Sessões
Manter a atividade da sessão é fundamental para proporcionar a melhor experiência ao usuário. A perda de conectividade devido a redes não confiáveis, latência de rede altamente variável e limitações de alcance de dispositivos sem fio pode levar à frustração do usuário. Mover-se rapidamente entre dispositivos e acessar os mesmos aplicativos a cada logon é uma prioridade para muitos trabalhadores móveis, como profissionais de saúde.
Os recursos descritos neste artigo otimizam a confiabilidade das sessões, reduzem inconvenientes, tempo de inatividade e perda de produtividade; usando esses recursos, os usuários móveis podem alternar de forma rápida e fácil entre dispositivos.
Você também pode desconectar um usuário de uma sessão, desconectar uma sessão e configurar o pré-lançamento e a permanência da sessão; consulte Gerenciar grupos de entrega.
Confiabilidade da sessão
A Confiabilidade da Sessão mantém as sessões ativas e na tela do usuário quando a conectividade de rede é interrompida. Os usuários continuam a ver o aplicativo que estão usando até que a conectividade de rede seja retomada.
Este recurso é especialmente útil para usuários móveis com conexões sem fio. Por exemplo, um usuário com uma conexão sem fio entra em um túnel ferroviário e perde momentaneamente a conectividade. Normalmente, a sessão é desconectada e desaparece da tela do usuário, e ele precisa se reconectar à sessão desconectada. Com a Confiabilidade da Sessão, a sessão permanece ativa na máquina. Para indicar a perda de conectividade, a tela do usuário congela e o cursor muda para uma ampulheta giratória até que a conectividade seja retomada do outro lado do túnel. O usuário continua a acessar a exibição durante a interrupção e pode retomar a interação com o aplicativo quando a conexão de rede é restaurada. A Confiabilidade da Sessão reconecta os usuários sem solicitações de reautenticação.
Os usuários do aplicativo Citrix Workspace™ não podem substituir a configuração do Controller.
Você pode usar a Confiabilidade da Sessão com o Transport Layer Security (TLS). O TLS criptografa apenas os dados enviados entre o dispositivo do usuário e o Citrix Gateway.
Habilite e configure a Confiabilidade da Sessão com as seguintes configurações de política:
- A configuração de política de conexões de confiabilidade da sessão permite ou impede a confiabilidade da sessão.
- A configuração de política de tempo limite de confiabilidade da sessão tem um padrão de 180 segundos, ou três minutos. Embora você possa estender o tempo que a confiabilidade da sessão mantém uma sessão aberta, este recurso foi projetado para a conveniência do usuário. Portanto, ele não solicita ao usuário a reautenticação. À medida que você estende o tempo em que uma sessão é mantida aberta, aumentam as chances de um usuário se distrair e se afastar do dispositivo do usuário. Essas ações podem potencialmente deixar a sessão acessível a usuários não autorizados.
- As conexões de confiabilidade de sessão de entrada usam a porta 2598, a menos que você altere o número da porta na configuração de política de número da porta de confiabilidade da sessão.
- Para evitar que os usuários se reconectem a sessões interrompidas sem precisar se reautenticar, use o recurso Reconexão Automática do Cliente. Você pode configurar a política de autenticação de Reconexão Automática do Cliente para solicitar que os usuários se reautentiquem ao se reconectar a sessões interrompidas.
Se você usar a Confiabilidade da Sessão e a Reconexão Automática do Cliente, os dois recursos funcionarão em sequência. A Confiabilidade da Sessão fecha, ou desconecta, a sessão do usuário após o tempo especificado na configuração de política de tempo limite de confiabilidade da sessão. Depois disso, as configurações de política de Reconexão Automática do Cliente entram em vigor, tentando reconectar o usuário à sessão desconectada.
Reconexão Automática do Cliente
Com o recurso Reconexão Automática do Cliente, o aplicativo Citrix Workspace pode detectar desconexões não intencionais de sessões ICA® e reconectar os usuários às sessões afetadas automaticamente. Quando este recurso está habilitado no servidor, os usuários não precisam se reconectar manualmente para continuar trabalhando.
Para sessões de aplicativo, o aplicativo Citrix Workspace tenta se reconectar à sessão até que haja uma reconexão bem-sucedida ou o usuário cancele as tentativas de reconexão.
Para sessões de desktop, o aplicativo Citrix Workspace tenta se reconectar à sessão por um período especificado, a menos que haja uma reconexão bem-sucedida ou o usuário cancele as tentativas de reconexão. Por padrão, este período é de cinco minutos. Para alterar este período, edite a seguinte configuração de registro no dispositivo do usuário (onde seconds é o número de segundos após os quais não são feitas mais tentativas de reconectar a sessão).
