Configurações de resiliência da sessão
Manter a atividade da sessão é fundamental para proporcionar a melhor experiência do usuário. A perda de conectividade devido a redes não confiáveis, latência de rede altamente variável e limitações de alcance de dispositivos sem fio pode levar à frustração do usuário. Mover-se rapidamente entre dispositivos e acessar os mesmos aplicativos a cada logon é uma prioridade para muitos trabalhadores móveis, como profissionais de saúde.
Os recursos descritos neste artigo otimizam a confiabilidade das sessões, reduzem inconveniências, tempo de inatividade e perda de produtividade; usando esses recursos, os usuários móveis podem alternar de forma rápida e fácil entre dispositivos.
Confiabilidade da sessão
A Confiabilidade da Sessão mantém as sessões ativas e na tela do usuário quando a conectividade de rede é interrompida. Os usuários continuam a ver o aplicativo que estão usando até que a conectividade de rede seja retomada.
Esse recurso é especialmente útil para usuários móveis com conexões sem fio. Por exemplo, um usuário com uma conexão sem fio entra em um túnel ferroviário e perde momentaneamente a conectividade. Normalmente, a sessão é desconectada e desaparece da tela do usuário, e o usuário precisa se reconectar à sessão desconectada. Com a Confiabilidade da Sessão, a sessão permanece ativa na máquina. Para indicar a perda de conectividade, a tela do usuário congela e o cursor muda para uma ampulheta giratória até que a conectividade seja retomada do outro lado do túnel. O usuário continua a acessar a tela durante a interrupção e pode retomar a interação com o aplicativo quando a conexão de rede é restaurada. A Confiabilidade da Sessão reconecta os usuários sem solicitações de reautenticação.
Os usuários do Citrix Workspace™ app não podem substituir a configuração do Controller.
Você pode usar a Confiabilidade da Sessão com Transport Layer Security (TLS). O TLS criptografa apenas os dados enviados entre o dispositivo do usuário e o Citrix Gateway.
Habilite e configure a Confiabilidade da Sessão com as seguintes configurações de política:
- A configuração de política de conexões de confiabilidade da sessão permite ou impede a confiabilidade da sessão.
- A configuração de política de tempo limite de confiabilidade da sessão tem um padrão de 180 segundos, ou três minutos. Embora você possa estender o tempo que a confiabilidade da sessão mantém uma sessão aberta, esse recurso foi projetado para a conveniência do usuário. Portanto, ele não solicita reautenticação ao usuário. À medida que você estende o tempo em que uma sessão é mantida aberta, aumentam as chances de um usuário se distrair e se afastar do dispositivo do usuário. Essas ações podem potencialmente deixar a sessão acessível a usuários não autorizados.
- As conexões de confiabilidade da sessão de entrada usam a porta 2598, a menos que você altere o número da porta na configuração de política de número da porta de confiabilidade da sessão.
- Para impedir que os usuários se reconectem a sessões interrompidas sem precisar reautenticar, use o recurso Auto Client Reconnect. Você pode configurar a configuração de política de autenticação do Auto Client Reconnect para solicitar que os usuários se reautentiquem ao se reconectarem a sessões interrompidas.
Se você usar a Confiabilidade da Sessão e o Auto Client Reconnect, os dois recursos funcionarão em sequência. A Confiabilidade da Sessão fecha, ou desconecta, a sessão do usuário após o tempo especificado na configuração de política de tempo limite de confiabilidade da sessão. Depois disso, as configurações de política do Auto Client Reconnect entram em vigor, tentando reconectar o usuário à sessão desconectada.
Auto Client Reconnect
Com o recurso Auto Client Reconnect, o Citrix Workspace app pode detectar desconexões não intencionais de sessões ICA® e reconectar usuários às sessões afetadas automaticamente. Quando esse recurso é habilitado no servidor, os usuários não precisam se reconectar manualmente para continuar trabalhando.
Para sessões de aplicativo, o Citrix Workspace app tenta se reconectar à sessão até que haja uma reconexão bem-sucedida ou o usuário cancele as tentativas de reconexão.
Para sessões de desktop, o Citrix Workspace app tenta se reconectar à sessão por um período especificado, a menos que haja uma reconexão bem-sucedida ou o usuário cancele as tentativas de reconexão. Por padrão, esse período é de cinco minutos. Para alterar esse período, edite a seguinte configuração de registro no dispositivo do usuário (onde seconds é o número de segundos após os quais não são feitas mais tentativas de reconectar a sessão).
HKLM\Software\Citrix\ICA Client\TransportReconnectRetryMaxTimeSeconds; DWORD;<seconds>
Habilite e configure o Auto Client Reconnect com as seguintes configurações de política:
- Auto Client Reconnect: Habilita ou desabilita a reconexão automática pelo Citrix Workspace app após uma conexão ter sido interrompida.
