Citrix Gateways konfigurieren

Verwenden Sie Citrix Gateways, um Authentifizierung und Fernzugriff auf StoreFront und Ihre Virtual Delivery Agents (VDAs) bereitzustellen. Citrix Gateways laufen auf Hardware- oder Software-NetScaler ADCs. Der Citrix Gateway Service wird von Citrix verwaltet und kann für das HDX-Routing, jedoch nicht für die Authentifizierung oder den Fernzugriff auf StoreFront verwendet werden.

Weitere Informationen zur Konfiguration Ihres Gateways finden Sie unter NetScaler Gateway in StoreFront integrieren.

Sie müssen Ihr Gateway in StoreFront konfigurieren, bevor StoreFront den Zugriff über dieses Gateway zulässt.

Gateways anzeigen

Um die in StoreFront konfigurierten Gateways anzuzeigen, wählen Sie den Knoten Stores im linken Bereich der Citrix StoreFront-Verwaltungskonsole aus und klicken Sie auf Citrix Gateways verwalten. Daraufhin wird das Fenster Citrix Gateways verwalten angezeigt.

PowerShell

Um eine Liste der Gateways und ihrer Konfiguration zu erhalten, rufen Sie Get-STFRoamingGateway auf.

Citrix Gateway Appliance hinzufügen

1. Klicken Sie im Fenster Citrix Gateways verwalten auf Hinzufügen.

2. Geben Sie auf der Registerkarte Allgemeine Einstellungen die Einstellungen ein und klicken Sie dann auf Weiter.

   • Geben Sie einen Anzeigenamen für die Citrix Gateway-Bereitstellung an, der Benutzern hilft, diese zu identifizieren.

     Benutzer sehen den von Ihnen angegebenen Anzeigenamen in der Citrix Workspace-App. Fügen Sie daher relevante Informationen in den Namen ein, damit Benutzer entscheiden können, welche Bereitstellung sie verwenden möchten. Sie können beispielsweise den geografischen Standort in die Anzeigenamen Ihrer Citrix Gateway-Bereitstellungen aufnehmen, damit Benutzer die für ihren Standort am besten geeignete Bereitstellung leicht identifizieren können.

   • Setzen Sie den Gateway-Typ auf Citrix Gateway Appliance.

   • Geben Sie die URL des Gateways ein.

     Der vollqualifizierte Domänenname (FQDN) für Ihre StoreFront-Bereitstellung muss eindeutig und anders als der FQDN des virtuellen Citrix Gateway-Servers sein. Die Verwendung desselben FQDN für StoreFront und den virtuellen Citrix Gateway-Server wird nicht unterstützt. Das Gateway fügt die URL dem HTTP-Header X-Citrix-Via hinzu. StoreFront verwendet diesen Header, um zu bestimmen, welches Gateway verwendet wird.

     Über die GUI ist es nur möglich, eine einzelne Gateway-URL hinzuzufügen. Wenn ein Gateway über mehrere URLs zugänglich ist, müssen Sie dasselbe Gateway zweimal mit identischer Konfiguration, abgesehen von der URL, hinzufügen. Um die Konfiguration zu vereinfachen, können Sie eine sekundäre URL konfigurieren, die für den Zugriff auf das Gateway verwendet wird. Diese Option ist über die GUI nicht verfügbar, daher müssen Sie sie mit PowerShell konfigurieren. Sie sollten die Verwaltungskonsole schließen, bevor Sie PowerShell-Befehle ausführen. Wenn Sie beispielsweise mehrere Gateways hinter einem globalen Server-Lastenausgleich haben, ist es typischerweise nützlich, sowohl die GSLB-URL als auch eine URL hinzuzufügen, die für den Zugriff auf jedes spezifische regionale Gateway verwendet werden kann, z. B. zu Test- oder Fehlerbehebungszwecken. Nachdem Sie das Gateway erstellt haben, können Sie eine zusätzliche URL mit Set-STFRoamingGateway hinzufügen, wobei der Parameter -GSLBurl für die sekundäre URL verwendet wird. Obwohl der Parameter GSLBurl heißt, kann er für jede Situation verwendet werden, in der Sie eine zweite URL hinzufügen möchten. Zum Beispiel:

      Set-STFRoamingGateway -Name "Europe Gateway" -GSLBurl "eugateway.example.com" -GatewayUrl "gslb.example.com"
     <!--NeedCopy-->
     

     Hinweis:

     In diesem Beispiel enthält der Parameter GSLBurl entgegen der Intuition die regionale URL, während der Parameter GatewayUrl die GSLB-URL enthält. Für die meisten Zwecke werden die URLs identisch behandelt, und wenn der Store nur über einen Webbrowser aufgerufen wird, können sie beliebig konfiguriert werden. Beim Zugriff auf StoreFront über die Citrix Workspace-App liest diese jedoch die GatewayUrl aus StoreFront und verwendet sie anschließend für den Fernzugriff. Es ist vorzuziehen, sie so zu konfigurieren, dass sie immer mit der GSLB-URL verbunden ist.

