Integración con NetScaler Gateway y Citrix ADC

Detalles de la decisión:

Guía de diseño:

La configuración predeterminada de Citrix Endpoint Management es la autenticación de nombre de usuario y contraseña. Para añadir otra capa de seguridad para la inscripción y el acceso al entorno de Citrix Endpoint Management, considere la posibilidad de utilizar la autenticación basada en certificados. Puede utilizar certificados con LDAP para la autenticación de dos factores, lo que proporciona un mayor grado de seguridad sin necesidad de un servidor RSA.

Si no permite LDAP y utiliza tarjetas inteligentes o métodos similares, la configuración de certificados le permite representar una tarjeta inteligente en Citrix Endpoint Management. Los usuarios se inscriben utilizando un PIN único que Citrix Endpoint Management genera para ellos. Una vez que un usuario tiene acceso, Citrix Endpoint Management crea e implementa el certificado que se utilizará posteriormente para autenticarse en el entorno de Citrix Endpoint Management.

Citrix Endpoint Management admite la lista de revocación de certificados (CRL) solo para una entidad de certificación de terceros. Si tiene una CA de Microsoft configurada, Citrix Endpoint Management utiliza NetScaler Gateway para administrar la revocación. Al configurar la autenticación basada en certificados de cliente, considere si necesita configurar el ajuste de la lista de revocación de certificados (CRL) de NetScaler Gateway Enable CRL Auto Refresh. Este paso garantiza que el usuario de un dispositivo inscrito solo en MAM no pueda autenticarse utilizando un certificado existente en el dispositivo. Citrix Endpoint Management vuelve a emitir un nuevo certificado, ya que no restringe a un usuario la generación de un certificado de usuario si se revoca uno. Esta configuración aumenta la seguridad de las entidades PKI cuando la CRL comprueba las entidades PKI caducadas.

Detalles de la decisión:

Guía de diseño:

Cuando su entorno Citrix incluye Citrix Endpoint Management, además de Virtual Apps and Desktops, puede utilizar el mismo servidor virtual de NetScaler Gateway para ambos. Debido a los posibles conflictos de versiones y al aislamiento del entorno, se recomienda un NetScaler Gateway dedicado para cada entorno de Citrix Endpoint Management.

Si utiliza la autenticación LDAP, Citrix Secure Hub puede autenticarse en el mismo NetScaler Gateway sin problemas. Si utiliza la autenticación basada en certificados, Citrix Endpoint Management envía un certificado en el contenedor MDX y Citrix Secure Hub utiliza el certificado para autenticarse con NetScaler Gateway.

Puede considerar esta solución alternativa, que le permite utilizar el mismo FQDN para dos VIP de NetScaler Gateway. Puede crear dos VIP de NetScaler Gateway con la misma dirección IP. La de Citrix Secure Hub utiliza el puerto estándar 443 y la de Citrix Virtual Apps and Desktops (que implementa la aplicación Citrix Workspace) utiliza el puerto 444. Entonces, un FQDN se resuelve en la misma dirección IP. Para esta solución alternativa, es posible que deba configurar StoreFront para que devuelva un archivo ICA para el puerto 444, en lugar del predeterminado, el puerto 443. Esta solución alternativa no requiere que los usuarios introduzcan un número de puerto.

Detalles de la decisión:

Guía de diseño:

NetScaler Gateway incluye las configuraciones Tiempo de espera de sesión y Tiempo de espera forzado. Para obtener más información, consulte Configuraciones recomendadas. Tenga en cuenta que existen diferentes valores de tiempo de espera para los servicios en segundo plano, NetScaler Gateway y para acceder a las aplicaciones sin conexión.

Detalles de la decisión:

Guía de diseño:

Si planea usar Citrix Secure Web solo para la navegación web interna, la configuración de NetScaler Gateway es sencilla. Sin embargo, si Citrix Secure Web no puede acceder a todos los sitios internos de forma predeterminada, es posible que deba configurar firewalls y servidores proxy.

