Administrar claves de seguridad
Nota:
Debe usar esta función en combinación con StoreFront™ 1912 LTSR CU2 o posterior.
Esta función le permite permitir que solo las máquinas de StoreFront y Citrix Gateway aprobadas se comuniquen con los Citrix Delivery Controllers. Una vez que habilite esta función, se bloqueará cualquier solicitud que no contenga la clave. Utilice esta función para añadir una capa adicional de seguridad para protegerse contra ataques originados desde la red interna.
Un flujo de trabajo general para usar esta función es el siguiente:
-
Habilite la función en Studio mediante el SDK de PowerShell.
-
Configure los ajustes en Studio. (Use la consola de Studio o PowerShell).
-
Configure los ajustes en StoreFront. (Use PowerShell).
Habilitar la función de clave de seguridad
De forma predeterminada, la función está inhabilitada. Para habilitarla, utilice el SDK de PowerShell remoto. Para obtener más información sobre el SDK de PowerShell remoto, consulte SDK y API.
Para habilitar la función, siga estos pasos:
- Ejecute el SDK de PowerShell remoto de XenApp y XenDesktop®.
- En una ventana de comandos, ejecute los siguientes comandos:
-
Add-PSSnapIn Citrix*. Este comando añade los complementos de Citrix. Set-ConfigSiteMetadata -Name "Citrix_DesktopStudio_SecurityKeyManagementEnabled" -Value "True"
-
Configurar ajustes en Studio
Puede configurar los ajustes en Studio mediante la consola de Studio o PowerShell.
Usar la consola de Studio
Después de habilitar la función, vaya a Studio > Configuración > Administrar clave de seguridad. Es posible que deba hacer clic en Actualizar para que aparezca la opción Administrar clave de seguridad.
La ventana Administrar clave de seguridad aparece después de hacer clic en Administrar clave de seguridad.
Importante:
- Hay dos claves disponibles para su uso. Puede usar la misma clave o claves diferentes para las comunicaciones a través de los puertos XML y STA. Recomendamos usar solo una clave a la vez. La clave no utilizada se usa solo para la rotación de claves.
- No haga clic en el icono de actualización para actualizar la clave que ya está en uso. Si lo hace, se producirá una interrupción del servicio.
Haga clic en el icono de actualización para generar nuevas claves.
Requerir clave para comunicaciones a través del puerto XML (solo StoreFront). Si se selecciona, se requiere una clave para autenticar las comunicaciones a través del puerto XML. StoreFront se comunica con Citrix Cloud a través de este puerto. Para obtener información sobre cómo cambiar el puerto XML, consulte el artículo de Knowledge Center CTX127945.
Requerir clave para comunicaciones a través del puerto STA. Si se selecciona, se requiere una clave para autenticar las comunicaciones a través del puerto STA. Citrix Gateway y StoreFront se comunican con Citrix Cloud a través de este puerto. Para obtener información sobre cómo cambiar el puerto STA, consulte el artículo de Knowledge Center CTX101988.
Después de aplicar los cambios, haga clic en Cerrar para salir de la ventana Administrar clave de seguridad.
Usar PowerShell
A continuación, se muestran los pasos de PowerShell equivalentes a las operaciones de Studio.
-
Ejecute el SDK de PowerShell remoto de XenApp® y XenDesktop.
- En una ventana de comandos, ejecute el siguiente comando:
Add-PSSnapIn Citrix*
- Ejecute los siguientes comandos para generar una clave y configurar Key1:
New-BrokerXmlServiceKeySet-BrokerSite -XmlServiceKey1 <the key you generated>
- Ejecute los siguientes comandos para generar una clave y configurar Key2:
New-BrokerXmlServiceKeySet-BrokerSite -XmlServiceKey2 <the key you generated>
- Ejecute uno o ambos de los siguientes comandos para habilitar el uso de una clave en la autenticación de comunicaciones:
- Para autenticar las comunicaciones a través del puerto XML:
Set-BrokerSite -RequireXmlServiceKeyForNFuse $true
- Para autenticar las comunicaciones a través del puerto STA:
Set-BrokerSite -RequireXmlServiceKeyForSta $true
- Para autenticar las comunicaciones a través del puerto XML:
Consulte la ayuda del comando de PowerShell para obtener orientación y sintaxis.
