Integrieren und Bereitstellen von Secure Web

Das generelle Verfahren zum Integrieren und Bereitstellen von Secure Web ist folgendes:

1. Um Single Sign-On (SSO) für das interne Netzwerk zu aktivieren, konfigurieren Sie Citrix Gateway.

   Für HTTP-Datenverkehr bietet Citrix ADC Single Sign-On für alle von Citrix ADC unterstützten Proxy-Authentifizierungstypen. Bei HTTPS-Datenverkehr ermöglicht die Richtlinie zum Zwischenspeichern von Webkennwörtern Secure Web die Authentifizierung und Bereitstellung von SSO für den Proxyserver über MAM SDK. MSM SDK unterstützt nur grundlegende, Digest- und NTLM-Proxy-Authentifizierung. Das Kennwort wird mit dem AM SDK zwischengespeichert und im freigegebenen Tresor von Endpoint Management gespeichert, einem sicheren Speicherbereich für vertrauliche App-Daten. Weitere Informationen zur Citrix Gateway-Konfiguration finden Sie unter Citrix Gateway.

2. Laden Sie Secure Web herunter.
3. Legen Sie fest, wie Benutzerverbindungen mit dem internen Netzwerk konfiguriert werden.
4. Fügen Sie Secure Web zu Endpoint Management hinzu, indem Sie dieselben Schritte wie für andere MDX-Apps ausführen und dann die MAM SDK-Richtlinien konfigurieren. Informationen zu Secure Web-spezifischen Richtlinien finden Sie unter Secure Web-Richtlinien.

Konfigurieren von Benutzerverbindungen

Secure Web unterstützt die folgenden Konfigurationen für Benutzerverbindungen:

• Tunnel - Web-SSO: Verbindungen, die einen Tunnel zum internen Netzwerk benötigen, können “Tunnel - Web-SSO” verwenden, eine Variante eines clientlosen VPNs.

• Reverse-Split-Tunneling: Im REVERSE-Modus umgeht der Datenverkehr für Intranetanwendungen den VPN-Tunnel, während anderer Datenverkehr durch den VPN-Tunnel läuft. Diese Richtlinie kann verwendet werden, um den gesamten nicht lokalen LAN-Verkehr zu protokollieren.

Split-Tunneling

Im Split-Tunneling-Modus wird der Datenverkehr für die Intranetanwendungen über ein VPN geleitet, während der übrige Datenverkehr es umgeht. Dieses Feature verbessert die Leistung von Anwendungen, die keinen VPN-Schutz benötigen, und gewährleistet außerdem die Sicherheit beim Zugriff auf interne Ressourcen bei Verbindung mit dem Internet.

Wenn Split-Tunneling aktiviert ist, haben Sie sowohl unter Android als auch unter iOS zwei Optionen:

• Definieren Sie einen Intranet-IP-Adressbereich: Er ermöglicht Ihnen den Zugriff auf die Intranetsite, indem Sie Secure Web (mit mVPN) öffnen und die von Ihnen definierte IP-Adresse verwenden (z. B. https://10.8.0.8).

• Definieren Sie Intranetanwendungen, die Platzhalter unterstützen: Sie können auf die Intranetsite zugreifen, indem Sie Secure Web (mit mVPN) öffnen und die von Ihnen definierte Domänenadresse verwenden (z. B. https://abc.example.com).

Konfigurationsschritte für Reverse-Split-Tunneling

Führen Sie die folgenden Schritte aus, um den Split-Tunneling-Reverse-Modus auf dem Citrix Gateway zu konfigurieren:

1. Navigieren Sie zu Richtlinien > Sitzung Richtlinie.
2. Wählen Sie die Secure Hub-Richtlinie und navigieren Sie dann zu Client Experience > Split-Tunnel.
3. Wählen Sie REVERSE aus.

MDX-Richtlinie “Ausschlussliste für Reverse-Split-Tunneling”

Sie konfigurieren die Richtlinie für das Reverse-Split-Tunneling in Citrix Endpoint Management mit einer Ausschlussliste. Es handelt sich um eine kommagetrennte Liste von DNS-Suffixen und FQDNs. Diese Liste definiert die URLs, für die der Datenverkehr über das LAN des Geräts geleitet und nicht an Citrix ADC gesendet werden soll.

