Configuración de resistencia de sesión

Mantener la actividad de la sesión es fundamental para ofrecer la mejor experiencia de usuario. La pérdida de conectividad debido a redes poco fiables, una latencia de red muy variable y las limitaciones de alcance de los dispositivos inalámbricos pueden provocar frustración en el usuario. Moverse rápidamente entre dispositivos y acceder a las mismas aplicaciones en cada inicio de sesión es una prioridad para muchos trabajadores móviles, como los del sector sanitario.

Las funciones descritas en este artículo optimizan la fiabilidad de las sesiones, reducen las molestias, el tiempo de inactividad y la pérdida de productividad; al usar estas funciones, los usuarios móviles pueden moverse rápida y fácilmente entre dispositivos.

Fiabilidad de la sesión

La fiabilidad de la sesión mantiene las sesiones activas y en la pantalla del usuario cuando se interrumpe la conectividad de red. Los usuarios siguen viendo la aplicación que están utilizando hasta que se reanuda la conectividad de red.

Esta función es especialmente útil para usuarios móviles con conexiones inalámbricas. Por ejemplo, un usuario con una conexión inalámbrica entra en un túnel ferroviario y pierde momentáneamente la conectividad. Normalmente, la sesión se desconecta y desaparece de la pantalla del usuario, y este tiene que volver a conectarse a la sesión desconectada. Con la fiabilidad de la sesión, la sesión permanece activa en la máquina. Para indicar la pérdida de conectividad, la pantalla del usuario se congela y el cursor cambia a un reloj de arena giratorio hasta que la conectividad se reanuda al otro lado del túnel. El usuario sigue accediendo a la pantalla durante la interrupción y puede reanudar la interacción con la aplicación cuando se restablece la conexión de red. La fiabilidad de la sesión vuelve a conectar a los usuarios sin solicitudes de reautenticación.

Los usuarios de la aplicación Citrix Workspace™ no pueden anular la configuración del Controller.

Puede utilizar la fiabilidad de la sesión con Transport Layer Security (TLS). TLS cifra solo los datos enviados entre el dispositivo de usuario y Citrix Gateway.

Habilite y configure la fiabilidad de la sesión con las siguientes configuraciones de directiva:

• La configuración de directiva Conexiones de fiabilidad de la sesión permite o impide la fiabilidad de la sesión.
• La configuración de directiva Tiempo de espera de fiabilidad de la sesión tiene un valor predeterminado de 180 segundos, o tres minutos. Aunque puede ampliar el tiempo que la fiabilidad de la sesión mantiene una sesión abierta, esta función está diseñada para la comodidad del usuario. Por lo tanto, no solicita al usuario una nueva autenticación. A medida que se amplía el tiempo que una sesión permanece abierta, aumentan las posibilidades de que un usuario se distraiga y se aleje del dispositivo de usuario. Esas acciones pueden dejar la sesión accesible a usuarios no autorizados.
• Las conexiones de fiabilidad de la sesión entrantes utilizan el puerto 2598, a menos que cambie el número de puerto en la configuración de directiva Número de puerto de fiabilidad de la sesión.
• Para evitar que los usuarios se reconecten a sesiones interrumpidas sin tener que volver a autenticarse, utilice la función Reconexión automática de cliente. Puede configurar la directiva de autenticación de reconexión automática de cliente para solicitar a los usuarios que se vuelvan a autenticar al reconectarse a sesiones interrumpidas.

Si utiliza tanto la fiabilidad de la sesión como la reconexión automática de cliente, las dos funciones funcionan en secuencia. La fiabilidad de la sesión cierra, o desconecta, la sesión de usuario después del tiempo que especifique en la configuración de directiva Tiempo de espera de fiabilidad de la sesión. Después de eso, las configuraciones de directiva de reconexión automática de cliente entran en vigor, intentando volver a conectar al usuario a la sesión desconectada.

Reconexión automática de cliente

Con la función Auto Client Reconnect, la aplicación Citrix Workspace puede detectar desconexiones involuntarias de sesiones ICA® y volver a conectar automáticamente a los usuarios a las sesiones afectadas. Cuando esta función está habilitada en el servidor, los usuarios no tienen que volver a conectarse manualmente para seguir trabajando.

