Integration in Citrix Gateway und Citrix ADC
Bei Integration in Endpoint Management bietet Citrix Gateway für MAM-Geräte einen Authentifizierungsmechanismus für den Remotezugriff auf das interne Netzwerk. Durch die Integration können mobile Citrix Produktivitätsapps über ein Micro-VPN auf Unternehmensserver im Intranet zugreifen. Endpoint Management erstellt ein Micro-VPN von den Apps auf dem Gerät zu Citrix Gateway. Citrix Gateway bietet einen Micro-VPN-Pfad für den Zugriff auf alle Unternehmensressourcen und unterstützt eine starke Multifaktorauthentifizierung.
Wenn ein Benutzer die MDM-Registrierung abwählt, erfolgt die Geräteregistrierung per Citrix Gateway-FQDN.
Citrix Cloud Operations verwaltet den Citrix ADC-Lastausgleich.
Designentscheidungen
Nachfolgend finden Sie eine Zusammenfassung der zahlreichen Design-Entscheidungen, die bei der Planung einer Citrix Gateway-Integration in Endpoint Management getroffen werden müssen.
Zertifikate
Entscheidungsdetail:
- Benötigen Sie ein höheres Maß an Sicherheit für Registrierungen und den Zugriff auf die Endpoint Management-Umgebung?
- Ist LDAP keine Option?
Designempfehlung:
Standardmäßig ist Endpoint Management für die Authentifizierung per Benutzernamen und Kennwort konfiguriert. Als zusätzliche Sicherheitsstufe für die Registrierung bei und den Zugriff auf die Endpoint Management-Umgebung ist die zertifikatbasierte Authentifizierung in Betracht zu ziehen. Sie können Zertifikate mit LDAP für die zweistufige Authentifizierung verwenden und so ohne RSA-Server ein höheres Maß an Sicherheit gewährleisten.
Wenn Sie LDAP nicht zulassen und Smartcards oder ähnliche Methoden verwenden, können Sie durch Konfigurieren von Zertifikaten Endpoint Management eine Smartcard präsentieren. Die Benutzer registrieren sich in diesem Fall mit einer eindeutigen PIN, die von Endpoint Management generiert wird. Sobald ein Benutzer Zugriff hat, erstellt Endpoint Management das Zertifikat für die spätere Authentifizierung bei der Endpoint Management-Umgebung und stellt es bereit.
Endpoint Management unterstützt Zertifikatsperrlisten (CRL) nur für Drittanbieterzertifizierungsstellen. Wenn Sie eine Microsoft-Zertifizierungsstelle konfiguriert haben, wird in Endpoint Management zum Verwalten der Zertifikatsperre Citrix Gateway verwendet. Bedenken Sie beim Konfigurieren der Clientzertifikatauthentifizierung, ob Sie die Citrix Gateway-Einstellung für Zertifikatsperrlisten (CRL) Enable CRL Auto Refresh konfigurieren müssen. Dadurch wird sichergestellt, dass Benutzer von bei MAM registrierten Geräten keine Authentifizierung mit einem existierenden Zertifikat am Gerät durchführen können. Endpoint Management stellt ein neues Zertifikat aus, da es Benutzer nicht daran hindert, ein Benutzerzertifikat zu generieren, falls eines gesperrt wurde. Diese Einstellung erhöht die Sicherheit von PKI-Entitäten, wenn über die Zertifikatsperrliste auf abgelaufene PKI-Entitäten geprüft wird.
Dedizierte oder gemeinsam genutzt Citrix Gateway-VIPs
Entscheidungsdetail:
- Verwenden Sie zurzeit Citrix Gateway für Citrix Virtual Apps and Desktops?
- Wird Endpoint Management dasselbe Citrix Gateway wie Citrix Virtual Apps and Desktops nutzen?
- Welche Authentifizierungsanforderungen gelten für beide Datenströme?
