Load Balancing Archive

Web Authentication Action im NetScaler

Bei einem meiner letzten Einsätze musste ich einen externen Zugriff mittels NetScaler auf eine Intern gehostete Web-Anwendung (Grafana) einrichten.

Grafana ist eine plattformübergreifende Open Source-Anwendung zur grafischen Darstellung von Daten aus verschiedenen Datenquellen wie z.B. InfluxDB, MySQL, PostgreeSQL, Prometheus und Graphite.

Die Herausforderung dabei war, dass der Kunde eine Authentifizierung am NetScaler vorschalten wollte, die User allerdings nur der Web-Anwendung selbst bekannt sind.

Die Frage, die sich mir daher stellte, war:
Wie kann ich den User der Web-Anwendung überprüfen, wenn nur die Web-Anwendung selbst Zugriff auf die Userdaten hat?

Ich hatte bisher nur Standards wie LDAP, RADIUS, CERT, SAML usw. genutzt für eine User-Authentifizierung am NetScaler, aber diese waren hier nicht Zielführend da das Zielsystem nicht verändert werden sollte.

Citrix ADC 101 – Grundlagen

Folgend eine Sammlung an Grundlegenden Informationen über den Citrix ADC. Von der Lizensierung, über die wichtigsten Befehle bis zu den Update Verfahren die man durchführen kann.

Allgemeine Informationen

Folgend erstmal einige Grundlegende Informationen zum Citrix ADC.

Betriebssystem und Architektur

Citrix ADC basiert auf dem Open-Source Betriebssystem FreeBSD. Im Gegensatz zu dem sehr ähnlichen Linux hat FreeBSD einen modularen Kernel und Citrix hat dies genutzt um die Bash Shell von FreeBSD zu modifizieren, indem das Netzwerk Subsystem entfernt und durch das eigene ersetzt wurde. Die Modifikationen wurden in einem benutzerdefinierten Kernelmodul namens NetScaler Core Packet Processing Engine (PPE) untergebracht.

Kopieren einer Citrix ADC Konfiguration auf eine neue Maschine

In einem meiner letzten Projekte musste ich in einem neuen Rechenzentrum verschiedene Citrix ADCs aufbauen. Nach Rücksprache mit dem Kunden sollten die gleichen Dienste und Funktionen wie im alten Rechenzentrum konfiguriert werden. Der einzige Unterschied war das im neuen Rechenzentrum andere IP-Ranges genutzt worden sollten und daher alle Netzwerkeinstellungen der Citrix ADCs und der angeschlossenen Services daran angepasst werden mussten.

Voraussetzungen

Gleiche Version und Build auf allen Citrix ADC
Gleiche Citrix ADC Lizenz Version auf allen Citrix ADC
IP Adressen des neuen Citrix ADC sollten definiert und frei sein (NSIP, SNIP & VIP).
IP Adressen der angebundenen Maschinen sollten bekannt sein (Server oder Server Groups)
Grund Konfiguration des neuen Citrix ADC sollte durchgeführt sein (NSIP, SNIP, DNS, Zeitzone & Lizenz)

Citrix ADC als AD FS Proxy

In diesem Beitrag geht es darum einen AD FS Proxy zur Authentifizierung von z.B. SaaS Anwendungen oder Webseiten über Citrix ADC (Version 12) von extern bereit zu stellen. Hierbei soll durch den AD FS Proxy folgendes erreicht werden:

URL / DoS Schutz
Passende Authentifizierung nach extern (MFA, Forms statt Kerberos)
Account Lockout Schutz
Verfügbarkeit (LoadBalancing)

Was ist AD FS ?

Active Directory Federation Services (AD FS) ist eine Funktion im Windows Server Betriebssystem, mit dem Identitätsinformationen außerhalb des Unternehmensnetzwerks gemeinsam genutzt werden können. Benutzer können auf Anwendungen (z.B. Office365, Salesforce.com usw.) zugreifen, ohne dass Sie erneut aufgefordert werden, Anmeldeinformationen anzugeben. Diese Anwendungen können lokal, in der Cloud oder sogar von anderen Unternehmen gehostet werden. Die Benutzerkonten können vom Administrator an einem einzigen Ort, nämlich der Active Directory, verwaltet werden.

Eine normale Bereitstellung von AD FS für externe Clients besteht aus AD FS Proxy und AD FS Server. Der AD FS Server ist dabei Mitglied der Domäne, um die Authentifizierung durchzuführen. Der AD FS Proxy steht in der Regel in einer gesonderten Netzwerkzone (DMZ), damit er von extern erreichbar ist und die Anfragen nach innen weiter gibt.