Para las sesiones de aplicaciones, la aplicación Citrix Workspace intenta volver a conectarse a la sesión hasta que la reconexión se realiza correctamente o el usuario cancela los intentos de reconexión.

Para las sesiones de escritorio, la aplicación Citrix Workspace intenta volver a conectarse a la sesión durante un período especificado, a menos que la reconexión se realice correctamente o el usuario cancele los intentos de reconexión. De forma predeterminada, este período es de cinco minutos. Para cambiar este período, modifique la siguiente configuración del Registro en el dispositivo de usuario (donde seconds es el número de segundos después de los cuales no se realizan más intentos de reconexión a la sesión).

HKLM\Software\Citrix\ICA Client\TransportReconnectRetryMaxTimeSeconds; DWORD;<seconds>

Habilite y configure Auto Client Reconnect con las siguientes opciones de directiva:

• Auto Client Reconnect: Habilita o inhabilita la reconexión automática por parte de la aplicación Citrix Workspace después de que se haya interrumpido una conexión.
• Autenticación de Auto Client Reconnect: Habilita o inhabilita el requisito de autenticación de usuario después de la reconexión automática.
• Registro de Auto Client Reconnect: Habilita o inhabilita el registro de eventos de reconexión en el registro de eventos. El registro está inhabilitado de forma predeterminada. Cuando está habilitado, el registro del sistema del servidor captura información sobre los eventos de reconexión automática correctos y fallidos. Cada servidor almacena información sobre los eventos de reconexión en su propio registro del sistema. El sitio no proporciona un registro combinado de eventos de reconexión para todos los servidores.

Nota:

Auto Client Reconnect sin reautenticación solo se admite para la autenticación con contraseña. Si utiliza Federated Authentication Service o la autenticación con tarjeta inteligente, Auto Client Reconnect sin reautenticación no es compatible. En tales casos, los usuarios son redirigidos a la pantalla de inicio de sesión.

Auto Client Reconnect incorpora un mecanismo de autenticación basado en credenciales de usuario cifradas. Cuando un usuario inicia sesión por primera vez, el servidor cifra y almacena las credenciales de usuario en la memoria. El servidor también crea y envía una cookie que contiene la clave de cifrado a la aplicación Citrix Workspace. La aplicación Citrix Workspace envía la clave al servidor para la reconexión. El servidor descifra las credenciales y las envía al inicio de sesión de Windows para su autenticación. Cuando las cookies caducan, los usuarios deben volver a autenticarse para volver a conectarse a las sesiones.

Las cookies no se utilizan si habilita la configuración de autenticación de Auto Client Reconnect. En su lugar, se muestra un cuadro de diálogo a los usuarios solicitando credenciales cuando la aplicación Citrix Workspace intenta volver a conectarse automáticamente.

Para una protección máxima de las credenciales y las sesiones de los usuarios, utilice el cifrado para todas las comunicaciones entre los clientes y el sitio.

Inhabilite Auto Client Reconnect en la aplicación Citrix Workspace para Windows mediante el archivo icaclient.adm. Para obtener más información, consulte la documentación de su versión de la aplicación Citrix Workspace para Windows.

La configuración de las conexiones también afecta a Auto Client Reconnect:

• De forma predeterminada, la reconexión automática del cliente está habilitada a través de la configuración de directiva a nivel de sitio, como se describió anteriormente. No se requiere la reautenticación del usuario. Sin embargo, si la conexión TCP de ICA de un servidor está configurada para restablecer las sesiones con un enlace de comunicación roto, la reconexión automática no se produce. La reconexión automática del cliente solo funciona si el servidor desconecta las sesiones cuando hay una conexión rota o agotada. En este contexto, la conexión TCP de ICA se refiere a un puerto virtual del servidor (en lugar de una conexión de red real) que se utiliza para las sesiones en redes TCP/IP.
• De forma predeterminada, la conexión TCP de ICA en un servidor está configurada para desconectar las sesiones con conexiones rotas o agotadas. Las sesiones desconectadas permanecen intactas en la memoria del sistema y están disponibles para la reconexión mediante la aplicación Citrix Workspace.
• La conexión se puede configurar para restablecer o cerrar sesión en las sesiones con conexiones rotas o agotadas. Cuando se restablece una sesión, intentar reconectarse inicia una nueva sesión. En lugar de restaurar al usuario al mismo punto de la aplicación en uso, la aplicación se reinicia.
• Si el servidor está configurado para restablecer sesiones, la reconexión automática del cliente crea una nueva sesión. Este proceso requiere que los usuarios introduzcan sus credenciales para iniciar sesión en el servidor.
• La reconexión automática puede fallar si la aplicación Citrix Workspace o el plug-in envían información de autenticación incorrecta, lo que podría ocurrir durante un ataque o si el servidor determina que ha transcurrido demasiado tiempo desde que detectó la conexión rota.

