Administrar claves de seguridad
Importante:
- Debe usar esta función en combinación con StoreFront™ 1912 LTSR CU2 o posterior.
- La función Secure XML solo es compatible con Citrix ADC y Citrix Gateway versión 12.1 y posteriores.
Nota:
Puede administrar su implementación de Citrix Virtual Apps and Desktops™ mediante dos consolas de administración: Web Studio (basada en web) y Citrix Studio (basada en Windows). Este artículo solo trata sobre Web Studio. Para obtener información sobre Citrix Studio, consulte el artículo equivalente en Citrix Virtual Apps and Desktops 7 2212 o anterior.
Esta función le permite que solo las máquinas StoreFront y Citrix Gateway aprobadas se comuniquen con los Delivery Controllers. Después de habilitar esta función, se bloquea cualquier solicitud que no contenga la clave. Utilice esta función para añadir una capa adicional de seguridad para protegerse contra ataques originados en la red interna.
Un flujo de trabajo general para usar esta función es el siguiente:
-
Habilite Web Studio para mostrar la configuración de la función.
-
Configure los ajustes de su sitio.
-
Configure los ajustes de StoreFront.
-
Configure los ajustes de Citrix ADC.
Configurar los ajustes del sitio
Puede usar Web Studio o PowerShell para configurar los ajustes de la clave de seguridad de su sitio.
Usar Web Studio
- Inicie sesión en Web Studio, seleccione Configuración en el panel izquierdo.
-
Localice el mosaico Administrar clave de seguridad y haga clic en Editar. Aparecerá la página Administrar clave de seguridad.
-
Haga clic en el icono de actualización para generar las claves.
Importante:
- Hay dos claves disponibles para su uso. Puede usar la misma clave o claves diferentes para las comunicaciones a través de los puertos XML y STA. Recomendamos que utilice solo una clave a la vez. La clave no utilizada se usa solo para la rotación de claves.
- No haga clic en el icono de actualización para actualizar la clave que ya está en uso. Si lo hace, se producirá una interrupción del servicio.
-
Seleccione dónde se requiere una clave para las comunicaciones:
-
Requerir clave para las comunicaciones a través del puerto XML (solo StoreFront). Si se selecciona, se requiere una clave para autenticar las comunicaciones a través del puerto XML. StoreFront se comunica con Citrix Cloud a través de este puerto. Para obtener información sobre cómo cambiar el puerto XML, consulte el artículo de Knowledge Center CTX127945.
-
Requerir clave para las comunicaciones a través del puerto STA. Si se selecciona, se requiere una clave para autenticar las comunicaciones a través del puerto STA. Citrix Gateway y StoreFront se comunican con Citrix Cloud a través de este puerto. Para obtener información sobre cómo cambiar el puerto STA, consulte el artículo de Knowledge Center CTX101988.
-
- Haga clic en Guardar para aplicar los cambios y cerrar la ventana.
Usar PowerShell
Los siguientes son pasos de PowerShell equivalentes a las operaciones de Web Studio.
-
Ejecute el SDK remoto de PowerShell de Citrix Virtual Apps and Desktops.
- En una ventana de comandos, ejecute el siguiente comando:
Add-PSSnapIn Citrix*
- Ejecute los siguientes comandos para generar una clave y configurar Key1:
New-BrokerXmlServiceKeySet-BrokerSite -XmlServiceKey1 <the key you generated>
- Ejecute los siguientes comandos para generar una clave y configurar Key2:
New-BrokerXmlServiceKeySet-BrokerSite -XmlServiceKey2 <the key you generated>
- Ejecute uno o ambos de los siguientes comandos para habilitar el uso de una clave en la autenticación de comunicaciones:
- Para autenticar las comunicaciones a través del puerto XML:
Set-BrokerSite -RequireXmlServiceKeyForNFuse $true
- Para autenticar las comunicaciones a través del puerto STA:
Set-BrokerSite -RequireXmlServiceKeyForSta $true
- Para autenticar las comunicaciones a través del puerto XML:
Consulte la ayuda del comando de PowerShell para obtener orientación y sintaxis.
