Conector de NetScaler Gateway para Exchange ActiveSync

XenMobile NetScaler Connector ahora es el conector de NetScaler Gateway para Exchange ActiveSync. Para obtener más detalles sobre la cartera unificada de Citrix, consulta la guía de productos de Citrix.

• El conector para Exchange ActiveSync proporciona un servicio de autorización a nivel de dispositivo para clientes de ActiveSync a NetScaler Gateway, que actúa como proxy inverso para el protocolo Exchange ActiveSync. Controlas la autorización mediante una combinación de:

• Directivas que defines en Citrix Endpoint Management
• Reglas definidas localmente por el conector de NetScaler Gateway para Exchange ActiveSync

Para obtener más información, consulta ActiveSync Gateway.

Para ver un diagrama de arquitectura de referencia detallado, consulta Arquitectura.

La versión actual del conector de NetScaler Gateway para Exchange ActiveSync es la versión 8.5.3.

Para descargar el conector:

• 1. Ve a https://www.citrix.com/downloads.
• 1. Ve a Citrix Endpoint Management (y Citrix XenMobile Server) > XenMobile Server (local) > Product Software > XenMobile Server 10 > Server Components.

1. En el mosaico NetScaler Gateway Connector, haz clic en Download File.

Para instalar el conector, consulta Instalar el conector de NetScaler Gateway para Exchange ActiveSync).

Importante:

A partir de octubre de 2022, los conectores de Citrix Endpoint Management y NetScaler Gateway para Exchange ActiveSync ya no admitirán Exchange Online, dados los cambios de autenticación anunciados por Microsoft aquí. El conector de Citrix Endpoint Management para Exchange sigue funcionando con Microsoft Exchange Server (local).

Novedades de la versión 8.5.3

• Esta versión agrega compatibilidad con los protocolos ActiveSync 16.0 y 16.1.
• Se han agregado más detalles a los análisis enviados a Google Analytics, especialmente en lo que respecta a las instantáneas. [CXM-52261]

Novedades de versiones anteriores

Nota:

La siguiente sección de Novedades se refiere al conector de NetScaler Gateway para Exchange ActiveSync por su nombre anterior, XenMobile NetScaler Connector. El nombre cambió a partir de la versión 8.5.2.

Novedades de la versión 8.5.2

• XenMobile NetScaler Connector ahora es el conector de NetScaler Gateway para Exchange ActiveSync.

• Los siguientes problemas se han solucionado en esta versión:

• Si se utiliza más de un criterio al definir una regla de directiva y si un criterio implica el ID de usuario, puede ocurrir el siguiente problema: Si un usuario tiene más alias, los alias tampoco se comprueban al aplicar la regla. [CXM-55355]

• Novedades de la versión 8.5.1.11

• Cambio en los requisitos del sistema: La versión actual de NetScaler Connector requiere Microsoft .NET Framework 4.5.

• Compatibilidad con Google Analytics: Queremos saber cómo usas el Connector para poder centrarnos en cómo mejorar el producto.

• Compatibilidad con TLS 1.1 y 1.2: Debido a su seguridad debilitada, el Consejo PCI está dejando de usar TLS 1.0 y TLS 1.1. Se ha agregado compatibilidad con TLS 1.2 a XenMobile NetScaler Connector.

Supervisar el conector de NetScaler Gateway para Exchange ActiveSync

La utilidad de configuración del conector de NetScaler Gateway para Exchange ActiveSync proporciona un registro detallado. Usa los registros para ver todo el tráfico que pasa por tu servidor de Exchange que Secure Mobile Gateway permite o bloquea.

Usa la ficha Registro para ver el historial de las solicitudes de ActiveSync reenviadas al conector para Exchange ActiveSync para su autorización.

Además, para asegurarte de que el servicio web del conector para Exchange ActiveSync se está ejecutando, carga la siguiente URL en un navegador en el servidor del conector https://<host:port>/services/ActiveSync/Version. Si la URL devuelve la versión del producto como una cadena, el servicio web responde.

Para simular el tráfico de ActiveSync con el conector para Exchange ActiveSync

Puedes usar el conector de NetScaler Gateway para Exchange ActiveSync para simular el tráfico de ActiveSync con tus directivas. En la utilidad de configuración del conector, haz clic en la ficha Simulador. Los resultados muestran cómo se aplican tus directivas según las reglas que configuraste.

Elegir filtros para el conector para Exchange ActiveSync

Los filtros del conector de NetScaler Gateway para Exchange ActiveSync funcionan analizando un dispositivo en busca de una infracción de directiva o una configuración de propiedad determinada. Si el dispositivo cumple los criterios, se coloca en una lista de dispositivos. Esta lista de dispositivos no es una lista de permitidos ni una lista de bloqueados. Es una lista de dispositivos que cumplen los criterios definidos. Los siguientes filtros están disponibles para el conector para Exchange ActiveSync dentro de Citrix Endpoint Management. Las dos opciones para cada filtro son Permitir o Denegar.

