Documentación de productos
XenApp and XenDesktop
7.15 LTSR
Ver PDF

Seguridad de la capa de transporte (TLS)

May 20, 2026
Contribución de: 
C C

La configuración de un sitio de XenApp o XenDesktop® para usar el protocolo Seguridad de la capa de transporte (TLS) incluye los siguientes procedimientos:

  • Obtenga, instale y registre un certificado de servidor en todos los Delivery Controllers, y configure un puerto con el certificado TLS. Para obtener más información, consulte Instalar certificados de servidor TLS en los Controllers.

    Opcionalmente, puede cambiar los puertos que el Controller utiliza para escuchar el tráfico HTTP y HTTPS.

  • Habilite las conexiones TLS entre los usuarios y los Virtual Delivery Agents (VDA) completando las siguientes tareas:

    Requisitos y consideraciones:

    • La habilitación de conexiones TLS entre usuarios y VDA solo es válida para sitios de XenApp 7.6 y XenDesktop 7.6, además de las versiones posteriores compatibles.
    • Configure TLS en los Delivery Groups y en los VDA después de instalar los componentes, crear un sitio, crear catálogos de máquinas y crear Delivery Groups.
    • Para configurar TLS en los Delivery Groups, debe tener permiso para cambiar las reglas de acceso del Controller; un administrador con todos los permisos tiene este permiso.
    • Para configurar TLS en los VDA, debe ser un administrador de Windows en la máquina donde está instalado el VDA.
    • Si tiene la intención de configurar TLS en VDA que se han actualizado desde versiones anteriores, desinstale cualquier software de retransmisión SSL en esas máquinas antes de actualizarlas.
    • El script de PowerShell configura TLS en VDA estáticos; no configura TLS en VDA agrupados que se aprovisionan mediante Machine Creation Services™ o Provisioning Services, donde la imagen de la máquina se restablece en cada reinicio.

Advertencia:

Para las tareas que incluyen trabajar en el registro de Windows: editar el registro incorrectamente puede causar problemas graves que pueden requerir la reinstalación de su sistema operativo. Citrix® no puede garantizar que los problemas resultantes del uso incorrecto del Editor del Registro puedan resolverse. Utilice el Editor del Registro bajo su propio riesgo. Asegúrese de hacer una copia de seguridad del registro antes de editarlo.

Para obtener información sobre cómo habilitar TLS en la base de datos del sitio, consulte CTX137556.

Nota:

Si tanto TLS como UDT están habilitados en el VDA:

  • Para el acceso directo al VDA, Citrix Receiver™ siempre utiliza TLS sobre TCP (no UDP y UDT).
  • Para el acceso indirecto al VDA mediante NetScaler® Gateway, Citrix Receiver utiliza DTLS sobre UDP para la comunicación con NetScaler Gateway. La comunicación entre NetScaler® Gateway y el VDA utiliza UDP sin DTLS. Se utiliza UDT.

Instalar certificados de servidor TLS en los Controllers

Para HTTPS, el Servicio XML admite las funciones TLS mediante el uso de certificados de servidor, no de cliente. Esta sección describe cómo adquirir e instalar certificados TLS en los Delivery Controllers. Los mismos pasos se pueden aplicar a los Cloud Connectors para cifrar el tráfico STA y XML.

Aunque existen varios tipos diferentes de autoridades de certificación y métodos para solicitar certificados de ellas, este artículo describe la Autoridad de certificación de Microsoft. La Autoridad de certificación de Microsoft debe tener una plantilla de certificado publicada con el propósito de Autenticación de servidor.

Si la Autoridad de certificación de Microsoft está integrada en un dominio de Active Directory o en el bosque de confianza al que están unidos los Delivery Controllers, puede adquirir un certificado desde el asistente de inscripción de certificados del complemento MMC de Certificados.

Solicitar e instalar un certificado

  1. En el Delivery Controller™, abra la consola MMC y agregue el complemento Certificados. Cuando se le solicite, seleccione Cuenta de equipo.

  2. Expanda Personal > Certificados y, a continuación, utilice el comando del menú contextual Todas las tareas > Solicitar nuevo certificado.

    Complemento MMC de Certificados

  3. Haga clic en Siguiente para empezar y en Siguiente para confirmar que está adquiriendo el certificado de la inscripción de Active Directory.

  4. Seleccione la plantilla para el certificado de autenticación de servidor. Si la plantilla se ha configurado para proporcionar automáticamente los valores para el Asunto, puede hacer clic en Inscribir sin proporcionar más detalles.

