Citrix DaaS™

HDX™ Direct

April 6, 2026

Contribución de:

C C

Al acceder a los recursos proporcionados por Citrix, HDX Direct permite tanto a los dispositivos cliente internos como externos establecer una conexión directa segura con el host de sesión si la comunicación directa es posible.

Requisitos del sistema

Estos son los requisitos del sistema para usar HDX Direct:

Plano de control
- Citrix DaaS™
- Citrix Virtual Apps and Desktops™ 2503 o posterior
Agente de entrega virtual (VDA)
- Windows: versión 2503 o posterior
Workspace app
- Windows: versión 2503 o posterior
- Linux: versión 2411 o posterior
- Mac: versión 2411 o posterior
Nivel de acceso
- Citrix Workspace™
- Citrix Storefront™ 2503 o posterior
- Citrix Gateway Service
- Citrix NetScaler® Gateway

Requisitos de red

Estos son los requisitos de red para usar HDX Direct.

Hosts de sesión

Si tus hosts de sesión tienen un firewall, como el Firewall de Windows Defender, debes permitir el siguiente tráfico entrante para las conexiones internas.

| Descripción | Origen | Protocolo | Puerto | | — | — | — | — | | Conexión interna directa | Cliente | TCP | 443 | | Conexión interna directa | UDP | Cliente | 443 |

Nota:

El instalador de VDA agrega las reglas de entrada adecuadas al Firewall de Windows Defender. Si usas un firewall diferente, debes agregar las reglas anteriores.

Red cliente

La siguiente tabla describe la red cliente para usuarios internos y externos.

Usuarios internos

| Descripción | Protocolo | Origen | Puerto de origen | Destino | Puerto de destino | | — | — | — | — | — | — | | Conexión interna directa | TCP | Red cliente | 1024–65535 | Red VDA | 443 | | Conexión interna directa | UDP | Red cliente | 1024–65535 | Red VDA | 443 |

Usuarios externos

| Descripción | Protocolo | Origen | Puerto de origen | Destino | Puerto de destino | | — | — | — | — | — | — | | STUN (solo usuarios externos) | UDP | Red cliente | 1024–65535 | Internet (consulta la nota siguiente) | 3478, 19302 | | Conexión de usuario externo | UDP | Red cliente | 1024–65535 | Dirección IP pública del centro de datos | 1024–65535 |

Red del centro de datos

La siguiente tabla describe la red del centro de datos para usuarios internos y externos.

Usuarios internos

Descripción	Protocolo	Origen	Puerto de origen	Destino	Puerto de destino
Conexión interna directa	TCP	Red cliente	1024–65535	Red VDA	443
Conexión interna directa	UDP	Red cliente	1024–65535	Red VDA	443

Usuarios externos

Descripción	Protocolo	Origen	Puerto de origen	Destino	Puerto de destino
STUN (solo usuarios externos)	UDP	Red VDA	1024–65535	Internet (consulta la nota siguiente)	3478, 19302
Conexión de usuario externo	UDP	DMZ / Red interna	1024–65535	Red VDA	55000–55250
Conexión de usuario externo	UDP	Red VDA	55000–55250	IP pública del cliente	1024–65535

NOTA:

Tanto el VDA como Workspace app intentan enviar solicitudes STUN a los siguientes servidores en el mismo orden:

stun.cloud.com:3478

stun.cloudflare.com:3478

stun.l.google.com:19302

Si cambias el rango de puertos predeterminado para las conexiones de usuarios externos mediante la configuración de directiva Rango de puertos de HDX Direct, las reglas de firewall correspondientes deben coincidir con tu rango de puertos personalizado.

Configuración

HDX Direct está deshabilitado de forma predeterminada. Puedes configurar esta función mediante la configuración HDX Direct en la directiva de Citrix.

HDX Direct: Para habilitar o deshabilitar una función.
Modo HDX Direct: Determina si HDX Direct está disponible solo para clientes internos o para clientes internos y externos.
Rango de puertos de HDX Direct: Define el rango de puertos que usa el VDA para las conexiones de clientes externos.

Si es necesario, la lista de servidores STUN utilizados por HDX Direct se puede modificar editando el siguiente valor del Registro:

Clave: HKLM\SOFTWARE\Citrix\HDX-Direct
Tipo de valor: REG_MULTI_SZ
Nombre del valor: STUNServers
Datos: stun.cloud.com:3478 stun.cloudflare.com:3478 stun.l.google.com:19302

NOTA:

HDX Direct para usuarios externos solo está disponible con EDT (UDP) como protocolo de transporte. Por lo tanto, Transporte adaptable debe estar habilitado.

Consideraciones

Estas son las consideraciones para usar HDX Direct:

HDX Direct para usuarios externos solo está disponible con EDT (UDP) como protocolo de transporte. Por lo tanto, Transporte adaptable debe estar habilitado.
Si usas HDX Insight, ten en cuenta que usar HDX Direct impide la recopilación de datos de HDX Insight, ya que la sesión ya no se enviaría a través de NetScaler Gateway.

