Configuración de resistencia de la sesión
Mantener la actividad de la sesión es fundamental para ofrecer la mejor experiencia de usuario. Perder la conectividad debido a redes poco fiables, una latencia de red muy variable y las limitaciones de alcance de los dispositivos inalámbricos puede generar frustración en el usuario. Poder moverse rápidamente entre estaciones de trabajo y acceder al mismo conjunto de aplicaciones cada vez que inician sesión es una prioridad para muchos trabajadores móviles, como el personal sanitario en un hospital.
Las funciones descritas en este artículo optimizan la fiabilidad de las sesiones, reducen las molestias, el tiempo de inactividad y la pérdida de productividad; al usar estas funciones, los usuarios móviles pueden moverse rápida y fácilmente entre dispositivos.
Fiabilidad de la sesión
La Fiabilidad de la sesión mantiene las sesiones activas y en la pantalla del usuario cuando se interrumpe la conectividad de red. Los usuarios siguen viendo la aplicación que están usando hasta que se reanuda la conectividad de red.
-
Esta función es especialmente útil para los usuarios móviles con conexiones inalámbricas. Por ejemplo, un usuario con una conexión inalámbrica entra en un túnel ferroviario y pierde momentáneamente la conectividad. Normalmente, la sesión se desconecta y desaparece de la pantalla del usuario, y este tiene que volver a conectarse a la sesión desconectada. Con la Fiabilidad de la sesión, la sesión permanece activa en la máquina. Para indicar que se ha perdido la conectividad, la pantalla del usuario se congela y el cursor cambia a un reloj de arena giratorio hasta que la conectividad se reanuda al otro lado del túnel. El usuario sigue accediendo a la pantalla durante la interrupción y puede reanudar la interacción con la aplicación cuando se restablece la conexión de red. La Fiabilidad de la sesión vuelve a conectar a los usuarios sin solicitarles una nueva autenticación.
-
Los usuarios de la aplicación Citrix Workspace™ no pueden anular la configuración del Controller.
Puedes usar la Fiabilidad de la sesión con Transport Layer Security (TLS). TLS cifra solo los datos enviados entre el dispositivo del usuario y Citrix Gateway.
Habilita y configura la Fiabilidad de la sesión con las siguientes configuraciones de directiva:
- La configuración de directiva de conexiones de fiabilidad de la sesión permite o impide la fiabilidad de la sesión.
- La configuración de directiva de tiempo de espera de fiabilidad de la sesión tiene un valor predeterminado de 180 segundos, o tres minutos. Aunque puedes ampliar el tiempo que la Fiabilidad de la sesión mantiene una sesión abierta, esta función está diseñada para la comodidad del usuario y, por lo tanto, no le solicita una nueva autenticación. A medida que amplías el tiempo que una sesión permanece abierta, aumentan las posibilidades de que un usuario se distraiga y se aleje del dispositivo, lo que podría dejar la sesión accesible a usuarios no autorizados.
- Las conexiones de fiabilidad de la sesión entrantes usan el puerto 2598, a menos que cambies el número de puerto en la configuración de directiva de número de puerto de fiabilidad de la sesión.
-
Si no quieres que los usuarios puedan volver a conectarse a sesiones interrumpidas sin tener que volver a autenticarse, usa la función Reconexión automática de cliente. Puedes configurar la configuración de directiva de autenticación de reconexión automática de cliente para que solicite a los usuarios que se vuelvan a autenticar al reconectarse a sesiones interrumpidas.
- Si usas tanto la Fiabilidad de la sesión como la Reconexión automática de cliente, las dos funciones funcionan en secuencia. La Fiabilidad de la sesión cierra, o desconecta, la sesión del usuario después del tiempo que especifiques en la configuración de directiva de tiempo de espera de fiabilidad de la sesión. Después de eso, las configuraciones de directiva de Reconexión automática de cliente entran en vigor, intentando volver a conectar al usuario a la sesión desconectada.
