Conector de Citrix Gateway™ para Exchange ActiveSync

Last published : Oct 21, 2026
XenMobile Citrix ADC Connector ahora es un conector de Citrix Gateway para Exchange ActiveSync. Para obtener más detalles sobre el portfolio unificado de Citrix, consulte la guía de productos de Citrix.
El conector para Exchange ActiveSync proporciona un servicio de autorización a nivel de dispositivo de clientes de ActiveSync a Citrix ADC, que actúa como proxy inverso para el protocolo Exchange ActiveSync. La autorización se controla mediante una combinación de directivas que se definen en XenMobile® y mediante reglas definidas localmente por el conector de Citrix Gateway para Exchange ActiveSync.
Para obtener más información, consulte ActiveSync Gateway.
Para ver un diagrama de arquitectura de referencia detallado, consulte Architecture.
La versión actual del conector de Citrix Gateway para Exchange ActiveSync es la versión 8.5.2.
Importante:
A partir de octubre de 2022, los conectores de Endpoint Management y Citrix Gateway para Exchange ActiveSync ya no son compatibles con Exchange Online debido a los cambios de autenticación anunciados por Microsoft aquí. El conector de Endpoint Management para Exchange sigue funcionando con Microsoft Exchange Server (local).

Novedades

Las siguientes secciones enumeran las novedades de las versiones actuales y anteriores del conector de Citrix Gateway para Exchange ActiveSync, anteriormente XenMobile Citrix ADC Connector.

Novedades de la versión 8.5.3

  • Esta versión añade compatibilidad con los protocolos ActiveSync 16.0 y 16.1.
  • Se han añadido más detalles a los análisis enviados a Google Analytics, especialmente en lo que respecta a las instantáneas.

Novedades de la versión 8.5.2

  • XenMobile Citrix ADC Connector ahora es un conector de Citrix Gateway para Exchange ActiveSync.
Los siguientes problemas se han corregido en esta versión:
  • Si se utiliza más de un criterio para definir una regla de directiva y uno de los criterios implica el ID de usuario, puede ocurrir el siguiente problema: Si un usuario tiene más alias, los alias tampoco se comprueban al aplicar la regla.
Nota:
La siguiente sección Novedades se refiere al conector de Citrix Gateway para Exchange ActiveSync por su antiguo nombre, Conector Citrix ADC de XenMobile. El nombre cambió a partir de la versión 8.5.2.

Novedades de la versión 8.5.1.11

  • Cambio en los requisitos del sistema: La versión actual del conector Citrix ADC requiere Microsoft .NET Framework 4.5.
  • Compatibilidad con Google Analytics: Queremos saber cómo utiliza un conector Citrix ADC de XenMobile para poder centrarnos en cómo mejorar el producto.
  • Compatibilidad con TLS 1.1 y 1.2: Debido al debilitamiento de su seguridad, el Consejo de PCI está dejando de usar TLS 1.0. Se ha añadido compatibilidad con TLS 1.1 y 1.2 al conector Citrix ADC de XenMobile.

Supervisar el conector de Citrix Gateway para Exchange ActiveSync

La utilidad de configuración del conector de Citrix Gateway para Exchange ActiveSync proporciona un registro detallado que puede utilizar para ver todo el tráfico que pasa por su servidor Exchange y que Secure Mobile Gateway permite o bloquea.
Utilice la ficha Registro para ver el historial de las solicitudes de ActiveSync reenviadas al conector para Exchange ActiveSync por Citrix ADC para su autorización.
Además, para asegurarse de que el servicio web del conector de Citrix Gateway para Exchange ActiveSync se está ejecutando, cargue la siguiente URL en un explorador en el servidor del conector https://<host:port>/services/ActiveSync/Version. Si la URL devuelve la versión del producto como una cadena, el servicio web responde.

