Documentación de productos
Citrix Gateway
Current Release 13.0 12.1
Ver PDF

Flujo de comunicación en una implementación DMZ de doble salto

October 18, 2021
Contribución de: 
C

Para comprender los problemas de configuración relacionados con una implementación DMZ de doble salto, debe tener conocimientos básicos de cómo se comunican los distintos componentes de Citrix Gateway y Citrix Virtual Apps de una implementación DMZ de doble salto para admitir una conexión de usuario. El proceso de conexión de StoreFront y la interfaz web es el mismo.

Aunque el proceso de conexión de usuario se produce en un flujo continuo, los siguientes pasos de alto nivel están implicados en el proceso.

  • Autenticar usuarios
  • Crear un tíquet de sesión
  • Inicie la aplicación Citrix Workspace
  • Completa la conexión

En la siguiente ilustración se muestran los pasos que se producen en el proceso de conexión del usuario a StoreFront o a la interfaz web. En la red segura, los equipos que ejecutan Citrix Virtual Apps también ejecutan Secure Ticket Authority (STA), XML Service y aplicaciones publicadas.

Proceso de conexión en una DMZ de doble salto

Proceso de conexión

La autenticación de usuarios es el primer paso del proceso de conexión de usuarios en una implementación DMZ de doble salto.

En la siguiente ilustración se muestra el proceso de conexión de usuarios de esta implementación.

Proceso de autenticación de usuarios en una DMZ de doble salto

Durante la fase de autenticación de usuarios, se produce el siguiente proceso básico:

  1. Un usuario escribe la dirección de Citrix Gateway, por ejemplo, https://www.ng.wxyco.com en un explorador web para conectarse a Citrix Gateway en la primera DMZ. Si ha habilitado la autenticación de la página de inicio de sesión en Citrix Gateway, Citrix Gateway autentica al usuario.
  2. Citrix Gateway en la primera DMZ recibe la solicitud.
  3. Citrix Gateway redirige la conexión del explorador web a la interfaz web.
  4. La interfaz web envía las credenciales de usuario al servicio Citrix XML que se ejecuta en el conjunto de servidores de la red interna.
  5. Citrix XML Service autentica al usuario.

  6. El servicio XML crea una lista de las aplicaciones publicadas a las que el usuario tiene autorización para acceder y envía esta lista a la interfaz web.

    Nota:

    • Si habilita la autenticación en Citrix Gateway, el dispositivo envía la página de inicio de sesión de Citrix Gateway al usuario. El usuario introduce las credenciales de autenticación en la página de inicio de sesión y el dispositivo autentica al usuario. A continuación, Citrix Gateway devuelve las credenciales de usuario a la interfaz web.

    • Si no habilita la autenticación, Citrix Gateway no realiza la autenticación. El dispositivo se conecta a la interfaz web, recupera la página de inicio de sesión de la interfaz web y envía la página de inicio de sesión de la interfaz web al usuario. El usuario introduce las credenciales de autenticación en la página de inicio de sesión de la Interfaz Web y Citrix Gateway devuelve las credenciales de usuario a la interfaz web.

    La creación del tíquet de sesión es la segunda etapa del proceso de conexión de usuario en una implementación DMZ de doble salto.

    Durante la etapa de creación del tíquet de sesión, se produce el siguiente proceso básico:

  7. La interfaz web se comunica tanto con el servicio XML como con la Secure Ticket Authority (STA) de la red interna para producir tíquets de sesión para cada una de las aplicaciones publicadas a las que el usuario tiene autorización para acceder. El vale de sesión contiene una dirección de alias para el equipo que ejecuta Citrix Virtual Apps que aloja una aplicación publicada.
  8. El STA guarda las direcciones IP de los servidores que alojan las aplicaciones publicadas. A continuación, el STA envía los tíquets de sesión solicitados a la interfaz web. Cada vale de sesión incluye un alias que representa la dirección IP del servidor que aloja la aplicación publicada, pero no la dirección IP real.

  9. La interfaz web genera un archivo ICA para cada una de las aplicaciones publicadas. El archivo ICA contiene el tíquet emitido por la STA. A continuación, la interfaz web crea y rellena una página web con una lista de vínculos a las aplicaciones publicadas y envía esta página web al explorador web del dispositivo del usuario.