HKLM\Software\Citrix\ICA Client\TransportReconnectRetryMaxTimeSeconds; DWORD;<seconds>
Habilite e configure a Reconexão Automática do Cliente com as seguintes configurações de política:
- Reconexão Automática do Cliente: Habilita ou desabilita a reconexão automática pelo aplicativo Citrix Workspace após uma conexão ter sido interrompida.
- Autenticação de Reconexão Automática do Cliente: Habilita ou desabilita a exigência de autenticação do usuário após a reconexão automática.
- Registro de Reconexão Automática do Cliente: Habilita ou desabilita o registro de eventos de reconexão no log de eventos. O registro é desabilitado por padrão. Quando habilitado, o log do sistema do servidor captura informações sobre eventos de reconexão automática bem-sucedidos e falhos. Cada servidor armazena informações sobre eventos de reconexão em seu próprio log do sistema. O site não fornece um log combinado de eventos de reconexão para todos os servidores.
A Reconexão Automática do Cliente incorpora um mecanismo de autenticação baseado em credenciais de usuário criptografadas. Quando um usuário faz logon inicialmente, o servidor criptografa e armazena as credenciais do usuário na memória. O servidor também cria e envia um cookie contendo a chave de criptografia para o aplicativo Citrix Workspace. O aplicativo Citrix Workspace envia a chave para o servidor para reconexão. O servidor descriptografa as credenciais e as envia para o logon do Windows para autenticação. Quando os cookies expiram, os usuários devem se reautenticar para se reconectar às sessões.
Os cookies não são usados se você habilitar a configuração de autenticação de Reconexão Automática do Cliente. Em vez disso, os usuários são apresentados a uma caixa de diálogo solicitando credenciais quando o aplicativo Citrix Workspace tenta se reconectar automaticamente.
Para proteção máxima das credenciais e sessões do usuário, use criptografia para toda a comunicação entre clientes e o site.
Desabilite a Reconexão Automática do Cliente no aplicativo Citrix Workspace para Windows usando o arquivo icaclient.adm. Para obter mais informações, consulte a documentação da sua versão do aplicativo Citrix Workspace para Windows.
As configurações de conexão também afetam a Reconexão Automática do Cliente:
- Por padrão, a Reconexão Automática do Cliente é habilitada por meio de configurações de política no nível do site, conforme descrito anteriormente. A reautenticação do usuário não é necessária. No entanto, se a conexão ICA TCP de um servidor estiver configurada para redefinir sessões com um link de comunicação interrompido, a reconexão automática não ocorrerá. A Reconexão Automática do Cliente funciona somente se o servidor desconectar as sessões quando houver uma conexão interrompida ou com tempo limite. Neste contexto, a conexão ICA TCP refere-se a uma porta virtual do servidor (em vez de uma conexão de rede real) que é usada para sessões em redes TCP/IP.
- Por padrão, a conexão ICA TCP em um servidor é configurada para desconectar sessões com conexões interrompidas ou com tempo limite. As sessões desconectadas permanecem intactas na memória do sistema e estão disponíveis para reconexão pelo aplicativo Citrix Workspace.
- A conexão pode ser configurada para redefinir ou desconectar sessões com conexões interrompidas ou com tempo limite. Quando uma sessão é redefinida, a tentativa de reconexão inicia uma nova sessão. Em vez de restaurar um usuário para o mesmo local no aplicativo em uso, o aplicativo é reiniciado.
- Se o servidor estiver configurado para redefinir sessões, a Reconexão Automática do Cliente criará uma nova sessão. Este processo exige que os usuários insiram suas credenciais para fazer logon no servidor.
- A reconexão automática pode falhar se o aplicativo Citrix Workspace ou o plug-in enviar informações de autenticação incorretas, o que pode ocorrer durante um ataque ou se o servidor determinar que muito tempo se passou desde que detectou a conexão interrompida.
ICA Keep-Alive
A habilitação do recurso ICA Keep-Alive impede que conexões interrompidas sejam desconectadas. Quando habilitado, se o servidor não detectar atividade, este recurso impede que os Serviços de Área de Trabalho Remota desconectem essa sessão. Exemplos de nenhuma atividade incluem nenhuma alteração de relógio, nenhum movimento do mouse, nenhuma atualização de tela. O servidor envia pacotes keep-alive a cada poucos segundos para detectar se a sessão está ativa. Se a sessão não estiver mais ativa, o servidor a marca como desconectada.
Importante:
O ICA Keep-Alive funciona somente se você não estiver usando a Confiabilidade da Sessão. A Confiabilidade da Sessão tem seus próprios mecanismos para evitar que conexões interrompidas sejam desconectadas. Configure o ICA Keep-Alive apenas para conexões que não usam a Confiabilidade da Sessão.