Mantenimiento de actividad de ICA

La habilitación de la función de mantenimiento de actividad de ICA evita que las conexiones rotas se desconecten. Cuando está habilitada, si el servidor no detecta actividad, esta función evita que los Servicios de Escritorio remoto desconecten esa sesión. Ejemplos de inactividad incluyen la ausencia de cambios de reloj, movimientos del ratón o actualizaciones de pantalla. El servidor envía paquetes de mantenimiento de actividad cada pocos segundos para detectar si la sesión está activa. Si la sesión ya no está activa, el servidor la marca como desconectada.

Importante:

El mantenimiento de actividad de ICA solo funciona si no utiliza la fiabilidad de la sesión. La fiabilidad de la sesión tiene sus propios mecanismos para evitar que las conexiones rotas se desconecten. Configure el mantenimiento de actividad de ICA solo para las conexiones que no utilicen la fiabilidad de la sesión.

La configuración de mantenimiento de actividad de ICA anula la configuración de mantenimiento de actividad configurada en la Directiva de grupo de Windows.

Habilite y configure el mantenimiento de actividad de ICA con los siguientes parámetros de directiva:

• Tiempo de espera de mantenimiento de actividad de ICA: Especifica el intervalo (1-3600 segundos) utilizado para enviar mensajes de mantenimiento de actividad de ICA. No configure esta opción si desea que el software de supervisión de red cierre las conexiones inactivas en entornos donde las conexiones rotas son tan poco frecuentes que permitir a los usuarios reconectarse a las sesiones no es un problema.

  El intervalo predeterminado es de 60 segundos: Los paquetes de mantenimiento de actividad de ICA se envían a los dispositivos de usuario cada 60 segundos. Si un dispositivo de usuario no responde en 60 segundos, el estado de las sesiones de ICA cambia a desconectado.

• Mantenimiento de actividad de ICA: Envía o impide el envío de mensajes de mantenimiento de actividad de ICA.

Control de Workspace

El control del espacio de trabajo permite que los escritorios y las aplicaciones sigan a un usuario de un dispositivo a otro. Esta capacidad de itinerancia permite a un usuario acceder a todos los escritorios o aplicaciones abiertas desde cualquier lugar simplemente iniciando sesión, sin tener que reiniciar los escritorios o las aplicaciones en cada dispositivo. Por ejemplo, el control del espacio de trabajo puede ayudar a los trabajadores sanitarios de un hospital que necesitan moverse rápidamente entre diferentes estaciones de trabajo y acceder al mismo conjunto de aplicaciones cada vez que inician sesión. Si configura las opciones de control del espacio de trabajo para permitirlo, estos trabajadores pueden desconectarse de varias aplicaciones en un dispositivo cliente y luego volver a conectarse para abrir las mismas aplicaciones en un dispositivo cliente diferente.