    El inicio de la aplicación Citrix Workspace es la tercera etapa del proceso de conexión de usuario en una implementación DMZ de doble salto. El proceso básico es el siguiente:

  10. El usuario hace clic en un enlace a una aplicación publicada en la interfaz web. La interfaz web envía el archivo ICA de esa aplicación publicada al explorador del dispositivo del usuario.

    El archivo ICA contiene datos que indican al explorador web que inicie Receiver.

    El archivo ICA también contiene el nombre de dominio completo (FQDN) o el nombre del sistema de nombres de dominio (DNS) de Citrix Gateway en la primera DMZ.

  11. El explorador web inicia Receiver y el usuario se conecta a Citrix Gateway en la primera DMZ mediante el nombre de Citrix Gateway del archivo ICA. El enlace inicial de SSL/TLS se produce para establecer la identidad del servidor que ejecuta Citrix Gateway.

    La finalización de la conexión es la cuarta y última etapa del proceso de conexión de usuario en una implementación DMZ de doble salto.

    Durante la fase de finalización de la conexión, se produce el siguiente proceso básico:

    • El usuario hace clic en un enlace a una aplicación publicada en la interfaz web.
    • El explorador web recibe el archivo ICA generado por la interfaz web e inicia la aplicación Citrix Workspace. Nota: El archivo ICA contiene código que indica al explorador web que inicie la aplicación Citrix Workspace.
    • La aplicación Citrix Workspace inicia una conexión ICA con Citrix Gateway en la primera DMZ.
    • Citrix Gateway en la primera DMZ se comunica con Secure Ticket Authority (STA) de la red interna para resolver la dirección de alias del tíquet de sesión en la dirección IP real de un equipo que ejecuta Citrix Virtual Apps o StoreFront. Esta comunicación se transforma mediante proxy a través de la segunda DMZ por el proxy de Citrix Gateway.
    • Citrix Gateway en la primera DMZ completa la conexión ICA a la aplicación Citrix Workspace.
    • La aplicación Citrix Workspace ahora se puede comunicar a través de ambos dispositivos Citrix Gateway con el equipo que ejecuta Citrix Virtual Apps en la red interna.

    Los pasos detallados para completar el proceso de conexión de usuario son los siguientes:

  12. La aplicación Citrix Workspace envía el tíquet STA de la aplicación publicada a Citrix Gateway en la primera DMZ.
  13. Citrix Gateway en la primera DMZ se pone en contacto con el STA de la red interna para validar los tíquets. Para ponerse en contacto con STA, Citrix Gateway establece un SOCKS o SOCKS con conexión SSL al proxy de Citrix Gateway en la segunda DMZ.
  14. El proxy de Citrix Gateway de la segunda DMZ transfiere la solicitud de validación de tíquets al STA de la red interna. STA valida el tíquet y lo asigna al equipo que ejecuta Citrix Virtual Apps que aloja la aplicación publicada.
  15. El STA envía una respuesta al proxy de Citrix Gateway en la segunda DMZ, que se transfiere a Citrix Gateway en la primera DMZ. Esta respuesta completa la validación del tíquet e incluye la dirección IP del equipo que aloja la aplicación publicada.
  16. Citrix Gateway en la primera DMZ incorpora la dirección del servidor Citrix Virtual Apps en el paquete de conexión de usuario y envía este paquete al proxy de Citrix Gateway en la segunda DMZ.
  17. El proxy de Citrix Gateway de la segunda DMZ realiza una solicitud de conexión al servidor especificado en el paquete de conexión.
  18. El servidor responde al proxy de Citrix Gateway en la segunda DMZ. El proxy de Citrix Gateway de la segunda DMZ transfiere esta respuesta a Citrix Gateway en la primera DMZ para completar la conexión entre el servidor y Citrix Gateway en la primera DMZ.
  19. Citrix Gateway en la primera DMZ completa el enlace SSL/TLS con el dispositivo del usuario transmitiendo el paquete de conexión final al dispositivo del usuario. Se establece la conexión del dispositivo del usuario al servidor.
  20. El tráfico ICA fluye entre el dispositivo de usuario y el servidor a través de Citrix Gateway en la primera DMZ y el proxy de Citrix Gateway en la segunda DMZ.
Flujo de comunicación en una implementación DMZ de doble salto
October 18, 2021
Contribución de: 
C
October 18, 2021
Contribución de: 
C

En este artículo

Comentarios sobre el sitio | Condiciones legales y de privacidad | Preferencias de cookies | Parámetros de consentimiento
© 1999- Cloud Software Group, Inc. All rights reserved.