Para simular el tráfico de ActiveSync con el conector de Citrix Gateway para Exchange ActiveSync

Puede utilizar el conector de Citrix Gateway para Exchange ActiveSync para simular el aspecto del tráfico de ActiveSync con sus directivas. En la utilidad de configuración del conector, seleccione la ficha Simulador. Los resultados le muestran cómo se aplican sus directivas según las reglas que haya configurado.

Elegir filtros para el conector de Citrix Gateway para Exchange ActiveSync

Los filtros del conector de Citrix Gateway para Exchange ActiveSync funcionan analizando un dispositivo en busca de una infracción de política o una configuración de propiedad determinada. Si el dispositivo cumple los criterios, se coloca en una Lista de dispositivos. Esta Lista de dispositivos no es una lista de permitidos ni una lista de bloqueados. Es una lista de dispositivos que cumplen los criterios definidos. Los siguientes filtros están disponibles para el conector dentro de XenMobile. Las dos opciones para cada filtro son Permitir o Denegar.
  • Dispositivos anónimos: Permite o deniega dispositivos inscritos en XenMobile, pero cuya identidad de usuario es desconocida. Por ejemplo, podría ser un usuario que se inscribió, pero cuya contraseña de Active Directory ha caducado, o un usuario que se inscribió con credenciales desconocidas.
  • Atestación de Samsung KNOX fallida: Los dispositivos Samsung tienen funcionalidades de seguridad y diagnóstico. Este filtro confirma que el dispositivo está configurado para KNOX. Para obtener más información, consulte Samsung Knox.
  • Aplicaciones prohibidas: Permite o deniega dispositivos según la Lista de dispositivos definida por las directivas de lista de bloqueados y la presencia de aplicaciones bloqueadas.
  • Permitir/Denegar implícito: Crea una Lista de dispositivos de todos los dispositivos que no cumplen ninguno de los demás criterios de reglas de filtro y permite o deniega según esa lista. La opción Permitir/Denegar implícito garantiza que el estado del conector de Citrix Gateway para Exchange ActiveSync en la ficha Dispositivos esté habilitado y muestre el estado del conector para sus dispositivos. La opción Permitir/Denegar implícito también controla todos los demás filtros del conector que no se han seleccionado. Por ejemplo, el conector deniega las aplicaciones bloqueadas, pero permite todos los demás filtros porque la opción Permitir/Denegar implícito está configurada en Permitir.
  • Dispositivos inactivos: Crea una Lista de dispositivos de los dispositivos que no se han comunicado con XenMobile en un tiempo especificado. Estos dispositivos se consideran inactivos. El filtro permite o deniega los dispositivos según corresponda.
  • Aplicaciones obligatorias que faltan: Cuando un usuario se inscribe, recibe una lista de aplicaciones obligatorias que deben instalarse. El filtro de aplicaciones obligatorias que faltan indica que una o varias de las aplicaciones ya no están presentes; por ejemplo, el usuario eliminó una o varias aplicaciones.
  • Aplicaciones no sugeridas: Cuando un usuario se inscribe, recibe una lista de las aplicaciones que debe instalar. El filtro de aplicaciones no sugeridas comprueba el dispositivo en busca de aplicaciones que no estén en esa lista.
  • Contraseña no conforme: Crea una Lista de dispositivos de todos los dispositivos que no tienen un código de acceso en el dispositivo.
  • Dispositivos no conformes: Le permite denegar o permitir dispositivos que cumplen sus propios criterios internos de cumplimiento de TI. La conformidad es una configuración arbitraria definida por la propiedad del dispositivo denominada No conforme, que es un indicador booleano que puede ser Verdadero o Falso. (Puede crear esta propiedad manualmente y establecer el valor, o puede usar Acciones automatizadas para crear esta propiedad en un dispositivo si el dispositivo cumple o no criterios específicos).
    • No conforme = Verdadero. Si un dispositivo no cumple los estándares de conformidad y las definiciones de directivas establecidas por su departamento de TI, el dispositivo no es conforme.
    • No conforme = Falso. Si un dispositivo cumple los estándares de conformidad y las definiciones de directivas establecidas por su departamento de TI, el dispositivo es conforme.
  • Estado revocado: Crea una Lista de dispositivos de todos los dispositivos revocados y permite o deniega según el estado de revocación.
  • Dispositivos Android rooteados/iOS con jailbreak. Crea una Lista de dispositivos de todos los dispositivos marcados como rooteados y permite o deniega según el estado de rooteo.
  • Dispositivos no administrados. Crea una Lista de dispositivos de todos los dispositivos de la base de datos de XenMobile. El Mobile Application Gateway debe implementarse en modo de bloqueo.