    Cuadro de diálogo Solicitar certificados(/es-es/xenapp-and-xendesktop/7-15-ltsr/media/tls-request-certificates.png)

  5. Para proporcionar más detalles para la plantilla de certificado, haga clic en el botón de flecha Detalles y configure lo siguiente:

    Nombre del asunto: seleccione Nombre común y agregue el FQDN del Delivery Controller.

    Nombre alternativo: seleccione DNS y agregue el FQDN del Delivery Controller.

    Propiedades del certificado(/es-es/xenapp-and-xendesktop/7-15-ltsr/media/tls-certificate-properties.png)

Configuración del puerto de escucha SSL/TLS

  1. Abra una ventana de comandos de PowerShell como administrador de la máquina.

  2. Ejecute los siguientes comandos para obtener el GUID de la aplicación del servicio Broker:

    New-PSDrive -Name HKCR -PSProvider Registry -Root HKEY_CLASSES_ROOT

$Service_Guid = Get-ChildItem HKCR:\Installer\Products -Recurse -Ea 0 | Where-Object { $key = $_; $_.GetValueNames() | ForEach-Object { $key.GetValue($_) } | Where-Object { $_ -like 'Citrix Broker Service' } } | Select-Object Name

$Service_Guid.Name -match "[A-Z0-9]*$"

$Guid = $Matches[0]

[GUID]$Formatted_Guid = $Guid

Remove-PSDrive -Name HKCR

Write-Host "Broker Service Application GUID: $($Formatted_Guid)" -ForegroundColor Yellow
<!--NeedCopy-->

  3. Ejecute los siguientes comandos en la misma ventana de PowerShell para obtener la huella digital del certificado que instaló anteriormente:

    $HostName = ([System.Net.Dns]::GetHostByName(($env:computerName))).Hostname

$Thumbprint = (Get-ChildItem -Path Cert:\LocalMachine\My | Where-Object {$_.Subject -match ("CN=" + $HostName)}).Thumbprint -join ';'

Write-Host -Object "Certificate Thumbprint for $($HostName): $($Thumbprint)" -Foreground Yellow
<!--NeedCopy-->

  4. Ejecute los siguientes comandos en la misma ventana de PowerShell para configurar el puerto SSL/TLS del servicio Broker y usar el certificado para el cifrado:

    $IPV4_Address = Test-Connection -ComputerName $HostName -Count 1  | Select-Object -ExpandProperty IPV4Address

$IPPort = "$($IPV4_Address):443"

$SSLxml = "http add sslcert ipport=$IPPort certhash=$Thumbprint appid={$Formatted_Guid}"

$SSLxml | netsh

. netsh http show sslcert
<!--NeedCopy-->

Cuando se configura correctamente, la salida del último comando .netsh http show sslcert muestra que el oyente está utilizando el IP:port correcto, y que Application ID coincide con el GUID de la aplicación del servicio Broker.

Siempre que los servidores confíen en el certificado instalado en los Delivery Controllers, ahora puede configurar los Delivery Controllers de StoreFront™ y los enlaces STA de Citrix Gateway para usar HTTPS en lugar de HTTP.

La lista de orden de conjuntos de cifrado debe incluir los conjuntos de cifrado TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384 o TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 (o ambos). Estos conjuntos de cifrado deben preceder a cualquier conjunto de cifrado TLS_DHE_.

Nota:

Windows Server 2012 no es compatible con los conjuntos de cifrado GCM TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 o TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256.

  1. Con el Editor de directivas de grupo de Microsoft, vaya a Configuración del equipo > Plantillas administrativas > Red > Configuración de SSL.
  2. Edite la directiva Orden de conjuntos de cifrado SSL. De forma predeterminada, esta directiva está establecida en No configurada. Establezca esta directiva en Habilitada.
  3. Organice los conjuntos en el orden correcto; elimine los conjuntos de cifrado que no desee utilizar.

Asegúrese de que TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384 o TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256 preceda a cualquier conjunto de cifrado TLS_DHE_.

En Microsoft MSDN, consulte también Prioritizing Schannel Cipher Suites.

Cambiar puertos HTTP o HTTPS

De forma predeterminada, el servicio XML del Controller escucha en el puerto 80 para el tráfico HTTP y en el puerto 443 para el tráfico HTTPS. Aunque puede usar puertos no predeterminados, tenga en cuenta los riesgos de seguridad de exponer un Controller a redes que no son de confianza. Es preferible implementar un servidor StoreFront independiente a cambiar los valores predeterminados.