El control del espacio de trabajo afecta a las siguientes actividades:

• Inicio de sesión: De forma predeterminada, el control del espacio de trabajo permite a los usuarios volver a conectarse automáticamente a todos los escritorios y aplicaciones en ejecución al iniciar sesión, evitando la necesidad de volver a abrirlos manualmente. A través del control del espacio de trabajo, los usuarios pueden abrir escritorios o aplicaciones desconectados, además de cualquier otro que esté activo en otro dispositivo cliente. Al desconectarse de un escritorio o una aplicación, esta sigue ejecutándose en el servidor. Si tiene usuarios itinerantes que deben mantener algunos escritorios o aplicaciones en ejecución en un dispositivo cliente mientras se vuelven a conectar a un subconjunto de sus escritorios o aplicaciones en otro dispositivo cliente, puede configurar el comportamiento de reconexión de inicio de sesión para que solo se abran los escritorios o las aplicaciones de los que el usuario se desconectó previamente.
• Reconexión: Después de iniciar sesión en el servidor, los usuarios pueden volver a conectarse a todos sus escritorios o aplicaciones en cualquier momento haciendo clic en Reconnect (Volver a conectar). De forma predeterminada, Reconnect (Volver a conectar) abre los escritorios o las aplicaciones que están desconectados, además de cualquier otro que se esté ejecutando actualmente en otro dispositivo cliente. Puede configurar Reconnect (Volver a conectar) para que solo abra los escritorios o las aplicaciones de los que el usuario se desconectó previamente.
• Cierre de sesión: Para los usuarios que abren escritorios o aplicaciones a través de StoreFront™, puede configurar el comando Cerrar sesión para cerrar la sesión del usuario en StoreFront y en todas las sesiones activas, o solo en StoreFront.
• Desconexión: Los usuarios pueden desconectarse de todos los escritorios y aplicaciones en ejecución a la vez, sin necesidad de desconectarse de cada uno individualmente.

El control del espacio de trabajo solo está disponible para los usuarios de Citrix Workspace app que acceden a escritorios y aplicaciones a través de una conexión de Citrix StoreFront. De forma predeterminada, el control del espacio de trabajo está inhabilitado para las sesiones de escritorio virtual, pero está habilitado para las aplicaciones alojadas. El uso compartido de sesiones no se produce de forma predeterminada entre los escritorios publicados y las aplicaciones publicadas que se ejecutan dentro de esos escritorios.

Las directivas de usuario, las asignaciones de unidades de cliente y las configuraciones de impresora cambian adecuadamente cuando un usuario se traslada a un nuevo dispositivo cliente. Las directivas y las asignaciones se aplican según el dispositivo cliente en el que el usuario haya iniciado sesión en la sesión. Por ejemplo, un trabajador sanitario cierra la sesión de un dispositivo en la sala de emergencias y luego inicia sesión en una estación de trabajo en el laboratorio de rayos X. Las directivas, las asignaciones de impresora y las asignaciones de unidades de cliente adecuadas para la sesión en el laboratorio de rayos X entran en vigor al inicio de la sesión.

Puede personalizar qué impresoras aparecen a los usuarios cuando cambian de ubicación. También puede controlar si los usuarios pueden imprimir en impresoras locales, cuánto ancho de banda se consume cuando los usuarios se conectan de forma remota y otros aspectos de sus experiencias de impresión.

Para obtener información sobre cómo habilitar y configurar el control del espacio de trabajo para los usuarios, consulte la documentación de StoreFront.

Itinerancia de sesiones

Nota:

La siguiente información le guía para configurar la itinerancia de sesiones mediante PowerShell. Puede usar Web Studio en su lugar. Para obtener más información, consulte (/es-es/citrix-virtual-apps-desktops/2411/install-configure/delivery-groups-manage.html#configure-session-roaming).

De forma predeterminada, las sesiones se mueven entre dispositivos cliente con el usuario. Cuando el usuario inicia una sesión y luego se mueve a otro dispositivo, se utiliza la misma sesión y las aplicaciones están disponibles en ambos dispositivos. Las aplicaciones siguen al usuario, independientemente del dispositivo o de si existen sesiones actuales. A menudo, las impresoras y otros recursos asignados a la aplicación también siguen al usuario.

Aunque este comportamiento predeterminado ofrece muchas ventajas, puede que no sea ideal en todos los casos. Puede evitar la itinerancia de sesiones mediante el SDK de PowerShell.

Ejemplo 1: Un profesional médico utiliza dos dispositivos, completando un formulario de seguro en un PC de escritorio y consultando información del paciente en una tableta.

