Configuration de DUO avec Citrix NetScaler pour ThinOS

Systèmes d’exploitation concernés :

• Wyse ThinOS

Sans objet

Table des matières

• Configuration de Citrix NetScaler pour l’authentification multifacteur DUO
• ThinOS Configuration
• Conseils de dépannage

Configuration de Citrix NetScaler pour l’authentification multifacteur DUO

Les instructions de cet article de la base de connaissances supposent que vous avez déjà configuré Citrix NetScaler pour l’authentification multifacteur. Si vous ne l’avez pas fait, vous trouverez les instructions de configuration de Citrix NetScaler pour DUO sur https://duo.com/docs/citrix_netscaler.

Fichier DUO AuthProxy.cfg

Dans le cadre de la configuration ci-dessus, vous créez ou modifiez un fichier AuthProxy.cfg qui définit les paramètres du proxy DUO RADIUS. Vous trouverez ci-dessous un exemple fonctionnel de ce fichier. Il s’agit d’une configuration validée à partir d’un environnement de laboratoire. D’autres configurations peuvent ou non fonctionner.

************************************************
AuthProxy.cfg File Contents Below
************************************************
[ad_client]
host=192.168.10.10 (Active Directory Server IP or Name)
service_account_username=administrator
service_account_password=Wyse#123
search_dn=dc=xen712,dc=citrix<

[radius_server_auto]
api_host=api-fb98f637.duosecurity.com (The API Host and Keys are account specific and retrieved through your DUO Portal (Figure 1).)
iKey=XXXXXXXXXX
skey=XXXXXXXXXXXXXXXXXXXX
failmode=safe
client=ad_client
radius_ip_1=192.168.10.2
radius_secret_1=Wyse#123
port=1812
************************************************
AuthProxy.cfg File Contents Above
************************************************

Figure 1 : (en anglais uniquement) Hôte et clés DE L’API DUO

Retour en haut de page

ThinOS Configuration

Aucune configuration spéciale n’est requise côté ThinOS pour prendre en charge l’authentification push DUO MFA. Vous trouverez ci-dessous un exemple de configuration à partir d’un environnement d’exercices pratiques.

************************************************
WNOS.ini File Contents Below
************************************************

Timeserver=192.5.41.40 TimeFormat="12-hour format" DateFormat=mm/dd/yyyy
TimeZone='GMT -06:00' ManualOverride=yes Daylight=yes Start=030307 End=110207
TimeZoneName="Central" DayLightName="Central"

SignOn=Yes
Securitypolicy=low
Domainlist=xen712
AddCertificate="CA Root Cert Xen712_citrix.cer"
PnliteServer=https://nsgatewat.xen712.citrix?Store Storefront=yes
************************************************
WNOS.ini File Contents Above
************************************************

Note relative à la méthode d’authentification ThinOS

L’authentification multifacteur DUO n’a été testée que sur et fonctionne avec la méthode push de l’application. Vous trouverez ci-dessous des exemples de notifications d’application reçues sur l’appareil mobile (Figure 2 > 3).

Figure 2 : (en anglais uniquement) Exemple de notification d’application

Figure 3 : (en anglais uniquement) Exemple d’application plein écran

Remarques sur le comportement d’authentification ThinOS avec DUO activé

Flux de connexion réussi:

1. Saisissez les informations d’identification, puis appuyez sur Entrée.
2. Authentification auprès du message NetScaler.
3. Duo Push to Phone (Envoyer au téléphone).
4. Approuver sur l’application phone.
5. Connexion terminée

Comportements de connexion en échec

1. Les informations d’identification sont d’abord vérifiées afin que les informations d’identification incorrectes renvoient des informations d’identification non valides. Veuillez réessayer le message.
2. Un refus du téléphone renvoie un message d’identification non valide. Veuillez réessayer .

Conseils de dépannage

Si vous ne recevez pas l’invite d’authentification par téléphone, vérifiez d’abord les éléments suivants. Si aucun de ces éléments n’est utile, consultez la documentation DUO et le support pour plus d’informations. http://www.duo.com

Le service proxy d’authentification Duo ne démarre pas.

Assurez-vous que le fichier AuthProxy.cfg ne contient aucune erreur de syntaxe et toutes les informations nécessaires. Si le service ne démarre pas avec votre fichier, essayez de le démarrer avec l’exemple de contenu ci-dessus, puis modifiez-le pour répondre à votre environnement.

Passez en revue les logs d’authentification sur NetScaler pour les problèmes.

Vous trouverez ci-dessous une capture d’écran de l’emplacement des journaux dans NetScaler (Figures 4 et 5).

Figure 4 : (en anglais uniquement) logs dans NetScaler

Figure 5 : (en anglais uniquement) Consulter le log du proxy d’authentification DUO pour les problèmes