Grundlegende Fehlerbehebung

In diesem Thema werden einige der Fehler aufgelistet, die während oder nach der Einrichtung von Secure Private Access auftreten können.

Zertifikatsfehler

Fehler bei der Datenbankerstellung

StoreFront-Fehler

Fehler beim öffentlichen Gateway/Callback-Gateway

Secure Private Access Server nicht erreichbar

Zertifikatsfehler

Fehlermeldung: Die Zertifikate können nicht automatisch von einem oder mehreren Gateway-Servern abgerufen werden.

Diese Fehlermeldung wird angezeigt, wenn Sie versuchen, eine öffentliche NetScaler Gateway-Adresse hinzuzufügen und beim Abrufen des Zertifikats ein Problem auftritt. Dieses Problem kann beim Einrichten von Secure Private Access oder beim Aktualisieren von Einstellungen nach Abschluss der Einrichtung auftreten.

Workaround: Aktualisieren Sie das Gateway-Zertifikat auf die gleiche Weise, wie Sie es für Citrix Virtual Apps and Desktops tun würden.

Fehler bei der Datenbankerstellung

• Fehlermeldung: Datenbank konnte nicht erstellt werden

  Lösung: Für den automatischen Fall – Die Maschine muss über die Berechtigungen LESEN, SCHREIBEN und AKTUALISIEREN verfügen, um Tabellen innerhalb der Datenbank auf dem SQL-Server zu erstellen.

• Fehlermeldung: Datenbank konnte nicht erstellt werden: Es ist bereits eine Datenbank vorhanden.

  Diese Fehlermeldung kann in einem der folgenden Szenarien auftreten.

  • Wenn beim Konfigurieren der Datenbanken die Option Automatische Konfiguration ausgewählt ist.

  • Wenn der Administrator eine Datenbank erstellt, muss es eine leere Datenbank sein. Diese Fehlermeldung kann auftreten, wenn die Datenbank nicht leer ist.

    Lösung: Sie müssen eine leere Datenbank erstellen.

  • Sie deinstallieren Secure Private Access und versuchen die Einrichtung mit demselben Site-Namen erneut. In diesem Fall wäre die Datenbank der vorherigen Installation nicht gelöscht worden.

    Lösung: Sie müssen die Datenbank manuell löschen.

  • Sie können die Datenbank mithilfe des Skripts manuell einrichten (indem Sie auf der Seite „Datenbanken konfigurieren“ die Option „Manuelle Konfiguration“ auswählen) und dann zur Option „Automatische Konfiguration“ wechseln, aber denselben Site-Namen verwenden. In diesem Fall wird bereits während der Ausführung des Skripts eine Datenbank mit gleichem Namen erstellt.

    Lösung: Sie müssen die Site umbenennen und dann das Skript erneut ausführen.

  • Der Computer verfügt nicht über die Lese-, Schreib- und Aktualisierungsberechtigungen zum Erstellen von Tabellen innerhalb der Datenbank auf dem SQL-Server.

    Lösung: Aktivieren Sie die entsprechenden Berechtigungen auf dem Computer. Einzelheiten finden Sie unter Zum Einrichten von Datenbanken erforderliche Berechtigungen.

• Fehlermeldung: Datenbank konnte nicht erstellt werden: Verbindung fehlgeschlagen

  Auflösung:

  • Überprüfen Sie die Datenbank-Netzwerkkonnektivität von Ihrem Computer aus. Stellen Sie sicher, dass der SQL-Server-Port in der Firewall geöffnet ist.
  • Wenn Sie einen Remote-SQL-Server verwenden, überprüfen Sie, ob für den SQL-Server eine Anmeldung mit der Secure Private Access-Computeridentität „Domain\Hostname$“ erstellt wurde.
  • Wenn Sie einen Remote-SQL-Server verwenden, bestätigen Sie, dass der Computeridentität die richtige Rolle zugewiesen ist, nämlich die Systemadministratorrolle.
  • Wenn Sie einen lokalen SQL-Server verwenden (nicht vom Installationsprogramm), überprüfen Sie, ob für den Benutzer NT AUTHORITY\SYSTEM ein Login erstellt werden muss.

