反对figurer NetScaler Gateway pour utiliser un micro VPN avec Microsoft Endpoint Manager
L’intégration de Citrix Micro VPN avec Microsoft Endpoint Management permet à vos applications d’accéder aux ressources locales. Pour plus d’informations, consultez la sectionIntégration de Citrix Micro VPN avec Microsoft Endpoint Manager.
反对figuration système requise
- Versions de NetScaler Gateway
- 13.1
- 13.0
- 12.1.50.x ou version ultérieure
- 12.0.59.x ou version ultérieure
Vous pouvez télécharger la dernière version de NetScaler Gateway depuis la page de téléchargement de NetScaler Gateway.
Un bureau Windows exécutant Windows 7 ou version ultérieure (pour encapsuler les applications Android uniquement)
- Microsoft
- Accès Azure AD (avec privilèges d’administrateur de locataires)
- Locataire activé par Intune
- Règles de pare-feu
- Activer une règle de pare-feu pour le trafic SSL provenant d’une adresse IP de sous-réseau NetScaler Gateway vers
*.manage.microsoft.com
,https://login.microsoftonline.com
ethttps://graph.windows.net
(port 443) - NetScaler Gateway doit être capable de résoudre de manière externe les URL précédentes.
- Activer une règle de pare-feu pour le trafic SSL provenant d’une adresse IP de sous-réseau NetScaler Gateway vers
Pré-requis
Environnement Intune :si vous n’avez pas d’environnement Intune, configurez-en un. Pour obtenir des instructions, consultez ladocumentation Microsoft.
Application Edge Browser :Le SDK Micro VPN est intégré à l’application Microsoft Edge et à l’application Intune Managed Browser pour iOS et Android. Pour plus d’informations sur Managed Browser, consultez lapage Managed Browserde Microsoft.
Droits Citrix Endpoint Management : assurez-vous de disposer d’un droitCitrix Endpoint Management actif pour bénéficier d’une prise en charge continue du SDK micro VPN sur un navigateur mobile Microsoft Edge (iOS et Android). Pour plus d’informations, contactez le représentant de votre service commercial, de votre compte ou de votre partenaire.
Accorder des autorisations d’application Azure Active Directory (AAD)
反对sentement à l’application Citrix multitenant AAD pour permettre à NetScaler Gateway de s’authentifier auprès du domaine AAD. L’administrateur global Azure doit visiter l’URL suivante et donner son consentement :
Autorisation à l’application Citrix multitenant AAD d’autoriser les applications mobiles à s’authentifier avec le micro VPN NetScaler Gateway. Ce lien n’est requis que si l’administrateur mondial Azure a modifié la valeur par défaut pour que les utilisateurs puissent inscrire des applications de Oui à Non. Ce paramètre se trouve dans le portail Azure sousAzure Active Directory > Utilisateurs > Paramètres utilisateur. L’administrateur global Azure doit visiter l’URL suivante et donner son consentement (ajoutez votre ID de locataire)https://login.microsoftonline.com/[tenant_id]/adminconsent?client_id=9215b80e-186b-43a1-8aed-9902264a5af7.
反对figuration de NetScaler Gateway pour un micro VPN
Pour utiliser un micro VPN avec Intune, vous devez configurer NetScaler Gateway pour vous authentifier auprès d’Azure AD. Un serveur virtuel NetScaler Gateway existant ne fonctionne pas dans ce cas d’utilisation. Tout d’abord, configurez Azure AD pour qu’il se synchronise avec le répertoire Active Directory local. Cette étape est nécessaire pour garantir que l’authentification entre Intune et NetScaler Gateway s’effectue correctement.
Télécharger le script :Le fichier .zip inclut un fichier Lisez-moi contenant des instructions pour implémenter le script. Vous devez saisir manuellement les informations requises par les scripts et exécuter le script sur NetScaler Gateway pour configurer le service. Vous pouvez télécharger le fichier script depuis la page detéléchargement de NetScaler.
Important :Une fois que vous avez terminé la configuration de NetScaler Gateway et si vous voyez un état OAuth différent de COMPLETE, consultez la section Résolution des problèmes.
反对figuration du navigateur Microsoft Edge
- 反对nectez-vous àhttps://endpoint.microsoft.com/, puis accédez àIntune > Applications mobiles.
- Publiez l’application Edge comme vous le faites normalement, puis ajoutez une stratégie de configuration d’application.
- SousGérer, cliquez surStratégies de configuration des applications.
- Cliquez surAjouter, puis entrez un nom pour la stratégie que vous souhaitez créer. DansType d’inscription de l’appareil, sélectionnezApplications gérées.
- Cliquez surApplication associée.
- Sélectionnez les applications auxquelles vous souhaitez appliquer la stratégie (navigateur géré Microsoft Edge ou Intune), puis cliquez surOK.
- Cliquez surParamètres de configuration.
- Dans le champNomsaisissez le笔名l何谓reperto des策略riées dans le tableau suivant.
- Dans le champValeur, entrez la valeur à appliquer pour cette stratégie. Cliquez sur le champ pour ajouter la stratégie à la liste. Vous pouvez ajouter plusieurs stratégies.
- Cliquez surOK, puis surAjouter.
La stratégie est ajoutée à votre liste de stratégies.
