Integration in NetScaler Gateway und NetScaler

Bei Integration in XenMobile bietet NetScaler Gateway für MAM-Geräte einen Authentifizierungsmechanismus für den Remotezugriff auf das interne Netzwerk. Durch die Integration können XenMobile Apps über ein von den Apps auf dem Mobilgerät erstelltes Micro-VPN an NetScaler Gateway auf Unternehmensserver im Intranet zugreifen.

Citrix Cloud Operations verwaltet den NetScaler-Lastausgleich.

Integrationsanforderungen nach XenMobile-Servermodus

Die Integrationsanforderungen für NetScaler Gateway und NetScaler unterscheiden sich je nach den XenMobile-Servermodus (MAM, MDM oder ENT).

MAM

Wenn der XenMobile-Server im MAM-Modus ist, gilt Folgendes:

  • NetScaler Gateway ist erforderlich. NetScaler Gateway bietet einen Micro-VPN-Pfad für den Zugriff auf alle Unternehmensressourcen und unterstützt eine starke, mehrstufige Authentifizierung.

MDM

Wenn der XenMobile-Server im MDM-Modus ist, gilt Folgendes:

  • NetScaler Gateway ist nicht erforderlich. Für MDM-Bereitstellungen empfiehlt Citrix die Verwendung von NetScaler Gateway für VPNs für Mobilgeräte.

ENT (MAM+MDM)

Wenn der XenMobile-Server im ENT-Modus ist, gilt Folgendes:

  • NetScaler Gateway ist erforderlich. NetScaler Gateway bietet einen Micro-VPN-Pfad für den Zugriff auf alle Unternehmensressourcen und unterstützt eine starke, mehrstufige Authentifizierung.

  • Wenn der XenMobile-Server im ENT-Modus ist und ein Benutzer die MDM-Registrierung abwählt, erfolgt die Geräteregistrierung per NetScaler Gateway-FQDN.

Design-Entscheidungen

Nachfolgend finden Sie eine Zusammenfassung der zahlreichen Design-Entscheidungen, die bei der Planung einer NetScaler Gateway-Integration in XenMobile getroffen werden müssen.

Zertifikate

Im Detail:

  • Benötigen Sie ein höheres Maß an Sicherheit für Registrierungen und den Zugriff auf die XenMobile-Umgebung?
  • Ist LDAP keine Option?

Orientierungshilfe:

Standardmäßig ist XenMobile für die Authentifizierung per Benutzernamen und Kennwort konfiguriert. Als zusätzliche Sicherheitsstufe für die Registrierung bei und den Zugriff auf die XenMobile-Umgebung ist die zertifikatbasierte Authentifizierung in Betracht zu ziehen. Sie können Zertifikate mit LDAP für die zweistufige Authentifizierung verwenden und so ohne RSA-Server ein höheres Maß an Sicherheit gewährleisten.

Wenn Sie LDAP nicht zulassen und Smartcards oder ähnliche Methoden verwenden, können Sie durch Konfigurieren von Zertifikaten XenMobile eine Smartcard präsentieren. Die Benutzer registrieren sich in diesem Fall mit einer eindeutigen PIN, die von XenMobile generiert wird. Sobald ein Benutzer Zugriff hat, erstellt XenMobile das Zertifikat, das ab dann für die Authentifizierung bei der XenMobile-Umgebung verwendet wird, und stellt dieses bereit.

XenMobile unterstützt Zertifikatsperrlisten nur für Drittanbieterzertifizierungsstellen. Wenn Sie eine Microsoft-Zertifizierungsstelle konfiguriert haben, wird in XenMobile zum Verwalten der Zertifikatsperre NetScaler verwendet. Bedenken Sie beim Konfigurieren der Clientzertifikatauthentifizierung, ob Sie die NetScaler-Einstellung für Zertifikatsperrlisten Enable CRL Auto Refresh konfigurieren müssen. Dadurch wird verhindert, dass Benutzer von Geräten im MAM-Only-Modus sich mit einem auf dem Gerät vorhandenen Zertifikat authentifizieren. XenMobile stellt ein neues Zertifikat aus, da die Generierung von Zertifikaten durch Benutzer nach Zertifikatsperre nicht unterbunden wird. Diese Einstellung erhöht die Sicherheit von PKI-Entitäten, wenn über die Zertifikatsperrliste auf abgelaufene PKI-Entitäten geprüft wird.

