Administrar claves de seguridad

Importante:

• Debe usar esta función en combinación con StoreFront™ 1912 LTSR CU2 o posterior.
• La función Secure XML solo es compatible con Citrix ADC y Citrix Gateway versión 12.1 y posteriores.

Nota:

Puede administrar su implementación de Citrix Virtual Apps and Desktops™ mediante dos consolas de administración: Web Studio (basada en web) y Citrix Studio (basada en Windows). Este artículo solo cubre Web Studio. Para obtener información sobre Citrix Studio, consulte el artículo equivalente en Citrix Virtual Apps and Desktops 7 2212 o anterior.

Esta función le permite permitir que solo las máquinas StoreFront y Citrix Gateway aprobadas se comuniquen con los Delivery Controllers. Después de habilitar esta función, se bloquea cualquier solicitud que no contenga la clave. Utilice esta función para añadir una capa adicional de seguridad para protegerse contra ataques originados en la red interna.

Un flujo de trabajo general para usar esta función es el siguiente:

1. Habilite Web Studio para mostrar la configuración de la función.

2. Configure los ajustes para su sitio.

3. Configure los ajustes para StoreFront.

4. Configure los ajustes para Citrix ADC.

Configurar los ajustes del sitio

Puede usar Web Studio o PowerShell para configurar los ajustes de la clave de seguridad de su sitio.

Usar Web Studio

1. Inicie sesión en Web Studio y seleccione Configuración en el panel izquierdo.

2. Busque el mosaico Administrar clave de seguridad y haga clic en Modificar. Aparecerá la página Administrar clave de seguridad.

   

3. Haga clic en el icono de actualización para generar las claves.

   Importante:

   • Hay dos claves disponibles para su uso. Puede usar la misma clave o claves diferentes para las comunicaciones a través de los puertos XML y STA. Le recomendamos que utilice solo una clave a la vez. La clave no utilizada se usa solo para la rotación de claves.
   • No haga clic en el icono de actualización para actualizar la clave que ya está en uso. Si lo hace, se producirá una interrupción del servicio.

4. Seleccione dónde se requiere una clave para las comunicaciones:

   • Requerir clave para las comunicaciones a través del puerto XML (solo StoreFront). Si se selecciona, se requiere una clave para autenticar las comunicaciones a través del puerto XML. StoreFront se comunica con Citrix Cloud a través de este puerto. Para obtener información sobre cómo cambiar el puerto XML, consulte el artículo de Knowledge Center CTX127945.

   • Requerir clave para las comunicaciones a través del puerto STA. Si se selecciona, se requiere una clave para autenticar las comunicaciones a través del puerto STA. Citrix Gateway y StoreFront se comunican con Citrix Cloud a través de este puerto. Para obtener información sobre cómo cambiar el puerto STA, consulte el artículo de Knowledge Center CTX101988.

5. Haga clic en Guardar para aplicar los cambios y cerrar la ventana.

Usar PowerShell

A continuación, se muestran los pasos de PowerShell equivalentes a las operaciones de Web Studio.

1. Ejecute el SDK de PowerShell remoto de Citrix Virtual Apps and Desktops.

2. En una ventana de comandos, ejecute el siguiente comando:
   • Add-PSSnapIn Citrix*
3. Ejecute los siguientes comandos para generar una clave y configurar Key1:
   • New-BrokerXmlServiceKey
   • Set-BrokerSite -XmlServiceKey1 <the key you generated>
4. Ejecute los siguientes comandos para generar una clave y configurar Key2:
   • New-BrokerXmlServiceKey
   • Set-BrokerSite -XmlServiceKey2 <the key you generated>
5. Ejecute uno o ambos de los siguientes comandos para habilitar el uso de una clave en la autenticación de comunicaciones:
   • Para autenticar las comunicaciones a través del puerto XML:
     • Set-BrokerSite -RequireXmlServiceKeyForNFuse $true
   • Para autenticar las comunicaciones a través del puerto STA:
     • Set-BrokerSite -RequireXmlServiceKeyForSta $true

Consulte la ayuda del comando de PowerShell para obtener orientación y sintaxis.

Configurar los ajustes de StoreFront

Después de completar la configuración de su sitio, debe configurar los ajustes relevantes para StoreFront mediante PowerShell.

