ネットスケーラー ゲートウェイ
重要:
これらの変更を適用する前に、NetScalerのスナップショットを作成するか、NetScalerの設定を保存することをお勧めします。
-
<https://www.citrix.com/downloads/citrix-secure-private-access/Shell-Script/Shell-Script-for-Gateway-Configuration.html>からスクリプトをダウンロードします。新しいNetScaler Gatewayを作成するには、ns_gateway_secure_access.shを使用します。既存のNetScaler Gatewayを更新するには、ns_gateway_secure_access_update.shを使用します。 -
これらのスクリプトをNetScalerマシンにアップロードします。WinSCPアプリまたはSCPコマンドを使用できます。例:
scp ns_gateway_secure_access.sh nsroot@nsalfa.fabrikam.local:/var/tmp。例:scp ns_gateway_secure_access.sh nsroot@nsalfa.fabrikam.local:/var/tmp注:-
一時データを保存するには、NetScalerの/var/tmpフォルダーを使用することをお勧めします。
-
ファイルがLF改行で保存されていることを確認してください。FreeBSDはCRLFをサポートしていません。
-
-bash: /var/tmp/ns_gateway_secure_access.sh: /bin/sh\^M: bad interpreter: No such file or directoryというエラーが表示される場合、それは改行が正しくないことを意味します。Notepad++などのリッチテキストエディターを使用してスクリプトを変換できます。
-
-
NetScalerにSSH接続し、シェルに切り替えます (NetScaler CLIで「shell」と入力します)。
-
アップロードしたスクリプトを実行可能にします。これにはchmodコマンドを使用します。
chmod +x /var/tmp/ns_gateway_secure_access.sh -
アップロードされたスクリプトをNetScalerシェルで実行します。
-
必要なパラメータを入力します。パラメータのリストについては、前提条件を参照してください。認証プロファイルとSSL証明書については、NetScaler上の既存のリソース名を提供する必要があります。複数のNetScalerコマンドを含む新しいファイル（デフォルトはvar/tmp/ns_gateway_secure_access）が生成されます。注:スクリプトの実行中に、NetScalerとSecure Private Accessプラグインの互換性がチェックされます。NetScalerがSecure Private Accessプラグインをサポートしている場合、スクリプトはNetScaler機能を有効にし、スマートアクセスタグ送信の改善と、リソースへのアクセスが制限された場合の新しい拒否ページへのリダイレクトをサポートします。スマートタグの詳細については、スマートアクセスタグのサポートを参照してください。/nsconfig/rc.netscalerファイルに永続化されたSecure Private Accessプラグイン機能により、NetScalerの再起動後もそれらを有効に保つことができます。
-
NetScaler CLIに切り替え、バッチコマンドを使用して新しいファイルから結果のNetScalerコマンドを実行します。例：
batch -fileName /var/tmp/ns_gateway_secure_access -outfile/var/tmp/ns_gateway_secure_access_outputNetScalerはファイル内のコマンドを1つずつ実行します。コマンドが失敗した場合でも、次のコマンドに進みます。リソースが存在する場合、またはステップ6で入力されたパラメータのいずれかが正しくない場合、コマンドは失敗する可能性があります。 -
すべてのコマンドが正常に完了したことを確認してください。
注:
エラーが発生した場合でも、NetScaler は残りのコマンドを実行し、リソースを部分的に作成/更新/バインドします。したがって、いずれかのパラメーターが正しくないために予期しないエラーが発生した場合は、最初から構成をやり直すことをお勧めします。
既存の構成を持つネットスケーラーゲートウェイでセキュアプライベートアクセスを構成する
既存の NetScaler Gateway でスクリプトを使用して Secure Private Access をサポートすることもできます。ただし、スクリプトは以下を更新しません。
-
既存のネットスケーラーゲートウェイ仮想サーバー
-
NetScaler Gateway にバインドされている既存のセッションアクションとセッションポリシー
