Citrix ADC

简化配置的 nFactor 可视化工具

January 25, 2021

贡献者:

自 Citrix ADC 13.0 Build 36.27 起，通过使用 nFactor 可视化工具简化通过 GUI 进行的 nFactor 配置。nFactor 可视化工具可帮助管理员添加多个因素，而不会丢失每个因素的跟踪。在流中构建的因素组显示在一个位置。管理员可以分别添加身份验证成功路径和失败路径。创建流程后，管理员必须将 nFactor 流绑定到身份验证虚拟服务器。

注意

管理员在 nFactor 流程中创建的所有因素都将保留以供将来使用。

从 Citrix ADC 功能版本 13.0 Build 64.35 及更高版本中，使用 nFactor 可视化工具，您可以使用决策块启动 nFactor 流。

以前，nFactor 配置很麻烦，因为管理员必须访问许多页面来进行配置。如果需要进行更改，管理员每次都必须重新访问配置的部分。此外，没有选择在一个地方查看完整的配置。

用例 1：RADIUS 后跟 LDAP 身份验证，否则通过 nFactor 可视化工具回退到 Captcha

实现 RADIUS 身份验证作为第一级身份验证，然后进行 LDAP 身份验证。如果 RADIUS 失败，身份验证必须回退到验证码。

使用案例 1

要实现此用例，您可以使用 nFactor 可视化工具。可视化工具提供了可用于添加此流程和相关项目的各种控件。

下图显示了使用可视化工具为上文提及的用例创建的 nFactor 流。

在可视化工具中使用案例 1

RADIUS。配置 RADIUS 作为第一个因素。添加登录架构和策略。在此示例中，radius_auth 和 Radius_Policy 是添加的登录架构和策略。对于 RADIUS_Policy，您可以为成功案例添加另一个因素。在此示例中，为成功案例添加了 LDAP 因子块。对于失败情况，你可以添加验证码因素。
LDAP。您将 LDAP 身份验证配置为第二个因素。添加登录架构和策略。在此示例中，ldap_auth 和 LDAP_policy 是添加的登录架构和策略。
Captcha。对于 RADIUS 策略失败案例，您可以创建验证码因素。在此示例中，验证码和 captcha_策略是添加的登录架构和策略。

用例 2：LDAP 后跟基于通过 nFactor 可视化工具的 LDAP 组成员关系的 Captcha 进行的 RADIUS/证书身份验证

实现 RADIUS 身份验证作为第一级身份验证，然后进行 LDAP 身份验证。如果 RADIUS 失败，身份验证必须回退到验证码。

使用案例 2

下图显示了使用可视化工具为上文提及的用例创建的 nFactor 流。

在可视化工具中使用 case2

LDAP。您将 LDAP 配置为第一个因素。添加登录架构和策略。在此示例中，SingleAuth 和 LDAP_policy 是添加的登录架构和策略。对于 LDAP_Policy，您可以为成功案例添加另一个因素。在此示例中，为成功案例添加了决策块。对于失败情况，你可以添加验证码后跟 AD 因素。
组提取 LDAP。是否为 LDAP 成功案例添加了决策块。决策块用作分支出因素，根据策略规则对用户进行分支。可视化工具只允许为决策块配置 NO_AUTN 策略。

在此示例中，Group_Extraction_LDAP 是决策块。您向此决策区域添加两个策略 (AD_Group_Partner and AD_Group_Employee)。如在用例中所述，所有通过 AD_Group_Partner 策略路由的请求都使用 RADIUS 身份验证。因此，您将此策略的成功案例连接到 RADIUS 因素的下一个因素。同样，通过 AD_Group_Employ 策略路由的所有请求都使用认证身份验证。因此，您将此策略的成功案例连接到下一个因素，即认证身份验证因素。
- RADIUS。对于 AD_Group_Partner 策略成功案例，您可以创建 RADIUS 身份验证因子。
- 证书。对于 AD_group_Employee 策略成功案例，您可以创建证书身份验证因子。
Captcha。对于 LDAP 策略失败案例，您可以创建两个接下来的因素验证码和 AD 因素。

注意

如果首先要分支使用案例，那么您可以创建两个流并单独绑定，也可以创建一个流，将第一个流作为分支出来创建一个流，然后将其绑定到虚拟服务器。

如果您有多个模块，并且要在 nFactor Flow 屏幕中查看整个流程，请单击可视化工具并将流程拖动到最左侧。

Citrix 建议仅使用 nFactor Flows 页面修改 nFactor 流。

使用 nFactor 可视化工具配置 nFactor

注意

以下 nFactor 配置是一个简单的示例，可帮助您完成用例 1 方案配置。

导航到安全 > AAA-应用程序流量 > nFactor 可视化工具 > nFactor 流。
单击添加。
在 nFactor 流页面上，单击 + 为流添加第一个因素。第一个因素也用作此 nFactor 流的标识符。
输入因素名称，然后单击创建。

因素名称显示在“nFactor 流”页面中的因素块上。

注意

Citrix 建议您不要将策略标签名称（例如 __root 和 __<flow_name>）用作后缀，不要将 _db_ 用作前缀。它用作在 nFactor 流中创建的因子名称。
创建 RADIUS 因素后，必须创建“添加架构”和“添加策略”。

