Citrix ADC

Prise en charge de la configuration de l’attribut de cookie SameSite

L’attribut SameSite indique au navigateur si le cookie peut être utilisé pour le contexte inter-site ou uniquement pour le contexte de même site. En outre, si une application a l’intention d’être accédée dans un contexte intersite, elle ne peut le faire que via une connexion HTTPS. Pour plus de détails, voir RFC6265.

Jusqu’en février 2020, l’attribut SameSite n’était pas explicitement défini dans Citrix ADC. Le navigateur a pris la valeur par défaut (None). La non-définition de l’attribut SameSite n’a pas eu d’impact sur les déploiements Citrix Gateway et Citrix ADC AAA.

Avec la mise à niveau de certains navigateurs, tels que Google Chrome 80, il y a un changement dans le comportement inter-domaine par défaut des cookies. L’attribut SameSite peut être défini sur l’une des valeurs suivantes. La valeur par défaut de Google Chrome est définie sur Lax. Pour certaines versions d’autres navigateurs, la valeur par défaut de l’attribut SameSite peut toujours être définie sur Aucun.

  • Aucun : indique que le navigateur utilise le cookie dans un contexte intersite uniquement sur les connexions sécurisées.
  • Lax : Indique le navigateur à utiliser des cookies pour les requêtes sur le contexte du même site. Dans un contexte intersite, seules les méthodes HTTP sûres comme la requête GET peuvent utiliser le cookie.
  • Strict : Utilisez le cookie uniquement dans le même contexte de site.

S’il n’y a pas d’attribut SameSite dans le cookie, Google Chrome assume la fonctionnalité de SameSite = Lax. Par conséquent, pour les déploiements dans un iframe avec contexte intersite nécessitant l’insertion de cookies par le navigateur, Google Chrome ne partage pas les cookies intersites. Par conséquent, l’iframe dans le site Web peut ne pas se charger.

Un nouvel attribut de cookie nommé SameSite est ajouté aux serveurs virtuels VPN et Citrix ADC AAA. Cet attribut peut être défini au niveau global et au niveau du serveur virtuel.

Pour configurer l’attribut SameSite, vous devez effectuer les opérations suivantes :

  1. Définir l’attribut SameSite pour le serveur virtuel
  2. Lier les cookies au jeu de patchs (si le navigateur supprime les cookies intersites)

Définition de l’attribut SameSite à l’aide de l’interface de ligne de commande

Pour définir l’attribut Samesite au niveau du serveur virtuel, utilisez les commandes suivantes.

set vpn vserver VP1 -SameSite  [ STRICT | LAX | None ]
set aaa vserver VP1 -SameSite  [ STRICT | LAX | None ]

Pour définir l’attribut Samesite au niveau global, utilisez les commandes suivantes.

set vpn param VP1 -SameSite  [ STRICT | LAX | None ]
set aaa param VP1 -SameSite  [ STRICT | LAX | None ]

Remarque : le paramètre de niveau serveur virtuel prend la préférence sur le paramètre de niveau global. Citrix recommande de définir l’attribut de cookie Samesite au niveau du serveur virtuel.

Liaison des cookies au patset à l’aide de l’interface de ligne de commande

Si le navigateur supprime les cookies intersites, vous pouvez lier cette chaîne de cookies au patset NS_Cookies_Samesite existant afin que l’attribut SameSite soit ajouté au cookie.

Exemple :

bind patset ns_cookies_SameSite "NSC_TASS"
bind patset ns_cookies_SameSite "NSC_TMAS"

Définition de l’attribut SameSite à l’aide de l’interface graphique

Pour définir l’attribut SameSite au niveau du serveur virtuel :

  1. Accédez à Sécurité > AAA — Trafic des applications > Serveurs virtuels.
  2. Sélectionnez un serveur virtuel et cliquez sur Modifier.
  3. Cliquez sur l’icône Modifier dans la section Paramètres de baseet cliquez sur Plus.
  4. Dans SameSite, sélectionnez l’option selon les besoins.

Activez la case à cocher Samesite

Pour définir l’attribut SameSite au niveau global :

  1. Accédez à Sécurité > AAA — Trafic des applications > Modifier les paramètres d’authentification.

    Modifier les paramètres d'authentification

  2. Dans la page Configurer le paramètre AAA, cliquez sur la liste Samesite et sélectionnez l’option selon vos besoins.

    Sélectionnez l'option SameSite

Prise en charge de la configuration de l’attribut de cookie SameSite