HDX™ Direct (Vorschau)
Beim Zugriff auf von Citrix bereitgestellte Ressourcen ermöglicht HDX Direct sowohl internen als auch externen Clientgeräten, eine sichere Direktverbindung mit dem Session-Host herzustellen, sofern eine direkte Kommunikation möglich ist.
Wichtig:
HDX Direct befindet sich derzeit in der Vorschauphase. Diese Funktion wird ohne Support bereitgestellt und wird noch nicht für den Einsatz in Produktionsumgebungen empfohlen. Um Feedback zu geben oder Probleme zu melden, verwenden Sie dieses Formular.
Systemanforderungen
Im Folgenden sind die Systemanforderungen für die Verwendung von HDX Direct aufgeführt:
-
Steuerungsebene
- Citrix DaaS™
- Citrix Virtual Apps and Desktops™ 2402 oder höher
-
Virtual Delivery Agent (VDA)
- Windows: Version 2402 oder höher
-
Workspace-App
- Windows: Version 2402 oder höher
-
Zugriffsebene
- Citrix Workspace™ mit Citrix Gateway Service
- Citrix Workspace mit NetScaler® Gateway
-
Sonstige
- Adaptive Transport muss für externe Direktverbindungen aktiviert sein
Netzwerkanforderungen
Im Folgenden sind die Netzwerkanforderungen für die Verwendung von HDX Direct aufgeführt.
Sitzungshosts
Wenn Ihre Sitzungshosts eine Firewall wie z. B. die Windows Defender Firewall haben, müssen Sie den folgenden eingehenden Datenverkehr für interne Verbindungen zulassen.
| Beschreibung | Quelle | Protokoll | Port |
|---|---|---|---|
| Direkte interne Verbindung | Client | TCP | 443 |
| Direkte interne Verbindung | Client | UDP | 443 |
Hinweis:
Der VDA-Installer fügt die entsprechenden eingehenden Regeln zur Windows Defender Firewall hinzu. Wenn Sie eine andere Firewall verwenden, müssen Sie die oben genannten Regeln hinzufügen.
Client-Netzwerk
Die folgende Tabelle beschreibt das Client-Netzwerk für interne und externe Benutzer.
Interne Benutzer
| Beschreibung | Protokoll | Quelle | Quellport | Bestimmungsort | Zielport |
|---|---|---|---|---|---|
| Direkte interne Verbindung | TCP | Clientnetzwerk | 1024–65535 | VDA-Netzwerk | 443 |
| Direkte interne Verbindung | UDP | Clientnetzwerk | 1024–65535 | VDA-Netzwerk | 443 |
Externe Benutzer
| Beschreibung | Protokoll | Quelle | Quellport | Zieladresse | Zielport |
|---|---|---|---|---|---|
| STUN (nur für externe Benutzer) | UDP | Client-Netzwerk | 1024–65535 | Internet (siehe Hinweis unten) | 3478, 19302 |
| Verbindung für externe Benutzer | UDP | Client-Netzwerk | 1024–65535 | Öffentliche IP-Adresse des Rechenzentrums | 1024–65535 |
Rechenzentrumsnetzwerk
Die folgende Tabelle beschreibt das Rechenzentrumsnetzwerk für interne und externe Benutzer.
Interne Benutzer
| Beschreibung | Protokoll | Quelle | Quellport | Bestimmungsort | Zielport |
|---|---|---|---|---|---|
| Direkte interne Verbindung | TCP | Client-Netzwerk | 1024–65535 | VDA-Netzwerk | 443 |
| Direkte interne Verbindung | UDP | Client-Netzwerk | 1024–65535 | VDA-Netzwerk | 443 |
Externe Benutzer
| Beschreibung | Protokoll | Quelle | Quellport | Bestimmungsort | Zielport |
|---|---|---|---|---|---|
| STUN (nur für externe Benutzer) | UDP | VDA-Netzwerk | 1024–65535 | Internet (siehe Hinweis unten) | 3478, 19302 |
| Verbindung für externe Benutzer | UDP | DMZ / Internes Netzwerk | 1024–65535 | VDA-Netzwerk | 55000–55250 |
| Verbindung für externe Benutzer | UDP | VDA-Netzwerk | 55000–55250 | Öffentliche IP des Clients | 1024–65535 |
Hinweis:
Sowohl die VDA als auch die Workspace-App versuchen, STUN-Anfragen in der gleichen Reihenfolge an die folgenden Server zu senden:
- stunserver.stunprotocol.org:3478
- employees.org:3478
- stun.l.google.com:19302
Wenn Sie den Standard-Portbereich für externe Benutzerverbindungen mithilfe der Richtlinieneinstellung HDX Direct-Portbereich ändern, müssen die entsprechenden Firewallregeln Ihrem benutzerdefinierten Portbereich entsprechen.
