Communications sécurisées
-
Pour sécuriser la communication entre le serveur Citrix Virtual Apps and Desktops et l’application Citrix Workspace, vous pouvez intégrer vos connexions d’application Citrix Workspace à l’aide de technologies sécurisées telles que les suivantes :
-
Citrix Gateway : Pour plus d’informations, consultez les rubriques de cette section ainsi que la documentation de Citrix Gateway et de StoreFront.
-
Remarque :
-
-
Citrix recommande d’utiliser Citrix Gateway entre les serveurs StoreFront et les appareils utilisateur.
- Un pare-feu : Les pare-feu réseau peuvent autoriser ou bloquer les paquets en fonction de l’adresse de destination et du port. Si vous utilisez l’application Citrix Workspace via un pare-feu réseau qui mappe l’adresse IP interne du serveur à une adresse Internet externe (c’est-à-dire la traduction d’adresses réseau, ou NAT), configurez l’adresse externe.
- Serveur approuvé.
- Pour les déploiements Citrix Virtual Apps ou Web Interface uniquement (non applicable à XenDesktop 7) : Un serveur proxy SOCKS ou un serveur proxy sécurisé (également appelé serveur proxy de sécurité, serveur proxy HTTPS). Vous pouvez utiliser des serveurs proxy pour limiter l’accès à votre réseau et depuis celui-ci, et pour gérer les connexions entre l’application Citrix Workspace et le serveur. L’application Citrix Workspace prend en charge les protocoles SOCKS et proxy sécurisé.
- Pour les déploiements Citrix Virtual Apps ou Web Interface uniquement ; non applicable à XenDesktop 7, XenDesktop 7.1, XenDesktop 7.5 ou XenApp 7.5 : Solutions SSL Relay avec les protocoles TLS (Transport Layer Security).
- Pour Citrix Virtual Apps and Desktops 7.6, vous pouvez activer une connexion SSL directement entre les utilisateurs et les VDA.
-
Prise en charge du proxy sortant
Smart Control permet aux administrateurs de définir des stratégies granulaires pour configurer et appliquer les attributs d’environnement utilisateur pour Citrix Virtual Apps and Desktops™ et Citrix DaaS (anciennement service Citrix Virtual Apps and Desktop) à l’aide de Citrix Gateway. Par exemple, vous pouvez interdire aux utilisateurs de mapper des lecteurs à leurs bureaux distants. Ceci peut être réalisé à l’aide de la fonctionnalité Smart Control sur Citrix Gateway.
Cependant, le scénario change lorsque l’application Citrix Workspace et Citrix Gateway appartiennent à des comptes d’entreprise distincts. Dans de tels scénarios, le domaine client ne peut pas appliquer la fonctionnalité Smart Control car la passerelle n’existe pas sur le domaine client. Au lieu de cela, vous pouvez tirer parti du proxy ICA sortant. Le proxy ICA sortant vous permet d’utiliser la fonctionnalité Smart Control même lorsque l’application Citrix Workspace et Citrix Gateway sont déployées dans des organisations différentes.
L’application Citrix Workspace prend en charge les lancements de session à l’aide du proxy LAN NetScaler. Un proxy statique unique peut être configuré ou le serveur proxy peut être sélectionné au moment de l’exécution à l’aide du plug-in de proxy sortant.
Vous pouvez configurer les proxys sortants à l’aide des méthodes suivantes :
- Proxy statique : Le serveur proxy est configuré en fournissant un nom d'hôte et un numéro de port de proxy.
- Proxy dynamique : Un seul serveur proxy peut être sélectionné parmi un ou plusieurs serveurs proxy à l'aide de la DLL du plug-in de proxy.
- Vous pouvez configurer le proxy sortant à l'aide du modèle d'administration d'objet de stratégie de groupe et de l'éditeur de Registre.
Pour plus d’informations sur le proxy sortant, consultez Prise en charge du proxy ICA sortant dans la documentation de Citrix Gateway.
- ### Prise en charge du proxy sortant - Configuration
Remarque :
Si les proxys statiques et dynamiques sont configurés, la configuration du proxy dynamique est prioritaire.
