Configurar Citrix Gateways

Usa Citrix Gateways para proporcionar autenticación y acceso remoto a StoreFront y a tus Virtual Delivery Agents (VDA). Citrix Gateways se ejecutan en dispositivos NetScaler ADC de hardware o software. Citrix Gateway Service lo administra Citrix y se puede usar para el enrutamiento HDX, pero no para la autenticación ni el acceso remoto a StoreFront.

Para obtener más información sobre cómo configurar tu Gateway, consulta Integrar NetScaler Gateway con StoreFront.

Debes configurar tu gateway en StoreFront antes de que StoreFront permita el acceso a través de ese gateway.

Ver Gateways

Para ver los gateways configurados en StoreFront, selecciona el nodo Almacenes en el panel izquierdo de la consola de administración de Citrix StoreFront y, a continuación, haz clic en Administrar Citrix Gateways. Esto muestra la ventana Administrar Citrix Gateways.

PowerShell

Para obtener una lista de gateways y su configuración, llama a Get-STFRoamingGateway.

Agregar dispositivo Citrix Gateway

1. En la ventana Administrar Citrix Gateways, haz clic en Agregar.

2. En la ficha Configuración general, introduce la configuración y, a continuación, pulsa Siguiente.

   • Especifica un Nombre para mostrar para la implementación de Citrix Gateway que ayudará a los usuarios a identificarla.

     Los usuarios ven el nombre para mostrar que especificas en la aplicación Citrix Workspace, así que incluye información relevante en el nombre para ayudar a los usuarios a decidir si usar esa implementación. Por ejemplo, puedes incluir la ubicación geográfica en los nombres para mostrar de tus implementaciones de Citrix Gateway para que los usuarios puedan identificar fácilmente la implementación más conveniente para su ubicación.

   • Establece el Tipo de Gateway en Dispositivo Citrix Gateway.

   • Introduce la URL del gateway.

     El nombre de dominio completo (FQDN) de tu implementación de StoreFront debe ser único y diferente del FQDN del servidor virtual de Citrix Gateway. No se admite el uso del mismo FQDN para StoreFront y el servidor virtual de Citrix Gateway. El gateway agrega la URL al encabezado HTTP X-Citrix-Via. StoreFront usa este encabezado para determinar qué gateway se está usando.

     Con la GUI, solo es posible agregar una única URL de gateway. Si se puede acceder a un gateway mediante varias URL, debes agregar el mismo gateway dos veces con una configuración idéntica, excepto la URL. Para simplificar la configuración, puedes configurar una URL secundaria que se use para acceder al gateway. Esta opción no está disponible mediante la GUI, por lo que debes configurarla mediante PowerShell. Debes cerrar la consola de administración antes de ejecutar cualquier comando de PowerShell. Por ejemplo, si tienes varios gateways detrás de un balanceador de carga de servidor global, normalmente es útil agregar tanto la URL de GSLB como una URL que se pueda usar para acceder a cada gateway regional específico, por ejemplo, para fines de prueba o solución de problemas. Una vez que hayas creado el gateway, puedes agregar una URL adicional mediante Set-STFRoamingGateway, usando el parámetro -GSLBurl para la URL secundaria. Aunque el parámetro se llama GSLBurl, se puede usar para cualquier situación en la que desees agregar una segunda URL. Por ejemplo:

      Set-STFRoamingGateway -Name "Europe Gateway" -GSLBurl "eugateway.example.com" -GatewayUrl "gslb.example.com"
     <!--NeedCopy-->
     

     Nota:

     De forma contraintuitiva en este ejemplo, el parámetro GSLBurl contiene la URL regional, mientras que el parámetro GatewayUrl contiene la URL de GSLB. Para la mayoría de los propósitos, las URL se tratan de forma idéntica y, si solo se accede al almacén a través de un explorador web, se pueden configurar de cualquier manera. Sin embargo, al acceder a StoreFront a través de la aplicación Citrix Workspace, esta lee la GatewayUrl de StoreFront y, posteriormente, la usa para el acceso remoto, y es preferible que esté configurada para conectarse siempre a la URL de GSLB.

     Si necesitas más de dos URL, deberás configurarlas como un gateway independiente.

   • Selecciona el Uso o rol:

     Uso o rol	Descripción
     Autenticación y enrutamiento HDX	Usa el gateway tanto para proporcionar acceso remoto a StoreFront como para acceder a los VDA.
     Solo autenticación	Selecciona esta opción si el gateway se usa solo para el acceso remoto a StoreFront. Esta opción impide que el iniciador de Citrix Workspace funcione. Por lo tanto, si necesitas usar inicios híbridos, elige Autenticación y enrutamiento HDX incluso cuando el gateway solo se use para la autenticación.
     Solo enrutamiento HDX	Selecciona esta opción si el gateway se usa solo para proporcionar acceso HDX a los VDA, por ejemplo, en un sitio que no tiene una instancia de StoreFront.