     Wenn Sie mehr als zwei URLs benötigen, müssen Sie dies als separates Gateway konfigurieren.

   • Wählen Sie die Verwendung oder Rolle aus:

     Verwendung oder Rolle	Beschreibung
     Authentifizierung und HDX-Routing	Verwenden Sie das Gateway sowohl für die Bereitstellung des Fernzugriffs auf StoreFront als auch für den Zugriff auf die VDAs.
     Nur Authentifizierung	Wählen Sie diese Option, wenn das Gateway nur für den Fernzugriff auf StoreFront verwendet wird. Diese Option verhindert, dass der Citrix Workspace Launcher funktioniert. Wenn Sie daher hybride Starts verwenden müssen, wählen Sie Authentifizierung und HDX-Routing, auch wenn das Gateway nur für die Authentifizierung verwendet wird.
     Nur HDX-Routing	Wählen Sie diese Option, wenn das Gateway nur für die Bereitstellung des HDX-Zugriffs auf VDAs verwendet wird, z. B. an einem Standort, der keine StoreFront-Instanz hat.

   

3. Füllen Sie die Einstellungen auf der Registerkarte Secure Ticketing Authority aus.

   Die Secure Ticketing Authority stellt Sitzungstickets als Antwort auf Verbindungsanfragen aus. Diese Sitzungstickets bilden die Grundlage für die Authentifizierung und Autorisierung zur Erkennung der Citrix Workspace-App und den Zugriff auf VDAs.

   • Geben Sie eine oder mehrere URL(s) des Secure Ticket Authority-Servers ein.

     • Wenn Sie Citrix Virtual Apps and Desktops™ verwenden, können Sie die Delivery Controller als STA-Server verwenden.
     • Wenn Sie Citrix Desktop as a Service verwenden, können Sie Ihre Cloud Connectors als STA-Server verwenden. Diese leiten Anfragen entweder an die Citrix Cloud™ Ticketing Authority weiter oder generieren im LHC-Modus eigene Tickets. Zukünftig wird sich dies ändern, sodass sie immer eigene Tickets generieren, um die Ausfallsicherheit zu verbessern.
     • Es wird empfohlen, mindestens 2 STA-Server für Redundanz zu verwenden.
     • Bei der Verwendung von Cloud Connectors als STA-Server wird empfohlen, alle Cloud Connectors in mindestens einem Ressourcenstandort einzuschließen. Erstens stellt Citrix Cloud innerhalb eines Ressourcenstandorts sicher, dass immer nur ein Cloud Connector gleichzeitig aktualisiert wird, sodass das Einschließen aller Connectors gewährleistet, dass immer mindestens ein Connector nicht aktualisiert wird. Zweitens, wenn der Ressourcenstandort in den LHC-Modus wechselt, kann nur der einzelne Cloud Connector, der als “gewählter Broker” bezeichnet wird, STA-Tickets ausstellen. Da Sie nicht im Voraus wissen können, welcher Connector dies sein wird, schließen Sie alle Cloud Connectors in den Ressourcenstandort ein.
     • Stellen Sie sicher, dass alle in StoreFront aufgeführten STA-Server auch als STA-Server im virtuellen Citrix Gateway-Server aufgeführt sind. Wenn Server im Citrix Gateway fehlen, kann dies zu Fehlern beim Starten führen. Heute, bei der Verwendung von Cloud Connectors als STAs, ist dies im Normalbetrieb möglicherweise nicht offensichtlich, da jeder Connector verwendet werden kann, um Tickets von der Citrix Cloud Ticketing Authority einzulösen. Im Local Host Cache-Modus generiert der Connector jedoch eigene Tickets, und dies wird zukünftig das Standardverhalten sein.
     • Der Delivery Controller oder Cloud Connector kann so konfiguriert werden, dass StoreFront einen Sicherheitsschlüssel enthalten muss. Es ist nicht möglich, Sicherheitsschlüssel über die GUI hinzuzufügen; siehe den späteren Schritt zum Hinzufügen mit PowerShell.

