Acceso adaptable en función de la ubicación de red del usuario
La función de acceso adaptable de Citrix Workspace usa una infraestructura de directivas avanzada para habilitar el acceso a Citrix DaaS en función de la ubicación de red del usuario. La ubicación se define mediante el rango de direcciones IP o las direcciones de subred.
Los administradores pueden definir directivas para enumerar, o no, aplicaciones y escritorios virtuales en función de la ubicación de red del usuario. También pueden controlar las acciones de usuario al habilitar o inhabilitar el acceso al portapapeles, las impresoras, la asignación de unidades del cliente, etc., en función de la ubicación de red del usuario. Por ejemplo, los administradores pueden configurar directivas para que los usuarios que accedan a los recursos desde casa tengan acceso limitado a aplicaciones y los usuarios que accedan a los recursos desde las sucursales tengan acceso total.
Un administrador puede implementar estas directivas para acceder a las aplicaciones:
- Enumerar algunas aplicaciones de carácter confidencial solo desde la ubicación corporativa o desde sus sucursales.
- No enumerar las aplicaciones de carácter confidencial si los empleados acceden al espacio de trabajo desde una red externa.
- Inhabilitar el acceso a las impresoras desde las sucursales.
- Inhabilitar el acceso al portapapeles y a las impresoras cuando los usuarios están fuera de la red corporativa.
Derechos de uso
La función de acceso adaptable está disponible como parte de la licencia universal híbrida multinube (UHMC) y la licencia de plataforma (CPL). Para obtener más información, consulte https://www.citrix.com/buy/licensing/product.html.
Requisitos previos
-
Asegúrese de que la función Acceso adaptable esté habilitada (Citrix Workspace > Acceso > Acceso adaptable). Para obtener detalles, consulte Habilitar la función Acceso adaptable.
Al habilitar el acceso adaptable, las directivas de acceso de DaaS se actualizan para utilizar la opción Conexiones a través de Citrix Gateway.
Nota: No
Se requiere NetScaler Gateway para agregar etiquetas Smart Access en las directivas de acceso de DaaS. Sin embargo, dado que DaaS consume etiquetas de los servicios de Postura del dispositivo, Acceso adaptable y Autenticación adaptable, no es necesario tener un dispositivo NetScaler Gateway configurado en su entorno.
- Comprensión de las etiquetas de ubicación. Para obtener más información, consulte Etiquetas de ubicación de red.
Puntos que tener en cuenta
Estos puntos solo son aplicables si quiere restringir la enumeración de aplicaciones en función de la ubicación. Si piensa utilizar el acceso adaptable para restringir controles de usuario, como inhabilitar el acceso al portapapeles, la redirección de impresoras o la asignación de unidades del cliente, en función de la ubicación de red, puede ignorar estas directrices.
- Si piensa enumerar de forma selectiva Citrix DaaS en función de la ubicación de la red, la administración de usuarios para esos grupos de entrega debe realizarse mediante directivas de Citrix Studio, en lugar de hacerlo con espacios de trabajo. Al crear un grupo de entrega, en Configuración de usuarios, elija Restringir el uso de este grupo de entrega a los usuarios siguientes o Permitir que cualquier usuario no autenticado use este grupo de entrega. Esto le permite configurar el acceso adaptable en la ficha Directiva de acceso de Grupo de entrega.
-
Cambia a la conexión directa de carga de trabajo cuando se habilita el acceso adaptable.
- El campo Etiquetas de ubicación se puede ver en Citrix Cloud > Ubicaciones de red > Agregar una ubicación de red > Etiquetas de ubicación.
- Las directivas de conexión directa de carga de trabajo existentes funcionan según lo previsto.
- Se deben crear otras directivas en el servicio de ubicaciones de red (sin definir etiquetas) y también en el grupo de entrega. Además, el tipo de conectividad de red debe ser interno.
- En el caso de nuevas directivas de conexión directa de carga de trabajo con etiquetas, las etiquetas deben definirse en el servicio de ubicaciones de red y, también, deben definirse las mismas etiquetas en el grupo de entrega o en la directiva de acceso de DaaS Studio. Además, el tipo de conectividad de red debe ser interno. Las etiquetas de ubicación no son relevantes para la conexión directa de carga de trabajo.
