[KB3458] Cómo configuro mi servidor Citrix® XenApp™ para utilizarlo con ESET Secure Authentication

Citrix® XenApp™ Server versión 6.5 proporciona acceso remoto seguro a redes corporativas internas mediante integración nativa y, con ESET Secure Authentication (ESA), a través de RADIUS (sin necesidad de un servidor RADIUS independiente que actúe como intermediario).

Introducción

Este artículo describe cómo configurar un servidor Citrix® XenApp™ versión 6.5 para autenticar usuarios contra un servidor ESA. Antes de continuar, verifique que ha instalado el componente Servidor RADIUS de ESET Secure Authentication y que puede acceder al servicio RADIUS que permite a los sistemas externos autenticar usuarios.

Antes de que el servidor Citrix® XenApp™ pueda utilizar el servidor ESA para autenticar usuarios mediante RADIUS, debe configurarse como cliente RADIUS en el servidor ESA. A continuación, el servidor que ejecuta el servicio ESA RADIUS debe configurarse como servidor RADIUS en el servidor Citrix® XenApp™. Una vez especificadas estas configuraciones, puede comenzar a iniciar sesión en el servidor Citrix® XenApp™ mediante los OTP de ESA.

Paso I - Configuración del cliente RADIUS

Para permitir que el servidor Citrix® XenApp™ se comunique con su servidor ESA, debe configurar el servidor Citrix® XenApp™ como cliente RADIUS en su servidor ESA:

1. Inicie sesión en ESA Web Console.
2. Navegue hasta Componentes > RADIUS y localice el nombre de host del servidor que ejecuta el servicio ESA RADIUS.
3. Haga clic en el nombre de host y, a continuación, en Crear nuevo cliente Radius.
4. En la sección Configuración básica
   1. Asigne al cliente RADIUS un nombre fácil de recordar.
   2. Configure la Dirección IP y el Secreto compartido para el Cliente de forma que se correspondan con la configuración de su dispositivo VPN. La dirección IP es la dirección IP interna de su dispositivo. Si su dispositivo se comunica a través de IPv6, utilice esa dirección IP junto con el ID de ámbito (ID de interfaz) correspondiente.
   3. El secreto compartido es el secreto compartido RADIUS para el autenticador externo que configurará en su dispositivo.
5. En la sección Autenticación, aplique la configuración que se muestra en la Figura 1-1.

Figura 1-1

Observe que la casilla de verificación situada junto a Mobile Application (Aplicación móvil ) está seleccionada. Puede ignorar la advertencia, ya que Citrix® XenApp™ autenticará las contraseñas AD de los usuarios.

ESA ya está configurado para comunicarse con el servidor Citrix® XenApp™. Ahora debe configurar el servidor Citrix® XenApp™ para que se comunique con el servidor ESA. En primer lugar, cree un secreto compartido para el protocolo RADIUS y, a continuación, especifique una dirección IP de cliente de acceso a red para RADIUS. Por último, habilite la autenticación de dos factores mediante Citrix® XenApp™ Management Console.

Paso II: Creación de un secreto compartido para RADIUS

La Interfaz Web de Citrix almacena el secreto compartido en un archivo de texto en el sistema de archivos local. La ubicación de este archivo viene dada por el valor de configuración RADIUS_SECRET_PATH del archivo web.config (normalmente en inetpubwwwrootCitrixXenApp para sitios alojados en IIS) o del archivo web.xml (para sitios alojados en servidores de aplicaciones Java). La ubicación indicada es relativa a la carpeta conf para los sitios alojados en IIS y relativa al directorio /WEB_INF para los sitios alojados en servidores de aplicaciones Java.

Para crear el secreto compartido, siga los pasos que se indican a continuación:

1. Cree un archivo de texto (.txt) llamado radius_secret.txt que contenga la misma clave secreta que utilizó en el paso 4 de la sección anterior (consulte la Figura 1-1).
   
2. Mueva este archivo a la ubicación especificada en el archivo de configuración correspondiente. Por ejemplo, web.config para sitios alojados en IIS.
   
3. Modifique los permisos de este archivo para que sólo puedan acceder a él los usuarios o procesos adecuados.

Paso III - Especifique una dirección IP de cliente de acceso a la red para RADIUS

El protocolo RADIUS requiere que las solicitudes de acceso a los servidores RADIUS incluyan la dirección IP del cliente RADIUS (por ejemplo, la Interfaz Web). Para activar la autenticación RADIUS, debe proporcionar la dirección IP del servidor Web.

Para proporcionar la dirección IP del cliente RADIUS, siga estos pasos:

1. Abra el archivo web.config para los sitios alojados en IIS.
   
2. Introduzca la dirección IP del servidor Web (por ejemplo, el servidor que aloja el sitio IIS) como valor del parámetro de configuración RADIUS_NAS_IP_ADDRESS.
   
3. Guarde el archivo.
   

Paso IV: Habilitación de la autenticación de dos factores mediante la consola de administración de la Interfaz Web de Citrix

Ahora debe habilitar la autenticación de dos factores en la Interfaz Web para que los usuarios puedan acceder y mostrar su conjunto de recursos. Esto debe hacerse mediante la tarea Métodos de autenticación de la consola Administración de la Interfaz Web de Citrix. Además de habilitar la autenticación de dos factores, puede especificar una o más direcciones de servidores RADIUS (y, opcionalmente, puertos), el comportamiento de equilibrio de carga o conmutación por error de los servidores y el tiempo de espera de respuesta.

1. Inicie sesión en la consola de administración de la Interfaz Web de Citrix.

Figura 4-1

2. Haga clic con el botón derecho del ratón en el nombre del sitio y seleccione Métodos de autenticación:

Figura 4-2

3. Seleccione la opción Explicit y haga clic en Properties.... Aparecerá la ventana Propiedades:

Figura 4-3

4. Seleccione Autenticación de dos factores, elija RADIUS en el cuadro desplegable Configuración de dos factores y haga clic en el botón Añadir... . Aparecerá la siguiente ventana emergente:

Figura 4-4

5. Introduzca la dirección IP del Servidor RADIUS de ESA en el campo Dirección del Servidor, introduzca 1812 como Puerto del Servidor y pulse Aceptar.
   
6. Volverá a la ventana Propiedades. Pulse Aceptar para guardar los cambios.
   
7. Volverá a la ventana Configurar métodos de autenticación. Haga clic en Aceptar para guardar los cambios.
   
8. Pruebe la configuración accediendo a la Interfaz Web de Citrix® XenApp™ desde un explorador cliente. La pantalla de inicio de sesión debería mostrar ahora un campo PASSCODE , en el que se puede introducir la ESA OTP durante el proceso de inicio de sesión.Ya está listo para autenticar a los usuarios de Citrix® XenApp™ con ESET Secure Authentication.

Figura 4-5