Para cambiar los puertos HTTP o HTTPS predeterminados utilizados por el Controller, ejecute el siguiente comando desde Studio:

BrokerService.exe -WIPORT http-port -WISSLPORT https-port

donde http-port es el número de puerto para el tráfico HTTP y https-port es el número de puerto para el tráfico HTTPS.

Después de cambiar un puerto, Studio podría mostrar un mensaje sobre la compatibilidad de licencias y la actualización. Para resolver el problema, vuelva a registrar las instancias de servicio mediante la siguiente secuencia de cmdlets de PowerShell:

Get-ConfigRegisteredServiceInstance -ServiceType Broker -Binding XML_HTTPS |

Unregister-ConfigRegisteredServiceInstance

Get-BrokerServiceInstance | donde Binding -eq “XML_HTTPS” | Register-ConfigServiceInstance

Aplicar solo tráfico HTTPS

Si quiere que el servicio XML ignore el tráfico HTTP, cree la siguiente configuración de registro en HKLM\Software\Citrix\DesktopServer\ en el Controller y, a continuación, reinicie el servicio Broker.

Para ignorar el tráfico HTTP, cree el valor DWORD XmlServicesEnableNonSsl y establézcalo en 0.

Existe un valor DWORD de registro correspondiente que puede crear para ignorar el tráfico HTTPS: DWORD XmlServicesEnableSsl. Asegúrese de que no esté establecido en 0.

Configuración de TLS en VDA

Un grupo de entrega no puede tener una combinación de algunos VDA con TLS configurado y otros VDA sin TLS configurado. Cuando configure TLS para un grupo de entrega, ya debería haber configurado TLS para todos los VDA de ese grupo de entrega.

Cuando se configura TLS en los VDA, se cambian los permisos del certificado TLS instalado, lo que otorga al servicio ICA® acceso de lectura a la clave privada del certificado e informa al servicio ICA de lo siguiente:

  • Qué certificado del almacén de certificados se debe usar para TLS.
  • Qué número de puerto TCP se debe usar para las conexiones TLS.

El Firewall de Windows (si está habilitado) debe configurarse para permitir la conexión entrante en este puerto TCP. Esta configuración se realiza automáticamente al usar el script de PowerShell.

  • Qué versiones del protocolo TLS se deben permitir.

Importante

Citrix recomienda revisar el uso de SSLv3 y reconfigurar las implementaciones para eliminar la compatibilidad con SSLv3 cuando sea apropiado. Consulte CTX200238.

Las versiones de protocolo TLS compatibles siguen una jerarquía (de la más baja a la más alta): SSL 3.0, TLS 1.0, TLS 1.1 y TLS 1.2. Se especifica la versión mínima permitida. Se permiten todas las conexiones de protocolo que utilicen esa versión o una versión superior.

Por ejemplo, si especifica TLS 1.1 como versión mínima, se permiten las conexiones de protocolo TLS 1.1 y TLS 1.2. Si especifica SSL 3.0 como versión mínima, se permiten las conexiones para todas las versiones compatibles. Si especifica TLS 1.2 como versión mínima, solo se permiten las conexiones TLS 1.2.

  • Qué conjuntos de cifrado TLS permitir.

Un conjunto de cifrado selecciona el cifrado que se utilizará para una conexión. Los clientes y los VDA pueden admitir diferentes conjuntos de cifrado. Cuando un cliente (Citrix Receiver o StoreFront) se conecta y envía una lista de conjuntos de cifrado TLS admitidos, el VDA compara uno de los conjuntos de cifrado del cliente con uno de los conjuntos de cifrado de su propia lista de conjuntos de cifrado configurados y acepta la conexión. Si no hay ningún conjunto de cifrado coincidente, el VDA rechaza la conexión.

