NetScaler GatewayとXenMobile

XenMobileを使用してNetScaler Gatewayを構成すると、リモートデバイスで内部ネットワークにアクセスするための認証メカニズムが確立されます。この機能を利用すると、モバイルデバイス上のアプリでイントラネット内にある社内サーバーにアクセスすることができます。XenMobileにより、デバイス上のアプリからNetScaler GatewayへのMicro VPNが作成されます。

XenMobileで使用するNetScaler Gatewayを構成するには、NetScaler Gatewayで実行するスクリプトをXenMobileからエクスポートします。

NetScaler Gateway構成スクリプトを使用するための前提条件

NetScalerの要件

  • NetScaler(最小バージョン11.0、ビルド70.12)
  • NetScalerのIPアドレスが構成済みであり、LDAPサーバーに接続できる(LDAPが負荷分散されていない場合)
  • NetScalerのサブネットIP(SNIP:Subnet IP)アドレスが構成済みであり、必要なバックエンドサーバーに接続でき、ポート8443/TCP経由でパブリックネットワークにアクセスできる
  • DNSでパブリックドメインを解決できる
  • NetScalerにプラットフォーム/ユニバーサルライセンスまたはトライアルライセンスが付与されている。詳しくは、「https://support.citrix.com/article/CTX126049」を参照してください。
  • NetScaler GatewayのSSL証明書をNetScalerでアップロードしインストールしている。詳しくは、https://support.citrix.com/article/CTX136023を参照してください。

XenMobileの要件

  • XenMobileサーバー(最小バージョン10.6)
  • LDAPサーバーが構成済みである

内部ネットワークへのリモートデバイスアクセスに対する認証の構成

  1. XenMobileコンソールで、右上の歯車アイコンをクリックします。[設定] ページが開きます。

  2. [サーバー] の下の [NetScaler Gateway] をクリックします。[NetScaler Gateway]ページが開きます。次の例では、NetScaler Gatewayインスタンスが1つ存在しています。

    NetScaler Gateway構成画面の画像

  3. 次の設定を構成します。

    • 認証: 認証を有効にするかどうかを選択します。デフォルトは [オン] です。
    • 認証用のユーザー証明書を配信: XenMobileでSecure Hubと認証証明書を共有し、NetScaler Gatewayでクライアント証明書認証を処理できるようにするかどうかを選択します。デフォルトは [オフ] です。
    • 資格情報プロバイダー: ボックスの一覧で、使用する資格情報プロバイダーを選択します。詳しくは、「資格情報プロバイダー」を参照してください。
  4. [保存] をクリックします。

NetScaler Gatewayインスタンスの追加

認証設定の保存後、NetScaler GatewayインスタンスをXenMobileに追加します。

  1. XenMobileコンソールで、右上の歯車アイコンをクリックします。[設定] ページが開きます。

  2. [サーバー] の下の [NetScaler Gateway] をクリックします。[NetScaler Gateway]ページが開きます。

  3. [追加] をクリックします。[新しいNetScaler Gatewayの追加] ページが開きます。

    NetScaler Gateway構成画面の画像

  4. 次の設定を構成します。

    • 名前: NetScaler Gatewayインスタンスの名前を入力します。
    • エイリアス: オプションで、NetScaler Gatewayのエイリアス名を入力します。
    • 外部URL: NetScaler Gatewayの、パブリックにアクセスできるURLを入力します。たとえば、https://receiver.comのようになります。
    • ログオンの種類: ログオンの種類を選択します。種類には、[ドメインのみ][セキュリティトークンのみ][ドメインおよびセキュリティトークン][証明書][証明書およびドメイン][証明書およびセキュリティトークン] があります。[パスワードが必要] フィールドのデフォルト設定は、選択した [ログオンの種類] に基づいて変化します。デフォルトは [ドメインのみ] です。

    ドメインが複数ある場合は、[証明書およびドメイン] を使用します。XenMobileとNetScaler Gatewayで複数ドメイン認証を構成する方法については、「複数ドメイン認証の構成」を参照してください。

    [Certificate and security token]を使用する場合、NetScaler GatewayでSecure Hubがサポートされるようにするには、追加の設定が必要となります。詳しくは、「証明書認証およびセキュリティトークン認証のためのXenMobileの構成」を参照してください。

    詳しくは、展開ハンドブックの「認証」を参照してください。

    • パスワードが必要: パスワード認証を必須にするかどうかを選択します。デフォルト値は、選択した [ログオンの種類] に応じて変化します。
    • デフォルトとして設定: このNetScaler Gatewayをデフォルトとして使用するかどうかを選択します。デフォルトは [オフ] です。
    • 構成スクリプトのエクスポート: 構成バンドルをエクスポートする場合はこのボタンをクリックします。エクスポートした構成バンドルはNetScaler Gatewayにアップロードし、XenMobileの設定を使用して構成します。詳しくは、これらの手順の後で「XenMobileサーバーで使用するオンプレミスのNetScaler Gatewayの構成」を参照してください。
    • [コールバックURL][仮想IP]: これらのフィールドを追加する前に設定を保存してください。詳しくは、この記事の「コールバックURLおよびNetScaler Gateway VPNの仮想IPの追加」を参照してください。
  5. [保存] をクリックします。

