Redirección USB genérica y consideraciones sobre las unidades de cliente
La tecnología HDX™ proporciona soporte optimizado para la mayoría de los dispositivos USB populares. El soporte optimizado ofrece una experiencia de usuario mejorada con un mejor rendimiento y eficiencia de ancho de banda a través de una WAN. El soporte optimizado suele ser la mejor opción, especialmente en entornos de alta latencia o sensibles a la seguridad.
La tecnología HDX proporciona redirección USB genérica para dispositivos especializados que no tienen soporte optimizado o donde este no es adecuado, por ejemplo:
- El dispositivo USB tiene funciones más avanzadas que no forman parte del soporte optimizado, como un ratón o una cámara web con más botones.
- Los usuarios necesitan funciones que no forman parte del soporte optimizado.
- El dispositivo USB es un dispositivo especializado, como equipos de prueba y medición o un controlador industrial.
- Una aplicación requiere acceso directo al dispositivo como un dispositivo USB.
- El dispositivo USB solo tiene un controlador de Windows disponible. Por ejemplo, un lector de tarjetas inteligentes podría no tener un controlador disponible para la aplicación Citrix Workspace™ para Android.
- La versión de la aplicación Citrix Workspace no proporciona ningún soporte optimizado para este tipo de dispositivo USB.
Con la redirección USB genérica:
- Los usuarios no necesitan instalar controladores de dispositivo en el dispositivo de usuario.
- Los controladores de cliente USB se instalan en la máquina VDA.
Importante:
- La redirección USB genérica se puede usar junto con el soporte optimizado. Si habilita la redirección USB genérica, configure la (/es-es/citrix-virtual-apps-desktops/2203-ltsr/policies/reference/ica-policy-settings/usb-devices-policy-settings.html) de Citrix tanto para la redirección USB genérica como para el soporte optimizado.
- La configuración de directiva de Citrix en (/es-es/citrix-virtual-apps-desktops/2203-ltsr/policies/reference/ica-policy-settings/usb-devices-policy-settings.html) es una configuración específica para la redirección USB genérica, para un dispositivo USB en particular. No se aplica al soporte optimizado como se describe aquí.
Consideraciones de rendimiento para dispositivos USB
La latencia de red y el ancho de banda pueden afectar la experiencia del usuario y el funcionamiento de los dispositivos USB al usar la redirección USB genérica para algunos tipos de dispositivos USB. Por ejemplo, los dispositivos sensibles al tiempo podrían no funcionar correctamente en enlaces de alta latencia y bajo ancho de banda. Utilice la compatibilidad optimizada en su lugar, siempre que sea posible.
Algunos dispositivos USB requieren un ancho de banda alto para ser utilizables, por ejemplo, un ratón 3D (utilizado con aplicaciones 3D que también suelen requerir un ancho de banda alto). Si el ancho de banda no se puede aumentar, es posible que pueda mitigar el problema ajustando el uso del ancho de banda de otros componentes mediante la configuración de la directiva de ancho de banda. Para obtener más información, consulte Configuración de la directiva de ancho de banda para la redirección de dispositivos USB de cliente y Configuración de la directiva de conexión de varias transmisiones.
Consideraciones de seguridad para dispositivos USB
Algunos dispositivos USB son sensibles a la seguridad por naturaleza, por ejemplo, lectores de tarjetas inteligentes, lectores de huellas dactilares y tabletas de firma. Otros dispositivos USB, como los dispositivos de almacenamiento USB, se pueden utilizar para transmitir datos que podrían ser sensibles.
Importante:
No utilice la redirección USB genérica para lectores de tarjetas inteligentes. Esta funcionalidad está inhabilitada de forma predeterminada para los lectores de tarjetas inteligentes y no es compatible si está habilitada.
Los dispositivos USB se utilizan a menudo para distribuir malware. La configuración de Citrix Workspace app y Citrix Virtual Apps and Desktops™ puede reducir, pero no eliminar, el riesgo de estos dispositivos USB. Esta situación se aplica tanto si se utiliza la redirección USB genérica como la compatibilidad optimizada.
Importante:
Para dispositivos y datos sensibles a la seguridad, proteja siempre la conexión HDX utilizando TLS o IPsec.