Reconexión automática de cliente
Con la función Reconexión automática de cliente, la aplicación Citrix Workspace puede detectar desconexiones no intencionadas de sesiones ICA® y volver a conectar a los usuarios a las sesiones afectadas automáticamente. Cuando esta función está habilitada en el servidor, los usuarios no tienen que volver a conectarse manualmente para seguir trabajando.
-
Para las sesiones de aplicaciones, la aplicación Citrix Workspace intenta volver a conectarse a la sesión hasta que se produce una reconexión correcta o el usuario cancela los intentos de reconexión.
-
Para las sesiones de escritorio, la aplicación Citrix Workspace intenta volver a conectarse a la sesión durante un tiempo especificado, a menos que se produzca una reconexión correcta o el usuario cancele los intentos de reconexión. De forma predeterminada, este tiempo es de cinco minutos. Para cambiar este período, modifica este registro en el dispositivo del usuario:
-
HKLM\Software\Citrix\ICA Client\TransportReconnectRetryMaxTimeSeconds; DWORD;<seconds>
Donde seconds es el número de segundos después de los cuales no se realizan más intentos para volver a conectar la sesión.
Habilita y configura la Reconexión automática de cliente con las siguientes configuraciones de directiva:
- Reconexión automática de cliente: Habilita o deshabilita la reconexión automática por parte de la aplicación Citrix Workspace después de que se haya interrumpido una conexión.
- Autenticación de reconexión automática de cliente: Habilita o deshabilita el requisito de autenticación del usuario después de la reconexión automática.
-
Registro de reconexión automática de cliente: Habilita o deshabilita el registro de eventos de reconexión en el registro de eventos. El registro está deshabilitado de forma predeterminada. Cuando está habilitado, el Registro del sistema del servidor captura información sobre los eventos de reconexión automática correctos y fallidos. Cada servidor almacena información sobre los eventos de reconexión en su propio registro del sistema. El sitio no proporciona un registro combinado de eventos de reconexión para todos los servidores.
- La Reconexión automática de cliente incorpora un mecanismo de autenticación basado en credenciales de usuario cifradas. Cuando un usuario inicia sesión por primera vez, el servidor cifra y almacena las credenciales del usuario en la memoria, y crea y envía una cookie que contiene la clave de cifrado a la aplicación Citrix Workspace. La aplicación Citrix Workspace envía la clave al servidor para la reconexión. El servidor descifra las credenciales y las envía a Windows Logon para su autenticación. Cuando las cookies caducan, los usuarios deben volver a autenticarse para reconectarse a las sesiones.
Las cookies no se usan si habilitas la configuración de autenticación de reconexión automática de cliente. En su lugar, se muestra a los usuarios un cuadro de diálogo que solicita credenciales cuando la aplicación Citrix Workspace intenta reconectarse automáticamente.
-
Para una protección máxima de las credenciales y sesiones de los usuarios, usa el cifrado para toda la comunicación entre los clientes y el sitio.
-
Deshabilita la Reconexión automática de cliente en la aplicación Citrix Workspace para Windows usando el archivo icaclient.adm. Para obtener más información, consulta la documentación de tu versión de la aplicación Citrix Workspace para Windows.
La configuración de las conexiones también afecta a la reconexión automática de clientes (Auto Client Reconnect):
- De forma predeterminada, la reconexión automática de clientes (Auto Client Reconnect) está habilitada mediante la configuración de directivas a nivel de sitio, como se describió anteriormente. No se requiere la reautenticación del usuario. Sin embargo, si la conexión ICA TCP de un servidor está configurada para restablecer sesiones con un vínculo de comunicación roto, la reconexión automática no se produce. La reconexión automática de clientes (Auto Client Reconnect) solo funciona si el servidor desconecta las sesiones cuando hay una conexión rota o agotada. En este contexto, la conexión ICA TCP se refiere a un puerto virtual del servidor (en lugar de una conexión de red real) que se utiliza para las sesiones en redes TCP/IP.
- De forma predeterminada, la conexión ICA TCP de un servidor está configurada para desconectar las sesiones con conexiones rotas o agotadas. Las sesiones desconectadas permanecen intactas en la memoria del sistema y están disponibles para la reconexión mediante la aplicación Citrix Workspace.