Para configurar una conexión al conector de Citrix Gateway para Exchange ActiveSync

El conector de Citrix Gateway para Exchange ActiveSync se comunica con XenMobile y otros proveedores de configuración remota a través de servicios web seguros.
  1. En la utilidad de configuración del conector, haga clic en la ficha Config Providers y, a continuación, haga clic en Add.
  2. En el cuadro de diálogo Config Providers, en Name, introduzca un nombre de usuario que tenga privilegios administrativos y que se utilice para la autorización HTTP básica con el servidor XenMobile.
  3. En Url, introduzca la dirección web del GCS de XenMobile, normalmente con el formato https://<FQDN>/<instanceName>/services/<MagConfigService>. El nombre MagConfigService distingue entre mayúsculas y minúsculas.
  4. En Password, introduzca la contraseña que se utiliza para la autorización HTTP básica con el servidor XenMobile.
  5. En Managing Host, introduzca el nombre del servidor del conector.
  6. En Baseline Interval, especifique un período de tiempo para cuando se extrae un nuevo conjunto de reglas dinámicas actualizado de Device Manager.
  7. En Delta interval, especifique un período de tiempo para cuando se extrae una actualización de las reglas dinámicas.
  8. En Request Timeout, especifique el intervalo de tiempo de espera de la solicitud del servidor.
  9. En Config Provider, seleccione si la instancia del servidor del proveedor de configuración está proporcionando la configuración de la directiva.
  10. En Events Enabled, habilite esta opción si desea que el conector notifique a XenMobile cuando se bloquea un dispositivo. Esta opción es necesaria si utiliza las reglas del conector en cualquiera de sus acciones automatizadas de XenMobile.
  11. Haga clic en Save y, a continuación, haga clic en Test Connectivity para probar la conectividad de la puerta de enlace al proveedor de configuración. Si la conexión falla, compruebe que la configuración del firewall local permite la conexión o póngase en contacto con su administrador.
  12. Cuando la conexión se realice correctamente, desactive la casilla de verificación Disabled y, a continuación, haga clic en Save.
Cuando se agrega un nuevo proveedor de configuración, el conector de Citrix Gateway para Exchange ActiveSync crea automáticamente una o varias directivas asociadas con el proveedor. Estas directivas se definen mediante una definición de plantilla contenida en config\policyTemplates.xml en la sección NewPolicyTemplate. Para cada elemento de directiva definido dentro de esta sección, se crea una nueva directiva.
El operador podría añadir, eliminar o modificar elementos de directiva si se cumple lo siguiente: El elemento de directiva se ajusta a la definición del esquema y las cadenas de sustitución estándar (entre llaves) no se modifican. A continuación, añada nuevos grupos para el proveedor y actualice la directiva para incluir los nuevos grupos.

Para importar una directiva de XenMobile

  1. En la utilidad de configuración de Citrix Gateway connector para Exchange ActiveSync, haga clic en la ficha Config Providers y, a continuación, en Add.
  2. En el cuadro de diálogo Config Providers, en Name, introduzca un nombre de usuario que se utilice para la autorización HTTP básica con el servidor XenMobile y que tenga privilegios administrativos.
  3. En Url, introduzca la dirección web del servicio de configuración de XenMobile Gateway (GCS), normalmente en el formato https://<xdmHost>/xdm/services/<MagConfigService>. El nombre MagConfigService distingue entre mayúsculas y minúsculas.
  4. En Password, introduzca la contraseña que se utiliza para la autorización HTTP básica con el servidor XenMobile.
  5. Haga clic en Test Connectivity para probar la conectividad del proveedor de configuración a la puerta de enlace. Si la conexión falla, compruebe que la configuración del firewall local permite la conexión o consulte a su administrador.
  6. Cuando se establezca correctamente una conexión, desactive la casilla de verificación Disabled y, a continuación, haga clic en Save.
  7. En Managing Host, deje el nombre DNS predeterminado del equipo host local. Esta configuración se utilizaba para coordinar la comunicación con XenMobile cuando varios servidores Forefront Threat Management Gateway (TMG) están configurados en una matriz.
    Después de guardar la configuración, abra el GCS.

