NetScaler Gateway für Micro-VPN mit Microsoft Endpoint Manager einrichten
在微软Endp Citrix微VPN-Integration死去oint Management ermöglicht Ihren Apps den Zugriff auf on-premises Ressourcen. Einzelheiten finden Sie unterCitrix Micro VPN-Integration mit Microsoft Endpoint Manager.
Systemanforderungen
- NetScaler Gateway Versionen
- 13.1
- 13.0
- 12.1.50.x oder höher
- 12.0.59.x oder höher
Sie können die neueste Version von NetScaler Gateway von der NetScaler Gateway-Downloadseite herunterladen.
Windows-Desktop mit Windows 7 oder höher (nur für das Umschließen von Android-Apps)
- Microsoft
- Azure AD-Zugriff (mit Mandantenadministratorberechtigung)
- Intune-fähiger Mandant
- Firewallregeln
- Aktivieren einer Firewallregel für SSL-Datenverkehr von einer NetScaler Gateway-Subnetz-IP zu
*.manage.microsoft.comhttps://login.microsoftonline.com, undhttps://graph.windows.net(Port 443) - NetScaler Gateway muss in der Lage sein, die vorhergehenden URLs extern aufzulösen.
- Aktivieren einer Firewallregel für SSL-Datenverkehr von einer NetScaler Gateway-Subnetz-IP zu
Voraussetzungen
Intune-Umgebung:Wenn Sie keine Intune-Umgebung haben, richten Sie eine ein. Anweisungen finden Sie in derMicrosoft-Dokumentation.
Edge-Browser-App:Das Micro VPN SDK ist in die Microsoft Edge-App und die Intune Managed Browser-App für iOS und Android integriert. Weitere Informationen zum Managed Browser finden Sie auf derMicrosoft-Seite zum Managed Browser.
Citrix Endpoint Management-Berechtigung: Stellen Sie sicher, dass Sie über eine aktive Citrix Endpoint Management-Berechtigung verfügen, um das Micro-VPN-SDK in einem mobilen Microsoft Edge-Browser (iOS und Android) weiterhin unterstützen zu können. Weitere Informationen erhalten Sie von Ihrem Vertriebsmitarbeiter, Kundenbetreuer oder Partnervertreter.
Erteilen Sie Azure Active Directory (AAD) -Anwendungsberechtigungen
Zustimmung zur Mandantenanten-AAD-Anwendung von Citrix, NetScaler Gateway die Authentifizierung bei der AAD-Domäne zu ermöglichen. Der Azure Global Administrator muss die folgende URL und Zustimmung aufrufen:
Zustimmung zur Mandantenanten-AAD-Anwendung von Citrix, um mobilen Anwendungen die Authentifizierung mit dem NetScaler Gateway Micro VPN zu ermöglichen. Dieser Link ist nur erforderlich, wenn der Azure Global Admin den Standardwert für Benutzer geändert hat, die Anwendungen von Ja auf Nein registrieren können. Diese Einstellung finden Sie im Azure-Portal unterAzure Active Directory > Benutzer > Benutzereinstellungen. Der globale Azure Administrator muss die folgende URL und Zustimmung aufrufen (fügen Sie Ihre Mandanten-ID hinzu)https://login.microsoftonline.com/[tenant_id]/adminconsent?client_id=9215b80e-186b-43a1-8aed-9902264a5af7.
Konfigurieren von NetScaler Gateway für Micro-VPN
Zur Verwendung von Micro-VPN in Intune müssen Sie NetScaler Gateway für die Authentifizierung bei Azure AD konfigurieren. Ein vorhandener virtueller NetScaler Gateway-Server funktioniert für diesen Anwendungsfall nicht. Konfigurieren Sie Azure AD zunächst zur Synchronisierung mit dem On-Premises-Active Directory. Dieser Schritt ist erforderlich, um eine einwandfreie Authentifizierung zwischen Intune und NetScaler Gateway sicherzustellen.
