Dépannage de base

Cette rubrique répertorie certaines des erreurs que vous pourriez rencontrer pendant ou après la configuration de Secure Private Access.

Erreurs de certificat

Erreurs de création de base de données

Pannes de StoreFront

Échecs de la passerelle publique/passerelle de rappel

Le serveur d’accès privé sécurisé n’est pas accessible

Erreurs de certificat

Message d’erreur: Impossible d’obtenir automatiquement les certificats à partir d’un ou plusieurs serveurs de passerelle.

Ce message d’erreur s’affiche lorsque vous essayez d’ajouter une adresse NetScaler Gateway publique et qu’un problème survient lors de la récupération du certificat. Ce problème peut se produire lors de la configuration de Secure Private Access ou de la mise à jour des paramètres une fois la configuration terminée.

Solution de contournement: mettez à jour le certificat de passerelle de la même manière que vous le feriez pour Citrix Virtual Apps and Desktops.

Erreurs de création de base de données

• Message d’erreur: Échec de la création de la base de données

  Résolution: Pour le cas automatique - La machine doit avoir les autorisations de LECTURE, ÉCRITURE, MISE À JOUR pour créer des tables dans la base de données sur le serveur SQL.

• Message d’erreur: Échec de la création de la base de données : une base de données existe déjà.

  Ce message d’erreur peut apparaître dans l’un des scénarios suivants.

  • Si l’option Configuration automatique est sélectionnée lors de la configuration des bases de données.

  • Si l’administrateur crée une base de données, celle-ci doit être vide. Ce message d’erreur peut apparaître si la base de données n’est pas vide.

    Résolution: Vous devez créer une base de données vide.

  • Vous désinstallez Secure Private Access et réessayez l’installation avec le même nom de site. Dans ce cas, la base de données de l’installation précédente n’aurait pas été supprimée.

    Résolution: Vous devez supprimer manuellement la base de données.

  • Vous choisissez de configurer la base de données manuellement (en sélectionnant Configuration manuelle dans la page Configuration des bases de données) à l’aide du script, puis de passer à l’option Configuration automatique mais d’utiliser le même nom de site. Dans ce cas, une base de données portant le même nom est déjà créée lors de l’exécution du script.

    Résolution: Vous devez renommer le site puis exécuter à nouveau le script.

  • La machine ne dispose pas des autorisations de LECTURE, D’ÉCRITURE et de MISE À JOUR pour créer des tables dans la base de données sur le serveur SQL.

    Résolution: Activer les autorisations appropriées sur la machine. Pour plus de détails, voir Autorisations requises pour configurer des bases de données.

• Message d’erreur: Échec de la création de la base de données : échec de la connexion

  Résolution:

  • Vérifiez la connectivité réseau de la base de données depuis votre machine. Assurez-vous que le port du serveur SQL est ouvert sur le pare-feu.
  • Si vous utilisez un serveur SQL distant, vérifiez si le serveur SQL a créé une connexion avec l’identité de la machine Secure Private Access, Domain\hostname$.
  • Si vous utilisez un serveur SQL distant, vérifiez que l’identité de la machine dispose du rôle correct attribué, le rôle d’administrateur système.
  • Si vous utilisez un serveur SQL local (pas celui du programme d’installation), vérifiez si l’utilisateur NT AUTHORITY\SYSTEM doit avoir une connexion créée.

Pannes de StoreFront

• Message d’erreur: Échec de la création de l’entrée StoreFront pour : <Store URL>

  Mettez à jour les entrées StoreFront depuis l’onglet Paramètres s’il n’est pas visible. Après avoir configuré Secure Private Access à l’aide de l’assistant, vous pouvez modifier les entrées de StoreFront à partir de l’onglet Paramètres . Notez l’URL de la boutique StoreFront pour laquelle cette erreur s’est produite.

  Résolution:

  1. Cliquez sur Paramètres puis cliquez sur l’onglet Intégrations .
  2. Dans StoreFront Store URL, ajoutez l’entrée StoreFront si elle n’est pas visible.

• Message d’erreur: Échec de la configuration de l’entrée StoreFront pour : <Store URL>

  Résolution:

  1. Il se peut qu’une restriction de politique d’exécution PowerShell soit en place. Exécutez la commande de script PowerShell Get-ExecutionPolicy pour plus de détails.

  2. S’il est restreint, vous devez contourner cela et exécuter un script de configuration StoreFront manuellement.
  3. Cliquez sur Paramètres puis cliquez sur l’onglet Intégrations .
  4. Dans StoreFront Store URL, identifiez l’entrée URL StoreFront pour laquelle l’erreur s’est produite.
  5. Cliquez sur le bouton Télécharger le script à côté de cette URL de magasin et exécutez ce script PowerShell avec des privilèges d’administrateur sur la machine sur laquelle l’installation de StoreFront correspondante est présente. Ce script doit être exécuté sur toutes les machines StoreFront.