El VDA admite tres conjuntos de cifrado (también conocidos como modos de cumplimiento): GOV(ernment), COM(mercial) y ALL. Los conjuntos de cifrado aceptables también dependen del modo FIPS de Windows; consulte https://support.microsoft.com/kb/811833 para obtener información sobre el modo FIPS de Windows. La siguiente tabla enumera los conjuntos de cifrado de cada conjunto:

Conjunto de cifrado TLS GOV COM ALL GOV COM ALL
Modo FIPS Desactivado Desactivado Desactivado Activado Activado Activado
TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 x   x x   x
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384 x   x x   x
TLS_RSA_WITH_AES_256_GCM_SHA384 x   x x   x
TLS_RSA_WITH_AES_128_GCM_SHA256 x x x x x x
TLS_RSA_WITH_AES_256_CBC_SHA256 x   x x   x
TLS_RSA_WITH_AES_256_CBC_SHA x   x x   x
TLS_RSA_WITH_AES_128_CBC_SHA   x x   x x
TLS_RSA_WITH_RC4_128_SHA   x x      
TLS_RSA_WITH_RC4_128_MD5   x x      
TLS_RSA_WITH_3DES_EDE_CBC_SHA x   x x   x

Importante:

Es necesario un paso adicional cuando el VDA está en Windows Server 2012 R2, Windows Server 2016, Windows 10 Anniversary Edition o una versión posterior compatible. Esto afecta a las conexiones desde Citrix Receiver para Windows (versión 4.6 a 4.9), Citrix Receiver para HTML5 y Citrix Receiver para Chrome. Esto también incluye las conexiones a través de NetScaler Gateway.

Este paso también es necesario para todas las conexiones que utilizan NetScaler Gateway, para todas las versiones de VDA, si TLS está configurado entre NetScaler Gateway y el VDA. Esto afecta a todas las versiones de Citrix Receiver.

En el VDA (Windows Server 2016 o Windows 10 Anniversary Edition o posterior), con el Editor de directivas de grupo, vaya a Configuración del equipo > Plantillas administrativas > Red > Configuración de SSL > Orden de conjuntos de cifrado SSL. Seleccione el siguiente orden:

  • TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384_P384
  • TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384_P256
  • TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384_P384
  • TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384_P256
  • TLS_RSA_WITH_AES_256_GCM_SHA384
  • TLS_RSA_WITH_AES_128_GCM_SHA256
  • TLS_RSA_WITH_AES_256_CBC_SHA256
  • TLS_RSA_WITH_AES_256_CBC_SHA
  • TLS_RSA_WITH_AES_128_CBC_SHA
  • TLS_RSA_WITH_RC4_128_SHA
  • TLS_RSA_WITH_3DES_EDE_CBC_SHA

Nota:

Los primeros cuatro elementos también especifican la curva elíptica, P384 o P256. Asegúrese de que no se seleccione “curve25519”. El modo FIPS no impide el uso de “curve25519”.

Cuando se configura esta opción de Directiva de grupo, el VDA selecciona un conjunto de cifrado solo si aparece en ambas listas: la lista de Directiva de grupo y la lista del modo de cumplimiento seleccionado (COM, GOV o ALL). El conjunto de cifrado también debe aparecer en la lista enviada por el cliente (Citrix Receiver o StoreFront).

Esta configuración de Directiva de grupo también afecta a otras aplicaciones y servicios TLS en el VDA. Si sus aplicaciones requieren conjuntos de cifrado específicos, es posible que deba agregarlos a esta lista de Directiva de grupo.

Importante:

Aunque los cambios de Directiva de grupo se muestran cuando se aplican, los cambios de Directiva de grupo para la configuración de TLS solo surten efecto después de reiniciar el sistema operativo. Por lo tanto, para los escritorios agrupados, aplique los cambios de Directiva de grupo para la configuración de TLS a la imagen base.

Configurar TLS en un VDA mediante el script de PowerShell

El script Enable-VdaSSL.ps1 habilita o deshabilita el agente de escucha TLS en un VDA. Este script está disponible en la carpeta Support >Tools > SslSupport del medio de instalación.

Cuando se habilita TLS, el script deshabilita todas las reglas existentes del Firewall de Windows para el puerto TCP especificado antes de agregar una nueva regla que permite al servicio ICA aceptar conexiones entrantes solo en el puerto TCP TLS. También deshabilita las reglas del Firewall de Windows para:

  • Citrix ICA (predeterminado: 1494)
  • Citrix CGP (predeterminado: 2598)
  • Citrix WebSocket (predeterminado: 8008)

El efecto es que los usuarios solo pueden conectarse mediante TLS; no pueden usar ICA/HDX, ICA/HDX con fiabilidad de sesión o HDX a través de WebSocket sin TLS.

Consulte (/es-es/xenapp-and-xendesktop/current-release/technical-overview/default-network-ports.html).

Nota:

Para máquinas sin estado, como destinos PVS o clones MCS, se utiliza un certificado FQDN de forma predeterminada.

El script contiene las siguientes descripciones de sintaxis, además de ejemplos adicionales; puede usar una herramienta como Notepad++ para revisar esta información.