   

3. Rellena la configuración en la ficha Autoridad de emisión de tickets seguros.

   La autoridad de emisión de tickets seguros emite tickets de sesión en respuesta a las solicitudes de conexión. Estos tickets de sesión forman la base de la autenticación y autorización para la detección de la aplicación Citrix Workspace y el acceso a los VDA.

   • Introduce una o varias URL de servidor de la Autoridad de emisión de tickets seguros.

     • Si usas Citrix Virtual Apps and Desktops™, puedes usar los controladores de entrega como servidores STA.
     • Si usas Citrix Desktop as a Service, puedes usar tus conectores de la nube como servidores STA. Estos actúan como proxy de las solicitudes a la Autoridad de emisión de tickets de Citrix Cloud™ o, cuando están en modo LHC, generan sus propios tickets. En el futuro, esto cambiará para que siempre generen sus propios tickets para mejorar la resistencia.
     • Se recomienda usar al menos 2 servidores STA para la redundancia.
     • Cuando uses conectores de la nube como servidores STA, se recomienda que incluyas todos los conectores de la nube en al menos una ubicación de recursos. En primer lugar, dentro de una ubicación de recursos, Citrix Cloud garantiza que solo se actualice un conector de la nube a la vez, por lo que incluir todos los conectores garantiza que siempre haya al menos un conector que no se esté actualizando. En segundo lugar, si la ubicación de recursos entra en modo LHC, solo el conector de la nube designado como “agente elegido” puede emitir tickets STA. Como no puedes saber de antemano qué conector será, incluye todos los conectores de la nube en la ubicación de recursos.
     • Asegúrate de que todos los servidores STA enumerados en StoreFront también estén enumerados como servidores STA en el servidor virtual de Citrix Gateway. Si falta algún servidor en Citrix Gateway, esto puede provocar que los inicios fallen. Hoy en día, cuando se usan conectores de la nube como STA, esto puede no ser evidente en el uso normal, ya que cualquier conector se puede usar para canjear tickets de la Autoridad de emisión de tickets de Citrix Cloud. Sin embargo, en el modo de caché de host local, el conector genera sus propios tickets y, en el futuro, este será el comportamiento predeterminado.
     • El Delivery Controller o el conector de la nube se pueden configurar para que StoreFront deba incluir una clave de seguridad. No es posible agregar claves de seguridad mediante la GUI; consulta el paso posterior para agregarlas mediante PowerShell.

   • Selecciona Equilibrar la carga de varios servidores STA para distribuir las solicitudes entre los servidores STA. Si se desactiva, StoreFront intentará usar los servidores en el orden en que aparecen.

   • Si StoreFront no puede comunicarse con un servidor STA, evita usar ese servidor durante un período de tiempo. De forma predeterminada, es 1 hora, pero puedes personalizar este valor.

   • Si quieres que Citrix Virtual Apps and Desktops mantenga las sesiones desconectadas abiertas mientras la aplicación Citrix Workspace intenta volver a conectarse automáticamente, selecciona Habilitar fiabilidad de la sesión.

   • Si configuraste varias STA, selecciona opcionalmente Solicitar tickets de dos STA, si están disponibles.

     Cuando se selecciona Solicitar tickets de dos STA, si están disponibles, StoreFront obtiene tickets de sesión de dos STA diferentes para que las sesiones de usuario no se interrumpan si una STA deja de estar disponible durante el transcurso de la sesión. Si, por alguna razón, StoreFront no puede comunicarse con dos STA, recurre al uso de una sola STA.

   

   Una vez que hayas terminado de rellenar la configuración, pulsa Siguiente.

4. Rellena la configuración en la ficha Configuración de autenticación.

   • Elige la versión de NetScaler®.

   • Si hay varios gateways con la misma URL (normalmente cuando se usa un balanceador de carga de servidor global) y has introducido una URL de devolución de llamada, debes introducir el VIP del gateway. Esto permite a StoreFront determinar de qué gateway proviene la solicitud y, por lo tanto, a qué servidor comunicarse mediante la URL de devolución de llamada. De lo contrario, puedes dejarlo en blanco.

   • En la lista Tipo de inicio de sesión, selecciona el método de autenticación que configuraste en el dispositivo para los usuarios de la aplicación Citrix Workspace.

   La información que proporcionas sobre la configuración de tu dispositivo Citrix Gateway se agrega al archivo de aprovisionamiento del almacén. Esto permite que la aplicación Citrix Workspace envíe la solicitud de conexión adecuada al comunicarse con el dispositivo por primera vez.

