Configurações de resiliência da sessão
Manter a atividade da sessão é fundamental para proporcionar a melhor experiência ao usuário. A perda de conectividade devido a redes não confiáveis, latência de rede altamente variável e limitações de alcance de dispositivos sem fio pode levar à frustração da pessoa usuária. Mover-se rapidamente entre dispositivos e acessar os mesmos aplicativos a cada logon é uma prioridade para muitos trabalhadores móveis, como profissionais de saúde.
Os recursos descritos neste artigo otimizam a confiabilidade das sessões, reduzem inconvenientes, tempo de inatividade e perda de produtividade; usando esses recursos, usuários móveis podem alternar de forma rápida e fácil entre dispositivos.
Confiabilidade da sessão
A Confiabilidade da Sessão (Session Reliability) mantém as sessões ativas e na tela da pessoa usuária quando a conectividade de rede é interrompida. As pessoas usuárias continuam a ver o aplicativo que estão usando até que a conectividade de rede seja retomada.
Este recurso é especialmente útil para usuários móveis com conexões sem fio. Por exemplo, uma pessoa usuária com uma conexão sem fio entra em um túnel ferroviário e perde momentaneamente a conectividade. Normalmente, a sessão é desconectada e desaparece da tela da pessoa usuária, e ela precisa se reconectar à sessão desconectada. Com a Confiabilidade da Sessão, a sessão permanece ativa na máquina. Para indicar a perda de conectividade, a tela da pessoa usuária congela e o cursor muda para uma ampulheta giratória até que a conectividade seja retomada do outro lado do túnel. A pessoa usuária continua a acessar a exibição durante a interrupção e pode retomar a interação com o aplicativo quando a conexão de rede é restaurada. A Confiabilidade da Sessão reconecta as pessoas usuárias sem solicitações de reautenticação.
As pessoas usuárias do aplicativo Citrix Workspace™ não podem substituir a configuração do Controller.
Você pode usar a Confiabilidade da Sessão com o Transport Layer Security (TLS). O TLS criptografa apenas os dados enviados entre o dispositivo da pessoa usuária e o Citrix Gateway.
Habilite e configure a Confiabilidade da Sessão com as seguintes configurações de política:
- A configuração de política “Conexões de confiabilidade da sessão” (Session reliability connections) permite ou impede a confiabilidade da sessão.
- A configuração de política “Tempo limite de confiabilidade da sessão” (Session reliability timeout) tem um padrão de 180 segundos, ou três minutos. Embora você possa estender o tempo que a confiabilidade da sessão mantém uma sessão aberta, este recurso foi projetado para a conveniência da pessoa usuária. Portanto, ele não solicita reautenticação. À medida que você estende o tempo em que uma sessão é mantida aberta, aumentam as chances de uma pessoa usuária se distrair e se afastar do dispositivo. Essas ações podem potencialmente deixar a sessão acessível a usuários não autorizados.
- As conexões de confiabilidade de sessão de entrada usam a porta 2598, a menos que você altere o número da porta na configuração de política “Número da porta de confiabilidade da sessão” (Session reliability port number).
- Para evitar que as pessoas usuárias se reconectem a sessões interrompidas sem precisar reautenticar, use o recurso “Reconexão Automática do Cliente” (Auto Client Reconnect). Você pode configurar a configuração de política “Autenticação de Reconexão Automática do Cliente” (Auto Client Reconnect authentication) para solicitar que as pessoas usuárias se reautentiquem ao se reconectar a sessões interrompidas.
Se você usar a Confiabilidade da Sessão e a Reconexão Automática do Cliente, os dois recursos funcionarão em sequência. A Confiabilidade da Sessão fecha, ou desconecta, a sessão da pessoa usuária após o tempo especificado na configuração de política “Tempo limite de confiabilidade da sessão”. Depois disso, as configurações de política de Reconexão Automática do Cliente entram em vigor, tentando reconectar a pessoa usuária à sessão desconectada.