Habilite la compatibilidad solo para los dispositivos USB que necesite. Configure la redirección USB genérica y la compatibilidad optimizada para satisfacer esta necesidad.
Proporcione orientación a los usuarios para el uso seguro de los dispositivos USB:
- Utilice solo dispositivos USB que se hayan obtenido de una fuente fiable.
- No deje los dispositivos USB desatendidos en entornos abiertos, por ejemplo, una unidad flash en un cibercafé.
- Explique los riesgos de usar un dispositivo USB en más de un equipo.
Compatibilidad con la redirección USB genérica
La redirección USB genérica es compatible con dispositivos USB 2.0 y anteriores. La redirección USB genérica también es compatible con dispositivos USB 3.0 conectados a un puerto USB 2.0 o USB 3.0. La redirección USB genérica no es compatible con las funciones USB introducidas en USB 3.0, como la supervelocidad.
Estas aplicaciones de Citrix Workspace admiten la redirección USB genérica:
- Citrix Workspace app para Windows; consulte (/es-es/citrix-workspace-app-for-windows/configure/config-app-delivery.html) [Configuración de la entrega de aplicaciones].
- Citrix Workspace app para Mac; consulte (/es-es/citrix-workspace-app-for-mac.html) [Citrix Workspace app para Mac].
- Citrix Workspace app para Linux; consulte (/es-es/citrix-workspace-app-for-linux/optimize.html) [Optimizar].
- Citrix Workspace app para Chrome OS; consulte (/es-es/citrix-workspace-app-for-chrome.html) [Citrix Workspace app para Chrome].
Para ver las versiones de Citrix Workspace app, consulte la (/es-es/citrix-workspace-app/citrix-workspace-app-feature-matrix.html) [matriz de funciones de Citrix Workspace app].
Si utiliza versiones anteriores de la aplicación Citrix Workspace, consulte la documentación de la aplicación Citrix Workspace para confirmar que la redirección USB genérica es compatible. Consulte la documentación de la aplicación Citrix Workspace para conocer las restricciones sobre los tipos de dispositivos USB compatibles.
La redirección USB genérica es compatible con las sesiones de escritorio de VDA para SO de sesión única, desde la versión 7.6 hasta la actual.
La redirección USB genérica es compatible con las sesiones de escritorio de VDA para SO multisesión, desde la versión 7.6 hasta la actual, con estas restricciones:
- El VDA debe ejecutar Windows Server 2012 R2, Windows Server 2016, Windows Server 2019 o Windows Server 2022.
- Los controladores de dispositivos USB deben ser totalmente compatibles con el Host de sesión de escritorio remoto (RDSH) para el SO del VDA (Windows 2012 R2), incluida la compatibilidad total con la virtualización.
Algunos tipos de dispositivos USB no son compatibles con la redirección USB genérica porque no sería útil redirigirlos:
- Módems USB.
- Adaptadores de red USB.
- Concentradores USB. Los dispositivos USB conectados a concentradores USB se gestionan individualmente.
- Puertos COM virtuales USB. Utilice la redirección de puertos COM en lugar de la redirección USB genérica.
Para obtener información sobre los dispositivos USB que se han probado con la redirección USB genérica, consulte Citrix Ready Marketplace. Algunos dispositivos USB no funcionan correctamente con la redirección USB genérica.
Configurar la redirección USB genérica
Puede controlar y configurar por separado qué tipos de dispositivos USB utilizan la redirección USB genérica:
- En el VDA, mediante la configuración de directivas de Citrix. Para obtener más información, consulte Redirección de unidades de cliente y dispositivos de usuario y Configuración de directivas de dispositivos USB en la referencia de configuración de directivas.
- En la aplicación Citrix Workspace, mediante mecanismos dependientes de la aplicación Citrix Workspace. Por ejemplo, una plantilla administrativa controla la configuración del Registro que configura la aplicación Citrix Workspace para Windows. De forma predeterminada, la redirección USB está permitida para ciertas clases de dispositivos USB y denegada para otras. Para obtener más información, consulte Configurar en la documentación de la aplicación Citrix Workspace para Windows.
Esta configuración independiente proporciona flexibilidad. Por ejemplo:
- Si dos organizaciones o departamentos diferentes son responsables de la aplicación Citrix Workspace y del VDA, pueden aplicar el control por separado. Esta configuración se aplica cuando un usuario de una organización accede a una aplicación de otra organización.
