Citrix Linux Virtual Delivery Agent (LVDA) – Netzwerk-Port-Matrix

Last published : Nov 13, 2026
Related information
Verwaltung

VDA-Kernregistrierung und -Steuerung

Quelle Bestimmungsort Protokoll Port Beschreibung
VDA Delivery Controller TCP 80 VDA-Registrierung und CXF/WCF-Kommunikation *1
Delivery Controller VDA TCP 80 / Benutzerdefiniert Broker-initiierte VDA-Kommunikation *2
*1 Standardmäßig verwendet die VDA-Registrierung TCP-Port 80 für die CXF/WCF-Kommunikation zwischen dem VDA und dem Delivery Controller. Wenn dieser Port nicht verfügbar oder eingeschränkt ist, kann der Registrierungsport angepasst werden, indem die Broker-Dienste auf allen Delivery Controllern neu konfiguriert und der VDA aktualisiert wird, um denselben Port zu verwenden. Alle Netzwerk-Firewalls zwischen dem VDA und dem Delivery Controller müssen den konfigurierten Port zulassen. Weitere Informationen finden Sie in der Citrix-Dokumentation.
*2 Um einen benutzerdefinierten CXF-Dienstport auf dem VDA zu konfigurieren, legen Sie den folgenden Registrierungswert mit dem Befehl ctxreg fest: /opt/Citrix/VDA/bin/ctxreg create -k "HKLM\Software\Citrix\VirtualDesktopAgent" -t "REG_DWORD" -v "VdaCxfServicesPort" -d "<port>" --force
Dienst neu starten, damit die Änderungen wirksam werden:
systemctl restart ctxjproxy
systemctl restart ctxvda

ICA-/HDX-Sitzungsdatenverkehr

Quelle Bestimmungsort Protokoll Port Beschreibung
Client VDA TCP 1494 ICA / HDX (Standard) *3
Client VDA TCP 2598 ICA mit Sitzungszuverlässigkeit
Client VDA TCP 443 ICA über TLS (SSL)
Client VDA UDP 443 HDX Adaptive Transport (EDT)
*3 Hinweis – ICA / HDX Standardport
ICA-/HDX-Verbindungen verwenden standardmäßig TCP-Port 1494 oder TCP 2598, wenn die Sitzungszuverlässigkeit aktiviert ist. Diese Ports sind fest und sollen nicht willkürlich geändert werden. Wenn TCP 1494 eingeschränkt ist, empfiehlt Citrix, ICA über TLS (TCP 443) oder HDX Adaptive Transport (UDP 443) zu verwenden, anstatt den ICA-Port zu ändern. Siehe Citrix-Dokumentation

HTML5 / Workspace Web Access

Quelle Bestimmungsort Protokoll Port Beschreibung
Client VDA TCP 8008 HTML5 ICA-Proxy (interner Zugriff)
Client VDA TCP 443 HTML5 ICA über TLS

HDX™ Direct für Linux

Die folgende Tabelle beschreibt das Rechenzentrumsnetzwerk für interne und externe Benutzer.

Interne Benutzer

Beschreibung Protokoll Quelle Quellport Bestimmungsort Zielport
Direkte interne Verbindung TCP Clientnetzwerk 1024-65535 VDA-Netzwerk 443
Direkte interne Verbindung UDP Clientnetzwerk 1024-65535 VDA-Netzwerk 443

Externe Benutzer

Beschreibung Protokoll Quelle Quellport Bestimmungsort Zielport
STUN (nur externe Benutzer) UDP VDA-Netzwerk 1024-65535 Internet (siehe Hinweis unten) 3478, 19302
Verbindung für externe Benutzer UDP DMZ / Internes Netzwerk 1024-65535 VDA-Netzwerk 55000-55250
Verbindung für externe Benutzer UDP VDA-Netzwerk 55000-55250 Öffentliche IP des Clients 1024-65535

VDA ↔ Citrix Scout / Telemetrie (ctxtelemetry)

Quelle Bestimmungsort Richtung Protokoll Port Zweck
Delivery Controller VDA Eingehend TCP 7503 Citrix Scout stellt eine Verbindung zum Citrix Telemetry Service (ctxtelemetry) auf dem VDA her
VDA Delivery Controller Ausgehend TCP 7502 Telemetrie-Kommunikation vom VDA zum Delivery Controller
Hinweis:
  • Der Citrix Telemetry Service (ctxtelemetry) lauscht standardmäßig auf TCP 7503.
  • Port 7502 wird auf der Delivery Controller-Seite für die Scout-Kommunikation verwendet.
  • Diese Ports sind nur erforderlich, wenn Citrix Scout / Telemetrie-Erfassung verwendet wird.

VDA Lokaler Datenbankdienst (PostgreSQL)

Quelle Bestimmungsort Richtung Protokoll Port Zweck
Lokaler VDA Lokaler VDA Lokal TCP 5432 Lokaler PostgreSQL-Dienst, der von VDA-Komponenten verwendet wird
Hinweis:
  • PostgreSQL lauscht standardmäßig auf TCP-Port 5432.
  • Dieser Port wird lokal auf dem VDA-Host von PostgreSQL verwendet.
  • Es ist kein externer eingehender Zugriff auf diesen Port erforderlich, es sei denn, er wurde explizit konfiguriert.
  • Der Port kann bei Port- oder Sicherheitsscans als auf dem VDA-System lauschend erscheinen.