Reconexão Automática do Cliente
Com o recurso “Reconexão Automática do Cliente” (Auto Client Reconnect), o aplicativo Citrix Workspace pode detectar desconexões não intencionais de sessões ICA® e reconectar as pessoas usuárias às sessões afetadas automaticamente. Quando este recurso está habilitado no servidor, as pessoas usuárias não precisam se reconectar manualmente para continuar trabalhando.
Para sessões de aplicativo, o aplicativo Citrix Workspace tenta se reconectar à sessão até que haja uma reconexão bem-sucedida ou a pessoa usuária cancele as tentativas de reconexão.
Para sessões de desktop, o aplicativo Citrix Workspace tenta se reconectar à sessão por um período especificado, a menos que haja uma reconexão bem-sucedida ou a pessoa usuária cancele as tentativas de reconexão. Por padrão, este período é de cinco minutos. Para alterar este período, edite a seguinte configuração de registro no dispositivo da pessoa usuária (onde seconds é o número de segundos após os quais não são feitas mais tentativas de reconectar a sessão).
HKLM\Software\Citrix\ICA Client\TransportReconnectRetryMaxTimeSeconds; DWORD;<seconds>
Habilite e configure a Reconexão Automática do Cliente com as seguintes configurações de política:
- Reconexão Automática do Cliente: Habilita ou desabilita a reconexão automática pelo aplicativo Citrix Workspace após uma conexão ter sido interrompida.
- Autenticação de Reconexão Automática do Cliente: Habilita ou desabilita a exigência de autenticação da pessoa usuária após a reconexão automática.
- Registro de Reconexão Automática do Cliente: Habilita ou desabilita o registro de eventos de reconexão no log de eventos. O registro é desabilitado por padrão. Quando habilitado, o log do sistema do servidor captura informações sobre eventos de reconexão automática bem-sucedidos e falhos. Cada servidor armazena informações sobre eventos de reconexão em seu próprio log do sistema. O site não fornece um log combinado de eventos de reconexão para todos os servidores.
Nota:
A Reconexão Automática do Cliente sem reautenticação é suportada apenas para autenticação por senha. Se você usar o Federated Authentication Service ou a autenticação por cartão inteligente, a Reconexão Automática do Cliente sem reautenticação não é suportada. Nesses casos, as pessoas usuárias são redirecionadas para a tela de logon.
A Reconexão Automática do Cliente incorpora um mecanismo de autenticação baseado em credenciais de pessoa usuária criptografadas. Quando uma pessoa usuária faz logon inicialmente, o servidor criptografa e armazena as credenciais da pessoa usuária na memória. O servidor também cria e envia um cookie contendo a chave de criptografia para o aplicativo Citrix Workspace. O aplicativo Citrix Workspace envia a chave ao servidor para reconexão. O servidor descriptografa as credenciais e as envia ao logon do Windows para autenticação. Quando os cookies expiram, as pessoas usuárias devem se reautenticar para se reconectar às sessões.
Os cookies não são usados se você habilitar a configuração de autenticação de Reconexão Automática do Cliente. Em vez disso, as pessoas usuárias são apresentadas a uma caixa de diálogo solicitando credenciais quando o aplicativo Citrix Workspace tenta se reconectar automaticamente.
Para proteção máxima das credenciais e sessões da pessoa usuária, use criptografia para toda a comunicação entre clientes e o site.
Desabilite a Reconexão Automática do Cliente no aplicativo Citrix Workspace para Windows usando o arquivo icaclient.adm. Para obter mais informações, consulte a documentação da sua versão do aplicativo Citrix Workspace para Windows.
As configurações para conexões também afetam a Reconexão Automática do Cliente:
- Por padrão, a Reconexão Automática do Cliente é habilitada por meio de configurações de política no nível do site, conforme descrito anteriormente. A reautenticação da pessoa usuária não é necessária. No entanto, se a conexão ICA TCP de um servidor estiver configurada para redefinir sessões com um link de comunicação interrompido, a reconexão automática não ocorrerá. A Reconexão Automática do Cliente funciona apenas se o servidor desconectar as sessões quando houver uma conexão interrompida ou com tempo limite esgotado. Neste contexto, a conexão ICA TCP refere-se a uma porta virtual do servidor (em vez de uma conexão de rede real) que é usada para sessões em redes TCP/IP.
