Citrix Gateway y XenMobile®

Last published : Oct 21, 2026
Al configurar Citrix Gateway con XenMobile, se establece el mecanismo de autenticación para el acceso de dispositivos remotos a la red interna. Esta funcionalidad permite que las aplicaciones de un dispositivo móvil accedan a los servidores corporativos de la intranet. XenMobile crea una micro VPN desde las aplicaciones del dispositivo hasta Citrix Gateway.
Citrix Gateway se configura para usar con XenMobile exportando un script desde XenMobile que se ejecuta en Citrix Gateway.
Related information
Certificados y autenticación

Requisitos previos para usar el script de configuración de Citrix Gateway

Requisitos de Citrix ADC:
  • Citrix ADC (versión mínima 11.0, compilación 70.12).
  • La dirección IP de Citrix ADC está configurada y tiene conectividad con el servidor LDAP, a menos que LDAP esté equilibrado con carga.
  • La dirección IP de subred (SNIP) de Citrix ADC está configurada, tiene conectividad con los servidores back-end necesarios y tiene acceso a la red pública a través del puerto 8443/TCP.
  • DNS puede resolver dominios públicos.
  • Citrix ADC tiene licencia con licencias Platform/Universal o de prueba. Para obtener información, consulte <https://support.citrix.com/article/CTX126049>.
  • Se carga e instala un certificado SSL de Citrix Gateway en Citrix ADC. Para obtener información, consulte <https://support.citrix.com/article/CTX136023>.
Requisitos de XenMobile:
  • XenMobile Server (versión mínima 10.6).
  • El servidor LDAP está configurado.

Configurar la autenticación para el acceso de dispositivos remotos a la red interna

  1. En la consola de XenMobile, haga clic en el icono de engranaje en la esquina superior derecha de la consola. Aparece la página Configuración.
  2. En Servidor, haga clic en Citrix Gateway. Aparece la página Citrix Gateway. En el siguiente ejemplo, ya existe una instancia de Citrix Gateway.
    Pantalla de configuración de Citrix Gateway(/en-us/xenmobile/server/media/settings-citrix-gateway-added.png)
  3. Configure estos ajustes:
    • Autenticación: Seleccione si desea habilitar la autenticación. El valor predeterminado es ACTIVADO.
    • Entregar certificado de usuario para autenticación: Seleccione si desea que XenMobile comparta el certificado de autenticación con Secure Hub para permitir que Citrix Gateway gestione la autenticación de certificados de cliente. El valor predeterminado es DESACTIVADO.
    • Proveedor de credenciales: En la lista, haga clic en el proveedor de credenciales que desea utilizar. Para obtener más información, consulte Proveedores de credenciales.
  4. Haga clic en Guardar.