Konfiguration
HDX Direct ist standardmäßig deaktiviert. Sie können diese Funktion mithilfe der Einstellung HDX Direct in der Citrix-Richtlinie konfigurieren.
- HDX Direct: Zum Aktivieren oder Deaktivieren einer Funktion.
- HDX Direct-Modus: Legt fest, ob HDX Direct nur für interne Clients oder für interne und externe Clients verfügbar ist.
- HDX Direct-Portbereich: Definiert den Portbereich, den der VDA für Verbindungen von externen Clients verwendet.
Überlegungen
Die folgenden Punkte sind bei der Verwendung von HDX Direct zu beachten:
- HDX Direct für externe Benutzer ist nur mit EDT (UDP) als Transportprotokoll verfügbar. Daher muss Adaptive Transport aktiviert sein.
- Wenn Sie HDX Insight verwenden, beachten Sie, dass die Verwendung von HDX Direct die Datenerfassung von HDX Insight verhindert, da die Sitzung nicht mehr über NetScaler Gateway geleitet würde.
- Bei der Verwendung nicht-persistenter Maschinen für Ihre virtuellen Apps und Desktops empfiehlt Citrix, HDX Direct auf den Sitzungshosts zu aktivieren anstatt im Master-/Template-Image, damit jede Maschine ihre eigenen Zertifikate generiert.
- Die Verwendung eigener Zertifikate mit HDX Direct wird derzeit nicht unterstützt.
Funktionsweise
HDX Direct ermöglicht Clients den Aufbau einer direkten Verbindung zum Sitzungshost, wenn eine direkte Kommunikation verfügbar ist. Wenn direkte Verbindungen über HDX Direct hergestellt werden, werden selbstsignierte Zertifikate verwendet, um die direkte Verbindung mit Netzwerkverschlüsselung (TLS/DTLS) zu sichern.
Interne Benutzer
Das folgende Diagramm zeigt die Übersicht über den HDX Direct-Verbindungsprozess für interne Benutzer.
- Der Client stellt eine HDX-Sitzung über den Gateway Service her.
- Nach einer erfolgreichen Verbindung sendet der VDA dem Client den FQDN der VDA-Maschine, eine Liste ihrer IP-Adressen und das Zertifikat der VDA-Maschine über die HDX-Verbindung.
- Der Client prüft die IP-Adressen, um festzustellen, ob er den VDA direkt erreichen kann.
- Wenn der Client den VDA direkt über eine der freigegebenen IP-Adressen erreichen kann, stellt der Client eine direkte Verbindung zum VDA her, die mit (D)TLS unter Verwendung eines Zertifikats gesichert ist, das mit dem in Schritt (2) ausgetauschten übereinstimmt.
- Sobald die direkte Verbindung erfolgreich hergestellt wurde, wird die Sitzung auf die neue Verbindung übertragen und die Verbindung zum Gateway Service beendet.
Hinweis:
Nachdem die Verbindung in Schritt 2 oben hergestellt wurde, ist die Sitzung aktiv. Die nachfolgenden Schritte verzögern oder beeinträchtigen die Fähigkeit des Benutzers, die virtuelle Anwendung oder den Desktop zu nutzen, nicht. Schlägt einer der nachfolgenden Schritte fehl, wird die Verbindung über das Gateway aufrechterhalten, ohne die Benutzersitzung zu unterbrechen.
Externe Benutzer
Das folgende Diagramm zeigt die Übersicht über den HDX Direct-Verbindungsprozess für externe Benutzer:
- Der Client stellt eine HDX-Sitzung über den Gateway Service her.
