Configuración de la resistencia de la sesión

Mantener la actividad de la sesión es fundamental para ofrecer la mejor experiencia de usuario. La pérdida de conectividad debido a redes poco fiables, una latencia de red muy variable y las limitaciones de alcance de los dispositivos inalámbricos pueden provocar frustración en el usuario. Moverse rápidamente entre dispositivos y acceder a las mismas aplicaciones en cada inicio de sesión es una prioridad para muchos trabajadores móviles, como los del sector sanitario.

Las funciones descritas en este artículo optimizan la fiabilidad de las sesiones, reducen las molestias, el tiempo de inactividad y la pérdida de productividad; al usar estas funciones, los usuarios móviles pueden moverse rápida y fácilmente entre dispositivos.

Fiabilidad de la sesión

La fiabilidad de la sesión mantiene las sesiones activas y en la pantalla del usuario cuando se interrumpe la conectividad de red. Los usuarios siguen viendo la aplicación que están utilizando hasta que se reanuda la conectividad de red.

Esta función es especialmente útil para usuarios móviles con conexiones inalámbricas. Por ejemplo, un usuario con una conexión inalámbrica entra en un túnel ferroviario y pierde momentáneamente la conectividad. Normalmente, la sesión se desconecta y desaparece de la pantalla del usuario, y este tiene que volver a conectarse a la sesión desconectada. Con la fiabilidad de la sesión, la sesión permanece activa en la máquina. Para indicar la pérdida de conectividad, la pantalla del usuario se congela y el cursor cambia a un reloj de arena giratorio hasta que la conectividad se reanuda al otro lado del túnel. El usuario sigue accediendo a la pantalla durante la interrupción y puede reanudar la interacción con la aplicación cuando se restablece la conexión de red. La fiabilidad de la sesión vuelve a conectar a los usuarios sin solicitudes de reautenticación.

Los usuarios de la aplicación Citrix Workspace™ no pueden anular la configuración del Controller.

Puede usar la fiabilidad de la sesión con Transport Layer Security (TLS). TLS cifra solo los datos enviados entre el dispositivo del usuario y Citrix Gateway.

Habilite y configure la fiabilidad de la sesión con las siguientes configuraciones de directiva:

• La configuración de directiva de conexiones de fiabilidad de la sesión permite o impide la fiabilidad de la sesión.
• La configuración de directiva de tiempo de espera de fiabilidad de la sesión tiene un valor predeterminado de 180 segundos, o tres minutos. Aunque puede ampliar el tiempo que la fiabilidad de la sesión mantiene una sesión abierta, esta función está diseñada para la comodidad del usuario. Por lo tanto, no solicita al usuario que se vuelva a autenticar. A medida que amplía el tiempo que una sesión permanece abierta, aumentan las posibilidades de que un usuario se distraiga y se aleje del dispositivo de usuario. Esas acciones pueden dejar la sesión accesible a usuarios no autorizados.
• Las conexiones de fiabilidad de la sesión entrantes utilizan el puerto 2598, a menos que cambie el número de puerto en la configuración de directiva de número de puerto de fiabilidad de la sesión.
• Para evitar que los usuarios se reconecten a sesiones interrumpidas sin tener que volver a autenticarse, utilice la función de Reconexión automática del cliente. Puede configurar la configuración de directiva de autenticación de Reconexión automática del cliente para solicitar a los usuarios que se vuelvan a autenticar al reconectarse a sesiones interrumpidas.

Si utiliza tanto la fiabilidad de la sesión como la Reconexión automática del cliente, las dos funciones funcionan en secuencia. La fiabilidad de la sesión cierra o desconecta la sesión del usuario después del tiempo que especifique en la configuración de directiva de tiempo de espera de fiabilidad de la sesión. Después de eso, las configuraciones de directiva de Reconexión automática del cliente entran en vigor, intentando volver a conectar al usuario a la sesión desconectada.

Reconexión automática del cliente

Con la función de reconexión automática de clientes, la aplicación Citrix Workspace puede detectar desconexiones involuntarias de sesiones ICA® y volver a conectar a los usuarios a las sesiones afectadas automáticamente. Cuando esta función está habilitada en el servidor, los usuarios no tienen que volver a conectarse manualmente para seguir trabajando.

