Citrix Archive – Deyda.net

SAML Authentifizierung zwischen Citrix & Microsoft mit Azure MFA

Aktualisierung auf die neuste Cloud Navigation.

Als Folge der zunehmenden Projekte gibt es hier ein kleines How To mit den folgenden Punkten:

Azure AD Seamless Single Sign-On (PTA / PHS)
SAML Authentifizierung (Azure AD als IdP & NetScaler Gateway als SP)
Citrix Federated Authentication Service (FAS)
Microsoft Azure Multi-Factor-Authentication mit Conditional Access

Voraussetzungen

Voll funktionsfähige Citrix Virtual Apps and Desktop Umgebung (Mindestens StoreFront & DDC Version 7.9)
NetScaler (Citrix ADC) mit funktionsfähiger Basiskonfiguration & aktivierter Enterprise oder Platinum Lizenz (Minimum Version 12.1 Build 50+ für native Workspace App & für Browser Zugriff Minimum Version 11.1)
Konfigurierter Unified Gateway vServer
Interne und externe DNS Einträge für Unified Gateway vServer (z.B. citrix.deyda.net)
Zertifikate für DNS Einträge (am einfachsten sind Wildcard-Zertifikate)
Bestehender Azure Tenant mit Azure-AD Basiskonfiguration (Domain, AAD Sync) & aktivierter Azure AD Premium-Lizenz
Installierte & Konfigurierte AD Connect Version (Minimum Version 1.1.644.0)
Firewall Freigabe für *.msappproxy.net auf Port 443
Domänen Administrator Zugangsdaten für die Domänen, die sich über Azure Connect mit Azure AD verbinden
Installierte Authenticator App auf dem Test User Mobilgerät

Checkliste für NetScaler (Citrix ADC) CVE-2023-3519

Citrix hat gestern (18.07.2023) eine Warnung über eine kritische Sicherheitslücke (CVE-2023-3519) in allen NetScaler (Citrix ADC) & Gateway Systemen veröffentlicht. Bis heute sind keine funktionierenden Exploits veröffentlicht.

Wichtig ! Es gibt keine Patches für NetScaler (Citrix ADC) Version 12.1 oder älter. Diese Systeme haben ihr EOL erreicht und werden daher nicht mehr mit dem nötigen Fix bestückt. In diesem Fall bitte ein Update auf die neuste 13.0 oder 13.1 Version durchführen.

Die Sicherheitslücke ermöglichen eine anonyme Ausführung von Remotecode und dadurch nicht authentifizierten Angreifern verschiedene Maschinen mit Root Rechten zu übernehmen.

Wie man aus der Citrix Community hört, werden immer mehr attackierte Systeme aufgefunden. Die ersten Exploits sind auch schon seit einiger Zeit im Dark Web zu kaufen.

Web Authentication Action im NetScaler

Bei einem meiner letzten Einsätze musste ich einen externen Zugriff mittels NetScaler auf eine Intern gehostete Web-Anwendung (Grafana) einrichten.

Grafana ist eine plattformübergreifende Open Source-Anwendung zur grafischen Darstellung von Daten aus verschiedenen Datenquellen wie z.B. InfluxDB, MySQL, PostgreeSQL, Prometheus und Graphite.

Die Herausforderung dabei war, dass der Kunde eine Authentifizierung am NetScaler vorschalten wollte, die User allerdings nur der Web-Anwendung selbst bekannt sind.

Die Frage, die sich mir daher stellte, war:
Wie kann ich den User der Web-Anwendung überprüfen, wenn nur die Web-Anwendung selbst Zugriff auf die Userdaten hat?

Ich hatte bisher nur Standards wie LDAP, RADIUS, CERT, SAML usw. genutzt für eine User-Authentifizierung am NetScaler, aber diese waren hier nicht Zielführend da das Zielsystem nicht verändert werden sollte.

WEM Administration Console – Teil 2 (System Optimization, Policies & Profiles und Security)

Aktuelle Version ist Workspace Environment Management 2206.

Folgend gebe ich einen Einblick in die Menüpunkte System Optimization, Policies & Profiles und Security.

System Optimization

Diese Einstellungen dienen dazu, die Ressourcen Nutzung auf dem Host zu verringern. Sie dienen dazu, dass Ressourcen freigegeben werden und für andere Anwendungen verfügbar sind, hierdurch kann die Benutzerdichte pro Host erhöht werden.

Während die System Optimization Einstellungen maschinenbasiert sind und für alle Benutzersitzungen einer Maschine gelten, ist z.B. die Prozessoptimierung unter CPU Management benutzerbasiert.

Das heißt, wenn ein Prozess die CPU Spike Protection in der Sitzung von Benutzer A auslöst, wird das Ereignis nur für Benutzer A aufgezeichnet und limitiert. Wenn Benutzer B denselben Prozess startet, wird das Verhalten der Prozessoptimierung nur durch Prozessauslöser in der Sitzung von Benutzer B bestimmt.

WEM Administration Console – Teil 1 (Actions, Filters & Assignments)

Aktuelle Version ist Workspace Environment Management 2206.

Bekannte Probleme

Wenn VUEMRSAV.exe verwendet wird, um Ergebnisse zu Aktionen anzuzeigen, die über eine Aktionsgruppe für den aktuellen Benutzer angewendet wurden, zeigt die Registerkarte Applied Actions möglicherweise die falsche Quelle der Aktionen an. [WEM – 20002]