Настройка DUO с помощью Citrix NetScaler для ThinOS

Затронутые операционные системы:

• Wyse ThinOS

Неприменимо

Содержание

• Настройка Citrix NetScaler для DUO MFA
• Конфигурация ThinOS
• Советы по устранению неполадок

Настройка Citrix NetScaler для DUO MFA

Инструкции, приведенные в этой статье базы знаний, предполагают, что Вы уже настроите Citrix NetScaler для MFA. Если вы этого не сделали, вы можете найти инструкции по настройке Citrix NetScaler для DUO на https://duo.com/docs/citrix_netscaler.

Файл DUO AuthProxy.cfg

В рамках вышеуказанной настройки вы создаете или измените файл AuthProxy.cfg, который определяет параметры прокси-сервера DUO RADIUS. Рабочий пример этого файла приведен ниже. Это проверенная конфигурация из лабораторной среды. Другие конфигурации могут работать или не работать.

************************************************
AuthProxy.cfg File Contents Below
************************************************
[ad_client]
host=192.168.10.10 (Active Directory Server IP or Name)
service_account_username=administrator
service_account_password=Wyse#123
search_dn=dc=xen712,dc=citrix<

[radius_server_auto]
api_host=api-fb98f637.duosecurity.com (The API Host and Keys are account specific and retrieved through your DUO Portal (Figure 1).)
iKey=XXXXXXXXXX
skey=XXXXXXXXXXXXXXXXXXXX
failmode=safe
client=ad_client
radius_ip_1=192.168.10.2
radius_secret_1=Wyse#123
port=1812
************************************************
AuthProxy.cfg File Contents Above
************************************************

Рис. 1. (только на английском языке) Хост и ключи API DUO

В начало

Конфигурация ThinOS

Для поддержки push-аутентификации DUO MFA на стороне ThinOS не требуется специальная конфигурация. Ниже приведен пример конфигурации из лабораторной среды.

************************************************
WNOS.ini File Contents Below
************************************************

Timeserver=192.5.41.40 TimeFormat="12-hour format" DateFormat=mm/dd/yyyy
TimeZone='GMT -06:00' ManualOverride=yes Daylight=yes Start=030307 End=110207
TimeZoneName="Central" DayLightName="Central"

SignOn=Yes
Securitypolicy=low
Domainlist=xen712
AddCertificate="CA Root Cert Xen712_citrix.cer"
PnliteServer=https://nsgatewat.xen712.citrix?Store Storefront=yes
************************************************
WNOS.ini File Contents Above
************************************************

Примечание о методе аутентификации ThinOS

Duo MFA был протестирован только для и работает с методом отправки приложений. Ниже приведены примеры уведомлений приложений, полученные на мобильном устройстве (рис. 2 и 3).

Рис. 2. (только на английском языке) Пример уведомления приложения

Рис. 3. (только на английском языке) Пример с полным экраном приложения

Примечания о поведении аутентификации ThinOS при включенной функции DUO

Успешный вход в систему:

1. Введите учетные данные и нажмите клавишу Enter.
2. Сообщение аутентификации в NetScaler.
3. Duo Push to Phone.
4. Утвердить приложение по телефону.
5. Вход в систему завершается

Сбой при входе в систему

1. Сначала проверяются учетные данные, поэтому неверные учетные данные возвращают неверные учетные данные, повторите сообщение.
2. Отклонение с телефона возвращает недопустимые учетные данные, повторите сообщение .

Советы по устранению неполадок

Если запрос аутентификации по телефону не отображается, сначала проверьте следующее. Если ни одно из этих действий не является полезным, см. документацию и поддержку DUO для получения дополнительной информации. http://www.duo.com

Не запускается служба Duo Authentication Proxy Service.

Убедитесь, что файл AuthProxy.cfg не содержит ошибок синтаксиша и всей необходимой информации. Если служба не запускается с файла, попробуйте запустить его с приведенного выше примера содержимого, а затем измените его в соответствие со своей средой.

Проверьте журналы аутентификации на NetScaler на наличие проблем.

Ниже приведен снимок экрана с инструкциями по поиску журналов в NetScaler (рис. 4 и 5).

Рис. 4. (только на английском языке) в NetScaler

Рис. 5. (только на английском языке) Проверьте журнал прокси-сервера аутентификации DUO на наличие проблем