产品文档
思杰科技园区
PDF

部署指南:了解如何将Citrix网关配置为使用nFactor对半径服务器进行MFA身份验证

2022年5月26日
作者: 史蒂文·赖特

概述

如何将Citrix网关配置为使用nFactor对半径服务器进行身份验证以进行多重身份验证(MFA)。

本文介绍如何配置Citrix ADC网关以将nFactor身份验证用于基于LDAP和半径的多因素身份验证以及常规故障排除技术。

在本文中,我们假设您的Citrix ADC具有Citrix网关实现以及半径和LDAP服务器。

本文还建议通过本地负载平衡虚拟服务器连接到半径和LDAP服务器,并假定负载均衡器已创建。您可以在此处了解有关创建负载平衡虚拟服务器的更多信息，并在此处了解有关在半径;半径;

半径

RADIUS (Citrix ADC)半径(半径)验证后,半径服务器会以“访问接受”、“拒绝”或“质询”进行响应,要求用户提供更多详细信息。

RADIUS_communication_image

半径、半径、半径、半径半径、半径、半径、半径、半径、半径、半径、半径、半径。共享密钥对凭据的密码部分进行加密。当共享密钥错误时，服务器总是拒绝密码，因为密码没有解密到正确的值。

默认情况下,Citrix ADC会从活动哈节点的NSIP发送半径身份验证请求,并以单个半径服务器为目标。

RADIUS_NSIP_source_image

Citrix建议ADC通过本地负载平衡虚拟服务器发送身份验证请求,而不是将HA对中的两个ADC的NSIP定义为半径服务器上的客户端。负载平衡虚拟服务器还为您的设置增加了恢复能力。

当Citrix ADC通过本地负载平衡虚拟服务器发送请半径求时,这些请求会通过剪断离开ADC。笨笨，笨笨，笨笨，笨笨，笨笨。

使用负载平衡(磅)虚拟服务器时,主哈节点和辅助哈节点的NSIP会向本地VIP发出请求。Lb VIP

RADIUS_NSIP_to_VIP_to_SNIP_image

半径

有半径，有半径，有半径，有半径，有半径。

" /tmp/aaad.debug

您可以在Citrix ADC上查看身份验证事件,方法是进入带有“壳”的BSH壳,然后使用“猫/ tmp / aaad.debug”查看aaad.debug管道。

“aaad.debug”https://support.citrix.com/article/CTX114999

NTRadPing

ntradping是第三方半径测试工具,可用于生成半径身份验证请求并观察响应。交易:

使用ntradping,您可以将半径身份验证请求直接从客户端发送到半径服务器,并确保其完全正常运行。IP地址:http://www.qqqq.com http://www.qqqq.com“半径”。

您还可以使用ntradping将身份验证请求发送到ADC上的磅虚拟服务器,后者将这些请求中继到半径服务器。“”“”“”“”“”“”“”“”齐齐，齐齐，齐齐。

通过分别测试每个组件，测试将隔离出故障发生的位置。本句的意思是:“半径”。在这种情况下,您知道问题出在之前的某些方面,比如您的ADC上的半径服务器定义,您可以集中精力。

RADIUS_test_locations_image

【翻译】【翻译】贸易，贸易

  • 半径
  • 半径?
  • 用户名和密码
  • 身份验证请求类型

RADIUS_ntradping_image

根据您正在执行的测试,您将使用半径服务器IP地址或ADC的磅虚拟服务器的IP地址作为目标。最常见的是在端口 1812 上。

“半径”、“半径”。如果您要通过ADC的磅虚拟服务器发送查询以模仿来自网关的身份验证请求,请使用与配置ADC相同的共享密钥。阿嬷:阿嬷，阿嬷，阿嬷，阿嬷。【中文翻译】

当您单击”发送”时,nTradping会从您的计算机向指定的目标发送身份验证请求,并显示响应(通常是访问接受或访问拒绝)。

RADIUS_ntradping_accept_image

WireShark

如果您在身份验证过程中在Citrix ADC上进行数据包跟踪,则可以在WireShark中检查请半径求和响应。

WireShark、WireShark、WireShark、WireSharkWireShark, http://www.wireshark。

WireShark。RADIUS。

Citrix ADC:骤。

“WireShark”，“笨笨”，“笨笨”，“笨笨”。(1)半径;(2)半径;

