Rendezvous V1

Al usar el servicio Citrix Gateway, el protocolo Rendezvous permite que el tráfico omita los Citrix Cloud™ Connectors y se conecte de forma directa y segura con el plano de control de Citrix Cloud.

Hay dos tipos de tráfico a considerar: 1) tráfico de control para el registro de VDA y la intermediación de sesiones; 2) tráfico de sesión HDX™.

Rendezvous V1 permite que el tráfico de sesión HDX omita los Cloud Connectors, pero aún requiere que los Cloud Connectors actúen como proxy para todo el tráfico de control para el registro de VDA y la intermediación de sesiones.

Requisitos

• Acceso al entorno mediante Citrix Workspace™ y el servicio Citrix Gateway.
• Plano de control: Citrix DaaS (anteriormente servicio Citrix Virtual Apps and Desktops™).
• Linux VDA versión 2112 o posterior.
  • La versión 2112 es la mínima requerida para los proxies HTTP no transparentes.
  • La versión 2204 es la mínima requerida para los proxies transparentes y SOCKS5.
• Habilite el protocolo Rendezvous en la directiva de Citrix. Para obtener más información, consulte Configuración de directiva del protocolo Rendezvous.
• Los VDA deben tener acceso a https://*.nssvc.net, incluidos todos los subdominios. Si no puede agregar todos los subdominios a la lista de permitidos de esa manera, use https://*.c.nssvc.net y https://*.g.nssvc.net en su lugar. Para obtener más información, consulte la sección Requisitos de conectividad a Internet de la documentación de Citrix Cloud (en el servicio Virtual Apps and Desktop) y el artículo del Knowledge Center CTX270584.
• Los Cloud Connectors deben obtener los FQDN de los VDA al intermediar una sesión. Realice esta tarea de una de estas dos maneras:
  • Habilitar la resolución DNS para el sitio. Vaya a Configuración completa > Configuración y active la opción Habilitar resolución DNS. Alternativamente, use el SDK de PowerShell remoto de Citrix Virtual Apps and Desktops y ejecute el comando Set-BrokerSite -DnsResolutionEnabled $true. Para obtener más información sobre el SDK de PowerShell remoto de Citrix Virtual Apps and Desktops, consulte SDK y API.
  • Zona de búsqueda inversa de DNS con registros PTR para los VDA. Si elige esta opción, le recomendamos que configure los VDA para que siempre intenten registrar registros PTR. Para ello, use el Editor de directivas de grupo o el Objeto de directiva de grupo, vaya a Configuración del equipo > Plantillas administrativas > Red > Cliente DNS y establezca Registrar registros PTR en Habilitado y registrar. Si el sufijo DNS de la conexión no coincide con el sufijo DNS del dominio, también debe configurar la opción Sufijo DNS específico de la conexión para que las máquinas registren los registros PTR correctamente.

  Nota:

  Si se utiliza la opción de resolución DNS, los Cloud Connectors deben poder resolver los nombres de dominio completos (FQDN) de las máquinas VDA. En el caso de que los usuarios internos se conecten directamente a las máquinas VDA, los dispositivos cliente también deben poder resolver los FQDN de las máquinas VDA.

  Si se utiliza una zona de búsqueda inversa de DNS, los FQDN de los registros PTR deben coincidir con los FQDN de las máquinas VDA. Si el registro PTR contiene un FQDN diferente, la conexión Rendezvous falla. Por ejemplo, si el FQDN de la máquina es vda01.domain.net, el registro PTR debe contener vda01.domain.net. Un FQDN diferente, como vda01.sub.domain.net, no funciona.

Configuración del proxy

El VDA admite el establecimiento de conexiones Rendezvous a través de proxies HTTP y SOCKS5.

Consideraciones sobre el proxy

Tenga en cuenta lo siguiente al usar proxies con Rendezvous:

• Se admiten proxies HTTP no transparentes y proxies SOCKS5.

• No se admiten el descifrado ni la inspección de paquetes. Configure una excepción para que el tráfico ICA® entre el VDA y el servicio Gateway no se intercepte, descifre ni inspeccione. De lo contrario, la conexión se interrumpe.

