Sesiones
Mantener la actividad de la sesión es fundamental para ofrecer la mejor experiencia de usuario. La pérdida de conectividad debido a redes poco fiables, la latencia de red muy variable y las limitaciones de alcance de los dispositivos inalámbricos pueden provocar frustración en el usuario. Poder moverse rápidamente entre estaciones de trabajo y acceder al mismo conjunto de aplicaciones cada vez que inician sesión es una prioridad para muchos trabajadores móviles, como los profesionales sanitarios en un hospital.
Utilice las siguientes funciones para optimizar la fiabilidad de las sesiones, reducir las molestias, el tiempo de inactividad y la pérdida de productividad; al usar estas funciones, los usuarios móviles pueden moverse rápida y fácilmente entre dispositivos.
La sección (/es-es/xenapp-and-xendesktop/7-15-ltsr/manage-deployment/sessions.html) describe cómo cambiar la configuración predeterminada.
También puede cerrar la sesión de un usuario, desconectar una sesión y configurar el preinicio y la permanencia de la sesión; consulte el artículo (/es-es/xenapp-and-xendesktop/7-15-ltsr/install-configure/delivery-groups-manage.html).
Fiabilidad de la sesión
La fiabilidad de la sesión mantiene las sesiones activas y en la pantalla del usuario cuando se interrumpe la conectividad de red. Los usuarios siguen viendo la aplicación que están utilizando hasta que se reanuda la conectividad de red.
Esta función es especialmente útil para usuarios móviles con conexiones inalámbricas. Por ejemplo, un usuario con una conexión inalámbrica entra en un túnel ferroviario y pierde momentáneamente la conectividad. Normalmente, la sesión se desconecta y desaparece de la pantalla del usuario, y este tiene que volver a conectarse a la sesión desconectada. Con la fiabilidad de la sesión, la sesión permanece activa en la máquina. Para indicar que se ha perdido la conectividad, la pantalla del usuario se congela y el cursor cambia a un reloj de arena giratorio hasta que se reanuda la conectividad al otro lado del túnel. El usuario sigue accediendo a la pantalla durante la interrupción y puede reanudar la interacción con la aplicación cuando se restablece la conexión de red. La fiabilidad de la sesión vuelve a conectar a los usuarios sin solicitarles una nueva autenticación.
Los usuarios de Citrix Receiver™ no pueden anular la configuración del Controller.
Puede utilizar la fiabilidad de la sesión con Transport Layer Security (TLS). TLS cifra solo los datos enviados entre el dispositivo de usuario y NetScaler® Gateway.
Habilite y configure la fiabilidad de la sesión con las siguientes opciones de directiva:
- La opción de directiva Conexiones de fiabilidad de la sesión permite o impide la fiabilidad de la sesión.
- La opción de directiva Tiempo de espera de fiabilidad de la sesión tiene un valor predeterminado de 180 segundos, o tres minutos. Aunque puede ampliar el tiempo que la fiabilidad de la sesión mantiene una sesión abierta, esta función está diseñada para la comodidad del usuario y, por lo tanto, no solicita al usuario una nueva autenticación. A medida que se amplía el tiempo que una sesión permanece abierta, aumentan las posibilidades de que un usuario se distraiga y se aleje del dispositivo de usuario, lo que podría dejar la sesión accesible a usuarios no autorizados.
- Las conexiones de fiabilidad de la sesión entrantes utilizan el puerto 2598, a menos que cambie el número de puerto en la opción de directiva Número de puerto de fiabilidad de la sesión.
- Si no desea que los usuarios puedan volver a conectarse a sesiones interrumpidas sin tener que volver a autenticarse, utilice la función Reconexión automática de clientes. Puede configurar la opción de directiva Autenticación de reconexión automática de clientes para solicitar a los usuarios que se vuelvan a autenticar al reconectarse a sesiones interrumpidas.
Si utiliza tanto la fiabilidad de sesión como la reconexión automática de clientes, las dos funciones trabajan en secuencia. La fiabilidad de sesión cierra o desconecta la sesión del usuario después del tiempo especificado en la configuración de la directiva de tiempo de espera de fiabilidad de sesión. Después de eso, la configuración de la directiva de reconexión automática de clientes surte efecto, intentando volver a conectar al usuario a la sesión desconectada.