-
A continuación, se recomienda probar la implementación de Citrix DaaS.
- Identifique un grupo de entrega de prueba o cree un grupo de entrega para implementar esta funcionalidad.
- Cree o identifique una directiva que pueda utilizarse con un grupo de entrega de prueba.
Habilitar la función Acceso adaptable
- Inicie sesión en Citrix Cloud.
- Seleccione Configuración de Workspace en el menú desplegable.
- La opción Acceso adaptable está desactivada de forma predeterminada. Active el interruptor Acceso adaptable.
- Haga clic en Sí, habilitar el acceso adaptable en el mensaje de confirmación.
Cuando el acceso adaptable está habilitado, puede definir las etiquetas de ubicación para el acceso adaptable (Citrix Cloud > Ubicaciones de red > Agregar una ubicación de red > Etiquetas de ubicación).
Cuando el acceso adaptable está inhabilitado, no puede agregar una ubicación de red. Las etiquetas de ubicación no son aplicables en este caso.
Importante:
Cuando intenta inhabilitar la función Acceso adaptable, aparece este mensaje. Tenga en cuenta que Workspace no envía las etiquetas a DaaS para su acceso adaptable cuando la función está inhabilitada.
Configurar el acceso adaptable
Considere un caso en el que un administrador necesite aplicar control de acceso en función de las ubicaciones de red de los usuarios (por ejemplo, oficina y casa). El administrador también debe aplicar controles inteligentes, como restricciones del portapapeles para los usuarios que trabajan desde casa. Para posibilitar el acceso adaptable en este caso, el administrador debe crear 2 grupos de entrega basados en la red del usuario:
- Grupo de entrega Adaptive Access para la oficina, BranchOffice, con aplicaciones relevantes para los usuarios de las sucursales.
- Grupo de entrega WFH para trabajo desde casa, WorkFromHome, con aplicaciones relevantes para usuarios que trabajan desde casa o de forma remota.
Una vez creados los grupos de entrega, los siguientes pasos de alto nivel implican la configuración del acceso adaptable en función de las ubicaciones de red:
- Definir las etiquetas y configurar las directivas de ubicación de red.
- Usar las etiquetas definidas en los grupos de entrega para enumerar las aplicaciones o aplicar controles inteligentes a las aplicaciones.
- Aplicar controles inteligentes a las aplicaciones (opcional).
Definir etiquetas de ubicación de red para el acceso basado en la ubicación
El primer paso consiste en definir etiquetas para los usuarios en función de sus ubicaciones: oficina o casa.
- BRANCHOFFICE: Esta etiqueta debe asignarse a los usuarios que se conectan desde la red de la oficina. Estos usuarios tienen acceso total a todas las aplicaciones que tienen a su disposición.
- WORKFROMHOME: Esta etiqueta debe asignarse a los usuarios que trabajan de forma remota. Estos usuarios tienen acceso limitado a las aplicaciones y a ciertas funciones (como la funcionalidad del portapapeles).
Para obtener más información sobre las etiquetas, consulte Etiquetas de ubicación de red.
Ahora que ha creado los grupos de entrega y las etiquetas respectivas en función de la ubicación del usuario, puede continuar con la configuración de las directivas de ubicación de red.
Configurar las directivas de ubicación de red
Defina las regla de directiva de ubicación de red para la ubicación del usuario proporcionando la dirección IP de origen pública y la etiqueta de ubicación.
- Inicie sesión en Citrix Cloud.
- Seleccione Ubicaciones de red en el menú desplegable. Asegúrese de que la opción de acceso adaptable esté habilitada. De lo contrario, se mostrará la interfaz de usuario de la conexión directa de carga de trabajo.
-
Haga clic en Agregar ubicación de red.
-
Nombre de la ubicación: Introduzca un nombre apropiado para la directiva.
Ejemplo: BRANCHOFFICE o WORKFROMHOME
-
Intervalo de direcciones IP públicas: Defina el intervalo de direcciones IP públicas de la red.
Ejemplo: 192.0.2.10 - 192.0.2.30
-
Etiquetas de ubicación: Defina etiquetas para su ubicación. Puede ser un nombre que haga referencia a su ubicación. Estas etiquetas sirven para configurar las directivas de acceso adaptable en Citrix Studio. Para obtener detalles, consulte Definir etiquetas en Citrix Studio.
