SSL/TLS en un puerto independiente del puerto utilizado para aceptar conexiones LDAP claras. Después de que los usuarios establezcan la conexión SSL/TLS, el tráfico LDAP se puede enviar a través de la conexión. El segundo tipo permite conexiones LDAP no seguras y seguras y es manejado por un solo puerto en el servidor. En este escenario, para crear una conexión segura, el cliente establece primero una conexión LDAP clara. A continuación, el comando LDAP startTLS se envía al servidor a través de la conexión. Si el servidor LDAP admite StartTLS, la conexión se convierte en una conexión LDAP segura mediante TLS.

Los números de puerto para las conexiones LDAP son:

  • 389 para conexiones LDAP no seguras
  • 636 para conexiones LDAP seguras
  • 3268 para conexiones LDAP no seguras de Microsoft
  • 3269 para conexiones LDAP seguras de Microsoft

Las conexiones LDAP que utilizan el comando StartTLS utilizan el número de puerto 389. Si los números de puerto 389 o 3268 están configurados en el dispositivo, intenta utilizar StartTLS para realizar la conexión. Si se utiliza cualquier otro número de puerto, los intentos de conexión utilizan SSL/TLS. Si no se pueden utilizar StartTLS o SSL/TLS, se produce un error en la conexión.

Al configurar el servidor LDAP, las mayúsculas y minúsculas de los caracteres alfabéticos deben coincidir con las del servidor y del dispositivo. Si se especifica el directorio raíz del servidor LDAP, también se busca en todos los subdirectorios para encontrar el atributo user. En directorios grandes, esto puede afectar el rendimiento. Por este motivo, Citrix recomienda utilizar una unidad organizativa (OU) específica.

En la tabla siguiente se enumeran ejemplos del nombre distinguido base (DN).

Servidor LDAP Base DN
Microsoft Active Directory DC=Citrix, DC=local
Directorio electrónico de Novell dc=citrix, dc=net
IBM Directory Server cn=users
Lotus Domino OU=Ciudad, O=Citrix, C=US
Sun ONE Directory (anteriormente iPlanet) ou=personas, dc=citrix, dc=com

En la tabla siguiente se enumeran ejemplos del nombre distinguido (DN) de enlace.

Servidor LDAP Bind DN
Microsoft Active Directory CN=Administrator, CN=Users, DC=citrix, DC=local
Directorio electrónico de Novell cn=admin, dc=citrix, dc=net
IBM Directory Server LDAP_dn
Lotus Domino CN=Notes Administrator, O=Citrix, C=US
Sun ONE Directory (anteriormente iPlanet) uid=admin, ou=Administradores, ou=topologyManagement, o=netscaperoot
Servidor LDAP Bind DN
Microsoft Active Directory CN=Administrator, CN=Users, DC=citrix, DC=local
Directorio electrónico de Novell cn=admin, dc=citrix, dc=net
IBM Directory Server LDAP_dn
Lotus Domino CN=Notes Administrator, O=Citrix, C=US
Sun ONE Directory (anteriormente iPlanet) uid=admin, ou=Administradores, ou=topologyManagement, o=netscaperoot

Configurar la autenticación LDAP mediante la interfaz de línea de comandos

Para configurar la directiva clásica de LDAP

En el símbolo del sistema, haga lo siguiente:

Paso 1: Crear una acción LDAP.

add authentication ldapAction <name> {-serverIP <ip_addr|ipv6_addr|*> | {-serverName <string>}} >] [-authTimeout <positive_integer>] [-ldapBase <string>] [-ldapBindDn <string>] {-ldapBindDnPassword } [-ldapLoginName <string>] [-groupAttrName <string>] [-subAttributeName <string>]

Ejemplo:

add authentication ldapAction ldap_act -serverIP <IP> -authTimeout 30 -ldapBase "CN=xxxxx,DC=xxxx,DC=xxx" -ldapBindDn "CN=xxxxx,CN=xxxxx,DC=xxxx,DC=xxx" -ldapBindDnPassword abcd -ldapLoginName sAMAccountName -groupattrName memberOf -subAttributeName CN

Paso 2: Cree una directiva LDAP.

add authentication ldapPolicy <name> <rule> [<reqAction>]

Ejemplo:

agregar autenticación ldappolicy ldap_pol_classic ns_true ldap_act.