In der folgenden Tabelle wird aufgeführt, wann Secure Web die Benutzer zur Eingabe der Anmeldeinformationen auf der Basis der Konfiguration und des Sitetyps auffordert:

Secure Web-Richtlinien

Beachten Sie beim Hinzufügen von Secure Web diese für Secure Web spezifischen MAM SDK-Richtlinien. Für alle unterstützten Mobilgeräte:

Zugelassene oder blockierte Websites

Secure Web filtert Weblinks normalerweise nicht. Sie können mit dieser Richtlinie eine spezifische Liste zugelassener oder blockierter Sites konfigurieren. Dazu konfigurieren Sie URL-Muster in einer durch Trennzeichen getrennte Liste und beschränken so die Websites, die der Browser öffnen kann. Ein Pluszeichen (+) oder Minuszeichen (-) wird jedem Muster in der Liste vorangestellt. Der Browser vergleicht eine URL mit den Mustern in der aufgelisteten Reihenfolge, bis eine Übereinstimmung gefunden wird. Wenn eine Übereinstimmung gefunden wird, bestimmt das Präfix die Aktion wie folgt:

• Bei einem Minuszeichen (-) blockiert der Browser die URL. In diesem Fall wird die URL so behandelt, als ob die Webserveradresse nicht aufgelöst werden könnte.
• Bei einem Pluszeichen (+) wird die URL normal verarbeitet.
• Wenn weder ein + noch ein - dem Muster vorangestellt sind, wird ein + angenommen und der Zugriff zugelassen.
• Wenn die URL mit keinem Muster in der Liste übereinstimmt, wird sie zugelassen.

Wenn alle anderen URLs blockiert werden sollen, setzen Sie an den Schluss der Liste ein Minuszeichen gefolgt von einem Sternchen (-*). Beispiel:

• Der Richtlinienwert +http://*.mycorp.com/*,-http://*,+https://*,+ftp://*,-* erlaubt HTTP-URLs innerhalb der Domäne mycorp.com, blockiert sie aber anderswo, lässt HTTPS- und FTP-URLs überall zu und blockiert alle anderen URLs.
• Der Richtlinienwert +http://*.training.lab/*,+https://*.training.lab/*,-* ermöglicht Benutzern, alle Sites in der Training.lab-Domäne (Intranet) über HTTP oder HTTPS zu öffnen. Der Richtlinienwert lässt nicht zu, dass Benutzer öffentliche URLs wie Facebook, Google oder Hotmail öffnen, unabhängig vom Protokoll.

Der Standardwert ist leer (alle URLs erlaubt).

Popups blockieren

Popups sind neue Registerkarten, die von Websites ohne Ihre Genehmigung geöffnet werden. Mit dieser Richtlinie legen Sie fest, ob Secure Web Popups zulässt. Bei der Einstellung “Ein” verhindert Secure Web das Öffnen von Popups. Der Standardwert ist Aus.

Vorab geladene Lesezeichen

Definiert einen vorab geladenen Satz Lesezeichen für den Secure Web-Browser. Die Richtlinie ist eine durch Trennzeichen getrennte Liste mit Tupel, die einen Ordnernamen, einen Anzeigenamen und die Webadresse einschließt. Jedes Tripel muss das Format “Ordner, Name, URL” haben, wobei Ordner und Name von Anführungszeichen (“) umschlossen sein können.

Beispielsweise definieren die Richtlinienwerte "Mycorp, Inc. home page",https://www.mycorp.com, "MyCorp Links",Account logon,https://www.mycorp.com/Accounts "MyCorp Links/Investor Relations","Contact us",https://www.mycorp.com/IR/Contactus.aspx drei Lesezeichen. Das erste ist ein primärer Link (kein Ordnername) mit dem Titel “Mycorp, Inc. home page”. Der zweite Link wird in einem Ordner mit dem Namen “MyCorp Links” platziert und trägt die Bezeichnung “Account logon”. Der dritte Link wird im Unterordner “Investor Relations” des Ordners “MyCorp Links” platziert und als “Contact us” angezeigt.

Der Standardwert ist leer.

Homepage-URL

Definiert die Website, die beim Starten von Secure Web geladen wird. Der Standardwert ist leer (Standardstartseite).