Dedizierte oder gemeinsam genutzt NetScaler Gateway-VIPs

Im Detail:

  • Verwenden Sie zurzeit NetScaler Gateway für XenApp und XenDesktop?
  • Wird XenMobile das gleiche NetScaler Gateway wie XenApp und XenDesktop nutzen?
  • Welche Authentifizierungsanforderungen gelten für beide Datenströme?

Orientierungshilfe:

Wenn Ihre Citrix Umgebung sowohl XenMobile als auch XenApp und XenDesktop enthält, können Sie für beides denselben virtuellen NetScaler Gateway-Server verwenden. Aufgrund möglicher Versionskonflikte und der Umgebungsisolierung wird ein dediziertes NetScaler Gateway für jede XenMobile-Umgebung empfohlen.

Wenn Sie die LDAP-Authentifizierung verwenden, ist eine Authentifizierung von Citrix Receiver und Secure Hub bei demselben NetScaler Gateway problemlos möglich. Bei Verwendung der zertifikatbasierten Authentifizierung überträgt XenMobile ein Zertifikat in den MDX-Container und Secure Hub verwendet das Zertifikat zur Authentifizierung beim NetScaler Gateway. Receiver ist von Secure Hub getrennt und kann für die Authentifizierung bei demselben NetScaler Gateway nicht dasselbe Zertifikat verwenden.

Mit folgendem Workaround können Sie denselben FQDN für zwei NetScaler Gateway-VIPs verwenden: Sie können zwei identische NetScaler Gateway-VIPs erstellen, wobei jedoch diejenige für Secure Hub den Standardport 443 und diejenige für XenApp und XenDesktop (= Citrix Receiver-App-Bereitstellung) Port 444 verwendet. Ein FQDN wird dann in die gleiche IP-Adresse aufgelöst. Für diesen Workaround müssen Sie ggf. StoreFront so konfigurieren, dass eine ICA-Datei für Port 444 anstelle des Standardports 443 zurückgegeben wird. Der Workaround erfordert keine Eingabe einer Portnummer durch die Benutzer.

NetScaler Gateway-Timeouts

Im Detail:

  • Wie möchten Sie die NetScaler Gateway-Timeouts für den XenMobile-Datenverkehr konfigurieren?

Orientierungshilfe:

NetScaler Gateway enthält die Einstellungen “Session time-out” und “Forced time-out”. Weitere Informationen finden Sie unter Empfohlene Konfigurationen. Beachten Sie, dass es für Hintergrunddienste, NetScaler und für den Offlinezugriff auf Anwendungen unterschiedliche Timeoutwerte gibt.

FQDN für die Registrierung

Wichtig:

Eine Änderung des Registrierungs-FQDN erfordert eine neue SQL Server-Datenbank und die Neuerstellung des XenMobile-Servers.

Secure Web-Datenverkehr

Im Detail:

  • Soll Secure Web auf das interne Webbrowsing beschränkt werden?
  • Soll Secure Web für das interne und das externe Webbrowsing aktiviert werden?

Orientierungshilfe:

Wenn Sie Secure Web nur für das interne Browsing verwenden, ist die NetScaler Gateway-Konfiguration einfach, sofern Secure Web standardmäßig alle internen Sites erreichen kann. Möglicherweise müssen Sie Firewalls und Proxyserver konfigurieren.

Wenn Sie Secure Web für das interne und das externe Browsing verwenden, müssen Sie für die SNIP ausgehenden Internetzugriff aktivieren. Da registrierte Geräte (mit dem MDX-Container) in der Regel als Erweiterung des Unternehmensnetzwerks angesehen werden, ist es normalerweise erwünscht, dass Secure Web-Verbindungen zu NetScaler zurückgehen und über einen Proxyserver in das Internet führen. Für den Zugriff auf Secure Web wird standardmäßig ein Tunnel zum internen Netzwerk verwendet, daher wird pro Anwendung ein VPN-Tunnel zum internen Netzwerk für den gesamten Netzwerkzugriff zusammen mit NetScaler Split-Tunnel-Einstellungen verwendet.