• Dispositivos anónimos: Permite o deniega dispositivos inscritos en Citrix Endpoint Management, pero cuya identidad de usuario es desconocida. Por ejemplo, un usuario inscrito tiene una identidad desconocida si tiene una contraseña de Active Directory caducada o credenciales desconocidas.
• Aplicaciones prohibidas: Permite o deniega dispositivos en función de la lista de dispositivos definida por las listas de bloqueados en las directivas y la presencia de aplicaciones en una lista de bloqueados.
  • Permitir/Denegar implícito: Crea una lista de dispositivos de todos los dispositivos que no cumplen ninguno de los demás criterios de reglas de filtro y permite o deniega en función de esa lista. La opción Permitir/Denegar implícito se asegura de que el estado del conector para Exchange ActiveSync en la ficha Dispositivos esté habilitado y muestre el estado del conector para tus dispositivos. La opción Permitir/Denegar implícito también controla todos los demás filtros del conector que no están seleccionados. Por ejemplo, el conector deniega las aplicaciones de la lista de bloqueados. Sin embargo, el conector permite todos los demás filtros porque la opción Permitir/Denegar implícito está establecida en Permitir.
  • Dispositivos inactivos: Crea una lista de dispositivos que no se han comunicado con Citrix Endpoint Management en un tiempo especificado. Estos dispositivos se consideran inactivos. El filtro permite o deniega los dispositivos en consecuencia.
• Aplicaciones obligatorias que faltan: Cuando un usuario se inscribe, recibe una lista de aplicaciones obligatorias que deben instalarse. El filtro de aplicaciones obligatorias que faltan indica que una o varias de las aplicaciones ya no están presentes; por ejemplo, el usuario eliminó una o varias aplicaciones.
• Aplicaciones no sugeridas: Cuando un usuario se inscribe, recibe una lista de las aplicaciones que debe instalar. El filtro de aplicaciones no sugeridas comprueba el dispositivo en busca de aplicaciones que no están en esa lista.
• Contraseña no conforme: Crea una lista de dispositivos de todos los dispositivos que no tienen un código de acceso en el dispositivo.
• Dispositivos no conformes: Te permite denegar o permitir dispositivos que cumplen tus propios criterios internos de cumplimiento de TI. El cumplimiento es una configuración arbitraria definida por la propiedad del dispositivo llamada “No conforme”, que es una marca booleana que puede ser Verdadero o Falso. (Puedes crear esta propiedad manualmente y establecer el valor. O puedes usar acciones automatizadas para crear esta propiedad en un dispositivo, según si el dispositivo cumple criterios específicos.)
  • No conforme = Verdadero: Si un dispositivo no cumple los estándares de cumplimiento y las definiciones de directivas establecidas por tu departamento de TI, el dispositivo no es conforme.
  • No conforme = Falso: Si un dispositivo cumple los estándares de cumplimiento y las definiciones de directivas establecidas por tu departamento de TI, el dispositivo es conforme.
• Estado revocado: Crea una lista de dispositivos de todos los dispositivos revocados y permite o deniega en función del estado revocado.
• Dispositivos Android rooteados/iOS con jailbreak: Crea una lista de dispositivos de todos los dispositivos marcados como rooteados y permite o deniega en función del estado de rooteo.

• Dispositivos no administrados: Crea una lista de dispositivos de todos los dispositivos en la base de datos de Citrix Endpoint Management. Implementa Mobile Application Gateway en modo de bloqueo.

• Para configurar una conexión al conector de NetScaler Gateway para Exchange ActiveSync

El conector de NetScaler Gateway para Exchange ActiveSync se comunica con Citrix Endpoint Management y otros proveedores de configuración remota a través de los servicios web seguros de Citrix.

1. En la utilidad de configuración del conector para Exchange ActiveSync, haz clic en la ficha Proveedores de configuración y, a continuación, haz clic en Agregar.
2. En el cuadro de diálogo Proveedores de configuración, en Nombre, introduce un nombre de usuario que tenga privilegios administrativos y que se use para la autorización HTTP básica con el servidor de Citrix Endpoint Management.
3. En URL, introduce la dirección web de Citrix Endpoint Management GCS, normalmente en el formato https://<FQDN>/<instanceName>/services/<MagConfigService>. El nombre MagConfigService distingue entre mayúsculas y minúsculas.
4. En Contraseña, introduce la contraseña que se usará para la autorización HTTP básica con el servidor de Citrix Endpoint Management.
5. En Host de administración, introduce el nombre del servidor del conector para Exchange ActiveSync.

• 1. En Intervalo de línea base, especifica un período de tiempo para extraer un nuevo conjunto de reglas dinámicas actualizado de Citrix Endpoint Management.
• 1. En Intervalo delta, especifica un período de tiempo para extraer una actualización de las reglas dinámicas.
• 1. En Tiempo de espera de solicitud, especifica el intervalo de tiempo de espera de la solicitud del servidor.
• 1. En Proveedor de configuración, selecciona si la instancia del servidor del proveedor de configuración está proporcionando la configuración de la directiva.