Nur für unterstützte Android- und iOS-Geräte:

Browserbenutzeroberfläche

Gibt das Verhalten und die Sichtbarkeit der Steuerelemente der Browserbenutzeroberfläche für Secure Web an. Normalerweise sind alle Browsersteuerelemente verfügbar. Dies schließt die Steuerelemente für Weiter, Zurück, Adressleiste sowie Aktualisieren und Stopp ein. Sie können mit dieser Richtlinie die Verwendung und Sichtbarkeit einiger dieser Steuerelemente einschränken. Der Standardwert ist “Alle Steuerelemente sichtbar”.

Optionen:

• Alle Steuerelemente sichtbar. Alle Steuerelemente sind sichtbar und die Benutzer sind nicht in ihrer Verwendung eingeschränkt.
• Nur-Lese-Adressleiste. Alle Steuerelemente sind sichtbar, aber Benutzer können das Adressfeld des Browsers nicht bearbeiten.
• Adressleiste ausblenden. Die Adressleiste wird ausgeblendet. Die anderen Steuerelemente werden angezeigt.
• Alle Steuerelemente ausblenden. Die gesamte Symbolleiste wird ausgeblendet und das Browserfenster ohne Rahmen angezeigt.

Webkennwortcaching aktivieren

Diese Richtlinie bestimmt, ob Secure Web Kennwörter auf Geräten zwischenspeichert, wenn Benutzer von Secure Web ihre Anmeldeinformationen zum Zugreifen auf oder Anfordern von Webressourcen eingeben. Diese Richtlinie gilt für Kennwörter, die in Authentifizierungsdialogfelder eingegeben werden, und nicht für Kennwörter, die in Webformulare eingegeben werden.

Wenn Ein festgelegt wird, speichert Secure Web alle Kennwörter zwischen, die Benutzer beim Anfordern einer Webressource eingeben. Wenn Aus festgelegt wird, speichert Secure Web Kennwörter nicht zwischen und entfernt bereits zwischengespeicherte Kennwörter. Der Standardwert ist Aus.

Proxyserver

Sie können auch Proxyserver für Secure Web konfigurieren, wenn der Modus “Tunnel - Web-SSO” aktiviert ist. Weitere Informationen finden Sie in diesem Blogbeitrag:

DNS-Suffixe

Wenn DNS-Suffixe auf Android nicht konfiguriert sind, schlägt das VPN möglicherweise fehl. Weitere Informationen zum Konfigurieren von DNS-Suffixen finden Sie unter Supporting DNS Queries by Using DNS Suffixes for Android Devices.

Vorbereiten von Intranetsites für Secure Web

Dieser Abschnitt richtet sich an Website-Entwickler, die eine Intranetsite für die Verwendung mit Secure Web für iOS und Android vorbereiten müssen. Bei für Desktop-Browser entwickelten Intranetsites sind Änderungen erforderlich, damit sie ordnungsgemäß auf Android- und iOS-Geräten funktionieren.

Secure Web stützt sich auf Android WebView und iOS WkWebView für die Unterstützung von Webtechnologie. Beispiele für von Secure Web unterstützte Internet-Technologien:

• AngularJS
• ASP.NET
• JavaScript
• jQuery
• WebGL
• WebSockets (nur im uneingeschränkten Modus)

Beispiele für von Secure Web nicht unterstützte Internet-Technologien:

• Flash
• Java

In der folgenden Tabelle werden die von Secure Web unterstützten HTML-Rendering-Features und -Technologien aufgelistet. X zeigt an, dass die Funktion für eine Kombination aus Plattform, Browser und Komponente verfügbar ist.

Die Technologien funktionieren geräteübergreifend gleich, doch Secure Web gibt verschiedene Benutzeragentzeichenfolgen für verschiedene Geräte zurück. Die für Secure Web verwendete Browserversion können Sie anhand der Zeichenfolge des Benutzeragents ermitteln. Sie können den Benutzeragenten in den Secure Web-Protokollen überprüfen. Um die Secure Web-Protokolle zu sammeln, navigieren Sie zu Secure Hub > Hilfe > Problem melden. Wählen Sie Secure Web aus der Liste der Apps aus. Sie erhalten eine E-Mail mit den gezippten Protokolldateien im Anhang.

Problembehandlung bei Intranetsites

Zum Beheben von Rendering-Problemen bei der Anzeige der Intranetsite in Secure Web vergleichen Sie das Rendering der Website in Secure Web und einem kompatiblen Drittanbieter-Browser.

Für iOS sind Chrome und Dolphin kompatible Drittanbieter-Browser für Tests.