Agregar una instancia de Citrix Gateway

Después de guardar la configuración de autenticación, agregue una instancia de Citrix Gateway a XenMobile.
  1. En la consola de XenMobile, haga clic en el icono de engranaje en la esquina superior derecha de la consola. Se abre la página Configuración.
  2. En Servidor, haga clic en Citrix Gateway. Aparece la página Citrix Gateway.
  3. Haga clic en Agregar. Aparece la página Agregar nueva Citrix Gateway.
    Pantalla de configuración de Citrix Gateway(/en-us/xenmobile/server/media/settings-citrix-gateway-add.png)
  4. Configure estos ajustes:
    • Nombre: Escriba un nombre para la instancia de Citrix Gateway.
    • Alias: Opcionalmente, incluya un nombre de alias para Citrix Gateway.
    • URL externa: Escriba la URL de acceso público para Citrix Gateway. Por ejemplo, https://receiver.com.
    • Tipo de inicio de sesión: Elija un tipo de inicio de sesión. Los tipos incluyen Solo dominio, Solo token de seguridad, Dominio y token de seguridad, Certificado, Certificado y dominio y Certificado y token de seguridad. La configuración predeterminada del campo Contraseña obligatoria cambia en función del Tipo de inicio de sesión que seleccione. El valor predeterminado es Solo dominio.
    Si tiene varios dominios, utilice Certificado y dominio. Para obtener más información sobre cómo configurar la autenticación de varios dominios con XenMobile y Citrix Gateway, consulte Configurar la autenticación para varios dominios.
    Si utiliza Certificado y token de seguridad, se requiere una configuración adicional en Citrix Gateway para admitir Secure Hub. Para obtener más información, consulte Configurar XenMobile para la autenticación con certificado y token de seguridad.
    Para obtener más información, consulte Autenticación en la Guía de implementación.
    • Contraseña obligatoria: Seleccione si desea requerir la autenticación con contraseña. El valor predeterminado varía según el Tipo de inicio de sesión elegido.
    • Establecer como predeterminado: Seleccione si desea usar este Citrix Gateway como predeterminado. El valor predeterminado es DESACTIVADO.
    • Exportar script de configuración: Haga clic en el botón para exportar un paquete de configuración que cargará en Citrix Gateway para configurarlo con la configuración de XenMobile. Para obtener más información, consulte "Configurar un Citrix Gateway local para usarlo con XenMobile Server" después de estos pasos.
    • URL de devolución de llamada y IP virtual: Guarde la configuración antes de agregar estos campos. Para obtener más información, consulte Agregar una URL de devolución de llamada y una IP virtual de VPN de Citrix Gateway en este artículo.
  5. Haga clic en Guardar.
    El nuevo Citrix Gateway se agrega y aparece en la tabla. Para modificar o eliminar una instancia, haga clic en el nombre de la lista.

Configurar Citrix Gateway para usarlo con XenMobile Server

Para configurar un Citrix Gateway local para usarlo con XenMobile, realice los siguientes pasos generales, detallados en este artículo:
  1. Descargue un script y los archivos relacionados desde XenMobile Server. Consulte el archivo Léame proporcionado con el script para obtener las instrucciones detalladas más recientes.
  2. verificar que su entorno cumple los requisitos previos.
  3. Actualice el script para su entorno.
  4. Ejecute el script en Citrix ADC.
  5. Pruebe la configuración.
El script configura los siguientes ajustes de Citrix Gateway necesarios para XenMobile:
  • Servidores virtuales de Citrix Gateway necesarios para MDM y MAM
  • Directivas de sesión para los servidores virtuales de Citrix Gateway
  • Detalles de XenMobile Server
  • Directivas y acciones de autenticación para el servidor virtual de Citrix Gateway. El script describe la configuración de LDAP.
  • Acciones y directivas de tráfico para el servidor proxy
  • Perfil de acceso sin cliente
  • Registro DNS local estático en Citrix ADC
  • Otras vinculaciones: Directiva de servicio, certificado de CA
El script no gestiona la siguiente configuración:
  • Equilibrio de carga de Exchange
  • Equilibrio de carga de Citrix Files
  • Configuración de ICA® Proxy
  • Descarga SSL

Para descargar, actualizar y ejecutar el script

  1. Si va a agregar un Citrix Gateway, haga clic en Export Configuration Script en la página Add New Citrix Gateway.
    Pantalla de configuración de Citrix Gateway
    O, si agrega una instancia de Citrix Gateway y hace clic en Save antes de exportar el script: Vuelva a Settings > Citrix Gateway, seleccione el Citrix ADC, haga clic en Export Configuration Script y, a continuación, haga clic en Download.
    Pantalla de configuración de Citrix Gateway
    Después de hacer clic en Export Configuration Script, XenMobile crea un paquete de scripts .tar.gz. El paquete de scripts incluye:
    • Archivo Léame con instrucciones detalladas
    • Script que contiene los comandos de la CLI de Citrix ADC utilizados para configurar los componentes necesarios en Citrix ADC
    • Certificado de CA raíz pública y certificado de CA intermedia de XenMobile Server (estos certificados, para la descarga SSL, no son necesarios para la versión actual)
    • Script que contiene los comandos de la CLI de Citrix ADC utilizados para eliminar la configuración de Citrix ADC
  2. Edite el script (NSGConfigBundle_CREATESCRIPT.txt) para reemplazar todos los marcadores de posición con los detalles de su entorno.
    Archivo de script de ejemplo
  3. Ejecute el script editado en el shell bash de Citrix ADC, tal como se describe en el archivo Léame incluido en el paquete de scripts. Por ejemplo:
    /netscaler/nscli -U :<NetScaler Management Username>:<NetScaler Management Password> batch -f "/var/NSGConfigBundle_CREATESCRIPT.txt"
    Shell bash de Citrix ADC
    Cuando el script finalice, aparecerán las siguientes líneas.
    Shell bash de Citrix ADC