Remarque

Si vous réessayez l’installation après la désinstallation, assurez-vous que vous n’avez pas d’entrée avec le nom « Secure Private Access » dans la configuration de StoreFront (StoreFront > store> Delivery Controller -> Secure Private Access). Si un accès privé sécurisé est présent, supprimez cette entrée. Téléchargez et exécutez manuellement le script depuis la page Paramètres > Intégrations.

• Message d’erreur: La configuration de StoreFront n’est pas locale pour : <Store URL>

  Après avoir configuré Secure Private Access à l’aide de l’assistant, vous pouvez modifier les entrées de passerelle à partir de l’onglet Paramètres. Notez l’URL de la boutique StoreFront pour laquelle cette erreur s’est produite.

  Résolution:

  Ce problème se produit si StoreFront n’est pas installé sur la même machine que Secure Private Access. Vous devez exécuter manuellement la configuration de StoreFront sur la machine sur laquelle vous avez installé StoreFront.

  1. Cliquez sur Paramètres puis cliquez sur l’onglet Intégrations .
  2. Dans StoreFront Store URL, identifiez l’entrée URL StoreFront pour laquelle l’erreur s’est produite.
  3. Cliquez sur le bouton Télécharger le script à côté de cette URL de magasin et exécutez ce script PowerShell avec des privilèges d’administrateur sur la machine sur laquelle l’installation de StoreFront correspondante est présente. Ce script doit être exécuté sur toutes les machines StoreFront.

Remarque

Pour exécuter le script PowerShell StoreFront, ouvrez la fenêtre PowerShell compatible Windows x64 avec des privilèges d’administrateur, puis exécutez ConfigureStorefront.ps1. Le script StoreFront n’est pas compatible avec Windows PowerShell (x86).

• Message d’erreur: « Get-STFStoreService : une exception de type « Citrix.DeliveryServices.Framework.Feature.Exceptions.RegistryKeyNotFoundException » a été générée. » lors de l’exécution du script StoreFront à l’aide de PowerShell.

  Cette erreur se produit lorsque le script StoreFront est exécuté sur une fenêtre PowerShell compatible x86.

  Résolution :

  Pour exécuter le script PowerShell StoreFront, ouvrez la fenêtre PowerShell compatible Windows x64 avec des privilèges d’administrateur, puis exécutez ConfigureStorefront.ps1.

Échecs de la passerelle publique/passerelle de rappel

Message d’erreur: Échec de la création de l’entrée de passerelle pour : <Gateway URL> OU Échec de la création de l’entrée de passerelle de rappel pour : <Callback Gateway URL>

Résolution:

Notez l’URL de la passerelle publique ou de la passerelle de rappel pour laquelle l’échec s’est produit. Après avoir configuré Secure Private Access à l’aide de l’assistant, vous pouvez modifier les entrées de passerelle à partir de l’onglet Paramètres .

1. Cliquez sur Paramètres puis cliquez sur l’onglet Intégrations .
2. Mettez à jour l’adresse de la passerelle publique ou l’adresse de la passerelle de rappel et l’adresse IP virtuelle pour laquelle l’échec s’est produit.

Le serveur d’accès privé sécurisé n’est pas accessible

Message d’erreur: Échec de la mise à jour du pool IIS. Échec du redémarrage du pool IIS

Résolution:

Accédez à Pools d’applications dans Internet Information Services (IIS) et vérifiez que les pools d’applications suivants ont démarré et sont en cours d’exécution :

• Pool d’exécution d’accès privé sécurisé
• Pool d’administration d’accès privé sécurisé

Vérifiez également que le site IIS par défaut « Site Web par défaut » est opérationnel.

Échecs de la vérification de la connectivité de la base de données

Message d’erreur : Échec de la vérification de la connectivité

La vérification de la connectivité de la base de données peut échouer pour plusieurs raisons :

• Le serveur de base de données n’est pas accessible depuis la machine hôte du plug-in Secure Private Access en raison d’un pare-feu.

  Résolution : Vérifiez si le port de la base de données (port par défaut 1433) est ouvert sur le pare-feu.

• La machine hôte du plug-in Secure Private Access n’a pas l’autorisation de se connecter à la base de données.

  Résolution : Voir Autorisations de base de données SQL pour l’accès privé sécurisé.

La vérification de la connectivité de la passerelle a échoué. Impossible de récupérer le certificat public

Message d’erreur : La configuration post-installation échoue avec l’erreur « Échec de la vérification de la connectivité de la passerelle. Impossible de récupérer un certificat public…. »

Résolution :

• Téléchargez manuellement le certificat public de passerelle dans la base de données Secure Private Access à l’aide de l’outil de configuration.
• Ouvrez PowerShell ou la fenêtre d’invite de commande avec des privilèges d’administrateur.
• Modifiez le répertoire vers le dossier Admin\AdminConfigTool sous le dossier d’installation de Secure Private Access (par exemple, cd “C:\Program Files\Citrix\Citrix Access Security\Admin\AdminConfigTool”)

• Exécutez la commande suivante :

  .\AdminConfigTool.exe /UPLOAD_PUBLIC_GATEWAY_CERTIFICATE <PublicGatewayUrl> <PublicGatewayCertificatePath>

Échec de l’énumération des applications

L’énumération des applications s’interrompt si l’URL de StoreFront ou l’URL de NetScaler Gateway contient une barre oblique de fin (/).