    新しいNetScaler Gatewayが追加され、表に表示されます。インスタンスを編集または削除するには、表で名前をクリックします。

XenMobileサーバーで使用するNetScaler Gatewayの構成

XenMobileサーバーで使用するオンプレミスのNetScaler Gatewayを構成するには以下の一般的な手順を実行します。これらの手順の詳細は下記で説明します。

  1. XenMobileサーバーからスクリプトと関連ファイルをダウンロードします。最新の手順について詳しくは、スクリプトに付属するreadmeファイルを参照してください。

  2. 環境が前提条件を満たしていることを確認します。

  3. 環境に合わせてスクリプトを更新します。

  4. NetScalerでスクリプトを実行します。

  5. 構成をテストします。

スクリプトにより、XenMobileに必要なこれらのNetScaler Gatewayの設定が構成されます。

  • MDMとMAMに必要なNetScaler Gateway仮想サーバー
  • NetScaler Gateway仮想サーバー用セッションポリシー
  • XenMobile Serverの詳細
  • NSG仮想サーバーの認証ポリシーとアクション。 スクリプトによってLDAPの構成設定が説明されます。
  • プロキシサーバーのトラフィックアクションとポリシー
  • クライアントレスアクセスプロファイル
  • NetScalerの静的ローカルDNSレコード
  • 他のバインディング:サービスポリシー、CA証明書

このスクリプトは以下の構成には対応していません。

  • Exchange負荷分散
  • ShareFile負荷分散
  • ICAプロキシ構成
  • SSLオフロード

スクリプトをダウンロード、更新、実行するには

  1. NetScaler Gatewayを追加中の場合は、[新しいNetScaler Gatewayの追加] ページで [構成スクリプトのエクスポート] をクリックします。

    NetScaler Gateway構成画面の画像

    NetScaler Gatewayインスタンスを追加しスクリプトのエクスポート前に [保存] をクリックしている場合は、[設定]>[NetScaler Gateway] に戻り、目的のNetScalerを選択して [構成スクリプトのエクスポート] をクリックし、[ダウンロード] をクリックします。

    NetScaler Gateway構成画面の画像

    [構成スクリプトのエクスポート] をクリックすると、XenMobileにより.tar.gz形式のスクリプトバンドルが作成されます。このスクリプトバンドルの内容は次のとおりです。

    • 詳細説明付きのreadmeファイル
    • NetScalerの必須コンポーネントの構成に使用するNetScaler CLIコマンドを含むスクリプト
    • XenMobileサーバーのパブリックルートCA(認証機関:Certificate Authority)証明書および中間CA証明書(現在のリリースでは、SSLオフロードの場合これらの証明書は不要です)
    • NetScalerの構成の削除に使用するNetScaler CLIコマンドを含むスクリプト
  2. スクリプト(NSGConfigBundle_CREATESCRIPT.txt)を編集し、すべてのプレースホルダーを環境の情報で置き換えます。

    サンプルスクリプトファイルの画像

  3. スクリプトバンドルに含まれるreadmeファイルの説明に従って、編集済みのスクリプトをNetScalerのbashシェルで実行します。次に例を示します:

    /netscaler/nscli -U :<NetScaler Management Username>:<NetScaler Management Password> batch -f "/var/NSGConfigBundle_CREATESCRIPT.txt"

    NetScalerのbashシェルの画像

    スクリプトが完了すると、次の行が表示されます。

    NetScalerのbashシェルの画像

構成のテスト

  1. NetScaler Gateway仮想サーバーの状態表示が [UP] であることを確認します。

    NetScaler VPX構成画面の画像

  2. Proxy負荷分散仮想サーバーの状態表示が [UP] であることを確認します。

    NetScaler VPX構成画面の画像

  3. Webブラウザーを開いてNetScaler GatewayのURLに接続し、認証を試みます。認証が失敗した場合、「HTTP Status 404 - Not Found」というメッセージが表示されます。

  4. デバイスを登録して、MDMとMAMの両方に登録されたことを確認します。

コールバックURLおよびNetScaler Gateway VPNの仮想IPの追加

NetScaler Gatewayインスタンスを追加した後で、コールバックURLを追加しNetScaler Gateway仮想IPアドレスを指定できます。この設定はオプションですが、特にXenMobile ServerがDMZに配置されている場合、構成することでセキュリティを強化できます。

