Documentación de productos
Citrix Gateway
Current Release 13.0 12.1
Ver PDF

Configurar Citrix Gateway para usar micro VPN con Microsoft Endpoint Manager

April 3, 2020
Contribución de: 
C

La integración de microVPN de Citrix con Microsoft Endpoint Management permite a sus aplicaciones acceder a recursos locales. Para obtener información detallada, consulte Integración de microVPN de Citrix con Microsoft Endpoint Manager.

Requisitos del sistema

  • Citrix Gateway 12.0.59.x, 12.1.50.x o versiones posteriores.

    Puede descargar la versión más reciente de Citrix Gateway desde la página de descargas de Citrix Gateway.

  • Un escritorio con Windows 7 o posterior (solo para empaquetar aplicaciones Android)

  • Microsoft
    • Acceso a Azure AD (con privilegios de administrador de arrendatarios)
    • Arrendatario compatible con Intune
  • Reglas del firewall
    • Habilitar una regla de firewall para el tráfico SSL desde una IP de subred de Citrix Gateway a *.manage.microsoft.com, https://login.microsoftonline.com y https://graph.windows.net (puerto 443)
    • Citrix Gateway debe poder resolver externamente las direcciones URL anteriores.

Requisitos previos

  • Entorno Intune: si no tiene un entorno Intune, configure uno. Para obtener instrucciones, consulte documentación de Microsoft.

  • Edge Browser App: El SDK de Micro VPN está integrado en la aplicación Microsoft Edge y la aplicación Intune Managed Browser para iOS y Android. Para obtener más información acerca de Managed Browser, consulte la página Managed Browser de Microsoft.

Conceder permisos de aplicación de Azure Active Directory (AAD)

  1. Consentimiento a la aplicación AAD multiarrendatario de Citrix para permitir que Citrix Gateway se autentique con el dominio AAD. El administrador global de Azure debe visitar la siguiente dirección URL y dar su consentimiento:

    https://login.windows.net/common/adminconsent?client_id=b6a53a76-5d50-499e-beb3-c8dbdad5c40b&redirect_uri=https://www.citrix.com&state=consent.

  2. Consentimiento a la aplicación AAD multiarrendatario de Citrix para permitir que las aplicaciones móviles se autentiquen con la microVPN de Citrix Gateway. Este vínculo solo es necesario si el administrador global de Azure ha cambiado el valor predeterminado para que los usuarios puedan registrar aplicaciones de Sí a No. Esta configuración se puede encontrar en el portal de Azure en Azure Active Directory > Usuarios > Configuración de usuario. El administrador global de Azure debe visitar la siguiente dirección URL y dar su consentimiento (agregar su ID de arrendatario) https://login.microsoftonline.com/[tenant_id]/adminconsent?client_id=9215b80e-186b43a1-8aed-9902264a5af7.

Configurar Citrix Gateway para microVPN

Para usar una micro VPN con Intune, debe configurar Citrix Gateway para que se autentique en Azure AD. Un servidor virtual de Citrix Gateway que ya exista no funciona para este caso de uso. En primer lugar, configure Azure AD para que se sincronice con Active Directory local. Este paso es necesario para que la autenticación entre Intune y Citrix Gateway se realice correctamente.

Descargar script: El archivo ZIP incluye un archivo Léame con instrucciones para implementar el script. Debe introducir manualmente la información que requieren las scripts y ejecutar la script en Citrix Gateway para configurar el servicio. Puede descargar el archivo de script desde página Descargas de Citrix.

Importante: Una vez que haya completado la configuración de Citrix Gateway y vea el estado de OAuth distinto de COMPLETO, consulte la sección Solución de problemas.

Configuración del Explorador de Microsoft Edge

  1. Inicie sesión en https://portal.azure.com/ y, a continuación, vaya a Intune > Aplicaciones móviles.
  2. Publique la aplicación perimetral como lo hace normalmente y, a continuación, agregue una directiva de configuración de la aplicación.
  3. En Administrar, haga clic en Directivas de configuración de aplicaciones.
  4. Haga clic en Agregar y, a continuación, escriba un nombre para la directiva que quiere crear. En Tipo de inscripción de dispositivos, selecciona Aplicaciones administradas.
  5. Haga clic en Aplicación asociada.
  6. Seleccione las aplicaciones a las que quiere aplicar la directiva (explorador administrado de Microsoft Edge o Intune) y, a continuación, haga clic en Aceptar.
  7. Haga clic en las opciones de configuración.
  8. En el campo Nombre, escriba el nombre de una de las directivas enumeradas en la tabla siguiente.
  9. En el campo del valor, escriba el valor que quiere aplicar a esa directiva. Haga clic fuera del campo para agregar la directiva a la lista. Puede agregar varias directivas.
  10. Haga clic en Aceptar y, a continuación, en Agregar.

La directiva se agrega a la lista de directivas.