   • Para la autenticación LDAP, selecciona Dominio.
   • Para la autenticación OTP nativa, selecciona Token de seguridad.
   • Para la autenticación LDAP más OTP, selecciona Dominio y token de seguridad.
   • Para la autenticación OTP mediante mensaje de texto, selecciona Autenticación por SMS.
   • Para la autenticación por certificado, selecciona Tarjeta inteligente.
   • Para la autenticación SAML, selecciona Dominio.
   • Para la autenticación OIDC, selecciona Dominio.

   Si configuras la autenticación con tarjeta inteligente con un método de autenticación secundario al que los usuarios puedan recurrir si experimentan algún problema con sus tarjetas inteligentes, selecciona el método de autenticación secundario en la lista de alternativa de tarjeta inteligente.

   • Opcionalmente, introduce la URL accesible internamente del gateway en el cuadro URL de devolución de llamada. Esto permite a StoreFront comunicarse con el servicio de autenticación de Citrix Gateway para verificar que las solicitudes recibidas de Citrix Gateway se originan en ese dispositivo. Es necesario para el acceso inteligente y para escenarios de autenticación sin contraseña, como la tarjeta inteligente o SAML; de lo contrario, puedes dejarlo en blanco. Si tienes varios Citrix Gateways con la misma URL, esta URL debe ser para el servidor de gateway específico.

   

   Una vez que hayas terminado de rellenar la configuración, pulsa Siguiente.

5. Haz clic en Crear para aplicar la configuración.

   

6. Una vez aplicada la implementación, haz clic en Finalizar.

7. Si has configurado Claves de seguridad (recomendado), debes cerrar la consola de administración y configurarlas mediante PowerShell. Por ejemplo:

   $gateway = Get-STFRoamingGateway -Name [Gateway name]
   $sta1 = New-STFSecureTicketAuthority -StaUrl [STA1 URL] -StaValidationEnabled $true -StaValidationSecret [secret]
   $sta2 = New-STFSecureTicketAuthority -StaUrl [STA2 URL] -StaValidationEnabled $true -StaValidationSecret [secret]
   Set-STFRoamingGateway -Gateway $gateway -SecureTicketAuthorityObjs $sta1,$sta2
   <!--NeedCopy-->
   

8. Para permitir que los usuarios accedan a tus almacenes a través del Gateway, configura el acceso remoto de usuarios.

9. De forma predeterminada, StoreFront usa el gateway que autenticó al usuario para el enrutamiento HDX a sus recursos. Opcionalmente, puedes configurar StoreFront para que use el gateway al acceder a recursos específicos mediante el enrutamiento HDX óptimo.

PowerShell

Para agregar un gateway mediante PowerShell, ejecuta el cmdlet New-STFRoamingGateway.

Agregar Citrix Gateway Service

Si has habilitado Citrix Gateway Service para StoreFront en Citrix Cloud, debes configurarlo como un gateway en StoreFront.

1. En la ventana Administrar Citrix Gateways, haz clic en Agregar.

2. En la ficha Configuración general, introduce la configuración y, a continuación, pulsa Siguiente.

   • Especifica un Nombre para mostrar para la implementación de Citrix Gateway que ayudará a los usuarios a identificarla.

     Los usuarios ven el nombre para mostrar que especificas en la aplicación Citrix Workspace, así que incluye información relevante en el nombre para ayudar a los usuarios a decidir si usar esa implementación. Por ejemplo, puedes incluir la ubicación geográfica en los nombres para mostrar de tus implementaciones de Citrix Gateway para que los usuarios puedan identificar fácilmente la implementación más conveniente para su ubicación.

   • Establece el Tipo de Gateway en Citrix Gateway Service. Esto hace que el Uso o rol se establezca en Solo enrutamiento HDX™ y deshabilita la URL de Citrix Gateway.

   • Opcionalmente, introduce una URL de Citrix Gateway Service. Si la URL se deja en blanco, usa la URL comercial predeterminada https://global.g.nssvc.net, que elige el punto de presencia óptimo para la ubicación del usuario. Si deseas usar una región de gateway específica, por ejemplo, para una región en particular, puedes introducir su URL aquí. Para obtener una lista de las URL de servicio de gateway disponibles, consulta la documentación de Citrix Gateway Service.

   • Si has introducido una URL de Citrix Gateway Service, también debes introducir la URL de Citrix Gateway Service (modo de conector STA) correspondiente. Esto especifica la URL del servicio de gateway que se usará cuando el conector de la nube no pueda comunicarse con Citrix Cloud, por lo que emite sus propios tickets STA. Si la URL se deja en blanco, usa la URL predeterminada https://global-s.g.nssvc.net.

