[KB3482] Jak skonfigurować urządzenie Citrix® Access Gateway do użytku z ESET Secure Authentication?

Wprowadzenie

Citrix® Access Gateway to brama SSL VPN zapewniająca bezpieczny dostęp do sieci. W tym artykule opisano, jak skonfigurować urządzenie Citrix® Access Gateway do uwierzytelniania użytkowników na serwerze ESA. Przed kontynuowaniem należy upewnić się, że zainstalowano komponent serwera RADIUS ESET Secure Authentication i można uzyskać dostęp do usługi RADIUS, która umożliwia zewnętrznym systemom uwierzytelnianie użytkowników.

Zanim urządzenie Citrix® Access Gateway będzie mogło używać serwera ESA do uwierzytelniania użytkowników za pośrednictwem usługi RADIUS, musi zostać skonfigurowane jako klient usługi RADIUS na serwerze ESA. Następnie serwer z uruchomioną usługą ESA RADIUS musi zostać skonfigurowany jako serwer RADIUS na urządzeniu Citrix® Access Gateway. Po określeniu tych konfiguracji można rozpocząć logowanie do urządzenia Citrix® Access Gateway przy użyciu OTP ESA.

Krok I - Konfiguracja klienta RADIUS

Aby umożliwić urządzeniu Citrix® Access Gateway komunikację z serwerem ESA, należy skonfigurować urządzenie Citrix® Access Gateway jako klienta RADIUS na serwerze ESA:

1. Zaloguj się do ESA Web Console.
2. Przejdź do pozycji Komponenty > RADIUS i znajdź nazwę hosta serwera, na którym uruchomiona jest usługa ESA RADIUS.
3. Kliknij nazwę hosta, a następnie kliknij przycisk Create New Radius Client.
4. W sekcji Ustawienia podstawowe
   1. Nadaj klientowi RADIUS łatwą do zapamiętania nazwę.
   2. Skonfiguruj adres IP i wspólny klucz tajny dla klienta tak, aby odpowiadały konfiguracji urządzenia VPN. Adres IP to wewnętrzny adres IP urządzenia. Jeśli urządzenie komunikuje się za pośrednictwem protokołu IPv6, należy użyć tego adresu IP wraz z powiązanym identyfikatorem zakresu (identyfikatorem interfejsu).
   3. Współdzielony klucz tajny to współdzielony klucz tajny usługi RADIUS dla zewnętrznego uwierzytelniacza, który zostanie skonfigurowany na urządzeniu.
5. W sekcji Uwierzytelnianie zastosuj ustawienia pokazane na rysunku 1-1 poniżej.

Rysunek 1-1

ESA została skonfigurowana do komunikacji z urządzeniem Citrix® Access Gateway. Teraz należy skonfigurować urządzenie Citrix® Access Gateway do komunikacji z serwerem ESA .

Krok II - Konfigurowanie urządzenia Citrix® Access Gateway

Aby skonfigurować Citrix Gateway 13, zapoznaj się z dokumentacją dotyczącą konfigurowania uwierzytelniania Radius i użyj poniższych wartości:

• Serwer: adres IP serwera ESA RADIUS
• Tajnyklucz: współdzielony klucz tajny RADIUS (patrz Rysunek 1-1)
• Confirm Secret Key: powtórzenie sekretu współdzielonego

Aby skonfigurować Citrix® Access Gateway (sprzedaż zakończona w 2016 r.), wykonaj poniższe czynności:

1. Zaloguj się do interfejsu administratora Citrix® Access Gateway.
2. Przejdź do Zarządzanie → Profile uwierzytelniania.
3. Kliknij Dodaj i wybierz RADIUS.
4. W oknie Właściwości RADIUS wprowadź nazwę profilu (na przykład ESA RADIUS).
5. Kliknij przycisk New (poniżej listy Servers) i ustaw następujące parametry na wartości pokazane poniżej
   1. Server: Adres IP serwera ESA RADIUS
   2. Shared Secret: współdzielony klucz tajny usługi RADIUS (patrz Rysunek 1-1)
   3. Confirm Secret: powtórzenie sekretu współdzielonego
   4. Kliknij OK.
   5. Kliknij Save (Zapisz).
6. Przejdź do Zarządzanie → Punkty logowania.
7. Kliknij Dodaj (lub Edytuj istniejący punkt logowania).
8. Wybierz ESA RADIUS w sekcji Profile uwierzytelniania.
9. Kliknij Zapisz

Krok III - Testowanie połączenia

Aby przetestować nowo skonfigurowane połączenie:

1. Przejdź do adresu URL, który jest zwykle używany do logowania SSL VPN za pomocą urządzenia Citrix® Access Gateway.
2. Wprowadź poświadczenia użytkownika testowego. Upewnij się, że używasz konta z włączoną funkcją 2FA aplikacji mobilnej przy użyciu ESA. Gdy pojawi się monit o hasło, dołącz OTP wygenerowany przez aplikację mobilną do hasła AD. Na przykład, jeśli użytkownik ma hasło AD Esa123 i OTP 999111, należy wpisać Esa123999111.

Rozwiązywanie problemów

Jeśli nie możesz uwierzytelnić się za pośrednictwem serwera ESA RADIUS, upewnij się, że wykonałeś następujące kroki:

1. Uruchom test dymu na serwerze RADIUS, zgodnie z Weryfikacja funkcjonalności ESA RADIUS.
2. Jeśli nie naprawiono żadnych błędów i nadal nie można się połączyć, należy powrócić do istniejącej konfiguracji logowania (która nie korzysta z 2FA) i sprawdzić, czy można się połączyć
3. Jeśli nadal nie można nawiązać połączenia przy użyciu starych ustawień, przywróć nowe ustawienia i sprawdź, czy zapora sieciowa nie blokuje protokołu UDP 1812 między urządzeniem VPN a serwerem RADIUS
4. Jeśli nadal nie możesz się połączyć, skontaktuj się z pomocą techniczną ESET.