Configuración del modo de directiva de Citrix Gateway connector para Exchange ActiveSync

El Citrix Gateway connector para Exchange ActiveSync puede ejecutarse en los seis modos siguientes:
  • Permitir todo. Este modo de directiva concede acceso a todo el tráfico que pasa por el conector. No se utilizan otras reglas de filtrado.
  • Denegar todo. Este modo de directiva bloquea el acceso a todo el tráfico que pasa por el conector. No se utilizan otras reglas de filtrado.
  • Reglas estáticas: Modo de bloqueo. Este modo de directiva ejecuta reglas estáticas con una instrucción implícita de denegación o bloqueo al final. El conector bloquea los dispositivos que no están permitidos o autorizados a través de otras reglas de filtro.
  • Reglas estáticas: Modo de permiso. Este modo de política ejecuta reglas estáticas con una declaración implícita de permiso o autorización al final. Los dispositivos que no están bloqueados o denegados a través de otras reglas de filtro se permiten a través del conector.
  • Reglas estáticas + ZDM: Modo de bloqueo. Este modo de política ejecuta primero las reglas estáticas, seguidas de las reglas dinámicas de XenMobile con una declaración implícita de denegación o bloqueo al final. Los dispositivos se permiten o deniegan según los filtros definidos y las reglas de Device Manager. Cualquier dispositivo que no coincida con los filtros y reglas definidos se bloquea.
  • Reglas estáticas + ZDM: Modo de permiso. Este modo de política ejecuta primero las reglas estáticas, seguidas de las reglas dinámicas de XenMobile con una declaración implícita de permiso o autorización al final. Los dispositivos se permiten o deniegan según los filtros definidos y las reglas de XenMobile. Cualquier dispositivo que no coincida con los filtros y reglas definidos se permite.
El conector de Citrix Gateway para Exchange ActiveSync permite o bloquea las reglas dinámicas basándose en los ID de ActiveSync únicos para dispositivos móviles iOS y basados en Windows recibidos de XenMobile. Los dispositivos Android difieren en su comportamiento según el fabricante y algunos no exponen fácilmente un ID de ActiveSync único. Para compensar, XenMobile envía información de ID de usuario para dispositivos Android para tomar una decisión de permiso o bloqueo. Como resultado, si un usuario tiene un solo dispositivo Android, los permisos y bloqueos funcionan normalmente. Si el usuario tiene varios dispositivos Android, todos los dispositivos se permiten porque los dispositivos Android no se pueden diferenciar. Puede configurar el gateway para bloquear estáticamente estos dispositivos por ActiveSyncID, si se conocen. También puede configurar el gateway para bloquear según el tipo de dispositivo o el agente de usuario.
Para especificar el modo de política, en la utilidad de configuración del controlador SMG, haga lo siguiente:
  1. Haga clic en la ficha Filtros de ruta y, a continuación, haga clic en Agregar.
  2. En el cuadro de diálogo Propiedades de ruta, seleccione un modo de política de la lista Política y, a continuación, haga clic en Guardar.
Puede revisar las reglas en la ficha Directivas de la utilidad de configuración. Las reglas se procesan en el conector de Citrix Gateway para Exchange ActiveSync de arriba a abajo. Las directivas de permiso se muestran con una marca de verificación verde. Las directivas de denegación se muestran como un círculo rojo con una línea que lo atraviesa. Para actualizar la pantalla y ver las reglas más recientes, haga clic en Actualizar. También puede modificar el orden de las reglas en el archivo config.xml.
Para probar las reglas, haga clic en la ficha Simulador. Especifique los valores en los campos. Estos también se pueden obtener de los registros. Aparece un mensaje de resultado que especifica Permitir o Bloquear.