Reconexión automática de clientes
Con la función de reconexión automática de clientes, Citrix Receiver puede detectar desconexiones involuntarias de sesiones ICA® y volver a conectar a los usuarios a las sesiones afectadas automáticamente. Cuando esta función está habilitada en el servidor, los usuarios no tienen que volver a conectarse manualmente para seguir trabajando.
Para las sesiones de aplicación, Citrix Receiver intenta volver a conectarse a la sesión hasta que se produce una reconexión correcta o el usuario cancela los intentos de reconexión.
Para las sesiones de escritorio, Citrix Receiver intenta volver a conectarse a la sesión durante un período de tiempo especificado, a menos que se produzca una reconexión correcta o el usuario cancele los intentos de reconexión. De forma predeterminada, este período de tiempo es de cinco minutos. Para cambiar este período de tiempo, modifique este registro en el dispositivo de usuario:
HKLM\Software\Citrix\ICA Client\TransportReconnectRetryMaxTimeSeconds; DWORD;<seconds>
donde <seconds> es el número de segundos después de los cuales no se realizan más intentos de reconectar la sesión.
Habilite y configure la reconexión automática de clientes con las siguientes configuraciones de directiva:
- Reconexión automática de clientes. Habilita o inhabilita la reconexión automática por parte de Citrix Receiver después de que se haya interrumpido una conexión.
- Autenticación de reconexión automática de clientes. Habilita o inhabilita el requisito de autenticación de usuario después de la reconexión automática.
- Registro de reconexión automática de clientes. Habilita o inhabilita el registro de eventos de reconexión en el registro de eventos. El registro está inhabilitado de forma predeterminada. Cuando está habilitado, el registro del sistema del servidor captura información sobre los eventos de reconexión automática correctos y fallidos. Cada servidor almacena información sobre los eventos de reconexión en su propio registro del sistema; el sitio no proporciona un registro combinado de eventos de reconexión para todos los servidores.
La reconexión automática de clientes incorpora un mecanismo de autenticación basado en credenciales de usuario cifradas. Cuando un usuario inicia sesión por primera vez, el servidor cifra y almacena las credenciales del usuario en la memoria, y crea y envía una cookie que contiene la clave de cifrado a Citrix Receiver. Citrix Receiver envía la clave al servidor para la reconexión. El servidor descifra las credenciales y las envía al inicio de sesión de Windows para su autenticación. Cuando las cookies caducan, los usuarios deben volver a autenticarse para reconectarse a las sesiones.
Las cookies no se utilizan si habilita la configuración de autenticación de reconexión automática de clientes. En su lugar, se presenta a los usuarios un cuadro de diálogo solicitando credenciales cuando Citrix Receiver intenta reconectarse automáticamente.
Para una protección máxima de las credenciales y sesiones de usuario, utilice el cifrado para toda la comunicación entre los clientes y el sitio.
Inhabilite la reconexión automática de clientes en Citrix Receiver para Windows mediante el archivo icaclient.adm. Para obtener más información, consulte la documentación de su versión de Citrix Receiver para Windows.
La configuración de las conexiones también afecta a la Reconexión automática de clientes:
- De forma predeterminada, la Reconexión automática de clientes está habilitada mediante la configuración de directivas a nivel de sitio, como se describió anteriormente. No se requiere la reautenticación del usuario. Sin embargo, si la conexión ICA TCP de un servidor está configurada para restablecer sesiones con un vínculo de comunicación roto, la reconexión automática no se produce. La Reconexión automática de clientes solo funciona si el servidor desconecta las sesiones cuando hay una conexión rota o agotada. En este contexto, la conexión ICA TCP se refiere a un puerto virtual de un servidor (en lugar de una conexión de red real) que se utiliza para las sesiones en redes TCP/IP.
- De forma predeterminada, la conexión ICA TCP de un servidor está configurada para desconectar sesiones con conexiones rotas o agotadas. Las sesiones desconectadas permanecen intactas en la memoria del sistema y están disponibles para la reconexión mediante Citrix Receiver.
- La conexión se puede configurar para restablecer o cerrar la sesión de las sesiones con conexiones rotas o agotadas. Cuando se restablece una sesión, al intentar reconectarse se inicia una nueva sesión; en lugar de restaurar al usuario al mismo punto de la aplicación en uso, la aplicación se reinicia.
- Si el servidor está configurado para restablecer sesiones, la Reconexión automática de clientes crea una nueva sesión. Este proceso requiere que los usuarios introduzcan sus credenciales para iniciar sesión en el servidor.