Si planea usar Citrix Secure Web para la navegación interna y externa, debe habilitar el SNIP para que tenga acceso a Internet saliente. El departamento de TI generalmente considera los dispositivos inscritos (que usan el contenedor MDX) como una extensión de la red corporativa. Por lo tanto, TI normalmente quiere que las conexiones de Citrix Secure Web regresen a NetScaler Gateway, pasen por un servidor proxy y luego salgan a Internet. De forma predeterminada, el acceso a Citrix Secure Web se tuneliza a la red interna. Citrix Secure Web utiliza un túnel VPN por aplicación de vuelta a la red interna para todo el acceso a la red y NetScaler Gateway utiliza la configuración de túnel dividido.

Para una discusión sobre las conexiones de Citrix Secure Web, consulte Configuración de conexiones de usuario.

Detalles de la decisión:

Guía de diseño para iOS:

Si la configuración de NetScaler Gateway incluye Secure Ticket Authority (STA) y el túnel dividido está desactivado: NetScaler Gateway debe permitir el tráfico de Citrix Secure Mail a las URL del servicio de escucha de Citrix. Esas URL se especifican en las notificaciones push para Citrix Secure Mail para iOS.

Guía de diseño para Android:

Utilice Firebase Cloud Messaging (FCM) para controlar cómo y cuándo los dispositivos Android necesitan conectarse a Citrix Endpoint Management. Con FCM configurado, cualquier acción de seguridad o comando de implementación activa una notificación push a Citrix Secure Hub para solicitar al usuario que se vuelva a conectar al servidor de Citrix Endpoint Management.

Detalles de la decisión:

Guía de diseño:

Los STA de HDX deben coincidir con los STA de StoreFront y deben ser válidos para el sitio de Virtual Apps and Desktops.

Detalles de la decisión:

Guía de diseño:

Si incluye un controlador de zonas de almacenamiento en su entorno, asegúrese de configurar correctamente lo siguiente:

Para obtener más información, consulte la documentación de Storage zones controller.

Detalle de la decisión:

Guía de diseño:

La mejor práctica recomendada es integrar Citrix Files con Citrix Endpoint Management, una alternativa más sencilla a la configuración de la federación basada en SAML. Citrix Endpoint Management proporciona a Citrix Files:

La consola de Citrix Endpoint Management le permite configurar Citrix Files y supervisar los niveles de servicio y el uso de licencias.

Hay dos tipos de clientes de Citrix Files: Citrix Files para Citrix Endpoint Management (también conocido como Citrix Files encapsulado) y clientes móviles de Citrix Files (también conocido como Citrix Files sin encapsular). Para comprender las diferencias, consulte Cómo se diferencian los clientes de Citrix Files para Citrix Endpoint Management de los clientes móviles de Citrix Files.

Puede configurar Citrix Endpoint Management y Citrix Files para usar SAML y proporcionar acceso SSO a:

Si quiere usar Citrix Endpoint Management como IdP de SAML para Citrix Files, asegúrese de que las configuraciones adecuadas estén implementadas. Para obtener más información, consulte SAML para SSO con Citrix Files.

Detalle de la decisión:

Guía de diseño:

ShareConnect permite a los usuarios conectarse de forma segura a sus equipos a través de iPads, tabletas Android y teléfonos Android para acceder a sus archivos y aplicaciones. Para las conexiones directas, Citrix Endpoint Management utiliza NetScaler Gateway para proporcionar acceso seguro a los recursos fuera de la red local. Para obtener detalles de configuración, consulte ShareConnect.

Citrix suele recomendar SSL Bridge para las configuraciones de servidores virtuales MDM de NetScaler Gateway. Para el uso de descarga SSL de NetScaler Gateway con servidores virtuales MDM, Citrix Endpoint Management solo admite el puerto 80 como servicio de back-end.

Para ver diagramas de NetScaler Gateway en implementaciones de Citrix Endpoint Management, consulte Arquitectura.