Product Documentation

Consideraciones de SSO y proxy para aplicaciones MDX

La integración de XenMobile con NetScaler le permite ofrecer a los usuarios un inicio de sesión único (SSO) a todos los recursos back-end HTTP o HTTPS. Según los requisitos de autenticación de SSO, puede configurar las conexiones de usuario para que una aplicación MDX use cualquiera de estas opciones:

  • Exploración segura (un tipo de VPN sin cliente)
  • Túnel VPN completo

Si NetScaler no es el mejor medio para ofrecer SSO en el entorno, puede configurar directivas para que las aplicaciones MDX almacenen las contraseñas en caché local. En este artículo se exploran las diversas opciones SSO y proxy, centrándose sobre todo en Secure Web. Los conceptos se aplican a otras aplicaciones MDX.

En el siguiente diagrama de flujo, se resume el recorrido de decisiones para SSO y las conexiones de usuario.

Diagrama de flujo de decisiones para SSO y las conexiones de usuario

Métodos de autenticación de NetScaler

En esta sección se ofrece información general sobre los métodos de autenticación que admite NetScaler.

Autenticación SAML

Cuando configura NetScaler para SAML (Security Assertion Markup Language), los usuarios pueden conectarse a las aplicaciones Web que admiten el protocolo SAML para el inicio SSO. NetScaler Gateway admite el inicio SSO del proveedor de identidades (IdP) para aplicaciones Web SAML.

Configuración requerida:

  • Configure SSO con SAML en el perfil de tráfico de NetScaler.
  • Configure un proveedor de identidades con SAML para el servicio solicitado.

Autenticación NTLM

Si el inicio SSO para las aplicaciones Web está habilitado en el perfil de la sesión, NetScaler realiza automáticamente la autenticación NTLM.

Configuración requerida:

  • Habilite SSO en la sesión o el perfil de tráfico de NetScaler.

Suplantación Kerberos

XenMobile solo admite Kerberos para Secure Web. Cuando configura NetScaler para el inicio SSO con Kerberos, NetScaler utiliza la suplantación cuando NetScaler dispone de una contraseña de usuario. La suplantación significa que NetScaler usa credenciales de usuario para obtener el tíquet necesario para obtener acceso a servicios como Secure Web.

Configuración requerida:

  • Configure la directiva de sesión “Worx” de NetScaler para que pueda identificar el territorio Kerberos en la conexión.
  • Configure una cuenta de delegación limitada de Kerberos (KCD) en NetScaler. Configure esa cuenta sin contraseña y vincúlela a una directiva de tráfico en la puerta de enlace de XenMobile.
  • Para conocer esos y otros detalles de configuración, consulte el blog de Citrix: WorxWeb and Kerberos Impersonation SSO.

Delegación limitada de Kerberos

XenMobile solo admite Kerberos para Secure Web. Cuando configura NetScaler para el inicio SSO con Kerberos, NetScaler utiliza la delegación limitada cuando NetScaler no dispone de la contraseña de usuario.

Con la delegación limitada, NetScaler usa una cuenta de administrador específica para obtener tíquets en nombre de los usuarios y los servicios.

Configuración requerida:

  • Configure una cuenta KCD en Active Directory con los permisos necesarios y una cuenta KDC en NetScaler.
  • Habilite SSO en el perfil de tráfico de NetScaler.
  • Configure el sitio Web back-end para la autenticación Kerberos.
  • Para conocer esos y otros detalles de configuración, consulte el blog de Citrix: Configuring Kerberos Single Sign-on for WorxWeb.

Autenticación con rellenado de formularios

Cuando configura NetScaler para el inicio SSO basado en formularios, los usuarios pueden iniciar sesión una vez para acceder a todas las aplicaciones protegidas de la red. Este método de autenticación se aplica a las aplicaciones que usan los modos Exploración segura o VPN completo.

Configuración requerida:

  • Configure el inicio SSO basado en formularios en el perfil de tráfico de NetScaler.

Autenticación HTTP implícita

Si habilita el inicio SSO para las aplicaciones Web en el perfil de la sesión, NetScaler realiza automáticamente la autenticación HTTP implícita. Este método de autenticación se aplica a las aplicaciones que usan los modos Exploración segura o Túnel VPN completo.

Configuración requerida:

  • Habilite SSO en la sesión o el perfil de tráfico de NetScaler.

Autenticación HTTP básica

Si habilita el inicio SSO para las aplicaciones Web en el perfil de la sesión, NetScaler realiza automáticamente la autenticación HTTP básica. Este método de autenticación se aplica a las aplicaciones que usan los modos Exploración segura o Túnel VPN completo.

Configuración requerida:

  • Habilite SSO en la sesión o el perfil de tráfico de NetScaler.

Exploración segura, Túnel VPN completo o Túnel VPN completo con archivo PAC

En las secciones siguientes, se describen los tipos de conexión de usuario para Secure Web. Para obtener más información, consulte este artículo de Secure Web en Configuración de conexiones de usuario de la documentación de Citrix.