Cómo funciona

HDX Direct permite a los clientes establecer una conexión directa con el host de sesión cuando la comunicación directa está disponible. Cuando se establecen conexiones directas mediante HDX Direct, se utilizan certificados autofirmados para proteger la conexión directa con cifrado a nivel de red (TLS/DTLS).

Usuarios internos

El siguiente diagrama muestra la descripción general del proceso de conexión de HDX Direct para usuarios internos.

Descripción general de HDX Direct

El cliente establece una sesión HDX a través de Gateway Service.
Tras una conexión exitosa, el VDA envía al cliente el FQDN de la máquina VDA, una lista de sus direcciones IP y el certificado de la máquina VDA a través de la conexión HDX.
El cliente sondea las direcciones IP para ver si puede llegar al VDA directamente.
Si el cliente puede llegar al VDA directamente con cualquiera de las direcciones IP compartidas, el cliente establece una conexión directa con el VDA, protegida con (D)TLS mediante un certificado que coincide con el intercambiado en el paso (2).
Una vez que la conexión directa se establece correctamente, la sesión se transfiere a la nueva conexión y la conexión a Gateway Service finaliza.

Nota:

Después de establecer la conexión en el paso 2 anterior, la sesión está activa. Los pasos posteriores no retrasan ni interfieren con la capacidad del usuario para usar la aplicación o el escritorio virtual. Si alguno de los pasos posteriores falla, la conexión a través de Gateway se mantiene sin interrumpir la sesión del usuario.

Conexiones directas tradicionales

Al usar Storefront, Workspace con Direct Workload Connection, o Workspace configurado solo para conectividad interna, se establecen conexiones directas entre el cliente y el host de sesión sin la necesidad de enrutar primero a través de un Gateway.

En estos casos, HDX Direct no se activa ya que las conexiones son inherentemente directas. Sin embargo, si HDX Direct está habilitado, estas conexiones aprovecharán los certificados de HDX Direct para proteger las sesiones.

Usuarios externos

El siguiente diagrama muestra la descripción general del proceso de conexión de HDX Direct para usuarios externos:

Proceso de conexión de HDX Direct

El cliente establece una sesión HDX a través de Gateway Service.
Tras una conexión exitosa, tanto el cliente como el VDA envían una solicitud STUN para descubrir sus direcciones IP públicas y puertos.
El servidor STUN responde al cliente y al VDA con sus direcciones IP públicas y puertos correspondientes.
A través de la conexión HDX, el cliente y el VDA intercambian sus direcciones IP públicas y puertos UDP, y el VDA envía su certificado al cliente.
El VDA envía paquetes UDP a la dirección IP pública y al puerto UDP del cliente. El cliente envía paquetes UDP a la dirección IP pública y al puerto UDP del VDA.
Al recibir un mensaje del VDA, el cliente responde con una solicitud de conexión segura.
Durante el protocolo de enlace DTLS, el cliente verifica que el certificado coincide con el certificado intercambiado en el paso (4). Después de la validación, el cliente envía su token de autorización. Ahora se establece una conexión directa segura.
Una vez que la conexión directa se establece correctamente, la sesión se transfiere a la nueva conexión y la conexión a Gateway Service finaliza.

Nota:

Después de establecer la conexión en el paso 2 anterior, la sesión está activa. Los pasos posteriores no retrasan ni interfieren con la capacidad del usuario para usar la aplicación o el escritorio virtual. Si alguno de los pasos posteriores falla, la conexión a través de Gateway se mantiene sin interrumpir la sesión del usuario.

La versión oficial de este contenido está en inglés. Para mayor comodidad, parte del contenido de la documentación de Cloud Software Group solo tiene traducción automática. Cloud Software Group no puede controlar el contenido con traducción automática, que puede contener errores, imprecisiones o un lenguaje inadecuado. No se ofrece ninguna garantía, ni implícita ni explícita, en cuanto a la exactitud, la fiabilidad, la idoneidad o la precisión de las traducciones realizadas del original en inglés a cualquier otro idioma, o que su producto o servicio de Cloud Software Group se ajusten a cualquier contenido con traducción automática, y cualquier garantía provista bajo el contrato de licencia del usuario final o las condiciones de servicio, o cualquier otro contrato con Cloud Software Group, de que el producto o el servicio se ajusten a la documentación no se aplicará en cuanto dicha documentación se ha traducido automáticamente. Cloud Software Group no se hace responsable de los daños o los problemas que puedan surgir del uso del contenido traducido automáticamente.

¿Le ha resultado útil?

HDX™ Direct

April 6, 2026

Contribución de:

C C

April 6, 2026

Contribución de:

C C

¿Le ha resultado útil?