Acceso adaptativo basado en la ubicación de red del usuario
La función Acceso adaptativo de Citrix Workspace™ utiliza una infraestructura de directivas avanzada para permitir el acceso a Citrix DaaS™ basado en la ubicación de red del usuario. La ubicación se define mediante el rango de direcciones IP o las direcciones de subred.
Los administradores pueden definir directivas para enumerar o no enumerar aplicaciones y escritorios virtuales según la ubicación de red del usuario. Los administradores también pueden controlar las acciones del usuario habilitando o deshabilitando el acceso al portapapeles, las impresoras, la asignación de unidades de cliente, etc., según la ubicación de red del usuario. Por ejemplo, los administradores pueden configurar directivas para que los usuarios que acceden a los recursos desde casa tengan acceso limitado a las aplicaciones y los usuarios que acceden a los recursos desde las sucursales tengan acceso completo.
Un administrador puede implementar las siguientes directivas para acceder a las aplicaciones:
- Enumerar algunas aplicaciones confidenciales solo desde la ubicación corporativa o desde sus sucursales.
- No enumerar aplicaciones confidenciales si los empleados acceden al espacio de trabajo desde una red externa.
- Deshabilitar el acceso a la impresora desde las sucursales.
- Deshabilitar el acceso al portapapeles y a la impresora cuando los usuarios están fuera de la red corporativa.
Derechos
La función Acceso adaptativo está disponible como parte de la licencia Universal Hybrid Multi Cloud (UHMC) y la licencia de plataforma (CPL). Para obtener más información, consulta https://www.citrix.com/buy/licensing/product.html.
Requisitos previos
-
Asegúrate de que la función Acceso adaptativo esté habilitada (Citrix Workspace > Acceso > Acceso adaptativo). Para obtener más información, consulta Habilitar la función Acceso adaptativo.
Cuando el acceso adaptativo está habilitado, las directivas de acceso de DaaS se actualizan para usar la opción Conexiones a través de Citrix Gateway.
Nota:
Se requiere NetScaler® Gateway para agregar etiquetas de acceso inteligente en las directivas de acceso de DaaS. Sin embargo, dado que DaaS consume etiquetas de los servicios Device Posture, Acceso adaptativo y Autenticación adaptativa, no es necesario tener un NetScaler Gateway configurado en tu configuración.
-
Comprensión de las etiquetas de ubicación. Para obtener más información, consulta Etiquetas de ubicación de red.
Puntos a tener en cuenta
Los siguientes puntos solo son aplicables si quieres restringir la enumeración de aplicaciones según la ubicación. Si planeas usar el acceso adaptativo para restringir los controles de usuario, como deshabilitar el acceso al portapapeles, la redirección de impresoras o la asignación de unidades de cliente, según la ubicación de red, puedes ignorar estas directrices.
- Si planeas enumerar selectivamente Citrix DaaS según la ubicación de red, la administración de usuarios debe realizarse para esos grupos de entrega mediante directivas de Citrix Studio en lugar del espacio de trabajo. Al crear un grupo de entrega, en la Configuración de usuarios, elige Restringir el uso de este grupo de entrega o Permitir que cualquier usuario autenticado use este grupo de entrega. Esto te permite configurar el acceso adaptativo en la ficha Directiva de acceso en Grupo de entrega.
-
Cambios en la conexión de carga de trabajo directa cuando el acceso adaptativo está habilitado.
- El campo Etiquetas de ubicación es visible en Citrix Cloud™ > Ubicaciones de red > Agregar una ubicación de red > Etiquetas de ubicación.
- Las directivas de conexión de carga de trabajo directa existentes funcionan según lo previsto.
- Se deben crear nuevas directivas en el servicio Ubicaciones de red (sin definir etiquetas) y también en el grupo de entrega. Además, el tipo de conectividad de red debe ser Interna.
- Para las nuevas directivas de conexión de carga de trabajo directa con etiquetas, las etiquetas deben definirse en el servicio Ubicaciones de red y también las mismas etiquetas deben definirse en el grupo de entrega o en la directiva de acceso en DaaS Studio. Además, el tipo de conectividad de red debe ser Interna. Las etiquetas de ubicación no son relevantes para la conexión de carga de trabajo directa.
-
Se recomienda lo siguiente para probar tu implementación de Citrix DaaS.