- La reconexión automática puede fallar si Citrix Receiver o el plug-in envían información de autenticación incorrecta, lo que podría ocurrir durante un ataque o si el servidor determina que ha transcurrido demasiado tiempo desde que detectó la conexión rota.
ICA Keep-Alive
La habilitación de la función ICA Keep-Alive evita que las conexiones rotas se desconecten. Cuando está habilitada, si el servidor no detecta actividad (por ejemplo, ningún cambio de reloj, ningún movimiento del ratón, ninguna actualización de pantalla), esta función evita que los Servicios de Escritorio remoto desconecten esa sesión. El servidor envía paquetes keep-alive cada pocos segundos para detectar si la sesión está activa. Si la sesión ya no está activa, el servidor la marca como desconectada.
Nota:
ICA Keep-Alive solo funciona si no está utilizando la Fiabilidad de la sesión. La Fiabilidad de la sesión tiene sus propios mecanismos para evitar que las conexiones rotas se desconecten. Configure ICA Keep-Alive solo para las conexiones que no utilizan la Fiabilidad de la sesión.
La configuración de ICA Keep-Alive anula la configuración de keep-alive que está configurada en la Directiva de grupo de Microsoft Windows.
Habilite y configure ICA Keep-Alive con la siguiente configuración de directiva:
-
Tiempo de espera de ICA keep-alive. Especifica el intervalo (1-3600 segundos) utilizado para enviar mensajes ICA keep-alive. No configure esta opción si desea que su software de supervisión de red cierre las conexiones inactivas en entornos donde las conexiones rotas son tan poco frecuentes que permitir a los usuarios reconectarse a las sesiones no es una preocupación.
El intervalo predeterminado es de 60 segundos: Se envían paquetes ICA Keep-Alive a los dispositivos de usuario cada 60 segundos. Si un dispositivo de usuario no responde en 60 segundos, el estado de las sesiones ICA cambia a desconectado.
-
ICA keep-alive. Envía o evita el envío de mensajes ICA keep-alive.
Control del espacio de trabajo
El control del espacio de trabajo permite que los escritorios y las aplicaciones sigan a un usuario de un dispositivo a otro. Esta capacidad de itinerancia permite a un usuario acceder a todos los escritorios o aplicaciones abiertas desde cualquier lugar simplemente iniciando sesión, sin tener que reiniciar los escritorios o las aplicaciones en cada dispositivo. Por ejemplo, el control del espacio de trabajo puede ayudar a los trabajadores sanitarios de un hospital que necesitan moverse rápidamente entre diferentes estaciones de trabajo y acceder al mismo conjunto de aplicaciones cada vez que inician sesión. Si configura las opciones de control del espacio de trabajo para permitirlo, estos trabajadores pueden desconectarse de varias aplicaciones en un dispositivo cliente y luego volver a conectarse para abrir las mismas aplicaciones en un dispositivo cliente diferente.
El control del espacio de trabajo afecta a las siguientes actividades:
- Inicio de sesión: De forma predeterminada, el control del espacio de trabajo permite a los usuarios volver a conectarse automáticamente a todos los escritorios y aplicaciones en ejecución al iniciar sesión, evitando la necesidad de volver a abrirlos manualmente. A través del control del espacio de trabajo, los usuarios pueden abrir escritorios o aplicaciones desconectados, así como cualquiera que esté activo en otro dispositivo cliente. Al desconectarse de un escritorio o una aplicación, esta permanece en ejecución en el servidor. Si tiene usuarios itinerantes que necesitan mantener algunos escritorios o aplicaciones en ejecución en un dispositivo cliente mientras se vuelven a conectar a un subconjunto de sus escritorios o aplicaciones en otro dispositivo cliente, puede configurar el comportamiento de reconexión de inicio de sesión para abrir solo los escritorios o aplicaciones de los que el usuario se desconectó previamente.
- Reconexión: Después de iniciar sesión en el servidor, los usuarios pueden volver a conectarse a todos sus escritorios o aplicaciones en cualquier momento haciendo clic en Reconnect. De forma predeterminada, Reconnect abre los escritorios o las aplicaciones que están desconectados, además de los que se están ejecutando actualmente en otro dispositivo cliente. Puede configurar Reconnect para que abra solo los escritorios o las aplicaciones de los que el usuario se desconectó previamente.
