Selbstsignierte Zertifikate für WebSocket konfigurieren

Ab der Erstversion des 2402 LTSR ermöglicht Citrix Virtual Apps and Desktops die Verwendung der WebSocket-Technologie über das Citrix Brokering Protocol (CBP), um die Kommunikation zwischen VDAs und Delivery Controllern zu erleichtern. Diese Funktion erfordert nur den TLS-Port 443 für die Kommunikation vom VDA zum Delivery Controller. Weitere Informationen finden Sie unter WebSocket-Kommunikation zwischen VDA und Delivery Controller in der Dokumentation zu Citrix Virtual Apps and Desktops.

WebSocket ist eine leistungsstarke Technologie zur Ermöglichung der bidirektionalen Echtzeitkommunikation zwischen einem Client und einem Server. Um jedoch eine sichere Verbindung zu gewährleisten, insbesondere bei der Verwendung von wss://, ist die Konfiguration eines selbstsignierten Zertifikats oft erforderlich, insbesondere in Entwicklungs- oder Testumgebungen. Dieser Artikel beschreibt die Best Practices für die Konfiguration selbstsignierter Zertifikate für WebSocket.

Schritt 1: (Nur für nicht in die Domäne eingebundene VDAs) Konfigurieren Sie den DNS-Server

• Für Ubuntu- und Debian-VDAs:

1. Ändern Sie die DNS-Einstellungen durch Bearbeiten von /etc/systemd/resolved.conf wie folgt:

   [Resolve]
   # Some examples of DNS servers which may be used for DNS= and FallbackDNS=:
   # Cloudflare: 1.1.1.1#cloudflare-dns.com 1.0.0.1#cloudflare-dns.com 2606:4700:4700::1111#cloudflare-dns.com 2606:4700:4700::1001#cloudflare-dns.com
   # Google:     8.8.8.8#dns.google 8.8.4.4#dns.google 2001:4860:4860::8888#dns.google 2001:4860:4860::8844#dns.google
   # Quad9:      9.9.9.9#dns.quad9.net 149.112.112.112#dns.quad9.net 2620:fe::fe#dns.quad9.net 2620:fe::9#dns.quad9.net
   DNS=<DNS IP address>
   #FallbackDNS=
   #Domains=
   #DNSSEC=no
   #DNSOverTLS=no
   #MulticastDNS=no
   #LLMNR=no
   #Cache=no-negative
   #CacheFromLocalhost=no
   #DNSStubListener=yes
   #DNSStubListenerExtra=
   #ReadEtcHosts=yes
   #ResolveUnicastSingleLabel=no
   <!--NeedCopy-->
   

2. Starten Sie den systemd-resolved-Dienst neu.

   sudo service systemd-resolved restart
   <!--NeedCopy-->
   

   Weitere Informationen finden Sie unter https://notes.enovision.net/linux/changing-dns-with-resolve.

• Für RHEL-, Rocky Linux- und SUSE-VDAs:

1. Führen Sie den folgenden nmcli-Befehl aus, um eine Liste der Verbindungsnamen abzurufen:

   sudo nmcli connection
   <!--NeedCopy-->
   

2. Führen Sie einen weiteren nmcli-Befehl aus, um die DNS-IP-Adresse einzurichten:

   sudo nmcli con mod {connectionNameHere} ipv4.dns "<dns ip address>"
   <!--NeedCopy-->
   

   Beispielsweise können Sie die DNS-IP-Adresse auf 192.168.2.254 festlegen, indem Sie den folgenden Befehl verwenden:

   sudo nmcli con mod eth0 ipv4.dns "192.168.2.254"
   <!--NeedCopy-->
   

3. Laden Sie die neuen DNS-Einstellungen neu, indem Sie einen der folgenden Befehle ausführen:

   sudo systemctl restart NetworkManager.service
   <!--NeedCopy-->
   

   sudo nmcli connection reload
   <!--NeedCopy-->
   

   Weitere Informationen finden Sie unter https://www.cyberciti.biz/faq/change-dns-ip-address-rhel-redhat-linux/.

Schritt 2: Fordern Sie ein Zertifikat von einer Zertifizierungsstelle (CA) an

1. Leiten Sie eine Zertifikatsanforderung ein. Wenn Sie eine Zertifikatsanforderung einleiten, geben Sie den vollqualifizierten Domänennamen (FQDN) des Delivery Controllers ein.

   

2. Wählen Sie eine Bitlänge von 2048 oder höher, um eine robuste Sicherheit für Ihr Zertifikat zu gewährleisten.

   

3. Weisen Sie Ihrer Zertifikatsanforderungsdatei einen aussagekräftigen Namen zur einfachen Identifizierung zu.

   

4. Öffnen Sie die generierte Zertifikatsanforderungsdatei mit einem Texteditor wie Notepad und wählen Sie den gesamten Inhalt aus.

   

5. Melden Sie sich bei Ihrem Webzertifikatserver an und fordern Sie ein Zertifikat an.

   

   

6. Fügen Sie den kopierten Inhalt der Anforderungsdatei in das entsprechende Feld auf dem Webserver ein und wählen Sie die Zertifikatvorlage Webserver aus.

   

7. Laden Sie das Zertifikat im Base64-codierten Format herunter.

   

8. Schließen Sie die Zertifikatsanforderung ab. Nach dem Herunterladen ist der Zertifikatsanforderungsprozess abgeschlossen.

   

Schritt 3: Binden des Delivery Controller FQDN-Zertifikats

1. Exportieren Sie das Delivery Controller FQDN-Zertifikat als PFX-Datei.

   

2. Importieren Sie das exportierte PFX-Zertifikat in die Internet Information Services (IIS) Ihres Delivery Controller-Servers.

   

3. Binden Sie das importierte Zertifikat an Ihre Standardwebsite in IIS.

   

4. Stellen Sie während des Bindungsvorgangs sicher, dass Sie das spezifische Zertifikat auswählen, das Sie importiert haben.

   

Schritt 4: Speichern und Aktualisieren des CA-Zertifikats auf dem Linux VDA

1. Laden Sie das CA-Zertifikat herunter. Zum Beispiel:

   

2. Platzieren und aktualisieren Sie das CA-Zertifikat.

   • Für RHEL und Rocky Linux:

     Verwenden Sie den Befehl trust anchor <path/CA certificate>, um das CA-Zertifikat hinzuzufügen. Stellen Sie sicher, dass keine Zertifikate manuell in das Verzeichnis /etc/pki/ca-trust/source/anchors platziert werden. Wenn Sie Fehler im Zusammenhang mit schreibgeschützten Feldern feststellen, entfernen Sie alle in diesem Verzeichnis vorhandenen Zertifikate.

   • Für SUSE, Ubuntu und Debian:

     Legen Sie das Stamm-CA-Zertifikat in das Verzeichnis /usr/local/share/ca-certificates ab. Wenn das Zertifikat keine .crt-Erweiterung hat, benennen Sie es entsprechend um. Führen Sie dann den Befehl update-ca-certificate aus.