Para configurar reglas estáticas

Introduzca reglas estáticas con valores que lee el filtrado ISAPI de las solicitudes HTTP de conexión de ActiveSync. Las reglas estáticas permiten al conector de Citrix Gateway para Exchange ActiveSync permitir o bloquear el tráfico según los siguientes criterios:
  • Usuario: El conector de Citrix Gateway para Exchange ActiveSync utiliza el valor de usuario autorizado y la estructura de nombres que se capturó durante la inscripción del dispositivo. Esto se encuentra comúnmente como dominio\nombre de usuario, tal como lo referencia el servidor que ejecuta XenMobile conectado a Active Directory a través de LDAP. La ficha Registro de la utilidad de configuración del conector muestra los valores que se pasan a través del conector. Los valores se pasan si la estructura de valores debe determinarse o es diferente.
  • ID de dispositivo (ActiveSyncID): También conocido como el ActiveSyncID del dispositivo conectado. Este valor se encuentra comúnmente en la página de propiedades específicas del dispositivo en la consola de XenMobile. Este valor también se puede ver en la ficha Registro de la utilidad de configuración del conector.
  • Tipo de dispositivo: El conector puede determinar si un dispositivo es un iPhone, iPad u otro tipo de dispositivo y puede permitir o bloquear basándose en esos criterios. Al igual que con otros valores, la utilidad de configuración del conector puede revelar todos los tipos de dispositivos conectados que se están procesando para la conexión de ActiveSync.
  • Agente de usuario: Contiene información sobre el cliente de ActiveSync que se utiliza. Normalmente, el valor especificado corresponde a una compilación y versión específicas del sistema operativo para la plataforma del dispositivo móvil.
La utilidad de configuración del conector que se ejecuta en el servidor siempre administra las reglas estáticas.
  1. En la utilidad de configuración del controlador SMG, haga clic en la ficha Reglas estáticas y, a continuación, haga clic en Agregar.
  2. En el cuadro de diálogo Propiedades de la regla estática, especifique los valores que desea usar como criterios. Por ejemplo, puede introducir un usuario para permitir el acceso introduciendo el nombre de usuario (por ejemplo, AllowedUser) y, a continuación, desmarcando la casilla de verificación Deshabilitado.
  3. Haga clic en Guardar.
    La regla estática ya está en vigor. Además, puede usar expresiones regulares para definir valores, pero debe habilitar el modo de procesamiento de reglas en el archivo config.xml.

Para configurar reglas dinámicas

Las directivas y propiedades de los dispositivos en XenMobile definen reglas dinámicas y pueden activar un filtro dinámico del conector de Citrix Gateway para Exchange ActiveSync. Los desencadenantes se basan en la presencia de una infracción de directiva o una configuración de propiedad. Los filtros del conector funcionan analizando un dispositivo en busca de una infracción de directiva o una configuración de propiedad determinada. Si el dispositivo cumple los criterios, se coloca en una Lista de dispositivos. Esta Lista de dispositivos no es una lista de permitidos ni una lista de bloqueados. Es una lista de dispositivos que cumplen los criterios definidos. Las siguientes opciones de configuración le permiten definir si desea permitir o denegar los dispositivos de la Lista de dispositivos mediante el conector.
Nota:
Debe usar la consola de XenMobile para configurar reglas dinámicas.
  1. En la consola de XenMobile, haga clic en el icono de engranaje de la esquina superior derecha. Aparecerá la página Parámetros.
  2. En Servidor, haga clic en ActiveSync Gateway. Aparecerá la página ActiveSync Gateway.
  3. En Activar las siguientes reglas, seleccione una o varias reglas que desee activar.
  4. Solo en Android, en Enviar usuarios de dominio de Android a ActiveSync Gateway, haga clic en SÍ para asegurarse de que XenMobile envía información de dispositivos Android a Secure Mobile Gateway.
    Cuando esta opción está habilitada, XenMobile envía información de dispositivos Android al conector de Citrix Gateway para Exchange ActiveSync cuando XenMobile no tiene el identificador de ActiveSync para el usuario del dispositivo Android.