Eine Beschreibung von Secure Web-Verbindungen finden Sie unter Konfigurieren von Benutzerverbindungen.

Pushbenachrichtigungen für Secure Mail

Im Detail:

  • Möchten Sie Pushbenachrichtigungen verwenden?

Designhilfe für iOS:

Wenn die NetScaler Gateway-Konfiguration Secure Ticket Authority (STA) umfasst und Split-Tunneling deaktiviert ist, muss NetScaler Gateway Datenverkehr von Secure Mail zu den unter Pushbenachrichtigungen für Secure Mail für iOS angegebenen Citrix Listenerdienst-URLs zulassen.

Designhilfe für Android:

Als Alternative zur MDX-Richtlinie Aktives Abfrageintervall können Sie mit Google Cloud Messaging (GCM) steuern, wie und wann Android-Geräte eine Verbindung mit XenMobile herstellen müssen. Wenn GCM konfiguriert ist, lösen Sicherheitsaktionen oder Bereitstellungsbefehle eine Pushbenachrichtigung an Secure Hub aus, sodass der Benutzer aufgefordert wird, eine Verbindung mit dem XenMobile-Server herzustellen.

HDX-STAs

Im Detail:

  • Welche STAs sollte man bei Integration des Zugriffs auf HDX-Anwendungen verwenden?

Orientierungshilfe:

HDX-STAs müssen mit den STAs in StoreFront übereinstimmen und für die XenApp/XenDesktop-Farm gültig sein.

ShareFile

Im Detail:

  • Möchten Sie ShareFile StorageZone Controller in der Umgebung verwenden?
  • Welche ShareFile-VIP-URL möchten Sie verwenden?

Orientierungshilfe:

Wenn die Umgebung ShareFile StorageZone Controller enthält, stellen Sie sicher, dass Sie Folgendes korrekt konfigurieren: ShareFile Content Switch-VIP (wird von der ShareFile-Steuerungsebene für die Kommunikation mit den StorageZone Controller-Servern verwendet), ShareFile-Lastausgleichs-VIPs und alle erforderlichen Richtlinien und Profile. Weitere Informationen finden Sie in der Dokumentation zu Citrix StorageZones.

SAML-Identitätsanbieter

Im Detail:

  • Wenn für ShareFile SAML erforderlich ist, soll XenMobile als SAML-Identitätsanbieter verwendet werden?

Orientierungshilfe:

Die empfohlene bewährte Methode ist die Integration von ShareFile in XenMobile Advanced Edition oder XenMobile Enterprise Edition – eine einfachere Alternative zur Konfiguration eines SAML-basierten Verbunds. Wenn Sie ShareFile mit diesen XenMobile-Editionen verwenden, stellt XenMobile für ShareFile Single Sign-On-Authentifizierung für Benutzer von XenMobile Apps sowie Active Directory-basierte Benutzerkonten und umfassende Richtlinien für die Zugriffssteuerung bereit. Mit der XenMobile-Konsole können Sie ShareFile konfigurieren sowie Servicelevel und Lizenznutzung überwachen.

Es gibt zwei Arten von ShareFile-Clients: ShareFile für XenMobile (“umschlossenes ShareFile”) und mobile ShareFile-Clients (“nicht umschlossenes ShareFile”). Die Unterschiede werden unter Unterschiede zwischen ShareFile für XenMobile-Clients und mobilen ShareFile-Clients erläutert.

Sie können XenMobile und ShareFile so konfigurieren, dass diese mit SAML SSO-Zugriff für mobile, mit dem MDX Service umschlossene ShareFile-Apps und für nicht umschlossene ShareFile-Clients (z. B. Website, Outlook-Plug-In oder Synchronisierungsclients) bereitstellen.