As configurações do ICA Keep-Alive substituem as configurações de keep-alive configuradas na Política de Grupo do Windows.
Habilite e configure o ICA Keep-Alive com as seguintes configurações de política:
-
Tempo limite do ICA keep alive: Especifica o intervalo (1-3600 segundos) usado para enviar mensagens ICA keep-alive. Não configure esta opção se você quiser que seu software de monitoramento de rede feche conexões inativas em ambientes onde as conexões interrompidas são tão infrequentes que permitir que os usuários se reconectem às sessões não é uma preocupação.
O intervalo padrão é de 60 segundos: pacotes ICA Keep-Alive são enviados para dispositivos de usuário a cada 60 segundos. Se um dispositivo de usuário não responder em 60 segundos, o status das sessões ICA muda para desconectado.
-
ICA keep alives: Envia ou impede o envio de mensagens ICA keep-alive.
Controle de workspace
O controle de workspace permite que desktops e aplicativos sigam um usuário de um dispositivo para outro. Essa capacidade de roaming permite que um usuário acesse todos os desktops ou aplicativos abertos de qualquer lugar simplesmente fazendo logon, sem precisar reiniciar os desktops ou aplicativos em cada dispositivo. Por exemplo, o controle de workspace pode ajudar profissionais de saúde em um hospital que precisam se mover rapidamente entre diferentes estações de trabalho e acessar o mesmo conjunto de aplicativos a cada logon. Se você configurar as opções de controle de workspace para permitir, esses trabalhadores podem se desconectar de vários aplicativos em um dispositivo cliente e, em seguida, se reconectar para abrir os mesmos aplicativos em um dispositivo cliente diferente.
O controle de workspace afeta as seguintes atividades:
- Logon: Por padrão, o controle de workspace permite que os usuários se reconectem automaticamente a todos os desktops e aplicativos em execução ao fazer logon, ignorando a necessidade de reabri-los manualmente. Por meio do controle de workspace, os usuários podem abrir desktops ou aplicativos desconectados, além de quaisquer que estejam ativos em outro dispositivo cliente. Desconectar-se de um desktop ou aplicativo o mantém em execução no servidor. Se você tiver usuários itinerantes que precisam manter alguns desktops ou aplicativos em execução em um dispositivo cliente enquanto se reconectam a um subconjunto de seus desktops ou aplicativos em outro dispositivo cliente, você pode configurar o comportamento de reconexão de logon para abrir apenas os desktops ou aplicativos dos quais o usuário se desconectou anteriormente.
- Reconexão: Após fazer logon no servidor, os usuários podem se reconectar a todos os seus desktops ou aplicativos a qualquer momento clicando em “Reconectar”. Por padrão, “Reconectar” abre desktops ou aplicativos que estão desconectados, além de quaisquer que estejam atualmente em execução em outro dispositivo cliente. Você pode configurar “Reconectar” para abrir apenas os desktops ou aplicativos dos quais o usuário se desconectou anteriormente.
- Logoff: Para usuários que abrem desktops ou aplicativos por meio do StoreFront™, você pode configurar o comando “Logoff” para desconectar o usuário do StoreFront e de todas as sessões ativas, ou apenas do StoreFront.
- Desconexão: Os usuários podem se desconectar de todos os desktops e aplicativos em execução de uma vez, sem precisar se desconectar de cada um individualmente.
O controle de workspace está disponível apenas para usuários do aplicativo Citrix Workspace que acessam desktops e aplicativos por meio de uma conexão Citrix StoreFront. Por padrão, o controle de workspace é desabilitado para sessões de desktop virtual, mas é habilitado para aplicativos hospedados. O compartilhamento de sessão não ocorre por padrão entre desktops publicados e quaisquer aplicativos publicados em execução dentro desses desktops.
As políticas de usuário, os mapeamentos de unidade cliente e as configurações de impressora mudam apropriadamente quando um usuário se move para um novo dispositivo cliente. As políticas e os mapeamentos são aplicados de acordo com o dispositivo cliente onde o usuário está conectado à sessão. Por exemplo, um profissional de saúde faz logoff de um dispositivo na sala de emergência e, em seguida, faz logon em uma estação de trabalho no laboratório de raios-X. As políticas, os mapeamentos de impressora e os mapeamentos de unidade cliente apropriados para a sessão no laboratório de raios-X entram em vigor no início da sessão.
Você pode personalizar quais impressoras aparecem para os usuários quando eles mudam de local. Você também pode controlar se os usuários podem imprimir em impressoras locais, quanta largura de banda é consumida quando os usuários se conectam remotamente e outros aspectos de suas experiências de impressão.
Para obter informações sobre como habilitar e configurar o controle de workspace para usuários, consulte a documentação do StoreFront.