- La configuración de directivas de Citrix puede controlar los dispositivos USB que se permiten solo para determinados usuarios o para usuarios que se conectan únicamente a través de una LAN (en lugar de usar Citrix Gateway).
Habilitar la redirección USB genérica
Para habilitar la redirección USB genérica y no requerir la redirección manual por parte del usuario, configure tanto la configuración de directivas de Citrix como las preferencias de conexión de la aplicación Citrix Workspace.
En la configuración de directivas de Citrix:
-
Agregue la Redirección de dispositivos USB de cliente a una directiva y establezca su valor en Permitido.
-
(Opcional) Para actualizar la lista de dispositivos USB disponibles para la redirección, agregue la configuración Client USB device redirection rules a una directiva y especifique las reglas de directiva USB.
Una vez completadas las configuraciones de directiva, en la aplicación Citrix Workspace:
-
Especifique que los dispositivos se conecten automáticamente sin redirección manual. Puede hacerlo mediante una plantilla administrativa o en la aplicación Citrix Workspace para Windows > Preferences > Connections.
Si especificó las reglas de directiva USB para el VDA en el paso anterior, especifique esas mismas reglas de directiva para la aplicación Citrix Workspace.
Para clientes ligeros, consulte al fabricante para obtener detalles sobre la compatibilidad con USB y cualquier configuración necesaria.
Configurar los tipos de dispositivos USB disponibles para la redirección USB genérica
Los dispositivos USB se redirigen automáticamente cuando la compatibilidad con USB está habilitada y la configuración de preferencias de usuario de USB está establecida para conectar dispositivos USB automáticamente. Los dispositivos USB también se redirigen automáticamente cuando la barra de conexión no está presente.
Los usuarios pueden redirigir explícitamente los dispositivos que no se redirigen automáticamente seleccionándolos de la lista de dispositivos USB. Para obtener más información, consulte el artículo de ayuda para el usuario de la aplicación Citrix Workspace para Windows, Display your devices in the Desktop Viewer.
Para usar la redirección USB genérica en lugar de la compatibilidad optimizada, puede:
- En la aplicación Citrix Workspace, seleccione manualmente el dispositivo USB para usar la redirección USB genérica, elija Switch to generic en la ficha Devices del cuadro de diálogo Preferences.
- Seleccione automáticamente el dispositivo USB para usar la redirección USB genérica, configurando la redirección automática para el tipo de dispositivo USB (por ejemplo, AutoRedirectStorage=1) y establezca la configuración de preferencias de usuario de USB para conectar dispositivos USB automáticamente. Para obtener más información, consulte Configure automatic redirection of USB devices.
Nota:
Solo configure la redirección USB genérica para usarla con una cámara web si se determina que la cámara web es incompatible con la redirección multimedia HDX.
Para evitar que los dispositivos USB se listen o redirijan, puede especificar reglas de dispositivo para la aplicación Citrix Workspace y el VDA.
Para la redirección USB genérica, debe conocer al menos la clase y subclase del dispositivo USB. No todos los dispositivos USB utilizan su clase y subclase de dispositivo USB obvias. Por ejemplo:
- Los lápices utilizan la clase de dispositivo de ratón.
- Los lectores de tarjetas inteligentes pueden utilizar la clase de dispositivo definida por el proveedor o HID.
Para un control más preciso, debe conocer el ID de proveedor, el ID de producto y el ID de versión. Puede obtener esta información del proveedor del dispositivo.
Importante:
Los dispositivos USB maliciosos pueden presentar características de dispositivo USB que no coinciden con su uso previsto. Las reglas de dispositivo no están diseñadas para evitar este comportamiento.
Usted controla los dispositivos USB disponibles para la redirección USB genérica especificando reglas de redirección de dispositivos USB, para anular las reglas de política USB predeterminadas.
