NetScaler Gatewayについて
NetScaler Gateway は導入が簡単で、管理も簡単です。最も一般的な展開構成は、DMZにNetScaler Gateway アプライアンスを配置することです。ネットワーク内に複数のNetScaler Gatewayアプライアンスをインストールして、より複雑な展開環境を実現することができます。
NetScaler Gateway を初めて起動するときに、シリアルコンソール、構成ユーティリティのセットアップウィザード、または動的ホスト構成プロトコル（DHCP）を使用して初期構成を実行できます。MPX アプライアンスでは、アプライアンスの前面パネルにある LCD キーパッドを使用して初期設定を実行できます。IP アドレス、サブネットマスク、デフォルトゲートウェイ IP アドレス、ドメインネームシステム (DNS) アドレスなど、内部ネットワークに固有の基本設定を構成できます。基本的なネットワーク設定を構成したら、認証、承認、ネットワークリソース、仮想サーバー、セッションポリシー、エンドポイントポリシーのオプションなど、NetScaler Gateway 操作に固有の設定を構成します。
NetScaler Gateway をインストールして構成する前に、このセクションのトピックで展開の計画に関する情報を確認してください。展開計画には、アプライアンスを設置する場所の決定、DMZ への複数のアプライアンスのインストール方法の理解、およびライセンス要件が含まれます。NetScaler Gateway は、セキュリティで保護されたネットワークで実行されている既存のハードウェアまたはソフトウェアを変更することなく、任意のネットワークインフラストラクチャにインストールできます。NetScaler Gateway は、サーバーロードバランサー、キャッシュエンジン、ファイアウォール、ルーター、IEEE 802.11ワイヤレスデバイスなどの他のネットワーク製品をサポートしています。
NetScaler Gateway を構成する前に、インストール前チェックリストに設定を書いて、手元に置くことができます。
| NetScaler Gateway アプライアンス | NetScaler Gateway アプライアンスおよびアプライアンスのインストール手順について説明します。 |
| インストール前のチェックリスト | 確認する計画情報と、NetScaler Gateway をネットワークにインストールする前に完了する必要があるタスクの一覧を示します。 |
| 一般的な展開 | ネットワークDMZ、DMZのない安全なネットワーク、および負荷分散とフェイルオーバーをサポートするための他のアプライアンスとのNetScaler Gateway の展開に関する情報を提供します。また、Citrix Virtual Apps and Desktopsを使用したNetScaler Gateway の展開に関する情報も記載されています。 |
| Licensing | アプライアンスにライセンスをインストールする方法について説明します。また、複数のNetScaler Gateway アプライアンスにライセンスをインストールする方法についても説明しています。 |
NetScaler Gateway アーキテクチャ
NetScaler Gateway のコアコンポーネントは次のとおりです。
-
仮想サーバー。NetScaler Gateway 仮想サーバーは、ユーザーが利用できるすべての構成済みサービスを代表する内部エンティティです。仮想サーバは、ユーザがこれらのサービスにアクセスするためのアクセスポイントでもあります。単一のアプライアンスに複数の仮想サーバーを構成して、1つのNetScaler Gatewayアプライアンスで、認証およびリソースアクセスの要件が異なる複数のユーザーコミュニティにサービスを提供することができます。
-
認証、承認、監査。認証、承認、およびアカウンティングを構成して、セキュリティ保護されたネットワーク内のNetScaler GatewayまたはLDAPやRADIUSなどの認証サーバーのいずれかで認識される資格情報を使用して、ユーザーがNetScaler Gatewayにログオンできるようにします。承認ポリシーは、ユーザーのアクセス許可を定義し、特定のユーザーがアクセスを許可されるリソースを決定します。認証と承認について詳しくは、「認証と承認の構成」を参照してください。監査サーバーは、ユーザーログオンイベント、リソースアクセスインスタンス、操作エラーなど、NetScaler Gateway アクティビティに関するデータを保持します。この情報は、NetScaler Gatewayまたは外部サーバーに保存されます。監査について詳しくは、「 NetScaler Gateway での監査の設定」を参照してください。
-
ユーザー接続。ユーザーは、次のアクセス方法を使用してNetScaler Gateway にログオンできます。
-
Windows向けCitrix Secure Accessクライアントは、Windowsベースのコンピューターにインストールされるソフトウェアです。ユーザーは、Windows ベースのコンピューターの通知領域のアイコンを右クリックしてログオンします。Citrix Secure Accessクライアントがインストールされていないコンピューターを使用している場合は、Webブラウザーを使用してログオンし、プラグインをダウンロードしてインストールできます。ユーザーがCitrix Workspaceアプリをインストールしている場合、ユーザーはCitrix WorkspaceアプリからCitrix Secure Accessクライアントでログオンします。Citrix WorkspaceアプリとCitrix Secure Accessクライアントがユーザーデバイスにインストールされている場合、Citrix Workspaceアプリは自動的にCitrix Secure Accessクライアントを追加します。
-