HDX-Bildschirmfreigabe

Quelle Bestimmungsort Richtung Protokoll Portbereich Beschreibung
Client VDA Eingehend TCP 52525-52624 HDX-Bildschirmfreigabe-Datenkanal
Hinweis:
  • Die HDX-Bildschirmfreigabe ist standardmäßig deaktiviert und muss über Citrix-Richtlinien aktiviert werden.
  • Der nutzbare Portbereich ist konfigurierbar; der Standardbereich ist TCP 52525–52624.
  • Diese Ports werden zusätzlich zu den Standard-ICA-Ports (1494 / 2598) verwendet.

VDA ↔ Citrix Director

Sitzungsschatten (Linux VDA)

Quelle Bestimmungsort Richtung Protokoll Portbereich Beschreibung
VDA Citrix Director Ausgehend TCP 6001-6099 Sitzungs-Shadowing (noVNC / WebSocket-basiert)
VDA Citrix Director Ausgehend TCP 52525-52624 Remote-Unterstützungs-Shadowing (Bildschirmfreigabe-basiert)
Hinweis:
  • Sitzungs-Shadowing wird nur für Linux VDAs unterstützt.
  • Die Funktion wählt dynamisch einen verfügbaren Port aus dem Bereich 6001–6099.
  • Die Anzahl der gleichzeitig geschatteten Sitzungen ist durch die verfügbaren Ports in diesem Bereich begrenzt.
  • Diese Ports müssen vom Linux VDA zum Citrix Director Client erreichbar sein.

Citrix Linux VDA – Zusammenfassende Netzwerk-Port-Matrix

Kern- und funktionsabhängige Ports

Port / Bereich Protokoll Geltungsbereich Funktion / Zweck
80 / Benutzerdefiniert TCP VDA ↔ Delivery Controller VDA-Registrierung (CXF / WCF)
1494 TCP Client ↔ VDA ICA / HDX (Standard)
2598 TCP Client ↔ VDA ICA mit Sitzungszuverlässigkeit
443 TCP Client ↔ VDA Sicheres ICA / HTML5 ICA
443 UDP Client ↔ VDA HDX Adaptive Transport (EDT)
8008 TCP Client ↔ VDA HTML5 ICA (interner Zugriff)
52525-52624 TCP VDA ↔ VDA HDX Screen Sharing; konfigurierbar über die Gruppenrichtlinie mit dem Namen HDX-Bildschirmfreigabeports
52525-52624 TCP VDA ↔ Citrix Director Remoteunterstützungsschatten; konfigurierbar über die Gruppenrichtlinie mit dem Namen 'Ports für Remoteunterstützung'
6001-6099 TCP VDA ↔ Citrix Director Sitzungsschatten (Linux VDA)
7503 TCP Delivery Controller ↔ VDA Citrix Scout / Telemetrie (ctxtelemetry Listen-Port)
7502 TCP VDA ↔ Delivery Controller Citrix Scout / Telemetrie-Kommunikation
5432 TCP Lokaler VDA Lokaler PostgreSQL-Dienst

Öffnen des Netzwerkports auf dem VDA

Nach dem Konfigurieren eines benutzerdefinierten CXF-Dienstports muss der entsprechende Netzwerkport in der VDA-Host-Firewall zugelassen werden, um eine erfolgreiche Kommunikation zu gewährleisten.
Die folgenden Abschnitte beschreiben, wie ein TCP-Port auf unterstützten Linux-Distributionen geöffnet wird.

RHEL 8 / RHEL 9 (einschließlich Rocky Linux, AlmaLinux)

RHEL-basierte Distributionen verwenden firewalld als Standard-Firewall-Dienst.
  • Stellen Sie sicher, dass firewalld ausgeführt wird:
sudo systemctl enable --now firewalld
  • Öffnen Sie den erforderlichen TCP-Port (Beispiel: <port>):
sudo firewall-cmd --zone=public --add-port=<port>/tcp --permanent
  • Laden Sie die Firewall-Konfiguration neu:
sudo firewall-cmd --reload
  • (Optional) Überprüfen Sie, ob der Port geöffnet ist:
sudo firewall-cmd --query-port=<port>/tcp
Ubuntu verwendet ufw (Uncomplicated Firewall) als Standard-Firewall-Verwaltungstool.
  • Stellen Sie sicher, dass ufw aktiviert ist:
sudo ufw enable
  • Den erforderlichen TCP-Port zulassen (Beispiel: <port>):
sudo ufw allow <port>/tcp
  • Firewallregeln neu laden oder überprüfen:
sudo ufw reload
sudo ufw status
Hinweis:
  • Die Firewallkonfiguration muss eingehenden TCP-Datenverkehr auf dem konfigurierten CXF-Dienstport zulassen.
  • Firewall-Änderungen treten sofort nach dem Neuladen in Kraft.
  • Das Öffnen eines Ports in der Firewall startet keinen Dienst; es erlaubt lediglich Netzwerkdatenverkehr, den VDA zu erreichen.

Sonstiges

  • Nicht alle oben aufgeführten Ports sind in jeder Bereitstellung erforderlich.
  • Nur Ports, die den aktivierten Funktionen und den lokalen Diensten entsprechen, werden verwendet.
  • Einige Ports (zum Beispiel Bildschirmfreigabe und Sitzungsschatten) verwenden konfigurierbare oder dynamische Bereiche und müssen ausreichend für gleichzeitige Sitzungen dimensioniert sein.
  • Port 5432 wird von einem lokalen PostgreSQL-Dienst auf dem VDA-Host verwendet und impliziert keine externe Datenbankkonnektivität.