- **Configuration du proxy sortant à l'aide du modèle d'administration GPO :**
- Ouvrez le modèle d’administration d’objet de stratégie de groupe de l’application Citrix Workspace en exécutant gpedit.msc.
- Sous le nœud Configuration ordinateur, accédez à Modèles d’administration > Citrix Workspace > Routage réseau.
- Sélectionnez l’une des options suivantes :
- Pour le proxy statique : Sélectionnez la stratégie Configurer le proxy LAN NetScaler® manuellement. Sélectionnez Activé, puis indiquez le nom d’hôte et le numéro de port.
- Pour le proxy dynamique : Sélectionnez la stratégie Configurer le proxy LAN NetScaler à l’aide d’une DLL. Sélectionnez Activé, puis indiquez le chemin d’accès complet au fichier DLL. Par exemple,
C:\Workspace\Proxy\ProxyChooser.dll.
- Cliquez sur Appliquer et OK.
Configuration du proxy sortant à l’aide de l’éditeur de Registre :
-
Pour le proxy statique :
- Lancez l’éditeur de Registre et accédez à
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Citrix\ICA Client\Engine\Network Routing\Proxy\NetScaler. - Créez les clés de valeur DWORD comme suit :
- Lancez l’éditeur de Registre et accédez à
"StaticProxyEnabled"=dword:00000001-
"ProxyHost"="testproxy1.testdomain.com-
"ProxyPort"=dword:000001bb -
Pour le proxy dynamique :
- Lancez l’éditeur de Registre et accédez à
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Citrix\ICA Client\Engine\Network Routing\Proxy\NetScaler LAN Proxy. - Créez les clés de valeur DWORD comme suit :
"DynamicProxyEnabled"=dword:00000001"ProxyChooserDLL"="c:\\Workspace\\Proxy\\ProxyChooser.dll"
-
TLS
Cette rubrique s’applique à Citrix Virtual Apps and Desktops version 7.6 et ultérieure.
Pour utiliser le chiffrement TLS pour toutes les communications de l’application Citrix Workspace avec le serveur, configurez l’appareil utilisateur, l’application Citrix Workspace et, si vous utilisez Web Interface, le serveur exécutant Web Interface. Pour plus d’informations sur la sécurisation des communications StoreFront, consultez la section Sécuriser dans la documentation StoreFront.
Prérequis :
Les appareils des utilisateurs doivent répondre aux exigences spécifiées dans la section Configuration système requise.
Utilisez cette stratégie pour configurer les options TLS qui garantissent que l’application Citrix Workspace identifie de manière sécurisée le serveur auquel elle se connecte et chiffre toutes les communications avec ce serveur.
- Vous pouvez utiliser les options ci-dessous pour :
- Appliquer l’utilisation de TLS : Citrix recommande que toutes les connexions sur des réseaux non fiables, y compris Internet, utilisent TLS.
- Appliquer l’utilisation de FIPS (Federal Information Processing Standards) : cryptographie approuvée et aide à se conformer aux recommandations de la norme NIST SP 800-52. Ces options sont désactivées par défaut.
- Appliquer l’utilisation d’une version spécifique de TLS et de suites de chiffrement TLS spécifiques : Citrix prend en charge les protocoles TLS 1.0, TLS 1.1 et TLS 1.2 entre l’application Citrix Workspace pour Windows, et Citrix Virtual Apps and Desktops et Citrix DaaS.
- Se connecter uniquement à des serveurs spécifiques.
- Vérifier la révocation du certificat de serveur.
- Vérifier une politique d’émission de certificat de serveur spécifique.
- Sélectionner un certificat client particulier, si le serveur est configuré pour en demander un.
Prise en charge de TLS
- Ouvrez le modèle d’administration GPO de l’application Citrix Workspace en exécutant gpedit.msc.
-
Sous le nœud Configuration ordinateur, accédez à Modèles d’administration > Citrix Workspace > Routage réseau, puis sélectionnez la stratégie Configuration du mode de conformité et TLS.
-
Sélectionnez Activé pour activer les connexions sécurisées et chiffrer la communication sur le serveur. Définissez les options suivantes :
Remarque :
-
Citrix recommande TLS pour les connexions sécurisées.
