PoC 指南-ZTNA 到私有 Web 应用程序(无代理)

概述

通过远程办公,用户需要访问基于 Web 的内部应用程序提供更好的体验意味着避免 VPN 部署模式,这通常会导致以下挑战:

  • VPN 风险 1:难以安装和配置
  • VPN 风险 2:要求用户在终端设备上安装 VPN 软件,这可能会使用不受支持的操作系统
  • VPN 风险 3:需要配置复杂的策略,以防止不受信任的端点设备不受限制地访问公司网络、资源和数据
  • VPN 风险 4:难以在 VPN 基础架构和本地基础架构之间保持安全策略同步

为了改善整体用户体验,组织必须能够统一所有已批准的应用程序并简化用户登录操作,同时仍然强制执行身份验证标准。

单点登录概述

组织必须交付和保护 SaaS、Web、Windows、Linux 应用程序和桌面,即使其中一些资源存在于数据中心范围之外,并且可以访问数据中心以外的资源。Citrix Secure Private Access 服务使组织能够通过 Citrix Workspace 安全地访问用户授权的资源,无需使用 VPN。

在此概念验证场景中,用户使用 Active Directory、Azure Active Directory、Okta、谷歌、Citrix Gateway 或他们选择的 SAML 2.0 提供商作为主用户目录向 Citrix Workspace 进行身份验证。Citrix Workspace 为一组定义的企业 Web 应用程序提供单点登录服务。

单点登录概述

如果将 Citrix Secure Private Access 服务分配给 Citrix 订阅,则会在 Web 应用程序之上应用增强的安全策略,包括应用基于屏幕的水印、限制打印/下载操作、屏幕抓取限制和键盘模糊处理。

动画显示用户使用 Citrix 提供的 SSO 访问内部 Sharepoint Web 应用程序,并使用 Citrix Secure Private Access 服务进行保护。

Citrix SSO 演示

此演示演示了一个流程,在该流程中,用户从 Citrix Workspace 启动应用程序,该应用程序使用与数据中心的无 VPN 连接。由于用户从外部设备访问内部 Web 应用程序,因此访问请求必须来自 Citrix Workspace 内部。

本概念验证指南演示了如何:

  1. 设置 Citrix Workspace
  2. 集成主用户目录
  3. 为位于数据中心内的 Sharepoint Web 应用程序合并单点登录
  4. 验证配置

设置 Citrix Workspace

设置环境的初始步骤是让 Citrix Workspace 为组织做好准备,其中包括

  1. 向 Citrix 客户团队建立 Citrix Secure Private Access 服务授权后,您将在我的服务下找到 Citrix Secure Private Access 图标。有关更多信息, 请参阅
  2. 设置工作区 URL

设置工作区 URL

  1. 连接到 Citrix Cloud 并以管理员帐户登录
  2. 在 Citrix Workspace 中,从左上角菜单访问 工作区配置
  3. 访问选项卡中,输入组织的唯一 URL,然后选择“已启用”

Workspace URL

集成主用户目录

用户必须先配置 主用户目录 ,然后才能向 Workspace 进行身份验证。主用户目录是用户需要的唯一身份,因为在 Workspace 中对应用程序的所有请求都使用单点登录到次要身份。

组织可以使用以下任一主用户目录:

  • Active Directory:要启用 Active Directory 身份验证,必须按照Cloud Connector 器 安装指南将云连接 器部署在与 Active Directory 域控制器相同的数据中心内。
  • 使用基于时间的一次性密码的 Active Directory:基于 Active Directory 的身份验证还可以包括使用基于时间的一次性密码 (TOTP) 的多因素身份验证。本 指南 详细介绍了启用此身份验证选项所需的步骤。
  • Azure Active Directory:用户可以使用 AAzure Active Directory 身份向 Citrix Workspace 进行身份验证。本 指南 提供了有关配置此选项的详细信息。
  • Citrix Gateway:组织可以利用本地 Citrix Gateway 充当 Citrix Workspace 的身份提供者。本 指南 提供了有关集成的详细信息。
  • Okta:组织可以将 Okta 用作 Citrix Workspace 的主用户目录。本 指南 提供了配置此选项的说明。
  • SAML 2.0:组织可以将所选的 SAML 2.0 提供程序与其本地Active Directory (AD) 配合使用。本 指南 提供了配置此选项的说明。

配置单点登录

要成功将 Web 应用程序与 Citrix Workspace 集成,管理员需要执行以下操作:

  • 部署连接器设备
  • 配置和授权 Web 应用程序

部署连接器设备

  • 在 Citrix Cloud 中,从菜单栏中选择资源位置

连接器电器 01

  • 在与包含 Web 应用程序的站点关联的资源位置中,选择 Connect or 设备
  • 选择 添加连接器装置 连接器装置 01b
  • 下载与相应的虚拟机管理程序关联的映像,并保持此浏览器窗口处于打开状态
  • 下载后,将映像导入虚拟机管理程序
  • 映像启动时,它将提供用于访问控制台的 URL

连接器电器 02

  • 登录 Connector 并更改管理员密码,然后设置网络 IP 地址
  • 为设备命名并登录到该资源位置的域
  • 选择注册并复制注册码

连接器电器 03

  • 返回 Citrix Cloud 页面并提交注册码以完成连接器设备设置

连接器电器 04

配置和授权 Web 应用程序

  • 在 Citrix Cloud 中,从“Secure Private Access”磁贴中选择管理
  • 选择 “ 应用程序 ”,然后选择 “ 添加应用程序
  • 在 “选择模板” 向导中,选择 “ 跳过

设置 Web 应用程序 02

  • 在应用详细信息窗口中,选择 在我的公司网络
  • 将 HTTP/HTTPS 指定为 应用程序类型
  • 提供 应用程序的名称 和描述
  • (可选)选择直接访问以启用通过可通过公共 Internet 解析的 FQDN 直接访问。如果选中,则需要以 .pfx 或 .pem 格式上载相关 SSL 证书。此外,您需要将站点 FQDN 的别名记录映射到 directaccess.netscalergateway.net 上的 Citrix Gateway 服务
  • 输入 Web 应用程序的 URL
  • 根据需要为 Web 应用程序添加其他 相关域
  • 如果需要,添加自定义 App 图标
  • 选择 下一步

安装 Web 应用程序 03

  • 增强安全性窗口中,为环境选择适当的安全策略
  • 选择 下一步

安装 Web 应用程序 04

  • 在 “ 单点登录 ” 窗口中,为 Web 应用程序选择适当的 SSO 选项。 这通常需要 Web 应用程序所有者的帮助。您将有 4 个 SSO 选项可供选择:
  1. 基本:如果您的后端服务器向您提出了 basic-401 挑战,请选择基本 SSO
  2. Kerberos:如果您的后端服务器向您提出 negotiate-401 挑战,请选择 Kerberos SSO
  3. 基于表单:如果您的后端服务器向您提供用于身份验证的 HTML 表单,请选择基于表单的 SSO
  4. 无 SSO:不需要在后端服务器上对用户进行身份验证时,请使用无 SSO 选项
  • 选择 用户名格式
  • 选择 下一步

设置 Web 应用程序 06

  • 在 “ 应用程序连接 ” 窗口中,为 URL 和 “相关域” 条目选择 “资源位置”(您之前安装了 Connector 设备的位置)(并验证连接器是否已启动)
  • 选择 下一步

设置 Web 应用程序 07

  • 在 “ 应用程序订阅者 ” 窗口中,添加有权启动应用程序的相应用户/组
  • 选择 下一步

设置 Web 应用程序 08

  • 选择 完成

验证

  • 以用户身份登录 Citrix Workspace
  • 选择已配置的 Web 应用程序
  • 用户自动登录应用程序
  • 应用适当的增强安全策略

Citrix SSO 演示

故障排除

增强的安全策略失败

用户可能会遇到增强的安全策略(水印、打印或剪贴板访问)失败。通常,这是因为 Web 应用程序使用多个域名。在 Web 应用程序的应用程序配置设置中,有一个 相关域的条目。

安装 Web 应用程序 03

增强的安全策略将应用于这些相关域。要识别缺失的域名,管理员可以使用本地浏览器访问 Web 应用程序,然后执行以下操作:

  • 导航到应用程序中策略失败的部分。
  • 在谷歌 Chrome 和 Microsoft Edge(Chromium 版)中,选择浏览器右上角的三个点以显示菜单屏幕。
  • 选择 “ 更多工具”。
  • 选择 开发者工具
  • 在开发人员工具中,选择 “ 来源”。这为应用程序的该部分提供了访问域名列表。为了为应用的这一部分启用增强的安全策略,必须将这些域名输入到应用配置的 相关域 字段中。添加相关域名,例如下面的 *.domain.com

增强安全故障排除 01

PoC 指南-ZTNA 到私有 Web 应用程序(无代理)