1. En Eventos habilitados, habilita esta opción si quieres que el conector para Exchange ActiveSync notifique a Citrix Endpoint Management cuando se bloquea un dispositivo. Esta opción es necesaria si estás usando las reglas del conector en cualquiera de tus acciones automatizadas de Citrix Endpoint Management.
2. Haz clic en Guardar y, a continuación, haz clic en Probar conectividad para probar la conectividad del gateway con el proveedor de configuración. Si la conexión falla, comprueba que la configuración del firewall local permite la conexión o ponte en contacto con tu administrador.
3. Cuando la conexión se realice correctamente, desactiva la casilla de verificación Deshabilitado y, a continuación, haz clic en Guardar.

Cuando agregas un proveedor de configuración, el conector para Exchange ActiveSync crea automáticamente una o varias directivas asociadas con el proveedor. Una definición de plantilla contenida en config\policyTemplates.xml en la sección NewPolicyTemplate define las directivas. Para cada elemento de directiva definido dentro de esta sección, se crea una nueva directiva.

El operador puede agregar, quitar o modificar elementos de directiva si se cumple lo siguiente: El elemento de directiva se ajusta a la definición del esquema y las cadenas de sustitución estándar (entre llaves) no se modifican. A continuación, agrega nuevos grupos para el proveedor y actualiza la directiva para incluir los nuevos grupos.

Para importar una directiva de Citrix Endpoint Management

1. En el conector para la utilidad de configuración de Exchange ActiveSync, haz clic en la ficha Config Providers y luego haz clic en Agregar.
2. En el cuadro de diálogo Config Providers, en Nombre, introduce un nombre de usuario para la autorización HTTP básica con Citrix Endpoint Management. El usuario debe tener privilegios administrativos.
3. En URL, introduce la dirección web del Servicio de configuración de la puerta de enlace de Citrix Endpoint Management (GCS), normalmente en el formato https://<xdmHost>/xdm/services/<MagConfigService>. El nombre MagConfigService distingue entre mayúsculas y minúsculas.
4. En Contraseña, introduce la contraseña que se utiliza para la autorización HTTP básica con el servidor de Citrix Endpoint Management.
5. Haz clic en Probar conectividad para probar la conectividad de la puerta de enlace con el proveedor de configuración. Si la conexión falla, comprueba que la configuración del firewall local permite la conexión o consulta con tu administrador.
6. Cuando se establezca una conexión correctamente, desmarca la casilla de verificación Deshabilitado y luego haz clic en Guardar.

7. En Host de administración, deja el nombre DNS predeterminado del equipo host local. Esta configuración se utiliza para coordinar la comunicación con Citrix Endpoint Management cuando se configuran varios servidores Forefront Threat Management Gateway (TMG) en una matriz.

   Después de guardar la configuración, abre el GCS.

Configuración del conector de NetScaler Gateway para el modo de directiva de Exchange ActiveSync

El conector de NetScaler Gateway para Exchange ActiveSync puede ejecutarse en los seis modos siguientes:

• Permitir todo: Este modo de directiva concede acceso a todo el tráfico que pasa por el conector para Exchange ActiveSync. No se utilizan otras reglas de filtrado.
• Denegar todo: Este modo de directiva bloquea el acceso a todo el tráfico que pasa por el conector para Exchange ActiveSync. No se utilizan otras reglas de filtrado.
• Reglas estáticas: Modo de bloqueo: Este modo de directiva ejecuta reglas estáticas con una instrucción de denegación o bloqueo implícita al final. El conector para Exchange ActiveSync bloquea los dispositivos que no están permitidos a través de otras reglas de filtro.
• Reglas estáticas: Modo de permiso: Este modo de directiva ejecuta reglas estáticas con una instrucción de permiso implícita al final. Los dispositivos que no están bloqueados o denegados a través de otras reglas de filtro se permiten a través del conector para Exchange ActiveSync.
• Reglas estáticas + ZDM: Modo de bloqueo. Este modo de directiva ejecuta primero reglas estáticas, seguidas de reglas dinámicas de Citrix Endpoint Management con una instrucción de denegación o bloqueo implícita al final. Los dispositivos se permiten o deniegan en función de los filtros definidos y las reglas de Citrix Endpoint Management. Cualquier dispositivo que no coincida con los filtros y las reglas definidos se bloquea.
• Reglas estáticas + ZDM: Modo de permiso. Este modo de directiva ejecuta primero reglas estáticas, seguidas de reglas dinámicas de Citrix Endpoint Management con una instrucción de permiso implícita al final. Los dispositivos se permiten o deniegan en función de los filtros definidos y las reglas de Citrix Endpoint Management. Cualquier dispositivo que no coincida con los filtros y las reglas definidos se permite.