Designempfehlung:
Wenn Ihre Citrix Umgebung sowohl Endpoint Management als auch Virtual Apps and Desktops enthält, können Sie für beides denselben virtuellen Citrix Gateway-Server verwenden. Aufgrund möglicher Versionskonflikte und der Umgebungsisolierung wird für jede Endpoint Management-Umgebung ein dediziertes Citrix Gateway empfohlen.
Wenn Sie die LDAP-Authentifizierung verwenden, ist eine Authentifizierung von Citrix Workspace und Secure Hub bei demselben Citrix Gateway problemlos möglich. Bei Verwendung der zertifikatbasierten Authentifizierung überträgt Endpoint Management ein Zertifikat in den MDX-Container und Secure Hub verwendet das Zertifikat zur Authentifizierung beim Citrix Gateway. Die Workspace-App ist von Secure Hub getrennt und kann für die Authentifizierung bei demselben Citrix Gateway nicht dasselbe Zertifikat wie Secure Hub verwenden.
Mit folgendem Workaround können Sie denselben FQDN für zwei Citrix Gateway-VIPs verwenden: Sie können zwei Citrix Gateway-VIPs mit derselben IP-Adresse erstellen. Die für Secure Hub verwendet dann den Standardport 443 und die für Citrix Virtual Apps and Desktops (= Citrix Workspace-App-Bereitstellung) den Port 444. Ein FQDN wird dann in die gleiche IP-Adresse aufgelöst. Für diesen Workaround müssen Sie ggf. StoreFront so konfigurieren, dass eine ICA-Datei für Port 444 anstelle des Standardports 443 zurückgegeben wird. Der Workaround erfordert keine Eingabe einer Portnummer durch die Benutzer.
Citrix Gateway-Timeouts
Entscheidungsdetail:
- Wie möchten Sie die Citrix Gateway-Timeouts für den Endpoint Management-Datenverkehr konfigurieren?
Designempfehlung:
Citrix Gateway enthält die Einstellungen “Session time-out” und “Forced time-out”. Weitere Informationen finden Sie unter Empfohlene Konfigurationen. Beachten Sie, dass es für Hintergrunddienste, Citrix Gateway und für den Offlinezugriff auf Anwendungen unterschiedliche Timeoutwerte gibt.
Registrierungs-FQDN
Wichtig:
Eine Änderung des Registrierungs-FQDN erfordert eine neue SQL Server-Datenbank und die Neuerstellung des Endpoint Management-Servers.
Secure Web-Datenverkehr
Entscheidungsdetail:
- Soll Secure Web auf das interne Webbrowsing beschränkt werden?
- Soll Secure Web für das interne und das externe Webbrowsing aktiviert werden?
Designempfehlung:
Wenn Sie Secure Web nur für das interne Webbrowsing verwenden, bereitet das Konfigurieren von Citrix Gateway keine Probleme. Wenn Secure Web jedoch nicht alle internen Sites standardmäßig erreichen kann, müssen Sie gegebenenfalls Firewalls und Proxyserver konfigurieren.
Wenn Sie Secure Web für das interne und das externe Browsing verwenden möchten, müssen Sie für die SNIP ausgehenden Internetzugriff aktivieren. Geräte, die (mit dem MDX-Container) registriert wurden, werden in der Regel als Erweiterung des Unternehmensnetzwerks angesehen. Daher ist es normalerweise erwünscht, dass Secure Web-Verbindungen zu Citrix Gateway zurückgehen und über einen Proxyserver in das Internet führen. Für den Zugriff auf Secure Web wird standardmäßig ein Tunnel zum internen Netzwerk verwendet. Secure Web verwendet pro Anwendung einen VPN-Tunnel zum internen Netzwerk für den gesamten Netzwerkzugriff zusammen mit Citrix Gateway Split-Tunnel-Einstellungen verwendet.
