Citrix VPN

Esta guía explica cómo integrar tu VPN de Citrix con la autenticación de Ironchip mediante RADIUS.

Requisitos

• Un servidor Windows con NPS protegido por Ironchip.
• Acceso a la consola de administración de Ironchip.
• Citrix VPN implementado y funcional.

Configuración en Windows Server

1. Crea un cliente RADIUS que apunte a la dirección IP de tu instalación de Citrix.

   

2. Comprueba que el cortafuegos del servidor tiene una regla que acepta los puertos de LDAP y RADIUS.

Configuración en Citrix

RADIUS

1. En el panel de configuración de Citrix, ve a Citrix Gateway > Policies > Authentication > RADIUS > Servers y haz clic en Add.

   

2. Rellena los datos:

   • Name: un nombre descriptivo para la configuración.
   • IP Address y Port: la IP y el puerto por los que Citrix se comunicará con tu servidor RADIUS.
   • Secret Key y Confirm Secret Key: el secreto compartido de tu servidor RADIUS.
   • Transport: el protocolo de transporte.
   • Time-out (seconds): 60.

   

3. Despliega More.

   

4. Ve al final de la página y modifica estos parámetros:

   • Password Encoding: mschapv2.
   • Authentication Server Retry: 1.
   • Comprueba que la casilla Authentication está marcada.

   

5. Haz clic en OK y guarda la configuración.

6. Ve al apartado Policies y crea dos políticas que apunten al servidor RADIUS creado. Los nombres son opcionales, pero te recomendamos usar los mismos para facilitar los pasos siguientes.

   Nombre	Expresión
   ReceiverSelfService	REQ.HTTP.HEADER User-Agent CONTAINS CitrixReceiver
   ReceiverForWeb	REQ.HTTP.HEADER User-Agent NOTCONTAINS CitrixReceiver

   

LDAP

Hace falta una segunda autenticación por LDAP. Solo sirve para que Citrix lea los usuarios del Active Directory, no para iniciar sesión.

1. Ve a Citrix Gateway > Policies > Authentication > LDAP > Servers y haz clic en Add.

   

2. Modifica los parámetros:

   • Name: un nombre descriptivo.
   • IP Address, Security Type y Port: la IP de tu servidor RADIUS, el tipo de seguridad y el puerto LDAP. Te recomendamos SSL con el puerto 636.
   • Server Type, Time-out (seconds) en 60 y la opción Authentication desmarcada.
   • En Connection Settings, tu dominio en formato DC=,DC= en Base DN (location of users) y el Administrator Bind DN con su contraseña. Para obtener el Bind DN, ejecuta en PowerShell get-aduser <usuario> -Properties * y busca el parámetro DistinguishedName.

   

3. Cambia Server Logon Name Attribute a SamaccountName y guarda la configuración.

   

4. Ve al apartado Policies y crea dos políticas que apunten al servidor LDAP creado. Los nombres son opcionales, pero te recomendamos usar los mismos.

   Nombre	Expresión
   LDAP-Corp-ReceiverSelfService	REQ.HTTP.HEADER User-Agent CONTAINS CitrixReceiver
   LDAP-Corp-ReceiverForWeb	REQ.HTTP.HEADER User-Agent NOTCONTAINS CitrixReceiver

   

Servidor virtual de Citrix

1. Ve a la configuración de Virtual Servers y edita el que aloja la VPN.

   

2. En Basic Authentication, añade las cuatro políticas creadas en este orden:

   Política	Tipo	Prioridad
   LDAP-Corp-ReceiverForWeb	LDAP	Primary
   ReceiverSelfService	RADIUS	Primary
   LDAP-Corp-ReceiverSelfService	LDAP	Secondary
   ReceiverForWeb	RADIUS	Secondary

   

Comprobación

En la consola de administración de Ironchip, da acceso a los usuarios a la aplicación creada para este servicio. Al iniciar sesión en la VPN, después de introducir usuario y contraseña, se te pedirá que te autentiques con Ironchip.

Problemas frecuentes

Ver el registro de autenticación

Para depurar la autenticación y ver un registro completo en tiempo real:

1. Conéctate a la interfaz de línea de comandos del ADC (Application Delivery Controller) con un cliente SSH.

2. Cambia al indicador de comandos de la shell:

   shell

3. Cambia al directorio /tmp:

   cd /tmp

4. Inicia la depuración:

   cat aaad.debug