Para las sesiones de aplicaciones, la aplicación Citrix Workspace intenta volver a conectarse a la sesión hasta que la reconexión se realiza correctamente o el usuario cancela los intentos de reconexión.

Para las sesiones de escritorio, la aplicación Citrix Workspace intenta volver a conectarse a la sesión durante un período especificado, a menos que la reconexión se realice correctamente o el usuario cancele los intentos de reconexión. De forma predeterminada, este período es de cinco minutos. Para cambiar este período, modifique la siguiente configuración del Registro en el dispositivo de usuario (donde seconds es el número de segundos después de los cuales no se realizan más intentos de reconexión a la sesión).

HKLM\Software\Citrix\ICA Client\TransportReconnectRetryMaxTimeSeconds; DWORD;<seconds>

Habilite y configure la reconexión automática de clientes con las siguientes configuraciones de directiva:

• Reconexión automática de clientes: Habilita o inhabilita la reconexión automática por parte de la aplicación Citrix Workspace después de que se haya interrumpido una conexión.
• Autenticación de reconexión automática de clientes: Habilita o inhabilita el requisito de autenticación de usuario después de la reconexión automática.
• Registro de reconexión automática de clientes: Habilita o inhabilita el registro de eventos de reconexión en el registro de eventos. El registro está inhabilitado de forma predeterminada. Cuando está habilitado, el registro del sistema del servidor captura información sobre los eventos de reconexión automática correctos y fallidos. Cada servidor almacena información sobre los eventos de reconexión en su propio registro del sistema. El sitio no proporciona un registro combinado de eventos de reconexión para todos los servidores.

Nota:

La reconexión automática de clientes sin reautenticación solo se admite para la autenticación de contraseña. Si utiliza Federated Authentication Service o la autenticación con tarjeta inteligente, la reconexión automática de clientes sin reautenticación no es compatible. En tales casos, los usuarios son redirigidos a la pantalla de inicio de sesión.

La reconexión automática de clientes incorpora un mecanismo de autenticación basado en credenciales de usuario cifradas. Cuando un usuario inicia sesión por primera vez, el servidor cifra y almacena las credenciales del usuario en la memoria. El servidor también crea y envía una cookie que contiene la clave de cifrado a la aplicación Citrix Workspace. La aplicación Citrix Workspace envía la clave al servidor para la reconexión. El servidor descifra las credenciales y las envía al inicio de sesión de Windows para su autenticación. Cuando las cookies caducan, los usuarios deben volver a autenticarse para reconectarse a las sesiones.

Las cookies no se utilizan si habilita la configuración de autenticación de reconexión automática de clientes. En su lugar, se presenta un cuadro de diálogo a los usuarios solicitando credenciales cuando la aplicación Citrix Workspace intenta reconectarse automáticamente.

Para una protección máxima de las credenciales y sesiones de usuario, utilice el cifrado para todas las comunicaciones entre los clientes y el sitio.

Inhabilite la reconexión automática de clientes en la aplicación Citrix Workspace para Windows mediante el archivo icaclient.adm. Para obtener más información, consulte la documentación de su versión de la aplicación Citrix Workspace para Windows.

La configuración de las conexiones también afecta a la reconexión automática de clientes:

• De forma predeterminada, la reconexión automática de clientes (Auto Client Reconnect) está habilitada a través de la configuración de directivas en el nivel del sitio, como se describió anteriormente. No se requiere la reautenticación del usuario. Sin embargo, si la conexión TCP de ICA de un servidor está configurada para restablecer las sesiones con un vínculo de comunicación roto, la reconexión automática no se produce. La reconexión automática de clientes solo funciona si el servidor desconecta las sesiones cuando hay una conexión rota o agotada. En este contexto, la conexión TCP de ICA se refiere a un puerto virtual del servidor (en lugar de una conexión de red real) que se utiliza para las sesiones en redes TCP/IP.
• De forma predeterminada, la conexión TCP de ICA en un servidor está configurada para desconectar las sesiones con conexiones rotas o agotadas. Las sesiones desconectadas permanecen intactas en la memoria del sistema y están disponibles para la reconexión mediante la aplicación Citrix Workspace.
• La conexión se puede configurar para restablecer o cerrar la sesión con conexiones rotas o agotadas. Cuando se restablece una sesión, al intentar reconectarse se inicia una nueva sesión. En lugar de restaurar al usuario al mismo punto de la aplicación en uso, la aplicación se reinicia.
• Si el servidor está configurado para restablecer las sesiones, la reconexión automática de clientes (Auto Client Reconnect) crea una nueva sesión. Este proceso requiere que los usuarios introduzcan sus credenciales para iniciar sesión en el servidor.
• La reconexión automática puede fallar si la aplicación Citrix Workspace o el plug-in envían información de autenticación incorrecta, lo que podría ocurrir durante un ataque o si el servidor determina que ha transcurrido demasiado tiempo desde que detectó la conexión rota.

ICA Keep-Alive

La habilitación de la función ICA Keep-Alive evita que las conexiones rotas se desconecten. Cuando está habilitada, si el servidor no detecta actividad, esta función evita que los Servicios de Escritorio remoto desconecten esa sesión. Ejemplos de inactividad incluyen la ausencia de cambios de reloj, movimientos del ratón o actualizaciones de pantalla. El servidor envía paquetes keep-alive cada pocos segundos para detectar si la sesión está activa. Si la sesión ya no está activa, el servidor la marca como desconectada.

Importante:

ICA Keep-Alive solo funciona si no utiliza la fiabilidad de la sesión. La fiabilidad de la sesión tiene sus propios mecanismos para evitar que las conexiones rotas se desconecten. Configure ICA Keep-Alive solo para conexiones que no utilicen la fiabilidad de la sesión.

La configuración de ICA Keep-Alive anula la configuración de keep-alive configurada en la Directiva de grupo de Windows.

Habilite y configure ICA Keep-Alive con la siguiente configuración de directiva:

• Tiempo de espera de ICA keep-alive: Especifica el intervalo (1-3600 segundos) utilizado para enviar mensajes ICA keep-alive. No configure esta opción si desea que su software de supervisión de red cierre las conexiones inactivas en entornos donde las conexiones rotas son tan poco frecuentes que permitir a los usuarios volver a conectarse a las sesiones no es una preocupación.

  El intervalo predeterminado es de 60 segundos: los paquetes ICA Keep-Alive se envían a los dispositivos de usuario cada 60 segundos. Si un dispositivo de usuario no responde en 60 segundos, el estado de las sesiones ICA cambia a desconectado.

• ICA keep-alives: Envía o impide el envío de mensajes ICA keep-alive.

Control de Workspace

El control del espacio de trabajo permite que los escritorios y las aplicaciones sigan a un usuario de un dispositivo a otro. Esta capacidad de itinerancia permite a un usuario acceder a todos los escritorios o aplicaciones abiertas desde cualquier lugar simplemente iniciando sesión, sin tener que reiniciar los escritorios o las aplicaciones en cada dispositivo. Por ejemplo, el control del espacio de trabajo puede ayudar a los trabajadores sanitarios de un hospital que necesitan moverse rápidamente entre diferentes estaciones de trabajo y acceder al mismo conjunto de aplicaciones cada vez que inician sesión. Si configura las opciones de control del espacio de trabajo para permitirlo, estos trabajadores pueden desconectarse de varias aplicaciones en un dispositivo cliente y, a continuación, volver a conectarse para abrir las mismas aplicaciones en un dispositivo cliente diferente.