macOS Xを実行しているユーザーがログオンできるようにするmacOS X用のCitrix Secure Access クライアント。Windows向けCitrix Secure Access クライアントと同じ特徴と機能を備えています。このプラグインバージョンのエンドポイント分析サポートを提供するには、NetScaler Gateway 10.1、ビルド120.1316.eをインストールします。
-
Web InterfaceまたはCitrix StoreFront を使用して、サーバーファーム内の公開アプリケーションおよび仮想デスクトップへのユーザー接続を可能にするCitrix Workspaceアプリ。
-
Citrix Workspace アプリ、Secure Hub、WorxMail、およびWorxWeb。ユーザーは、Citrix Endpoint ManagementでホストされているWebおよびSaaSアプリケーション、iOSおよびAndroidモバイルアプリ、およびShareFileデータにアクセスできます。
-
ユーザーは、NetScaler Gateway Webアドレスを使用するAndroidデバイスから接続できます。ユーザーがアプリを起動すると、接続はMicro VPNを使用してネットワークトラフィックを内部ネットワークにルーティングします。ユーザーがAndroidデバイスから接続する場合は、NetScaler Gateway でDNS設定を構成する必要があります。詳細については、「 Android デバイスの DNS サフィックスを使用した DNS クエリのサポート」を参照してください。
-
ユーザーは、NetScaler Gateway Webアドレスを使用するiOSデバイスから接続できます。Secure Browse は、グローバルに、またはセッションプロファイルで構成します。ユーザーがiOSデバイスでアプリを起動すると、VPN接続が開始され、接続がNetScaler Gateway 経由でルーティングされます。
-
クライアントレスアクセス。ユーザーデバイスにソフトウェアをインストールしなくても、必要なアクセスをユーザーに提供します。NetScaler Gateway を構成するときに、ユーザーのログオン方法を構成するポリシーを作成できます。また、セッションおよびエンドポイントの分析ポリシーを作成して、ユーザーのログオンを制限することもできます。
-
-
ネットワークリソース。これには、ファイルサーバー、アプリケーション、Webサイトなど、ユーザーがNetScaler Gateway を介してアクセスするすべてのネットワークサービスが含まれます。
-
仮想アダプター。NetScaler Gateway 仮想アダプターは、IPスプーフィングを必要とするアプリケーションをサポートします。仮想アダプタは、Citrix Secure Accessクライアントのインストール時にユーザーデバイスにインストールされます。ユーザーが内部ネットワークに接続すると、NetScaler Gateway と内部サーバー間の送信接続では、イントラネットIPアドレスが送信元IPアドレスとして使用されます。Citrix Secure Accessクライアントは、構成の一部としてサーバーからこのIPアドレスを受け取ります。NetScaler Gateway で分割トンネリングを有効にすると、すべてのイントラネットトラフィックが仮想アダプタを介してルーティングされます。イントラネットにバインドされたトラフィックをインターセプトする場合、仮想アダプタは A および AAAA レコードタイプの DNS クエリをインターセプトし、他のすべての DNS クエリはそのまま残します。内部ネットワークにバインドされていないネットワークトラフィックは、ユーザーデバイスにインストールされているネットワークアダプタを介してルーティングされます。インターネットとプライベート LAN (LAN) 接続はオープンで接続されたままです。分割トンネリングを無効にすると、すべての接続が仮想アダプタを介してルーティングされます。既存の接続はすべて切断され、ユーザーはセッションを再確立する必要があります。イントラネット IP アドレスを構成すると、内部ネットワークへのトラフィックは、仮想アダプタを介してイントラネット IP アドレスでスプーフィングされます。
ユーザー接続の仕組み
ユーザーは、電子メール、ファイル共有、およびその他のネットワークリソースにリモートの場所から接続できます。ユーザーは、次のソフトウェアを使用して内部ネットワークリソースに接続できます。
-
Citrix Secure Access クライアント
-
Citrix Workspaceアプリ
-
WorxMailとWorxWeb
-
Android と iOS のモバイルデバイス
Citrix Secure Access クライアントとの接続
Citrix Secure Accessクライアントでは、次の手順でユーザーが内部ネットワークのリソースにアクセスできます。
-
ユーザーは、WebブラウザーにWebアドレスを入力して、NetScaler Gateway に初めて接続します。ログオンページが表示され、ユーザーはユーザー名とパスワードの入力を求められます。外部認証サーバーが構成されている場合、NetScaler Gateway はサーバーに接続し、認証サーバーはユーザーの資格情報を確認します。ローカル認証が構成されている場合、NetScaler Gateway はユーザー認証を実行します。
-