- La conexión se puede configurar para restablecer o cerrar sesiones con conexiones rotas o agotadas. Cuando se restablece una sesión, intentar reconectarse inicia una nueva sesión. En lugar de restaurar al usuario al mismo punto en la aplicación en uso, la aplicación se reinicia.
- Si el servidor está configurado para restablecer sesiones, la reconexión automática de clientes (Auto Client Reconnect) crea una sesión. Este proceso requiere que los usuarios introduzcan sus credenciales para iniciar sesión en el servidor.
- La reconexión automática puede fallar si la aplicación Citrix Workspace o el plug-in envía información de autenticación incorrecta, lo que podría ocurrir durante un ataque o si el servidor determina que ha transcurrido demasiado tiempo desde que detectó la conexión rota.
ICA Keep-Alive
Habilitar la función ICA Keep-Alive evita que las conexiones rotas se desconecten. Cuando está habilitada, si el servidor no detecta actividad (por ejemplo, ningún cambio de reloj, ningún movimiento del ratón, ninguna actualización de pantalla), esta función evita que los Servicios de Escritorio remoto desconecten esa sesión. El servidor envía paquetes keep-alive cada pocos segundos para detectar si la sesión está activa. Si la sesión ya no está activa, el servidor la marca como desconectada.
-
Importante:
-
ICA Keep-Alive solo funciona si no estás usando la fiabilidad de sesión. La fiabilidad de sesión tiene sus propios mecanismos para evitar que las conexiones rotas se desconecten. Configura ICA Keep-Alive solo para las conexiones que no usan la fiabilidad de sesión.
La configuración de ICA Keep-Alive anula la configuración de keep-alive configurada en la Directiva de grupo de Microsoft Windows.
Habilita y configura ICA Keep-Alive con las siguientes opciones de directiva:
-
Tiempo de espera de ICA keep-alive: Especifica el intervalo (1–3600 segundos) utilizado para enviar mensajes ICA keep-alive. No configures esta opción si quieres que tu software de supervisión de red cierre las conexiones inactivas en entornos donde las conexiones rotas son tan poco frecuentes que permitir a los usuarios reconectarse a las sesiones no es una preocupación.
El intervalo predeterminado es de 60 segundos: los paquetes ICA Keep-Alive se envían a los dispositivos de usuario cada 60 segundos. Si un dispositivo de usuario no responde en 60 segundos, el estado de las sesiones ICA cambia a desconectado.
-
ICA keep-alives: Envía o evita el envío de mensajes ICA keep-alive.
Control de espacio de trabajo
El control de espacio de trabajo permite que los escritorios y las aplicaciones sigan a un usuario de un dispositivo a otro. Esta capacidad de itinerancia permite a un usuario acceder a todos los escritorios o aplicaciones abiertas desde cualquier lugar simplemente iniciando sesión, sin tener que reiniciar los escritorios o las aplicaciones en cada dispositivo. Por ejemplo, el control de espacio de trabajo puede ayudar a los trabajadores sanitarios de un hospital que necesitan moverse rápidamente entre diferentes estaciones de trabajo y acceder al mismo conjunto de aplicaciones cada vez que inician sesión. Si configuras las opciones de control de espacio de trabajo para permitirlo, estos trabajadores pueden desconectarse de varias aplicaciones en un dispositivo cliente y luego reconectarse para abrir las mismas aplicaciones en un dispositivo cliente diferente.
-
El control de espacio de trabajo afecta a las siguientes actividades:
- Inicio de sesión: De forma predeterminada, el control de espacio de trabajo permite a los usuarios reconectarse automáticamente a todos los escritorios y aplicaciones en ejecución al iniciar sesión, evitando la necesidad de volver a abrirlos manualmente. A través del control de espacio de trabajo, los usuarios pueden abrir escritorios o aplicaciones desconectados, y cualquiera que esté activo en otro dispositivo cliente. Desconectarse de un escritorio o una aplicación la deja en ejecución en el servidor. Si tienes usuarios itinerantes que deben mantener algunos escritorios o aplicaciones en ejecución en un dispositivo cliente mientras se reconectan a un subconjunto de sus escritorios o aplicaciones en otro dispositivo cliente, puedes configurar el comportamiento de reconexión de inicio de sesión para abrir solo los escritorios o aplicaciones de los que el usuario se desconectó previamente.