   

3. Rellena la configuración en la ficha Conectores de la nube.

   Los conectores de la nube permiten a StoreFront comunicarse con Citrix Cloud para buscar la configuración de Gateway y con la autoridad de emisión de tickets de la nube para solicitar tickets de sesión.

   • Introduce al menos una URL de servidor de conector de la nube.

     StoreFront llama a estos conectores de la nube para recuperar tickets STA que la aplicación Citrix Workspace puede usar para autenticar solicitudes a través de . En funcionamiento normal, los conectores de la nube actúan como proxy de las solicitudes a la Autoridad de emisión de tickets de Citrix Cloud o, cuando están en modo LHC, generan sus propios tickets. En el futuro, esto cambiará para que siempre generen sus propios tickets para mejorar la resistencia.

     • Se recomienda que incluyas varios conectores de la nube en la misma ubicación de recursos, ya que solo se actualiza un conector de la nube a la vez en cada ubicación de recursos, lo que garantiza que al menos un conector de la nube esté siempre disponible. Para una mayor redundancia, agrega conectores de la nube en varias ubicaciones de recursos.
     • Asegúrate de que todos los conectores de la nube enumerados en StoreFront también estén enumerados como servidores STA en el servidor virtual de Citrix Gateway. Si falta algún servidor en Citrix Gateway, esto puede provocar que los inicios fallen. Hoy en día, esto puede no ser evidente en el uso normal, ya que cualquier conector se puede usar para canjear tickets de la Autoridad de emisión de tickets de Citrix Cloud. Sin embargo, en el modo de caché de host local, el conector genera sus propios tickets y, en el futuro, este será el comportamiento predeterminado.
     • El conector de la nube se puede configurar para que StoreFront deba incluir una clave de seguridad. No es posible agregar claves de seguridad mediante la GUI; consulta el paso posterior para agregarlas mediante PowerShell.

   • Selecciona Equilibrar la carga de varios servidores para distribuir las solicitudes entre los servidores. Si se desactiva, StoreFront intentará usar los servidores en el orden en que aparecen.

   • Si StoreFront no puede comunicarse con un servidor, evita usar ese servidor durante un período de tiempo. De forma predeterminada, es 1 hora, pero puedes personalizar este valor.

   • Opcionalmente, selecciona Habilitar fiabilidad de la sesión.

   • Opcionalmente, selecciona Solicitar tickets de dos conectores de la nube, si están disponibles.

   

   Una vez que hayas terminado de rellenar la configuración, selecciona Siguiente.

4. Selecciona Crear para aplicar la configuración.

   

5. Una vez aplicada la implementación, selecciona Finalizar.

6. Si has configurado Claves de seguridad (recomendado), debes cerrar la consola de administración y configurarlas mediante PowerShell. Por ejemplo:

   $gateway = Get-STFRoamingGateway -Name [Gateway name]
   $sta1 = New-STFSecureTicketAuthority -StaUrl [STA1 URL] -StaValidationEnabled $true -StaValidationSecret [secret]
   $sta2 = New-STFSecureTicketAuthority -StaUrl [STA2 URL] -StaValidationEnabled $true -StaValidationSecret [secret]
   Set-STFRoamingGateway -Gateway $gateway -SecureTicketAuthorityObjs $sta1,$sta2
   <!--NeedCopy-->
   

7. De forma predeterminada, StoreFront usa el mismo gateway para acceder a los recursos que se usó para autenticar, por lo que el servicio Citrix Gateway nunca se usa. Debes usar el enrutamiento HDX óptimo para configurar cuándo StoreFront debe usar Citrix Gateway Service.

PowerShell

Para agregar un gateway mediante PowerShell, ejecuta el cmdlet New-STFRoamingGateway, estableciendo -IsCloudGateway $true.

Modificar Citrix Gateway

1. En la ventana Administrar Citrix Gateways, haz clic en el gateway que deseas cambiar y pulsa Modificar.

   Para obtener una descripción de los parámetros, consulta Agregar dispositivo Citrix Gateway.

2. Pulsa Guardar para guardar los cambios.

PowerShell

Para modificar la configuración del gateway mediante PowerShell, ejecuta el cmdlet Set-STFRoamingGateway.

Quitar Citrix Gateway

1. En la ventana Administrar Citrix Gateways, haz clic en el gateway que deseas cambiar y pulsa Quitar.

2. En la ventana de confirmación, pulsa Sí.

PowerShell

Para quitar el gateway mediante PowerShell, ejecuta el cmdlet Remove-STFRoamingGateway.