   • Wählen Sie Mehrere STA-Server lastverteilen, um Anfragen zwischen den STA-Servern zu verteilen. Wenn diese Option deaktiviert ist, versucht StoreFront die Server in der Reihenfolge, in der sie aufgeführt sind.

   • Wenn StoreFront einen STA-Server nicht erreichen kann, vermeidet es die Verwendung dieses Servers für einen bestimmten Zeitraum. Standardmäßig beträgt dieser 1 Stunde, Sie können diesen Wert jedoch anpassen.

   • Wenn Sie möchten, dass Citrix Virtual Apps and Desktops getrennte Sitzungen offen hält, während die Citrix Workspace-App versucht, automatisch wiederherzustellen, wählen Sie Sitzungszuverlässigkeit aktivieren.

   • Wenn Sie mehrere STAs konfiguriert haben, wählen Sie optional Tickets von zwei STAs anfordern, falls verfügbar.

     Wenn Tickets von zwei STAs anfordern, falls verfügbar ausgewählt ist, erhält StoreFront Sitzungstickets von zwei verschiedenen STAs, sodass Benutzersitzungen nicht unterbrochen werden, wenn ein STA während der Sitzung nicht verfügbar wird. Wenn StoreFront aus irgendeinem Grund keine zwei STAs kontaktieren kann, greift es auf die Verwendung eines einzelnen STA zurück.

   

   Nachdem Sie die Einstellungen ausgefüllt haben, klicken Sie auf Weiter.

4. Füllen Sie die Einstellungen auf der Registerkarte Authentifizierungseinstellungen aus.

   • Wählen Sie die NetScaler® Version.

   • Wenn es mehrere Gateways mit derselben URL gibt (typischerweise bei Verwendung eines globalen Server-Lastenausgleichs) und Sie eine Callback-URL eingegeben haben, müssen Sie die VIP des Gateways eingeben. Dies ermöglicht StoreFront zu bestimmen, von welchem Gateway die Anfrage kam und somit welchen Server es über die Callback-URL kontaktieren soll. Andernfalls können Sie dieses Feld leer lassen.

   • Wählen Sie aus der Liste Anmeldetyp die Authentifizierungsmethode aus, die Sie auf der Appliance für Benutzer der Citrix Workspace-App konfiguriert haben.

   Die Informationen, die Sie über die Konfiguration Ihrer Citrix Gateway-Appliance bereitstellen, werden der Bereitstellungsdatei für den Store hinzugefügt. Dies ermöglicht der Citrix Workspace-App, die entsprechende Verbindungsanfrage zu senden, wenn sie die Appliance zum ersten Mal kontaktiert.

   • Für die LDAP-Authentifizierung wählen Sie Domäne.
   • Für die native OTP-Authentifizierung wählen Sie Sicherheitstoken.
   • Für die LDAP-plus-OTP-Authentifizierung wählen Sie Domäne und Sicherheitstoken.
   • Für OTP per Textnachricht wählen Sie SMS-Authentifizierung.
   • Für die Zertifikatsauthentifizierung wählen Sie Smartcard.
   • Für die SAML-Authentifizierung wählen Sie Domäne.
   • Für die OIDC-Authentifizierung wählen Sie Domäne.

   Wenn Sie die Smartcard-Authentifizierung mit einer sekundären Authentifizierungsmethode konfigurieren, auf die Benutzer zurückgreifen können, wenn sie Probleme mit ihren Smartcards haben, wählen Sie die sekundäre Authentifizierungsmethode aus der Liste „Smartcard-Fallback“ aus.

   • Geben Sie optional die intern zugängliche URL des Gateways in das Feld „Callback-URL“ ein. Dies ermöglicht StoreFront, den Citrix Gateway-Authentifizierungsdienst zu kontaktieren, um zu überprüfen, ob Anfragen, die von Citrix Gateway empfangen werden, von dieser Appliance stammen. Dies ist für Smart Access und für passwortlose Authentifizierungsszenarien wie Smartcard oder SAML erforderlich; andernfalls können Sie es leer lassen. Wenn Sie mehrere Citrix Gateways mit derselben URL haben, muss diese URL für den spezifischen Gateway-Server gelten.

   

   Nachdem Sie die Einstellungen ausgefüllt haben, klicken Sie auf Weiter.