-
Sélectionnez Exiger TLS pour toutes les connexions pour forcer l’application Citrix Workspace à utiliser TLS pour toutes les connexions aux applications et bureaux publiés.
-
Dans le menu Mode de conformité de sécurité, sélectionnez l’option appropriée :
-
- Aucun - Aucun mode de conformité n’est appliqué.
-
- SP800-52 – Sélectionnez SP800-52 pour la conformité avec la norme NIST SP 800-52. Sélectionnez cette option uniquement si les serveurs ou la passerelle sont conformes aux recommandations de la norme NIST SP 800-52.
-
Remarque :
Si vous sélectionnez SP800-52, la cryptographie approuvée par FIPS est automatiquement utilisée, même si Activer FIPS n’est pas sélectionné. Vous devez également activer l’option de sécurité Windows, Cryptographie système : utiliser des algorithmes conformes à la norme FIPS pour le chiffrement, le hachage et la signature. Dans le cas contraire, l’application Citrix Workspace pourrait ne pas réussir à se connecter aux applications et bureaux publiés.
-
Si vous sélectionnez SP800-52, vous devez sélectionner le paramètre Politique de vérification de la révocation de certificat avec Vérification d’accès complet, ou Vérification d’accès complet et CRL requise.
-
Lorsque vous sélectionnez SP800-52, l’application Citrix Workspace vérifie que le certificat de serveur est conforme aux recommandations de la norme NIST SP 800-52. Si le certificat de serveur n’est pas conforme, l’application Citrix Workspace pourrait ne pas réussir à se connecter.
- Activer FIPS – Sélectionnez cette option pour appliquer l’utilisation de la cryptographie approuvée par FIPS. Vous devez également activer l’option de sécurité Windows à partir de la stratégie de groupe du système d’exploitation, Cryptographie système : utiliser des algorithmes conformes à la norme FIPS pour le chiffrement, le hachage et la signature. Dans le cas contraire, l’application Citrix Workspace pourrait ne pas réussir à se connecter aux applications et bureaux publiés.
-
Dans la liste déroulante Serveurs TLS autorisés, sélectionnez le numéro de port. Vous pouvez vous assurer que l’application Citrix Workspace pour Windows se connecte uniquement à un serveur spécifié par une liste séparée par des virgules. Vous pouvez spécifier des caractères génériques et des numéros de port. Par exemple, *.citrix.com: 4433 autorise les connexions à tout serveur dont le nom commun se termine par .citrix.com sur le port 4433. L’émetteur du certificat atteste de l’exactitude des informations contenues dans un certificat de sécurité. Si Citrix Workspace ne reconnaît pas et ne fait pas confiance à l’émetteur, la connexion est rejetée.
-
Dans le menu Version TLS, sélectionnez l’une des options suivantes :
-
TLS 1.0, TLS 1.1 ou TLS 1.2 - Il s’agit du paramètre par défaut. Cette option est recommandée uniquement s’il existe une exigence métier pour TLS 1.0 à des fins de compatibilité.
-
TLS 1.1 ou TLS 1.2 – Utilisez cette option pour vous assurer que les connexions ICA utilisent TLS 1.1 ou TLS 1.2.
-
TLS 1.2 - Cette option est recommandée si TLS 1.2 est une exigence métier.
- Jeu de chiffrements TLS - Pour appliquer l’utilisation d’un jeu de chiffrements TLS spécifique, sélectionnez Gouvernement (GOV), Commercial (COM) ou Tout (ALL). Dans certains cas de configurations Citrix Gateway, vous devrez peut-être sélectionner COM. L’application Citrix Workspace prend en charge les clés RSA de longueurs 1024, 2048 et 3072 bits. Les certificats racine avec des clés RSA de longueur 4096 bits sont également pris en charge.
Remarque :
Citrix ne recommande pas l’utilisation de clés RSA de longueur 1024 bits.
