Produktdokumentation
Citrix DaaS™
PDF anzeigen

HDX™ Direct

April 6, 2026
Beitrag von: 
C C

Beim Zugriff auf von Citrix bereitgestellte Ressourcen ermöglicht HDX Direct sowohl internen als auch externen Clientgeräten, eine sichere Direktverbindung mit dem Sitzungshost herzustellen, sofern eine direkte Kommunikation möglich ist.

Systemanforderungen

Die folgenden Systemanforderungen gelten für die Verwendung von HDX Direct:

  • Steuerungsebene

    • Citrix DaaS™
    • Citrix Virtual Apps and Desktops™ 2503 oder höher

  • Virtual Delivery Agent (VDA)

    • Windows: Version 2503 oder höher

  • Workspace-App

    • Windows: Version 2503 oder höher
    • Linux: Version 2411 oder höher
    • Mac: Version 2411 oder höher

  • Zugriffsebene

    • Citrix Workspace™
    • Citrix Storefront™ 2503 oder höher
    • Citrix Gateway Service
    • Citrix NetScaler® Gateway

Netzwerkanforderungen

Die folgenden Netzwerkanforderungen gelten für die Verwendung von HDX Direct.

Sitzungshosts

Wenn Ihre Sitzungshosts eine Firewall wie die Windows Defender Firewall verwenden, müssen Sie den folgenden eingehenden Datenverkehr für interne Verbindungen zulassen.

| Beschreibung | Quelle | Protokoll | Port | | — | — | — | — | | Direkte interne Verbindung | Client | TCP | 443 | | Direkte interne Verbindung | Client | UDP | 443 |

Hinweis:

Der VDA-Installer fügt die entsprechenden eingehenden Regeln zur Windows Defender Firewall hinzu. Wenn Sie eine andere Firewall verwenden, müssen Sie die oben genannten Regeln hinzufügen.

Clientnetzwerk

Die folgende Tabelle beschreibt das Clientnetzwerk für interne und externe Benutzer.

Interne Benutzer

| Beschreibung | Protokoll | Quelle | Quellport | Ziel | Zielport | | — | — | — | — | — | — | | Direkte interne Verbindung | TCP | Clientnetzwerk | 1024–65535 | VDA-Netzwerk | 443 | | Direkte interne Verbindung | UDP | Clientnetzwerk | 1024–65535 | VDA-Netzwerk | 443 |

Externe Benutzer

| Beschreibung | Protokoll | Quelle | Quellport | Ziel | Zielport | | — | — | — | — | — | — | | STUN (nur externe Benutzer) | UDP | Clientnetzwerk | 1024–65535 | Internet (siehe Hinweis unten) | 3478, 19302 | | Externe Benutzerverbindung | UDP | Clientnetzwerk | 1024–65535 | Öffentliche IP-Adresse des Rechenzentrums | 1024–65535 |

Rechenzentrumsnetzwerk

Die folgende Tabelle beschreibt das Rechenzentrumsnetzwerk für interne und externe Benutzer.

Interne Benutzer

Beschreibung Protokoll Quelle Quellport Ziel Zielport
Direkte interne Verbindung TCP Clientnetzwerk 1024–65535 VDA-Netzwerk 443
Direkte interne Verbindung UDP Clientnetzwerk 1024–65535 VDA-Netzwerk 443

Externe Benutzer

Beschreibung Protokoll Quelle Quellport Ziel Zielport
STUN (nur externe Benutzer) UDP VDA-Netzwerk 1024–65535 Internet (siehe Hinweis unten) 3478, 19302
Externe Benutzerverbindung UDP DMZ / Internes Netzwerk 1024–65535 VDA-Netzwerk 55000–55250
Externe Benutzerverbindung UDP VDA-Netzwerk 55000–55250 Öffentliche IP des Clients 1024–65535

HINWEIS:

Sowohl der VDA als auch die Workspace-App versuchen, STUN-Anfragen in der gleichen Reihenfolge an die folgenden Server zu senden:

  • stun.cloud.com:3478
  • stun.cloudflare.com:3478
  • stun.l.google.com:19302

Wenn Sie den Standardportbereich für externe Benutzerverbindungen mithilfe der Richtlinieneinstellung HDX Direct-Portbereich ändern, müssen die entsprechenden Firewallregeln Ihrem benutzerdefinierten Portbereich entsprechen.

Konfiguration

HDX Direct ist standardmäßig deaktiviert. Sie können diese Funktion mithilfe der Einstellung HDX Direct in der Citrix-Richtlinie konfigurieren.

  • HDX Direct: Zum Aktivieren oder Deaktivieren einer Funktion.
  • HDX Direct-Modus: Legt fest, ob HDX Direct nur für interne Clients oder für interne und externe Clients verfügbar ist.
  • HDX Direct-Portbereich: Definiert den Portbereich, den der VDA für Verbindungen von externen Clients verwendet.

Bei Bedarf kann die Liste der von HDX Direct verwendeten STUN-Server durch Bearbeiten des folgenden Registrierungswerts geändert werden:

  • Schlüssel: HKLM\SOFTWARE\Citrix\HDX-Direct
  • Werttyp: REG_MULTI_SZ
  • Wertname: STUNServers
  • Daten: stun.cloud.com:3478 stun.cloudflare.com:3478 stun.l.google.com:19302

HINWEIS:

HDX Direct für externe Benutzer ist nur mit EDT (UDP) als Transportprotokoll verfügbar. Daher muss Adaptive Transport aktiviert sein.