Download-Skript:Die ZIP-Datei enthält eine Readme-Datei mit Anweisungen zur Implementierung des Skripts. Sie müssen die Informationen, die die Skripte benötigen, manuell eingeben und das Skript auf dem NetScaler Gateway ausführen, um den Dienst zu konfigurieren. Sie können die Skriptdatei von derNetScaler-Downloadseiteherunterladen.
Wichtig:Nachdem Sie die NetScaler Gateway-Konfiguration abgeschlossen haben und wenn Sie einen anderen OAuth-Status als COMPLETE sehen, lesen Sie den Abschnitt Fehlerbehebung.
Konfigurieren des Microsoft Edge-Browsers
- Melden Sie sich beihttps://endpoint.microsoft.com/an und navigieren Sie zuIntune > Mobile Apps.
- Veröffentlichen Sie die Edge-App wie gewohnt und fügen Sie dann eine App-Konfigurationsrichtlinie hinzu.
- Klicken Sie unterVerwaltenaufApp-Konfigurationsrichtlinien.
- Klicken Sie aufHinzufügenund geben Sie einen Namen für die Richtlinie ein, die Sie erstellen möchten. Wählen Sie unterGeräteregistrierungstypVerwaltete Appsaus.
- Klicken Sie aufVerknüpfte App
- Wählen Sie die Apps aus, auf die Sie die Richtlinie anwenden möchten (verwalteter Microsoft Edge- oder Intune-Browser), und klicken Sie dann aufOK.
- Klicken Sie aufKonfigurationseinstellungen.
- Geben Sie im FeldNameden Namen einer der in der folgenden Tabelle aufgeführten Richtlinien ein.
- Geben Sie im FeldWertden Wert ein, den Sie für diese Richtlinie anwenden möchten. Klicken Sie außerhalb des Felds, um die Richtlinie zur Liste hinzuzufügen. Sie können mehrere Richtlinien hinzufügen.
- Klicken Sie aufOKund dann aufHinzufügen.
Die Richtlinie wird der Liste hinzugefügt.
| Name (iOS/Android) | Wert | Beschreibung |
|---|---|---|
| MvpnGatewayAddress | https://external.companyname.com |
Externe URL Ihres NetScaler Gateway |
| MvpnNetworkAccess | MvpnNetworkAccessTunneledWebSSOor Unrestricted | MvpnNetworkAccessTunneledWebSSO ist die Standardeinstellung für das Tunneln. |
| MvpnExcludeDomains | Kommagetrennte Liste der auszuschließenden Domainnamen | Optional. Default=blank |
Hinweis:Web SSO ist der Name für Secure Browse in den Einstellungen. Das Verhalten ist dasselbe.
MvpnNetworkAccess- MvpnNetworkAccessTunneledWebSSO ermöglicht die HTTP/HTTPS-Umleitung über das NetScaler Gateway, auch bekannt als Tunneled-Web SSO. Das Gateway reagiert inline auf Herausforderungen bei der HTTP-Authentifizierung und bietet ein Single-Sign-On (SSO) -Erlebnis. Um Web SSO zu verwenden, legen Sie diese Richtlinie aufMvpnNetworkAccessTunneledWebSSOfest. Eine vollständige Tunnelumleitung wird derzeit nicht unterstützt. Verwenden SieUneingeschränkt, um das Micro-VPN-Tunneling ausgeschaltet zu lassen.
MvpnExcludeDomains- Kommagetrennte Liste von Host- oder Domänennamen, die vom Routing durch den NetScaler Gateway Reverse-Webproxy ausgeschlossen werden sollen. Die Host- oder Domänennamen werden ausgeschlossen, obwohl die von NetScaler Gateway konfigurierten geteilten DNS-Einstellungen andernfalls die Domäne oder den Host auswählen könnten.
Hinweis:
Diese Richtlinie wird nur fürMvpnNetworkAccessTunneledWebSSO-Verbindungen durchgesetzt. Wenn
MvpnNetworkAccessaufUnrestrictedgesetzt ist, wird diese Richtlinie ignoriert.Diese Richtlinie gilt nur für den getunnelten Web-SSO-Modus, bei dem NetScaler Gateway für Reverse-Split-Tunneling konfiguriert ist.