Probar la configuración

  1. Valide que el servidor virtual de Citrix Gateway muestre un estado de UP.
    Pantalla de configuración de Citrix ADC VPX
  2. Valide que el servidor virtual de equilibrio de carga del proxy muestre un estado de UP.
    Pantalla de configuración de Citrix ADC VPX
  3. Abra un explorador web, conéctese a la URL de Citrix Gateway e intente autenticarse. Si la autenticación falla, aparece este mensaje: HTTP Status 404 - Not Found
  4. Inscriba un dispositivo y asegúrese de que obtenga la inscripción MDM y MAM.

Agregar una URL de devolución de llamada y una IP virtual de VPN de Citrix Gateway

Después de agregar la instancia de Citrix Gateway, puede agregar una URL de devolución de llamada y especificar una dirección IP virtual de Citrix Gateway. Esta configuración es opcional, pero se puede configurar para mayor seguridad, especialmente cuando el servidor XenMobile se encuentra en la DMZ.
  1. En Settings > Citrix Gateway, seleccione Citrix Gateway y luego haga clic en Edit.
  2. En la tabla, haga clic en Add.
  3. Para Callback URL, escriba el nombre de dominio completo (FQDN). La URL de devolución de llamada verifica que una solicitud se originó en Citrix Gateway.
    Asegúrese de que la URL de devolución de llamada se resuelva en una dirección IP accesible desde el servidor XenMobile. La URL de devolución de llamada puede ser una URL externa de Citrix Gateway u otra URL.
  4. Escriba la dirección IP virtual de Citrix Gateway y luego haga clic en Guardar.

Configurar la autenticación para varios dominios

Si tiene varias instancias de XenMobile Server, como para entornos de prueba, desarrollo y producción, configure Citrix Gateway para los entornos adicionales manualmente. (Solo puede usar el asistente de Citrix ADC para XenMobile una vez).

Configuración de Citrix Gateway

Para configurar las políticas de autenticación de Citrix Gateway y una política de sesión para un entorno multidominio:
  1. En la utilidad de configuración de Citrix Gateway, en la pestaña Configuration, expanda Citrix Gateway > Policies > Authentication.
  2. En el panel de navegación, haga clic en LDAP.
  3. Haga clic para editar el perfil LDAP. Cambie el Server Logon Name Attribute a userPrincipalName o al atributo que desee usar para las búsquedas. Anote el atributo que especifique para tenerlo al configurar los ajustes de LDAP en la consola de XenMobile.
    Pantalla de configuración de Citrix Gateway
  4. Repita esos pasos para cada política LDAP. Se requiere una política LDAP separada para cada dominio.
  5. En la política de sesión vinculada al servidor virtual de Citrix Gateway, vaya a Edit session profile > Published Applications. Asegúrese de que Single Sign-On Domain esté en blanco.

Configuración de XenMobile Server

Para configurar LDAP para un entorno XenMobile multidominio:
  1. En la consola de XenMobile, vaya a Parámetros > LDAP y agregue o edite un directorio.
    Pantalla de configuración de LDAP de XenMobile
  2. Proporcione la información.
    • En Alias de dominio, especifique cada dominio que se utilizará para la autenticación de usuarios. Separe los dominios con una coma y no utilice espacios entre ellos. Por ejemplo: domain1.com,domain2.com,domain3.com
    • Asegúrese de que el campo Búsqueda de usuarios por coincida con el Atributo de nombre de inicio de sesión del servidor especificado en la directiva LDAP de Citrix Gateway.
    Pantalla de configuración de LDAP de XenMobile