Para configurar directivas personalizadas editando el archivo XML del conector de Citrix Gateway para Exchange ActiveSync

Puede ver las directivas básicas en la configuración predeterminada en la pestaña Directivas de la utilidad de configuración de Citrix Gateway connector for Exchange ActiveSync. Si desea crear directivas personalizadas, puede editar el archivo de configuración XML del conector (config\config.xml).
  1. Busque la sección PolicyList en el archivo y, a continuación, agregue un nuevo elemento Policy.
  2. Si también se requiere un nuevo grupo, como otro grupo estático o un grupo para admitir otro GCP, agregue el nuevo elemento Group a la sección GroupList.
  3. Opcionalmente, puede cambiar el orden de los grupos dentro de una directiva existente reorganizando los elementos GroupRef.

Configuración del archivo XML de Citrix Gateway connector for Exchange ActiveSync

Citrix Gateway connector for Exchange ActiveSync utiliza un archivo de configuración XML para dictar las acciones del conector. Entre otras entradas, el archivo especifica los archivos de grupo y las acciones asociadas que el filtro realiza al evaluar las solicitudes HTTP. De forma predeterminada, el archivo se denomina config.xml y se encuentra en la siguiente ubicación: ..\Program Files\Citrix\XenMobile Citrix ADC Connector\config\.

Nodos GroupRef

Los nodos GroupRef definen los nombres de grupo lógicos. Los valores predeterminados son AllowGroup y DenyGroup.
Nota:
El orden de los nodos GroupRef tal como aparecen en el nodo GroupRefList es significativo.
El valor de ID de un nodo GroupRef identifica un contenedor lógico o una colección de miembros que se utilizan para hacer coincidir cuentas de usuario o dispositivos específicos. Los atributos de acción especifican cómo el filtro trata a un miembro que coincide con una regla de la colección. Por ejemplo, una cuenta de usuario o un dispositivo que coincida con una regla del conjunto AllowGroup "pasará". Pasar significa que se le permite acceder al CAS de Exchange. Una cuenta de usuario o un dispositivo que coincida con una regla del conjunto DenyGroup se "rechaza". Rechazado significa que no se le permite acceder al CAS de Exchange.
Cuando una cuenta de usuario/dispositivo o combinación particular cumple las reglas de ambos grupos, se utiliza una convención de precedencia para dirigir el resultado de la solicitud. La precedencia se materializa en el orden de los nodos GroupRef en el archivo config.xml de arriba a abajo. Los nodos GroupRef se clasifican por orden de prioridad. Las reglas para una condición dada en el grupo Allow siempre tendrán precedencia sobre las reglas para la misma condición en el grupo Deny.

Nodos de grupo

Además, el archivo config.xml define los nodos Group. Estos nodos vinculan los contenedores lógicos AllowGroup y DenyGroup a archivos XML externos. Las entradas almacenadas en los archivos externos forman la base de las reglas de filtro.
Nota:
En esta versión, solo se admiten archivos XML externos.
La instalación predeterminada implementa dos archivos XML en la configuración: allow.xml y deny.xml.

