Uso de la directiva avanzada para crear directivas VPN

October 11, 2019

Contributed by: C

Classic Policy Engine (PE) y Advance Policy Infrastructure (PI) son dos marcos de configuración y evaluación de políticas diferentes que Citrix ADC admite actualmente.

Advance Policy Infrastructure consiste en un lenguaje de expresión extremadamente potente. El lenguaje de expresión se puede utilizar para definir reglas en directiva, definir varias partes de acción y otras entidades admitidas. El lenguaje de expresión puede analizar a través de cualquier parte de la solicitud o respuesta y también le permite mirar profundamente a través de los encabezados y la carga útil. El mismo lenguaje de expresión se expande y funciona a través de todos los módulos lógicos compatibles con Citrix ADC.

Nota: Se recomienda utilizar directivas avanzadas para crear políticas.

¿Por qué migrar de la política clásica a la política avanzada?

Advanced Policy tiene un conjunto de expresiones enriquecido y ofrece una flexibilidad mucho mayor que la Classic Policy. A medida que Citrix ADC escala y atiende a una gran variedad de clientes, es imperativo admitir expresiones que superan ampliamente las directivas avanzadas. Para obtener más información, consultePolíticas y expresiones.

A continuación se presentan las capacidades agregadas para la directiva avanzada.

Posibilidad de acceder al cuerpo de los mensajes.
Soporta muchos protocolos adicionales.
Accede a muchas funciones adicionales del sistema.
Tiene más número de funciones básicas, operadores y tipos de datos.
Atiende al análisis de archivos HTML, JSON y XML.
Facilita la rápida coincidencia de varias cadenas paralelas (parches, etc.).

Ahora las siguientes directivas VPN se pueden configurar mediante la directiva avanzada.

Política de sesión
Política de autorización
Política de tráfico
Política de túnel
Política de auditoría

Además, el análisis de punto final (EPA) se puede configurar como un factor nFactor para la función de autenticación. EPA se utiliza como gatekeeper para dispositivos de punto final que intentan conectarse al dispositivo Gateway. Antes de que se muestre la página de inicio de sesión de puerta de enlace en un dispositivo de extremo, el dispositivo se comprueba para los requisitos mínimos de hardware y software, según los criterios de elegibilidad configurados por el administrador de puerta de enlace. El acceso a Gateway se concede en función del resultado de las comprobaciones realizadas. Anteriormente, EPA se configuraba como parte de la directiva de sesión. Ahora se puede vincular a nFactor proporcionando más flexibilidad, en cuanto a cuándo se puede realizar. Para obtener más información sobre EPA, consulteCómo funcionan las directivas de endpointel tema. Para obtener más información sobre nFactor, consulteAutenticación nFactorel tema.

Casos de uso:

EPA de autenticación previa mediante EPA avanzada

La exploración EPA previa a la autenticación se realiza antes de que el usuario proporcione las credenciales de inicio de sesión. Para obtener información sobre cómo configurar Citrix Gateway para la autenticación nFactor con la exploración EPA previa a la autenticación como uno de los factores de autenticación, consulte elCTX224268tema.

EPA posterior a la autenticación mediante EPA avanzada

El análisis EPA posterior a la autenticación se realiza después de verificar las credenciales del usuario. En la infraestructura de directivas clásica, la EPA posterior a la autenticación se configuró como parte de la política de sesión o acción de sesión. En Infraestructura de políticas avanzada, la exploración EPA debe configurarse como factor EPA en la autenticación de factor n. Para obtener información sobre cómo configurar Citrix Gateway para la autenticación de factor n con la exploración EPA posterior a la autenticación como uno de los factores de autenticación, consulte elCTX224303tema.

EPA de autenticación previa y versiones posteriores a la autenticación mediante directivas avanzadas

EPA se puede realizar antes de la autenticación y versiones posteriores a la autenticación. Para obtener información sobre cómo configurar Citrix Gateway para la autenticación nFactor con exploraciones EPA previas y versiones posterioreses a la autenticación, consulteCTX231362el tema.

Escaneo EPA periódico como factor en la autenticación nFactor

En Infraestructura de directivas clásica, el análisis periódico EPA se configuró como parte de la acción de directiva de sesión. En infraestructura de políticas avanzada, se puede configurar como parte del factor EPA en autenticación de factor n.

Para obtener más información sobre cómo configurar la exploración periódica de EPA como factor en la autenticación nFactor, haga clic enCTX231361el tema.

Solución de problemas:

Se deben tener en cuenta los siguientes puntos para la resolución de problemas.

Las directivas clásicas y avanzadas del mismo tipo (por ejemplo, la directiva de sesión) no pueden vincularse a la misma entidad o punto de enlace.
La prioridad es obligatoria para todas las políticas de PI.
La política avanzada para VPN puede vincularse a todos los puntos de enlace.
La política avanzada con la misma prioridad se puede vincular a un único punto de enlace.
Si no se golpea ninguna de las directivas de autorización configuradas, se aplica la acción de autorización global configurada en el parámetro VPN.
En la directiva de autorización, la acción de autorización no se invierte si se produce un error en la regla de autorización.

Expresiones equivalentes de directiva avanzada de uso común para la directiva clásica:

Expresiones de política clásicas	Expresiones de política avanzada
ns_true	true
ns_false	false
REQ.HTTP	HTTP.REQ
RES.HTTP	HTTP.RES
HEADER “foo”	HEADER(“foo”)
CONTAINS ”bar”	.CONTAINS(“bar”) [Tenga en cuenta el uso de “.”.]
REQ.IP	CLIENT.IP
RES.IP	SERVER.IP
SOURCEIP	SRC
DESTIP	DST
REQ.TCP	CLIENT.TCP
RES.TCP	SERVER.TCP
SOURCEPORT	SRCPORT
DESTPORT	DSTPORT
STATUSCODE	STATUS
REQ.SSL.CLIENT.CERT	CLIENT.SSL.CLIENT_CERT

The official version of this content is in English. Some of the Citrix documentation content is machine translated for your convenience only. Citrix has no control over machine-translated content, which may contain errors, inaccuracies or unsuitable language. No warranty of any kind, either expressed or implied, is made as to the accuracy, reliability, suitability, or correctness of any translations made from the English original into any other language, or that your Citrix product or service conforms to any machine translated content, and any warranty provided under the applicable end user license agreement or terms of service, or any other agreement with Citrix, that the product or service conforms with any documentation shall not apply to the extent that such documentation has been machine translated. Citrix will not be held responsible for any damage or issues that may arise from using machine-translated content.

Uso de la directiva avanzada para crear directivas VPN

October 11, 2019

Contributed by: C

En este artículo

¿Por qué migrar de la política clásica a la política avanzada?
EPA de autenticación previa mediante EPA avanzada
EPA posterior a la autenticación mediante EPA avanzada
EPA de autenticación previa y versiones posteriores a la autenticación mediante directivas avanzadas
Escaneo EPA periódico como factor en la autenticación nFactor

Modificar esta página