• Si la itinerancia de sesiones está habilitada, ambas aplicaciones aparecen en ambos dispositivos (una aplicación iniciada en un dispositivo es visible en todos los dispositivos en uso). Esto podría no cumplir con los requisitos de seguridad.
• Si la itinerancia de sesiones está deshabilitada, el registro del paciente no aparece en el PC de escritorio y el formulario de seguro no aparece en la tableta.

Ejemplo 2: Un gerente de producción inicia una aplicación en el PC de su oficina. El nombre y la ubicación del dispositivo determinan qué impresoras y otros recursos están disponibles para esa sesión. Más tarde, va a una oficina en el edificio contiguo para una reunión que requerirá el uso de una impresora.

• Cuando la itinerancia de sesiones está habilitada, el gerente de producción probablemente no podría acceder a las impresoras cercanas a la sala de reuniones, porque las aplicaciones que inició anteriormente en su oficina resultaron en la asignación de impresoras y otros recursos cercanos a esa ubicación.
• Cuando la itinerancia de sesiones está deshabilitada, al iniciar sesión en una máquina diferente (usando las mismas credenciales), se inicia una nueva sesión y las impresoras y recursos cercanos estarán disponibles.

Configurar la itinerancia de sesiones

Para configurar la itinerancia de sesiones, utilice los siguientes cmdlets de reglas de directiva de derechos con la propiedad “SessionReconnection”. Opcionalmente, también puede especificar la propiedad “LeasingBehavior”.

Para sesiones de escritorio:

Set-BrokerEntitlementPolicyRule <Delivery-Group-name> -SessionReconnection <value> -LeasingBehavior Allowed|Disallowed

Para sesiones de aplicación:

Set-BrokerAppEntitlementPolicyRule <Delivery-Group-name> -SessionReconnection <value> -LeasingBehavior Allowed|Disallowed

Donde value puede ser uno de los siguientes:

• Always: Las sesiones siempre se itineran, independientemente del dispositivo cliente y de si la sesión está conectada o desconectada. Este es el valor predeterminado.
• DisconnectedOnly: Vuelva a conectar solo a las sesiones que ya están desconectadas; de lo contrario, inicie una nueva sesión. (Las sesiones pueden itinerar entre dispositivos cliente desconectándolas primero o utilizando Workspace Control para itinerarlas explícitamente). Nunca se utiliza una sesión activa conectada desde otro dispositivo cliente. En su lugar, se inicia una nueva sesión.
• SameEndpointOnly: Un usuario obtiene una sesión única para cada dispositivo cliente que utiliza. Esto deshabilita completamente la itinerancia. Los usuarios solo pueden volver a conectarse al mismo dispositivo que se utilizó anteriormente en la sesión.

La propiedad “LeasingBehavior” se describe a continuación.

Efectos de otra configuración:

La deshabilitación de la itinerancia de sesión se ve afectada por el límite de aplicación Permitir solo una instancia de la aplicación por usuario en las propiedades de la aplicación en el grupo de entrega.

• Si deshabilita la itinerancia de sesión, deshabilite el límite de aplicación “Permitir solo una instancia…”.
• Si habilita el límite de aplicación “Permitir solo una instancia…”, no configure ninguno de los dos valores que permiten nuevas sesiones en nuevos dispositivos.

Intervalo de inicio de sesión

Si una máquina virtual que contiene un VDA de escritorio se cierra antes de que finalice el proceso de inicio de sesión, puede asignar más tiempo al proceso. El valor predeterminado para la versión 7.6 y posteriores es de 180 segundos (el valor predeterminado para la versión 7.0-7.5 es de 90 segundos).

En la máquina (o en la imagen maestra utilizada en un catálogo de máquinas), establezca la siguiente clave de registro:

Clave:HKLM\SOFTWARE\Citrix\PortICA

• Valor: AutoLogonTimeout
• Tipo: DWORD
• Especifique un tiempo decimal en segundos, en el rango 0-3600.

Si cambia una imagen maestra, actualice el catálogo.

Esta configuración se aplica solo a las máquinas virtuales con VDA de escritorio. Microsoft controla el tiempo de espera de inicio de sesión en máquinas con VDA de servidor.