Proteger sesiones de usuario con TLS
A partir de la versión 7.16, el VDA de Linux admite el cifrado TLS para sesiones de usuario seguras. El cifrado TLS está inhabilitado de forma predeterminada.
Habilitar el cifrado TLS
Para habilitar el cifrado TLS para sesiones de usuario seguras, instale certificados y habilite el cifrado TLS tanto en el VDA de Linux como en el Delivery Controller™ (el Controller).
Instalar certificados en el VDA de Linux
Obtenga certificados de servidor en formato PEM y certificados raíz en formato CRT. Un certificado de servidor contiene las siguientes secciones:
- Certificado
- Clave privada sin cifrar
- Certificados intermedios (opcional)
Un ejemplo de certificado de servidor:
Habilitar el cifrado TLS
Habilitar el cifrado TLS en el VDA de Linux
En el VDA de Linux, utilice el script enable_vdassl.sh en el directorio /opt/Citrix/VDA/sbin para habilitar (o inhabilitar) el cifrado TLS. Para obtener información sobre las opciones disponibles en el script, ejecute el comando /opt/Citrix/VDA/sbin/enable_vdassl.sh -help.
Consejo: Se debe instalar un certificado de servidor en cada servidor Linux VDA y certificados raíz en cada servidor y cliente Linux VDA.
Habilitar el cifrado TLS en el Controller
Nota:
Solo puede habilitar el cifrado TLS para grupos de entrega completos. No puede habilitar el cifrado TLS para aplicaciones específicas.
En una ventana de PowerShell del Controller, ejecute los siguientes comandos en secuencia para habilitar el cifrado TLS para el grupo de entrega de destino.
Add-PSSnapin citrix.*Get-BrokerAccessPolicyRule –DesktopGroupName 'GROUPNAME' | Set-BrokerAccessPolicyRule –HdxSslEnabled $true
Nota:
Para asegurarse de que solo los FQDN de VDA estén contenidos en un archivo de sesión ICA®, también puede ejecutar el comando
Set-BrokerSite –DnsResolutionEnabled $true. El comando habilita la resolución DNS. Si deshabilita la resolución DNS, un archivo de sesión ICA revela las direcciones IP de VDA y proporciona FQDN solo para los elementos relacionados con TLS, comoSSLProxyHostyUDPDTLSPort.
Para inhabilitar el cifrado TLS en el Controller, ejecute los siguientes comandos en secuencia:
Add-PSSnapin citrix.*Get-BrokerAccessPolicyRule –DesktopGroupName 'GROUPNAME' | Set-BrokerAccessPolicyRule –HdxSslEnabled $falseSet-BrokerSite –DnsResolutionEnabled $false
Solución de problemas
El siguiente error “No se puede asignar la dirección solicitada” puede producirse en la aplicación Citrix Workspace™ para Windows al intentar acceder a una sesión de escritorio publicada:
Como solución alternativa, añada una entrada al archivo hosts, que es similar a:
<IP address of the Linux VDA> <FQDN of the Linux VDA>
En máquinas Windows, el archivo hosts se encuentra normalmente en C:\Windows\System32\drivers\etc\hosts.