Importante:

Especifique el parámetro Enable o Disable, y el parámetro CertificateThumbPrint. Los demás parámetros son opcionales.

Sintaxis 

Enable-VdaSSL {-Enable | -Disable} -CertificateThumbPrint "<thumbprint>"
[–SSLPort <port>] [-SSLMinVersion "<min-ssl-version>"] [-SSLCipherSuite"<suite>"]
<!--NeedCopy-->
Parámetro Descripción
Habilitar Instala y habilita el agente de escucha TLS en el VDA. Este parámetro o el parámetro Disable son obligatorios.
Deshabilitar Deshabilita el agente de escucha TLS en el VDA. Se requiere este parámetro o el parámetro Enable. Si especifica este parámetro, ningún otro parámetro es válido.
Huella digital del certificado “" Huella digital del certificado TLS en el almacén de certificados, entre comillas. El script utiliza la huella digital especificada para seleccionar el certificado que desea utilizar. Si se omite este parámetro, se selecciona un certificado incorrecto.
Puerto SSL Puerto TLS. Predeterminado: 443
Versión mínima de SSL “" Versión mínima del protocolo TLS, entre comillas. Valores válidos: “SSL_3.0”, “TLS_1.0” (predeterminado), “TLS_1.1” y “TLS_1.2”. Importante: Citrix recomienda a los clientes que revisen su uso de SSLv3 y tomen medidas para reconfigurar sus implementaciones a fin de eliminar la compatibilidad con SSLv3 cuando sea apropiado. Consulte CTX200238.
Conjunto de cifrado SSL “" Conjunto de cifrado TLS, entre comillas. Valores válidos: “GOV”, “COM” y “ALL” (predeterminado)

Ejemplos

El siguiente script instala y habilita el valor de la versión del protocolo TLS 1.2. La huella digital (representada como “12345678987654321” en este ejemplo) se utiliza para seleccionar el certificado que se va a usar.

Enable-VdaSSL –Enable -CertificateThumbPrint "12345678987654321"

El siguiente script instala y habilita el agente de escucha TLS, y especifica el puerto TLS 400, el conjunto de cifrado GOV y un valor de protocolo TLS 1.2 mínimo. La huella digital (representada como “12345678987654321” en este ejemplo) se utiliza para seleccionar el certificado que se va a usar.

Enable-VdaSSL –Enable -CertificateThumbPrint "12345678987654321" –SSLPort 400 -SSLMinVersion "TLS_1.2" –SSLCipherSuite "All"

El siguiente script deshabilita el agente de escucha TLS en el VDA.

Enable-VdaSSL –Disable

Configurar TLS manualmente en un VDA

Al configurar TLS en un VDA manualmente, se concede acceso de lectura genérico a la clave privada del certificado TLS para el servicio adecuado en cada VDA: NT SERVICE\PorticaService para un VDA para SO de escritorio Windows, o NT SERVICE\TermService para un VDA para SO de servidor Windows. En la máquina donde está instalado el VDA:

  1. Inicie la Consola de administración de Microsoft (MMC): Inicio > Ejecutar > mmc.exe.

  2. Agregue el complemento Certificados a la MMC:

    1. Seleccione Archivo > Agregar o quitar complemento.
    2. Seleccione Certificados y, a continuación, haga clic en Agregar.
    3. Cuando se le pregunte Este complemento siempre administrará los certificados para:, elija Cuenta de equipo y, a continuación, haga clic en Siguiente.
    4. Cuando se le pregunte Seleccione el equipo que desea que administre este complemento, elija Equipo local y, a continuación, haga clic en Finalizar.

  3. En Certificados (equipo local) > Personal > Certificados, haga clic con el botón secundario en el certificado y, a continuación, seleccione Todas las tareas > Administrar claves privadas.

  4. El Editor de la lista de control de acceso muestra “Permisos para claves privadas de (FriendlyName)”, donde (FriendlyName) es el nombre de su certificado TLS. Agregue uno de los siguientes servicios y concédale acceso de lectura:

    • Para un VDA para SO de escritorio Windows, “PORTICASERVICE”
    • Para un VDA para SO de servidor Windows, “TERMSERVICE”

  5. Haga doble clic en el certificado TLS instalado. En el cuadro de diálogo del certificado, seleccione la ficha Detalles y, a continuación, desplácese hasta la parte inferior. Haga clic en Huella digital.