5. Klicken Sie auf Erstellen, um die Konfiguration anzuwenden.

   

6. Nachdem die Bereitstellung angewendet wurde, klicken Sie auf Fertig stellen.

7. Wenn Sie Sicherheitsschlüssel konfiguriert haben (empfohlen), müssen Sie die Verwaltungskonsole schließen und diese mit PowerShell konfigurieren. Zum Beispiel:

   $gateway = Get-STFRoamingGateway -Name [Gateway name]
   $sta1 = New-STFSecureTicketAuthority -StaUrl [STA1 URL] -StaValidationEnabled $true -StaValidationSecret [secret]
   $sta2 = New-STFSecureTicketAuthority -StaUrl [STA2 URL] -StaValidationEnabled $true -StaValidationSecret [secret]
   Set-STFRoamingGateway -Gateway $gateway -SecureTicketAuthorityObjs $sta1,$sta2
   <!--NeedCopy-->
   

8. Um Benutzern den Zugriff auf Ihre Stores über das Gateway zu ermöglichen, konfigurieren Sie den Fernzugriff für Benutzer.

9. Standardmäßig verwendet StoreFront das Gateway, das den Benutzer für das HDX-Routing zu seinen Ressourcen authentifiziert hat. Sie können StoreFront optional so konfigurieren, dass es das Gateway beim Zugriff auf bestimmte Ressourcen über Optimales HDX-Routing verwendet.

PowerShell

Um ein Gateway mit PowerShell hinzuzufügen, führen Sie das Cmdlet New-STFRoamingGateway aus.

Citrix Gateway Service hinzufügen

Wenn Sie den Citrix Gateway Service für StoreFront in Citrix Cloud aktiviert haben, müssen Sie ihn als Gateway in StoreFront konfigurieren.

1. Klicken Sie im Fenster Citrix Gateways verwalten auf Hinzufügen.

2. Geben Sie auf der Registerkarte Allgemeine Einstellungen die Einstellungen ein und klicken Sie dann auf Weiter.

   • Geben Sie einen Anzeigenamen für die Citrix Gateway-Bereitstellung an, der Benutzern hilft, diese zu identifizieren.

     Benutzer sehen den von Ihnen angegebenen Anzeigenamen in der Citrix Workspace-App. Fügen Sie daher relevante Informationen in den Namen ein, damit Benutzer entscheiden können, welche Bereitstellung sie verwenden möchten. Sie können beispielsweise den geografischen Standort in die Anzeigenamen Ihrer Citrix Gateway-Bereitstellungen aufnehmen, damit Benutzer die für ihren Standort am besten geeignete Bereitstellung leicht identifizieren können.

   • Setzen Sie den Gateway-Typ auf Citrix Gateway Service. Dadurch wird die Verwendung oder Rolle auf Nur HDX™-Routing gesetzt und die Citrix Gateway-URL deaktiviert.

   • Geben Sie optional eine Citrix Gateway Service-URL ein. Wenn die URL leer gelassen wird, wird die standardmäßige kommerzielle URL https://global.g.nssvc.net verwendet, die den optimalen Point of Presence für den Standort des Benutzers auswählt. Wenn Sie eine bestimmte Gateway-Region verwenden möchten, z. B. für eine bestimmte Region, können Sie deren URL hier eingeben. Eine Liste der verfügbaren Gateway Service-URLs finden Sie in der Citrix Gateway Service-Dokumentation.

   • Wenn Sie eine Citrix Gateway Service-URL eingegeben haben, müssen Sie auch die entsprechende Citrix Gateway Service-URL (STA Connector-Modus) eingeben. Dies gibt die Gateway Service-URL an, die verwendet werden soll, wenn der Cloud Connector Citrix Cloud nicht erreichen kann und daher eigene STA-Tickets ausstellt. Wenn die URL leer gelassen wird, wird die Standard-URL https://global-s.g.nssvc.net verwendet.

   

3. Füllen Sie die Einstellungen auf der Registerkarte Cloud Connectors aus.

   Cloud Connectors ermöglichen StoreFront, Citrix Cloud zu erreichen, um die Gateway-Konfiguration nachzuschlagen und die Cloud Ticketing Authority zu erreichen, um Sitzungstickets anzufordern.

   • Geben Sie mindestens eine Cloud Connector-Server-URL ein.

     StoreFront ruft diese Cloud Connectors auf, um STA-Tickets abzurufen, die die Citrix Workspace-App zur Authentifizierung von Anfragen über das verwenden kann. Im Normalbetrieb leiten die Cloud Connectors Anfragen an die Citrix Cloud Ticketing Authority weiter oder generieren im LHC-Modus eigene Tickets. Zukünftig wird sich dies ändern, sodass sie immer eigene Tickets generieren, um die Ausfallsicherheit zu verbessern.