Ejemplo: BRANCHOFFICE o WORKFROMHOME
-
Tipo de conectividad: Defina el tipo de inicio de la aplicación.
Interno: Omite la puerta de enlace para iniciar la aplicación. Externo: Usa Citrix Gateway Service o la puerta de enlace tradicional para iniciar la aplicación.
-
- Haga clic en Guardar.
Ahora puede usar estas etiquetas en DaaS Studio para habilitar el acceso adaptable.
Nota: No
- Si las etiquetas de ubicación de red no están asignadas a los grupos de entrega, los usuarios tienen acceso sin restricciones a todas las aplicaciones de los grupos de entrega Adaptive Access y WFH. Esto puede dar lugar a situaciones en las que los usuarios accedan inadvertidamente a determinadas aplicaciones para las que no están autorizados. La asignación de etiquetas de ubicación a los grupos de entrega garantiza que el acceso se controle en función de la ubicación de red de los usuarios.
- Al definir las etiquetas de ubicación, asegúrese de introducir únicamente el nombre de etiqueta preferido sin el prefijo “LOCATION_TAG”, por ejemplo BRANCHOFFICE. Sin embargo, al definir las etiquetas en Citrix Studio, debe anteponer “LOCATION_TAG” al nombre de la etiqueta. Por ejemplo, “LOCATION_TAG_BRANCHOFFICE”.
Usar las etiquetas definidas en los grupos de entrega para enumerar aplicaciones
- Inicie sesión en Citrix Cloud.
- En el mosaico de Citrix DaaS, haga clic en Administrar.
- Cree un grupo de entrega. Para obtener información detallada, consulte Crear grupos de entrega.
- Seleccione el grupo de entrega que ha creado y haga clic en Modificar grupo de entrega.
- Haga clic en Directiva de acceso.
-
Para los clientes que usan el acceso adaptable en la plataforma de Citrix Workspace, siga estos pasos para restringir el acceso de un grupo de entrega a las redes internas solamente:
- Haga clic con el botón derecho en el grupo de entrega y seleccione Modificar.
- Seleccione la directiva de acceso en el panel de la izquierda.
-
Haga clic en el icono de modificación para modificar la directiva de conexiones predeterminada de Citrix Gateway.
-
En la página Modificar directiva, seleccione Conexiones que cumplen estos criterios, seleccione Cotejar cualquiera y, a continuación, agregue los criterios.
Para los usuarios de WorkFromHome, introduzca los siguientes valores en el Delivery Controller correspondiente.
Filtro: Workspace
Valor: LOCATION_TAG_WORKFROMHOME
Para los usuarios de BranchOffice, introduzca los siguientes valores en el Delivery Controller correspondiente.
Filtro: Workspace
Valor: LOCATION_TAG_BRANCHOFFICE
Nota: No
- Asegúrese de introducir en el campo Valor el nombre correcto de la etiqueta de ubicación, tal como lo definió al crear directivas de ubicación de red con el prefijo “LOCATION_TAG”. Por ejemplo, si ha definido la etiqueta de ubicación “BRANCHOFFICE”, debe introducir “LOCATION_TAG_BRANCHOFFICE” en el campo Valor. Las etiquetas de ubicación de red de los grupos de entrega deben escribirse en mayúsculas, independientemente de cómo se haya definido en la directiva de ubicación de red. Para obtener más información sobre la configuración de las etiquetas de ubicación, consulte Configurar directivas de ubicación de red.
- Las etiquetas de ubicación de red de los grupos de entrega deben escribirse en mayúsculas, independientemente de cómo se haya definido en la directiva de ubicación de red. Para obtener más información sobre cómo configurar las etiquetas de ubicación, consulte Configurar directivas de ubicación de red.
(Opcional) Aplicar controles inteligentes a las aplicaciones
Además de restringir el acceso mediante etiquetas de ubicación de red, los administradores también pueden aplicar controles inteligentes a las aplicaciones. En este ejemplo, la redirección del portapapeles del cliente está inhabilitada para usuarios de la ubicación WorkFromHome.
- Inicie sesión en Citrix DaaS.