  6. Ejecute regedit y vaya a HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\icawd.

    1. Edite la clave SSL Thumbprint y copie el valor de la huella digital del certificado TLS en este valor binario. Puede ignorar sin problemas los elementos desconocidos en el cuadro de diálogo Editar valor binario (como ‘0000’ y los caracteres especiales).
    2. Edite la clave SSLEnabled y cambie el valor DWORD a 1. (Para deshabilitar SSL más tarde, cambie el valor DWORD a 0).

    3. Si quiere cambiar la configuración predeterminada (opcional), utilice lo siguiente en la misma ruta del Registro:

      SSLPort DWORD – Número de puerto SSL. Predeterminado: 443.

      SSLMinVersion DWORD – 1 = SSL 3.0, 2 = TLS 1.0, 3 = TLS 1.1, 4 = TLS 1.2. Predeterminado: 2 (TLS 1.0).

      SSLCipherSuite DWORD – 1 = GOV, 2 = COM, 3 = ALL. Predeterminado: 3 (ALL).

  7. Asegúrese de que el puerto TCP de TLS esté abierto en el Firewall de Windows si no es el predeterminado 443. (Al crear la regla de entrada en el Firewall de Windows, asegúrese de que sus propiedades tengan seleccionadas las entradas Permitir la conexión y Habilitado).

  8. Asegúrese de que ninguna otra aplicación o servicio (como IIS) esté utilizando el puerto TCP de TLS.

  9. Para los VDA para SO de Windows Server, reinicie la máquina para que los cambios surtan efecto. (No es necesario reiniciar las máquinas que contienen VDA para SO de Windows Desktop).

Configurar TLS en grupos de entrega

Complete este procedimiento para cada grupo de entrega que contenga VDA que haya configurado para conexiones TLS.

  1. Desde Studio, abra la consola de PowerShell.
  2. Ejecute asnp Citrix.* para cargar los cmdlets del producto Citrix.
  3. Ejecute Get-BrokerAccessPolicyRule -DesktopGroupName 'delivery-group-name' | Set-BrokerAccessPolicyRule -HdxSslEnabled $true.
  4. Ejecute Set-BrokerSite -DnsResolutionEnabled $true.

Solución de problemas

Si se produce un error de conexión, compruebe el registro de eventos del sistema del VDA.

Al usar Citrix Receiver para Windows, si recibe un error de conexión (como 1030) que indica un error de TLS, inhabilite Desktop Viewer e intente conectarse de nuevo. Aunque la conexión seguirá fallando, es posible que se proporcione una explicación del problema de TLS subyacente. Por ejemplo, especificó una plantilla incorrecta al solicitar un certificado a la autoridad de certificación.

Comunicación entre Controller y VDA

La comunicación entre el Controller y el VDA está protegida por la protección a nivel de mensaje de Windows Communication Framework (WCF). No se requiere protección adicional a nivel de transporte mediante TLS. La configuración de WCF utiliza Kerberos para la autenticación mutua entre el Controller y el VDA. El cifrado utiliza AES en modo CBC con una clave de 256 bits. La integridad del mensaje utiliza SHA-1.

Según Microsoft, los protocolos de seguridad utilizados por WCF cumplen con los estándares de OASIS (Organization for the Advancement of Structured Information Standards), incluido WS-SecurityPolicy 1.2. Además, Microsoft afirma que WCF admite todas las suites de algoritmos enumeradas en Security Policy 1.2.

La comunicación entre el Controller y el VDA utiliza la suite de algoritmos basic256, cuyos algoritmos son los indicados anteriormente.

TLS y redirección de vídeo HTML5

Puede usar la redirección de vídeo HTML5 para redirigir sitios web HTTPS. El JavaScript inyectado en esos sitios web debe establecer una conexión TLS con el servicio de redirección de vídeo HTML5 de Citrix HDX™ que se ejecuta en el VDA. Para lograr esto, el servicio de redirección de vídeo HTML5 genera dos certificados personalizados en el almacén de certificados del VDA. Al detener el servicio, se eliminan los certificados.

La directiva de redirección de vídeo HTML5 está inhabilitada de forma predeterminada.

Para obtener más información sobre la redirección de vídeo HTML5, consulte Configuración de directivas de multimedia.

Seguridad de la capa de transporte (TLS)
May 20, 2026
Contribución de: 
C C
May 20, 2026
Contribución de: 
C C

En este artículo

Comentarios sobre el sitio | Your privacy choices footer linkSus opciones de privacidad | Condiciones legales y de privacidad | Preferencias de cookies | Parámetros de consentimiento | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.