Für Android ist Dolphin der kompatible Drittanbieter-Browser für Tests.

Hinweis

Chrome ist ein systemeigener Android-Browser. Verwenden Sie ihn nicht für den Vergleich.

Stellen Sie unter iOS sicher, dass die Browser VPN-Unterstützung auf Geräteebene bieten. Sie können diese Unterstützung auf dem Gerät unter Einstellungen > VPN > VPN-Konfiguration hinzufügen konfigurieren.

Sie können auch VPN-Client-Apps wie Citrix Secure Access, Cisco AnyConnect oder Pulse Secure verwenden, die im App Store verfügbar sind.

• Ist das Rendering bei beiden Browsern gleich, liegt das Problem bei der Website. Aktualisieren Sie die Website und stellen Sie sicher, dass sie in dem Betriebssystem einwandfrei funktioniert.
• Wenn das Problem auf einer Webseite nur in Secure Web auftritt, wenden Sie sich an den Citrix Support zum Öffnen eines Supporttickets. Geben Sie die Problembehandlungsschritte und die getesteten Webbrowser und Betriebssysteme an. Wenn bei Secure Web für iOS Darstellungsprobleme auftreten, können Sie ein Webarchiv der Seite einbinden, wie in den folgenden Schritten beschrieben. Auf diese Weise kann Citrix das Problem beheben.

Überprüfen der SSL-Verbindung

Achten Sie darauf, dass die SSL-Zertifikatskette richtig konfiguriert ist. Mit dem SSL-Zertifikatsprüfer können Sie nach fehlenden Stamm- oder Zwischenzertifizierungsstellen suchen, die nicht verknüpft oder auf mobilen Geräten installiert sind.

Viele Serverzertifikate werden von mehreren hierarchisch strukturierten Zertifizierungsstellen (ZS) signiert und bilden daher eine Kette. Diese Zertifikate müssen Sie verknüpfen. Informationen zum Installieren oder Verknüpfen Ihrer Zertifikate finden Sie unter Installieren, Verknüpfen und Aktualisieren von Zertifikaten.

Erstellen einer Webarchivdatei

In Safari unter macOS 10.9 oder höher können Sie eine Webseite als Webarchivdatei (Leseliste) speichern. Die Webarchivdatei enthält alle verknüpften Dateien wie Images, CSS und JavaScript.

1. Leeren Sie in Safari den Ordner der Leseliste: Klicken Sie im Finder in der Menüleiste auf Gehe zu, wählen Sie Gehe zum Ordner, geben Sie den Pfadnamen ~/Library/Safari/ReadingListArchives/ ein. Löschen Sie nun alle Ordner an diesem Speicherort.

2. Gehen Sie in der Menüleiste zu Safari > Einstellungen > Erweitert und aktivieren Sie Entwicklermenü anzeigen in der Menüleiste.

3. Gehen Sie in der Menüleiste zu Entwickeln > Benutzeragent und geben Sie den Secure Web-Benutzeragent ein: (Mozilla/5.0 (iPad; CPU OS 8_3 wie macOS) AppleWebKit/600.1.4 (KHTML, wie Gecko) Mobile/12F69 Secure Web/ 10.1.0(Build 1.4.0) Safari/8536.25).

4. Öffnen Sie in Safari die Website, die Sie als Leseliste (Webarchivdatei) speichern möchten.

5. Gehen Sie in der Menüleiste zu Lesezeichen > Zur Leseliste hinzufügen. Dieser Schritt kann einige Zeit dauern. Die Archivierung erfolgt im Hintergrund.

6. Suchen Sie die archivierte Leseliste: Gehen Sie in der Menüleiste zu Ansicht > Leselisten-Seitenleiste anzeigen.

7. Überprüfen Sie die Archivdatei:

   • Deaktivieren Sie die Netzwerkverbindung zum Mac.

   • Öffnen Sie die Website über die Leseliste.

     Die Website wird komplett gerendert.

8. Komprimieren Sie die Archivdatei: Klicken Sie im Finder in der Menüleiste auf Gehe zu, wählen Sie Gehe zum Ordner, geben Sie den Pfadnamen ~/Library/Safari/ReadingListArchives/ ein. Komprimieren Sie dann den Ordner mit einer zufälligen Hex-Zeichenfolge als Dateiname. Diese Datei können Sie an den Citrix Support senden, wenn Sie ein Supportticket öffnen.