- Reconexión: Después de iniciar sesión en el servidor, los usuarios pueden reconectarse a todos sus escritorios o aplicaciones en cualquier momento haciendo clic en Reconectar. De forma predeterminada, Reconectar abre los escritorios o aplicaciones que están desconectados, además de cualquiera que esté actualmente en ejecución en otro dispositivo cliente. Puedes configurar Reconectar para abrir solo aquellos escritorios o aplicaciones de los que el usuario se desconectó previamente.
- Cierre de sesión: Para los usuarios que abren escritorios o aplicaciones a través de StoreFront™, puedes configurar el comando Cerrar sesión para cerrar la sesión del usuario de StoreFront y de todas las sesiones activas juntas, o solo cerrar la sesión de StoreFront.
-
Desconexión: Los usuarios pueden desconectarse de todos los escritorios y aplicaciones en ejecución a la vez, sin necesidad de desconectarse de cada uno individualmente.
- El control de espacio de trabajo está disponible para los usuarios que acceden a escritorios y aplicaciones a través de una conexión de Citrix StoreFront o a través de la aplicación Citrix Workspace. De forma predeterminada, el control de espacio de trabajo está deshabilitado para las sesiones de escritorio virtual, pero está habilitado para las aplicaciones alojadas. El uso compartido de sesiones no se produce de forma predeterminada entre los escritorios publicados y las aplicaciones publicadas que se ejecutan dentro de esos escritorios.
Las directivas de usuario, las asignaciones de unidades cliente y las configuraciones de impresora cambian adecuadamente cuando un usuario se mueve a un nuevo dispositivo cliente. Las directivas y las asignaciones se aplican según el dispositivo cliente en el que el usuario ha iniciado sesión en la sesión. Por ejemplo, si un trabajador sanitario cierra la sesión de un dispositivo cliente en la sala de emergencias de un hospital y luego inicia sesión en una estación de trabajo en el laboratorio de rayos X del hospital, las directivas, las asignaciones de impresora y las asignaciones de unidades cliente apropiadas para la sesión en el laboratorio de rayos X entran en vigor al iniciar la sesión.
Puedes personalizar qué impresoras aparecen a los usuarios cuando cambian de ubicación. También puedes controlar si los usuarios pueden imprimir en impresoras locales, cuánto ancho de banda se consume cuando los usuarios se conectan de forma remota y otros aspectos de sus experiencias de impresión.
Para obtener información sobre cómo habilitar y configurar el control de espacio de trabajo para los usuarios, consulta la documentación de StoreFront.
Itinerancia de sesiones
Nota:
La siguiente información te guía para configurar la itinerancia de sesiones mediante PowerShell. Puedes usar Studio en su lugar. Para obtener más información, consulta Administrar grupos de entrega.
De forma predeterminada, las sesiones se mueven entre dispositivos cliente con el usuario. Cuando el usuario inicia una sesión y luego se mueve a otro dispositivo, se utiliza la misma sesión y las aplicaciones están disponibles simultáneamente en ambos dispositivos. Puedes ver las aplicaciones en varios dispositivos. Las aplicaciones siguen, independientemente del dispositivo o de si existen sesiones actuales. A menudo, las impresoras y otros recursos asignados a la aplicación también siguen.
Aunque este comportamiento predeterminado ofrece muchas ventajas, puede que no sea ideal en todos los casos. Puedes evitar la itinerancia de sesiones utilizando el SDK de PowerShell.
Ejemplo 1: Un profesional médico utiliza dos dispositivos, completando un formulario de seguro en un PC de escritorio y consultando información del paciente en una tableta.
- Si la itinerancia de sesión está habilitada, ambas aplicaciones aparecen en ambos dispositivos (una aplicación iniciada en un dispositivo es visible en todos los dispositivos en uso). Esto podría no cumplir los requisitos de seguridad.