- Por padrão, a conexão ICA TCP em um servidor é configurada para desconectar sessões com conexões interrompidas ou com tempo limite esgotado. As sessões desconectadas permanecem intactas na memória do sistema e estão disponíveis para reconexão pelo aplicativo Citrix Workspace.
- A conexão pode ser configurada para redefinir ou fazer logoff de sessões com conexões interrompidas ou com tempo limite esgotado. Quando uma sessão é redefinida, a tentativa de reconexão inicia uma nova sessão. Em vez de restaurar a pessoa usuária para o mesmo ponto no aplicativo em uso, o aplicativo é reiniciado.
- Se o servidor estiver configurado para redefinir sessões, a Reconexão Automática do Cliente cria uma nova sessão. Este processo exige que as pessoas usuárias insiram suas credenciais para fazer logon no servidor.
- A reconexão automática pode falhar se o aplicativo Citrix Workspace ou o plug-in enviar informações de autenticação incorretas, o que pode ocorrer durante um ataque ou se o servidor determinar que muito tempo se passou desde que detectou a conexão interrompida.
ICA Keep-Alive
A habilitação do recurso ICA Keep-Alive impede que conexões interrompidas sejam desconectadas. Quando habilitado, se o servidor não detectar atividade, este recurso impede que os Serviços de Área de Trabalho Remota desconectem essa sessão. Exemplos de nenhuma atividade incluem nenhuma alteração de relógio, nenhum movimento do mouse, nenhuma atualização de tela. O servidor envia pacotes keep-alive a cada poucos segundos para detectar se a sessão está ativa. Se a sessão não estiver mais ativa, o servidor a marca como desconectada.
Importante:
O ICA Keep-Alive funciona apenas se você não estiver usando a Confiabilidade da Sessão. A Confiabilidade da Sessão tem seus próprios mecanismos para evitar que conexões interrompidas sejam desconectadas. Configure o ICA Keep-Alive apenas para conexões que não usam a Confiabilidade da Sessão.
As configurações do ICA Keep-Alive substituem as configurações de keep-alive configuradas na Política de Grupo do Windows.
Habilite e configure o ICA Keep-Alive com as seguintes configurações de política:
-
Tempo limite do ICA keep alive: Especifica o intervalo (1-3600 segundos) usado para enviar mensagens ICA keep-alive. Não configure esta opção se você quiser que seu software de monitoramento de rede feche conexões inativas em ambientes onde as conexões interrompidas são tão infrequentes que permitir que as pessoas usuárias se reconectem às sessões não é uma preocupação.
O intervalo padrão é de 60 segundos: pacotes ICA Keep-Alive são enviados para dispositivos de pessoa usuária a cada 60 segundos. Se um dispositivo de pessoa usuária não responder em 60 segundos, o status das sessões ICA muda para desconectado.
-
ICA keep alives: Envia ou impede o envio de mensagens ICA keep-alive.
Controle de workspace
O controle de workspace permite que desktops e aplicativos sigam uma pessoa usuária de um dispositivo para outro. Essa capacidade de roaming permite que uma pessoa usuária acesse todos os desktops ou aplicativos abertos de qualquer lugar simplesmente fazendo logon, sem precisar reiniciar os desktops ou aplicativos em cada dispositivo. Por exemplo, o controle de workspace pode ajudar profissionais de saúde em um hospital que precisam se mover rapidamente entre diferentes estações de trabalho e acessar o mesmo conjunto de aplicativos a cada logon. Se você configurar as opções de controle de workspace para permitir, esses trabalhadores podem se desconectar de vários aplicativos em um dispositivo cliente e, em seguida, se reconectar para abrir os mesmos aplicativos em um dispositivo cliente diferente.