- Autenticação do Auto Client Reconnect: Habilita ou desabilita a exigência de autenticação do usuário após a reconexão automática.
- Registro do Auto Client Reconnect: Habilita ou desabilita o registro de eventos de reconexão no log de eventos. O registro é desabilitado por padrão. Quando habilitado, o log do sistema do servidor captura informações sobre eventos de reconexão automática bem-sucedidos e falhos. Cada servidor armazena informações sobre eventos de reconexão em seu próprio log do sistema. O site não fornece um log combinado de eventos de reconexão para todos os servidores.
Nota:
O Auto Client Reconnect sem reautenticação é suportado apenas para autenticação por senha. Se você usar o Federated Authentication Service ou a autenticação por cartão inteligente, o Auto Client Reconnect sem reautenticação não será suportado. Nesses casos, os usuários são redirecionados para a tela de login.
O Auto Client Reconnect incorpora um mecanismo de autenticação baseado em credenciais de usuário criptografadas. Quando um usuário faz logon inicialmente, o servidor criptografa e armazena as credenciais do usuário na memória. O servidor também cria e envia um cookie contendo a chave de criptografia para o Citrix Workspace app. O Citrix Workspace app envia a chave ao servidor para reconexão. O servidor descriptografa as credenciais e as envia ao logon do Windows para autenticação. Quando os cookies expiram, os usuários devem se reautenticar para se reconectar às sessões.
Os cookies não são usados se você habilitar a configuração de autenticação do Auto Client Reconnect. Em vez disso, uma caixa de diálogo é apresentada aos usuários solicitando credenciais quando o Citrix Workspace app tenta se reconectar automaticamente.
Para proteção máxima das credenciais e sessões do usuário, use criptografia para toda a comunicação entre clientes e o site.
Desabilite o Auto Client Reconnect no Citrix Workspace app para Windows usando o arquivo icaclient.adm. Para obter mais informações, consulte a documentação da sua versão do Citrix Workspace app para Windows.
As configurações para conexões também afetam o Auto Client Reconnect:
- Por padrão, o Auto Client Reconnect é habilitado por meio de configurações de política no nível do site, conforme descrito anteriormente. A reautenticação do usuário não é necessária. No entanto, se a conexão ICA TCP de um servidor estiver configurada para redefinir sessões com um link de comunicação interrompido, a reconexão automática não ocorrerá. O Auto Client Reconnect funciona apenas se o servidor desconectar sessões quando houver uma conexão interrompida ou com tempo limite esgotado. Nesse contexto, a conexão ICA TCP refere-se a uma porta virtual do servidor (em vez de uma conexão de rede real) que é usada para sessões em redes TCP/IP.
- Por padrão, a conexão ICA TCP em um servidor é definida para desconectar sessões com conexões interrompidas ou com tempo limite esgotado. As sessões desconectadas permanecem intactas na memória do sistema e estão disponíveis para reconexão pelo Citrix Workspace app.
- A conexão pode ser configurada para redefinir ou desconectar sessões com conexões interrompidas ou com tempo limite esgotado. Quando uma sessão é redefinida, a tentativa de reconexão inicia uma nova sessão. Em vez de restaurar um usuário para o mesmo local no aplicativo em uso, o aplicativo é reiniciado.
- Se o servidor estiver configurado para redefinir sessões, o Auto Client Reconnect criará uma nova sessão. Esse processo exige que os usuários insiram suas credenciais para fazer logon no servidor.
- A reconexão automática pode falhar se o Citrix Workspace app ou o plug-in enviar informações de autenticação incorretas, o que pode ocorrer durante um ataque ou se o servidor determinar que muito tempo decorreu desde que detectou a conexão interrompida.
ICA Keep-Alive
A habilitação do recurso ICA Keep-Alive impede que conexões interrompidas sejam desconectadas. Quando habilitado, se o servidor não detectar atividade, esse recurso impede que os Serviços de Área de Trabalho Remota desconectem essa sessão. Exemplos de nenhuma atividade incluem nenhuma alteração de relógio, nenhum movimento do mouse, nenhuma atualização de tela. O servidor envia pacotes keep-alive a cada poucos segundos para detectar se a sessão está ativa. Se a sessão não estiver mais ativa, o servidor marca a sessão como desconectada.
Importante:
O ICA Keep-Alive funciona apenas se você não estiver usando a Confiabilidade da Sessão. A Confiabilidade da Sessão tem seus próprios mecanismos para impedir que conexões interrompidas sejam desconectadas. Configure o ICA Keep-Alive apenas para conexões que não usam a Confiabilidade da Sessão.
As configurações do ICA Keep-Alive substituem as configurações keep-alive que são configuradas na Política de Grupo do Windows.