Túnel VPN completo

Las conexiones por túnel a la red interna pueden usar un túnel VPN completo. Establezca la directiva “Modo preferido de VPN” de Secure Web en el valor “Túnel VPN completo”. Citrix recomienda el valor “Túnel VPN completo” para conexiones que usan certificados de cliente o SSL de extremo a extremo para conectarse a un recurso de la red interna. El modo “Túnel VPN completo” gestiona cualquier protocolo por TCP. Puede usar el túnel VPN completo con dispositivos Windows, Mac, iOS y Android.

En el modo “Túnel VPN completo”, NetScaler no tiene visibilidad dentro de una sesión HTTPS.

Exploración segura

Las conexiones por túnel a la red interna pueden utilizar una variante de VPN sin cliente conocida como “Exploración segura”. Esta es la configuración predeterminada para la directiva Modo preferido de VPN de Secure Web. Citrix recomienda el valor “Exploración segura” para conexiones que requieren Single Sign-On (SSO).

En el modo “Exploración segura”, NetScaler divide la sesión HTTPS en dos partes:

  • Desde el cliente a NetScaler
  • Desde NetScaler hasta el servidor back-end de recursos.

De esta manera, NetScaler tiene una visibilidad total de todas las transacciones entre el cliente y el servidor, lo que le permite ofrecer SSO.

También puede configurar los servidores proxy de Secure Web cuando se usa el modo “Exploración segura”. Para obtener más información, consulte el blog XenMobile WorxWeb Traffic Through Proxy Server in Secure Browse Mode.

Túnel VPN completo con archivo PAC

Puede usar un archivo de configuración automática de proxy (PAC) con una implementación de túnel VPN completo para un Secure Web presente en dispositivos iOS y Android. XenMobile respalda la autenticación de proxy suministrada por NetScaler. Un archivo PAC contiene reglas que definen el modo en que los exploradores Web seleccionan un proxy para acceder a una dirección URL especificada. Las reglas del archivo PAC pueden especificar cómo gestionar tanto sitios internos como sitios externos. Secure Web analiza las reglas del archivo PAC y envía la información del servidor proxy a NetScaler Gateway. NetScaler Gateway no detecta el archivo PAC ni el servidor proxy.

Para la autenticación en sitios Web HTTPS, la directiva MDX Habilitar caché de contraseñas Web permite a Secure Web autenticarse y ofrecer SSO en el servidor proxy a través de MDX.

Túnel dividido de NetScaler

Cuando planifique la configuración de SSO y proxy, también debe decidir si usar el túnel dividido de NetScaler o no. Citrix recomienda que utilice el túnel dividido de NetScaler solo si es necesario. En esta sección se ofrece una vista de alto nivel sobre cómo funciona el túnel dividido: NetScaler determina la ruta del tráfico en función de su tabla de enrutamiento. Cuando el túnel dividido de NetScaler está activado, Secure Hub distingue el tráfico de red interno (protegido) del tráfico de Internet. Secure Hub realiza esa distinción en función del sufijo DNS y las aplicaciones de la intranet. A continuación, Secure Hub envía por el túnel VPN solo el tráfico de la red interna. Cuando el túnel dividido de NetScaler está desactivado, todo el tráfico pasa por el túnel VPN.

  • Si, por motivos de seguridad, prefiere supervisar todo el tráfico, desactive el túnel dividido de NetScaler. Como resultado, todo el tráfico pasará por el túnel VPN.
  • Si usa “Túnel VPN completo con archivo PAC”, debe inhabilitar el túnel dividido de NetScaler Gateway. Si el túnel dividido está activado y se configura un archivo PAC, las reglas del archivo PAC anulan las reglas del túnel dividido de NetScaler. Un servidor proxy configurado en una directiva de tráfico no anula las reglas de túnel dividido de NetScaler.

De forma predeterminada, la directiva Acceso de red tiene el valor Túnel a la red interna. Con esa configuración, las aplicaciones MDX utilizan los parámetros del túnel dividido de NetScaler. El valor predeterminado de la directiva Acceso de red difiere de una aplicación a otra de las aplicaciones móviles de productividad.

NetScaler Gateway también tiene un modo de túnel dividido inverso de micro VPN. Esta configuración admite una lista de exclusión de direcciones IP que no se envían por el túnel de NetScaler. En vez de ello, esas direcciones se envían utilizando la conexión a Internet del dispositivo. Para obtener más información sobre el túnel dividido inverso, consulte la documentación de NetScaler Gateway.

XenMobile incluye una Lista de exclusión para revertir túnel dividido. Para impedir que determinados sitios Web usen el túnel a través de NetScaler Gateway, agregue una lista de nombres de dominio completo (FQDN) o sufijos DNS, separados por comas, para que se conecten a través de la red LAN en lugar del túnel. Esta lista se aplica solamente al modo “Exploración segura” cuando NetScaler Gateway está configurado en el modo túnel dividido revertido.