El conector para el proceso de Exchange ActiveSync permite o bloquea reglas dinámicas basándose en identificadores de ActiveSync únicos para dispositivos móviles iOS y basados en Windows recibidos de Citrix Endpoint Management. Los dispositivos Android difieren en su comportamiento según el fabricante y algunos no exponen fácilmente un identificador de ActiveSync único. Para compensar, Citrix Endpoint Management envía información de ID de usuario para dispositivos Android para tomar una decisión de permiso o bloqueo. Como resultado, si un usuario tiene solo un dispositivo Android, los permisos y bloqueos funcionan normalmente. Si el usuario tiene varios dispositivos Android, todos los dispositivos se permiten porque los dispositivos Android no se pueden diferenciar. Puedes configurar la puerta de enlace para bloquear estáticamente estos dispositivos por ActiveSyncID, si se conocen. También puedes configurar la puerta de enlace para bloquear según el tipo de dispositivo o el agente de usuario.

Para especificar el modo de directiva, en la utilidad de configuración del controlador SMG, haz lo siguiente:

1. Haz clic en la ficha Filtros de ruta y luego haz clic en Agregar.
2. En el cuadro de diálogo Propiedades de ruta, selecciona un modo de directiva de la lista Directiva y luego haz clic en Guardar.

Puedes revisar las reglas en la ficha Directivas de la utilidad de configuración. Las reglas se procesan en el conector para Exchange ActiveSync de arriba a abajo. Las directivas de permiso se muestran con una marca de verificación verde. Las directivas de denegación se muestran como un círculo rojo con una línea que lo atraviesa. Para actualizar la pantalla y ver las reglas más recientes, haz clic en Actualizar. También puedes modificar el orden de las reglas en el archivo config.xml.

Para probar las reglas, haz clic en la ficha Simulador. Especifica los valores en los campos. Puedes obtener los valores de los registros. Un mensaje de resultado especifica Permitir o Bloquear.

Para configurar reglas estáticas

Introduce reglas estáticas con valores que lee el filtrado ISAPI de las solicitudes HTTP de conexión de ActiveSync. Las reglas estáticas permiten que el conector para Exchange ActiveSync permita o bloquee el tráfico según los siguientes criterios:

• Usuario: El conector para Exchange ActiveSync utiliza el valor de usuario autorizado y la estructura de nombre que se capturó durante la inscripción del dispositivo. Esa estructura se encuentra comúnmente como dominio\nombredeusuario según lo referenciado por el servidor que ejecuta Citrix Endpoint Management conectado a Active Directory a través de LDAP. La ficha Registro de la utilidad de configuración del conector muestra los valores que pasan por el conector. Los valores se pasan si el conector debe determinar la estructura del valor o si la estructura difiere.
• ID de dispositivo (ActiveSyncID): También conocido como el ActiveSyncID del dispositivo conectado. Este valor se encuentra comúnmente en la página de propiedades específicas del dispositivo en la consola de Citrix Endpoint Management. Este valor también se puede obtener de la ficha Registro en el conector para la utilidad de configuración de Exchange ActiveSync.
• Tipo de dispositivo: El conector para Exchange ActiveSync puede determinar si un dispositivo es un iPhone, iPad u otro tipo de dispositivo y puede permitir o bloquear basándose en ese criterio. Al igual que con otros valores, la utilidad de configuración del conector puede revelar todos los tipos de dispositivos conectados que se están procesando para la conexión de ActiveSync.
• Agente de usuario: Contiene información sobre el cliente de ActiveSync que se utiliza. Normalmente, el valor especificado corresponde a una compilación y versión específicas del sistema operativo para la plataforma de dispositivos móviles.

El conector para la utilidad de configuración de Exchange ActiveSync que se ejecuta en el servidor siempre administra las reglas estáticas.

1. En la utilidad de configuración del controlador SMG, haz clic en la ficha Reglas estáticas y luego haz clic en Agregar.
2. En el cuadro de diálogo Propiedades de regla estática, especifica los valores que quieres usar como criterios. Por ejemplo, puedes introducir un usuario para permitir el acceso introduciendo el nombre de usuario (por ejemplo, AllowedUser) y luego desmarcando la casilla de verificación Deshabilitado.

3. Haz clic en Guardar.

   La regla estática ya está en vigor. Además, puedes usar expresiones regulares para definir valores, pero debes habilitar el modo de procesamiento de reglas en el archivo config.xml.

Para configurar reglas dinámicas

Las directivas y propiedades de los dispositivos en Citrix Endpoint Management definen reglas dinámicas y pueden activar un conector dinámico para el filtro de Exchange ActiveSync. Los desencadenantes se basan en la presencia de una infracción de directiva o una configuración de propiedad. Los filtros del conector para Exchange ActiveSync funcionan analizando un dispositivo en busca de una infracción de directiva o una configuración de propiedad determinada. Si el dispositivo cumple los criterios, se coloca en una Lista de dispositivos. Esta Lista de dispositivos no es una lista de permitidos ni una lista de bloqueados. Es una lista de dispositivos que cumplen los criterios definidos. Las siguientes opciones de configuración te permiten definir si quieres permitir o denegar los dispositivos de la Lista de dispositivos utilizando el conector para Exchange ActiveSync.