Nom (iOS /Android) | Valeur | Description |
---|---|---|
MvpnGatewayAddress | https://external.companyname.com |
URL externe de votre NetScaler Gateway |
MvpnNetworkAccess | MvpnNetworkAccessTunneledWebSSOor Unrestricted | MvpnNetworkAccessTunneledWebSSO est la valeur par défaut pour le tunneling. |
MvpnExcludeDomains | Liste des noms de domaine à exclure, séparés par des virgules | Facultatif. Default=Blank |
Remarque :L’SSO Web est le nom de la Secure Browse dans les paramètres. Le comportement est le même.
MVPNNetworkAccess - MVPNNetworkAccessTunneledWebSSO可以拉重定向通过Netscaler手枪HTTP / HTTPSeway, également connue sous le nom de Tunneled-Web SSO. La passerelle répond aux défis de l’authentification HTTP en ligne, offrant ainsi une expérience d’authentification unique (SSO). Pour utiliser l’SSO Web, définissez cette stratégie surMVPNNetworkAccessTunneledWebSSO. La redirection de tunnel complet n’est pas prise en charge actuellement. Utilisez l’option Sans restrictionpour désactiver le tunneling micro VPN.
MVPNExcludeDomains: liste séparée par des virgules de noms d’hôtes ou de domaines à exclure du routage via le proxy Web inverse NetScaler Gateway. Les noms d’hôte ou de domaine sont exclus même si les paramètres DNS fractionnés configurés par NetScaler Gateway pourraient autrement sélectionner le domaine ou l’hôte.
Remarque :
Cette stratégie n’est appliquée que pour les connexionsMVPNNetworkAccessTunneledWebSSO. Si cette
MvpnNetworkAccess
optionn’est pas restreinte, cette stratégie est ignorée.Cette stratégie s’applique uniquement au mode Tunneled-Web SSO avec NetScaler Gateway configuré pour le split tunneling inversé.
Dépannage
Problèmes d’ordre général
Problème | Résolution |
---|---|
Le message « Ajouter une stratégie requise » s’affiche lorsque vous ouvrez une application | Ajouter des stratégies dans l’API Microsoft Graph |
Il y a des conflits de stratégie | Une seule stratégie par application est autorisée |
Le message « Échec du package de l’application » s’affiche lors de l’encapsulation d’une application. Pour obtenir le message complet, reportez-vous au tableau suivant | L’application est intégrée au SDK Intune. Il n’est pas nécessaire d’encapsuler l’application avec Intune |
Votre application ne peut pas se connecter aux ressources internes | Assurez-vous que les ports de pare-feu appropriés sont ouverts, que vous avez corrigé l’ID de locataire, etc. |
Message d’erreur Echec du package de l’application :
Échec de la mise en package de l’application. com.microsoft.Intune.mam.AppPackager.utils.AppPackagerException : le SDK MAM est déjà intégré à cette application. com.microsoft.intune.mam.apppackager.apppackager.Packager.PackageApp (AppPackager.Java:113) com.microsoft.intune.mam.apppackager.packagermain.mainInternal (PackagerMain.Java:198) com.microsoft.intune.mam.apppackager.packagermain.main (packagermain.java:56) L’application ne peut pas être emballé.
Problèmes liés à NetScaler Gateway
Problème | Résolution |
---|---|
Les autorisations requises pour être configurées pour l’application passerelle sur Azure ne sont pas disponibles. | Vérifiez si une licence Intune appropriée est disponible. Essayez d’utiliser le portailmanage.windowsazure.compour voir si l’autorisation peut être ajoutée. Contactez le support technique Microsoft si le problème persiste. |
NetScaler Gateway ne peut pas atteindre.login.microsoftonline.com and graph.windows.net |
À partir de NS Shell, vérifiez si vous êtes en mesure d’accéder au site Web Microsoft suivant : cURL -v -khttps://login.microsoftonline.com. Vérifiez ensuite si le DNS est configuré sur NetScaler Gateway. Vérifiez également que les paramètres du pare-feu sont corrects (dans le cas où les demandes DNS sont pare-feu). |
Une erreur apparaît dans ns.log après la configuration de OAuthAction. | Vérifiez si la licence Intune est activée et si l’application de passerelle Azure dispose des autorisations appropriées. |
La commande Sh OAuthAction n’affiche pas l’état OAuth comme terminé. | Vérifiez les paramètres DNS et les autorisations configurées sur l’application de passerelle Azure. |
L’appareil Android ou iOS n’affiche pas l’invite d’authentification double. | Vérifiez si l’ID d’appareil à double facteur LogonSchema est lié au serveur virtuel d’authentification. |
État et état d’erreur de NetScaler Gateway OAuth
État | 反对dition d’erreur |
---|---|
AADFORGRAPH | Secret non valide, URL non résolue, expiration de la connexion |
MDMINFO | *manage.microsoft.com est en panne ou inaccessible |
GRAPH | Le point de terminaison graphique est inaccessible |
CERTFETCH | Communication impossible avec Token Endpoint:https://login.microsoftonline.comen raison d’une erreur DNS. Pour valider cette configuration, accédez à l’interpréteur de commandes et tapez cURLhttps://login.microsoftonline.com. Cette commande doit être validée. |
Remarque :Lorsque l’état OAuth est réussi, l’état est affiché comme COMPLETE.