-
Tout : lorsque « Tout » est défini, la stratégie n’est pas configurée et l’une des suites de chiffrement suivantes est autorisée :
- TLS_RSA_WITH_RC4_128_MD5
- TLS_RSA_WITH_RC4_128_SHA
- TLS_RSA_WITH_3DES_EDE_CBC_SHA
- TLS_RSA_WITH_AES_128_CBC_SHA
- TLS_RSA_WITH_AES_256_CBC_SHA
-
- TLS_RSA_WITH_AES_128_GCM_SHA256
-
- TLS_RSA_WITH_AES_256_GCM_SHA384
-
Commercial : lorsque « Commercial » est défini, seules les suites de chiffrement suivantes sont autorisées :
- TLS_RSA_WITH_RC4_128_MD5
- TLS_RSA_WITH_RC4_128_SHA
- TLS_RSA_WITH_AES_128_CBC_SHA
- TLS_RSA_WITH_AES_128_GCM_SHA256
-
Gouvernement : Lorsque l’option « Gouvernement » est définie, seules les suites de chiffrement suivantes sont autorisées :
- TLS_RSA_WITH_AES_256_CBC_SHA
- TLS_RSA_WITH_3DES_EDE_CBC_SHA
- TLS_RSA_WITH_AES_128_GCM_SHA256
- TLS_RSA_WITH_AES_256_GCM_SHA384
- Dans le menu Stratégie de vérification de la révocation de certificat, sélectionnez l’une des options suivantes :
-
Vérifier sans accès réseau : La vérification de la liste de révocation de certificats est effectuée. Seuls les magasins de listes de révocation de certificats locaux sont utilisés. Tous les points de distribution sont ignorés. La recherche de la liste de révocation de certificats n’est pas obligatoire pour vérifier le certificat de serveur présenté par le serveur SSL Relay/Citrix Secure Web Gateway cible.
-
Vérification avec accès complet : La vérification de la liste de révocation de certificats est effectuée. Les magasins de listes de révocation de certificats locaux et tous les points de distribution sont utilisés. Si des informations de révocation pour un certificat sont trouvées, la connexion est rejetée. La recherche d’une liste de révocation de certificats n’est pas critique pour la vérification du certificat de serveur présenté par le serveur cible.
-
Vérification avec accès complet et CRL requise : La vérification de la liste de révocation de certificats est effectuée, à l’exclusion de l’autorité de certification racine. Les magasins de listes de révocation de certificats locaux et tous les points de distribution sont utilisés. Si des informations de révocation pour un certificat sont trouvées, la connexion est rejetée. La recherche de toutes les listes de révocation de certificats requises est critique pour la vérification.
-
Vérification avec accès complet et toutes les CRL requises : La vérification de la liste de révocation de certificats est effectuée, y compris l’autorité de certification racine. Les magasins de listes de révocation de certificats locaux et tous les points de distribution sont utilisés. Si des informations de révocation pour un certificat sont trouvées, la connexion est rejetée. La recherche de toutes les listes de révocation de certificats requises est critique pour la vérification.
-
Aucune vérification : Aucune vérification de la liste de révocation de certificats n’est effectuée.
-
À l’aide de l’OID d’extension de stratégie, vous pouvez limiter l’application Citrix Workspace à se connecter uniquement aux serveurs dotés d’une stratégie d’émission de certificat spécifique. Lorsque vous sélectionnez OID d’extension de stratégie, l’application Citrix Workspace accepte uniquement les certificats de serveur contenant cet OID d’extension de stratégie.
-
Dans le menu Authentification client, sélectionnez l’une des options suivantes :
-
Désactivé : L’authentification client est désactivée.
-
Afficher le sélecteur de certificat : Demandez toujours à l’utilisateur de sélectionner un certificat.
-
Sélectionner automatiquement si possible : Demandez à l’utilisateur uniquement s’il existe un choix de certificat à identifier.
-
Non configuré : Indique que l’authentification client n’est pas configurée.
-
Utiliser le certificat spécifié : Utilisez le certificat client tel que défini dans l’option Certificat client.
-
Utilisez le paramètre Certificat client pour spécifier l’empreinte numérique du certificat d’identification afin d’éviter d’inviter l’utilisateur inutilement.
-
Cliquez sur Appliquer et OK pour enregistrer la stratégie.
-
Le tableau suivant répertorie les suites de chiffrement de chaque ensemble :

Pare-feu
Les pare-feu réseau peuvent autoriser ou bloquer les paquets en fonction de l’adresse de destination et du port. Si vous utilisez un pare-feu dans votre déploiement, l’application Citrix Workspace pour Windows doit pouvoir communiquer via le pare-feu avec le serveur Web et le serveur Citrix.