• Nota:

• Usa la consola de Citrix Endpoint Management para configurar reglas dinámicas.

1. En la consola de Citrix Endpoint Management, haz clic en el icono de engranaje de la esquina superior derecha. Aparece la página Configuración.

2. En Servidor, haz clic en ActiveSync Gateway. Aparece la página ActiveSync Gateway.

3. En Activar las siguientes reglas, selecciona una o varias reglas que quieras activar.

4. Solo en Android, en Enviar usuarios de dominio de Android a ActiveSync Gateway, haz clic en SÍ para asegurarte de que Citrix Endpoint Management envía información de dispositivos Android a Secure Mobile Gateway.

   Con esta opción habilitada, Citrix Endpoint Management envía información de dispositivos Android al conector si Citrix Endpoint Management no tiene el identificador de ActiveSync para el usuario del dispositivo.

Para configurar directivas personalizadas editando el conector para el archivo XML de Exchange ActiveSync

Puedes ver las directivas básicas en la configuración predeterminada en la ficha Directivas de la utilidad de configuración del conector para Exchange ActiveSync. Si quieres crear directivas personalizadas, puedes modificar el conector de NetScaler Gateway para el archivo de configuración XML de Exchange ActiveSync (config\config.xml).

• 1. Busca la sección PolicyList en el archivo y luego agrega un nuevo elemento Policy.

1. Si también se requiere un nuevo grupo, como otro grupo estático o un grupo para admitir otro GCP, agrega el nuevo elemento Group a la sección GroupList.
2. Opcionalmente, puedes cambiar el orden de los grupos dentro de una directiva existente reorganizando los elementos GroupRef.

• Configuración del conector para el archivo XML de Exchange ActiveSync

El conector para Exchange ActiveSync usa un archivo de configuración XML para dictar las acciones del conector. Entre otras entradas, el archivo especifica los archivos de grupo y las acciones asociadas que el filtro realiza al evaluar las solicitudes HTTP. De forma predeterminada, el archivo se llama config.xml y se puede encontrar en la siguiente ubicación: ..\Program Files\Citrix\XenMobile NetScaler Connector\config.

Nodos GroupRef

• Los nodos GroupRef definen los nombres de grupo lógicos. Los valores predeterminados son AllowGroup y DenyGroup.

• Nota:

  El orden de los nodos GroupRef tal como aparecen en el nodo GroupRefList es importante.

El valor de ID de un nodo GroupRef identifica un contenedor lógico o una colección de miembros que se usan para hacer coincidir cuentas de usuario o dispositivos específicos. Los atributos de acción especifican cómo el filtro trata a un miembro que coincide con una regla de la colección. Por ejemplo, una cuenta de usuario o un dispositivo que coincide con una regla del conjunto AllowGroup “pasa”. Pasar significa que se permite el acceso a Exchange CAS. Una cuenta de usuario o un dispositivo que coincide con una regla del conjunto DenyGroup se “rechaza”. Rechazado significa que no se permite el acceso a Exchange CAS.

Cuando una cuenta de usuario/dispositivo o una combinación en particular cumple las reglas de ambos grupos, se usa una convención de precedencia para dirigir el resultado de la solicitud. La precedencia se materializa en el orden de los nodos GroupRef en el archivo config.xml de arriba a abajo. Los nodos GroupRef se clasifican por orden de prioridad. Las reglas para una condición dada en el grupo Allow siempre tendrán precedencia sobre las reglas para la misma condición en el grupo Deny.

Nodos de grupo

Además, el archivo config.xml define nodos de grupo. Estos nodos vinculan los contenedores lógicos AllowGroup y DenyGroup a archivos XML externos. Las entradas almacenadas en los archivos externos forman la base de las reglas de filtro.

Nota:

En esta versión, solo se admiten archivos XML externos.

La instalación predeterminada implementa dos archivos XML en la configuración: allow.xml y deny.xml.

Configuración del conector de NetScaler Gateway para Exchange ActiveSync

Puedes configurar el conector de NetScaler Gateway para Exchange ActiveSync para bloquear o permitir selectivamente las solicitudes de ActiveSync basándose en las siguientes propiedades: ID de servicio de ActiveSync, Tipo de dispositivo, Agente de usuario (sistema operativo del dispositivo), Usuario autorizado y Comando de ActiveSync.

La configuración predeterminada admite una combinación de grupos estáticos y dinámicos. Mantienes los grupos estáticos utilizando la utilidad de configuración del controlador SMG. Los grupos estáticos pueden consistir en categorías conocidas de dispositivos, como todos los dispositivos que utilizan un agente de usuario determinado.

Una fuente externa, denominada Proveedor de configuración de Gateway, mantiene los grupos dinámicos. El conector para Exchange ActiveSync conecta los grupos de forma periódica. Citrix Endpoint Management puede exportar grupos de dispositivos y usuarios permitidos y bloqueados al conector para Exchange ActiveSync.