- Identifica un grupo de entrega de prueba o crea un grupo de entrega para implementar esta capacidad.
- Crea una directiva o identifica una directiva que se pueda usar con un grupo de entrega de prueba.
Habilitar la función Acceso adaptativo
- Inicia sesión en Citrix Cloud.
- Selecciona Configuración del espacio de trabajo en el menú de hamburguesa.
- El conmutador Acceso adaptativo está desactivado de forma predeterminada. Activa el conmutador Acceso adaptativo.
- Haz clic en Sí, habilitar acceso adaptativo en el mensaje de confirmación.
Cuando el acceso adaptativo está habilitado, puedes definir las etiquetas de ubicación para el acceso adaptativo (Citrix Cloud > Ubicaciones de red > Agregar una ubicación de red > Etiquetas de ubicación).
Cuando el acceso adaptativo está deshabilitado, no puedes agregar una ubicación de red. Las etiquetas de ubicación no son aplicables en este caso.
Importante:
Cuando intentas deshabilitar la función de Acceso adaptativo, aparece el siguiente mensaje. Ten en cuenta que Workspace no envía las etiquetas a DaaS para el acceso adaptativo cuando la función está deshabilitada.
Configurar el acceso adaptativo
Considera un escenario en el que un administrador necesita aplicar un control de acceso basado en las ubicaciones de red de los usuarios (por ejemplo, oficina y casa). El administrador también debe aplicar controles inteligentes, como restricciones del portapapeles para los usuarios que trabajan desde casa. Para lograr este escenario con el acceso adaptativo, el administrador debe crear 2 grupos de entrega basados en la red del usuario:
- Grupo de entrega de Acceso adaptativo para sucursales con aplicaciones relevantes para los usuarios de sucursales.
- Grupo de entrega de Teletrabajo para teletrabajo con aplicaciones relevantes para los usuarios domésticos/remotos.
Una vez creados los grupos de entrega, los siguientes pasos generales están implicados en la configuración del acceso adaptativo basado en las ubicaciones de red:
- Define etiquetas y configura las directivas de ubicación de red.
- Usa las etiquetas definidas en los grupos de entrega para la enumeración de aplicaciones o para aplicar controles inteligentes en las aplicaciones.
- Aplica controles inteligentes en las aplicaciones (opcional).
Define etiquetas de ubicación de red para el acceso basado en la ubicación
El primer paso consiste en definir etiquetas para los usuarios según su ubicación: oficina o casa.
- BRANCHOFFICE: Esta etiqueta debe asignarse a los usuarios que se conectan desde la red de la oficina. Estos usuarios tienen acceso completo a todas las aplicaciones disponibles para ellos.
- WORKFROMHOME: Esta etiqueta debe asignarse a los usuarios que trabajan de forma remota. Estos usuarios tienen acceso limitado a las aplicaciones y a ciertas funciones (como la funcionalidad del portapapeles).
Para obtener más información sobre las etiquetas, consulta Etiquetas de ubicación de red.
Ahora que tienes los grupos de entrega y las etiquetas respectivas creadas según la ubicación del usuario, puedes continuar con la configuración de la directiva de ubicación de red.
Configura las directivas de ubicación de red
Define las reglas de la directiva de ubicación de red para la ubicación de tu usuario proporcionando la dirección IP de origen pública y la etiqueta de ubicación.
- Inicia sesión en Citrix Cloud.
- Selecciona Ubicaciones de red en el menú de hamburguesa. Asegúrate de que el conmutador de Acceso adaptativo esté habilitado. De lo contrario, se mostrará la interfaz de usuario para la Conexión directa de carga de trabajo.
-
Haz clic en Agregar ubicación de red.
-
Nombre de la ubicación: Introduce un nombre adecuado para la directiva.
Ejemplo: BRANCHOFFICE o WORKFROMHOME
-
Rango de direcciones IP públicas: Define el rango de direcciones IP públicas para tu red.
Ejemplo: 192.0.2.10 - 192.0.2.30
-
Etiquetas de ubicación: Define etiquetas para tu ubicación. Puede ser un nombre que haga referencia a tu ubicación. Estas etiquetas se utilizan para configurar las directivas de acceso adaptativo en Citrix Studio. Para obtener más información, consulta Definir etiquetas en Citrix Studio.