Rechazar solicitudes de conexión entrantes a URL específicas

Si Citrix Gateway de su entorno está configurado para la descarga SSL, es posible que prefiera que el gateway rechace las solicitudes de conexión entrantes para URL específicas.
Si prefiere esa seguridad adicional, configure los dos servidores virtuales del equilibrador de carga MDM (uno para el puerto 443 y otro para el puerto 8443) en Citrix Gateway. Utilice la siguiente información como plantilla para su configuración.
Importante:
Las siguientes actualizaciones son solo para un Citrix Gateway configurado para la descarga SSL.
  1. Cree un conjunto de patrones con el nombre XMS_DropURLs.
    add policy patset XMS_DropURLs
  2. Agregue las siguientes URL al nuevo conjunto de patrones. Personalice esta lista según sea necesario.
    bind policy patset XMS_DropURLs /zdm/shp/console -index 6

    bind policy patset XMS_DropURLs /zdm/login_xdm_uc.jsp -index 5

    bind policy patset XMS_DropURLs /zdm/helper.jsp -index 4

    bind policy patset XMS_DropURLs /zdm/log.jsp -index 3

    bind policy patset XMS_DropURLs /zdm/login.jsp -index 2

    bind policy patset XMS_DropURLs /zdm/console -index 1
  3. Cree una política para descartar todo el tráfico a estas URL, a menos que la solicitud de conexión se origine en la subred especificada.
    add responder policy XMS_DROP_pol “CLIENT.IP.SRC.IN_SUBNET(192.168.0.0/24).NOT &&
    HTTP.REQ.URL.CONTAINS_ANY(”XMS_DropURLs”)” DROP -comment "Allow only subnet 192.168.0.0/24 to access these URLs. All other connections are DROPed"
  4. Enlace la nueva política a ambos servidores virtuales del equilibrador de carga de MDM (puertos 443 y 8443).
    bind lb vserver _XM_LB_MDM_XenMobileMDM_443 -policyName XMS_DROP_pol -priority 100 -gotoPriorityExpression END -type REQUEST

    bind lb vserver _XM_LB_MDM_XenMobileMDM_8443 -policyName XMS_DROP_pol -priority 100 -gotoPriorityExpression END -type REQUEST
  5. Bloquear el acceso a la URL de MAM a través del navegador
    Acceder a la URL de MAM directamente a través del navegador solicita a los usuarios que introduzcan sus credenciales de Active Directory. Aunque actúa como una herramienta para que los usuarios validen sus credenciales, algunos usuarios podrían considerarlo una violación de seguridad. La siguiente sección le ayuda a restringir el acceso del navegador a la URL de MAM (VIP de NetScaler® Gateway), utilizando la función Responder Policy en NetScaler.
    Cree una de las siguientes Responder Policy y enlácela a su servidor virtual de NetScaler Gateway:
    • add responder policy Resp_Brow_Pol "HTTP.REQ.HEADER(\"User-Agent\").CONTAINS(\"Mozilla\")&&HTTP.REQ.URL.PATH_AND_QUERY.EQ(\"/vpn/index.html\")" DROP
    • add responder policy Resp_Brow_Pol_CR "!HTTP.REQ.HEADER(\"User-Agent\").CONTAINS(\"CitrixReceiver\")&&HTTP.REQ.URL.PATH_AND_QUERY.EQ(\"/vpn/index.html\")" DROP
    • add responder policy Resp_Brow_Pol_CR "HTTP.REQ.HEADER(\"User-Agent\").CONTAINS(\"CitrixReceiver\").NOT&&HTTP.REQ.URL.PATH_AND_QUERY.EQ(\"/vpn/index.html\")" DROP
    Enlace al servidor virtual de NetScaler Gateway usando bind vpn vserver _XM_XenMobileGateway -policy Resp_Brow_Pol_CR -priority 100 -gotoPriorityExpression END -type REQUEST
    Nota:
    _XM_XenMobileGateway es un nombre de ejemplo de un servidor virtual de NetScaler Gateway.