Documentación de productos
Citrix Gateway
Current Release 13.0 12.1
Ver PDF

Proxy RDP sin estado

April 3, 2020
Contribución de: 
C

El proxy RDP sin estado tiene acceso a un host RDP. El acceso se concede a través de RDpliStener en Citrix Gateway cuando el usuario se autentica en un Citrix Gateway Authenticator independiente. La información requerida por RDPListener para Citrix Gateway se almacena de forma segura en un servidor STA.

Aquí se describen el flujo y los nuevos mandos radiales creados para esta funcionalidad.

Requisitos previos

  • El usuario se autentica en el autenticador de Citrix Gateway.

  • La dirección URL /rdpproxy inicial y el cliente RDP están conectados a un RDpliStener Citrix Gateway diferente.

  • La puerta de enlace de autenticación pasa de forma segura la información de la puerta de enlace de autenticación mediante un servidor STA.

Configuración

  • Agregue un nuevo perfil RDPServer. El perfil del servidor se configura en la puerta de enlace RDpliStener.

     add rdpServer Profile [profilename] -rdpIP [IPV4 address of the RDP listener] -rdpPort [port for terminating RDP client connections] -psk [key to decrypt RDPTarget/RDPUser information, needed while using STA].
 <!--NeedCopy-->

    Para proxy RDP sin estado, el servidor STA valida el vale STA, que es enviado por el cliente RDP, para obtener la información de destino RDP /RDPUSER.

    El perfil RDPServer se configura en el servidor virtual vpn mediante el siguiente comando:

     add vpn vserver v1 SSL [publicIP] [portforterminatingvpnconnections] -rdpServerProfile [rdpServer Profile]
 <!--NeedCopy-->

    Advertencia Una vez configurado rdpServerProfile en el servidor virtual de la VPN, no se puede modificar. Además, el mismo ServerProfile no se puede reutilizar en otro vserver vpn.

El comando rdp profile se renombró como perfil RDPClient y tiene nuevos parámetros. Se agregó el comando MultiMonitorSupport. Además, se ha agregado una opción para configurar parámetros personalizados, que no son compatibles como parte del perfil de cliente RDP. Se eliminó el parámetro ClientSSL, ya que la conexión siempre está segura. El perfil de cliente se configura en la puerta de enlace de autenticación.

add rdpClient profile <nombre> -rdpHost <FQDN opcional que se colocará en el archivo RDP como 'fulladdress'> [-rdpUrlOverride ( ENABLE | DISABLE )] [-redirectClipboard ( ENABLE | DISABLE )] [-redirectDrives ( ENABLE | DISABLE )]

        [-redirectPrinters ( ENABLE | DISABLE )] [-keyboardHook <keyboardHook>] [-audioCaptureMode ( ENABLE | DISABLE )] [-videoPlaybackMode ( ENABLE | DISABLE )]

        [-rdpCookieValidity <positive_integer>][-multiMonitorSupport ( ENABLE | DISABLE )] [-rdpCustomParams <string>] La configuración -rdpHost se utiliza en una única implementación de Gateway.
  • Asocie el perfil RDP con el servidor virtual vpn.

Esto se puede hacer configurando una SessionAction+SessionPolicy o estableciendo el parámetro vpn global.

Ejemplo

add vpn sessionaction <actname> -rdpClientprofile <rdpprofilename>

add vpn sessionpolicy <polname> NS_TRUE <actname>

bind vpn vserver <vservername> -policy <polname> -priority <prioritynumber>

O BIEN

set vpn parameter –rdpClientprofile <name>

Contador de conexión

Se agregó un nuevo contador de conexiones ns_rdp_tot_curr_active_conn, que mantiene el registro del número de conexiones activas en uso. Se puede ver como una parte del comando nsconmsg en el shell de NetScaler. Más adelante, proporcionaremos un nuevo comando CLI para ver estos contadores.

Flujo de conexión

Hay dos conexiones involucradas en el flujo de proxy RDP. La primera conexión es la conexión SSL VPN del usuario a Citrix Gateway VIP y la enumeración de los recursos RDP.

La segunda conexión es la conexión nativa del cliente RDP al listener RDP (se configura mediante RDPip y RDPPort) en Citrix Gateway, y la subsecuente proxying del cliente RDP a los paquetes del servidor de forma segura.

Imagen localizada

  1. El usuario se conecta al Authenticator Gateway VIP y proporciona sus credenciales.

  2. Después de iniciar sesión correctamente en la puerta de enlace, el usuario se redirige al portal de inicio/externo que enumera los recursos de escritorio remoto a los que el usuario puede acceder.