Ejemplo: BRANCHOFFICE o WORKFROMHOME
-
Tipo de conectividad: Define el tipo de inicio de la aplicación.
Interno - Omite el gateway para el inicio de la aplicación. Externo - Usa el servicio Citrix Gateway o un gateway tradicional para el inicio de la aplicación.
-
- Haz clic en Guardar.
Ahora puedes usar estas etiquetas en DaaS Studio para habilitar el acceso adaptativo.
Nota:
- Si no se asignan etiquetas de ubicación de red a los grupos de entrega, los usuarios obtienen acceso sin restricciones a todas las aplicaciones tanto en los grupos de entrega de Acceso adaptativo como en los de Teletrabajo. Esto podría dar lugar a escenarios en los que los usuarios accedan inadvertidamente a ciertas aplicaciones para las que no están autorizados. La asignación de etiquetas de ubicación a los grupos de entrega garantiza que el acceso se controle en función de la ubicación de red de los usuarios.
- Al definir las etiquetas de ubicación, asegúrate de introducir solo el nombre de etiqueta preferido sin el prefijo “LOCATION_TAG”, por ejemplo BRANCHOFFICE. Sin embargo, al definir etiquetas en Citrix Studio, debes anteponer el prefijo “LOCATION_TAG” al nombre de la etiqueta. Por ejemplo, “LOCATION_TAG_BRANCHOFFICE”.
Usa las etiquetas definidas en los grupos de entrega para la enumeración de aplicaciones
- Inicia sesión en Citrix Cloud.
- En el mosaico de Citrix DaaS, haz clic en Administrar.
- Crea un grupo de entrega. Para obtener más información, consulta Crear grupos de entrega.
- Selecciona el grupo de entrega que has creado y haz clic en Modificar grupo de entrega.
- Haz clic en Directiva de acceso.
-
Para los clientes que utilizan el acceso adaptativo dentro de la plataforma Citrix Workspace, realiza los siguientes pasos para restringir el acceso de un grupo de entrega solo a las redes internas:
- Haz clic con el botón derecho en el grupo de entrega y selecciona Modificar.
- Selecciona la directiva de acceso en el panel izquierdo.
-
Haz clic en el icono de edición para modificar la directiva de conexiones predeterminada de Citrix Gateway.
-
En la página Modificar directiva, selecciona Conexiones que cumplen los siguientes criterios, selecciona Coincidir con cualquiera y, a continuación, agrega los criterios.
Para los usuarios de WorkFromHome, introduce los siguientes valores en el controlador de entrega correspondiente.
Filtro: Workspace
Valor: LOCATION_TAG_WORKFROMHOME
Para los usuarios de BranchOffice, introduce los siguientes valores en el controlador de entrega correspondiente.
Filtro: Workspace
Valor: LOCATION_TAG_BRANCHOFFICE
Nota:
- Asegúrate de que, en el campo Valor, introduces el nombre de etiqueta de ubicación correcto tal como lo definiste al crear las directivas de ubicación de red, con el prefijo “LOCATION_TAG”. Por ejemplo, si definiste la etiqueta de ubicación como “BRANCHOFFICE”, debes introducir “LOCATION_TAG_BRANCHOFFICE” en el campo Valor. Las etiquetas de ubicación de red en los grupos de entrega deben introducirse en mayúsculas, independientemente de cómo se hayan definido en la directiva de ubicación de red. Para obtener más información sobre cómo configurar las etiquetas de ubicación, consulta Configurar directivas de ubicación de red.
- Las etiquetas de ubicación de red en los grupos de entrega deben introducirse en mayúsculas, independientemente de cómo se hayan definido en la directiva de ubicación de red. Para obtener más información sobre cómo configurar las etiquetas de ubicación, consulta Configurar las directivas de ubicación de red.
(Opcional) Aplicar controles inteligentes en las aplicaciones
Además de restringir el acceso mediante etiquetas de ubicación de red, los administradores también pueden aplicar controles inteligentes en las aplicaciones. En este ejemplo, la redirección del portapapeles del cliente está inhabilitada para los usuarios de la ubicación WorkFromHome.
- Inicia sesión en Citrix DaaS.
- Ve a Directivas y haz clic en Crear directiva.
- Selecciona Redirección del portapapeles del cliente y, a continuación, haz clic en Prohibir.