- Vaya a Directivas y haga clic en Crear directiva.
- Seleccione Redirección del portapapeles del cliente y, a continuación, haga clic en Prohibir.
- Haga clic en Siguiente.
- En Asignar directiva a la página, seleccione Control de acceso.
-
Defina estos valores para la directiva:
- Modo: Permitir
- Tipo de conexión: Con Citrix Gateway
- Nombre de la comunidad de Gateway: Workspace
- Condición de acceso: LOCATION_TAG_WORKFROMHOME (todo en mayúsculas)
- Haga clic en Siguiente.
- Introduzca un nombre para la directiva y agregue una descripción de la directiva.
- Haga clic en Finish.
Los usuarios de la ubicación WORKFROMHOME no pueden acceder desde el portapapeles a los recursos iniciados.
Etiquetas de ubicación de red
El servicio de ubicaciones de red proporciona estas etiquetas.
-
Etiquetas predeterminadas: Estas etiquetas se definen en el servicio de ubicaciones de red. Hay disponibles estas etiquetas predeterminadas.
- LOCATION_internal: La etiqueta se envía de forma predeterminada cuando el tipo de conectividad de red se establece en interna al definir una ubicación de red.
- LOCATION_external: La etiqueta se envía de forma predeterminada cuando el tipo de conectividad de red se establece en externa al definir una ubicación de red.
- LOCATION_undefined: La etiqueta se envía en el caso de una dirección IP que no está definida en la directiva pero que proviene del servicio de ubicaciones de red. Los inicios para estos usuarios son los mismos que los definidos en el grupo de recursos.
- Etiquetas personalizadas: Los administradores pueden definir nombres de etiquetas personalizadas en las directivas. Ejemplo: casa, oficina, SUCURSAL
Nota: No
Al definir las etiquetas para el servicio de ubicación de red, asegúrese de lo siguiente:
The default tags always start with the prefix "LOCATION_`<tag name>`. For example, LOCATION_INTERNAL. The custom tags always start with the prefix "LOCATION_TAG`<tag name>`. For example, LOCATION_TAG_OFFICE.Al definir las etiquetas en los grupos de entrega, las etiquetas deben escribirse en mayúsculas.
Default tags: LOCATION_INTERNAL, LOCATION_EXTERNAL, LOCATION_UNDEFINED Custom tags: LOCATION_TAG_OFFICE, LOCATION_TAG_HOME
En la siguiente tabla se resumen las directivas y etiquetas del caso mencionado anteriormente.
| Ubicación | Directiva | Etiqueta personalizada | Etiqueta predeterminada | Etiqueta que se usará en el grupo de entrega de DaaS | Etiquetas que se usarán en la directiva de acceso inteligente |
|---|---|---|---|---|---|
| WFH | WFH | WORKFROMHOME | LOCATION_EXTERNAL | LOCATION_WORKFROMHOME y/o LOCATION_EXTERNAL | LOCATION_WORKFROMHOME y/o LOCATION_EXTERNAL |
| BranchOffice | BranchOffice | BRANCHOFFICE | LOCATION_EXTERNAL | LOCATION_BRANCHOFFICE y/o LOCATION_EXTERNAL | LOCATION_BRANCHOFFICE y/o LOCATION_EXTERNAL |
| Otros | Sin definir | Sin definir | LOCATION_UNDEFINED | LOCATION_UNDEFINED | LOCATION_UNDEFINED |
Problemas conocidos
Si inhabilita la función de acceso adaptable después de habilitarla y de establecer las reglas (etiquetas y tipo de conectividad), no se quitarán las ubicaciones de la página Ubicaciones de red, aunque las columnas de etiquetas de ubicación y tipo de conectividad estén ocultas. Sin embargo, estas ubicaciones están inhabilitadas en el back-end. Se trata de una cuestión estética.
Configurar directivas de grabación de sesiones en función de las etiquetas
La grabación de sesiones permite a las organizaciones registrar la actividad de los usuarios en pantalla en las sesiones virtuales. Puede especificar etiquetas, incluidas las etiquetas de ubicación de red, cuando cree directivas personalizadas de grabación de sesiones, de detección de eventos o de respuesta a eventos. Para ver un ejemplo, consulte Crear una directiva de grabación personalizada.