Configuración de Citrix Gateway connector para Exchange ActiveSync

Puede configurar el conector de Citrix Gateway para Exchange ActiveSync para bloquear o permitir selectivamente las solicitudes de ActiveSync en función de las siguientes propiedades: ID de servicio de Active Sync, Tipo de dispositivo, Agente de usuario (sistema operativo del dispositivo), Usuario autorizado y Comando de ActiveSync.
La configuración predeterminada admite una combinación de grupos estáticos y dinámicos. Los grupos estáticos se mantienen mediante la utilidad de configuración del controlador SMG. Los grupos estáticos pueden consistir en categorías conocidas de dispositivos, como todos los dispositivos que utilizan un agente de usuario determinado.
Una fuente externa llamada Proveedor de configuración de Gateway mantiene los grupos dinámicos. El conector de Citrix Gateway para Exchange ActiveSync conecta los grupos periódicamente. XenMobile puede exportar grupos de dispositivos y usuarios permitidos y bloqueados al conector.
Los grupos dinámicos son mantenidos por una fuente externa llamada Proveedor de configuración de Gateway y recopilados por el conector de Citrix Gateway para Exchange ActiveSync de forma periódica. XenMobile puede exportar grupos de dispositivos y usuarios permitidos y bloqueados al conector.
Una directiva es una lista ordenada de grupos en la que cada grupo tiene una acción asociada (permitir o bloquear) y una lista de miembros del grupo. Una directiva puede tener cualquier número de grupos. El orden de los grupos dentro de una directiva es importante porque cuando se encuentra una coincidencia, se realiza la acción del grupo y los grupos posteriores no se evalúan.
Un miembro define una forma de hacer coincidir las propiedades de una solicitud. Puede coincidir con una sola propiedad, como el ID del dispositivo, o con varias propiedades, como el tipo de dispositivo y el agente de usuario.

Elección de un modelo de seguridad para el conector de Citrix Gateway para Exchange ActiveSync

Establecer un modelo de seguridad es esencial para una implementación exitosa de dispositivos móviles en organizaciones de cualquier tamaño. Es común usar el control de red protegido o en cuarentena para permitir el acceso a un usuario, equipo o dispositivo de forma predeterminada. Esta práctica no siempre es ideal. Cada organización que gestiona la seguridad de TI puede tener un enfoque ligeramente diferente o adaptado a la seguridad de los dispositivos móviles.
La misma lógica se aplica a la seguridad de los dispositivos móviles. Usar un modelo permisivo es una opción débil debido a la multitud de dispositivos y tipos de dispositivos móviles, dispositivos móviles por usuario y plataformas y aplicaciones de sistemas operativos disponibles. En la mayoría de las organizaciones, el modelo restrictivo es la opción más lógica.
Los escenarios de configuración que Citrix permite para integrar el conector de Citrix Gateway para Exchange ActiveSync con XenMobile son los siguientes:

Modelo permisivo (modo de permiso)

El modelo de seguridad permisivo opera bajo la premisa de que todo está permitido o se le concede acceso de forma predeterminada. Solo a través de reglas y filtros se bloquea algo y se aplica una restricción. El modelo de seguridad permisivo es bueno para organizaciones que tienen una preocupación de seguridad relativamente laxa con respecto a los dispositivos móviles. El modelo solo aplica controles restrictivos para denegar el acceso cuando es apropiado (cuando falla una regla de directiva).

Modelo restrictivo (modo de bloqueo)

El modelo de seguridad restrictivo se basa en la premisa de que nada está permitido ni se le concede acceso de forma predeterminada. Todo lo que pasa por el punto de control de seguridad se filtra e inspecciona, y se le deniega el acceso a menos que se cumplan las reglas que lo permiten. El modelo de seguridad restrictivo es adecuado para organizaciones que tienen un criterio de seguridad relativamente estricto sobre los dispositivos móviles. El modo solo concede acceso para el uso y la funcionalidad con los servicios de red cuando se han cumplido todas las reglas para permitir el acceso.