Nombre (iOS/Android) Valor Descripción
MvpnGatewayAddress https://external.companyname.com URL externa de su dispositivo Citrix Gateway
MvpnNetworkAccess MvpnNetworkAccessTunneledWebSSOor Unrestricted MvpnNetworkAccessTunneledWebSSO es el valor predeterminado para el túnel
MvpnExcludeDomains Lista separada por comas del nombre de dominio que se va a excluir Opcional. Default=En blanco

Nota: Web SSO es el nombre de Secure Browse en la configuración. El comportamiento es el mismo.

  • MvpnNetworkAccess: MvpnNetworkAccessTunneledWebSSOpermite la redirección HTTP/HTTPS a través de Citrix Gateway, también conocido como SSO Web Tunneled-Web. La puerta de enlace responde a los desafíos de autenticación HTTP en línea, proporcionando una experiencia de inicio de sesión único (SSO). Para utilizar Web SSO, establezca esta directiva en MvpnNetworkAccessTunneledWebSSO. Actualmente no se admite la redirección completa del túnel. Use Unrestricted para dejar la tunelización de micro VPN desactivada.

  • MVPNExcludeDomains: Lista separada por comas de nombres de host o dominio que se excluirán del enrutamiento a través del proxy web inverso de Citrix Gateway. Se excluyen los nombres de host o dominio aunque la configuración de DNS dividida de Citrix Gateway haya configurado, de lo contrario, seleccionar el dominio o el host.

    Nota: Esta directiva solo se aplica a conexiones MvpnNetworkAccessTunneledWebSSO. Si MVPNNetworkAccess es Unrestricted, se omite esta directiva.

Solución de problemas

Problemas generales

Problema Resolución
Aparece el mensaje “Agregar directiva requerida” al abrir una aplicación Agregar directivas en la API de Microsoft Graph
Hay conflictos de directivas Solo se permite una sola directiva por aplicación
Aparece el mensaje “Error al empaquetar la aplicación” al envolver una aplicación. Para el mensaje completo, consulte a continuación La aplicación está integrada con el SDK de Intune. No es necesario que envuelva la aplicación con el Intune
La aplicación no se puede conectar a los recursos internos Asegúrese de que los puertos de firewall correctos estén abiertos, de que corrija el ID de arrendatario, etc.

Error al empaquetar el mensaje de error de la aplicación:

Error al empaquetar la aplicación. com.microsoft.intune.mam.apppackager.utils.AppPackagerException: Esta aplicación ya tiene integrado el SDK MAM. com.microsoft.Intune.mam.AppPackager.AppPackager.PackageApp (AppPackager.java:113) com.microsoft.Intune.mam.AppPackager.PackagerMain.MainInternal (PackagerMain.java:198) com.microsoft.Intune.mam.AppPackager.PackagerMain.Main (PackagerMain.java:56) no se puede envolver.

Problemas de Citrix Gateway

Problema Resolución
Los permisos necesarios para configurarse para la aplicación de Gateway en Azure no están disponibles. Compruebe si dispone de una licencia adecuada de Intune. Intente usar el portal manage.windowsazure.com para ver si se puede agregar el permiso. Contacte con la asistencia de Microsoft si el problema persiste.
Citrix Gateway no puede contactar con login.microsoftonline.comandgraph.windows.net. Desde NS Shell, compruebe si puede acceder al siguiente sitio web de Microsoft: curl -v -k https://login.microsoftonline.com. A continuación, compruebe si DNS está configurado en Citrix Gateway. Compruebe también que la configuración del firewall sea correcta (en caso de que las solicitudes DNS sean firewall).
Aparece un error en ns.log después de configurar OAuthAction. Compruebe si las licencias de Intune están habilitadas y si la aplicación Azure Gateway tiene establecidos los permisos adecuados.
El comando Sh OAuthAction no muestra el estado de OAuth como completo. Consulte la configuración de DNS y los permisos configurados en la aplicación de Azure Gateway.
El dispositivo Android o iOS no muestra la solicitud de autenticación dual. Compruebe si el ID de dispositivo de factor dual LogonSchema está vinculado al servidor virtual de autenticación.

Estado de OAuth y condición de error de Citrix Gateway

Estado Condición de error
AADFORGRAPH Secreto no válido, URL no resuelta, tiempo de espera de la conexión agotado
MDMINFO *manage.microsoft.com está inactivo o inaccesible
GRAPH El punto final del gráfico no está accesible
CERTFETCH No se puede hablar con el token del dispositivo de punto final https://login.microsoftonline.com debido a un error de DNS. Para validar esta configuración, vaya a shell y escriba curl https://login.microsoftonline.com. Este comando debe validarse.

Nota: Cuando el estado OAuth es correcto, el estado se muestra como COMPLETO.

Configurar Citrix Gateway para usar micro VPN con Microsoft Endpoint Manager
April 3, 2020
Contribución de: 
C
April 3, 2020
Contribución de: 
C

En este artículo

Comentarios sobre el sitio | Condiciones legales y de privacidad | Preferencias de cookies | Parámetros de consentimiento
© 1999- Cloud Software Group, Inc. All rights reserved.