StoreFront-Fehler

• Fehlermeldung: StoreFront-Eintrag konnte nicht erstellt werden für: <Store URL>

  Aktualisieren Sie die StoreFront-Einträge auf der Registerkarte Einstellungen , falls diese nicht sichtbar ist. Nachdem Sie Secure Private Access mit dem Assistenten eingerichtet haben, können Sie StoreFront-Einträge auf der Registerkarte Einstellungen bearbeiten. Notieren Sie die StoreFront Store-URL, bei der dieser Fehler aufgetreten ist.

  Auflösung:

  1. Klicken Sie auf Einstellungen und dann auf die Registerkarte Integrationen .
  2. Fügen Sie in StoreFront Store-URLden StoreFront-Eintrag hinzu, falls dieser nicht sichtbar ist.

• Fehlermeldung: StoreFront-Eintrag konnte nicht konfiguriert werden für: <Store URL>

  Auflösung:

  1. Möglicherweise ist eine Einschränkung der PowerShell-Ausführungsrichtlinie vorhanden. Führen Sie den PowerShell-Skriptbefehl Get-ExecutionPolicy aus, um weitere Informationen zu erhalten.

  2. Wenn es eingeschränkt ist, müssen Sie dies umgehen und ein StoreFront-Konfigurationsskript manuell ausführen.
  3. Klicken Sie auf Einstellungen und dann auf die Registerkarte Integrationen .
  4. Identifizieren Sie in StoreFront Store-URLden StoreFront-URL-Eintrag, bei dem der Fehler aufgetreten ist.
  5. Klicken Sie neben dieser Store-URL auf die Schaltfläche Skript herunterladen und führen Sie dieses PowerShell-Skript mit Administratorrechten auf dem Computer aus, auf dem die entsprechende StoreFront-Installation vorhanden ist. Dieses Skript muss auf allen StoreFront-Computern ausgeführt werden.

Hinweis:

Wenn Sie die Installation nach der Deinstallation wiederholen, stellen Sie sicher, dass in der StoreFront-Konfiguration kein Eintrag mit dem Namen „Secure Private Access“ vorhanden ist (StoreFront > store> Delivery Controller -> Secure Private Access). Wenn Secure Private Access vorhanden ist, löschen Sie diesen Eintrag. Laden Sie das Skript manuell herunter und führen Sie es von der Seite „Einstellungen > Integrationen“ aus.

• Fehlermeldung: StoreFront-Konfiguration ist nicht lokal für: <Store URL>

  Nachdem Sie Secure Workspace Access mit dem Assistenten eingerichtet haben, können Sie Gateway-Einträge auf der Registerkarte „Einstellungen“ bearbeiten. Notieren Sie die StoreFront Store-URL, bei der dieser Fehler aufgetreten ist.

  Auflösung:

  Dieses Problem tritt auf, wenn StoreFront nicht auf demselben Computer wie Secure Private Access installiert ist. Sie müssen die StoreFront-Konfiguration manuell auf dem Computer ausführen, auf dem Sie StoreFront installiert haben.

  1. Klicken Sie auf Einstellungen und dann auf die Registerkarte Integrationen .
  2. Identifizieren Sie in StoreFront Store-URLden StoreFront-URL-Eintrag, bei dem der Fehler aufgetreten ist.
  3. Klicken Sie neben dieser Store-URL auf die Schaltfläche „Skript herunterladen“ und führen Sie dieses PowerShell-Skript mit Administratorrechten auf dem Computer aus, auf dem die entsprechende StoreFront-Installation vorhanden ist. Dieses Skript muss auf allen StoreFront-Computern ausgeführt werden.

Hinweis:

Um das StoreFront PowerShell-Skript auszuführen, öffnen Sie das Windows x64-kompatible PowerShell-Fenster mit Administratorrechten und führen Sie dann ConfigureStorefront.ps1 aus. Das StoreFront-Skript ist nicht mit Windows PowerShell (x86) kompatibel.

• Fehlermeldung: „Get-STFStoreService: Ausnahme vom Typ ‚Citrix.DeliveryServices.Framework.Feature.Exceptions.RegistryKeyNotFoundException‘ wurde ausgelöst.“ beim Ausführen des StoreFront-Skripts mit PowerShell.

  Dieser Fehler tritt auf, wenn das StoreFront-Skript in einem x86-kompatiblen PowerShell-Fenster ausgeführt wird.

  Auflösung:

  Um das StoreFront PowerShell-Skript auszuführen, öffnen Sie das Windows x64-kompatible PowerShell-Fenster mit Administratorrechten und führen Sie dann ConfigureStorefront.ps1aus.

