Cómo configurar DUO con Citrix NetScaler para ThinOS

Sistemas operativos afectados:

• Wyse ThinOS

No corresponde

Tabla de contenidos

• Configuración de Citrix NetScaler para MFA duo
• Configuración de ThinOS
• Sugerencias para la solución de problemas

Configuración de Citrix NetScaler para MFA duo

Las instrucciones de este artículo de la base de conocimientos suponen que ya configuró Citrix NetScaler para MFA. Si no lo ha hecho, puede encontrar las instrucciones de configuración de Citrix NetScaler para DUO en https://duo.com/docs/citrix_netscaler.

Archivo DUO AuthProxy.cfg

Como parte de la configuración anterior, usted crea o modifica un archivo AuthProxy.cfg que define la configuración para el proxy DE RADIUS DUO. A continuación, se menciona un ejemplo de trabajo de ese archivo. Esta es una configuración validada desde un entorno de laboratorio. Es posible que otras configuraciones funcionen o no.

************************************************
AuthProxy.cfg File Contents Below
************************************************
[ad_client]
host=192.168.10.10 (Active Directory Server IP or Name)
service_account_username=administrator
service_account_password=Wyse#123
search_dn=dc=xen712,dc=citrix<

[radius_server_auto]
api_host=api-fb98f637.duosecurity.com (The API Host and Keys are account specific and retrieved through your DUO Portal (Figure 1).)
iKey=XXXXXXXXXX
skey=XXXXXXXXXXXXXXXXXXXX
failmode=safe
client=ad_client
radius_ip_1=192.168.10.2
radius_secret_1=Wyse#123
port=1812
************************************************
AuthProxy.cfg File Contents Above
************************************************

Figura 1: (Solo en inglés) Host y claves de LA API duo

Volver al principio

Configuración de ThinOS

No se requiere ninguna configuración especial en el lado de ThinOS para admitir la autenticación de inserción de MFA de DUO. A continuación, se muestra un ejemplo de una configuración de un entorno de laboratorio.

************************************************
WNOS.ini File Contents Below
************************************************

Timeserver=192.5.41.40 TimeFormat="12-hour format" DateFormat=mm/dd/yyyy
TimeZone='GMT -06:00' ManualOverride=yes Daylight=yes Start=030307 End=110207
TimeZoneName="Central" DayLightName="Central"

SignOn=Yes
Securitypolicy=low
Domainlist=xen712
AddCertificate="CA Root Cert Xen712_citrix.cer"
PnliteServer=https://nsgatewat.xen712.citrix?Store Storefront=yes
************************************************
WNOS.ini File Contents Above
************************************************

Nota sobre el método de autenticación de ThinOS

La MFA de DUO solo se probó y se sabe que funciona con el método de inserción de aplicaciones. A continuación, se muestran ejemplos de notificaciones de aplicaciones que se reciben en el dispositivo móvil (Figura 2 > 3).

Figura 2 (Solo en inglés) Ejemplo de notificación de aplicación

Figura 3: (Solo en inglés) Ejemplo de la aplicación en pantalla completa

Notas sobre el comportamiento de la autenticación de ThinOS con DUO activado

Flujo de inicio de sesión correcto:

1. Ingrese las credenciales y presione Intro.
2. Autenticación en el mensaje de NetScaler.
3. Duo Presione al teléfono.
4. Aprobar en la aplicación telefónica.
5. Se completó el inicio de sesión

Comportamientos de inicio de sesión fallidos

1. Las credenciales se verifican primero, de modo que las credenciales incorrectas devuelven una credencial no válida, vuelva a intentar el mensaje.
2. Una denegación del teléfono devuelve una credencial no válida, vuelva a intentar el mensaje.

Sugerencias para la solución de problemas

Si no recibe el indicador de autenticación por teléfono, primero verifique los siguientes elementos. Si ninguna de estas opciones es útil, consulte la documentación y el soporte de DUO para obtener más información. http://www.duo.com

El servicio de proxy de autenticación de Duo no se inicia.

Asegúrese de que el archivo AuthProxy.cfg no contenga errores de sintaxis y toda la información necesaria. Si el servicio no se inicia con el archivo, intente iniciarlo con el contenido de ejemplo anterior y, a continuación, modifíquelo para cumplir con su ambiente.

Revise los registros de autenticación en NetScaler para ver si hay problemas.

A continuación, se muestra una captura de pantalla de dónde encontrar los registros en NetScaler (Figuras 4 y 5).

Figura 4: (Solo en inglés) registros en NetScaler

Figura 5: (Solo en inglés) Revise el registro de proxy de autenticación de DUO para ver si hay problemas