Configurar los ajustes de StoreFront
Después de completar la configuración de su sitio, debe configurar los ajustes relevantes para StoreFront mediante PowerShell.
En el servidor de StoreFront, ejecute los siguientes comandos de PowerShell:
- Para configurar la clave para las comunicaciones a través del puerto XML, utilice los comandos
Get-STFStoreServieySet-STFStoreService. Por ejemplo:PS C:\> Set-STFStoreFarm $farm -Farmtype XenDesktop -Port 80 -TransportType HTTP -Servers <domain name1, domain name2> -XMLValidationEnabled $true -XMLValidationSecret <the key you generated in Web Studio>
- Para configurar la clave para las comunicaciones a través del puerto STA, utilice el comando
New-STFSecureTicketAuthority. Por ejemplo:PS C:\> $sta = New-STFSecureTicketAuthority –StaUrl <STA URL> -StaValidationEnabled $true -StavalidationSecret <the key you generated in Web Studio>
Consulte la ayuda del comando de PowerShell para obtener orientación y sintaxis.
Configurar los ajustes de Citrix ADC
Nota:
La configuración de esta función para Citrix ADC no es necesaria a menos que utilice Citrix ADC como su puerta de enlace. Si utiliza Citrix ADC, siga estos pasos:
-
Asegúrese de que la siguiente configuración de requisitos previos ya esté implementada:
- Las siguientes direcciones IP relacionadas con Citrix ADC están configuradas.
- Dirección IP de administración de Citrix ADC (NSIP) para acceder a la consola de Citrix ADC. Para obtener más información, consulte Configuración de la dirección NSIP.
- Dirección IP de subred (SNIP) para habilitar la comunicación entre el dispositivo Citrix ADC y los servidores back-end. Para obtener más información, consulte Configuración de direcciones IP de subred.
- Dirección IP virtual de Citrix Gateway y dirección IP virtual del equilibrador de carga para iniciar sesión en el dispositivo ADC para el inicio de la sesión. Para obtener más información, consulte Crear un servidor virtual.
- Los modos y funciones requeridos en el dispositivo Citrix ADC están habilitados.
- Para habilitar los modos, en la GUI de Citrix ADC, vaya a Sistema > Configuración > Configurar modo.
- Para habilitar las funciones, en la GUI de Citrix ADC, vaya a Sistema > Configuración > Configurar funciones básicas.
- Las configuraciones relacionadas con los certificados están completas.
- Se ha creado la solicitud de firma de certificado (CSR). Para obtener más información, consulte Crear un certificado.
- Los certificados de servidor y CA y los certificados raíz están instalados. Para obtener más información, consulte Instalar, vincular y actualizar.
- Se ha creado un Citrix Gateway para Citrix Virtual Desktops. Pruebe la conectividad haciendo clic en el botón Probar conectividad STA para confirmar que los servidores virtuales están en línea. Para obtener más información, consulte Configuración de Citrix ADC para Citrix Virtual Apps and Desktops.
- Las siguientes direcciones IP relacionadas con Citrix ADC están configuradas.
-
Agregue una acción de reescritura. Para obtener más información, consulte Configuración de una acción de reescritura.
- Vaya a AppExpert > Reescritura > Acciones.
- Haga clic en Agregar para añadir una nueva acción de reescritura. Puede nombrar la acción como “establecer Tipo en INSERT_HTTP_HEADER”.
- En Tipo, seleccione INSERT_HTTP_HEADER.
- En Nombre de encabezado, introduzca X-Citrix-XmlServiceKey.
- En Expresión, añada
<XmlServiceKey1 value>entre comillas. Puede copiar el valor de XmlServiceKey1 de la configuración de su Desktop Delivery Controller™.
- Añada una directiva de reescritura. Para obtener más información, consulte Configurar una directiva de reescritura.
-
Vaya a AppExpert > Rewrite > Policies.
-
Haga clic en Agregar para agregar una nueva directiva.
- En Acción, seleccione la acción creada en el paso anterior.
- En Expresión, añada HTTP.REQ.IS_VALID.
- Haga clic en Aceptar.
-
-
Configure el equilibrio de carga. Debe configurar un servidor virtual de equilibrio de carga por cada servidor STA. De lo contrario, las sesiones no se iniciarán.