Eine Beschreibung von Secure Web-Verbindungen finden Sie unter Konfigurieren von Benutzerverbindungen.
Pushbenachrichtigungen für Secure Mail
Entscheidungsdetail:
- Möchten Sie Pushbenachrichtigungen verwenden?
Designhilfe für iOS:
Wenn die Citrix Gateway-Konfiguration Secure Ticket Authority (STA) umfasst und Split-Tunneling deaktiviert ist, muss Citrix Gateway den Datenverkehr von Secure Mail zu den Citrix Listenerdienst-URLs zulassen. Diese URLs sind in den Pushbenachrichtigungen für Secure Mail für iOS festgelegt.
Designhilfe für Android:
Steuern Sie mit Firebase Cloud Messaging (FCM), wie und wann Android-Geräte eine Verbindung zu Endpoint Management herstellen. Wenn FCM konfiguriert ist, lösen Sicherheitsaktionen oder Bereitstellungsbefehle eine Pushbenachrichtigung an Secure Hub aus, sodass der Benutzer aufgefordert wird, erneut eine Verbindung mit dem Endpoint Management-Server herzustellen.
HDX-STAs
Entscheidungsdetail:
- Welche STAs sollte man bei Integration des Zugriffs auf HDX-Anwendungen verwenden?
Designempfehlung:
HDX STAs müssen mit den STAs in StoreFront übereinstimmen und für die Virtual Apps and Desktops-Site gültig sein.
Citrix Files und Citrix Content Collaboration
Entscheidungsdetail:
- Möchten Sie einen Speicherzonencontroller in der Umgebung verwenden?
- Welche Citrix Files-VIP-URL möchten Sie verwenden?
Designempfehlung:
Wenn die Umgebung Speicherzonencontroller enthält, müssen Sie Folgendes korrekt konfigurieren:
- Citrix Files Content Switch-VIP (zur Kommunikation zwischen Citrix Files-Steuerungsebene und Speicherzonencontroller-Servern)
- Citrix Files-Lastausgleichs-VIPs
- Alle erforderlichen Richtlinien und Profile
Weitere Informationen finden Sie in der Dokumentation für den Speicherzonencontroller.
SAML-Identitätsanbieter
Entscheidungsdetail:
- Wenn SAML für Citrix Files erforderlich ist, soll Endpoint Management als SAML-Identitätsanbieter verwendet werden?
Designempfehlung:
Die empfohlene bewährte Methode ist die Integration von Citrix Files in Endpoint Management – eine einfachere Alternative zur Konfiguration eines SAML-basierten Verbunds. Endpoint Management bietet folgende Funktionen für Citrix Files:
- Authentifizierung per Single Sign-On (SSO) für mobile Citrix Produktivitätsappbenutzer.
- Active Directory-basiertes Benutzerkontoprovisioning.
- Umfassende Richtlinien zur Zugriffssteuerung.
Mit der Endpoint Management-Konsole können Sie Citrix Files konfigurieren sowie Servicelevel und Lizenznutzung überwachen.
Es gibt zwei Arten von Citrix Files-Clients: Citrix Files für Endpoint Management-Clients (“umschlossenes Citrix Files”) und mobile Citrix Files-Clients (“nicht umschlossenes Citrix Files”). Die Unterschiede werden unter Unterschiede zwischen Citrix Files für Endpoint Management-Clients und mobilen Citrix Files-Clients erläutert.
Sie können Endpoint Management und Citrix Files so konfigurieren, dass Sie mit SAML per SSO auf Folgendes zugreifen können:
- Citrix Files-Apps, die MAM-SDK-fähig sind oder Apps, die mit dem MDX Toolkit umschlossen wurden
- Nicht umschlossene Citrix Files-Clients, z. B. die Website, das Outlook-Plug-in oder Synchronisierungsclients
Wenn Sie Endpoint Management als SAML-Identitätsanbieter für Citrix Files verwenden möchten, stellen Sie sicher, dass die richtigen Konfigurationen vorhanden sind. Weitere Informationen finden Sie unter SAML für SSO bei Citrix Files.