Una fuente externa, denominada Proveedor de configuración de Gateway, mantiene los grupos dinámicos. El conector para Exchange ActiveSync recopila los grupos dinámicos periódicamente. Citrix Endpoint Management puede exportar grupos de dispositivos y usuarios permitidos y bloqueados al conector.

Una política es una lista ordenada de grupos en la que cada grupo tiene una acción asociada (permitir o bloquear) y una lista de miembros del grupo. Una política puede tener cualquier número de grupos. El orden de los grupos dentro de una política es importante porque cuando se encuentra una coincidencia, se toma la acción del grupo y los grupos posteriores no se evalúan.

Un miembro define una forma de hacer coincidir las propiedades de una solicitud. Puede coincidir con una sola propiedad, como el ID del dispositivo, o con múltiples propiedades, como el tipo de dispositivo y el agente de usuario.

• Elección de un modelo de seguridad para el conector de NetScaler Gateway para Exchange ActiveSync

Establecer un modelo de seguridad es esencial para una implementación exitosa de dispositivos móviles en organizaciones de cualquier tamaño. Es común usar un control de red protegido o en cuarentena para permitir el acceso a un usuario, equipo o dispositivo por defecto. Esta práctica no siempre es ideal. Cada organización que gestiona la seguridad de TI podría tener un enfoque ligeramente diferente o personalizado para la seguridad de los dispositivos móviles.

La misma lógica se aplica a la seguridad de los dispositivos móviles. Usar un modelo permisivo es una opción débil debido a la multitud de dispositivos y tipos de móviles, dispositivos móviles por usuario y plataformas y aplicaciones de sistemas operativos disponibles. En la mayoría de las organizaciones, el modelo restrictivo es la opción más lógica.

Los escenarios de configuración que Citrix permite para integrar el conector para Exchange ActiveSync con Citrix Endpoint Management son los siguientes:

Modelo permisivo (modo de permiso)

El modelo de seguridad permisivo opera bajo la premisa de que todo está permitido o se le concede acceso por defecto. Solo a través de reglas y filtros se bloquea algo y se aplica una restricción. El modelo de seguridad permisivo es bueno para organizaciones que tienen una preocupación de seguridad relativamente laxa con respecto a los dispositivos móviles. El modelo solo aplica controles restrictivos para denegar el acceso cuando es apropiado (cuando una regla de política falla).

Modelo restrictivo (modo de bloqueo)

El modelo de seguridad restrictivo se basa en la premisa de que nada está permitido o se le concede acceso por defecto. Todo lo que pasa por el punto de control de seguridad se filtra e inspecciona, y se le deniega el acceso a menos que se cumplan las reglas que permiten el acceso. El modelo de seguridad restrictivo es bueno para organizaciones que tienen un criterio de seguridad relativamente estricto con respecto a los dispositivos móviles. El modo solo concede acceso para el uso y la funcionalidad con los servicios de red cuando se han cumplido todas las reglas para permitir el acceso.

Gestión del conector de NetScaler Gateway para Exchange ActiveSync

Puedes usar el conector de NetScaler Gateway para Exchange ActiveSync para crear reglas de control de acceso. Las reglas permiten o bloquean el acceso a las solicitudes de conexión de ActiveSync desde dispositivos administrados. El acceso se basa en el estado del dispositivo, las listas de aplicaciones permitidas o bloqueadas y otras condiciones de cumplimiento.

Al usar la utilidad de configuración del conector para Exchange ActiveSync, puedes crear reglas dinámicas y estáticas que aplican las políticas de correo electrónico corporativas. Esas reglas y políticas te permiten bloquear a los usuarios que incumplen los estándares de cumplimiento. También puedes configurar el cifrado de archivos adjuntos de correo electrónico, de modo que todos los archivos adjuntos que pasan por tu servidor Exchange a los dispositivos administrados estén cifrados. Solo los usuarios autorizados con dispositivos administrados pueden ver los archivos adjuntos cifrados.

Para desinstalar el XNC

1. Ejecuta XncInstaller.exe con una cuenta de administrador.
2. Sigue las instrucciones en pantalla para completar la desinstalación.

Para instalar, actualizar o desinstalar el conector para Exchange ActiveSync

1. Ejecuta XncInstaller.exe con una cuenta de administrador para instalar el conector para Exchange ActiveSync o para permitir la actualización o eliminación de un conector existente.
2. Sigue las instrucciones en pantalla para completar la instalación, actualización o desinstalación.

Después de instalar el conector para Exchange ActiveSync, debes reiniciar manualmente el servicio de configuración de Citrix Endpoint Management y el servicio de notificaciones.

Instalación del conector de NetScaler Gateway para Exchange ActiveSync

Puedes instalar el conector para Exchange ActiveSync en su propio servidor o en el mismo servidor donde instalaste Citrix Endpoint Management.