En el servidor de StoreFront, ejecute los siguientes comandos de PowerShell:

$store = Get-STFStoreService -VirtualPath [Path to store]
$farm = Get-STFStoreFarm -StoreService $store -FarmName [Resource feed name]
Set-STFStoreFarm -Farm $farm -XMLValidationEnabled $true -XMLValidationSecret [secret]
<!--NeedCopy-->

Introduzca los valores adecuados para los siguientes parámetros:

• Path to store
• Resource feed name
• secret

Para configurar la clave para las comunicaciones a través del puerto STA, utilice los comandos New-STFSecureTicketAuthority y Set-STFRoamingGateway. Por ejemplo:

$gateway = Get-STFRoamingGateway -Name [Gateway name]
$sta1 = New-STFSecureTicketAuthority -StaUrl [STA1 URL] -StaValidationEnabled $true -StaValidationSecret [secret]
$sta2 = New-STFSecureTicketAuthority -StaUrl [STA2 URL] -StaValidationEnabled $true -StaValidationSecret [secret]
Set-STFRoamingGateway -Gateway $gateway -SecureTicketAuthorityObjs $sta1,$sta2
<!--NeedCopy-->

Introduzca los valores adecuados para los siguientes parámetros:

• Gateway name
• STA URL
• Secret

Consulte la ayuda del comando de PowerShell para obtener orientación y sintaxis.

Configurar los ajustes para Citrix ADC

Nota:

La configuración de esta función para Citrix ADC no es necesaria a menos que utilice Citrix ADC como su puerta de enlace. Si utiliza Citrix ADC, siga estos pasos:

1. Asegúrese de que la siguiente configuración de requisitos previos ya esté implementada:

   • Las siguientes direcciones IP relacionadas con Citrix ADC están configuradas.
     • Dirección IP de administración de Citrix ADC (NSIP) para acceder a la consola de Citrix ADC. Para obtener más información, consulte Configuración de la dirección NSIP.

     

     • Dirección IP de subred (SNIP) para habilitar la comunicación entre el dispositivo Citrix ADC y los servidores back-end. Para obtener más información, consulte Configuración de direcciones IP de subred.
     • Dirección IP virtual de Citrix Gateway y dirección IP virtual del equilibrador de carga para iniciar sesión en el dispositivo ADC para el inicio de la sesión. Para obtener más información, consulte Crear un servidor virtual.

     

   • Los modos y funciones necesarios en el dispositivo Citrix ADC están habilitados.
     • Para habilitar los modos, en la GUI de Citrix ADC, vaya a Sistema > Configuración > Configurar modo.
     • Para habilitar las funciones, en la GUI de Citrix ADC, vaya a Sistema > Configuración > Configurar funciones básicas.
   • Las configuraciones relacionadas con los certificados están completas.
     • Se crea la solicitud de firma de certificado (CSR). Para obtener más información, consulte Crear un certificado.

     

     • Los certificados de servidor y CA y los certificados raíz están instalados. Para obtener más información, consulte Instalar, vincular y actualizar.

     

     

     • Se ha creado un Citrix Gateway para Citrix Virtual Desktops. Pruebe la conectividad haciendo clic en el botón Test STA Connectivity para confirmar que los servidores virtuales están en línea. Para obtener más información, consulte Configuración de Citrix ADC para Citrix Virtual Apps and Desktops.

     

2. Agregue una acción de reescritura. Para obtener más información, consulte Configuración de una acción de reescritura.

   1. Vaya a AppExpert > Rewrite > Actions.
   2. Haga clic en Add para agregar una nueva acción de reescritura. Puede nombrar la acción como “set Type to INSERT_HTTP_HEADER”.

   

   1. En Type, seleccione INSERT_HTTP_HEADER.
   2. En Header Name, introduzca X-Citrix-XmlServiceKey.
   3. En Expression, agregue <XmlServiceKey1 value> con las comillas. Puede copiar el valor de XmlServiceKey1 de la configuración de su Desktop Delivery Controller™.

   

3. Agregue una directiva de reescritura. Para obtener más información, consulte Configuración de una directiva de reescritura.