Überlegungen

Die folgenden Punkte sind bei der Verwendung von HDX Direct zu beachten:

  • HDX Direct für externe Benutzer ist nur mit EDT (UDP) als Transportprotokoll verfügbar. Daher muss Adaptive Transport aktiviert sein.
  • Wenn Sie HDX Insight verwenden, beachten Sie, dass die Verwendung von HDX Direct die Datenerfassung von HDX Insight verhindert, da die Sitzung nicht mehr über NetScaler Gateway geleitet wird.

Funktionsweise

HDX Direct ermöglicht Clients, eine direkte Verbindung zum Sitzungshost herzustellen, wenn eine direkte Kommunikation verfügbar ist. Wenn direkte Verbindungen über HDX Direct hergestellt werden, werden selbstsignierte Zertifikate verwendet, um die direkte Verbindung mit Netzwerkverschlüsselung (TLS/DTLS) zu sichern.

Interne Benutzer

Das folgende Diagramm zeigt die Übersicht über den HDX Direct-Verbindungsprozess für interne Benutzer.

HDX Direct Overview

  1. Der Client stellt eine HDX-Sitzung über den Gateway Service her.
  2. Nach einer erfolgreichen Verbindung sendet der VDA dem Client den FQDN der VDA-Maschine, eine Liste ihrer IP-Adressen und das Zertifikat der VDA-Maschine über die HDX-Verbindung.
  3. Der Client prüft die IP-Adressen, um festzustellen, ob er den VDA direkt erreichen kann.
  4. Wenn der Client den VDA mit einer der freigegebenen IP-Adressen direkt erreichen kann, stellt der Client eine direkte Verbindung mit dem VDA her, die mit (D)TLS unter Verwendung eines Zertifikats gesichert ist, das dem in Schritt (2) ausgetauschten Zertifikat entspricht.
  5. Sobald die direkte Verbindung erfolgreich hergestellt wurde, wird die Sitzung auf die neue Verbindung übertragen und die Verbindung zum Gateway Service beendet.

Hinweis:

Nach dem Herstellen der Verbindung in Schritt 2 ist die Sitzung aktiv. Die nachfolgenden Schritte verzögern oder beeinträchtigen die Fähigkeit des Benutzers, die virtuelle Anwendung oder den Desktop zu verwenden, nicht. Wenn einer der nachfolgenden Schritte fehlschlägt, wird die Verbindung über das Gateway aufrechterhalten, ohne die Benutzersitzung zu unterbrechen.

Traditionelle Direktverbindungen

Bei Verwendung von Storefront, Workspace mit Direct Workload Connection oder Workspace, das für interne Konnektivität konfiguriert ist, werden direkte Verbindungen zwischen dem Client und dem Sitzungshost hergestellt, ohne dass diese zuerst über ein Gateway geleitet werden müssen.

In diesen Fällen wird HDX Direct nicht ausgelöst, da die Verbindungen von Natur aus direkt sind. Wenn HDX Direct jedoch aktiviert ist, nutzen diese Verbindungen die HDX Direct-Zertifikate, um die Sitzungen zu sichern.

Externe Benutzer

Das folgende Diagramm zeigt die Übersicht über den HDX Direct-Verbindungsprozess für externe Benutzer:

HDX Direct connection process

  1. Der Client stellt eine HDX-Sitzung über den Gateway Service her.
  2. Nach einer erfolgreichen Verbindung senden sowohl der Client als auch der VDA eine STUN-Anfrage, um ihre öffentlichen IP-Adressen und Ports zu ermitteln.
  3. Der STUN-Server antwortet dem Client und dem VDA mit ihren entsprechenden öffentlichen IP-Adressen und Ports.
  4. Über die HDX-Verbindung tauschen Client und VDA ihre öffentlichen IP-Adressen und UDP-Ports aus, und der VDA sendet sein Zertifikat an den Client.
  5. Der VDA sendet UDP-Pakete an die öffentliche IP-Adresse und den UDP-Port des Clients. Der Client sendet UDP-Pakete an die öffentliche IP-Adresse und den UDP-Port des VDA.
  6. Nach Empfang einer Nachricht vom VDA antwortet der Client mit einer sicheren Verbindungsanfrage.
  7. Während des DTLS-Handshakes überprüft der Client, ob das Zertifikat mit dem in Schritt (4) ausgetauschten Zertifikat übereinstimmt. Nach der Validierung sendet der Client sein Autorisierungstoken. Eine sichere Direktverbindung ist nun hergestellt.
  8. Sobald die direkte Verbindung erfolgreich hergestellt wurde, wird die Sitzung auf die neue Verbindung übertragen und die Verbindung zum Gateway Service beendet.

Hinweis:

Nach dem Herstellen der Verbindung in Schritt 2 ist die Sitzung aktiv. Die nachfolgenden Schritte verzögern oder beeinträchtigen die Fähigkeit des Benutzers, die virtuelle Anwendung oder den Desktop zu verwenden, nicht. Wenn einer der nachfolgenden Schritte fehlschlägt, wird die Verbindung über das Gateway aufrechterhalten, ohne die Benutzersitzung zu unterbrechen.

HDX™ Direct
April 6, 2026
Beitrag von: 
C C
April 6, 2026
Beitrag von: 
C C

In diesem Artikel

Feedback zur Site | Your privacy choices footer linkIhre Datenschutzauswahl | Datenschutz und rechtliche Bestimmungen | Cookie-Einstellungen | Einstellungen für die Zustimmung | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.