実行前に各コマンドを確認し、ゲートウェイ構成のバックアップを作成してください。
「ネットスケーラー ゲートウェイ」仮想サーバーでの設定
既存の NetScaler Gateway 仮想サーバーを追加または更新する際は、以下のパラメーターが定義された値に設定されていることを確認してください。
仮想サーバーを追加する:
-
tcpProfileName: nstcp_default_XA_XD_profile
-
デプロイメントタイプ: ICA_STOREFRONT (
add vpn vserverコマンドでのみ利用可能) -
ICAのみ: オフ
-
dtls: 無効です
仮想サーバーを更新する:
-
tcpProfileName: nstcp_default_XA_XD_profile
-
ICAのみ: オフ
使用例:
仮想サーバーを追加するには:
add vpn vserver _SecureAccess_Gateway SSL 999.999.999.999 443 -Listenpolicy NONE -tcpProfileName nstcp_default_XA_XD_profile -deploymentType ICA_STOREFRONT -vserverFqdn gateway.mydomain.com -authnProfile auth_prof_name -icaOnly OFF dtls: OFF
仮想サーバーを更新するには:
set vpn vserver _SecureAccess_Gateway -icaOnly OFF
仮想サーバーのパラメーターの詳細については、vpn-sessionActionを参照してください。
ネットスケーラー ゲートウェイ セッションアクション
セッションアクションは、セッションポリシーを持つゲートウェイ仮想サーバーにバインドされます。セッションアクションを作成する際は、以下のパラメーターが定義された値に設定されていることを確認してください。
-
transparentInterception: オフ -
SSO: ON -
ssoCredential: プライマリ -
useMIP: NS -
useIIP: オフ -
icaProxy: オフ -
wihome:"https://storefront.mydomain.com/Citrix/MyStoreWeb"- 実際のストアURLに置き換えてください。ストアへのパス/Citrix/MyStoreWebはオプションです。 -
ClientChoices: オフ -
ntDomain: mydomain.com - SSOに使用されます（オプション） -
defaultAuthorizationAction: 許可 -
authorizationGroup: SecureAccessGroup (このグループが作成されていることを確認してください。これはSecure Private Access固有の承認ポリシーをバインドするために使用されます) -
clientlessVpnMode: オン -
clientlessModeUrlEncoding: 透過 -
SecureBrowse: 有効 -
Storefronturl:"https://storefront.mydomain.com" -
sfGatewayAuthType: ドメイン
例を次に示します:
セッションアクションを追加するには:
add vpn sessionAction AC_OS_SecureAccess_Gateway -transparentInterception OFF -SSO ON -ssoCredential PRIMARY -useMIP NS -useIIP OFF -icaProxy OFF -wihome "https://storefront.mydomain.com/Citrix/MyStoreWeb" -ClientChoices OFF -ntDomain mydomain.com -defaultAuthorizationAction ALLOW -authorizationGroup SecureAccessGroup -clientlessVpnMode ON -clientlessModeUrlEncoding TRANSPARENT -SecureBrowse ENABLED -storefronturl "https://storefront.mydomain.com" -sfGatewayAuthType domain
セッションアクションを更新するには:
set vpn sessionAction AC_OS_SecureAccess_Gateway -transparentInterception OFF -SSO ON
For details on session action parameters, see `<https://developer-docs.netscaler.com/en-us/adc-command-reference-int/13-1/vpn/vpn-sessionaction>`.