- Nach erfolgreicher Verbindung senden sowohl der Client als auch der VDA eine STUN-Anfrage, um ihre öffentlichen IP-Adressen und Ports zu ermitteln.
- Der STUN-Server antwortet dem Client und dem VDA mit ihren entsprechenden öffentlichen IP-Adressen und Ports.
- Über die HDX-Verbindung tauschen der Client und der VDA ihre öffentlichen IP-Adressen und UDP-Ports aus, und der VDA sendet sein Zertifikat an den Client.
- Der VDA sendet UDP-Pakete an die öffentliche IP-Adresse und den UDP-Port des Clients. Der Client sendet UDP-Pakete an die öffentliche IP-Adresse und den UDP-Port des VDA.
- Nach Empfang einer Nachricht vom VDA antwortet der Client mit einer sicheren Verbindungsanfrage.
- Während des DTLS-Handshakes überprüft der Client, ob das Zertifikat mit dem in Schritt (4) ausgetauschten Zertifikat übereinstimmt. Nach der Validierung sendet der Client sein Autorisierungstoken. Eine sichere Direktverbindung ist nun hergestellt.
- Sobald die Direktverbindung erfolgreich hergestellt wurde, wird die Sitzung auf die neue Verbindung übertragen und die Verbindung zum Gateway Service beendet.
Hinweis:
Nachdem die Verbindung in Schritt 2 oben hergestellt wurde, ist die Sitzung aktiv. Die nachfolgenden Schritte verzögern oder beeinträchtigen die Fähigkeit des Benutzers, die virtuelle Anwendung oder den Desktop zu nutzen, nicht. Schlägt einer der nachfolgenden Schritte fehl, wird die Verbindung über das Gateway aufrechterhalten, ohne die Benutzersitzung zu unterbrechen.
Zertifikatsverwaltung
Sitzungshost
Die folgenden zwei Dienste auf der VDA-Maschine übernehmen die Zertifikatserstellung und -verwaltung, wobei beide so konfiguriert sind, dass sie beim Start der Maschine automatisch ausgeführt werden:
- Citrix ClxMtp Service: Verantwortlich für die Generierung und Rotation von CA-Zertifikatsschlüsseln.
- Citrix Certificate Manager Service: Verantwortlich für die Generierung und Verwaltung des selbstsignierten Stamm-CA-Zertifikats und der Maschinenzertifikate.
Die folgenden Schritte beschreiben den Zertifikatsverwaltungsprozess:
- Die Dienste starten beim Maschinenstart.
-
Citrix ClxMtp Serviceerstellt Schlüssel, falls noch keine erstellt wurden. - Der Citrix Certificate Manager Service prüft, ob HDX Direct aktiviert ist. Falls nicht, beendet sich der Dienst selbst.
- Wenn HDX Direct aktiviert ist, prüft der Citrix Certificate Manager Service, ob ein selbstsigniertes Stamm-CA-Zertifikat vorhanden ist. Falls nicht, wird ein selbstsigniertes Stammzertifikat erstellt.
- Sobald ein Stamm-CA-Zertifikat verfügbar ist, prüft der Citrix Certificate Manager Service, ob ein selbstsigniertes Maschinenzertifikat vorhanden ist. Falls nicht, generiert der Dienst Schlüssel und erstellt ein neues Zertifikat unter Verwendung des FQDN der Maschine.
- Wenn ein vorhandenes Maschinenzertifikat vom Citrix Certificate Manager Service erstellt wurde und der Antragstellername nicht mit dem FQDN der Maschine übereinstimmt, wird ein neues Zertifikat generiert.
Hinweis:
Der Citrix Certificate Manager Service generiert RSA-Zertifikate, die 2048-Bit-Schlüssel verwenden.
Clientgerät
Um eine sichere HDX Direct-Verbindung erfolgreich herzustellen, muss der Client den zur Sicherung der Sitzung verwendeten Zertifikaten vertrauen. Um dies zu erleichtern, empfängt der Client das CA-Zertifikat für die Sitzung über die ICA®-Datei (bereitgestellt von Workspace), sodass es nicht erforderlich ist, CA-Zertifikate an die Zertifikatspeicher der Clientgeräte zu verteilen.