Déchargement de l’authentification Kerberos des serveurs physiques
L’appliance Citrix ADC peut décharger les tâches d’authentification des serveurs. Au lieu des serveurs physiques authentifiant les demandes des clients, Citrix ADC authentifie toutes les demandes client avant de les transmettre à l’un des serveurs physiques qui lui sont liés. L’authentification de l’utilisateur est basée sur des jetons Active Directory.
Il n’y a pas d’authentification entre le Citrix ADC et le serveur physique, et le déchargement de l’authentification est transparent pour les utilisateurs finaux. Après l’ouverture de session initiale sur un ordinateur Windows, l’utilisateur final n’a pas à entrer d’informations d’authentification supplémentaires dans une fenêtre contextuelle ou sur une page d’ouverture de session.
Dans la version actuelle de l’appliance Citrix ADC, l’authentification Kerberos est disponible uniquement pour l’authentification, l’autorisation et l’audit des serveurs virtuels de gestion du trafic. L’authentification Kerberos n’est pas prise en charge pour le VPN SSL dans l’appliance Citrix Gateway Advanced Edition ou pour la gestion de l’appliance Citrix ADC.
L’authentification Kerberos nécessite une configuration sur l’appliance Citrix ADC et sur les navigateurs clients.
Pour configurer l’authentification Kerberos sur l’appliance Citrix ADC
-
Créez un compte d’utilisateur sur Active Directory. Lors de la création d’un compte d’utilisateur, vérifiez les options suivantes dans la section Propriétés de l’utilisateur :
- Assurez-vous de ne pas sélectionner l’option Modifier le mot de passe lors de la prochaine ouverture de session.
- Assurez-vous de sélectionner l’option Mot de passe n’expire pas.
-
Sur le serveur AD, à l’invite de commande CLI, tapez :
- ktpass -princ HTTP/kerberos.crete.lab.net@crete.lab.net -ptype KRB5_NT_PRINCIPAL -mapuser kerbuser@crete.lab.net -mapop set -pass Citrix1 -out C:\kerbtabfile.txt
Remarque
Assurez-vous de taper la commande ci-dessus sur une seule ligne. La sortie de la commande ci-dessus est écrite dans le fichier C:\kerbtabfile.txt.
-
Téléchargez le fichier kerbtabfile.txt dans le répertoire /etc de l’appliance Citrix ADC à l’aide d’un client SCP (Secure Copy).
-
Exécutez la commande suivante pour ajouter un serveur DNS à l’appliance Citrix ADC.
- ajouter le serveur de noms dns 1.2.3.4
L’appliance Citrix ADC ne peut pas traiter les demandes Kerberos sans le serveur DNS. Veillez à utiliser le même serveur DNS que celui utilisé dans le domaine Microsoft Windows.
-
Basculez vers l’interface de ligne de commande de Citrix ADC.
-
Exécutez la commande suivante pour créer un serveur d’authentification Kerberos :
- add authentication negotiateAction KerberosServer -domain “crete.lab.net” -domainUser kerbuser -domainUserPasswd Citrix1 -keytab /var/mykcd.keytab
Remarque
Si keytab n’est pas disponible, vous pouvez spécifier les paramètres : domain, DomainUser et -DomainUserPassWD.
-
Exécutez la commande suivante pour créer une stratégie de négociation :
add authentication negotiatePolicy Kerberos-Policy "REQ.IP.DESTIP == 192.168.17.200" KerberosServer
-
Exécutez la commande suivante pour créer un serveur virtuel d’authentification.
add authentication vserver Kerb-Auth SSL 192.168.17.201 443 -AuthenticationDomain crete.lab.net
-
Exécutez la commande suivante pour lier la stratégie Kerberos au serveur virtuel d’authentification :
bind authentication vserver Kerb-Auth -policy Kerberos-Policy -priority 100
-
Exécutez la commande suivante pour lier un certificat SSL au serveur virtuel d’authentification. Vous pouvez utiliser l’un des certificats de test, que vous pouvez installer à partir de l’appliance Citrix ADC GUI. Exécutez la commande suivante pour utiliser l’exemple de certificat ServerTestCert.
bind ssl vserver Kerb-Auth -certkeyName ServerTestCert
-
Créez un serveur virtuel d’équilibrage de charge HTTP avec l’adresse IP 192.168.17.200.
Assurez-vous de créer un serveur virtuel à partir de l’interface de ligne de commande pour les versions NetScaler 9.3 si elles sont antérieures à 9.3.47.8.
-
Exécutez la commande suivante pour configurer un serveur virtuel d’authentification :
set lb vserver <name>-authn401 ON -authnVsName Kerb-Auth
-
Entrez le nom d’hôteExempledans la barre d’adresse du navigateur Web.
Le navigateur Web affiche une boîte de dialogue d’authentification car l’authentification Kerberos n’est pas configurée dans le navigateur.
Remarque
L’authentification Kerberos nécessite une configuration spécifique sur le client. Assurez-vous que le client peut résoudre le nom d’hôte, ce qui entraîne la connexion du navigateur Web à un serveur virtuel HTTP.
-
Configurez Kerberos sur le navigateur Web de l’ordinateur client.
- Pour la configuration sur Internet Explorer, reportez-vous à la section Configuration d’Internet Explorer pour l’authentification Kerberos.
- Pour la configuration sur Mozilla Firefox, reportez-vous à la section Configuration d’Internet Explorer pour l’authentification Kerberos.
-
Vérifiez si vous pouvez accéder au serveur physique principal sans authentification.
Pour configurer Internet Explorer pour l’authentification Kerberos
- Sélectionnez Options Internet dans le menu Outils .
- Activez l’onglet Sécurité .
- Sélectionnez Intranet local dans la section Sélectionner une zone pour afficher les paramètres de sécurité modifiés.
- Cliquez sur Sites.
- Cliquez sur Avancé.
- Spécifiez l’URL, Exemple puis cliquez sur Ajouter.
- Redémarrez Internet Explorer.
Pour configurer Mozilla Firefox pour l’authentification Kerberos
- Entrez about:config dans la barre d’adresse du navigateur.
- Cliquez sur l’avertissement de non-responsabilité.
- Tapez Network.Negotiate-auth.Trusted-URIS dans la zone Filtre .
-
Double-cliquez sur Network.Negotiate-auth.Trusted-URIS. Un exemple d’écran est illustré ci-dessous.
- Dans la boîte de dialogue Entrer la valeur de chaîne, spécifiez www.crete.lab.net.
- Redémarrez Firefox.