Connexion à Active Directory avec Citrix Access Gateway à l’aide de RADIUS

Si, au lieu d’utiliser des utilisateurs locaux avec Citrix Access Gateway, ce que nous voulons, c’est profiter de notre Windows Active Directory, nos utilisateurs de domaine pour nous valider lors de leur connexion depuis l’étranger, nous devons installer le service IAS sur un serveur de notre réseau (Service d’authentification Internet), configurez-le et indiquez dans le CAG qu’il est ainsi. Attention, si le CAG se trouve dans la DMZ, il faut mapper les ports RADIUS au serveur IAS, Quels sont les 1812 et le 1813, TCP à la fois.

Puits, First of all on a server in our network is to install the IAS service, pour cela, We install it from “Panel de Contrôle” > “Ajouter ou supprimer des programmes” > “Ajouter ou supprimer des composants Windows” > Cliquez sur “Services réseau” And then on the button of “Détails…” To be able to select the component “Service d’authentification Internet”, We check it and accept everything to install it.

Une fois installé, Nous l’ouvrons, de la “Outils administratifs”, Choisir “Service d’authentification Internet”,

First of all is to create the client, Which will be the CAG, pour cela, depuis la console, enveloppe “Clients RADIUS” Avec le clic droit, sélectionnez “New RADIUS client”,

We give it any descriptive name that will help us identify it; And we enter the IP address of the CAG or the full DNS name of the CAG, “Suivant”,

Dans “Client provider” Choisir “Standard RADIUS”, And here is where we will indicate what the secret will be so that the IAS and the CAG can validate each other, This secret will later be the one we provide to the CAG, “Fin”,

Now we must indicate a policy for the CAG, Nous allons “Remote access policies”, Right-click and select “Nouvelle directive d'accès à distance”,

“Suivant”,

Nous sélectionnons la deuxième option “Configurer une directive personnalisée” et nous lui donnons un nom descriptif, nous utiliserons la directive pour indiquer qui peut se connecter en utilisant le CAG, “Suivant”,

Cliquez sur “Ajouter…”

Nous sélectionnons enfin “Groupes Windows” et cliquez sur “Ajouter…”

Cliquez sur “Ajouter…” pour sélectionner les groupes Windows, du DA que nous voulons autoriser à se connecter au CAG,

Nous saisissons le nom du groupe dans lequel nous avons mis les utilisateurs que nous voulons connecter au VPN, dans mon cas dans mon D.A. j'ai créé un groupe appelé “UsuariosCAG” où je mettrai tous ceux à qui je veux donner l'accès. Nous sélectionnons les groupes qui nous intéressent et cliquons sur “Accepter”,

Nous vérifions que nos groupes apparaissent et cliquons sur “Accepter”,

“Suivant”,

Choisir “Accorder l'accès à distance” pour donner accès à ce groupe d'utilisateurs à la connexion, “Suivant”,

Cliquez sur “Modifier le profil…”,

Sur le “Authentification” nous devons décocher les deux premières cases “Authentification chiffrée de Microsoft version 2 (MS-CHAP v2)” et “Authentification chiffrée de Microsoft (MS-CHAP)”; et nous cochons les deux autres cases “Authentification chiffrée (CHAP)” et “Authentification non chiffrée (BOUILLIE, SPAP)”,

Sur le “Options avancées” nous supprimons ce qui a été sélectionné en les sélectionnant et en cliquant sur “Enlever”; et ensuite nous cliquons sur “Ajouter…”,

Nous sélectionnons l'attribut “Vendor-Specific” et cliquez sur “Ajouter”,

Cliquez sur “Ajouter”,

Dans “Sélectionner dans la liste” Indiquer “Standard RADIUS” et en dessous, nous devons indiquer que “Oui respecte” la norme RADIUS RFC, Cliquez sur “Configurer l'attribut…”

Nous devons ajouter le “Valeur de l'attribut” avec la donnée suivante: “CTXSUserGroups=” (Pas de guillemets) suivi du nom du groupe d'utilisateurs du domaine Windows que nous avons ajouté précédemment, dans mon cas c'était UtilisateursCAG, donc cela serait de la manière suivante: CTXSUserGroups=UtilisateursCAG. Si pour une raison quelconque nous avons plus d'un groupe, nous les séparons par un point-virgule (;), Accepter,

Accepter,

Nous indiquons que “Non”,

Et maintenant, nous pouvons continuer, Cliquez sur “Suivant”,

Nous vérifions que tout est en ordre et nous terminons,

Nous voyons que la directive que nous avons créée reste la priorité maximale avec l’Ordre 1. Nous avons terminé la partie Windows, Il n’y a plus rien à configurer ici, Maintenant, tout se fera depuis la console d’administration du CAG.

Nous ouvrons la console pour administrer le CAG, “Outil d’administration Access Gateway”, Nous allons à l’onglet de “Authentification”, Nous pouvons laisser les deux authentifications, Celle des utilisateurs locaux et en créer une nouvelle pour les utilisateurs RADIUS, De toute façon, Dans cet exemple, J’accepterai uniquement les utilisateurs RADIUS, donc j’effacerai l’authentification par défaut, À cette fin, à partir de “Action” > Cliquez sur “Supprimer le domaine par défaut”,

“Oui”,

Maintenant dans “Ajouter un domaine d’authentification” Nous indiquerons un nom appelé “Faire défaut” et cliquez sur “Ajouter”,

Nous sélectionnons le type d’authentification “Authentification RADIUS” et cliquez sur “D’ACCORD”,

Nous devons indiquer au CAG quel est le serveur RADIUS, pour cela dans “Primary RADIUS Server Settings” dans “Adresse IP” pondremos la dirección IP del servidor RADIUS, Le port par défaut est le 1812, y ahora debemos poner el secreto que habíamos creado anteriormente en el servidor RADIUS a la hora de crear el cliente RADIUS. Cliquez sur “Envoyer” pour enregistrer vos modifications. Si por alguna razón tenemos otro servidor RADIUS lo indicaremos debajo, en el servidor secundario.

“D’ACCORD”

Y comprobamos que en la pestaña de “Autorisation” todo esté igual que en la imagen superior:
“Vendor code” = 0
“Vendor-assigned attribute number” = 0
“Attribute value prefix” = CTXSUserGroups=
“Separator” = ;

Cliquez sur “Envoyer”,

“D’ACCORD”, no habría que hacer nada más, ahora probar a conectarse desde el exterior para comprobar que todo está bien.

Para comprobar cualquier evento lo veremos en el servidor RADIUS, dans le “Visor de Sucesos”, te indicará quién se conecta correctamente o quién se ha querido conectar y no ha podido.

Está sería la configuración final del CAG en la DMZ apuntando al servidor RADIUS:

Desde la parte del FW de internet deberíamos abrir única y exclusivamente el puerto 443 tcp al CAG para que los clientes puedan acceder a descargarse el software cliente y conectarse a la VPN. De la red LAN a la red DMZ deberíamos abrir únicamente el puerto 9001 tcp al CAG para poder administrarlo remotamente con las Administration Tools. Y de la red DMZ a la red LAN deberíamos abrir los puertos que nos interese, si usamos RADIUS redirigiremos el 1812 tcp y el 1813 tcp al servidor IAS. Le 1494 TCP (ou le 2598 tcp si usamos “Session reability”) al servidor citrix y si nos interesa el 1604 tcp para cuando desde el cliente de Citrix (PN o PNA) se haga el browsing para buscar la comunidad Citrix.