Puedes considerar instalar el conector para Exchange ActiveSync en su propio servidor (separado de Citrix Endpoint Management) por las siguientes razones:

• Si tu servidor de Citrix Endpoint Management está alojado de forma remota en la nube (ubicación física)
• Si no quieres que los reinicios del servidor de Citrix Endpoint Management afecten al conector para Exchange ActiveSync (disponibilidad)
• Si quieres dedicar los recursos del sistema de un servidor por completo al conector para Exchange ActiveSync (rendimiento)

La carga de CPU que el conector para Exchange ActiveSync impone a un servidor depende de cuántos dispositivos se gestionen. Una recomendación general es aprovisionar un núcleo de CPU adicional si el conector se implementa en el mismo servidor que Citrix Endpoint Management. Para un gran número de dispositivos (más de 50.000), es posible que necesites aprovisionar más núcleos si no tienes un entorno en clúster. El consumo de memoria del conector no es lo suficientemente significativo como para justificar más memoria.

Requisitos del sistema del conector de NetScaler Gateway para Exchange ActiveSync

El conector de NetScaler Gateway para Exchange ActiveSync se comunica con NetScaler Gateway a través de un puente SSL configurado en el dispositivo NetScaler Gateway. El puente permite que el dispositivo conecte todo el tráfico seguro directamente a Citrix Endpoint Management. El conector para Exchange ActiveSync tiene la siguiente configuración mínima del sistema:

El equipo host para el conector para Exchange ActiveSync requiere el siguiente espacio mínimo disponible en disco duro:

• Aplicación: 10–15 MB (100 MB recomendados)
• Registro: 1 GB (20 GB recomendados)

Para obtener información sobre la compatibilidad de plataformas para el conector para Exchange ActiveSync, consulta Sistemas operativos de dispositivos compatibles.

Clientes de correo electrónico de dispositivos

No todos los clientes de correo electrónico devuelven de forma consistente el mismo ID de ActiveSync para un dispositivo. Dado que el conector para Exchange ActiveSync espera un ID de ActiveSync único para cada dispositivo, se cumple lo siguiente: Solo se admiten los clientes de correo electrónico que generan de forma consistente el mismo ID de ActiveSync único para cada dispositivo. Citrix ha probado estos clientes de correo electrónico y han funcionado sin errores:

• Cliente de correo electrónico nativo de Samsung
• Cliente de correo electrónico nativo de iOS

Implementación del conector de NetScaler Gateway para Exchange ActiveSync

El conector de NetScaler Gateway para Exchange ActiveSync te permite usar NetScaler Gateway para actuar como proxy y equilibrar la carga de la comunicación del servidor de Citrix Endpoint Management con los dispositivos administrados por Citrix Endpoint Management. El conector para Exchange ActiveSync se comunica periódicamente con Citrix Endpoint Management para sincronizar las directivas. Puedes agrupar en clúster el conector para Exchange ActiveSync y Citrix Endpoint Management, juntos o de forma independiente.

Los componentes del conector para Exchange ActiveSync

• El servicio del conector para Exchange ActiveSync: Este servicio proporciona una interfaz de servicio web REST que NetScaler Gateway puede invocar para determinar si una solicitud de ActiveSync de un dispositivo está autorizada.
• Servicio de configuración de Citrix Endpoint Management: Este servicio se comunica con Citrix Endpoint Management para sincronizar los cambios de directiva de Citrix Endpoint Management con el conector para Exchange ActiveSync.
• Servicio de notificaciones de Citrix Endpoint Management: Este servicio envía notificaciones de acceso no autorizado a dispositivos a Citrix Endpoint Management. De este modo, Citrix Endpoint Management puede tomar las medidas adecuadas, como notificar al usuario por qué se bloqueó el dispositivo.
• La utilidad de configuración del conector para Exchange ActiveSync: Esta aplicación permite al administrador configurar y supervisar el conector para Exchange ActiveSync.

Para configurar las direcciones de escucha del conector de NetScaler Gateway para Exchange ActiveSync

Para que el conector de NetScaler Gateway para Exchange ActiveSync reciba solicitudes de NetScaler Gateway para autorizar el tráfico de ActiveSync, haz lo siguiente. Especifica el puerto en el que el conector para Exchange ActiveSync escucha las llamadas al servicio web de NetScaler Gateway.

1. En el menú Inicio, selecciona la utilidad de configuración del conector para Exchange ActiveSync.
2. Haz clic en la ficha Servicio web y, a continuación, escribe las direcciones de escucha para el servicio web del conector. Puedes seleccionar HTTP, HTTPS o ambos. Si el conector para Exchange ActiveSync reside en el mismo servidor que Citrix Endpoint Management (instalado en el mismo servidor), selecciona valores de puerto que no entren en conflicto con Citrix Endpoint Management.
3. Una vez configurados los valores, haz clic en Guardar y, a continuación, haz clic en Iniciar servicio para iniciar el servicio web.

