Direkte Workloadverbindung

Mit der direkten Workloadverbindung in Citrix Cloud™ können Sie den internen Datenverkehr zu den Apps und Desktops in Workspaces optimieren, um HDX-Sitzungen zu beschleunigen. In der Regel verbinden sich Benutzer in internen und externen Netzwerken über ein externes Gateway mit VDAs. Dieses Gateway kann on-premises in Ihrer Organisation sein oder als Citrix Dienst dem Ressourcenstandort in Citrix Cloud hinzugefügt werden. Mit der direkten Workloadverbindung können interne Benutzer das Gateway umgehen und sich direkt mit VDAs verbinden, wodurch die Latenz für den internen Netzwerkverkehr verringert wird.

Hinweis:

Mit dem Feature HDX Direct können Clients, sofern möglich, automatisch eine direkte Verbindung zu VDAs herstellen. Dadurch entfällt die Notwendigkeit, Ihre internen Netzwerkstandorte manuell zu konfigurieren.

Um eine direkte Workloadverbindung einzurichten, benötigen Sie Netzwerkstandorte, die dem Standort entsprechen, an dem Clients Apps und Desktops in Ihrer Umgebung starten. Fügen Sie mit der Seite Netzwerkstandorte in Citrix Cloud eine öffentliche Adresse für jeden Bürostandort hinzu, an dem sich diese Clients befinden.

Netzwerkspeicherorte entsprechen den öffentlichen IP-Bereichen der Netzwerke, von denen aus interne Benutzer eine Verbindung herstellen (z. B. Ihre Bürostandorte oder Zweigstellen). Citrix Cloud bestimmt anhand öffentlicher IP-Adressen, ob Netzwerke, aus denen virtuelle Apps oder Desktops gestartet werden, innerhalb oder außerhalb des Unternehmensnetzwerks liegen. Wenn ein Abonnent sich über das interne Netzwerk verbindet, leitet Citrix Cloud die Verbindung direkt an den VDA weiter und umgeht NetScaler Gateway. Wenn ein Abonnent eine externe Verbindung herstellt, leitet Citrix Cloud ihn über NetScaler Gateway und dann den Datenverkehr der Sitzung über Citrix Cloud Connector an den VDA im internen Netzwerk weiter. Wenn Citrix Gateway Service verwendet wird und das Rendezvous-Protokoll aktiviert ist, leitet Citrix Cloud externe Benutzer über den Gateway Service an den VDA im internen Netzwerk weiter. Roaming-Clients wie Laptops können eine dieser Netzwerkrouten verwenden, je nachdem, ob sich der Client zum Startzeitpunkt innerhalb oder außerhalb des Unternehmensnetzwerks befindet.

Remote Browser Isolation-Starts werden immer über das Gateway geleitet. Bei diesen Starts werden durch die Konfiguration der direkten Workloadverbindung keine Leistungsverbesserungen erzielt.

Anforderungen

Netzwerkanforderungen

• Das Unternehmensnetzwerk und Gast-WiFi-Netzwerke müssen separate öffentliche IP-Adressen haben. Wenn Ihr Unternehmens- und Gastnetzwerk dieselbe öffentliche IP-Adresse verwendet, können Benutzer im Gastnetzwerk keine DaaS-Sitzungen starten.
• Verwenden Sie die öffentlichen IP-Adressbereiche der Netzwerke, von denen aus interne Benutzer eine Verbindung herstellen. Interne Benutzer in diesen Netzwerken müssen über eine direkte Verbindung zu den VDAs verfügen. Andernfalls schlägt der Start virtueller Ressourcen fehl, da Workspace versucht, interne Benutzer direkt an den VDA weiterzuleiten. Diese Verbindung ist jedoch nicht möglich.
• Obwohl sich VDAs normalerweise in Ihrem On-Premises-Netzwerk befinden, können Sie auch VDAs verwenden, die in einer öffentlichen Cloud wie Microsoft Azure gehostet werden. Für den Start von Clients muss eine Netzwerkroute zum Kontakt der VDAs vorliegen, die nicht von einer Firewall blockiert wird. Dies erfordert einen VPN-Tunnel vom On-Premises-Netzwerk zu einem virtuellen Netzwerk, in dem sich die VDAs befinden.

TLS-Anforderungen beim Öffnen von Ressourcen in einem Webbrowser

Wenn Ihre Endbenutzer zum Öffnen von Apps und Desktops einen Webbrowser verwenden, empfiehlt Citrix, TLS auf den VDAs in Ihrem internen Netzwerk zu konfigurieren. Das Konfigurieren von TLS-Verbindungen für Ihre VDAs ermöglicht Direktstarts auf den VDAs. Ohne aktivierte TLS auf VDAs müssen App- und Desktopstarts über ein Gateway geleitet werden, wenn Abonnenten die Citrix Workspace-App für HTML5 verwenden. Starts mit dem Desktop Viewer sind davon nicht betroffen. Weitere Informationen zum Schutz direkter VDA-Verbindungen mit TLS finden Sie unter CTX134123 im Citrix Support Knowledge Center.

Netzwerkstandorte konfigurieren

Sie konfigurieren Netzwerkstandorte innerhalb von Citrix Cloud. Weitere Informationen finden Sie unter Netzwerkstandorte.

Wenn adaptiver Zugriff aktiviert ist, müssen Sie die Standorte als Intern konfigurieren. Wenn adaptiver Zugriff deaktiviert ist, können Sie den Netzwerkstandorttyp nicht auswählen und alle konfigurierten Netzwerkstandorte werden als intern betrachtet.