Roaming de sessão
Por padrão, as sessões fazem roaming entre dispositivos cliente com o usuário. Quando o usuário inicia uma sessão e depois se move para outro dispositivo, a mesma sessão é usada e os aplicativos estão disponíveis em ambos os dispositivos. Os aplicativos seguem, independentemente do dispositivo ou se as sessões atuais existem. Frequentemente, impressoras e outros recursos atribuídos ao aplicativo também seguem.
Embora este comportamento padrão ofereça muitas vantagens, pode não ser ideal em todos os casos. Você pode impedir o roaming de sessão usando o PowerShell SDK.
Exemplo 1: Um profissional médico está usando dois dispositivos, preenchendo um formulário de seguro em um PC desktop e consultando informações do paciente em um tablet.
- Se o roaming de sessão estiver habilitado, ambos os aplicativos aparecerão em ambos os dispositivos (um aplicativo iniciado em um dispositivo é visível em todos os dispositivos em uso). Isso pode não atender aos requisitos de segurança.
- Se o roaming de sessão estiver desabilitado, o registro do paciente não aparecerá no PC desktop, e o formulário de seguro não aparecerá no tablet.
Exemplo 2: Um gerente de produção inicia um aplicativo no PC em seu escritório. O nome e a localização do dispositivo determinam quais impressoras e outros recursos estão disponíveis para essa sessão. Mais tarde, ele vai a um escritório no prédio vizinho para uma reunião que exigirá o uso de uma impressora.
- Quando o roaming de sessão está habilitado, o gerente de produção provavelmente não conseguiria acessar as impressoras perto da sala de reunião, porque os aplicativos que ele iniciou anteriormente em seu escritório resultaram na atribuição de impressoras e outros recursos perto daquele local.
- Quando o roaming de sessão está desabilitado, ao fazer logon em uma máquina diferente (usando as mesmas credenciais), uma nova sessão é iniciada, e impressoras e recursos próximos estarão disponíveis.
Configurar o roaming de sessão
Para configurar o roaming de sessão, use os seguintes cmdlets de regra de política de direito com a propriedade “SessionReconnection”. Opcionalmente, você também pode especificar a propriedade “LeasingBehavior”.
Para sessões de desktop:
Set-BrokerEntitlementPolicyRule <Delivery-Group-name> -SessionReconnection <value> -LeasingBehavior Allowed|Disallowed
Para sessões de aplicativo:
Set-BrokerAppEntitlementPolicyRule <Delivery-Group-name> -SessionReconnection <value> -LeasingBehavior Allowed|Disallowed
Onde value pode ser um dos seguintes:
- Always: As sessões sempre fazem roaming, independentemente do dispositivo cliente e se a sessão está conectada ou desconectada. Este é o valor padrão.
- DisconnectedOnly: Reconecta-se apenas a sessões que já estão desconectadas; caso contrário, inicia uma nova sessão. (As sessões podem fazer roaming entre dispositivos cliente primeiro desconectando-as ou usando o Controle de Workspace para fazer o roaming explicitamente.) Uma sessão ativa conectada de outro dispositivo cliente nunca é usada. Em vez disso, uma nova sessão é iniciada.
- SameEndpointOnly: Um usuário obtém uma sessão única para cada dispositivo cliente que usa. Isso desabilita completamente o roaming. Os usuários podem se reconectar apenas ao mesmo dispositivo que foi usado anteriormente na sessão.
A propriedade “LeasingBehavior” é descrita abaixo.
Efeitos de outras configurações:
A desabilitação do roaming de sessão é afetada pelo limite de aplicativo Permitir apenas uma instância do aplicativo por usuário nas propriedades do aplicativo no grupo de entrega.
- Se você desabilitar o roaming de sessão, desabilite o limite de aplicativo “Permitir apenas uma instância…”.
- Se você habilitar o limite de aplicativo “Permitir apenas uma instância…”, não configure nenhum dos dois valores que permitem novas sessões em novos dispositivos.
Intervalo de logon
Se uma máquina virtual contendo um VDA de desktop for fechada antes que o processo de logon seja concluído, você pode alocar mais tempo para o processo. O padrão para as versões 7.6 e posteriores é de 180 segundos (o padrão para 7.0-7.5 é de 90 segundos).
Na máquina (ou na imagem mestre usada em um catálogo de máquinas), defina a seguinte chave de registro:
Chave:HKLM\SOFTWARE\Citrix\PortICA
- Valor:
AutoLogonTimeout - Tipo:
DWORD - Especifique um tempo decimal em segundos, no intervalo de 0 a 3600.
Se você alterar uma imagem mestre, atualize o catálogo.
Esta configuração se aplica apenas a VMs com VDAs de desktop. A Microsoft controla o tempo limite de logon em máquinas com VDAs de servidor.