Configurar los ajustes en StoreFront
Después de completar la configuración en Studio, debe configurar los ajustes relevantes en StoreFront mediante PowerShell.
En el servidor de StoreFront, ejecute los siguientes comandos de PowerShell:
- Para configurar la clave para las comunicaciones a través del puerto XML, utilice los comandos
Get-STFStoreServieySet-STFStoreService. Por ejemplo:PS C:\> Set-STFStoreFarm $farm -Farmtype XenDesktop -Port 80 -TransportType HTTP -Servers <domain name1, domain name2> -XMLValidationEnabled $true -XMLValidationSecret <the key you generated in Studio>
- Para configurar la clave para las comunicaciones a través del puerto STA, utilice el comando
New-STFSecureTicketAuthority. Por ejemplo:PS C:\> $sta = New-STFSecureTicketAuthority –StaUrl <STA URL> -StaValidationEnabled $true -StavalidationSecret <the key you generated in Studio>
Consulte la ayuda del comando de PowerShell para obtener orientación y sintaxis.
Configurar los ajustes en Citrix ADC
Nota:
No es necesario configurar esta función en Citrix ADC a menos que utilice Citrix ADC como su puerta de enlace. Si utiliza Citrix ADC, siga los pasos que se indican a continuación.
-
Asegúrese de que la siguiente configuración de requisitos previos ya esté implementada:
- Las siguientes direcciones IP relacionadas con Citrix ADC están configuradas.
- Dirección IP de administración de Citrix ADC (NSIP) para acceder a la consola de Citrix ADC. Para obtener más información, consulte Configuración de la dirección NSIP.
- Dirección IP de subred (SNIP) para habilitar la comunicación entre el dispositivo Citrix ADC y los servidores back-end. Para obtener más información, consulte Configuración de direcciones IP de subred.
- Dirección IP virtual de Citrix Gateway y dirección IP virtual del equilibrador de carga para iniciar sesión en el dispositivo ADC para el inicio de la sesión. Para obtener más información, consulte Crear un servidor virtual.
- Los modos y funciones necesarios en el dispositivo Citrix ADC están habilitados.
- Para habilitar los modos, en la GUI de Citrix ADC, vaya a System > Settings > Configure Mode.
- Para habilitar las funciones, en la GUI de Citrix ADC, vaya a System > Settings > Configure Basic Features.
- Las configuraciones relacionadas con los certificados están completas.
- Se crea la solicitud de firma de certificado (CSR). Para obtener más información, consulte Crear un certificado.
- Los certificados de servidor y CA y los certificados raíz están instalados. Para obtener más información, consulte Instalar, vincular y actualizar.
- Se ha creado un Citrix Gateway para Citrix Virtual Desktops. Pruebe la conectividad haciendo clic en el botón Test STA Connectivity para confirmar que los servidores virtuales están en línea. Para obtener más información, consulte Configuración de Citrix ADC para Citrix Virtual Apps and Desktops.
- Las siguientes direcciones IP relacionadas con Citrix ADC están configuradas.
-
Agregue una acción de reescritura. Para obtener más información, consulte Configuración de una acción de reescritura.
- Vaya a AppExpert > Rewrite > Actions.
- Haga clic en Add para agregar una nueva acción de reescritura. Puede nombrar la acción como “set Type to INSERT_HTTP_HEADER”.
- En Type, seleccione INSERT_HTTP_HEADER.
- En Header Name, introduzca X-Citrix-XmlServiceKey.
- En Expression, agregue
<XmlServiceKey1 value>con las comillas. Puede copiar el valor de XmlServiceKey1 de la configuración de su Desktop Delivery Controller™.
- Agregue una directiva de reescritura. Para obtener más información, consulte Configuración de una directiva de reescritura.
-
Vaya a AppExpert > Rewrite > Policies.
-
Haga clic en Add para agregar una nueva directiva.