Fehler beim öffentlichen Gateway/Callback-Gateway

Fehlermeldung: Gateway-Eintrag konnte nicht erstellt werden für: <Gateway URL> ODER Callback-Gateway-Eintrag konnte nicht erstellt werden für: <Callback Gateway URL>

Auflösung:

Notieren Sie die URL des öffentlichen Gateways oder des Callback-Gateways, bei dem der Fehler aufgetreten ist. Nachdem Sie Secure Private Access mit dem Assistenten eingerichtet haben, können Sie Gateway-Einträge auf der Registerkarte Einstellungen bearbeiten.

1. Klicken Sie auf Einstellungen und dann auf die Registerkarte Integrationen .
2. Aktualisieren Sie die öffentliche Gateway-Adresse oder die Callback-Gateway-Adresse und die virtuelle IP-Adresse, bei der der Fehler aufgetreten ist.

Secure Private Access Server nicht erreichbar

Fehlermeldung: Aktualisierung des IIS-Pools fehlgeschlagen. Neustart des IIS-Pools fehlgeschlagen

Auflösung:

Gehen Sie in Internetinformationsdienste (IIS) zu Anwendungspools und überprüfen Sie, ob die folgenden Anwendungspools gestartet wurden und ausgeführt werden:

• Sicherer privater Zugriff auf den Runtimepool
• Sicherer privater Zugriff auf den Admin-Pool

Überprüfen Sie außerdem, ob die IIS-Standardsite „Standardwebsite“ aktiv ist.

Fehler bei der Prüfung der Datenbankkonnektivität

Fehlermeldung: Konnektivitätsprüfung fehlgeschlagen

Die Prüfung der Datenbankkonnektivität kann aus mehreren Gründen fehlschlagen:

• Aufgrund einer Firewall ist der Datenbankserver vom Hostcomputer des Secure Private Access-Plugins nicht erreichbar.

  Lösung: Überprüfen Sie, ob der Datenbank-Port (Standard-Port 1433) in der Firewall geöffnet ist.

• Der Hostcomputer des Secure Private Access-Plugins verfügt nicht über die Berechtigung, eine Verbindung mit der Datenbank herzustellen.

  Lösung: Siehe SQL-Datenbankberechtigungen für Secure Private Access.

Die Überprüfung der Gateway-Konnektivität ist fehlgeschlagen. Öffentliches Zertifikat kann nicht abgerufen werden

Fehlermeldung: Die Konfiguration nach der Installation schlägt mit dem Fehler „Die Überprüfung der Gateway-Konnektivität ist fehlgeschlagen“ fehl. „Ein öffentliches Zertifikat…kann nicht abgerufen werden.“

Auflösung:

• Laden Sie das öffentliche Gateway-Zertifikat mithilfe des Konfigurationstools manuell in die Secure Private Access-Datenbank hoch.
• Öffnen Sie die PowerShell oder das Eingabeaufforderungsfenster mit Administratorrechten.
• Ändern Sie das Verzeichnis in den Ordner Admin\AdminConfigTool im Installationsordner von Secure Private Access (z. B. cd “C:\Programme\Citrix\Citrix Access Security\Admin\AdminConfigTool”).

• Führen Sie den folgenden Befehl aus:

  .\AdminConfigTool.exe /UPLOAD_PUBLIC_GATEWAY_CERTIFICATE <PublicGatewayUrl> <PublicGatewayCertificatePath>

Anwendungsenumerationsfehler

Die Anwendungsenumeration wird unterbrochen, wenn die StoreFront-URL oder die NetScaler Gateway-URL einen abschließenden Schrägstrich (/) enthält.

Auflösung:

Löschen Sie den abschließenden Schrägstrich in der StoreFront-Store-URL oder der NetScaler Gateway-URL. Weitere Einzelheiten finden Sie unter Aktualisieren Sie StoreFront oder die NetScaler Gateway-Serverdetails nach der Einrichtung.

Sonstiges

Die Ersteinrichtung kann nicht abgeschlossen werden

Wenn die Director-Konfiguration bei der Ersteinrichtung fehlgeschlagen ist, können Sie den Lizenzserver möglicherweise nicht neu konfigurieren.

Auflösung:

Bereinigen Sie die License_Server-Tabelle manuell.