Citrix DaaS (anteriormente servicio Citrix Virtual Apps and Desktops):
-
En la mayoría de los casos, descargue el MSI de la Consola de administración de directivas de grupo de Citrix (
CitrixGroupPolicyManagement_x64.msi) e instálelo en su sistema de Active Directory, y luego administre las directivas de grupo de AD. (No instale el MSI en un VDA). -
Para la aplicación Citrix Workspace para Windows, edite el registro del dispositivo de usuario. Se incluye una plantilla administrativa (archivo ADM) en el medio de instalación para que pueda cambiar el dispositivo de usuario a través de la Directiva de grupo de Active Directory: raíz del DVD
\os\lang\Support\Configuration\icaclient_usb.adm
Citrix Virtual Apps and Desktops local:
- Para el VDA, edite las reglas de anulación del administrador para las máquinas con SO multisesión a través de las reglas de directiva de grupo. La Consola de administración de directivas de grupo se incluye en el medio de instalación:
- x64: raíz del DVD
\os\lang\x64\Citrix Policy\CitrixGroupPolicyManagement_x64.msi - x86: raíz del DVD
\os\lang\x86\Citrix Policy\CitrixGroupPolicyManagement_x86.msi
- x64: raíz del DVD
- Para la aplicación Citrix Workspace para Windows, modifique el registro del dispositivo de usuario. Se incluye una plantilla administrativa (archivo ADM) en el medio de instalación para que pueda cambiar el dispositivo de usuario a través de la Directiva de grupo de Active Directory: raíz del DVD
\os\lang\Support\Configuration\icaclient_usb.adm
Advertencia:
La modificación incorrecta del registro puede causar problemas graves que pueden requerir la reinstalación del sistema operativo. Citrix no puede garantizar que se puedan resolver los problemas resultantes del uso incorrecto del Editor del Registro. Utilice el Editor del Registro bajo su propia responsabilidad. Asegúrese de hacer una copia de seguridad del registro antes de modificarlo.
Las reglas predeterminadas del producto se almacenan en HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Citrix\ICA Client\GenericUSB. No modifique estas reglas predeterminadas del producto. En su lugar, utilícelas como guía para crear reglas de anulación del administrador, lo que se explica más adelante en este artículo. Las anulaciones de GPO se evalúan antes que las reglas predeterminadas del producto.
Las reglas de anulación del administrador se almacenan en HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Citrix\PortICA\GenericUSB\DeviceRules. Las reglas de directiva de GPO tienen el formato {Allow:|Deny:} seguido de un conjunto de expresiones etiqueta=valor separadas por espacios en blanco.
Se admiten las siguientes etiquetas:
| Etiqueta | Descripción |
|---|---|
| VID | ID de proveedor del descriptor de dispositivo |
| PID | ID de producto del descriptor de dispositivo |
| REL | ID de versión del descriptor de dispositivo |
| Clase | Clase del descriptor de dispositivo o de un descriptor de interfaz; consulte el sitio web de USB en http://www.usb.org/ para ver los códigos de clase USB disponibles |
| Subclase | Subclase del descriptor de dispositivo o de un descriptor de interfaz |
| Prot | Protocolo del descriptor de dispositivo o de un descriptor de interfaz |
Al crear reglas de directiva, tenga en cuenta lo siguiente:
- Las reglas no distinguen entre mayúsculas y minúsculas.
- Las reglas pueden tener un comentario opcional al final, introducido por
#. No se requiere un delimitador, y el comentario se ignora a efectos de coincidencia. - Las líneas en blanco y las líneas de solo comentarios se ignoran.
- Los espacios en blanco se utilizan como separador, pero no pueden aparecer en medio de un número o identificador. Por ejemplo, Deny: Class = 08 SubClass=05 es una regla válida, pero Deny: Class=0 Sub Class=05 no lo es.
- Las etiquetas deben usar el operador de coincidencia =. Por ejemplo, VID=1230.
- Cada regla debe comenzar en una nueva línea o formar parte de una lista separada por punto y coma.
Nota:
Si utiliza el archivo de plantilla ADM, debe crear las reglas en una sola línea, como una lista separada por punto y coma.
Ejemplos:
-
El siguiente ejemplo muestra una regla de directiva USB definida por el administrador para identificadores de proveedor y producto:
Allow: VID=046D PID=C626 # Allow Logitech SpaceNavigator 3D Mouse Deny: VID=046D # Deny all Logitech products -
El siguiente ejemplo muestra una regla de directiva USB definida por el administrador para una clase, subclase y protocolo definidos:
Deny: Class=EF SubClass=01 Prot=01 # Deny MS Active Sync devices Allow: Class=EF SubClass=01 # Allow Sync devices Allow: Class=EF # Allow all USB-Miscellaneous devices
Usar y quitar dispositivos USB
Los usuarios pueden conectar un dispositivo USB antes o después de iniciar una sesión virtual.