Résolution :

Supprimez la barre oblique de fin dans l’URL de la boutique StoreFront ou dans l’URL de la passerelle NetScaler. Pour plus de détails, consultez Mettre à jour les détails du serveur StoreFront ou NetScaler Gateway après la configuration.

Divers

La première configuration ne peut pas être effectuée

Vous ne pourrez peut-être pas reconfigurer le serveur de licences si la configuration de Director a échoué lors de la première installation.

Résolution :

Nettoyez manuellement la table license_server.

Créer un pack de support de diagnostic Secure Private Access

Procédez comme suit pour créer un pack de support de diagnostic Secure Private Access :

• Ouvrez PowerShell ou la fenêtre d’invite de commande avec des privilèges d’administrateur.
• Modifiez le répertoire vers le dossier Admin\AdminConfigTool sous le dossier d’installation de Secure Private Access (par exemple, cd “C:\Program Files\Citrix\Citrix Access Security\Admin\AdminConfigTool”).

• Exécutez la commande suivante :

  .\AdminConfigTool.exe /SUPPORTBUNDLE <output folder>

Autorisations de base de données SQL pour l’accès privé sécurisé

Pour la création automatique de la base de données, la machine hôte du plug-in Secure Private Access doit disposer des autorisations nécessaires pour se connecter à la base de données et créer le schéma de base de données.

Base de données distante :

Procédez comme suit pour configurer les autorisations pour une base de données distante.

1. Créez une base de données vide avec la syntaxe de nom CitrixAccessSecurity<Site Name>. Ici <Site Name> est le nom du site d’accès privé sécurisé. (par exemple. (CitrixAccessSecuritySPA).

   CREATE DATABASE CitrixAccessSecurity<SiteName>

2. Créez une connexion au serveur SQL pour l’identité de la machine pour la machine virtuelle Secure Private Access. Par exemple, si le nom de votre machine de broker Secure Private Access est HOST1 et que le domaine de la machine est DOMAIN1, alors l’identité de la machine est « DOMAIN1\HOST1$ ». Si la connexion est déjà créée, vous pouvez ignorer cette étape.

   USE CitrixAccessSecurity<SiteName>

   CREATE LOGIN [DOMAIN1\HOST1$] FROM WINDOWS

   Le nom de domaine peut être trouvé à l’aide de la requête suivante :

   SELECT DEFAULT_DOMAIN()[DomainName]

3. Affectez le rôle db_owner à l’identité de la machine.

   USE CitrixAccessSecurity<SiteName>

   EXEC sys.sp_addrolemember [db_owner], 'DOMAIN1\HOST1$'

   ALTER USER [DOMAIN1\HOST1$] WITH DEFAULT_SCHEMA = dbo;

Base de données locale :

Procédez comme suit pour configurer les autorisations pour une base de données locale.

1. Créez une base de données vide avec la syntaxe de nom CitrixAccessSecurity<Site Name>. Ici <Site Name> est le nom du site d’accès privé sécurisé. (par exemple, CitrixAccessSecuritySPA).

   CREATE DATABASE CitrixAccessSecurity<SiteName>

2. Créez une connexion au serveur SQL pour l’utilisateur NT AUTHORITY\SYSTEM . Si la connexion est déjà créée, vous pouvez ignorer cette étape.

   USE CitrixAccessSecurity<SiteName>

   CREATE LOGIN [NT AUTHORITY\SYSTEM] FROM WINDOWS

3. Affectez le rôle db_owner à l’utilisateur « NT AUTHORITY\SYSTEM ».

   USE CitrixAccessSecurity<SiteName>

   EXEC sys.sp_addrolemember [db_owner], 'NT AUTHORITY\SYSTEM'

   ALTER USER [NT AUTHORITY\SYSTEM] WITH DEFAULT_SCHEMA = dbo;

Lorsque vous créez manuellement la base de données, le script de base de données téléchargé ajoute les autorisations à l’identité de la machine.

Modifier le niveau de journal pour résoudre les problèmes liés aux journaux

Les journaux de dépannage correspondent au niveau de journal des erreurs par défaut.

Pour modifier le niveau de journalisation des journaux de dépannage, dans le service d’exécution appsettings.json (C:\Program Files\Citrix\Citrix Access Security\Runtime\RuntimeService), mettez à jour restrictedToMinimumLevel pour TroubleshootingSql sur l’une des valeurs suivantes :

-  Information
-  Débogage
-  Avertissement
-  Erreur

« Dépannage SQL » : { "restrictedToMinimumLevel": "Erreur", "batchPostingLimit": 50, "batchPeriod": "00:00:05" // 5 secondes }