Para obtener más información, consulte Configurar el equilibrio de carga básico.
- Cree un servidor virtual de equilibrio de carga.
- Vaya a Administración de tráfico > Equilibrio de carga > Servidores.
- En la página Servidores virtuales, haga clic en Agregar.
- En Protocolo, seleccione HTTP.
- Agregue la dirección IP virtual de equilibrio de carga y, en Puerto, seleccione 80.
- Haga clic en Aceptar.
- Cree un servicio de equilibrio de carga.
- Vaya a Administración de tráfico > Equilibrio de carga > Servicios.
- En Servidor existente, seleccione el servidor virtual creado en el paso anterior.
- En Protocolo, seleccione HTTP y, en Puerto, seleccione 80.
- Haga clic en Aceptar y, a continuación, en Listo.
- Enlace el servicio al servidor virtual.
- Seleccione el servidor virtual creado anteriormente y haga clic en Editar.
- En Servicios y grupos de servicios, haga clic en Sin enlace de servicio de servidor virtual de equilibrio de carga.
Vincular servicio a un servidor virtual(/es-es/citrix-virtual-apps-desktops/2311/media/adc-bind-service-to-lbvserver.png)
- En Service Binding, seleccione el servicio creado anteriormente.
- Haga clic en Bind.
- Vincule la directiva de reescritura creada anteriormente al servidor virtual.
- Seleccione el servidor virtual creado anteriormente y haga clic en Edit.
- En Advanced Settings, haga clic en Policies y, a continuación, en la sección Policies, haga clic en +.
Vincular directiva de reescritura(/es-es/citrix-virtual-apps-desktops/2311/media/adc-bind-rewrite-policy.png)
- En Choose Policy, seleccione Rewrite y en Choose Type, seleccione Request.
- Haga clic en Continue.
- En Select Policy, seleccione la directiva de reescritura creada anteriormente.
- Haga clic en Bind.
- Haga clic en Done.
- Configure la persistencia para el servidor virtual, si es necesario.
- Seleccione el servidor virtual creado anteriormente y haga clic en Edit.
- En Advanced Settings, haga clic en Persistence.
- Seleccione el tipo de persistencia como Otros.
- Seleccione DESTIP para crear sesiones de persistencia basadas en la dirección IP del servicio seleccionado por el servidor virtual (la dirección IP de destino).
- En Máscara de red IPv4, añada la misma máscara de red que la del DDC.
- Haga clic en Aceptar.
- Repita estos pasos también para el otro servidor virtual.
- Cree un servidor virtual de equilibrio de carga.
Cambios de configuración si el dispositivo Citrix ADC ya está configurado con Citrix Virtual Desktops™
Si ya ha configurado el dispositivo Citrix ADC con Citrix Virtual Desktops, para usar la función Secure XML, debe realizar los siguientes cambios de configuración.
- Antes del inicio de la sesión, cambie la URL de la autoridad de tickets de seguridad de la puerta de enlace para usar los FQDN de los servidores virtuales de equilibrio de carga.
- Asegúrese de que el parámetro
TrustRequestsSentToTheXmlServicePortesté establecido en False. De forma predeterminada, el parámetroTrustRequestsSentToTheXmlServicePortestá establecido en False. Sin embargo, si el cliente ya ha configurado Citrix ADC para Citrix Virtual Desktops, elTrustRequestsSentToTheXmlServicePortse establece en True.
- En la GUI de Citrix ADC, vaya a Configuration > Integrate with Citrix Products y haga clic en XenApp and XenDesktop®.
-
Seleccione la instancia de la puerta de enlace y haga clic en el icono de edición.
-
En el panel de StoreFront, haga clic en el icono de edición.
- Añada la URL de Secure Ticket Authority.
- Si la función Secure XML está habilitada, entonces la URL de STA debe ser la URL del servicio de equilibrio de carga.
- Si la función Secure XML está inhabilitada, entonces la URL de STA debe ser la URL de STA (dirección del DDC) y el parámetro TrustRequestsSentToTheXmlServicePort en el DDC debe establecerse en True.