Al usar la aplicación Citrix Workspace para Windows, se aplica lo siguiente:
- Los dispositivos conectados después de que se inicie una sesión aparecen inmediatamente en el menú USB de Desktop Viewer.
- Si un dispositivo USB no se redirige correctamente, puede intentar resolver el problema esperando a conectar el dispositivo hasta después de que se inicie la sesión virtual.
- Para evitar la pérdida de datos, utilice el icono de Windows “Quitar hardware de forma segura” antes de quitar el dispositivo USB.
Controles de seguridad para dispositivos de almacenamiento masivo USB
Se proporciona compatibilidad optimizada para dispositivos de almacenamiento masivo USB. Esta compatibilidad forma parte de la asignación de unidades de cliente de Citrix Virtual Apps and Desktops. Las unidades del dispositivo de usuario se asignan automáticamente a letras de unidad en el escritorio virtual cuando los usuarios inician sesión. Las unidades se muestran como carpetas compartidas que tienen letras de unidad asignadas. Para configurar la asignación de unidades de cliente, utilice la configuración Unidades extraíbles de cliente. Esta configuración se encuentra en la sección Configuración de directiva de redirección de archivos de la configuración de directiva de ICA.
Con los dispositivos de almacenamiento masivo USB, puede utilizar la asignación de unidades de cliente o la redirección USB genérica, o ambas. Contrólalos mediante directivas de Citrix. Las principales diferencias son:
| Característica | Asignación de unidades de cliente | Redirección USB genérica |
|---|---|---|
| Habilitado de forma predeterminada | Sí | No |
| Acceso de solo lectura configurable | Sí | No |
| Acceso a dispositivos cifrados | Sí, si el cifrado se desbloquea antes de acceder al dispositivo | Sí |
| Dispositivos BitLocker To Go | No | No |
| Es seguro eliminar el dispositivo durante una sesión | No | Sí, siempre que los usuarios sigan las recomendaciones del sistema operativo para una extracción segura |
Si las directivas de redirección USB genérica y de asignación de unidades de cliente están habilitadas y se inserta un dispositivo de almacenamiento masivo antes o después de que se inicie una sesión, se redirige mediante la asignación de unidades de cliente. Cuando las directivas de redirección USB genérica y de asignación de unidades de cliente están habilitadas y un dispositivo está configurado para la redirección automática y se inserta un dispositivo de almacenamiento masivo antes o después de que se inicie una sesión, se redirige mediante la redirección USB genérica. Para obtener más información, consulte el artículo del Centro de conocimientos CTX123015.
Nota:
La redirección USB es compatible con conexiones de menor ancho de banda, por ejemplo, 50 Kbps. Sin embargo, la copia de archivos grandes no funciona.
Controlar el acceso a archivos con la asignación de unidades de cliente
Puede controlar si los usuarios pueden copiar archivos de sus entornos virtuales a sus dispositivos de usuario. De forma predeterminada, los archivos y carpetas de las unidades de cliente asignadas están disponibles en modo de lectura/escritura desde la sesión.
Para evitar que los usuarios agreguen o cambien archivos y carpetas en los dispositivos de cliente asignados, habilite la configuración de directiva Acceso de solo lectura a unidades de cliente. Al agregar esta configuración a una directiva, asegúrese de que la configuración Redirección de unidades de cliente esté establecida en Permitido y también se agregue a la directiva.
En este artículo
- Consideraciones de rendimiento para dispositivos USB
- Consideraciones de seguridad para dispositivos USB
- Compatibilidad con la redirección USB genérica
- Configurar la redirección USB genérica
- Habilitar la redirección USB genérica
- Configurar los tipos de dispositivos USB disponibles para la redirección USB genérica
- Usar y quitar dispositivos USB
- Controles de seguridad para dispositivos de almacenamiento masivo USB
- Controlar el acceso a archivos con la asignación de unidades de cliente