Wenn Sie XenMobile als SAML-IdP für ShareFile verwenden möchten, stellen Sie sicher, dass die richtigen Konfigurationen vorhanden sind. Weitere Informationen finden Sie unter SAML für SSO bei ShareFile.

Direkte ShareConnect-Verbindungen

Im Detail:

  • Sollen Benutzer von einem Computer oder Mobilgerät mit ShareConnect direkt auf einen Hostcomputer zugreifen?

Orientierungshilfe:

Mit ShareConnect können Benutzer sichere Verbindungen von iPads sowie Android-Tablets und -Telefonen mit ihren Computern herstellen und auf Dateien und Anwendungen zugreifen. Bei direkten Verbindungen bietet XenMobile über NetScaler Gateway sicheren Benutzerzugriff auf Ressourcen außerhalb des lokalen Netzwerks. Informationen zur Konfiguration finden Sie unter ShareConnect.

Registrierungs-FQDN für die einzelnen Bereitstellungstypen

   
Bereitstellungstyp Registrierungs-FQDN
Enterprise (MDM + MAM) mit verbindlicher MDM-Registrierung FQDN des XenMobile-Servers
Enterprise (MDM + MAM) mit optionaler MDM-Registrierung FQDN des XenMobile-Servers oder von NetScaler Gateway
Nur MDM FQDN des XenMobile-Servers
Nur-MAM (Legacy) NetScaler Gateway-FQDN
Nur MAM FQDN des XenMobile-Servers

Zusammenfassung der Bereitstellung

Citrix empfiehlt die Verwendung des Assistenten für NetScaler für XenMobile zur Gewährleistung einer ordnungsgemäßen Konfiguration. Sie können den Assistenten nur einmal verwenden. Wenn Sie mehrere XenMobile-Instanzen haben (z. B. für die Test-, die Entwicklungs- und die Produktionsumgebung), müssen Sie NetScaler für die zusätzlichen Umgebungen manuell konfigurieren. Bei einer funktionierenden Umgebung notieren Sie sich die Einstellungen, bevor Sie NetScaler manuell für XenMobile konfigurieren.

Die wichtigste Entscheidung, die Sie bei Verwendung des Assistenten treffen, ist die Wahl zwischen HTTPS und HTTP für die Kommunikation mit dem XenMobile-Server. HTTPS bietet eine sichere Back-End-Kommunikation, da der Datenverkehr zwischen NetScaler und XenMobile verschlüsselt wird. Die erneute Verschlüsselung hat allerdings Auswirkungen auf die Leistung des XenMobile-Servers. HTTP bietet die bessere XenMobile-Serverleistung, doch der Datenverkehr zwischen NetScaler und XenMobile wird nicht verschlüsselt. Die folgenden Tabellen enthalten die erforderlichen HTTP- und HTTPS-Ports für NetScaler und den XenMobile-Server.

HTTPS

Citrix empfiehlt normalerweise die Verwendung einer SSL-Brücke für NetScaler in Konfigurationen mit virtuellem MDM-Server. Bei Verwendung von SSL-Offload für NetScaler mit virtuellen MDM-Servern unterstützt XenMobile nur Port 80 als Back-End-Dienst.

       
Bereitstellungstyp NetScaler-Lastausgleich SSL-Neuverschlüsselung XenMobile-Serverport
MDM SSL-Brücke Nicht zutreffend 443, 8443
MAM SSL-Offload Aktiviert 8443
Enterprise MDM: SSL-Brücke Nicht zutreffend 443, 8443
Enterprise MAM: SSL-Offload Aktiviert 8443

HTTP

       
Bereitstellungstyp NetScaler-Lastausgleich SSL-Neuverschlüsselung XenMobile-Serverport
MDM SSL-Offload Nicht unterstützt 80
MAM SSL-Offload Aktiviert 8443
Enterprise MDM: SSL-Offload Nicht unterstützt 80
Enterprise MAM: SSL-Offload Aktiviert 8443

Diagramme von NetScaler Gateway in XenMobile-Bereitstellungen finden Sie unter Architektur.

Integration in NetScaler Gateway und NetScaler