图形界面说明

假设半径服务器上的配置已完成,请按照以下步骤进行Citrix网关的MFA身份验证:

笨笨笨笨，笨笨笨笨，笨笨笨笨

  1. 【中文翻译】" > < < < > >”，然后右键单击以启用该功能。
    Enable_AAA_image

添加身份验证服务器

  1. 选择“aaa -”，“a -”，“a -”，“a -”，“a -”，“a -”。
    Navigate_to_RADIUS_server_image

  2. 选择 “服务器” 选项卡，然后单击 “添加”。
    navigate_to_radius_server_image

  3. 这是一个很好的例子

    思杰(Citrix)、思杰、思杰、思杰。全英文，全英文，全英文，全英文，全英文。半径;enable_aaa_image

  4. 选择安全> AAA -应用程序流量,策略,身份验证,基本策略,LDAP。然后，选择 “服务器” 选项卡并单击 “添加”。
    LDAP_server_image

  5. 【中文译文
    ◆RADIUS、Citrix、Citrix、Citrix、Citrix、Citrix、Citrix、Citrix、Citrix、Citrix、Citrix、Citrix、Citrix、Citrix、Citrix、Citrix、Citrix、Citrix“”“”“”“”“”“”“”“”“”RADIUS_server_details1_imageRADIUS_server_details2_image

添加高级身份验证策略

  1. 选择，安全> AAA -应用程序流量,策略,身份验证,高级策略,策略。然后，单击 “添加”。
    RADIUS_select_advanced_image

  2. 如图所示填写策略详细信息，然后单击 “创建”。
    RADIUS_server_details_image

  3. “半径”、“半径”、“半径”创建”。
    LDAP_auth_pol_image

【翻译

  1. 导航到配置(英文)>安全(英文)> AAA -应用流量(英文)>虚拟服务器(英文)。
    RADIUS_auth_pol_image

  2. 单击 “添加” 以创建身份验证虚拟服务器。
    AAA_virtual server_add_image

  3. 【参考译文】
    • 这是一个很好的例子。
    • IP地址类型——将IP地址类型更改为不可寻址,因为此虚拟服务器仅用于Citrix网关。
      AAA_virtual server_details_image

  4. 在 “证书” 下，选择 “无服务器证书”。
    AAA_virtual server_cert1_image

  5. 单击 “点击选择” 以选择服务器证书
    aaa_cert_binding_Image

  6. “”“”“”“”选择”。选择的证书无关紧要，因为无法直接访问此服务器。
    AAA_cert_binding2_image

  7. 点击 “绑定”。
    AAA_cert_binding3_image

  8. 单击 “继续” 以关闭 “证书” 部分。
    AAA_cert_binding4_image

  9. 单击 “高级身份验证策略” 中的 “无身份验证策略”。
    AAA_virtual server_auth_image

  10. 单击 “选择策略” 字段下的 “单击以选择”。
    AAA_virtual server_auth2_image

  11. 选择 “LDAP_Pol” 策略，然后单击 “选择”。
    AAA_virtual server_auth3_image

  12. 单击 “选择下一个因素” 字段下的 “单击以选择”。
    AAA_virtual server_auth4_image

  13. 在 “身份验证策略标签” 中单击 “添加”。
    AAA_virtual server_auth5_image

  14. “”“”“”“”继续”。
    AAA_virtual server_create_pol_image

  15. 单击 “选择策略” 字段下的 “单击以选择”。
    AAA_virtual server_pols1_image

  16. 选择 “RADIUS_POL” 策略，然后单击 “选择”。
    AAA_virtual server_pols2_image

  17. 单击 “创建身份验证策略标签” 屏幕底部的 “绑定”。
    AAA_virtual server_create_pol_image

  18. 单击 “身份验证策略标签” 屏幕底部的 “完成”。
    AAA_virtual server_radius_pol1_image

  19. 点击 “选择”。
    AAA_virtual server_radius_pol2_image

  20. 单击 “策略绑定” 屏幕底部的 “绑定”。
    AAA_virtual server_pollab_image

应用向用户显示用户名、密码和通行码字段的登录架构

  1. 单击右侧 “高级设置” 菜单中的 “登录架构”。
    AAA_virtual server_cert6_image

  2. 单击 “无登录架构” 以显示用于选择架构的窗口。
    AAA_virtual server_loginschema_image

  3. 单击 “选择策略” 下的 “单击以选择”。
    AAA_virtual server_loginschema_binding_image

  4. 选择内置的 “lschema_dual_factor_builtin” 策略，然后单击 “选择”。
    AAA_virtual server_loginschema_binding2_image