El control del espacio de trabajo afecta a las siguientes actividades:

• Inicio de sesión: De forma predeterminada, el control del espacio de trabajo permite a los usuarios volver a conectarse automáticamente a todos los escritorios y aplicaciones en ejecución al iniciar sesión, evitando la necesidad de volver a abrirlos manualmente. Mediante el control del espacio de trabajo, los usuarios pueden abrir escritorios o aplicaciones desconectados, además de cualquier otro que esté activo en otro dispositivo cliente. Al desconectarse de un escritorio o una aplicación, estos permanecen en ejecución en el servidor. Si tiene usuarios itinerantes que deben mantener algunos escritorios o aplicaciones en ejecución en un dispositivo cliente mientras se vuelven a conectar a un subconjunto de sus escritorios o aplicaciones en otro dispositivo cliente, puede configurar el comportamiento de reconexión de inicio de sesión para abrir solo los escritorios o las aplicaciones de los que el usuario se desconectó anteriormente.
• Reconexión: Después de iniciar sesión en el servidor, los usuarios pueden volver a conectarse a todos sus escritorios o aplicaciones en cualquier momento haciendo clic en Reconnect (Volver a conectar). De forma predeterminada, Reconnect (Volver a conectar) abre los escritorios o las aplicaciones que están desconectados, además de cualquier otro que esté actualmente en ejecución en otro dispositivo cliente. Puede configurar Reconnect (Volver a conectar) para que abra solo los escritorios o las aplicaciones de los que el usuario se desconectó anteriormente.
• Cierre de sesión: Para los usuarios que abren escritorios o aplicaciones a través de StoreFront™, puede configurar el comando Cerrar sesión para cerrar la sesión del usuario en StoreFront y en todas las sesiones activas, o solo en StoreFront.
• Desconexión: Los usuarios pueden desconectarse de todos los escritorios y aplicaciones en ejecución a la vez, sin necesidad de desconectarse de cada uno individualmente.

El control del espacio de trabajo solo está disponible para los usuarios de la aplicación Citrix Workspace que acceden a escritorios y aplicaciones a través de una conexión de Citrix StoreFront. De forma predeterminada, el control del espacio de trabajo está inhabilitado para las sesiones de escritorio virtual, pero está habilitado para las aplicaciones alojadas. El uso compartido de sesiones no se produce de forma predeterminada entre los escritorios publicados y las aplicaciones publicadas que se ejecutan dentro de esos escritorios.

Las directivas de usuario, las asignaciones de unidades de cliente y las configuraciones de impresora cambian adecuadamente cuando un usuario se traslada a un nuevo dispositivo cliente. Las directivas y las asignaciones se aplican según el dispositivo cliente en el que el usuario ha iniciado sesión en la sesión. Por ejemplo, un trabajador sanitario cierra la sesión de un dispositivo en la sala de emergencias y, a continuación, inicia sesión en una estación de trabajo en el laboratorio de rayos X. Las directivas, las asignaciones de impresora y las asignaciones de unidades de cliente adecuadas para la sesión en el laboratorio de rayos X entran en vigor al iniciar la sesión.

Puede personalizar qué impresoras aparecen a los usuarios cuando cambian de ubicación. También puede controlar si los usuarios pueden imprimir en impresoras locales, cuánto ancho de banda se consume cuando los usuarios se conectan de forma remota y otros aspectos de sus experiencias de impresión.

Para obtener información sobre cómo habilitar y configurar el control del espacio de trabajo para los usuarios, consulte la documentación de StoreFront.

Itinerancia de sesiones

Nota:

La siguiente información le guía para configurar la itinerancia de sesiones mediante PowerShell. Puede usar Web Studio en su lugar. Para obtener más información, consulte Administrar grupos de entrega.

De forma predeterminada, las sesiones se mueven entre dispositivos cliente con el usuario. Cuando el usuario inicia una sesión y luego se traslada a otro dispositivo, se utiliza la misma sesión y las aplicaciones están disponibles en ambos dispositivos. Las aplicaciones siguen al usuario, independientemente del dispositivo o de si existen sesiones actuales. A menudo, las impresoras y otros recursos asignados a la aplicación también se mueven.

Aunque este comportamiento predeterminado ofrece muchas ventajas, puede que no sea ideal en todos los casos. Puede evitar la itinerancia de sesiones mediante el SDK de PowerShell.

Ejemplo 1: Un profesional médico utiliza dos dispositivos, completando un formulario de seguro en un PC de escritorio y consultando información del paciente en una tableta.