Secure Web-Features

Secure Web verwendet Technologien zum mobilen Datenaustausch, um ein dediziertes VPN-Tunneling zu erstellen, über das Benutzer auf interne und externe Websites und alle anderen Websites zugreifen können. Die Websites umfassen Websites mit sensiblen Informationen in einer Umgebung, die durch die Richtlinien Ihrer Organisation geschützt ist.

Die Integration von Secure Web in Secure Mail und Citrix Files bietet eine nahtlose Benutzererfahrung innerhalb des sicheren Endpoint Management-Containers. Hier sehen Sie einige Beispiele der Integrationsfeatures:

• Wenn Benutzer auf einen mailto-Link tippen, wird eine neue E-Mail-Nachricht in Secure Mail geöffnet, ohne dass sie sich erneut authentifizieren müssen.

• Öffnen von Links im Secure Web zulassen, um Daten zu schützen: Im Secure Web für Android ermöglicht ein dedizierter VPN-Tunnel den Benutzern den sicheren Zugriff auf Websites mit vertraulichen Informationen. Sie können auf Links in Secure Mail, in Secure Web oder in einer Drittanbieter-App klicken. Der Link wird im Secure Web geöffnet und die Daten sind sicher gespeichert. Die Benutzer können einen internen Link öffnen, der das ctxmobilebrowser-Schema in Secure Web hat. Dabei wandelt Secure Web das Präfix ctxmobilebrowser:// in http:// um. Um einen HTTPS-Link zu öffnen, wandelt Secure Web ctxmobilebrowsers:// in https:// um.

  In Secure Web für iOS hängt diese Funktion von einer App Interaction MDX-Richtlinie namens Austausch eingehender Dokumente ab. Die Richtlinie ist standardmäßig auf Uneingeschränkt festgelegt. Mit dieser Einstellung können URLs in Secure Web geöffnet werden. Sie können die Richtlinieneinstellung so ändern, dass nur Apps in einer von Ihnen angelegten Positivliste mit Secure Web kommunizieren können.

• Wenn Benutzer auf einen Intranet-Link in einer E-Mail-Nachricht klicken, wechselt Secure Web ohne weitere Authentifizierung zu der Site.

• Benutzer können Dateien in Citrix Files hochladen, die sie mit Secure Web aus dem Internet heruntergeladen haben.

Benutzer von Secure Web können außerdem die folgenden Aktionen ausführen:

• Popups blockieren

  Hinweis

  Ein großer Teil des Secure Web-Speichers wird für die Darstellung von Popups benötigt. Daher lässt sich die Leistung häufig verbessern, indem Popups in den Einstellungen blockiert werden.

• Lesezeichen für bevorzugte Sites erstellen
• Dateien herunterladen
• Seiten offline speichern
• Kennwörter automatisch speichern
• Cache, Verlauf und Cookies löschen
• Blockieren von Cookies und lokalem HTML5-Speicher:
• Geräte sicher mit anderen Benutzern teilen
• Über die Adressleiste suchen
• Erlauben Sie Web-Apps, die mit Secure Web ausgeführt werden, auf ihren Standort zuzugreifen.
• Einstellungen exportieren und importieren
• Dateien direkt in Citrix Files öffnen, ohne sie herunterzuladen. Zum Aktivieren dieses Features fügen Sie der Richtlinie “Zulässige URLs” in Endpoint Management den Parameter ctx-sf hinzu.
• Verwenden Sie in iOS 3D-Touchaktionen zum Öffnen einer neuen Registerkarte und zum Zugriff auf Offlineseiten und Favoriten sowie für direkte Downloads vom Homebildschirm.

• In iOS: Herunterladen von Dateien jeder Größe und Öffnen in Citrix Files oder anderen Apps

  Hinweis

  Wenn Secure Web in den Hintergrund gestellt wird, wird der Download gestoppt.

• Nach einem Begriff in der aktuellen Seitenansicht mit Auf Seite suchen suchen

  

Secure Web unterstützt auch dynamischen Text und zeigt daher die Schriftart an, die Benutzer auf ihrem Gerät festlegen.

Hinweis

• Citrix Files für XenMobile hat am 1. Juli 2023 das End of Life (EOL) erreicht. Weitere Informationen finden Sie unter Ende des Lebenszyklus und veraltete Apps