Rendezvousprotokoll
In Umgebungen, in denen Citrix Gateway Service verwendet wird, können HDX-Sitzungen mithilfe des Rendezvous-Protokolls den Citrix Cloud Connector umgehen und eine direkte und sichere Verbindung mit Citrix Gateway Service herzustellen.
Anforderungen
- Zugriff auf die Umgebung mit Citrix Workspace und Citrix Gateway Service.
- Steuerungsebene: Citrix Virtual Apps and Desktops Service (Citrix Cloud)
- Linux VDA Version 2112 oder höher.
- Aktivieren Sie das Rendezvous-Protokoll in der Citrix Richtlinie. Weitere Informationen finden Sie unter Richtlinieneinstellung für Rendezvous-Protokoll.
- Die VDAs müssen Zugriff auf
https://*.nssvc.neteinschließlich aller Unterdomänen haben. Wenn Sie nicht alle Unterdomänen auf diese Weise auf die Positivliste setzen können, verwenden Sie stattdessenhttps://*.c.nssvc.netundhttps://*.g.nssvc.net. Weitere Informationen finden Sie im Abschnitt Anforderungen an die Internetkonnektivität der Citrix Cloud-Dokumentation (unter “Virtual Apps and Desktops Service”) und im Knowledge Center-Artikel CTX270584. - Cloud Connectors müssen beim Brokering einer Sitzung die FQDNs der VDAs abrufen. Um dieses Ziel zu erreichen, aktivieren Sie die DNS-Auflösung für die Site: Führen Sie mit dem Remote PowerShell SDK von Citrix Virtual Apps and Desktops den Befehl
Set-BrokerSite -DnsResolutionEnabled $trueaus. Weitere Informationen zum Citrix Virtual Apps and Desktops Remote PowerShell SDK finden Sie unter SDKs und APIs.
Proxykonfiguration
Der VDA unterstützt den Aufbau von Rendezvous-Verbindungen über einen HTTP-Proxy.
Überlegungen zum Proxy
Berücksichtigen Sie Folgendes, wenn Sie Proxys mit Rendezvous verwenden:
-
Nicht transparente HTTP-Proxys werden unterstützt.
-
Die Entschlüsselung und Inspektion von Paketen wird nicht unterstützt. Konfigurieren Sie eine Ausnahme, damit der ICA-Datenverkehr zwischen dem VDA und Gateway Service nicht abgefangen, entschlüsselt oder überprüft wird. Ansonsten bricht die Verbindung ab.
-
HTTP-Proxys unterstützen die maschinenbasierte Authentifizierung mithilfe der Aushandlungs- und Kerberos-Authentifizierungsprotokolle. Wenn Sie eine Verbindung mit dem Proxyserver herstellen, wählt das Aushandlungsauthentifizierungsschema automatisch das Kerberos-Protokoll aus. Kerberos ist das einzige Schema, das vom Linux VDA unterstützt wird.
Hinweis:
Um Kerberos zu verwenden, müssen Sie den Dienstprinzipalnamen (SPN) für den Proxyserver erstellen und ihn mit dem Active Directory-Konto des Proxys verknüpfen. Der VDA generiert den Dienstprinzipalnamen (SPN) im Format
HTTP/<proxyURL>beim Einrichten einer Sitzung, wobei die Proxy-URL aus der Richtlinieneinstellung Rendezvousproxy abgerufen wird. Wenn Sie keinen Dienstprinzipalnamen erstellen, schlägt die Authentifizierung fehl. -
Verwenden Sie für einen HTTP-Proxy TCP als Transportprotokoll für ICA.
Nicht transparenter Proxy
Wenn Sie einen nicht transparenten Proxy in Ihrem Netzwerk verwenden, konfigurieren Sie die Einstellung Rendezvousproxykonfiguration. Wenn die Einstellung aktiviert ist, geben Sie die HTTP-Proxyadresse an, damit der VDA weiß, welchen Proxy er verwenden soll. Beispiel:
- Proxyadresse:
http://<URL or IP>:<port>
Rendezvous-Prüfung
Wenn alle Anforderungen erfüllt sind, überprüfen Sie folgendermaßen, ob Rendezvous verwendet wird:
- Starten Sie ein Terminal auf dem VDA.
- Führen Sie
su root -c "/opt/Citrix/VDA/bin/ctxquery -f iuStdP"aus. - Die verwendeten TRANSPORTPROTOKOLLE geben die Art der Verbindung an:
- TCP-Rendezvous: TCP - SSL - CGP - ICA
- EDT-Rendezvous: UDP - DTLS - CGP - ICA
- Proxy über Cloud Connector: TCP - CGP - ICA
Tipp:
Wenn Sie Rendezvous aktivieren und der VDA den Citrix Gateway Service nicht direkt erreichen kann, greift der VDA auf eine Proxyumleitung der HDX-Sitzung über den Cloud Connector zurück.
Funktionsweise von Rendezvous
Diese Abbildung bietet eine Übersicht über den Rendezvous-Verbindungsfluss.
Folgen Sie den Schritten, um den Fluss zu verstehen.
- Navigieren Sie zu Citrix Workspace.
- Geben Sie die Anmeldeinformationen in Citrix Workspace ein.
- Wenn Sie Active Directory on-premises verwenden, authentifiziert Citrix Virtual Apps and Desktops Service die Anmeldeinformationen mit Active Directory über den Cloud Connector-Kanal.
- Citrix Workspace zeigt aufgezählte Ressourcen aus Citrix Virtual Apps and Desktops Service an.
- Wählen Sie Ressourcen aus Citrix Workspace aus. Citrix Virtual Apps and Desktops Service sendet eine Nachricht an den VDA zur Vorbereitung auf eine eingehende Sitzung.
- Citrix Workspace sendet eine ICA-Datei an den Endpunkt, der ein von Citrix Cloud generiertes STA-Ticket enthält.
- Der Endpunkt stellt eine Verbindung mit Citrix Gateway Service her und stellt das Ticket zur Verbindung mit dem VDA bereit. Citrix Cloud validiert das Ticket.
- Citrix Gateway Service sendet Verbindungsinformationen an den Cloud Connector. Der Cloud Connector bestimmt, ob die Verbindung eine Rendezvous-Verbindung sein soll, und sendet die Informationen an den VDA.
- Der VDA stellt eine direkte Verbindung zu Citrix Gateway Service her.
- Wenn eine direkte Verbindung zwischen VDA und Citrix Gateway Service nicht möglich ist, erstellt der VDA eine Proxyverbindung über den Cloud Connector.
- Citrix Gateway Service stellt eine Verbindung zwischen Endpunktgerät und VDA her.
- Der VDA überprüft seine Lizenz mit Citrix Virtual Apps and Desktops Service über den Cloud Connector.
- Citrix Virtual Apps and Desktops Service sendet Sitzungsrichtlinien über den Cloud Connector an den VDA. Diese Richtlinien werden angewendet.