注意

有关详细信息，请参阅nFactor 概念、实体和术语。
单击添加架构。您可以添加新的登录架构，也可以从身份验证登录架构列表中选择现有登录架构。
要创建登录架构，请单击添加，然后在创建身份验证登录架构页面中，输入架构的名称。单击编辑（铅笔图标）以从列表中选择登录架构文件。
单击添加策略。您可以创建身份验证策略或选择现有身份验证策略。
要创建新策略，请单击添加，然后在创建身份验证策略页面中，输入策略的名称，然后单击创建。
向因素添加登录架构和策略后，登录架构和策略将显示在可视化工具中的因素上，如下图所示。对于任何给定因素，您都可以添加多个策略并定义每个策略成功和失败的下一个因素。您还可以删除属于因素的一部分的策略。
创建流后，可以将 nFactor 流绑定到身份验证虚拟服务器。

添加下一个因素

要添加下一个因素，您可以根据您的要求选择以下选项之一：

创建因素。创建一个因素。在流中创建的每个因素都是该流独占的。
创建决策块。创建一个决策块以作为分支出因素。您不能将登录架构添加到决策块。可视化工具只允许为决策块配置 NO_AUTN 策略。

注意

您只能通过 Citrix ADC GUI 添加或编辑决策块。无法从 CLI 命令配置决策块。
连接到现有因素。选择一个现有因素作为下一个因素。现有列表中显示的所有因素都是专门为该流程创建的。
没有。删除现有连接。

将 nFactor 流绑定到身份验证服务器

在 nFactor 流页面上，选择您希望绑定到身份验证虚拟服务器的 nFactor 流。
单击汉堡图标以选择绑定到身份验证服务器选项，或在详细信息窗格中单击绑定到身份验证服务器。
在绑定到身份验证服务器页面上，您可以执行以下操作：
- 要添加身份验证虚拟服务器，请单击添加。
- 要从列表中选择现有身份验证服务器，请单击身份验证服务器字段。
单击汉堡包图标中的显示绑定以查看绑定。
要从特定 nFactor 流中取消绑定身份验证服务器，请执行以下步骤：
- 在nF因素流页面上，单击汉堡包图标中的 显示绑定 。
- 在身份验证服务器绑定页上，选择要取消绑定的身份验证服务器，然后单击取消绑定。单击关闭。

有关 nFactor 身份验证的详细信息，请参阅以下主题：

nFactor 可视化工具的增强功能

自 Citrix ADC 版本 13.0 Biuld 41.20 起，在 nFactor 可视化工具中进行以下增强。

管理员可以将创建的因素移动到垃圾桶图标中。
在身份验证虚拟服务器页面中查看 nFactor 流。

垃圾桶图标。管理员只能删除没有连接的节点。但是，如果将因素移动到垃圾桶，则不会删除基础策略或为该因素创建的架构。

要查看垃圾桶图标，请

导航到安全 > AAA-应用程序流量 > nFactor 可视化工具 > nFactor 流。
要删除因素，请单击因素块并将其拖动到回收站。

从身份验证虚拟服务器查看 nFactor 流。管理员还可以从身份验证虚拟服务器页面查看创建的 nFactor 流程。

要从身份验证虚拟服务器页面查看 nFactor 流，请

导航到安全性 > AAA — 应用程序流量 > 虚拟服务器。在身份验证虚拟服务器页面上，您可以执行以下步骤：
- 要添加身份验证虚拟服务器，请单击添加。
- 要编辑现有身份验证虚拟服务器，请单击详细信息窗格中的编辑选项。
在身份验证虚拟服务器页面上，可以查看高级身份验证策略下的 nFactor 流选项。
如果没有绑定到虚拟服务器的 nFactor 流，则可以单击高级身份验证策略部分下的 无 nFactor 流选项，以添加新的 nFactor 流或从列表中选择现有 nFactor 流。

本内容的正式版本为英文版。部分 Citrix 文档内容采用了机器翻译，仅供您参考。Citrix 无法控制机器翻译的内容，这些内容可能包含错误、不准确或不合适的语言。对于从英文原文翻译成任何其他语言的内容的准确性、可靠性、适用性或正确性，或者您的 Citrix 产品或服务沿用了任何机器翻译的内容，我们均不作任何明示或暗示的保证，并且适用的最终用户许可协议或服务条款或者与 Citrix 签订的任何其他协议（产品或服务与已进行机器翻译的任何文档保持一致）下的任何保证均不适用。对于因使用机器翻译的内容而引起的任何损害或问题，Citrix 不承担任何责任。

简化配置的 nFactor 可视化工具

January 25, 2021

贡献者:

January 25, 2021

贡献者:

本文中包含的内容

用例 1：RADIUS 后跟 LDAP 身份验证，否则通过 nFactor 可视化工具回退到 Captcha
用例 2：LDAP 后跟基于通过 nFactor 可视化工具的 LDAP 组成员关系的 Captcha 进行的 RADIUS/证书身份验证
使用 nFactor 可视化工具配置 nFactor
nFactor 可视化工具的增强功能