- Haz clic en Siguiente.
- En la página Asignar directiva a, selecciona Control de acceso.
-
Define los siguientes valores para la directiva:
- Modo: Permitir
- Tipo de conexión: Con Citrix Gateway
- Nombre de la granja de Gateway: Workspace
- Condición de acceso: LOCATION_TAG_WORKFROMHOME (todo en mayúsculas)
- Haz clic en Siguiente.
- Introduce un nombre para la directiva y agrega una descripción de la directiva.
- Haz clic en Finalizar.
Los usuarios de la ubicación WORKFROMHOME no pueden acceder al portapapeles de sus recursos iniciados.
Etiquetas de ubicación de red
El servicio Ubicaciones de red proporciona las siguientes etiquetas.
-
Etiquetas predeterminadas: Estas etiquetas se definen en el servicio Ubicaciones de red. Las siguientes etiquetas predeterminadas están disponibles.
- LOCATION_internal: Etiqueta enviada de forma predeterminada cuando el tipo de conectividad de red se establece como Interna al definir una ubicación de red.
- LOCATION_external: Etiqueta enviada de forma predeterminada cuando el tipo de conectividad de red se establece como Externa al definir una ubicación de red.
- LOCATION_undefined: Etiqueta enviada para una dirección IP que no está definida en la directiva, pero que llega a través del servicio Ubicaciones de red. El inicio para estos usuarios es el mismo que el definido en el grupo de recursos.
- Etiquetas personalizadas: Los administradores pueden definir nombres de etiquetas personalizadas en las directivas. Ejemplo: home, Office, BRANCH
Nota:
Al definir etiquetas para el servicio Ubicación de red, asegúrate de lo siguiente:
Las etiquetas predeterminadas siempre comienzan con el prefijo “LOCATION_
<nombre de etiqueta>. Por ejemplo, LOCATION_INTERNAL.Las etiquetas personalizadas siempre comienzan con el prefijo “LOCATION_TAG
<nombre de etiqueta>. Por ejemplo, LOCATION_TAG_OFFICE.Al definir etiquetas en los grupos de entrega, las etiquetas deben introducirse en mayúsculas.
Etiquetas predeterminadas: LOCATION_INTERNAL, LOCATION_EXTERNAL, LOCATION_UNDEFINED
Etiquetas personalizadas: LOCATION_TAG_OFFICE, LOCATION_TAG_HOME
La siguiente tabla resume las directivas y etiquetas para el escenario mencionado anteriormente.
| Ubicación | Directiva | Etiqueta personalizada | Etiqueta predeterminada | Etiqueta que se utilizará en el grupo de entrega de DaaS | Etiquetas que se utilizarán en la directiva de acceso inteligente |
|---|---|---|---|---|---|
| WFH | WFH | WORKFROMHOME | LOCATION_EXTERNAL | LOCATION_WORKFROMHOME and/or LOCATION_EXTERNAL | LOCATION_WORKFROMHOME and/or LOCATION_EXTERNAL |
| BranchOffice | BranchOffice | BRANCHOFFICE | LOCATION_EXTERNAL | LOCATION_BRANCHOFFICE and/or LOCATION_EXTERNAL | LOCATION_BRANCHOFFICE and/or LOCATION_EXTERNAL |
| Other | No definida | No definida | LOCATION_UNDEFINED | LOCATION_UNDEFINED | LOCATION_UNDEFINED |
Problemas conocidos
Si inhabilitas la función de Acceso adaptativo después de haberla habilitado y de haber establecido las reglas (etiquetas y tipo de conectividad), esto no elimina las ubicaciones de la página Ubicaciones de red, aunque las columnas de etiquetas de ubicación y tipo de conectividad estén ocultas. Pero estas ubicaciones están inhabilitadas en el back-end. Se trata de un problema estético.
Configurar directivas de grabación de sesiones basadas en etiquetas
Grabación de sesiones permite a las organizaciones grabar la actividad de los usuarios en pantalla en sesiones virtuales. Puedes especificar etiquetas, incluidas las etiquetas de ubicación de red, al crear una directiva de grabación de sesiones personalizada, una directiva de detección de eventos o una directiva de respuesta a eventos. Para ver un ejemplo, consulta Crear una directiva de grabación personalizada.