Conexión al Directorio Activo con Citrix Access Gateway usando RADIUS

Si en vez de usar usar usuarios locales con Citrix Access Gateway lo que queremos es aprovechar nuestro Directorio Activo de Windows, nuestros usuarios del dominio para validarnos a la hora de conectarnos desde el exterior, debemos instalar en un servidor de nuestra red el servicio de IAS (Servicio de autenticación de Internet), configurarlo e indicar en el CAG que sea así. Ojo si el CAG está en la DMZ necesitamos mapear los puertos de RADIUS al servidor IAS, que son el 1812 そして 1813, tcp ambos.

まぁ, lo primero de todo en un servidor de nuestra red es instalar el servicio de IAS, こちらは, からインストールします “Panel de Control(パネル・ド・コントロール)” > “プログラムを追加または削除する” > “Windows コンポーネントの追加または削除” > クリック “ネットワークサービス” y después en el botón de “細部…” para poder seleccionar el componente “Servicio de autenticación de Internet”, lo marcamos y aceptamos todo para instalarlo.

インストールしたら, 開けます, から “管理ツール”, 選ぶ “Servicio de autenticación de Internet”,

Lo primero de todo es crear el cliente, que será el CAG, こちらは, コンソールから, 封筒 “Clientes RADIUS” con botón derecho seleccionamos “Nuevo cliente RADIUS”,

Le indicamos un nombre descriptivo cualquiera que sirva para que nosotros le podamos identificar; y le ponemos la dirección IP del CAG o el nombre completo DNS del CAG, “次”,

で “Cliente proveedor” 選ぶ “RADIUS Standard”, y aquí es donde le indicaremos cual será el secreto para que se puedan validar entre el IAS y el CAG, este secreto posteriormente será el que le indiquemos al CAG, “終わり”,

Ahora debemos indicar una directiva para el CAG, 私たちは行くつもりです “Directivas de acceso remoto”, con el botón derecho y seleccionamos “Nueva directiva de acceso remoto”,

“次”,

Seleccionamos la segunda opción “Configurar una directiva personalizada” y le indicamos un nombre descriptivo, usaremos la directiva para indicar quien sí se puede conectar usando el CAG, “次”,

クリック “足す…”

Seleccionamos al final “Windows-Groups” をクリックし、をクリックします “足す…”

クリック “足す…” para seleccionar los grupos de Windows, del DA que queremos que se puedan conectar al CAG,

Escribimos el nombre del grupo donde tenemos metidos los usuarios que queremos que se conecten a la VPN, en mi caso en mi D.A. he creado un grupo llamado “UsuariosCAG” donde meteré a todos los que les quiera dar acceso. Seleccionamos los grupos que nos interese y pulsamos en “受け入れる”,

Comprobamos que salen nuestros grupos y pulsamos sobre “受け入れる”,

“次”,

選ぶ “Conceder permiso de acceso remoto” para dar acceso a este grupo de usuarios a la conexión, “次”,

クリック “Editar perfil…”,

で “認証” debemos desmarcar los dos primeros checks “Autenticación cifrada de Microsoft versión 2 (MS-CHAP v2)” そして “Autenticación cifrada de Microsoft (MS-CHAP)”; y marcamos los otros dos checks “Autenticación cifrada (CHAP)” そして “Autenticación sin cifrado (パップ, SPAP)”,

で “詳細オプション” borramos lo que haya seleccionandolas y pulsando sobre “取り去る”; y después pulsamos sobre “足す…”,

Seleccionamos el atributo “Vendor-Specific” をクリックし、をクリックします “足す”,

クリック “足す”,

で “Seleccionar de la lista” 示す “RADIUS Standard” y debajo, debemos indicar que “Sí cumple” la norma RADIUS RFC, クリック “Configurar atributo…”

Debemos agregar el “Valor del atributo” con el siguiente dato: “CTXSUserGroups=” (引用符は付けません) seguido del nombre del grupo de usuarios del dominio de Windows que hemos agregado anteriormente, en mi caso era UsuariosCAG, así que quedaría de la siguiente forma: CTXSUserGroups=UsuariosCAG. Si por alguna razón tenemos más de un grupo, los separaremos con punto y coma (;), 受け入れる,

受け入れる,

私たちはそれを示します “いいえ”,

Y ya podemos continuar, クリック “次”,

Comprobamos que todo está bien y finalizamos,

Vemos que la directiva que hemos creado se queda como máxima prioridad con Orden 1. Ya hemos acabado con la parte de Windows, ya no hay más que configurar aquí, ahora todo será desde la consola de Administración del CAG.

Abrimos la consola para administrar el CAG, “Access Gateway Administration Tool”, nos vamos a la pestaña de “認証”, podemos dejar ambas autenticaciones, la de usuarios locales y crear una nueva para los usuarios de RADIUS, とにかく, この例では、, solo aceptaré usuarios RADIUS así que la autenticación que trae por defecto la borrare, この目的のために、 “アクション” > クリック “Remove Default realm”,

“はい”,

今入っています “Add an Authentication Realm” indicaremos una llamada “デフォルト” をクリックし、をクリックします “足す”,

Seleccionamos en tipo de Autenticación “RADIUS authentication” をクリックし、をクリックします “わかりました”,

Debemos indicarle al CAG cual es el servidor RADIUS, para ello en “Primary RADIUS Server Settings” で “IP address” pondremos la dirección IP del servidor RADIUS, デフォルトのポートは 1812, y ahora debemos poner el secreto que habíamos creado anteriormente en el servidor RADIUS a la hora de crear el cliente RADIUS. クリック “送信” 変更を保存するには. Si por alguna razón tenemos otro servidor RADIUS lo indicaremos debajo, en el servidor secundario.

“わかりました”

Y comprobamos que en la pestaña de “認可” todo esté igual que en la imagen superior:
“Vendor code” = 0
“Vendor-assigned attribute number” = 0
“Attribute value prefix” = CTXSUserGroups=
“Separator” = ;

クリック “送信”,

“わかりました”, no habría que hacer nada más, ahora probar a conectarse desde el exterior para comprobar que todo está bien.

Para comprobar cualquier evento lo veremos en el servidor RADIUS, en el “Visor de Sucesos”, te indicará quién se conecta correctamente o quién se ha querido conectar y no ha podido.

Está sería la configuración final del CAG en la DMZ apuntando al servidor RADIUS:

Desde la parte del FW de internet deberíamos abrir única y exclusivamente el puerto 443 tcp al CAG para que los clientes puedan acceder a descargarse el software cliente y conectarse a la VPN. De la red LAN a la red DMZ deberíamos abrir únicamente el puerto 9001 tcp al CAG para poder administrarlo remotamente con las Administration Tools. Y de la red DMZ a la red LAN deberíamos abrir los puertos que nos interese, si usamos RADIUS redirigiremos el 1812 tcp y el 1813 tcp al servidor IAS. ザ 1494 TCPの (o el 2598 tcp si usamos “Session reability”) al servidor citrix y si nos interesa el 1604 tcp para cuando desde el cliente de Citrix (PN o PNA) se haga el browsing para buscar la comunidad Citrix.