Para configurar las directivas de control de acceso de dispositivos en el conector de NetScaler Gateway para Exchange ActiveSync

Para configurar la directiva de control de acceso que quieres aplicar a tus dispositivos administrados, haz lo siguiente:

1. En la utilidad de configuración del conector para Exchange ActiveSync, haz clic en la ficha Filtros de ruta.
2. Selecciona la primera fila, Microsoft-Server-ActiveSync es para ActiveSync y, a continuación, haz clic en Modificar.
3. En la lista Directiva, selecciona la directiva deseada. Para una directiva que incluya las directivas de Citrix Endpoint Management, selecciona Estático + ZDM: Modo de permiso o Estático + ZDM: Modo de bloqueo. Estas directivas combinan reglas locales (o estáticas) con las reglas de Citrix Endpoint Management. El modo de permiso significa que todos los dispositivos no identificados explícitamente por las reglas tienen permitido el acceso a ActiveSync. El modo de bloqueo significa que dichos dispositivos están bloqueados.
4. Después de configurar las directivas, haz clic en Guardar.

Para configurar la comunicación con Citrix Endpoint Management

Especifica el nombre y las propiedades del servidor de Citrix Endpoint Management que quieres usar con el conector de NetScaler Gateway para Exchange ActiveSync y NetScaler Gateway.

Nota:

Esta tarea asume que ya has instalado y configurado Citrix Endpoint Management. La utilidad de configuración de Exchange ActiveSync usa el término Proveedor de configuración para Citrix Endpoint Management.

1. En la utilidad de configuración del conector para Exchange ActiveSync, haz clic en la ficha Proveedores de configuración y, a continuación, haz clic en Agregar.
2. Introduce el nombre y la URL del servidor de Citrix Endpoint Management que estás usando en esta implementación. Si tienes varios servidores de Citrix Endpoint Management implementados en una implementación multiempresa, este nombre debe ser único para cada instancia de servidor.
3. En URL, introduce la dirección web del Proveedor de configuración global (GCP) de Citrix Endpoint Management, normalmente en el formato https://<FQDN>/<instanceName>/services/<MagConfigService>. El nombre MagConfigService distingue entre mayúsculas y minúsculas.
4. En Contraseña, introduce la contraseña que se usará para la autorización HTTP básica con el servidor web de Citrix Endpoint Management.
5. En Host de administración, introduce el nombre del servidor donde instalaste el conector para Exchange ActiveSync.
6. En Intervalo de línea base, especifica un período de tiempo para cuando se extrae un nuevo conjunto de reglas dinámicas actualizado de Citrix Endpoint Management.
7. En Tiempo de espera de solicitud, especifica el intervalo de tiempo de espera de la solicitud del servidor.
8. En Proveedor de configuración, selecciona si la instancia del servidor del proveedor de configuración está proporcionando la configuración de la directiva.
9. En Eventos habilitados, habilita esta opción si quieres que Secure Mobile Gateway notifique a Citrix Endpoint Management cuando se bloquea un dispositivo. Esta opción es necesaria si estás usando las reglas de Secure Mobile Gateway en cualquiera de tus acciones automatizadas de Citrix Endpoint Management.
10. Después de configurar el servidor, haz clic en Probar conectividad para probar la conexión con Citrix Endpoint Management.
11. Cuando se haya establecido la conectividad, haz clic en Guardar.

Implementación del conector de NetScaler Gateway para Exchange ActiveSync para redundancia y escalabilidad

Para escalar tu implementación del conector de NetScaler Gateway para Exchange ActiveSync y Citrix Endpoint Management, puedes instalar instancias del conector para Exchange ActiveSync en varios servidores Windows. Todas las instancias del conector apuntan a la misma instancia de Citrix Endpoint Management. Luego puedes usar NetScaler Gateway para equilibrar la carga de los servidores.

Hay dos modos para la configuración del conector para Exchange ActiveSync:

• En el modo no compartido, cada conector para una instancia de Exchange ActiveSync se comunica con un servidor de Citrix Endpoint Management y mantiene su propia copia privada de la directiva resultante. Por ejemplo, para un clúster de servidores de Citrix Endpoint Management puedes ejecutar una instancia de conector en cada servidor de Citrix Endpoint Management. El conector obtiene entonces las directivas de la instancia local de Citrix Endpoint Management.
• En el modo compartido, un conector para un nodo de Exchange ActiveSync se designa como nodo principal. El conector se comunica con Citrix Endpoint Management. Los otros nodos comparten la configuración resultante a través de un recurso compartido de red de Windows o mediante replicación de Windows (o de terceros).

Toda la configuración del conector para Exchange ActiveSync se encuentra en una única carpeta (que consta de unos pocos archivos XML). El proceso del conector detecta cambios en cualquier archivo de esta carpeta y recarga automáticamente la configuración. No hay conmutación por error para el nodo principal en el modo compartido. Sin embargo, el sistema puede tolerar que el servidor principal esté inactivo durante unos minutos (por ejemplo, para reiniciarse). La última configuración válida conocida se almacena en caché en el proceso del conector.