Documentación de productos
Citrix ADC
Current Release 13.0 12.1
Ver PDF

Gestión de cuentas de usuario y contraseñas

August 20, 2021
Contribución de: 
C

Citrix ADC le permite administrar cuentas de usuario y configuración de contraseñas. A continuación se indican algunas de las actividades que puede realizar para una cuenta de usuario del sistema o una cuenta de usuario nsroot administrativo en el dispositivo.

  • Bloqueo de cuentas de usuario del sistema
  • Bloquear cuenta de usuario del sistema para acceder a la administración
  • Desbloquear una cuenta de usuario del sistema bloqueada para acceder a la administración
  • Inhabilitar el acceso a la administración para la cuenta de usuario
  • Forzar cambio de contraseña para usuarios nsroot administrativos
  • Quitar archivos confidenciales de una cuenta de usuario del sistema
  • Configuración segura de contraseñas para usuarios del sistema

Bloqueo de cuentas de usuario del sistema

Para evitar ataques de seguridad por fuerza bruta, puede configurar la configuración de bloqueo del usuario. La configuración permite que un administrador de red impida que un usuario del sistema inicie sesión en un dispositivo Citrix ADC. Y también desbloquea la cuenta de usuario antes de que caduque el periodo de bloqueo.

En el símbolo del sistema, escriba:

set aaa parameter -maxloginAttempts <value> -failedLoginTimeout <value> -persistentLoginAttempts (ENABLED | DISABLED)

Nota

El parámetro “PersistentLoginIntts” debe estar ENABLED para obtener los detalles del almacenamiento persistente de intentos de inicio de sesión de usuario fallidos.

Ejemplo:

set aaa parameter -maxloginAttempts 3 -failedLoginTimeout 10 -persistentLoginAttempts ENABLED

Configurar el bloqueo de cuentas de usuario del sistema mediante la GUI

  1. Vaya a Configuración > Seguridad > Tráfico de aplicaciones AAA > Configuración de autenticación > Cambiar configuración AAA de autenticación.

  2. En la página Configurar Parámetro AAA, defina los siguientes parámetros:

    1. Intentos de inicio de sesión máximo. El número máximo de intentos de inicio de sesión permitidos para que el usuario lo intente.
    2. Error de tiempo de espera de inicio de sesión Número máximo de intentos de inicio de sesión no válidos por parte del usuario.
    3. Intentos de inicio de sesión persistentes Almacenamiento persistente de intentos de inicio de sesión de usuario fallidos.

  3. Haga clic en Aceptar.

    Configuración de GUI para el bloqueo de cuentas de usuario del sistema

Cuando establece los parámetros, la cuenta de usuario se bloquea durante 10 minutos para tres o más intentos de inicio de sesión no válidos. Además, el usuario no puede iniciar sesión incluso con credenciales válidas durante 10 minutos.

Nota

Si un usuario bloqueado intenta iniciar sesión en el dispositivo, aparece un mensaje de error RBA Authentication Failure: maxlogin attempt reached for test..

Bloquear cuenta de usuario del sistema para acceder a la administración

El dispositivo Citrix ADC le permite bloquear a un usuario del sistema durante 24 horas y denegar el acceso al usuario.

El dispositivo Citrix ADC admite la configuración tanto para usuarios del sistema como para usuarios externos.

Nota

La función solo se admite si inhabilita la opción persistentLoginAttempts en el parámetro aaa.

En el símbolo del sistema, escriba:

set aaa parameter –persistentLoginAttempts DISABLED

Ahora, para bloquear una cuenta de usuario, en el símbolo del sistema, escriba:

lock aaa user test

Bloquear una cuenta de usuario del sistema mediante la GUI

  1. Vaya a Configuración > Seguridad > Tráfico de aplicaciones AAA > Configuración de autenticación > Cambiar configuración AAA de autenticación.

    Procedimiento GUI para bloquear la cuenta de usuario del sistema

  2. En Configurar parámetro AAA, en la lista Intentos de inicio de sesión persistentes, seleccione INHABILITADO.
  3. Vaya a Sistema > Administración de usuarios > Usuarios.
  4. Seleccione un usuario.

  5. En la lista Seleccionar acción, seleccione Bloquear.

    Seleccionar opción de bloqueo

Nota

La GUI de Citrix ADC no tiene la opción de bloquear usuarios externos. Para bloquear un usuario externo, el administrador de ADC debe usar la CLI. Cuando un usuario del sistema bloqueado (bloqueado con el comando de usuario de autenticación de bloqueo, autorización y auditoría) intenta iniciar sesión en Citrix ADC, el dispositivo muestra un mensaje de error “Error de autenticación de RBA: prueba de usuario está bloqueada durante 24 horas”.

Cuando un usuario está bloqueado para iniciar sesión en el acceso de administración, el acceso a la consola está exento. El usuario bloqueado puede iniciar sesión en la consola.

Desbloquear una cuenta de usuario del sistema bloqueada para acceder a la administración

Los usuarios del sistema y los usuarios externos pueden bloquearse durante 24 horas mediante el comando de usuario de autenticación, autorización y auditoría de bloqueo.

Nota

El dispositivo ADC permite a los administradores desbloquear al usuario bloqueado y la función no requiere ninguna configuración en el comando “PersistentLoginIntts”.

En el símbolo del sistema, escriba:

unlock aaa user test

Configurar el desbloqueo del usuario del sistema mediante la GUI

  1. Vaya a Sistema > Administración de usuarios > Usuarios.
  2. Seleccione un usuario.

  3. Haga clic en Desbloquear.

    Configurar desbloqueo de usuarios del sistema

La GUI de Citrix ADC solo enumera los usuarios del sistema creados en el ADC, por lo que no hay opción en la GUI para desbloquear usuarios externos. Para desbloquear un usuario externo, el nsroot administrador debe usar la CLI.