• Los proxies HTTP admiten la autenticación basada en máquinas mediante los protocolos de autenticación Negotiate y Kerberos. Cuando se conecta al servidor proxy, el esquema de autenticación Negotiate selecciona automáticamente el protocolo Kerberos. Kerberos es el único esquema que admite el VDA de Linux.

  Nota:

  Para usar Kerberos, debe crear el nombre principal de servicio (SPN) para el servidor proxy y asociarlo a la cuenta de Active Directory del proxy. El VDA genera el SPN en el formato HTTP/<proxyURL> al establecer una sesión, donde la URL del proxy se recupera de la configuración de la directiva Proxy de Rendezvous. Si no crea un SPN, la autenticación falla.

• Actualmente, no se admite la autenticación con un proxy SOCKS5. Si utiliza un proxy SOCKS5, debe configurar una excepción para que el tráfico destinado a las direcciones del servicio Gateway (especificadas en los requisitos) pueda omitir la autenticación.
• Solo los proxies SOCKS5 admiten el transporte de datos a través de EDT. Para un proxy HTTP, utilice TCP como protocolo de transporte para ICA.

Proxy transparente

El proxy HTTP transparente es compatible con Rendezvous. Si utiliza un proxy transparente en su red, no se requiere ninguna configuración adicional en el VDA.

Proxy no transparente

Cuando utilice un proxy no transparente en su red, configure el ajuste configuración del proxy de Rendezvous. Cuando el ajuste esté habilitado, especifique la dirección del proxy HTTP o SOCKS5 para que el VDA sepa qué proxy utilizar. Por ejemplo:

• Dirección del proxy: http://<URL or IP>:<port> o socks5://<URL or IP>:<port>

Validación de Rendezvous

Si cumple todos los requisitos, siga estos pasos para validar si Rendezvous está en uso:

1. Inicie un terminal en el VDA.
2. Ejecute /opt/Citrix/VDA/bin/ctxquery -f iP.
3. Los PROTOCOLOS DE TRANSPORTE indican el tipo de conexión:
   • Rendezvous TCP: TCP - TLS - CGP - ICA
   • Rendezvous EDT: UDP - DTLS - CGP - ICA
   • Proxy a través de Cloud Connector: TCP - PROXY - SSL - CGP - ICA o UDP - PROXY - DTLS - CGP - ICA

Sugerencia:

Si el VDA no puede alcanzar el servicio Citrix Gateway directamente con Rendezvous habilitado, el VDA recurre a la intermediación de la sesión HDX a través del Cloud Connector.

Cómo funciona Rendezvous

Este diagrama ofrece una visión general del flujo de conexión de Rendezvous.

Siga los pasos para comprender el flujo.

1. Vaya a Citrix Workspace.
2. Introduzca las credenciales en Citrix Workspace.
3. Si utiliza Active Directory local, Citrix DaaS™ autentica las credenciales con Active Directory mediante el canal de Cloud Connector.
4. Citrix Workspace muestra los recursos enumerados de Citrix DaaS.
5. Seleccione los recursos de Citrix Workspace. Citrix DaaS envía un mensaje al VDA para prepararse para una sesión entrante.
6. Citrix Workspace envía un archivo ICA al punto final que contiene un ticket STA generado por Citrix Cloud.
7. El punto final se conecta al servicio Citrix Gateway, proporciona el ticket para conectarse al VDA y Citrix Cloud valida el ticket.
8. El servicio Citrix Gateway envía información de conexión a Cloud Connector. Cloud Connector determina si la conexión es una conexión Rendezvous y envía la información al VDA.
9. El VDA establece una conexión directa con el servicio Citrix Gateway.
10. Si no es posible una conexión directa entre el VDA y el servicio Citrix Gateway, el VDA establece su conexión a través de Cloud Connector.
11. El servicio Citrix Gateway establece una conexión entre el dispositivo de punto final y el VDA.
12. El VDA verifica su licencia con Citrix DaaS a través de Cloud Connector.
13. Citrix DaaS envía directivas de sesión al VDA a través del Cloud Connector. Esas directivas se aplican.