Problembehandlung
Allgemeine Probleme
| Problem | Auflösung |
|---|---|
| Die Meldung “Richtlinie hinzufügen erforderlich” wird angezeigt, wenn Sie eine App öffnen | Hinzufügen von Richtlinien in der Microsoft Graph-API |
| Es gibt Richtlinienkonflikte | Es ist nur eine einzige Richtlinie pro App zulässig |
| Die Meldung “App konnte nicht verpackt werden” wird beim Umschließen einer App angezeigt. Die vollständige Meldung finden Sie in der folgenden Tabelle | Die App ist in das Intune SDK integriert. Sie müssen die App nicht mit dem Intune umschließen |
| Ihre App kann keine Verbindung zu internen Ressourcen herstellen | Stellen Sie sicher, dass die richtigen Firewall-Ports geöffnet sind, Sie die Mandanten-ID korrigieren und so weiter |
Fehler beim Packen der App-Fehlermeldung:
App konnte nicht verpackt werden. com.microsoft.intune.mam.appPackager.utils.appPackagerException: Diese App hat das MAM SDK bereits integriert. com.microsoft.intune.mam.appPackager.AppPackager.PackageApp (appPackager.java:113) com.microsoft.intune.mam.apppackager.packagermain.main.mainintern (packagermain.java:198) com.microsoft.intune.mam.appPackager.PackagerMain.Main (PackagerMain.Java:56) Die Anwendung kann nicht eingewickelt sein.
NetScaler Gateway-Probleme
| Problem | Auflösung |
|---|---|
| Die Berechtigungen, die für die Gateway-App auf Azure konfiguriert werden müssen, sind nicht verfügbar. | Überprüfen Sie, ob eine Intune-Lizenz verfügbar ist. Versuchen Sie, das Portalmanage.windowsazure.comzu verwenden, um festzustellen, ob die Berechtigung hinzugefügt werden kann. Wenden Sie sich an den Microsoft-Support, wenn das Problem weiterhin besteht. |
NetScaler Gateway kann nicht erreichenlogin.microsoftonline.com and graph.windows.net. |
Prüfen Sie von NS Shell aus, ob Sie die folgende Microsoft-Website erreichen können: cURL -v -khttps://login.microsoftonline.com. Überprüfen Sie dann, ob DNS auf NetScaler Gateway konfiguriert ist. Vergewissern Sie sich auch, dass die Firewall-Einstellungen korrekt sind (falls DNS-Anfragen durch eine Firewall gespeichert sind). |
| Ein Fehler erscheint in ns.log nachdem Sie OAuthAction konfiguriert haben. | Überprüfen Sie, ob die Intune-Lizenzierung aktiviert ist und die Azure Gateway-App über die richtigen Berechtigungen verfügt. |
| Der Befehl “OAuthAction” zeigt den OAuth-Status nicht als abgeschlossen an. | Überprüfen Sie die DNS-Einstellungen und Berechtigungen für die Azure Gateway-App. |
| Auf dem Android- bzw. iOS-Gerät wird die Zweifaktor-Authentifizierungsaufforderung nicht angezeigt. | Überprüfen Sie, ob das Zweifaktor-Geräte-ID-LogonSchema an den virtuellen Authentifizierungsserver gebunden ist. |
Status und Fehlerzustand von NetScaler Gateway OAuth
| Status | Zustand des Fehlers |
|---|---|
| AADFORGRAPH | Ungültiger Schlüssel, URL nicht aufgelöst, Verbindungstimeout |
| MDMINFO | *manage.microsoft.comist ausgefallen oder nicht erreichbar |
| GRAPH | Graph-Endpunkt nicht erreichbar |
| CERTFETCH | Kommunikation mit Token Endpoint:https://login.microsoftonline.comwegen eines DNS-Fehlers nicht möglich. Um diese Konfiguration zu validieren, gehen Sie zu Shell und geben cURL einhttps://login.microsoftonline.com. Der Befehl muss validieren. |
Hinweis:Wenn der OAuth Status erfolgreich ist, wird der Status als COMPLETE angezeigt.