O controle de workspace afeta as seguintes atividades:
- Logon: Por padrão, o controle de workspace permite que as pessoas usuárias se reconectem automaticamente a todos os desktops e aplicativos em execução ao fazer logon, ignorando a necessidade de reabri-los manualmente. Através do controle de workspace, as pessoas usuárias podem abrir desktops ou aplicativos desconectados, além de quaisquer que estejam ativos em outro dispositivo cliente. Desconectar-se de um desktop ou aplicativo o deixa em execução no servidor. Se você tiver usuários itinerantes que precisam manter alguns desktops ou aplicativos em execução em um dispositivo cliente enquanto se reconectam a um subconjunto de seus desktops ou aplicativos em outro dispositivo cliente, você pode configurar o comportamento de reconexão de logon para abrir apenas os desktops ou aplicativos dos quais a pessoa usuária se desconectou anteriormente.
- Reconexão: Após fazer logon no servidor, as pessoas usuárias podem se reconectar a todos os seus desktops ou aplicativos a qualquer momento clicando em “Reconectar” (Reconnect). Por padrão, “Reconectar” abre desktops ou aplicativos que estão desconectados, além de quaisquer que estejam atualmente em execução em outro dispositivo cliente. Você pode configurar “Reconectar” para abrir apenas os desktops ou aplicativos dos quais a pessoa usuária se desconectou anteriormente.
- Logoff: Para pessoas usuárias que abrem desktops ou aplicativos através do StoreFront™, você pode configurar o comando “Logoff” para desconectar a pessoa usuária do StoreFront e de todas as sessões ativas, ou apenas do StoreFront.
- Desconexão: As pessoas usuárias podem se desconectar de todos os desktops e aplicativos em execução de uma só vez, sem precisar se desconectar de cada um individualmente.
O controle de workspace está disponível apenas para pessoas usuárias do aplicativo Citrix Workspace que acessam desktops e aplicativos por meio de uma conexão Citrix StoreFront. Por padrão, o controle de workspace é desabilitado para sessões de desktop virtual, mas é habilitado para aplicativos hospedados. O compartilhamento de sessão não ocorre por padrão entre desktops publicados e quaisquer aplicativos publicados em execução dentro desses desktops.
As políticas de pessoa usuária, mapeamentos de unidade cliente e configurações de impressora mudam apropriadamente quando uma pessoa usuária se move para um novo dispositivo cliente. As políticas e os mapeamentos são aplicados de acordo com o dispositivo cliente onde a pessoa usuária está logada na sessão. Por exemplo, um profissional de saúde faz logoff de um dispositivo na sala de emergência e, em seguida, faz logon em uma estação de trabalho no laboratório de raios-X. As políticas, mapeamentos de impressora e mapeamentos de unidade cliente apropriados para a sessão no laboratório de raios-X entram em vigor no início da sessão.
Você pode personalizar quais impressoras aparecem para as pessoas usuárias quando elas mudam de local. Você também pode controlar se as pessoas usuárias podem imprimir em impressoras locais, quanta largura de banda é consumida quando as pessoas usuárias se conectam remotamente e outros aspectos de suas experiências de impressão.
Para obter informações sobre como habilitar e configurar o controle de workspace para pessoas usuárias, consulte a documentação do StoreFront.
Roaming de sessão
Nota:
As informações a seguir orientam você a configurar o roaming de sessão usando o PowerShell. Você pode usar o Web Studio em vez disso. Para obter mais informações, consulte Gerenciar grupos de entrega.
Por padrão, as sessões fazem roaming entre dispositivos cliente com a pessoa usuária. Quando a pessoa usuária inicia uma sessão e depois se move para outro dispositivo, a mesma sessão é usada e os aplicativos estão disponíveis em ambos os dispositivos. Os aplicativos seguem, independentemente do dispositivo ou se existem sessões atuais. Frequentemente, impressoras e outros recursos atribuídos ao aplicativo também seguem.
Embora este comportamento padrão ofereça muitas vantagens, pode não ser ideal em todos os casos. Você pode impedir o roaming de sessão usando o SDK do PowerShell.
Exemplo 1: Um profissional médico está usando dois dispositivos, preenchendo um formulário de seguro em um PC desktop e consultando informações do paciente em um tablet.