  5. 单击 “绑定” 并选择 “完成“哎呀!”
    AAA_virtual server_loginschema_binding3_image

注意：“lschema_dual_factor_builtin”。如果您使用的是早期版本，则需要创建策略。您可以在此处找到解释如何创建策略的说明。

【中文译文

  1. 选择 “思杰网关”，然后选择您的网关虚拟服务器并单击 “编辑”。
    Gateway_virtual server_image

  2. 在右侧的 “高级设置” 菜单中选择 “身份验证配置文件”。
    Gateway_virtual server1_image

  3. 在 “身份验证配置文件” 部分中选择 “添加”。
    Gateway_virtual server2_image

  4. 输入显示的新身份验证配置文件的名称，然后单击 “身份验证虚拟服务器” 下的 “单击以选择”。
    Gateway_virtual server3_image

  5. “”“”“”选择”。
    Gateway_virtual server4_image

  6. 点击 “创建”。
    Gateway_virtual server5_image

  7. 点击 “确定”。
    Gateway_virtual server6_image

  8. 点击 “完成”。
    Gateway_virtual server7_image

执行测试

Citrix网关Gateway_virtual server8_image

如果您遇到任何身份验证质询，请参阅本文档的故障排除部分。

Cli

骤。

# 1。启用AAA enns功能AAA # 2。创建LDAP服务器添加认证ldapAction LDAP_for_Gateway -serverIP LDAP_LB_IP -serverPort 636 -ldapBase "DC=citrix,DC=lab" -ldapBindDn readonly@citrix.lab -ldapBindDnPassword PASSWORD - ldapploginname sAMAccountName -groupAttrName memberOf # 3。3 .创建LDAP策略，添加认证策略LDAP_Pol -rule true -action LDAP_for_Gateway #4 .添加RADIUS服务器认证radiusAction RADIUS_Server -serverIP 192.168.1.100 -serverPort 1812 -radKey sharedsecret #6.创建RADIUS策略，添加认证策略RADIUS_Pol -rule true -action RADIUS_Server #6 .创建触发RADIUS策略的PolicyLabel。add authentication PolicyLabel RADIUS_PolicyLabel -loginSchema LSCHEMA_INT bind authentication PolicyLabel RADIUS_PolicyLabel -policyName RADIUS_Pol -priority 100 #创建AAA虚拟服务器添加authentication vserver nFactorAuthvServer SSL 0.0.0.0 # 8。绑定SSL证书到AAA虚拟服务器Bind SSL vserver nFactorAuthvServer -certkeyName "Example Cert" # 9。绑定LDAP策略和RADIUS PolicyLabel到AAA虚拟服务器Bind authentication vserver nFactorAuthvServer -policy LDAP_Pol -priority 100 -nextFactor RADIUS_PolicyLabel -gotoPriorityExpression NEXT # 10。 Bind the builtin Login Schema for dual factor authentication to the AAA virtual server bind authentication vserver nFactorAuthvServer -policy lschema_dual_factor_builtin -priority 100 -gotoPriorityExpression END # 11. Create an Authentication Profile attached to the AAA virtual server add authentication authnProfile MFA_Authentication_Profile -authnVsName nFactorAuthvServer # 12. Configure your existing Gateway virtual server to use the Authentication Profile set vpn vserver "Steven Demo Gateway" -authnprofile "MFA_Authentication_Profile"
部署指南:了解如何将Citrix网关配置为使用nFactor对半径服务器进行MFA身份验证
2022年5月26日
作者: 史蒂文·赖特
2022年5月26日
作者: 史蒂文·赖特

在本文中

站点反馈 | 隐私和法律条款 | 饼干 | 同意设置 | docs.cloud.com
©1999 -云软件集团有限公司版权所有。