Habilite e configure o ICA Keep-Alive com as seguintes configurações de política:
-
Tempo limite do ICA keep-alive: Especifica o intervalo (1-3600 segundos) usado para enviar mensagens ICA keep-alive. Não configure esta opção se você quiser que seu software de monitoramento de rede feche conexões inativas em ambientes onde as conexões interrompidas são tão pouco frequentes que permitir que os usuários se reconectem às sessões não é uma preocupação.
O intervalo padrão é de 60 segundos: pacotes ICA Keep-Alive são enviados aos dispositivos do usuário a cada 60 segundos. Se um dispositivo do usuário não responder em 60 segundos, o status das sessões ICA muda para desconectado.
-
ICA keep-alives: Envia ou impede o envio de mensagens ICA keep-alive.
Controle de workspace
O controle de workspace permite que desktops e aplicativos sigam um usuário de um dispositivo para outro. Essa capacidade de roaming permite que um usuário acesse todos os desktops ou aplicativos abertos de qualquer lugar simplesmente fazendo logon, sem precisar reiniciar os desktops ou aplicativos em cada dispositivo. Por exemplo, o controle de workspace pode ajudar profissionais de saúde em um hospital que precisam se mover rapidamente entre diferentes estações de trabalho e acessar o mesmo conjunto de aplicativos cada vez que fazem logon. Se você configurar as opções de controle de workspace para permitir, esses trabalhadores podem se desconectar de vários aplicativos em um dispositivo cliente e, em seguida, reconectar-se para abrir os mesmos aplicativos em um dispositivo cliente diferente.
O controle de workspace afeta as seguintes atividades:
- Fazer logon: Por padrão, o controle de workspace permite que os usuários se reconectem automaticamente a todos os desktops e aplicativos em execução ao fazer logon, ignorando a necessidade de reabri-los manualmente. Por meio do controle de workspace, os usuários podem abrir desktops ou aplicativos desconectados, além de quaisquer que estejam ativos em outro dispositivo cliente. Desconectar de um desktop ou aplicativo o deixa em execução no servidor. Se você tiver usuários em roaming que precisam manter alguns desktops ou aplicativos em execução em um dispositivo cliente enquanto se reconectam a um subconjunto de seus desktops ou aplicativos em outro dispositivo cliente, você pode configurar o comportamento de reconexão de logon para abrir apenas os desktops ou aplicativos dos quais o usuário se desconectou anteriormente.
- Reconectar: Após fazer logon no servidor, os usuários podem se reconectar a todos os seus desktops ou aplicativos a qualquer momento clicando em “Reconectar”. Por padrão, “Reconectar” abre desktops ou aplicativos que estão desconectados, além de quaisquer que estejam atualmente em execução em outro dispositivo cliente. Você pode configurar “Reconectar” para abrir apenas os desktops ou aplicativos dos quais o usuário se desconectou anteriormente.
- Fazer logoff: Para usuários que abrem desktops ou aplicativos por meio do StoreFront™, você pode configurar o comando “Fazer Logoff” para desconectar o usuário do StoreFront e de todas as sessões ativas, ou somente do StoreFront.
- Desconectar: Os usuários podem se desconectar de todos os desktops e aplicativos em execução de uma vez, sem precisar desconectar de cada um individualmente.
O controle de workspace está disponível apenas para usuários do Citrix Workspace app que acessam desktops e aplicativos por meio de uma conexão StoreFront. Por padrão, o controle de workspace é desabilitado para sessões de desktop virtual, mas é habilitado para aplicativos hospedados. O compartilhamento de sessão não ocorre por padrão entre desktops publicados e quaisquer aplicativos publicados em execução dentro desses desktops.
As políticas de usuário, os mapeamentos de unidade cliente e as configurações de impressora mudam apropriadamente quando um usuário se move para um novo dispositivo cliente. As políticas e os mapeamentos são aplicados de acordo com o dispositivo cliente onde o usuário fez logon na sessão. Por exemplo, um profissional de saúde faz logoff de um dispositivo na sala de emergência e, em seguida, faz logon em uma estação de trabalho no laboratório de raios-X. As políticas, os mapeamentos de impressora e os mapeamentos de unidade cliente apropriados para a sessão no laboratório de raios-X entram em vigor na inicialização da sessão.
Você pode personalizar quais impressoras aparecem para os usuários quando eles mudam de local. Você também pode controlar se os usuários podem imprimir em impressoras locais, quanta largura de banda é consumida quando os usuários se conectam remotamente e outros aspectos de suas experiências de impressão.
Para obter informações sobre como habilitar e configurar o controle de workspace para usuários, consulte a documentação do StoreFront.
Roaming de sessão
Nota:
As informações a seguir o guiam para configurar o roaming de sessão usando o PowerShell. Você pode usar o Web Studio em vez disso. Para obter mais informações, consulte Gerenciar grupos de entrega.
