Solución de problemas básicos

Este tema enumera algunos de los errores que puedes encontrar durante o después de configurar el acceso privado seguro.

Errores de certificado

Errores de creación de bases de datos

Fallas de StoreFront

Fallas en la puerta de enlace pública/puerta de enlace de devolución de llamada

Servidor de acceso privado seguro no accesible

Errores de certificado

Mensaje de error: No se pueden obtener los certificados automáticamente de uno o más servidores de puerta de enlace.

Este mensaje de error aparece cuando intenta agregar una dirección pública de NetScaler Gateway y hay un problema al obtener el certificado. Este problema puede ocurrir al configurar el acceso privado seguro o al actualizar la configuración una vez completada la configuración.

Solución alternativa: actualice el certificado de puerta de enlace de la misma manera en que lo haría para Citrix Virtual Apps and Desktops.

Errores de creación de bases de datos

• Mensaje de error: Error al crear la base de datos

  Resolución: Para el caso automático: la máquina debe tener permisos de LECTURA, ESCRITURA y ACTUALIZACIÓN para crear tablas dentro de la base de datos en el servidor SQL.

• Mensaje de error: Error al crear la base de datos: ya existe una base de datos.

  Este mensaje de error puede aparecer en cualquiera de los siguientes escenarios.

  • Si se selecciona la opción Configuración automática al configurar las bases de datos.

  • Si el administrador está creando una base de datos, debe ser una base de datos vacía. Este mensaje de error puede aparecer si la base de datos no está vacía.

    Resolución: Debe crear una base de datos vacía.

  • Desinstale Secure Private Access y vuelva a intentar la configuración con el mismo nombre de sitio. En este caso, la base de datos de la instalación anterior no se habría eliminado.

    Resolución: Debe eliminar manualmente la base de datos.

  • Puede elegir configurar la base de datos manualmente (seleccionando Configuración manual en la página Configuración de bases de datos) mediante el script y luego cambiar a la opción Configuración automática pero usar el mismo nombre de sitio. En este caso, ya se crea una base de datos con el mismo nombre al ejecutar el script.

    Resolución: Debes cambiar el nombre del sitio y luego ejecutar el script nuevamente.

  • La máquina no tiene los permisos de LECTURA, ESCRITURA y ACTUALIZACIÓN para crear tablas dentro de la base de datos en el servidor SQL.

    Resolución: Habilite los permisos apropiados en la máquina. Para obtener más detalles, consulte Permisos necesarios para configurar bases de datos.

• Mensaje de error: Error al crear la base de datos: Error de conexión

  Resolución:

  • Verifique la conectividad de la red de la base de datos desde su máquina. Asegúrese de que el puerto del servidor SQL esté abierto en el firewall.
  • Si usa un servidor SQL remoto, verifique si el servidor SQL tiene un inicio de sesión creado con la identidad de la máquina de acceso privado seguro, Dominio\nombre de host$.
  • Si utiliza un servidor SQL remoto, confirme que la identidad de la máquina tenga asignada la función correcta: función de administrador del sistema.
  • Si utiliza un servidor SQL local (no del instalador), verifique si el usuario NT AUTHORITY\SYSTEM debe tener un inicio de sesión creado.

Fallas de StoreFront

• Mensaje de error: No se pudo crear la entrada de StoreFront para: <Store URL>

  Actualice las entradas de StoreFront desde la pestaña Configuración si no está visible. Después de haber configurado el acceso privado seguro mediante el asistente, puede editar las entradas de StoreFront desde la pestaña Configuración . Anote la URL de la tienda StoreFront en la que se produjo este error.

  Resolución:

  1. Haga clic en Configuración y luego haga clic en la pestaña Integraciones .
  2. En StoreFront Store URL, agregue la entrada StoreFront si no está visible.

• Mensaje de error: No se pudo configurar la entrada de StoreFront para: <Store URL>

  Resolución:

  1. Es posible que exista una restricción en la política de ejecución de PowerShell. Ejecute el comando de script de PowerShell Get-ExecutionPolicy para obtener más detalles.

  2. Si está restringido, debe omitir esto y ejecutar un script de configuración de StoreFront manualmente.
  3. Haga clic en Configuración y luego haga clic en la pestaña Integraciones .
  4. En StoreFront URL de la tienda, identifique la entrada de URL de StoreFront para la que se produjo el error.
  5. Haga clic en el botón Descargar script junto a esta URL de la tienda y ejecute este script de PowerShell con privilegios de administrador en la máquina en la que está presente la instalación de StoreFront correspondiente. Este script debe ejecutarse en todas las máquinas StoreFront.

Nota

Si vuelve a intentar la instalación después de la desinstalación, asegúrese de que no tenga una entrada con el nombre “Acceso privado seguro” en la configuración de StoreFront (StoreFront > store> Delivery Controller -> Secure Private Access). Si está presente el acceso privado seguro, elimine esta entrada. Descargue y ejecute manualmente el script desde la página Configuración > Integraciones.