Secure Private AccessプラグインをVPN仮想サーバーにバインドするには。
bind vpn vserver spaonprem -appController "https://spa.example.corp"
ICA®アプリとの互換性
Secure Private Accessプラグインをサポートするために作成または更新されたNetScaler Gatewayは、ICAアプリを列挙して起動するためにも使用できます。この場合、Secure Ticket Authority (STA) を構成し、NetScaler Gatewayにバインドする必要があります。 注: STAサーバーは通常、Citrix Virtual Apps and Desktops™ DDC展開の一部です。
詳細については、以下のトピックを参照してください。
スマートアクセスタグのサポート
以下のバージョンでは、NetScaler Gatewayはタグを自動的に送信します。スマートアクセスタグを取得するためにゲートウェイコールバックアドレスを使用する必要はありません。
-
13.1–48.47以降
-
14.1–4.42以降
スマートアクセスタグは、Secure Private Accessプラグインリクエストのヘッダーとして追加されます。
Secure Private Access の切り替え設定を構成する方法
次の表に、オンプレミス展開でスマートアクセスタグをサポートするために使用する必要があるトグルを示します。
| トグル名 | 項目説明 |
|---|---|
nsapimgr_wr.sh -ys call=ns_vpn_enable_spa_onprem |
オンプレミス展開でSecure Private Accessを有効にする |
nsapimgr_wr.sh -ys call=ns_vpn_disable_spa_onprem |
オンプレミス展開でSecure Private Accessを無効にする |
nsapimgr_wr.sh -ys ns_vpn_enable_spa_tcp_udp_apps=3 |
TCP/UDPアプリを有効にする |
nsapimgr_wr.sh -ys ns_vpn_enable_spa_tcp_udp_apps=0 |
TCP/UDPアプリを無効にする |
nsapimgr_wr.sh -ys call=toggle_vpn_enable_securebrowse_client_mode |
HTTPコールアウト構成でSecureBrowseクライアントモードを有効にする |
nsapimgr -ys call=toggle_vpn_redirect_to_access_restricted_page_on_deny |
アクセスが拒否された場合に「アクセス制限」ページへのリダイレクトを有効にする。 |
nsapimgr -ys call=toggle_vpn_use_cdn_for_access_restricted_page |
CDNでホストされている「アクセス制限」ページを使用します。 |
注:
-
個別の無効化コマンドがないトグルを無効にするには、同じコマンドを再度実行します。これは、コマンドに「toggle」が含まれるコマンドにのみ適用されます。
-
トグルがオンかオフかを確認するには、
nsconmsgコマンドを実行します。 -
NetScaler Gatewayでスマートアクセスタグを設定するには、「コンテキストタグの設定」を参照してください。
NetScaler 上でセキュア プライベート アクセス プラグイン設定を永続化する
NetScalerでSecure Private Accessプラグイン設定を永続化するには、次の手順を実行します。
-
ファイル /nsconfig/rc.netscaler を作成または更新します。
-
次のコマンドをファイルに追加します。
nsapimgr_wr.sh -ys call=ns_vpn_enable_spa_onpremnsapimgr_wr.sh -ys call=toggle_vpn_enable_securebrowse_client_modensapimgr_wr.sh -ys call=toggle_vpn_redirect_to_access_restricted_page_on_denynsapimgr_wr.sh -ys call=toggle_vpn_use_cdn_for_access_restricted_page -
ファイルを保存します。
NetScalerが再起動されると、Secure Private Accessプラグイン設定が自動的に適用されます。
パブリックゲートウェイ証明書のアップロード
Secure Private Accessマシンからパブリックゲートウェイに到達できない場合は、パブリックゲートウェイ証明書をSecure Private Accessデータベースにアップロードする必要があります。
パブリックゲートウェイ証明書をアップロードするには、次の手順を実行します。
-
管理者権限でPowerShellまたはコマンドプロンプトウィンドウを開きます。
-
Change the directory to the Admin\AdminConfigTool folder under the Secure Private Access installation folder (for example, cd "C:\Program Files\Citrix\Citrix Access Security\Admin\AdminConfigTool")
-
次のコマンドを実行します。
\AdminConfigTool.exe /UPLOAD_PUBLIC_GATEWAY_CERTIFICATE <PublicGatewayUrl> <PublicGatewayCertificatePath>
既知の制限事項
-
既存のNetScaler Gatewayはスクリプトで更新できますが、単一のスクリプトではカバーできないNetScaler構成が無限に存在する可能性があります。
-
Secure Private Accessが有効なVPN仮想サーバーでは、ICA ProxyをOFFに設定することをお勧めします。
-
クラウドに展開されたNetScalerを使用する場合、ネットワークでいくつかの変更を行う必要があります。たとえば、特定のポートでNetScalerと他のコンポーネント間の通信を許可します。ポートの詳細については、「通信ポート」を参照してください。
-
NetScaler GatewayでSSOを有効にする場合は、NetScalerがプライベートIPアドレスを使用してStoreFront™と通信することを確認してください。StoreFrontのプライベートIPアドレスを使用して、新しいStoreFront DNSレコードをNetScalerに追加する必要がある場合があります。