Inzwischen dürfte sich herumgesprochen haben, das über die NetScaler Gateway Funktion des Netscalers nicht nur ein Zugriff auf ein XenDesktop realisiert werden kann, sondern auch Web-Applikationen und ein vollwertiges SSL VPN integriert werden können.
Weitaus weniger bekannt ist, dass mit der Version 11.1 der Netscaler Firmware zur SSL VPN Funktion eine Always On Funktion bzw. jetzt zusätzlich noch eine „Always on service“ Funktion hinzugekommen ist.
Bisher konnten sich Benutzer an einem Notebook anmelden, um dann eine Netscaler Gateway Verbindung aufzubauen und dann gesteuert über ein Session Profile ein Full VPN aufbauen.
Die bisherige Funktion konnte prinzipbedingt einige Situationen nicht abdecken:
Die Always On Funktion verbindet ein mobiles Endgerät mit einem VPN Endpunkt, mit dem es zuvor manuell verbunden wurde.
Abhängig davon ob sich das mobile Endgerät im Unternehmensnetz oder „on the road“ befindet, wird die VPN Verbindung automatisch auf und abgebaut.
Die Funktion „always on before logon“ wird über den „Always on service“ realisiert (Ablauf im Modus „Always on sErvcie with a user persona“):
(Bild von Citrix)
Ob und welcher Tunnel aufgebaut ist, lässt sich bei einem gesperrten Gerät über die Sign-In Options sehen (service mode= Machne level tunnel):
(Bild von Citrix)
Sollte keine primäre Netzwerkverbindung vorhanden sein, wartet der Always on Service im Hintergrund auf den Verbindungsaufbau.
Nach der neuen „always on before logon“ Funktionalität greift die bereits länger vorhandene „always on“ Funktion.
Durch ein Always On Profile auf dem Netscaler kann kontrolliert werden, ob die VPN Verbindung aufgebaut bleiben soll, wenn das Gerät sich im Unternehmensnetzwerk („Location based VPN“) befindet oder was passieren soll wenn kein VPN Tunnel aufgebaut werden kann („Network Access on VPN Failure)“. Über das Setting „Full Access“ kann normaler Netzwerkzugriff und logon an jedem anderen Netscakler Gateway als Backup freigeschaltet werden.
(Bild von br/ MWDE)
Systemanforderungen
AlwaysOn service | Windows version | Citrix ADC and Windows VPN plug-in version |
Always on service without a user persona | Windows 7 and later | No recommendation on specific Citrix ADC version. VPN plug-in must be version 13.0.36.xx and later or 12.1.53.xx and later. |
Always on service with a user persona | Windows 8 and later | Citrix ADC and VPN plug-in must be version 13.0.41.xx and later. |
„The expression is_aoservice is valid from Citrix Gateway version 13.0 build 41.20 and later.“
1. Für ein bestehendes Netscaler Gateway muss ein Authentication Profile mit einem neuen AAA Authenticationserver erzeugt werden (sofern noch kein Netscaler N-Factor im Einsatz ist)
2. Es muss eine EPA Policy hinzugefügt werden welche auf „is_aoservice“ prüft und die Action „sys.client_expr(“device-cert_0_0”)“ triggert (Binden mit Prio 100).
3. Es muss eine EPA Policy hinzugefügt werden welche auf „is_aoservice.not“ prüft den Actiontyp „No_AUTHN“ hat (Binden mit Prio 110)
Als „Next Factor“ wird eine LDAP Authentication Policy hinterlegt.
Brauchen Sie Beratung zu NetScaler-Fragen? Kontaktieren Sie uns gerne unverbindlich hier.
Weiterführende Links:
Grundlegende Always On Funktion
Neue Always On Service / before Logon Funktion