• Mensaje de error: La configuración de StoreFront no es local para: <Store URL>

  Después de haber configurado el acceso privado seguro mediante el asistente, puede editar las entradas de la puerta de enlace desde la pestaña Configuración. Anote la URL de la tienda StoreFront en la que se produjo este error.

  Resolución:

  Este problema ocurre si StoreFront no está instalado en la misma máquina que Secure Private Access. Debe ejecutar manualmente la configuración de StoreFront en la máquina donde haya instalado StoreFront.

  1. Haga clic en Configuración y luego haga clic en la pestaña Integraciones .
  2. En StoreFront URL de la tienda, identifique la entrada de URL de StoreFront para la que se produjo el error.
  3. Haga clic en el botón Descargar script junto a esta URL de la tienda y ejecute este script de PowerShell con privilegios de administrador en la máquina en la que está presente la instalación de StoreFront correspondiente. Este script debe ejecutarse en todas las máquinas StoreFront.

Nota

Para ejecutar el script de PowerShell de StoreFront, abra la ventana de PowerShell compatible con Windows x64 con privilegios de administrador y luego ejecute ConfigureStorefront.ps1. El script de StoreFront no es compatible con Windows PowerShell (x86).

• Mensaje de error: “Get-STFStoreService: Se lanzó una excepción del tipo ‘Citrix.DeliveryServices.Framework.Feature.Exceptions.RegistryKeyNotFoundException’” al ejecutar el script StoreFront con PowerShell.

  Este error se produce cuando el script StoreFront se ejecuta en una ventana de PowerShell compatible con x86.

  Solución:

  Para ejecutar el script de PowerShell de StoreFront, abra la ventana de PowerShell compatible con Windows x64 con privilegios de administrador y luego ejecute ConfigureStorefront.ps1.

Fallas en la puerta de enlace pública/puerta de enlace de devolución de llamada

Mensaje de error: No se pudo crear la entrada de puerta de enlace para: <Gateway URL> O No se pudo crear la entrada de puerta de enlace de devolución de llamada para: <Callback Gateway URL>

Resolución:

Anote la URL de la puerta de enlace pública o de la puerta de enlace de devolución de llamada donde se produjo el error. Después de haber configurado el acceso privado seguro mediante el asistente, puede editar las entradas de la puerta de enlace desde la pestaña Configuración .

1. Haga clic en Configuración y luego haga clic en la pestaña Integraciones .
2. Actualice la dirección de la puerta de enlace pública o la dirección de la puerta de enlace de devolución de llamada y la dirección IP virtual para la que ocurrió la falla.

Servidor de acceso privado seguro no accesible

Mensaje de error: No se pudo actualizar el grupo de IIS. No se pudo reiniciar el grupo de IIS

Resolución:

Vaya a Grupos de aplicaciones en Internet Information Services (IIS) y verifique que los siguientes grupos de aplicaciones se hayan iniciado y estén en ejecución:

• Grupo de tiempo de ejecución de acceso privado seguro
• Grupo de administración de acceso privado seguro

Verifique también que el sitio IIS predeterminado "Sitio web predeterminado" esté en funcionamiento.

Fallas en la comprobación de la conectividad de la base de datos

Mensaje de error: Error en la comprobación de conectividad

La comprobación de conectividad de la base de datos puede fallar debido a múltiples razones:

• No se puede acceder al servidor de base de datos desde la máquina host del complemento Secure Private Access debido a un firewall.

  Resolución: Verifique si el puerto de la base de datos (puerto predeterminado 1433) está abierto en el firewall.

• La máquina host del complemento Secure Private Access no tiene permiso para conectarse a la base de datos.

  Resolución: Consulte Permisos de base de datos SQL para acceso privado seguro.

Error en la comprobación de conectividad de la puerta de enlace. No se puede obtener el certificado público

Mensaje de error: La configuración posterior a la instalación falla con el error “Error en la comprobación de conectividad de la puerta de enlace”. No se puede obtener un certificado público….”

Solución:

• Cargue manualmente el certificado público de la puerta de enlace a la base de datos de acceso privado seguro utilizando la herramienta de configuración.
• Abra PowerShell o la ventana del símbolo del sistema con privilegios de administrador.
• Cambie el directorio a la carpeta Admin\AdminConfigTool debajo de la carpeta de instalación de Secure Private Access (por ejemplo, cd “C:\Archivos de programa\Citrix\Citrix Access Security\Admin\AdminConfigTool”)

• Ejecute este comando:

  .\AdminConfigTool.exe /UPLOAD_PUBLIC_GATEWAY_CERTIFICATE <PublicGatewayUrl> <PublicGatewayCertificatePath>

Error en la enumeración de aplicaciones

La enumeración de aplicaciones se interrumpe si la URL de StoreFront o la URL de NetScaler Gateway contienen una barra diagonal final (/).