Überprüfen der fehlerfreien Weiterleitung interner Startvorgänge

Verwenden Sie eine der folgenden Methoden, um zu überprüfen, ob interne Starts direkt auf VDAs zugreifen:

• Zeigen Sie VDA-Verbindungen über die DaaS-Konsole an.
• Verwenden Sie die ICA®-Dateiprotokollierung, um die korrekte Adressierung der Clientverbindung zu überprüfen.

Citrix DaaS™-Konsole

Wählen Sie Verwalten > Überwachen und suchen Sie dann nach einem Benutzer mit einer aktiven Sitzung. Im Abschnitt Sitzungsdetails der Konsole werden direkte VDA-Verbindungen als UDP-Verbindungen angezeigt, während Gateway-Verbindungen als TCP-Verbindungen angezeigt werden.

Wenn UDP in der DaaS-Konsole nicht angezeigt wird, müssen Sie die HDX™ Adaptive Transport Policy für die VDAs aktivieren.

ICA-Dateiprotokollierung

Aktivieren Sie die ICA-Dateiprotokollierung auf dem Clientcomputer, wie in der Dokumentation zur Citrix Workspace-App für Windows beschrieben. Überprüfen Sie nach dem Starten von Sitzungen die Einträge Adresse und SSLProxyHost in der protokollierten ICA-Datei.

Direkte VDA-Verbindungen

Bei einer Direktverbindung zum VDA enthält die Eigenschaft Address die IP-Adresse und den Port des VDA.

Dies ist ein Beispiel für eine ICA-Datei, wenn ein Client eine Anwendung über NLS startet:

  [Notepad++ Cloud]
Address=;10.0.1.54:1494
SSLEnable=Off
<!--NeedCopy-->

Die Eigenschaft SSLProxyHost ist in dieser Datei nicht vorhanden. Diese Eigenschaft ist nur für Starts über ein Gateway enthalten.

Gateway-Verbindungen

Bei Gateway-Verbindungen enthält die Eigenschaft Address das STA-Ticket von Citrix Cloud. Die Eigenschaft SSLEnable ist auf Ein festgelegt und die Eigenschaft SSLProxyHost enthält den FQDN und Port des Gateways.

Dies ist das Beispiel einer ICA-Datei, wenn ein Client über den Citrix Gateway Service verbunden ist und eine Anwendung startet:

  [PowerShell ISE Cloud]
Address=;40;CWSSTA;027C02199068B33889A40C819A85CBB4
SSLEnable=On
SSLProxyHost=global.g.nssvcstaging.net:443
<!--NeedCopy-->

Dies ist das Beispiel einer ICA-Datei, wenn ein Client über ein On-Premises-Gateway verbunden ist und eine Anwendung über ein On-Premises-Gateway startet, das innerhalb des Ressourcenstandorts konfiguriert ist:

  [PowerShell ISE Cloud]
Address=;40;CWSSTA;027C02199068B33889A40C819A85CBB5
SSLEnable=On
SSLProxyHost=onpremgateway.domain.com:443
<!--NeedCopy-->

Hinweis:

Virtuelle On-Premises-Gatewayserver, die zum Starten virtueller Apps und Desktops verwendet werden, müssen virtuelle VPN-Server sein, keine virtuellen nFactor-Authentifizierungsserver. Virtuelle nFactor-Authentifizierungsserver dienen nur der Benutzerauthentifizierung und nicht als Proxy für den HDX- und ICA-Startdatenverkehr.

Problembehandlung

Fehler beim VDA-Start

Wenn VDA-Sitzungen nicht gestartet werden, müssen Sie sicherstellen, dass Sie öffentliche IP-Adressbereiche aus dem richtigen Netzwerk verwenden. Beim Konfigurieren Ihrer Netzwerkspeicherorte müssen Sie die öffentlichen IP-Adressbereiche des Netzwerks verwenden, von dem aus Ihre internen Benutzer eine Verbindung zum Internet herstellen. Weitere Informationen finden Sie unter Anforderungen in diesem Artikel.

Interne VDA-Starts werden weiterhin über das Gateway geleitet

Wenn intern gestartete VDA-Sitzungen weiterhin über das Gateway geleitet werden (als wären sie externe Sitzungen), müssen Sie sicherstellen, dass Sie die richtige öffentliche IP-Adresse verwenden, von denen Ihre internen Benutzer eine Verbindung zum Workspace herstellen. Die auf der NLS-Site aufgeführte öffentliche IP-Adresse muss der Adresse entsprechen, die der Client, der Ressourcen startet, für den Zugriff auf das Internet verwendet. Um die korrekte öffentliche IP-Adresse für den Client zu erhalten, melden Sie sich an der Clientmaschine an, öffnen dann eine Suchmaschine und geben dort “what is my ip” in die Suchleiste ein.

Alle Clients, die Ressourcen innerhalb desselben Bürostandorts starten, greifen in der Regel über dieselbe ausgehende öffentliche IP-Adresse im Netzwerk auf das Internet zu. Für diese Clients muss eine Internetnetzwerkroute zu den Subnetzen mit den VDAs vorliegen, die nicht durch eine Firewall blockiert wird. Weitere Informationen finden Sie unter Anforderungen in diesem Artikel.

Zusätzliche Hilfe und Unterstützung

Bei Fragen oder Problemen wenden Sie sich bitte an Ihren Citrix Vertriebsmitarbeiter oder an den Citrix Support.