Ports de communication Citrix courants
| Source | Type | Port | Détails |
|---|---|---|---|
| Application Citrix Workspace | TCP | 80/443 | Communication avec StoreFront |
| ICA/HDX | TCP | 1494 | Accès aux applications et aux bureaux virtuels |
| ICA/HDX avec fiabilité de session | TCP | 2598 | Accès aux applications et aux bureaux virtuels |
| ICA/HDX sur SSL | TCP | 443 | Accès aux applications et aux bureaux virtuels |
Pour plus d’informations sur les ports, consultez l’article du centre de connaissances CTX101810.
Si le pare-feu est configuré pour la traduction d’adresses réseau (NAT), utilisez l’interface Web pour définir les mappages des adresses internes vers les adresses et ports externes. Par exemple, si votre serveur Citrix Virtual Apps and Desktops n’est pas configuré avec une adresse alternative, vous pouvez configurer l’interface Web pour fournir une adresse alternative à l’application Citrix Workspace. L’application Citrix Workspace se connecte alors au serveur en utilisant l’adresse externe et le numéro de port.
Serveur proxy
Les serveurs proxy sont utilisés pour limiter l’accès à votre réseau et depuis celui-ci, et pour gérer les connexions entre l’application Citrix Workspace pour Windows et les serveurs. L’application Citrix Workspace prend en charge les protocoles SOCKS et proxy sécurisé.
Lors de la communication avec le serveur, l’application Citrix Workspace utilise les paramètres de serveur proxy configurés à distance sur le serveur exécutant Workspace pour Web ou Web Interface. Pour plus d’informations sur la configuration du serveur proxy, reportez-vous à la documentation StoreFront ou Web Interface.
Lors de la communication avec le serveur Web, l’application Citrix Workspace utilise les paramètres de serveur proxy configurés via les paramètres Internet du navigateur Web par défaut sur le périphérique utilisateur. Vous devez configurer les paramètres Internet du navigateur Web par défaut sur le périphérique utilisateur en conséquence.
Configurez les paramètres proxy à l’aide de l’éditeur de registre pour forcer l’application Citrix Workspace à respecter ou à ignorer le serveur proxy pendant les connexions.
Avertissement
Toute modification incorrecte du registre peut générer des problèmes sérieux, pouvant vous obliger à réinstaller votre système d’exploitation. Citrix ne peut garantir que les problèmes résultant d’une mauvaise utilisation de l’Éditeur du Registre puissent être résolus.
- Accédez à
\HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Citrix\AuthManager - Définissez la valeur ProxyEnabled(REG_SZ).
- True – indique que l’application Citrix Workspace respecte le serveur proxy pendant les connexions.
- False - indique que l’application Citrix Workspace ignore le serveur proxy pendant les connexions.
- Redémarrez l’application Citrix Workspace pour que les modifications prennent effet.
Serveur de confiance
La configuration du serveur de confiance identifie et applique les relations de confiance dans les connexions de l’application Citrix Workspace.
Lorsque vous activez le serveur de confiance, l’application Citrix Workspace spécifie les exigences et décide si la connexion au serveur peut être considérée comme fiable ou non. Par exemple, une application Citrix Workspace se connectant à une certaine adresse (telle que https://\*.citrix.com avec un type de connexion spécifique (tel que TLS) est dirigée vers une zone de confiance sur le serveur.
Lorsque vous activez cette fonctionnalité, le serveur connecté réside dans la zone Sites de confiance de Windows. Pour obtenir des instructions sur l’ajout de serveurs à la zone Sites de confiance de Windows, consultez l’aide en ligne d’Internet Explorer.
Pour activer la configuration du serveur de confiance à l’aide du modèle d’administration d’objet de stratégie de groupe
Prérequis :
Quittez les composants de l’application Citrix Workspace, y compris le Connection Center.
- Ouvrez le modèle d’administration GPO de l’application Citrix Workspace en exécutant gpedit.msc.