Solución:

Elimine la barra diagonal final en la URL de la tienda StoreFront o la URL de NetScaler Gateway. Para obtener más detalles, consulte Actualizar los detalles del servidor StoreFront o NetScaler Gateway después de la configuración.

Otros

No se puede completar la primera configuración

Es posible que no pueda volver a configurar el servidor de licencias si la configuración de Director falló durante la primera configuración.

Solución:

Limpie manualmente la tabla license_server.

Crear paquete de soporte de diagnóstico de acceso privado seguro

Realice los siguientes pasos para crear un paquete de soporte de diagnóstico de acceso privado seguro:

• Abra PowerShell o la ventana del símbolo del sistema con privilegios de administrador.
• Cambie el directorio a la carpeta Admin\AdminConfigTool debajo de la carpeta de instalación de Secure Private Access (por ejemplo, cd “C:\Archivos de programa\Citrix\Citrix Access Security\Admin\AdminConfigTool”).

• Ejecute este comando:

  .\AdminConfigTool.exe /SUPPORTBUNDLE <output folder>

Permisos de base de datos SQL para acceso privado seguro

Para la creación automática de una base de datos, la máquina host del complemento Secure Private Access debe tener los permisos para conectarse a la base de datos y crear el esquema de la base de datos.

Base de datos remota:

Realice los siguientes pasos para configurar los permisos para una base de datos remota.

1. Cree una base de datos vacía con la sintaxis de nombre CitrixAccessSecurity<Site Name>. Aquí <Site Name> es el nombre del sitio de acceso privado seguro. (por ejemplo. CitrixAccessSecuritySPA).

   CREATE DATABASE CitrixAccessSecurity<SiteName>

2. Cree un inicio de sesión de servidor SQL para la identidad de la máquina para la máquina virtual de acceso privado seguro. Por ejemplo, si el nombre de la máquina de su agente de acceso privado seguro es HOST1 y el dominio de la máquina es DOMINIO1, entonces la identidad de la máquina es “DOMINIO1\HOST1$”. Si el inicio de sesión ya está creado, puede ignorar este paso.

   USE CitrixAccessSecurity<SiteName>

   CREATE LOGIN [DOMAIN1\HOST1$] FROM WINDOWS

   El nombre de dominio se puede encontrar mediante la siguiente consulta:

   SELECT DEFAULT_DOMAIN()[DomainName]

3. Asigne la función db_owner a la identidad de la máquina.

   USE CitrixAccessSecurity<SiteName>

   EXEC sys.sp_addrolemember [db_owner], 'DOMAIN1\HOST1$'

   ALTER USER [DOMAIN1\HOST1$] WITH DEFAULT_SCHEMA = dbo;

Base de datos local:

Realice los siguientes pasos para configurar los permisos para una base de datos local.

1. Cree una base de datos vacía con la sintaxis de nombre CitrixAccessSecurity<Site Name>. Aquí <Site Name> es el nombre del sitio de acceso privado seguro. (por ejemplo, CitrixAccessSecuritySPA).

   CREATE DATABASE CitrixAccessSecurity<SiteName>

2. Cree un inicio de sesión de servidor SQL para el usuario NT AUTHORITY\SYSTEM . Si el inicio de sesión ya está creado, puede ignorar este paso.

   USE CitrixAccessSecurity<SiteName>

   CREATE LOGIN [NT AUTHORITY\SYSTEM] FROM WINDOWS

3. Asigne la función db_owner al usuario “NT AUTHORITY\SYSTEM”.

   USE CitrixAccessSecurity<SiteName>

   EXEC sys.sp_addrolemember [db_owner], 'NT AUTHORITY\SYSTEM'

   ALTER USER [NT AUTHORITY\SYSTEM] WITH DEFAULT_SCHEMA = dbo;

Cuando crea manualmente la base de datos, el script de base de datos descargado agrega los permisos a la identidad de la máquina.

Cambiar el nivel de registro para solucionar problemas de registros

Los registros de solución de problemas son el nivel de registro de errores predeterminado.

Para cambiar el nivel de registro de los registros de resolución de problemas, en el servicio de tiempo de ejecución appsettings.json (C:\Program Files\Citrix\Citrix Access Security\Runtime\RuntimeService) actualice restrictedToMinimumLevel para TroubleshootingSql a uno de los siguientes valores:

-  Información
-  Depuración
-  Advertencia
-  Error

"Solución de problemas de SQL": { "restrictedToMinimumLevel": "Error", "límite de publicación por lotes": 50, "batchPeriod": "00:00:05" // 5 segundos }