[KB3483] Comment puis-je configurer mon périphérique Citrix® NetScaler pour l'utiliser avec ESET Secure Authentication ?

Introduction

Cet article décrit comment configurer un périphérique Citrix® NetScaler pour authentifier les utilisateurs par rapport à un serveur ESA. Avant de poursuivre, vérifiez que vous avez installé le composant Serveur RADIUS d'ESET Secure Authentication et que vous pouvez accéder au service RADIUS qui permet aux systèmes externes d'authentifier les utilisateurs.

Avant que votre périphérique Citrix® NetScaler puisse utiliser le serveur ESA pour authentifier les utilisateurs via RADIUS, il doit être configuré en tant que client RADIUS sur le serveur ESA. Ensuite, votre serveur exécutant le service RADIUS ESA doit être configuré en tant que serveur RADIUS sur le périphérique Citrix® NetScaler. Une fois ces configurations spécifiées, vous pouvez commencer à vous connecter à votre périphérique Citrix® NetScaler à l'aide des OTP ESA.

Étape I - Configuration du client RADIUS

Pour permettre au périphérique Citrix® NetScaler de communiquer avec votre serveur ESA, vous devez configurer le périphérique Citrix® NetScaler en tant que client RADIUS sur votre serveur ESA :

1. Connectez-vous à la console Web ESA.
2. Naviguez vers Composants > RADIUS et localisez le nom d'hôte du serveur exécutant le service RADIUS ESA.
3. Cliquez sur le nom d'hôte, puis sur Create New Radius Client (Créer un nouveau client Radius).
4. Dans la section Paramètres de base
   1. Donnez au client RADIUS un nom mémorable pour faciliter les références.
   2. Configurez l'adresse IP et le secret partagé pour le client afin qu'ils correspondent à la configuration de votre appareil VPN. L'adresse IP est l'adresse IP interne de votre appareil. Si votre appareil communique via IPv6, utilisez cette adresse IP ainsi que l'ID de portée (ID d'interface) correspondant.
   3. Le secret partagé est le secret partagé RADIUS pour l'authentificateur externe que vous configurerez sur votre appliance.
5. Dans la section Authentification, appliquez les paramètres indiqués dans la figure 1-1 ci-dessous.

Figure 1-1

L'ESA est maintenant configuré pour communiquer avec le périphérique Citrix® NetScaler. Vous devez maintenant configurer le périphérique Citrix® NetScaler pour qu'il communique avec le serveur ESA.

Étape II - Configuration du périphérique Citrix® NetScaler

Suivez les étapes ci-dessous :

1. Connectez-vous à votre interface administrative Citrix® NetScaler.
2. Développez Access Gateway → Serveurs virtuels, sélectionnez votre serveur virtuel Access Gateway existant et cliquez sur Ouvrir.
3. Dans la fenêtre Configurer le serveur virtuel de la passerelle d'accès, accédez à l'onglet Authentification.
4. Dans la section Politiques d'authentification, sélectionnez Primaire et cliquez sur Insérer une politique.
5. Dans la fenêtre Configurer la politique d'authentification, tapez un nom pour votre politique (par exemple, Authentification ESA)
6. Sélectionnez General dans le premier menu déroulant et true dans le deuxième menu déroulant sous Named Expressions (Expressions nommées)
7. Cliquez sur Ajouter une expression → Nouveau (à côté de Serveur) et définissez les paramètres suivants aux valeurs indiquées ci-dessous
   1. Nom : ESA RADIUS
   2. Adresse IP: L'adresse IP de votre serveur RADIUS ESA
   3. Secret Key (Clé secrète) : Comme indiqué dans la figure 1-1
   4. Confirmer la clé secrète : Comme ci-dessus
   5. Codage du mot de passe: PAP
      
8. Cliquer sur OK
9. Cliquer sur OK
10. Cliquez sur OK
11. Cliquez sur Sauvegarder

Étape III - Test de la connexion

Pour tester la connexion nouvellement configurée :

1. Naviguez jusqu'à l'URL que vous utilisez normalement pour les connexions VPN SSL avec votre appliance Citrix® NetScaler.
2. Saisissez les informations d'identification de votre utilisateur de test. Assurez-vous que vous utilisez un utilisateur pour lequel l'application mobile 2FA utilisant l'ESA est activée. Lorsque vous êtes invité à saisir un mot de passe, ajoutez l'OTP généré par l'application mobile à votre mot de passe AD. Par exemple, si l'utilisateur a un mot de passe AD Esa123 et un OTP de 999111, vous devez taper Esa123999111.

Résolution des problèmes

Si vous ne parvenez pas à vous authentifier via le serveur RADIUS de l'ESA, assurez-vous d'avoir effectué les étapes suivantes :

1. Exécutez un test de fumée sur votre serveur RADIUS, conformément au document "Verifying ESA RADIUS Functionality" (vérification de la fonctionnalité du serveur RADIUS ESA).
2. Si aucune erreur n'a été corrigée et que vous ne parvenez toujours pas à vous connecter, revenez à une configuration d'ouverture de session existante (qui n'utilise pas 2FA) et vérifiez que vous pouvez vous connecter
3. Si vous pouvez toujours vous connecter en utilisant les anciens paramètres, restaurez les nouveaux paramètres et vérifiez qu'aucun pare-feu ne bloque le protocole UDP 1812 entre votre appareil VPN et votre serveur RADIUS
4. Si vous ne parvenez toujours pas à vous connecter, contactez le support technique d'ESET.