Erstellen eines Secure Private Access-Diagnose-Supportpakets

Führen Sie die folgenden Schritte aus, um ein Secure Private Access-Diagnose-Supportpaket zu erstellen:

• Öffnen Sie die PowerShell oder das Eingabeaufforderungsfenster mit Administratorrechten.
• Ändern Sie das Verzeichnis in den Ordner Admin\AdminConfigTool im Installationsordner von Secure Private Access (z. B. cd “C:\Programme\Citrix\Citrix Access Security\Admin\AdminConfigTool”).

• Führen Sie den folgenden Befehl aus:

  .\AdminConfigTool.exe /SUPPORTBUNDLE <output folder>

SQL-Datenbankberechtigungen für Secure Workspace Access

Für die automatische Datenbankerstellung muss der Hostcomputer des Secure Private Access-Plug-Ins über die Berechtigungen verfügen, eine Verbindung mit der Datenbank herzustellen und das Datenbankschema zu erstellen.

Remote-Datenbank:

Führen Sie die folgenden Schritte aus, um die Berechtigungen für eine Remote-Datenbank einzurichten.

1. Erstellen Sie eine leere Datenbank mit der Namenssyntax CitrixAccessSecurity<Site Name>. Hier ist <Site Name> der Sitename von Secure Private Access. (beispiel. (CitrixAccessSecuritySPA).

   CREATE DATABASE CitrixAccessSecurity<SiteName>

2. Erstellen Sie eine SQL Server-Anmeldung für die Maschinenidentität für die virtuelle Secure Private Access-Maschine. Wenn der Computername Ihres Secure Private Access-Brokers beispielsweise HOST1 und die Computerdomäne DOMAIN1 lautet, lautet die Computeridentität „DOMAIN1\HOST1$“. Wenn die Anmeldung bereits erstellt wurde, können Sie diesen Schritt überspringen.

   USE CitrixAccessSecurity<SiteName>

   CREATE LOGIN [DOMAIN1\HOST1$] FROM WINDOWS

   Der Domänenname kann mit der folgenden Abfrage gefunden werden:

   SELECT DEFAULT_DOMAIN()[DomainName]

3. Weisen Sie der Computeridentität die Rolle „db_owner“ zu.

   USE CitrixAccessSecurity<SiteName>

   EXEC sys.sp_addrolemember [db_owner], 'DOMAIN1\HOST1$'

   ALTER USER [DOMAIN1\HOST1$] WITH DEFAULT_SCHEMA = dbo;

Lokale Datenbank:

Führen Sie die folgenden Schritte aus, um die Berechtigungen für eine lokale Datenbank einzurichten.

1. Erstellen Sie eine leere Datenbank mit der Namenssyntax CitrixAccessSecurity<Site Name>. Hier ist <Site Name> der Sitename von Secure Private Access. (z. B. CitrixAccessSecuritySPA).

   CREATE DATABASE CitrixAccessSecurity<SiteName>

2. Erstellen Sie eine SQL Server-Anmeldung für den Benutzer NT AUTHORITY\SYSTEM . Wenn die Anmeldung bereits erstellt wurde, können Sie diesen Schritt überspringen.

   USE CitrixAccessSecurity<SiteName>

   CREATE LOGIN [NT AUTHORITY\SYSTEM] FROM WINDOWS

3. Weisen Sie dem Benutzer „NT AUTHORITY\SYSTEM“ die Rolle db_owner zu.

   USE CitrixAccessSecurity<SiteName>

   EXEC sys.sp_addrolemember [db_owner], 'NT AUTHORITY\SYSTEM'

   ALTER USER [NT AUTHORITY\SYSTEM] WITH DEFAULT_SCHEMA = dbo;

Wenn Sie die Datenbank manuell erstellen, fügt das heruntergeladene Datenbankskript der Computeridentität die Berechtigungen hinzu.

Ändern der Protokollebene für Fehlerbehebungsprotokolle

Die Standardebene für Fehlerprotokolle sind Fehlerbehebungsprotokolle.

Um die Protokollebene für die Fehlerbehebungsprotokolle zu ändern, aktualisieren Sie im Laufzeitdienst appsettings.json (C:\Programme\Citrix\Citrix Access Security\Runtime\RuntimeService) restrictedToMinimumLevel für TroubleshootingSql auf einen der folgenden Werte:

-  Informationen
-  Debuggen
-  Warnung
-  Fehler

"FehlerbehebungSQL": { "restrictedToMinimumLevel": "Fehler", "batchPostingLimit": 50, "batchPeriod": "00:00:05" // 5 Sekunden }