- Se o roaming de sessão estiver habilitado, ambos os aplicativos aparecem em ambos os dispositivos (um aplicativo iniciado em um dispositivo é visível em todos os dispositivos em uso). Isso pode não atender aos requisitos de segurança.
- Se o roaming de sessão estiver desabilitado, o registro do paciente não aparece no PC desktop, e o formulário de seguro não aparece no tablet.
Exemplo 2: Um gerente de produção inicia um aplicativo no PC em seu escritório. O nome do dispositivo e o local determinam quais impressoras e outros recursos estão disponíveis para essa sessão. Mais tarde, ele vai para um escritório no prédio ao lado para uma reunião que exigirá o uso de uma impressora.
- Quando o roaming de sessão está habilitado, o gerente de produção provavelmente não conseguiria acessar as impressoras perto da sala de reunião, porque os aplicativos que ele iniciou anteriormente em seu escritório resultaram na atribuição de impressoras e outros recursos perto daquele local.
- Quando o roaming de sessão está desabilitado, ao fazer logon em uma máquina diferente (usando as mesmas credenciais), uma nova sessão é iniciada, e impressoras e recursos próximos estarão disponíveis.
Configurar o roaming de sessão
Para configurar o roaming de sessão, use os seguintes cmdlets de regra de política de direito com a propriedade “SessionReconnection”. Opcionalmente, você também pode especificar a propriedade “LeasingBehavior”.
Para sessões de desktop:
Set-BrokerEntitlementPolicyRule <Delivery-Group-name> -SessionReconnection <value> -LeasingBehavior Allowed|Disallowed
Para sessões de aplicativo:
Set-BrokerAppEntitlementPolicyRule <Delivery-Group-name> -SessionReconnection <value> -LeasingBehavior Allowed|Disallowed
Onde value pode ser um dos seguintes:
- Always: As sessões sempre fazem roaming, independentemente do dispositivo cliente e se a sessão está conectada ou desconectada. Este é o valor padrão.
- DisconnectedOnly: Reconecta apenas a sessões que já estão desconectadas; caso contrário, inicia uma nova sessão. (As sessões podem fazer roaming entre dispositivos cliente primeiro desconectando-as, ou usando o Controle de Workspace para fazer o roaming explicitamente.) Uma sessão ativa conectada de outro dispositivo cliente nunca é usada. Em vez disso, uma nova sessão é iniciada.
- SameEndpointOnly: Uma pessoa usuária obtém uma sessão única para cada dispositivo cliente que usa. Isso desabilita completamente o roaming. As pessoas usuárias podem se reconectar apenas ao mesmo dispositivo que foi usado anteriormente na sessão.
A propriedade “LeasingBehavior” é descrita abaixo.
Efeitos de outras configurações:
A desabilitação do roaming de sessão é afetada pelo limite de aplicativo “Permitir apenas uma instância do aplicativo por usuário” (Allow only one instance of the application per user) nas propriedades do aplicativo no grupo de entrega.
- Se você desabilitar o roaming de sessão, então desabilite o limite de aplicativo “Permitir apenas uma instância…”.
- Se você habilitar o limite de aplicativo “Permitir apenas uma instância…”, não configure nenhum dos dois valores que permitem novas sessões em novos dispositivos.
Intervalo de logon
Se uma máquina virtual contendo um VDA de desktop for fechada antes que o processo de logon seja concluído, você pode alocar mais tempo para o processo. O padrão para as versões 7.6 e posteriores é de 180 segundos (o padrão para 7.0-7.5 é de 90 segundos).
Na máquina (ou na imagem mestre usada em um catálogo de máquinas), defina a seguinte chave de registro:
Chave:HKLM\SOFTWARE\Citrix\PortICA
- Valor:
AutoLogonTimeout - Tipo:
DWORD - Especifique um tempo decimal em segundos, no intervalo de 0 a 3600.
Se você alterar uma imagem mestre, atualize o catálogo.
Esta configuração se aplica apenas a VMs com VDAs de desktop. A Microsoft controla o tempo limite de logon em máquinas com VDAs de servidor.