Inhabilitar el acceso a la administración para la cuenta de usuario

Cuando la autenticación externa está configurada en el dispositivo y, como administrador, prefiere denegar el acceso a los usuarios del sistema para iniciar sesión en el acceso de administración, debe inhabilitar la opción LocalAuth en el parámetro del sistema.

En el símbolo del sistema, escriba lo siguiente:

set system parameter localAuth <ENABLED|DISABLED>

Ejemplo:

set system parameter localAuth DISABLED

Inhabilitar el acceso de administración al usuario del sistema mediante la GUI

  1. Vaya a Configuración > Sistema > Configuración > Cambiar la configuración global del sistema.

  2. En la sección Interfaz de línea de comandos (CLI), desactive la casilla Autenticación local.

    Procedimiento de GUI para inhabilitar el acceso de administración al usuario del sistema

Al inhabilitar la opción, los usuarios del sistema local no pueden iniciar sesión en el acceso de administración de ADC.

Nota

El servidor de autenticación externo debe estar configurado y accesible para no permitir la autenticación de usuario del sistema local en el parámetro del sistema. Si no se puede acceder al servidor externo configurado en ADC para el acceso de administración, los usuarios del sistema local pueden iniciar sesión en el dispositivo. El comportamiento se configura para fines de recuperación.

Forzar cambio de contraseña para usuarios administrativos

Para la autenticaciónnsroot segura, el dispositivo Citrix ADC solicita al usuario que cambie la contraseña predeterminada a una nueva si la forcePasswordChange opción está habilitada en el parámetro del sistema. Puede cambiar su nsroot contraseña desde CLI o GUI, en su primer inicio de sesión con las credenciales predeterminadas.

En el símbolo del sistema, escriba:

set system parameter -forcePasswordChange ( ENABLED | DISABLED )

Ejemplo de sesión SSH para NSIP:

ssh nsroot@1.1.1.1
Connecting to 1.1.1.1:22...
Connection established.
To escape to local shell, press Ctrl+Alt+].
###############################################################################
WARNING: Access to this system is for authorized users only #
Disconnect IMMEDIATELY if you are not an authorized user! #

###############################################################################
Please change the default NSROOT password.
Enter new password:
Please re-enter your password:
Done
<!--NeedCopy-->

Quitar archivos confidenciales de una cuenta de usuario del sistema

Para administrar datos confidenciales como claves autorizadas y claves públicas para una cuenta de usuario del sistema, debe habilitar la removeSensitiveFiles opción. Los comandos que eliminan archivos confidenciales cuando se habilita el parámetro del sistema son:

  • rm cluster instance
  • rm cluster node
  • nodo de alta disponibilidad de rm
  • borrar configuración completa
  • unir clúster
  • add cluster instance

En el símbolo del sistema, escriba:

set system parameter removeSensitiveFiles ( ENABLED | DISABLED )

Ejemplo:

set system parameter -removeSensitiveFiles ENABLED

Configuración segura de contraseñas para usuarios del sistema

Para la autenticación segura, el dispositivo Citrix ADC pide a los usuarios y administradores del sistema que establezcan contraseñas seguras para iniciar sesión en el dispositivo. La contraseña debe ser larga y debe ser una combinación de:

  • Un carácter minúscula
  • Un carácter mayúscula
  • Un carácter numérico
  • Un carácter especial

En el símbolo del sistema, escriba:

set system parameter -strongpassword <value> -minpasswordlen <value>

Donde:

Strongpassword. Después de habilitar la contraseña segura (enable all / enablelocal), todas las contraseñas o información confidencial deben tener lo siguiente:

  • Al menos 1 carácter minúscula
  • Al menos 1 carácter mayúscula
  • Al menos 1 carácter numérico
  • Al menos 1 carácter especial

Excluir la lista en enablelocal es - NS_FIPS, NS_CRL, NS_RSAKEY, NS_PKCS12, NS_PKCS8, NS_LDAP, NS_TACACS, NS_TACACSACTION, NS_RADIUS, NS_RADIUSACTION, NS_ENCRYPTION_PARAMS. Por lo tanto, no se realizan comprobaciones de contraseña segura en estos comandos ObjectType para el usuario del sistema.

Valores posibles: enableall, enablelocal, disabled Valor predeterminado: disabled

minpasswordlen. Longitud mínima de la contraseña de usuario del sistema. Cuando la contraseña segura está habilitada de forma predeterminada, la longitud mínima es 4. El valor introducido por el usuario puede ser mayor o igual a 4. El valor mínimo predeterminado es 1 cuando la contraseña segura está inhabilitada. El valor máximo es 127 en ambos casos.

Valor mínimo: 1 Valor máximo: 127

Ejemplo:

set system parameter -strongpassword enablelocal -minpasswordlen 6

Cuenta de usuario predeterminada

El administrador puede utilizar la cuenta de nsrecover usuario para recuperar el dispositivo Citrix ADC. Puede iniciar sesión en el dispositivo ADC nsrecover si los usuarios predeterminados del sistema (nsroot) no pueden iniciar sesión debido a problemas imprevistos. El nsrecover inicio de sesión es independiente de las configuraciones del usuario y le permite acceder directamente al mensaje del shell. Siempre se le permite iniciar sesión a través de nsrecover independientemente del límite máximo de configuración que se alcance.

Gestión de cuentas de usuario y contraseñas
August 20, 2021
Contribución de: 
C
August 20, 2021
Contribución de: 
C

En este artículo

Comentarios sobre el sitio | Condiciones legales y de privacidad | Preferencias de cookies | Parámetros de consentimiento
© 1999- Cloud Software Group, Inc. All rights reserved.