     • Es wird empfohlen, mehrere Cloud Connectors am selben Ressourcenstandort einzuschließen, da in jedem Ressourcenstandort immer nur ein Cloud Connector gleichzeitig aktualisiert wird, wodurch sichergestellt wird, dass immer mindestens ein Cloud Connector verfügbar ist. Für weitere Redundanz fügen Sie Cloud Connectors an mehreren Ressourcenstandorten hinzu.
     • Stellen Sie sicher, dass alle in StoreFront aufgeführten Cloud Connectors auch als STA-Server im virtuellen Citrix Gateway-Server aufgeführt sind. Wenn Server im Citrix Gateway fehlen, kann dies zu Fehlern beim Starten führen. Heute ist dies im Normalbetrieb möglicherweise nicht offensichtlich, da jeder Connector verwendet werden kann, um Tickets von der Citrix Cloud Ticketing Authority einzulösen. Im Local Host Cache-Modus generiert der Connector jedoch eigene Tickets, und dies wird zukünftig das Standardverhalten sein.
     • Der Cloud Connector kann so konfiguriert werden, dass StoreFront einen Sicherheitsschlüssel enthalten muss. Es ist nicht möglich, Sicherheitsschlüssel über die GUI hinzuzufügen; siehe den späteren Schritt zum Hinzufügen mit PowerShell.

   • Wählen Sie Mehrere Server lastverteilen, um Anfragen zwischen den Servern zu verteilen. Wenn diese Option deaktiviert ist, versucht StoreFront die Server in der Reihenfolge, in der sie aufgeführt sind.

   • Wenn StoreFront einen Server nicht erreichen kann, vermeidet es die Verwendung dieses Servers für einen bestimmten Zeitraum. Standardmäßig beträgt dieser 1 Stunde, Sie können diesen Wert jedoch anpassen.

   • Wählen Sie optional Sitzungszuverlässigkeit aktivieren.

   • Wählen Sie optional Tickets von zwei Cloud Connectors anfordern, falls verfügbar.

   

   Nachdem Sie die Einstellungen ausgefüllt haben, klicken Sie auf Weiter.

4. Klicken Sie auf Erstellen, um die Konfiguration anzuwenden.

   

5. Nachdem die Bereitstellung angewendet wurde, klicken Sie auf Fertig stellen.

6. Wenn Sie Sicherheitsschlüssel konfiguriert haben (empfohlen), müssen Sie die Verwaltungskonsole schließen und diese mit PowerShell konfigurieren. Zum Beispiel:

   $gateway = Get-STFRoamingGateway -Name [Gateway name]
   $sta1 = New-STFSecureTicketAuthority -StaUrl [STA1 URL] -StaValidationEnabled $true -StaValidationSecret [secret]
   $sta2 = New-STFSecureTicketAuthority -StaUrl [STA2 URL] -StaValidationEnabled $true -StaValidationSecret [secret]
   Set-STFRoamingGateway -Gateway $gateway -SecureTicketAuthorityObjs $sta1,$sta2
   <!--NeedCopy-->
   

7. Standardmäßig verwendet StoreFront dasselbe Gateway für den Zugriff auf Ressourcen, das zur Authentifizierung verwendet wurde, daher wird der Citrix Gateway Service nie verwendet. Sie müssen das Optimale HDX-Routing verwenden, um zu konfigurieren, wann StoreFront den Citrix Gateway Service verwenden soll.

PowerShell

Um ein Gateway mit PowerShell hinzuzufügen, führen Sie das Cmdlet New-STFRoamingGateway aus und setzen Sie -IsCloudGateway $true.

Citrix Gateway bearbeiten

1. Klicken Sie im Fenster Citrix Gateways verwalten auf das Gateway, das Sie ändern möchten, und klicken Sie auf Bearbeiten.

   Eine Beschreibung der Parameter finden Sie unter Citrix Gateway Appliance hinzufügen.

2. Klicken Sie auf Speichern, um Ihre Änderungen zu speichern.

PowerShell

Um die Gateway-Konfiguration mit PowerShell zu ändern, führen Sie das Cmdlet Set-STFRoamingGateway aus.

Citrix Gateway entfernen

1. Klicken Sie im Fenster Citrix Gateways verwalten auf das Gateway, das Sie ändern möchten, und klicken Sie auf Entfernen.

2. Klicken Sie im Bestätigungsfenster auf Ja.

PowerShell

Um das Gateway mit PowerShell zu entfernen, führen Sie das Cmdlet Remove-STFRoamingGateway aus.