- Cierre de sesión: Para los usuarios que abren escritorios o aplicaciones a través de StoreFront™, puede configurar el comando Cerrar sesión para cerrar la sesión del usuario en StoreFront y en todas las sesiones activas a la vez, o solo en StoreFront.
- Desconexión: Los usuarios pueden desconectarse de todos los escritorios y aplicaciones en ejecución a la vez, sin necesidad de desconectarse de cada uno individualmente.
El control del espacio de trabajo solo está disponible para los usuarios de Citrix Receiver que acceden a escritorios y aplicaciones a través de una conexión de Citrix StoreFront. De forma predeterminada, el control del espacio de trabajo está inhabilitado para las sesiones de escritorio virtual, pero está habilitado para las aplicaciones alojadas. El uso compartido de sesiones no se produce de forma predeterminada entre los escritorios publicados y las aplicaciones publicadas que se ejecutan dentro de esos escritorios.
Las directivas de usuario, las asignaciones de unidades de cliente y las configuraciones de impresora cambian adecuadamente cuando un usuario se mueve a un nuevo dispositivo cliente. Las directivas y las asignaciones se aplican según el dispositivo cliente en el que el usuario ha iniciado sesión actualmente en la sesión. Por ejemplo, si un trabajador sanitario cierra la sesión de un dispositivo cliente en la sala de emergencias de un hospital y luego inicia sesión en una estación de trabajo en el laboratorio de rayos X del hospital, las directivas, las asignaciones de impresora y las asignaciones de unidades de cliente apropiadas para la sesión en el laboratorio de rayos X entran en vigor al iniciar la sesión.
Puede personalizar qué impresoras aparecen a los usuarios cuando cambian de ubicación. También puede controlar si los usuarios pueden imprimir en impresoras locales, cuánto ancho de banda se consume cuando los usuarios se conectan de forma remota y otros aspectos de sus experiencias de impresión.
Para obtener información sobre cómo habilitar y configurar el control del espacio de trabajo para los usuarios, consulte la documentación de StoreFront.
Itinerancia de sesiones
De forma predeterminada, las sesiones se mueven entre dispositivos cliente con el usuario. Cuando el usuario inicia una sesión y luego se mueve a otro dispositivo, se utiliza la misma sesión y las aplicaciones están disponibles en ambos dispositivos. Las aplicaciones siguen al usuario, independientemente del dispositivo o de si existen sesiones actuales. En muchos casos, las impresoras y otros recursos asignados a la aplicación también siguen al usuario.
Aunque este comportamiento predeterminado ofrece muchas ventajas, puede que no sea ideal en todos los casos. Puede evitar la itinerancia de sesiones utilizando el SDK de PowerShell.
Ejemplo 1: Un profesional médico utiliza dos dispositivos, completando un formulario de seguro en un PC de escritorio y consultando información del paciente en una tableta.
- Si la itinerancia de sesión está habilitada, ambas aplicaciones aparecen en ambos dispositivos (una aplicación iniciada en un dispositivo es visible en todos los dispositivos en uso). Esto podría no cumplir los requisitos de seguridad.
- Si la itinerancia de sesión está deshabilitada, el historial del paciente no aparece en el PC de escritorio y el formulario de seguro no aparece en la tableta.
Ejemplo 2: Un gerente de producción inicia una aplicación en el PC de su oficina. El nombre y la ubicación del dispositivo determinan qué impresoras y otros recursos están disponibles para esa sesión. Más tarde, va a una oficina en el edificio de al lado para una reunión que requerirá el uso de una impresora.
- Si la itinerancia de sesión está habilitada, el gerente de producción probablemente no podría acceder a las impresoras cercanas a la sala de reuniones, porque las aplicaciones que inició anteriormente en su oficina resultaron en la asignación de impresoras y otros recursos cerca de esa ubicación.
- Si la itinerancia de sesión está deshabilitada, cuando inicia sesión en una máquina diferente (usando las mismas credenciales), se inicia una nueva sesión y las impresoras y recursos cercanos estarán disponibles.
Configurar la itinerancia de sesión
Para configurar la itinerancia de sesión, utilice los siguientes cmdlets de reglas de directiva de derechos con la propiedad “SessionReconnection”. Opcionalmente, también puede especificar la propiedad “LeasingBehavior”; consulte Arrendamiento de conexiones e itinerancia de sesión a continuación.