Paso 3: Crear una directiva LDAP Crear una directiva de autenticación avanzada LDAP:

add authentication ldapPolicy <name> <rule> [<reqAction>]

Ejemplo:

add authentication policy ldap_pol_advance -rule true -action ldap_act

Paso 4: Enlazar la directiva LDAP a los siguientes puntos de enlace en los que se evaluará la directiva.

System Global: bind system global <policyName> [-priority <positive_integer]

VPN Global: bind vpn global <policyName> [-priority <positive_integer>]

Authentication Server: bind authentication vserver <name> [-policy <string> [-priority <positive_integer>]

VPN Server: bind vpn vserver <name> [-policy <string> [-priority <positive_integer>]

Para configurar la directiva clásica de LDAP

En el símbolo del sistema, escriba:

add authentication Policy <name> -rule <expression> -action <string>

Ejemplo:

add authentication policy ldap_pol_classic -rule true -action ldap_act

Para configurar la autenticación LDAP mediante la interfaz gráfica de usuario

Vaya a Sistema > Autenticación > LDAP y cree la directiva de autenticación LDAP.

Determinación de atributos en el directorio LDAP

Si necesita ayuda para determinar sus atributos de directorio LDAP, puede buscarlos fácilmente con el navegador LDAP gratuito de Softerra.

Puede descargar el navegador LDAP desde el sitio web para administradores LDAP de Softerra en http://www.ldapbrowser.com. Después de instalar el navegador, establezca los siguientes atributos:

  • El nombre de host o la dirección IP del servidor LDAP.
  • El puerto del servidor LDAP. El valor predeterminado es 389.
  • El campo DN base se puede dejar en blanco.
  • La información proporcionada por el explorador LDAP puede ayudarle a determinar el DN base necesario para la ficha Autenticación.
  • La comprobación Enlace anónimo determina si el servidor LDAP requiere credenciales de usuario para que el explorador se conecte a él. Si el servidor LDAP requiere credenciales, deje la casilla desactivada.

Después de completar la configuración, el navegador LDAP muestra el nombre del perfil en el panel izquierdo y se conecta al servidor LDAP.

Configuración de la autenticación RADIUS

Puede configurar el dispositivo Citrix ADC para autenticar el acceso de los usuarios con uno o más servidores RADIUS. Si utiliza productos RSA SecurID, SafeWord o Gemalto Protiva, utilice un servidor RADIUS.

Es posible que su configuración requiera el uso de una dirección IP del servidor de acceso a la red (IP del NAS) o un identificador del servidor de acceso a la red (ID del NAS). Al configurar el dispositivo para que utilice un servidor de autenticación RADIUS, utilice las siguientes directrices:

  • Si habilita el uso de la IP del NAS, el dispositivo envía su dirección IP configurada al servidor RADIUS, en lugar de la dirección IP de origen utilizada para establecer la conexión RADIUS.
  • Si configura el ID del NAS, el dispositivo envía el identificador al servidor RADIUS. Si no configura el ID del NAS, el dispositivo envía su nombre de host al servidor RADIUS.
  • Cuando se habilita la IP del NAS, el dispositivo ignora cualquier ID del NAS que se haya configurado mediante la IP del NAS para comunicarse con el servidor RADIUS.

Para configurar la autenticación RADIUS mediante la interfaz gráfica de usuario

Vaya a Sistema > Autenticación > Radius y cree la directiva de autenticación RADIUS.

Elegir protocolos de autenticación RADIUS

El dispositivo Citrix ADC admite implementaciones de RADIUS que están configuradas para utilizar cualquiera de varios protocolos para la autenticación de usuarios, incluidos:

  • Protocolo de autenticación de contraseña
  • Protocolo de autenticación por desafío mutuo (CHAP)
  • Protocolo de autenticación Challenge Handshake de Microsoft (MS-CHAP versión 1 y versión 2)

Si la implementación del dispositivo está configurada para utilizar la autenticación RADIUS y el servidor RADIUS está configurado para utilizar el Protocolo de autenticación de contraseña, puede reforzar la autenticación de usuario asignando un secreto compartido seguro al servidor RADIUS. Secretos compartidos RADIUS fuertes consisten en secuencias aleatorias de letras mayúsculas y minúsculas, números y signos de puntuación, y tienen al menos 22 caracteres de longitud. Si es posible, utilice un programa de generación de caracteres aleatorios para determinar los secretos compartidos RADIUS.