• Si la itinerancia de sesiones está habilitada, ambas aplicaciones aparecen en ambos dispositivos (una aplicación iniciada en un dispositivo es visible en todos los dispositivos en uso). Esto podría no cumplir los requisitos de seguridad.
• Si la itinerancia de sesiones está inhabilitada, el registro del paciente no aparece en el PC de escritorio y el formulario de seguro no aparece en la tableta.

Ejemplo 2: Un gerente de producción inicia una aplicación en el PC de su oficina. El nombre y la ubicación del dispositivo determinan qué impresoras y otros recursos están disponibles para esa sesión. Más tarde, ese mismo día, va a una oficina en el edificio contiguo para una reunión que requerirá el uso de una impresora.

• Cuando la itinerancia de sesiones está habilitada, el gerente de producción probablemente no podría acceder a las impresoras cercanas a la sala de reuniones, porque las aplicaciones que inició anteriormente en su oficina dieron como resultado la asignación de impresoras y otros recursos cerca de esa ubicación.
• Cuando la itinerancia de sesiones está inhabilitada, al iniciar sesión en una máquina diferente (con las mismas credenciales), se inicia una nueva sesión y las impresoras y recursos cercanos estarán disponibles.

Configurar la itinerancia de sesiones

Para configurar la itinerancia de sesiones, utilice los siguientes cmdlets de reglas de directiva de derechos con la propiedad “SessionReconnection”. Opcionalmente, también puede especificar la propiedad “LeasingBehavior”.

Para sesiones de escritorio:

Set-BrokerEntitlementPolicyRule <Delivery-Group-name> -SessionReconnection <value> -LeasingBehavior Allowed|Disallowed

Para sesiones de aplicación:

Set-BrokerAppEntitlementPolicyRule <Delivery-Group-name> -SessionReconnection <value> -LeasingBehavior Allowed|Disallowed

Donde value puede ser uno de los siguientes:

• Siempre: Las sesiones siempre se desplazan, independientemente del dispositivo cliente y de si la sesión está conectada o desconectada. Este es el valor predeterminado.
• Solo desconectadas: Vuelva a conectar solo a las sesiones que ya están desconectadas; de lo contrario, inicie una nueva sesión. (Las sesiones pueden desplazarse entre dispositivos cliente desconectándolas primero o utilizando Workspace Control para desplazarlas explícitamente). Nunca se utiliza una sesión activa conectada desde otro dispositivo cliente. En su lugar, se inicia una nueva sesión.
• SameEndpointOnly: Un usuario obtiene una sesión única para cada dispositivo cliente que utiliza. Esto deshabilita completamente la itinerancia. Los usuarios solo pueden volver a conectarse al mismo dispositivo que se utilizó anteriormente en la sesión.

La propiedad “LeasingBehavior” se describe a continuación.

Efectos de otra configuración:

La inhabilitación de la itinerancia de sesión se ve afectada por el límite de aplicación Permitir solo una instancia de la aplicación por usuario en las propiedades de la aplicación en el grupo de entrega.

• Si inhabilita la itinerancia de sesión, inhabilite el límite de aplicación “Permitir solo una instancia…”.
• Si habilita el límite de aplicación “Permitir solo una instancia…”, no configure ninguno de los dos valores que permiten nuevas sesiones en nuevos dispositivos.

Intervalo de inicio de sesión

Si una máquina virtual que contiene un VDA de escritorio se cierra antes de que finalice el proceso de inicio de sesión, puede asignar más tiempo al proceso. El valor predeterminado para la versión 7.6 y posteriores es de 180 segundos (el valor predeterminado para las versiones 7.0-7.5 es de 90 segundos).

En la máquina (o en la imagen maestra utilizada en un catálogo de máquinas), establezca la siguiente clave de registro:

Clave: HKLM\SOFTWARE\Citrix\PortICA

• Valor: AutoLogonTimeout
• Tipo: DWORD
• Especifique un tiempo decimal en segundos, en el rango de 0 a 3600.

Si cambia una imagen maestra, actualice el catálogo.

Esta configuración se aplica solo a las máquinas virtuales con VDA de escritorio. Microsoft controla el tiempo de espera de inicio de sesión en máquinas con VDA de servidor.