   1. Vaya a AppExpert > Rewrite > Policies.

   2. Haga clic en Add para agregar una nueva directiva.

   

   1. En Acción, seleccione la acción creada en el paso anterior.
   2. En Expresión, agregue HTTP.REQ.IS_VALID.
   3. Haga clic en Aceptar.

4. Configure el equilibrio de carga. Debe configurar un servidor virtual de equilibrio de carga por cada servidor STA. De lo contrario, las sesiones no se iniciarán.

   Para obtener más información, consulte Configurar el equilibrio de carga básico.

   1. Cree un servidor virtual de equilibrio de carga.
      • Vaya a Administración del tráfico > Equilibrio de carga > Servidores.
      • En la página Servidores virtuales, haga clic en Agregar.

      

      • En Protocolo, seleccione HTTP.
      • Agregue la dirección IP virtual de equilibrio de carga y, en Puerto, seleccione 80.
      • Haga clic en Aceptar.
   2. Cree un servicio de equilibrio de carga.
      • Vaya a Administración del tráfico > Equilibrio de carga > Servicios.

      

      • En Servidor existente, seleccione el servidor virtual creado en el paso anterior.
      • En Protocolo, seleccione HTTP y en Puerto, seleccione 80.
      • Haga clic en Aceptar y, a continuación, haga clic en Listo.
   3. Vincule el servicio al servidor virtual.
      • Seleccione el servidor virtual creado anteriormente y haga clic en Editar.
      • En Servicios y grupos de servicios, haga clic en Sin enlace de servicio de servidor virtual de equilibrio de carga.

      

      • En Enlace de servicio, seleccione el servicio creado anteriormente.
      • Haga clic en Vincular.
   4. Vincule la directiva de reescritura creada anteriormente al servidor virtual.
      • Seleccione el servidor virtual creado anteriormente y haga clic en Editar.
      • En Configuración avanzada, haga clic en Directivas y, a continuación, en la sección Directivas, haga clic en +.

      

      • En Elegir directiva, seleccione Reescribir y en Elegir tipo, seleccione Solicitud.
      • Haga clic en Continuar.
      • En Seleccionar directiva, seleccione la directiva de reescritura creada anteriormente.
      • Haga clic en Enlazar.
      • Haga clic en Listo.
   5. Configure la persistencia para el servidor virtual, si es necesario.
      • Seleccione el servidor virtual creado anteriormente y haga clic en Modificar.
      • En Configuración avanzada, haga clic en Persistencia.

      

      • Seleccione el tipo de persistencia como Otros.
      • Seleccione DESTIP para crear sesiones de persistencia basadas en la dirección IP del servicio seleccionado por el servidor virtual (la dirección IP de destino)
      • En Máscara de red IPv4, agregue la máscara de red igual que la del DDC.
      • Haga clic en Aceptar.
   6. Repita estos pasos también para el otro servidor virtual.

Cambios de configuración si el dispositivo Citrix ADC ya está configurado con Citrix Virtual Desktops™

Si ya ha configurado el dispositivo Citrix ADC con Citrix Virtual Desktops, entonces, para usar la función Secure XML, debe realizar los siguientes cambios de configuración.

• Antes del inicio de la sesión, cambie la URL de la autoridad de tickets de seguridad del gateway para usar los FQDN de los servidores virtuales de equilibrio de carga.
• Asegúrese de que el parámetro TrustRequestsSentToTheXmlServicePort esté establecido en False. De forma predeterminada, el parámetro TrustRequestsSentToTheXmlServicePort está establecido en False. Sin embargo, si el cliente ya ha configurado Citrix ADC para Citrix Virtual Desktops, entonces TrustRequestsSentToTheXmlServicePort se establece en True.

1. En la GUI de Citrix ADC, vaya a Configuración > Integrar con productos de Citrix y haga clic en XenApp and XenDesktop®.

2. Seleccione la instancia de puerta de enlace y haga clic en el icono de edición.

   

3. En el panel de StoreFront, haga clic en el icono de edición.

   

4. Agregue la URL de Secure Ticket Authority.
   • Si la función Secure XML está habilitada, la URL de STA debe ser la URL del servicio de equilibrio de carga.
   • Si la función Secure XML está deshabilitada, la URL de STA debe ser la URL de STA (dirección del DDC) y el parámetro TrustRequestsSentToTheXmlServicePort en el DDC debe establecerse en True.