Para proteger aún más el tráfico RADIUS, asigne un secreto compartido diferente a cada dispositivo o servidor virtual. Al definir clientes en el servidor RADIUS, también puede asignar un secreto compartido independiente a cada cliente. Si lo hace, debe configurar por separado cada directiva que utilice la autenticación RADIUS.

Los secretos compartidos se configuran en el dispositivo cuando se crea una directiva RADIUS.

Configuración de extracción de direcciones IP

Puede configurar el dispositivo para que extraiga la dirección IP de un servidor RADIUS. Cuando un usuario se autentica con el servidor RADIUS, el servidor devuelve una dirección IP enmarcada que se asigna al usuario. Los siguientes son atributos para la extracción de direcciones IP:

  • Permite que un servidor RADIUS remoto proporcione una dirección IP desde la red interna para un usuario que haya iniciado sesión en el dispositivo.
  • Permite la configuración de cualquier atributo RADIUS que utilice el tipo ipaddress, incluidos los que están codificados por proveedor.

Al configurar el servidor RADIUS para la extracción de direcciones IP, configure el identificador de proveedor y el tipo de atributo.

El identificador de proveedor permite que el servidor RADIUS asigne una dirección IP al cliente desde un grupo de direcciones IP configuradas en el servidor RADIUS. El ID de proveedor y los atributos se utilizan para establecer la asociación entre el cliente RADIUS y el servidor RADIUS. El ID de proveedor es el atributo de la respuesta RADIUS que proporciona la dirección IP de la red interna. Un valor de cero indica que el atributo no está codificado por proveedor. El tipo de atributo es el atributo de dirección IP remota en una respuesta RADIUS. El valor mínimo es uno y el valor máximo es 255.

Una configuración común es extraer la dirección IP enmarcadadel atributo RADIUS. El ID del proveedor se establece en cero o no se especifica. El tipo de atributo se establece en ocho.

Para configurar la extracción de direcciones IP mediante la interfaz gráfica de usuario

  1. Vaya a Sistema > Autenticación > Radio y seleccione una directiva.
  2. Modifique los parámetros del servidor y establezca los valores relevantes en los campos Identificador de proveedor de grupo y Tipo de atributo de grupo.

Configuración de la autenticación TACACS+

Puede configurar un servidor TACACS+ para la autenticación. Al igual que la autenticación RADIUS, TACACS+ utiliza una clave secreta, una dirección IP y el número de puerto. El número de puerto predeterminado es 49. Para configurar el dispositivo para que utilice un servidor TACACS+, proporcione la dirección IP del servidor y el secreto TACACS+. El puerto debe especificarse solo cuando el número de puerto del servidor en uso no es el número de puerto predeterminado de 49.

Para configurar la autenticación TACACS+ mediante la interfaz gráfica de usuario

Vaya a Sistema > Autenticación > TACACS y cree la directiva de autenticación TACACS.

Una vez configurada la configuración del servidor TACACS+ en el dispositivo, vincule la directiva a la entidad global del sistema.

Vinculación de directivas de autenticación a la entidad global del sistema

Cuando se configuran las directivas de autenticación, vincule las directivas a la entidad global del sistema.

Para enlazar una política de autenticación clásica a la global del sistema mediante la interfaz de línea de comandos

En el símbolo del sistema, haga lo siguiente:

bind system global <policyName> [-priority <positive_integer>]

Ejemplo:

bind system global ldap_pol_classic -priority 10

Para vincular la directiva de autenticación avanzada a la global del sistema mediante la interfaz de línea de comandos

En el símbolo del sistema, haga lo siguiente:

bind system global <policyName> [-priority <positive_integer>]

Ejemplo:

bind system global ldap_pol_advanced -priority 10

Para enlazar una directiva de autenticación a global del sistema mediante la interfaz gráfica de usuario

  1. Vaya a Sistema > Autenticación y seleccione el tipo de autenticación.
  2. En la ficha Directivas, haga clic en Enlaces globales y vincule las directivas de autenticación.

Configuración de la autenticación de usuario externo