Direkte ShareConnect-Verbindungen
Entscheidungsdetail:
- Sollen Benutzer von einem Computer oder Mobilgerät mit ShareConnect direkt auf einen Hostcomputer zugreifen?
Designempfehlung:
Mit ShareConnect können Benutzer sichere Verbindungen von iPads sowie Android-Tablets und -Telefonen mit ihren Computern herstellen und auf Dateien und Anwendungen zugreifen. Bei direkten Verbindungen bietet Endpoint Management über Citrix Gateway sicheren Benutzerzugriff auf Ressourcen außerhalb des lokalen Netzwerks. Informationen zur Konfiguration finden Sie unter ShareConnect.
Registrierungs-FQDN für jeden Verwaltungsmodus
| Verwaltungsmodus | Registrierungs-FQDN |
|---|---|
| MDM+MAM mit verbindlicher MDM-Registrierung | Endpoint Management-Server-FQDN |
| MDM+MAM mit optionaler MDM-Registrierung | Endpoint Management-Server-FQDN oder Citrix Gateway-FQDN |
| Nur MAM | Endpoint Management-Server-FQDN |
| Nur-MAM (Legacy) | Citrix Gateway-FQDN |
Zusammenfassung der Bereitstellung
Wenn Sie mehrere Endpoint Management-Instanzen haben (z. B. für die Test-, die Entwicklungs- und die Produktionsumgebung), müssen Sie Citrix Gateway für die zusätzlichen Umgebungen manuell konfigurieren. Notieren Sie sich bei einer funktionierenden Umgebung die Einstellungen, bevor Sie Citrix Gateway manuell für Endpoint Management konfigurieren.
Eine wichtige Entscheidung ist die Wahl zwischen HTTPS und HTTP für die Kommunikation mit dem Endpoint Management-Server. HTTPS bietet eine sichere Back-End-Kommunikation, da der Datenverkehr zwischen Citrix Gateway und Endpoint Management verschlüsselt wird. Die erneute Verschlüsselung hat allerdings Auswirkungen auf die Leistung des Endpoint Management-Servers. HTTP bietet die bessere Endpoint Management-Serverleistung. Der Datenverkehr zwischen Citrix Gateway und Endpoint Management wird jedoch nicht verschlüsselt. Die folgenden Tabellen enthalten die erforderlichen HTTP- und HTTPS-Ports für Citrix Gateway und Endpoint Management.
HTTPS
Citrix empfiehlt normalerweise die Verwendung einer SSL-Brücke für Citrix Gateway in Konfigurationen mit virtuellem MDM-Server. Bei Verwendung von SSL-Offload für Citrix Gateway mit virtuellen MDM-Servern unterstützt Endpoint Management nur Port 80 als Back-End-Dienst.
| Verwaltungsmodus | Citrix Gateway-Lastausgleichsmethode | SSL-Neuverschlüsselung | Endpoint Management-Serverport |
|---|---|---|---|
| MAM | SSL-Offload | Aktiviert | 8443 |
| MDM+MAM | MDM: SSL-Brücke | Nicht zutreffend | 443, 8443 |
| MDM+MAM | MAM: SSL-Offload | Aktiviert | 8443 |
HTTP
| Verwaltungsmodus | Citrix Gateway-Lastausgleichsmethode | SSL-Neuverschlüsselung | Endpoint Management-Serverport |
|---|---|---|---|
| MAM | SSL-Offload | Aktiviert | 8443 |
| MDM+MAM | MDM: SSL-Offload | Nicht unterstützt | 80 |
| MDM+MAM | MAM: SSL-Offload | Aktiviert | 8443 |
Diagramme von Citrix Gateway in Endpoint Management-Bereitstellungen finden Sie unter Architektur.