  3. Una vez que el usuario haya seleccionado un recurso RDP, la puerta de enlace de autenticación VIP recibe una solicitud en el formato https://AGVIP/rdpproxy/ip:port/rdptargetproxy que indica el recurso publicado en el que el usuario hizo clic. Esta solicitud tiene la información sobre la IP y el puerto del servidor RDP que el usuario ha seleccionado.

  4. La solicitud /rdpproxy/ es procesada por la puerta de enlace de autenticación. Dado que el usuario ya está autenticado, esta solicitud viene con una cookie de Gateway válida.

  5. La información RDPTarget y RDPuser se almacena en el servidor STA y se genera un Tíquet STA. La información se almacena como un blob XML que se cifra opcionalmente mediante la clave previamente compartida configurada. Si está cifrado, el blob está codificado y almacenado en base64. La puerta de enlace de autenticación utilizará uno de los servidores STA configurados en el servidor de puerta de enlace Vserver.

  6. El blob XML tendrá el siguiente formato

    <Value name=” IPAddress” >ipaddr </Value> nport<Value name=” Port” > n </Value>

    <Value name=” Username” >nombre de usuario </Value><Value name=” Password” > npwd </Value>

  7. El “rdptargetproxy” obtenido en la solicitud /rdpproxy/ se coloca como el ‘fulladdress’ y el tíquet STA (pre-penado con el STA authID) se coloca como el ‘loadbalanceinfo’ en el archivo RDP.

  8. El archivo RDP se envía de nuevo al punto final del cliente.

  9. El cliente RDP nativo se inicia y se conecta a la puerta de enlace RDPListener. Envía el tíquet STA en el paquete x.224 inicial.

  10. La puerta de enlace RDPListener valida el vale STA y obtiene la información RDPTarget y RDPuser. El servidor STA que se va a utilizar se recupera mediante el ‘AuthID’ presente en loadbalanceinfo.

  11. Se crea una sesión de puerta de enlace para almacenar directivas de autorización/auditoría. Si ya existe una sesión para el usuario, se vuelve a utilizar.

  12. La puerta de enlace RDPListener se conecta al RDPTarget y los signos únicos en el uso de CREDSSP.

Compatibilidad con una puerta de enlace única

Si el archivo RDP se genera mediante la URL /rdpproxy/rdptarget/rdptargetproxy, generaremos un tíquet STA, de lo contrario se utilizará el método actual de ‘loadbalanceinfo’ que se refiere directamente a la sesión.

Imagen localizada

En el caso de una única implementación de Gateway, la dirección URL /rdpproxy llega a la puerta de enlace de autenticador. No se requiere un servidor STA. La Gateway del autenticador codifica el RDPTarget y la cookie de sesión AAA de forma segura y lo envía como ‘loadbalanceinfo’ en el archivo RDP. Cuando el cliente RDP envía este token en el paquete x.224, la Gateway del autenticador decodifica la información de RDPTarget, busca la sesión y se conecta al RDPTarget.

Notas de actualización

La configuración anterior no funciona con esta nueva versión, ya que los parámetros RDPip y RDPPort, que se configuraban anteriormente en vpn vserver, se han actualizado para formar parte de RDPServerProfile y ‘rdp Profile ‘ha sido renombrada como ‘rdp ClientProfile’ y se ha eliminado el antiguo parámetro ClientSSL.

Crear perfil de servidor RDP

  1. Vaya a Citrix Gateway > Directivas > RDP.

    Imagen localizada

  2. Vaya a la ficha Perfiles de servidor y haga clic en Agregar.

    Imagen localizada

  3. Introduzca la siguiente información para crear el perfil del servidor RDP.

    Imagen localizada

Configurar el perfil de cliente de RDP

  1. Vaya a Citrix Gateway > Directivas > RDP

    Imagen localizada

  2. Vaya a la ficha Perfiles de cliente y haga clic en Agregar.

    Imagen localizada

  3. Introduzca la siguiente información para configurar el perfil del servidor RDP.

    Imagen localizada

Configurar un servidor virtual

  1. Vaya a Citrix Gateway > Servidor virtual.

    Imagen localizada

  2. Haga clic en Agregar para crear un nuevo servidor RDP.

    Imagen localizada

  3. Complete los datos de esta página Configuración básica y haga clic en Aceptar.

    Imagen localizada

  4. Haga clic en el lápiz para modificar la página.

    Imagen localizada

Proxy RDP sin estado
April 3, 2020
Contribución de: 
C
April 3, 2020
Contribución de: 
C

En este artículo

Comentarios sobre el sitio | Condiciones legales y de privacidad | Preferencias de cookies | Parámetros de consentimiento
© 1999- Cloud Software Group, Inc. All rights reserved.