nFactor中作为EPA组件的设备证书
设备证书可以在nFactor中配置为EPA组件。设备证书可以作为EPA的一部分出现。
以下是在nFactor中将设备证书配置为EPA组件的好处。
设备证书验证失败不会导致登录失败。根据配置,可以继续登录,并将用户置于访问权限有限的组之下。
由于设备证书检查是策略驱动的,因此您可以基于设备证书认证,有选择地允许或阻止对企业内网资源的访问。例如,设备证书身份验证可用于仅在公司托管的笔记本电脑上提供对Office 365应用程序的有条件访问。
设备证书验证不能作为定期EPA扫描的一部分。
重要的是:
- 默认情况下,Windows强制要求使用管理员权限访问设备证书。添加对非admin用户的设备证书检查时,需要在设备上安装与EPA插件版本相同的VPN插件。
- 通过在网关上添加多个CA证书,可以验证设备证书的有效性。
- 如果在客户端机器上安装两个或多个设备证书,用户必须在登录Citrix Gateway时或在端点分析扫描运行之前选择正确的证书。
- 在创建设备证书时,它必须是X.509证书。
- 如果您拥有由中间CA颁发的设备证书,则必须绑定中间CA和根CA证书。
- 同时还需要将CA证书与VPN虚拟服务器绑定。
配置nFactor中的设备证书为EPA组件
使用CLI命令将nFactor中的设备证书配置为EPA组件。
在命令提示符处,输入;
add authentication epaAction epa-act -csecexpr sys.client_expr("device-cert_0_0") -defaultgroup epa_pass -检疫组epa_fail
使用GUI方式将nFactor中的设备证书配置为VPN虚拟服务器的EPA组件。
- 在Citrix ADC GUI中,导航到配置> Citrix网关>虚拟服务器.
- 在Citrix网关虚拟服务器选中待修改的“虚拟服务器”,单击编辑.
在虚拟服务器页面,单击“编辑”图标。
点击更多的.
点击添加单击“设备证书”部分的CA,然后单击“确定”。
注意:
不要选择使设备证书复选框。启用它将启用传统EPA中的设备证书验证。
在Citrix ADC GUI中,导航到配置>安全>AAA -应用流量>策略>认证>高级策略>动作> EPA.
在身份验证EPA行动页面,点击添加.你可以点击编辑编辑现有的EPA行动。
在创建认证EPA行动页,提供所需字段的值以创建身份验证EPA操作,然后单击EPA编辑器链接。
选择常见的从表达式编辑器菜单。
选择设备证书从随后出现的菜单中单击完成完成配置。
使用GUI将nFactor中的Device Certificate配置为Citrix ADC AAA虚拟服务器的EPA组件:
在Citrix ADC GUI中,导航到安全> aaa应用流量>虚拟服务器.
在Citrix网关虚拟服务器,选择要修改的虚拟服务器,单击“编辑”。
- 在身份验证虚拟服务器页面,单击“编辑”图标。
点击更多的.
点击添加旁边的设备证书CA部分。
2 .选择待添加的证书,单击好吧完成配置。
- 重复步骤6到步骤10在前一节中列出,以完成配置。