- Sous le nœud Configuration ordinateur, accédez à Modèles d’administration > Modèles d’administration classiques (ADM) > Composants Citrix > Citrix Workspace > Routage réseau > Configurer la configuration du serveur de confiance.
- Sélectionnez Activé pour forcer l’application Citrix Workspace à effectuer l’identification de la région.
- Sélectionnez Appliquer la configuration du serveur de confiance. Cela force le client à effectuer l’identification à l’aide d’un serveur de confiance.
- Dans la liste déroulante Zone Internet Windows, sélectionnez l’adresse du serveur client. Ce paramètre s’applique uniquement à la zone Sites de confiance de Windows.
- Dans le champ Adresse, définissez l’adresse du serveur client pour la zone de sites de confiance autre que Windows. Vous pouvez utiliser une liste séparée par des virgules.
- Cliquez sur OK et Appliquer.
Signature de fichier ICA®
La signature de fichier ICA vous protège contre le lancement non autorisé d’applications ou de bureaux. L’application Citrix Workspace vérifie qu’une source fiable a généré le lancement de l’application ou du bureau en fonction d’une stratégie administrative et protège contre le lancement à partir de serveurs non fiables. Vous pouvez configurer la signature de fichier ICA à l’aide du modèle d’administration d’objets de stratégie de groupe ou de StoreFront. La signature de fichier ICA n’est pas activée par défaut.
Pour plus d’informations sur l’activation de la signature de fichier ICA pour StoreFront, consultez Activer la signature de fichier ICA dans la documentation StoreFront.
Pour le déploiement de Web Interface, Web Interface active et configure le lancement de l’application ou du bureau pour inclure une signature lors du lancement à l’aide du service de signature de fichier ICA de Citrix. Le service peut signer le fichier ICA à l’aide d’un certificat du magasin de certificats personnel de l’ordinateur.
Configurer la signature de fichier ICA
Remarque :
Si CitrixBase.admx\adml n’est pas ajouté au GPO local, la stratégie Activer la signature de fichier ICA peut ne pas être présente.
- Ouvrez le modèle d’administration d’objet de stratégie de groupe de l’application Citrix Workspace en exécutant gpedit.msc.
- Sous le nœud Configuration ordinateur, accédez à Modèles d’administration > Composants Citrix.
- Sélectionnez la stratégie Activer la signature de fichier ICA et choisissez l’une des options suivantes selon vos besoins :
- Activé – Indique que vous pouvez ajouter l’empreinte numérique du certificat de signature à la liste blanche des empreintes numériques de certificats de confiance.
- Certificats de confiance – Cliquez sur Afficher pour supprimer l’empreinte numérique du certificat de signature existant de la liste blanche. Vous pouvez copier et coller les empreintes numériques des certificats de signature à partir des propriétés du certificat de signature.
- Stratégie de sécurité – Sélectionnez l’une des options suivantes dans le menu.
- Autoriser uniquement les lancements signés (plus sécurisé) : Autorise uniquement le lancement d’applications ou de bureaux signés à partir d’un serveur de confiance. Un avertissement de sécurité apparaît en cas de signature non valide. Vous ne pouvez pas lancer la session en raison d’une non-autorisation.
- Demander à l’utilisateur pour les lancements non signés (moins sécurisé) – Une invite de message apparaît lorsqu’une session non signée ou signée de manière non valide est lancée. Vous pouvez choisir de poursuivre le lancement ou d’annuler le lancement (par défaut).
- Cliquez sur Appliquer et OK pour enregistrer la stratégie.
- Redémarrez la session de l’application Citrix Workspace pour que les modifications prennent effet.
Pour sélectionner et distribuer un certificat de signature numérique :
Lors de la sélection d’un certificat de signature numérique, Citrix vous recommande de choisir parmi la liste prioritaire suivante :
- Achetez un certificat de signature de code ou un certificat de signature SSL auprès d’une autorité de certification (CA) publique.
- Si votre entreprise dispose d’une CA privée, créez un certificat de signature de code ou un certificat de signature SSL à l’aide de la CA privée.
- Utilisez un certificat SSL existant, tel que le certificat du serveur Web Interface.
- Créez un certificat de CA racine et distribuez-le aux périphériques utilisateur à l’aide d’un GPO ou d’une installation manuelle.
