Integração com Citrix Gateway e Citrix ADC

Com o XenMobile Server no modo MAM:

Com o XenMobile Server no modo MDM:

Com o XenMobile Server no modo ENT:

Detalhes da decisão:

Orientação de design:

Certifique-se de aplicar as licenças apropriadas ao Citrix Gateway. Se você estiver usando o Citrix Gateway connector™ para Exchange ActiveSync, o cache integrado pode ser necessário. Portanto, você deve garantir que a Edição apropriada do Citrix ADC esteja em vigor.

Os requisitos de licença para habilitar os recursos do Citrix ADC são os seguintes.

Detalhes da decisão:

Orientação de design:

A Citrix recomenda usar uma instância dedicada do Citrix ADC para seu servidor virtual Citrix Gateway. Certifique-se de que a versão e o build mínimos exigidos do Citrix ADC estejam em uso para o ambiente XenMobile. Normalmente, é melhor usar a versão e o build mais recentes compatíveis do Citrix ADC para o XenMobile. Se a atualização do Citrix Gateway afetar seu ambiente existente, uma segunda instância dedicada para o XenMobile pode ser apropriada.

Se você planeja compartilhar uma instância do Citrix ADC para XenMobile e outros aplicativos que usam conexões VPN, certifique-se de ter licenças VPN suficientes para ambos. Lembre-se de que os ambientes de teste e produção do XenMobile não podem compartilhar uma instância do Citrix ADC.

Detalhes da decisão:

Orientação de design:

A configuração padrão para o XenMobile é autenticação por nome de usuário e senha. Para adicionar outra camada de segurança para o registro e acesso ao ambiente XenMobile, considere usar a autenticação baseada em certificado. Você pode usar certificados com LDAP para autenticação de dois fatores, proporcionando um grau mais alto de segurança sem a necessidade de um servidor RSA.

Se você não permitir LDAP e usar cartões inteligentes ou métodos semelhantes, a configuração de certificados permite representar um cartão inteligente para o XenMobile. Os usuários então se registram usando um PIN exclusivo que o XenMobile gera para eles. Depois que um usuário tem acesso, o XenMobile cria e implanta o certificado usado para autenticar no ambiente XenMobile.

O XenMobile suporta Lista de Revogação de Certificados (CRL) apenas para uma Autoridade de Certificação de terceiros. Se você tiver um CA Microsoft configurado, o XenMobile usa o Citrix ADC para gerenciar a revogação. Ao configurar a autenticação baseada em certificado de cliente, considere se você precisa configurar a configuração da Lista de Revogação de Certificados (CRL) do Citrix ADC Enable CRL Auto Refresh. Esta etapa garante que o usuário de um dispositivo registrado apenas em MAM não possa autenticar usando um certificado existente no dispositivo. O XenMobile reemite um novo certificado, pois não restringe um usuário de gerar um certificado de usuário se um for revogado. Essa configuração aumenta a segurança das entidades PKI quando a CRL verifica entidades PKI expiradas.

Detalhes da decisão:

Orientação de design:

A Citrix recomenda usar uma instância do Citrix ADC para o XenMobile. No entanto, talvez você não queira que o tráfego vá da rede interna para a DMZ. Nesse caso, considere configurar uma instância extra do Citrix ADC. Use uma instância do Citrix ADC para usuários internos e outra para usuários externos. Quando os usuários alternam entre as redes interna e externa, o cache de registros DNS pode resultar em um aumento nos prompts de logon do Secure Hub.

O XenMobile não oferece suporte a salto duplo do Citrix Gateway.

Detalhes da decisão:

Orientação de design:

Quando seu ambiente Citrix inclui XenMobile, além de Virtual Apps and Desktops, você pode usar a mesma instância do Citrix ADC e o servidor virtual do Citrix Gateway para ambos. Devido a possíveis conflitos de versionamento e isolamento de ambiente, uma instância dedicada do Citrix ADC e do Citrix Gateway são recomendadas para cada ambiente XenMobile. No entanto, se uma instância dedicada do Citrix ADC não for uma opção, a Citrix recomenda usar um servidor virtual dedicado do Citrix Gateway para separar os fluxos de tráfego para o Secure Hub. Essa configuração substitui um servidor virtual compartilhado entre o XenMobile e o Virtual Apps and Desktops.

Se você usa autenticação LDAP, o Receiver e o Secure Hub podem autenticar para o mesmo Citrix Gateway sem problemas. Se você usa autenticação baseada em certificado, o XenMobile envia um certificado no contêiner MDX e o Secure Hub usa o certificado para autenticar com o Citrix Gateway. O Receiver é separado do Secure Hub e não pode usar o mesmo certificado que o Secure Hub para autenticar para o mesmo Citrix Gateway.

Você pode considerar a seguinte solução alternativa, que permite usar o mesmo FQDN para dois VIPs do Citrix Gateway.

Detalhes da decisão:

Orientação de design:

O Citrix Gateway inclui as configurações Tempo limite da sessão e Tempo limite forçado. Para obter detalhes, consulte Configurações recomendadas. Lembre-se de que existem diferentes valores de tempo limite para serviços em segundo plano, Citrix ADC e para acessar aplicativos offline.

Detalhes da decisão:

Orientação de design:

Em ambientes onde você pode usar endereços IP públicos para VIPs do Citrix Gateway, atribuir o VIP e o endereço de balanceamento de carga do XenMobile dessa maneira causa falhas de registro.

