[KB3482] Jak nakonfigurovat zařízení Citrix® Access Gateway pro použití s ESET Secure Authentication?

Úvod

Citrix® Access Gateway je brána SSL VPN poskytující zabezpečený přístup do sítí. Tento článek popisuje, jak nakonfigurovat zařízení Citrix® Access Gateway pro ověřování uživatelů proti serveru ESA. Než budete pokračovat, ověřte, zda máte nainstalovanou komponentu RADIUS Server ESET Secure Authentication a zda máte přístup ke službě RADIUS, která umožňuje externím systémům ověřovat uživatele.

Než bude zařízení Citrix® Access Gateway moci používat server ESA k ověřování uživatelů prostřednictvím protokolu RADIUS, musí být na serveru ESA nastaveno jako klient RADIUS. Dále musí být váš server se službou ESA RADIUS nastaven jako server RADIUS na zařízení Citrix® Access Gateway. Po zadání těchto konfigurací se můžete začít přihlašovat k zařízení Citrix® Access Gateway pomocí ESA OTP.

Krok I - Konfigurace klienta RADIUS

Aby zařízení Citrix® Access Gateway mohlo komunikovat se serverem ESA, je nutné zařízení Citrix® Access Gateway nakonfigurovat jako klienta RADIUS na serveru ESA:

1. Přihlaste se dowebové konzoly ESA.
2. Přejděte na stránku Components > RADIUS a vyhledejte název hostitele serveru, na kterém běží služba ESA RADIUS.
3. Klikněte na název hostitele a potom na Vytvořit nového klienta Radius.
4. V části Základní nastavení :
   1. Dejte klientovi RADIUS zapamatovatelný název, aby se na něj dalo snadno odkazovat.
   2. Nakonfigurujteadresy IP Address a Shared Secret pro klienta tak, aby odpovídaly konfiguraci zařízení VPN. IP adresa je interní IP adresa vašeho spotřebiče. Pokud váš spotřebič komunikuje prostřednictvím protokolu IPv6, použijte tuto IP adresu spolu se souvisejícímID oboru  (ID rozhraní).
   3. Sdílený tajný klíč je sdílený tajný klíč RADIUS pro externí ověřovací zařízení, které nakonfigurujete na svém zařízení.
5. V části Authentication použijte nastavení zobrazené na obrázku 1-1 níže.

Obrázek 1-1

Systém ESA byl nyní nakonfigurován tak, aby komunikoval se systémem Citrix® Access Gateway zařízením. Nyní je třeba nakonfigurovat přístupovou bránu Citrix® zařízení, aby komunikovalo se serverem ESA.

Krok II - Konfigurace zařízení Citrix® Access Gateway

Chcete-li nakonfigurovat bránu Citrix Gateway 13, nahlédněte do její dokumentace Konfigurace ověřování Radius a použijte níže uvedené hodnoty:

• Server: IP adresa serveru ESA RADIUS
• Tajný klíč: Vaše sdílené tajemství RADIUS (viz obrázek 1-1)
• Potvrzení tajného klíče: Zopakujte sdílený tajný klíč

Chcete-li nakonfigurovat službu Citrix® Access Gateway (prodej ukončen v roce 2016), postupujte podle následujících kroků:

1. Přihlaste se do rozhraní správce služby Citrix® Access Gateway.
2. Přejděte na stránku Správa → Profily ověřování.
3. Klikněte na tlačítko Přidat a vyberte možnost RADIUS.
4. V okně Vlastnosti RADIUS zadejte název profilu (například ESA RADIUS).
5. Klikněte na tlačítko Nový (pod seznamem Servery) a nastavte následující parametry na níže uvedené hodnoty:
   1. Server: IP adresa serveru ESA RADIUS
   2. Sdílené tajemství: Vaše sdílené tajemství RADIUS (viz obrázek 1-1)
   3. Potvrdit tajemství: Zopakujte svůj sdílený seceret
   4. Klikněte na OK.
   5. Klikněte na tlačítko Uložit.
6. Přejděte na stránku Správa → Přihlašovací body.
7. Klikněte na tlačítko Přidat (nebo Upravit existující přihlašovací bod).
8. V části Ověřovací profily vyberte možnost ESA RADIUS.
9. Klikněte na tlačítko Uložit

Krok III - Testování připojení

Otestování nově nakonfigurovaného připojení:

1. Přejděte na adresu URL, kterou běžně používáte pro přihlášení k SSL VPN pomocí zařízení Citrix® Access Gateway.
2. Zadejte pověření testovacího uživatele. Ujistěte se, že používáte účet s povolenou mobilní aplikací 2FA pomocí ESA. Po výzvě k zadání hesla připojte k heslu AD OTP vygenerované mobilní aplikací. Pokud má uživatel například heslo AD Esa123 a OTP 999111, měli byste zadat Esa123999111.

Řešení problémů

Pokud se vám nedaří ověřit prostřednictvím serveru ESA RADIUS, ujistěte se, že jste provedli následující kroky:

1. Proveďte test proti serveru RADIUS podle postupu v části Ověření funkčnosti ESA RADIUS.
2. Pokud nebyly odstraněny žádné závady a stále se nemůžete připojit, vraťte se ke stávající konfiguraci přihlašování (která nepoužívá 2FA) a ověřte, zda se můžete připojit
3. Pokud se stále můžete připojit pomocí starých nastavení, obnovte nová nastavení a ověřte, zda mezi zařízením VPN a serverem RADIUS neblokuje UDP 1812 brána firewall
4. Pokud se vám stále nedaří připojit, kontaktujte technickou podporu společnosti ESET.