Por padrão, as sessões alternam entre os dispositivos cliente com o usuário. Quando o usuário inicia uma sessão e, em seguida, muda para outro dispositivo, a mesma sessão é usada e os aplicativos estão disponíveis em ambos os dispositivos. Os aplicativos seguem, independentemente do dispositivo ou se existem sessões atuais. Frequentemente, impressoras e outros recursos atribuídos ao aplicativo também seguem.
Embora esse comportamento padrão ofereça muitas vantagens, ele pode não ser ideal em todos os casos. Você pode impedir o roaming de sessão usando o SDK do PowerShell.
Exemplo 1: Um profissional médico está usando dois dispositivos, preenchendo um formulário de seguro em um PC desktop e consultando informações do paciente em um tablet.
- Se o roaming de sessão estiver habilitado, ambos os aplicativos aparecerão em ambos os dispositivos (um aplicativo iniciado em um dispositivo é visível em todos os dispositivos em uso). Isso pode não atender aos requisitos de segurança.
- Se o roaming de sessão estiver desabilitado, o registro do paciente não aparecerá no PC desktop, e o formulário de seguro não aparecerá no tablet.
Exemplo 2: Um gerente de produção inicia um aplicativo no PC em seu escritório. O nome e o local do dispositivo determinam quais impressoras e outros recursos estão disponíveis para essa sessão. Mais tarde no dia, ele vai a um escritório no prédio ao lado para uma reunião que exigirá o uso de uma impressora.
- Quando o roaming de sessão está habilitado, o gerente de produção provavelmente não conseguiria acessar as impressoras perto da sala de reunião, porque os aplicativos que ele iniciou anteriormente em seu escritório resultaram na atribuição de impressoras e outros recursos perto daquele local.
- Quando o roaming de sessão está desabilitado, quando ele faz logon em uma máquina diferente (usando as mesmas credenciais), uma nova sessão é iniciada, e impressoras e recursos próximos estarão disponíveis.
Configurar roaming de sessão
Para configurar o roaming de sessão, use os seguintes cmdlets de regra de política de direito com a propriedade “SessionReconnection”. Opcionalmente, você também pode especificar a propriedade “LeasingBehavior”.
Para sessões de desktop:
Set-BrokerEntitlementPolicyRule <Delivery-Group-name> -SessionReconnection <value> -LeasingBehavior Allowed|Disallowed
Para sessões de aplicativo:
Set-BrokerAppEntitlementPolicyRule <Delivery-Group-name> -SessionReconnection <value> -LeasingBehavior Allowed|Disallowed
Onde value pode ser um dos seguintes:
- Always: As sessões sempre alternam, independentemente do dispositivo cliente e se a sessão está conectada ou desconectada. Este é o valor padrão.
- DisconnectedOnly: Reconectar apenas a sessões que já estão desconectadas; caso contrário, iniciar uma nova sessão. (As sessões podem alternar entre dispositivos cliente primeiro desconectando-os, ou usando o Controle de Workspace para alterná-los explicitamente.) Uma sessão ativa conectada de outro dispositivo cliente nunca é usada. Em vez disso, uma nova sessão é iniciada.
- SameEndpointOnly: Um usuário obtém uma sessão exclusiva para cada dispositivo cliente que usa. Isso desabilita completamente o roaming. Os usuários podem reconectar apenas ao mesmo dispositivo que foi usado anteriormente na sessão.
A propriedade “LeasingBehavior” é descrita abaixo.
Efeitos de outras configurações:
A desabilitação do roaming de sessão é afetada pelo limite de aplicativo “Permitir apenas uma instância do aplicativo por usuário” nas propriedades do aplicativo no grupo de entrega.
- Se você desabilitar o roaming de sessão, desabilite o limite de aplicativo “Permitir apenas uma instância …”.
- Se você habilitar o limite de aplicativo “Permitir apenas uma instância …”, não configure nenhum dos dois valores que permitem novas sessões em novos dispositivos.
Intervalo de logon
Se uma máquina virtual contendo um VDA de desktop fechar antes que o processo de logon seja concluído, você poderá alocar mais tempo ao processo. O padrão para a versão 7.6 e posteriores é de 180 segundos (o padrão para as versões 7.0-7.5 é de 90 segundos).
Na máquina (ou na imagem mestre usada em um catálogo de máquinas), defina a seguinte chave de registro:
Key:HKLM\SOFTWARE\Citrix\PortICA
- Value:
AutoLogonTimeout - Type:
DWORD - Especifique um tempo decimal em segundos, no intervalo de 0 a 3600.
Se você alterar uma imagem mestre, atualize o catálogo.
Essa configuração aplica-se apenas a VMs com VDAs de desktop. A Microsoft controla o tempo limite de logon em máquinas com VDAs de servidor.