Certifique-se de que o VIP de balanceamento de carga use um IP interno para evitar falhas de registro neste cenário. Este endereço IP virtual deve seguir o padrão RFC 1918 de endereços IP privados. Se você usar um endereço IP não privado para este servidor virtual, o Citrix ADC não poderá contatar o XenMobile Server com sucesso durante o processo de autenticação. Para obter detalhes, consulte <https://support.citrix.com/article/CTX200430>.

Detalhes da decisão:

Orientação de design:

Use SSL Bridge se o XenMobile estiver na DMZ. Use SSL Offload, se necessário para atender aos padrões de segurança, quando o XenMobile estiver na rede interna.

Detalhes da decisão:

Orientação de design:

Para SSL Offload, escolha a porta 80 ou 8443 da seguinte forma:

Detalhes da decisão:

Orientação de design:

A configuração inicial do primeiro XenMobile Server em um cluster exige que você forneça o FQDN do XenMobile Server. Esse FQDN deve corresponder à sua URL VIP de MDM e à sua URL VIP de LB MAM Interno. (Um registro de endereço interno do Citrix ADC resolve o VIP de LB MAM.) Para obter detalhes, consulte "FQDN de registro para cada modo de gerenciamento" mais adiante neste artigo.

Além disso, você deve usar o mesmo certificado que os seguintes:

Detalhes da decisão:

Orientação de design:

Se você planeja usar o Secure Web apenas para navegação na web interna, a configuração do Citrix Gateway é simples. O Secure Web deve alcançar todos os sites internos por padrão. Pode ser necessário configurar firewalls e servidores proxy.

Se você planeja usar o Secure Web para navegação interna e externa, deve habilitar o SNIP para ter acesso à Internet de saída. A TI geralmente vê os dispositivos registrados (usando o contêiner MDX) como uma extensão da rede corporativa. Assim, a TI normalmente deseja que as conexões do Secure Web retornem ao Citrix ADC, passem por um servidor proxy e, em seguida, saiam para a Internet. Por padrão, o Secure Web usa um túnel VPN por aplicativo de volta à rede interna para todo o acesso à rede. O Citrix ADC usa configurações de túnel dividido.

Para uma discussão sobre as conexões do Secure Web, consulte Configurando conexões de usuário.

Detalhes da decisão:

Orientação de design para iOS:

Sua configuração do Citrix Gateway pode incluir Secure Ticket Authority (STA), com tunelamento dividido desativado. O Citrix Gateway deve permitir o tráfego do Secure Mail para as URLs do serviço de escuta da Citrix especificadas em Notificações push para Secure Mail para iOS.

Orientação de design para Android:

Use o Firebase Cloud Messaging (FCM) para controlar como e quando os dispositivos Android precisam se conectar ao XenMobile. Com o FCM configurado, qualquer ação de segurança ou comando de implantação aciona uma notificação push para o Secure Hub para solicitar que o usuário se reconecte ao XenMobile Server.

Detalhes da decisão:

Orientação de design:

Os STAs HDX devem corresponder aos STAs no StoreFront e devem ser válidos para o farm do Virtual Apps and Desktops.

Detalhes da decisão:

Orientação de design:

Se você incluir controladores de zona de armazenamento em seu ambiente, certifique-se de configurar corretamente o seguinte:

Para obter informações, consulte a documentação do controlador de zonas de armazenamento.

Detalhes da decisão:

Orientação de design:

A melhor prática recomendada é integrar o Citrix Files com o XenMobile Advanced Edition ou XenMobile Advanced Edition (On-premises) ou Citrix Endpoint Management (nuvem), uma alternativa mais simples para configurar a federação baseada em SAML. Ao usar o Citrix Files com essas edições do XenMobile, o XenMobile fornece ao Citrix Files:

O console do XenMobile permite que você realize a configuração do Citrix Files e monitore os níveis de serviço e o uso da licença.

Existem dois tipos de clientes do Citrix Files: clientes do Citrix Files para XenMobile (também conhecidos como Citrix Files empacotados) e clientes móveis do Citrix Files (também conhecidos como Citrix Files não empacotados). Para entender as diferenças, consulte Como os clientes do Citrix Files para XenMobile diferem dos clientes móveis do Citrix Files.

Você pode configurar o XenMobile e o ShareFile para usar SAML para fornecer acesso SSO a:

Para usar o XenMobile como o IdP SAML para o Citrix Files, certifique-se de que as configurações adequadas estejam em vigor. Para obter detalhes, consulte SAML para SSO com Citrix Files.

Detalhes da decisão:

Orientação de design:

O ShareConnect permite que os usuários se conectem com segurança aos seus computadores por meio de iPads, tablets Android e telefones Android para acessar seus arquivos e aplicativos. Para conexões diretas, o XenMobile usa o Citrix Gateway para fornecer acesso seguro a recursos fora da rede local. Para obter detalhes de configuração, consulte ShareConnect.

A Citrix geralmente recomenda o SSL Bridge para configurações de servidor virtual MDM do Citrix ADC. Para uso do SSL Offload do Citrix ADC com servidores virtuais MDM, o XenMobile suporta apenas a porta 80 como serviço de back-end.

Para diagramas do Citrix Gateway em implantações do XenMobile, consulte Arquitetura de Referência para Implantações Locais.