  1. [設定]>[NetScaler Gateway] で、目的のNetScaler Gatewayを選択して [編集] をクリックします。

  2. 表で [追加] をクリックします。

  3. [コールバックURL] に完全修飾ドメイン名(FQDN)を入力します。このコールバックURLにより、要求元がNetScaler Gatewayであることが証明されます。

    入力したコールバックURLが、XenMobileサーバーからアクセス可能なIPアドレスに解決されることを確認します。コールバックURLには、外部のNetScaler GatewayのURLや他のURLも指定できます。

  4. NetScaler Gatewayの 仮想IP アドレスを入力してから [保存] をクリックします。

複数ドメイン認証の構成

テスト環境、開発環境、および実稼働環境などの複数のXenMobile Serverインスタンスがある場合は、追加の環境用に手動でNetScaler Gatewayを構成します。(NetScaler for XenMobileウィザードは1回のみ使用できます)。

NetScaler Gateway設定

複数ドメイン環境でNetScaler Gateway認証ポリシーとセッションポリシーを構成するには:

  1. NetScaler Gateway構成ユーティリティの [構成] タブで [NetScaler Gateway]>[ポリシー]>[認証] を展開します。
  2. ナビゲーションペインで [LADP] をクリックします。
  3. クリックしてLDAPプロファイルを編集します。[サーバーログオン名の属性]userPrincipalName、または検索に使用する属性に変更します。指定した属性を記録します。この属性は、XenMobileコンソールでLDAP設定を構成するときに使用する必要があります。

    NetScaler Gateway構成画面の画像

  4. 各LDAPポリシーに対してこれらの手順を繰り返します。ドメインごとに個別のLDAPポリシーが必要です。
  5. NetScaler Gateway仮想サーバーにバインドされたセッションポリシーで、[Edit session profile]>[Published Applications] に移動します。[Single Sign-On Domain] は空白にしてください。

XenMobile Serverの構成

LDAPを複数ドメインのXenMobile環境に構成するには:

  1. XenMobileコンソールで、[設定]>[LDAP] に移動し、ディレクトリを追加または編集します。

    XenMobileのLDAP設定画面の画像

  2. 情報を指定します。

    • [ドメインエイリアス] でユーザー認証に使用する各ドメインを指定します。ドメインはコンマで区切り、ドメイン間にはスペースを入れないでください。例:domain1.com,domain2.com,domain3.com

    • [ユーザー検索基準] フィールドがNetScaler Gateway LDAPポリシーで指定された [サーバーログオン名の属性] と一致するようにしてください。

    XenMobile LDAP設定画面のイメージ

特定のURLへの受信接続要求を破棄

ご使用の環境のCitrix GatewayがSSLオフロード用に構成されている場合は、ゲートウェイで特定のURLへの受信接続要求が破棄されるようにすることができます。

この方法でセキュリティを強化する必要がある場合は、Citrix Gatewayで2台のMDMロードバランサーvServer(ポート443用とポート8443用)を構成します。以下の情報を設定のテンプレートとして使用してください。

重要:

以下の更新は、SSLオフロード用に設定されたCitrix Gateway専用です。

  1. 名前XMS_DropURLsのパターンセットを作成します。

    add policy patset XMS_DropURLs
    
  2. 新しいパターンセットに次のURLを追加します。必要に応じてこの一覧をカスタマイズしてください。

    bind policy patset XMS_DropURLs /zdm/shp/console -index 6
    
    bind policy patset XMS_DropURLs /zdm/login_xdm_uc.jsp -index 5
    
    bind policy patset XMS_DropURLs /zdm/helper.jsp -index 4
    
    bind policy patset XMS_DropURLs /zdm/log.jsp -index 3
    
    bind policy patset XMS_DropURLs /zdm/login.jsp -index 2
    
    bind policy patset XMS_DropURLs /zdm/console -index 1
    
  3. 接続要求が指定されたサブネットから発信されていない限り、これらのURLへのすべてのトラフィックを破棄するためのポリシーを作成します。

    add responder policy XMS_DROP_pol “CLIENT.IP.SRC.IN_SUBNET(192.168.0.0/24).NOT &&
    HTTP.REQ.URL.CONTAINS_ANY(”XMS_DropURLs”)” DROP -comment "Allow only subnet 192.168.0.0/24 to access these URLs. All other connections are DROPed"
    
  4. 新しいポリシーを両方のMDMロードバランサーvServerにバインドします(ポート443と8443)。

    bind lb vserver _XM_LB_MDM_XenMobileMDM_443 -policyName XMS_DROP_pol -priority 100 -gotoPriorityExpression END -type REQUEST
    
    bind lb vserver _XM_LB_MDM_XenMobileMDM_8443 -policyName XMS_DROP_pol -priority 100 -gotoPriorityExpression END -type REQUEST