事前認証ポリシーを構成する場合、ユーザーがWindowsベースのコンピューターまたはmacOS XコンピューターのWebブラウザーにNetScaler Gateway Webアドレスを入力すると、NetScaler Gateway は、ログオンページが表示される前にクライアントベースのセキュリティポリシーが適用されているかどうかを確認します。セキュリティチェックは、ユーザーデバイスがオペレーティングシステムの更新、ウイルス対策保護、適切に構成されたファイアウォールなどのセキュリティ関連の条件を満たしていることを確認します。ユーザーデバイスがセキュリティチェックに失敗すると、NetScaler Gateway はユーザーのログオンをブロックします。ログオンできないユーザーは、必要な更新プログラムまたはパッケージをダウンロードし、ユーザーデバイスにインストールする必要があります。ユーザーデバイスが事前認証ポリシーを通過すると、ログオンページが表示され、ユーザーはログオン資格情報を入力できます。NetScaler Gateway 10.1、ビルド120.1316.eをインストールすると、macOS Xコンピューターで高度なエンドポイント分析を使用できます。
-
NetScaler Gateway がユーザーを正常に認証すると、NetScaler Gateway はVPNトンネルを開始します。NetScaler Gatewayは、Windows用Citrix Secure AccessクライアントまたはmacOS X用Citrix Secure Accessクライアントをダウンロードしてインストールするようにユーザーに求めます。
-
認証後スキャンを構成すると、ユーザーが正常にログオンした後、NetScaler Gateway はユーザーデバイス上で必要なクライアントセキュリティポリシーをスキャンします。事前認証ポリシーと同じセキュリティ関連条件を要求できます。ユーザーデバイスがスキャンに失敗すると、ポリシーが適用されないか、ユーザーが検疫グループに配置され、ネットワークリソースへのユーザーのアクセスが制限されます。
-
セッションが確立されると、ユーザーはNetScaler Gateway ホームページにリダイレクトされ、ユーザーはアクセスするリソースを選択できます。NetScaler Gateway に含まれているホームページは、Access Interfaceと呼ばれます。ユーザーがWindows向けCitrix Secure Accessクライアントを使用してログオンすると、Windowsデスクトップの通知領域にアイコンが表示され、ユーザーデバイスは接続が確立されたことを示すメッセージが表示されます。ユーザーは、Microsoft Outlook を開いて電子メールを取得するなど、Access Interfaceを使用せずにネットワーク内のリソースにアクセスすることもできます。
-
ユーザー要求が事前認証と認証後の両方のセキュリティチェックに合格すると、NetScaler Gateway は要求されたリソースに接続し、ユーザーデバイスとそのリソース間の安全な接続を開始します。
-
ユーザーは、Windowsベースのコンピューターの通知領域にあるNetScaler Gateway アイコンを右クリックし、［ログオフ］をクリックすることで、アクティブなセッションを閉じることができます。また、非アクティブが原因でセッションがタイムアウトすることもあります。セッションが閉じられると、トンネルはシャットダウンされ、ユーザは内部リソースにアクセスできなくなります。ユーザーは、ブラウザーにNetScaler Gateway Webアドレスを入力することもできます。ユーザーが Enter キーを押すと、Access Interfaceが表示され、そこからログオフできます。
注： Citrix Endpoint Managementを内部ネットワークに展開する場合、内部ネットワークの外部から接続するユーザーは、最初にNetScaler Gateway に接続する必要があります。ユーザーが接続を確立すると、ユーザーはCitrix Endpoint ManagementでホストされているWebアプリケーション、SaaSアプリケーション、AndroidおよびiOSモバイルアプリ、およびShareFileデータにアクセスできます。ユーザーは、クライアントレスアクセスを介して、またはCitrix WorkspaceアプリまたはSecure Hubを使用して、Citrix Secure Accessクライアントに接続できます。
Citrix Workspace アプリとの接続
ユーザーはCitrix Workspace アプリに接続して、Windowsベースのアプリケーションと仮想デスクトップにアクセスできます。ユーザーは、Endpoint Managementからアプリケーションにアクセスすることもできます。遠隔地から接続するには、ユーザーはデバイスにCitrix Secure Accessクライアントもインストールします。Citrix Workspaceアプリは、Citrix Secure Accessクライアントをプラグインのリストに自動的に追加します。ユーザーがCitrix Workspaceアプリにログオンすると、Citrix Secure Accessクライアントにもログオンできます。また、ユーザーがCitrix Workspaceアプリにログオンしたときに、Citrix Secure Accessクライアントへのシングルサインオンを実行するようにNetScaler Gatewayを構成することもできます。
iOS および Android デバイスと接続する
ユーザーは、Secure Hubを使用して、iOSまたはAndroidデバイスから接続できます。ユーザーはSecure Mailを使用して電子メールにアクセスし、WorxWebでWebサイトに接続できます。
ユーザーがモバイルデバイスから接続すると、接続はNetScaler Gateway を介して内部リソースにアクセスします。ユーザーが iOS に接続する場合は、セッションプロファイルの一部としてSecure Browse を有効にします。ユーザーが Android で接続する場合、接続はマイクロ VPN を自動的に使用します。さらに、 Secure MailとWorxWebは、マイクロVPNを使用して、NetScaler Gateway を介した接続を確立します。NetScaler Gateway でマイクロVPNを構成する必要はありません。