- En Action, seleccione la acción creada en el paso anterior.
- En Expression, agregue HTTP.REQ.IS_VALID.
- Haga clic en OK.
-
-
Configure el equilibrio de carga. Debe configurar un servidor virtual de equilibrio de carga por cada servidor STA. De lo contrario, las sesiones no se iniciarán.
Para obtener más información, consulte Set up basic load balancing.
- Cree un servidor virtual de equilibrio de carga.
- Vaya a Traffic Management > Load Balancing > Servers.
- En la página Virtual Servers, haga clic en Add.
- En Protocol, seleccione HTTP.
- Agregue la dirección IP virtual de equilibrio de carga y en Port seleccione 80.
- Haga clic en OK.
- Cree un servicio de equilibrio de carga.
- Vaya a Traffic Management > Load Balancing > Services.
- En Existing Server, seleccione el servidor virtual creado en el paso anterior.
- En Protocol, seleccione HTTP y en Port seleccione 80.
- Haga clic en OK, y, a continuación, haga clic en Done.
- Enlace el servicio al servidor virtual.
- Seleccione el servidor virtual creado anteriormente y haga clic en Editar.
- En Servicios y grupos de servicios, haga clic en Sin enlace de servicio de servidor virtual de equilibrio de carga.
- En Enlace de servicio, seleccione el servicio creado anteriormente.
- Haga clic en Enlazar.
- Enlace la directiva de reescritura creada anteriormente al servidor virtual.
- Seleccione el servidor virtual creado anteriormente y haga clic en Editar.
- En Configuración avanzada, haga clic en Directivas y, a continuación, en la sección Directivas, haga clic en +.
- En Elegir directiva, seleccione Reescritura y en Elegir tipo, seleccione Solicitud.
- Haga clic en Continuar.
- En Seleccionar directiva, seleccione la directiva de reescritura creada anteriormente.
- Haga clic en Enlazar.
- Haga clic en Listo.
- Configure la persistencia para el servidor virtual, si es necesario.
- Seleccione el servidor virtual creado anteriormente y haga clic en Editar.
- En Configuración avanzada, haga clic en Persistencia.
- Seleccione el tipo de persistencia como Otros.
- Seleccione DESTIP para crear sesiones de persistencia basadas en la dirección IP del servicio seleccionado por el servidor virtual (la dirección IP de destino).
- En Máscara de red IPv4, agregue la misma máscara de red que la del DDC.
- Haga clic en Aceptar.
- Repita estos pasos también para el otro servidor virtual.
- Cree un servidor virtual de equilibrio de carga.
Cambios de configuración si el dispositivo Citrix ADC ya está configurado con Citrix Virtual Desktops™
Si ya ha configurado el dispositivo Citrix ADC con Citrix Virtual Desktops, para usar la función Secure XML, debe realizar los siguientes cambios de configuración.
- Antes del inicio de la sesión, cambie la URL de la autoridad de tickets de seguridad de la puerta de enlace para usar los FQDN de los servidores virtuales de equilibrio de carga.
- Asegúrese de que el parámetro
TrustRequestsSentToTheXmlServicePortesté establecido en False. De forma predeterminada, el parámetroTrustRequestsSentToTheXmlServicePortestá establecido en False. Sin embargo, si el cliente ya ha configurado Citrix ADC para Citrix Virtual Desktops, entonces elTrustRequestsSentToTheXmlServicePortse establece en True.
- En la GUI de Citrix ADC, vaya a Configuración > Integrar con productos Citrix y haga clic en XenApp y XenDesktop.
-
Seleccione la instancia de la puerta de enlace y haga clic en el icono de edición.
-
En el panel de StoreFront, haga clic en el icono de edición.
- Agregue la URL de Secure Ticket Authority.
- Si la función Secure XML está habilitada, la URL de STA debe ser la URL del servicio de equilibrio de carga.
- Si la función Secure XML está inhabilitada, la URL de STA debe ser la URL de STA (dirección del DDC) y el parámetro TrustRequestsSentToTheXmlServicePort en el DDC debe establecerse en True.