Para sesiones de escritorio:
Set-BrokerEntitlementPolicyRule <Delivery-Group-name> -SessionReconnection <value> -LeasingBehavior Permitido|Denegado
Para sesiones de aplicación:
Set-BrokerAppEntitlementPolicyRule <Delivery-Group-name> -SessionReconnection <value> -LeasingBehavior Permitido|Denegado
Donde <value> puede ser uno de los siguientes:
- Siempre. Las sesiones siempre se itineran, independientemente del dispositivo cliente y de si la sesión está conectada o desconectada. Este es el valor predeterminado.
- Solo desconectadas. Vuelva a conectar solo a las sesiones que ya están desconectadas; de lo contrario, inicie una nueva sesión. (Las sesiones pueden itinerar entre dispositivos cliente desconectándolas primero o usando Workspace Control para itinerarlas explícitamente). Nunca se utiliza una sesión activa conectada desde otro dispositivo cliente; en su lugar, se inicia una nueva sesión.
- Solo el mismo punto final. Un usuario obtiene una sesión única para cada dispositivo cliente que utiliza. Esto deshabilita completamente la itinerancia. Los usuarios solo pueden volver a conectarse al mismo dispositivo que se utilizó anteriormente en la sesión.
La propiedad “LeasingBehavior” se describe a continuación.
Efectos de otras configuraciones
La deshabilitación de la itinerancia de sesiones se ve afectada por el límite de aplicación “Permitir solo una instancia de la aplicación por usuario” en las propiedades de la aplicación en el grupo de entrega.
- Si inhabilita la itinerancia de sesiones, inhabilite el límite de aplicación “Permitir solo una instancia…”.
- Si habilita el límite de aplicación “Permitir solo una instancia…”, no configure ninguno de los dos valores que permiten nuevas sesiones en nuevos dispositivos.
Arrendamiento de conexiones e itinerancia de sesiones
Si no está familiarizado con el arrendamiento de conexiones, consulte el artículo Arrendamiento de conexiones.
Cuando un Controller entra en modo de conexión arrendada, la reconexión de la sesión vuelve a su valor predeterminado, reconectando al usuario a solo una de las sesiones activas o desconectadas para el escritorio o la aplicación.
Para mayor seguridad, si configuró un valor de itinerancia de sesión no predeterminado y tiene varios usuarios que comparten las mismas credenciales de inicio de sesión en varios dispositivos, considere la posibilidad de deshabilitar la función de arrendamiento de conexiones para el grupo de entrega que incluye esa cuenta de usuario.
¿Por qué? En este escenario, una sesión se comparte entre todos los dispositivos. Esto podría ser indeseable si, por ejemplo, una persona tiene información confidencial mostrada que no debe ser vista por otra persona que se reconecta con las mismas credenciales mientras el Controller está en modo de conexión arrendada.
La deshabilitación del arrendamiento de conexiones en la política de derechos elimina esta posibilidad: un usuario no podrá ver la sesión de otro usuario con el mismo inicio de sesión, incluso cuando el Controller esté en modo de conexión arrendada. Otras políticas de derechos pueden permanecer como están; las cuentas de usuario individuales pueden usar la funcionalidad de arrendamiento de conexiones a través de derechos separados.
Para deshabilitar el arrendamiento de conexiones en una política de derechos, agregue la propiedad “LeasingBehavior Disallowed” al cmdlet de la política de derechos. Si deshabilita el arrendamiento de conexiones, debe eliminar manualmente cualquier arrendamiento de inicio que ya se haya creado y almacenado en caché para esa política de derechos; de lo contrario, los usuarios aún podrán volver a conectarse durante una interrupción de la base de datos.
Intervalo de inicio de sesión
Si una máquina virtual que contiene un VDA de escritorio se cierra antes de que finalice el proceso de inicio de sesión, puede asignar más tiempo al proceso. El valor predeterminado para la versión 7.6 y posteriores es de 180 segundos (el valor predeterminado para las versiones 7.0-7.5 es de 90 segundos).
En la máquina (o en la imagen maestra utilizada en un Catálogo de máquinas), establezca la siguiente clave de registro:
Clave: HKLM\SOFTWARE\Citrix\PortICA
Valor: AutoLogonTimeout
Tipo: DWORD
Especifique un tiempo decimal en segundos, en el rango 0-3600.
Si cambia una imagen maestra, actualice el catálogo.
Nota:
Esta configuración se aplica solo a las máquinas virtuales con VDA de escritorio (estación de trabajo); Microsoft controla el tiempo de espera de inicio de sesión en las máquinas con VDA de servidor.