- Si la itinerancia de sesión está deshabilitada, el historial del paciente no aparece en el PC de escritorio y el formulario de seguro no aparece en la tableta.
Ejemplo 2: Un gerente de producción inicia una aplicación en el PC de su oficina. El nombre y la ubicación del dispositivo determinan qué impresoras y otros recursos están disponibles para esa sesión. Más tarde, ese mismo día, va a una oficina en el edificio contiguo para una reunión que le exigirá usar una impresora.
- Si la itinerancia de sesión está habilitada, el gerente de producción probablemente no podría acceder a las impresoras cercanas a la sala de reuniones, porque las aplicaciones que inició antes en su oficina resultaron en la asignación de impresoras y otros recursos cercanos a esa ubicación.
- Si la itinerancia de sesión está deshabilitada, cuando inicia sesión en una máquina diferente (usando las mismas credenciales), se inicia una nueva sesión y las impresoras y recursos cercanos están disponibles.
Configurar la itinerancia de sesión
Para configurar la itinerancia de sesión, usa los siguientes cmdlets de reglas de directiva de derechos con la propiedad “SessionReconnection”. Opcionalmente, también puedes especificar la propiedad “LeasingBehavior”.
Para sesiones de escritorio:
Set-BrokerEntitlementPolicyRule <Delivery-Group-name> -SessionReconnection <value> -LeasingBehavior Allowed|Disallowed
Para sesiones de aplicación:
Set-BrokerAppEntitlementPolicyRule <Delivery-Group-name> -SessionReconnection <value> -LeasingBehavior Allowed|Disallowed
Donde value puede ser uno de los siguientes:
- Siempre: Las sesiones siempre se itineran, independientemente del dispositivo cliente y de si la sesión está conectada o desconectada. Este es el valor predeterminado.
- SoloDesconectadas: Vuelve a conectar solo a las sesiones que ya están desconectadas; de lo contrario, inicia una nueva sesión. (Las sesiones pueden itinerar entre dispositivos cliente desconectándolas primero o usando el control de espacio de trabajo para itinerarlas explícitamente.) Nunca se usa una sesión activa conectada desde otro dispositivo cliente. En su lugar, se inicia una nueva sesión.
- SoloMismoPuntoFinal: Un usuario obtiene una sesión única para cada dispositivo cliente que usa. Esto deshabilita completamente la itinerancia. Los usuarios pueden volver a conectar solo al mismo dispositivo que se usó anteriormente en la sesión.
La propiedad “LeasingBehavior” se describe a continuación.
Efectos de otra configuración:
La deshabilitación de la itinerancia de sesión se ve afectada por el límite de aplicación “Permitir solo una instancia de la aplicación por usuario” en las propiedades de la aplicación en el grupo de entrega.
- Si deshabilitas la itinerancia de sesión, entonces deshabilita el límite de aplicación “Permitir solo una instancia…”.
- Si habilitas el límite de aplicación “Permitir solo una instancia…”, no configures ninguno de los dos valores que permiten nuevas sesiones en nuevos dispositivos.
Intervalo de inicio de sesión
Si una máquina virtual que contiene un VDA de escritorio se cierra antes de que se complete el proceso de inicio de sesión, puedes asignar más tiempo al proceso. El valor predeterminado para las versiones 7.6 y posteriores es de 180 segundos (el valor predeterminado para las versiones 7.0-7.5 es de 90 segundos).
En la máquina (o la imagen maestra usada en un catálogo de máquinas), establece la siguiente clave de registro:
Key: HKLM\SOFTWARE\Citrix\PortICA
- Valor:
AutoLogonTimeout - Tipo:
DWORD - Especifica un tiempo decimal en segundos, en el rango de 0 a 3600.
Si modificas la imagen maestra, implementa la nueva imagen en el catálogo. Para obtener más información, consulta Modificar la imagen maestra.
Esta configuración se aplica solo a VM con VDA de escritorio (estación de trabajo) de una sola sesión. Microsoft controla el tiempo de espera de inicio de sesión en máquinas con VDA de servidor de varias sesiones.