Administrar el conector de Citrix Gateway para Exchange ActiveSync

Puede utilizar el conector de Citrix Gateway para Exchange ActiveSync para crear reglas de control de acceso. Las reglas permiten o bloquean el acceso a las solicitudes de conexión de ActiveSync desde dispositivos administrados. El acceso se basa en el estado del dispositivo, las listas de aplicaciones permitidas o bloqueadas y otras condiciones de cumplimiento.
Mediante el uso de la utilidad de configuración del conector de Citrix Gateway para Exchange ActiveSync, puede crear reglas dinámicas y estáticas que aplican las directivas de correo electrónico corporativas, lo que le permite bloquear a los usuarios que incumplen los estándares de cumplimiento. También puede configurar el cifrado de archivos adjuntos de correo electrónico, de modo que todos los archivos adjuntos que pasan por su servidor Exchange a los dispositivos administrados se cifren y solo puedan ser vistos en dispositivos administrados por usuarios autorizados.

Para desinstalar el conector de Citrix Gateway para Exchange ActiveSync

  1. Ejecute XncInstaller.exe con una cuenta de administrador.
  2. Siga las instrucciones en pantalla para completar la desinstalación.

Para instalar, actualizar o desinstalar el conector de Citrix Gateway para Exchange ActiveSync

  1. Ejecute XncInstaller.exe con una cuenta de administrador para instalar el conector o permitir la actualización o eliminación de un conector existente.
  2. Siga las instrucciones en pantalla para completar la instalación, actualización o desinstalación.
Después de instalar el conector, debe reiniciar manualmente el servicio de configuración de XenMobile y el servicio de notificaciones.

Instalación del conector de Citrix Gateway para Exchange ActiveSync

Instale el conector de Citrix Gateway para Exchange ActiveSync en su propio servidor Windows.
La carga de CPU que el conector impone a un servidor depende de la cantidad de dispositivos administrados. Para un gran número de dispositivos (más de 50 000), es posible que deba aprovisionar más de un núcleo si no tiene un entorno en clúster. La huella de memoria del conector no es lo suficientemente significativa como para justificar más memoria.

Requisitos del sistema del conector de Citrix Gateway para Exchange ActiveSync

El conector de Citrix Gateway para Exchange ActiveSync se comunica con Citrix ADC a través de un puente SSL configurado en el dispositivo Citrix ADC. El puente permite que el dispositivo conecte todo el tráfico seguro directamente a XenMobile. El conector requiere la siguiente configuración mínima del sistema:
Componente Requisito
Equipo y procesador Procesador Pentium III de 733 MHz o superior. Procesador Pentium III de 2,0 GHz o superior (recomendado)
Citrix ADC Dispositivo Citrix ADC con la versión de software 10
Memoria 1 GB
Disco duro Partición local con formato NTFS con 150 MB de espacio disponible en disco duro
Sistema operativo Windows Server 2016, Windows Server 2012 R2 o Windows Server 2008 R2 Service Pack 1. Debe ser un servidor basado en inglés. El soporte para Windows Server 2008 R2 Service Pack 1 finaliza el January 14, 2020 y el soporte para Windows Server 2012 R2 finaliza el October 10, 2023.
Otros dispositivos Adaptador de red compatible con el sistema operativo del host para la comunicación con la red interna
Microsoft .NET Framework La versión 8.5.1.11 requiere Microsoft .NET Framework 4.5.
Pantalla Monitor VGA o de mayor resolución
El equipo host para el conector de Citrix Gateway para Exchange ActiveSync requiere el siguiente espacio mínimo disponible en el disco duro:
  • Aplicación: 10–15 MB (100 MB recomendados)
  • Registro: 1 GB (20 GB recomendados)
Para obtener información sobre la compatibilidad de plataformas con el conector de Citrix Gateway para Exchange ActiveSync, consulte Sistemas operativos de dispositivos compatibles.

Clientes de correo electrónico de dispositivos

No todos los clientes de correo electrónico devuelven sistemáticamente el mismo ID de ActiveSync para un dispositivo. Dado que el conector de Citrix Gateway para Exchange ActiveSync espera un ID de ActiveSync único para cada dispositivo, se cumple lo siguiente: Solo se admiten los clientes de correo electrónico que generan sistemáticamente los mismos ID de ActiveSync únicos para cada dispositivo. Citrix ha probado estos clientes de correo electrónico y han funcionado sin errores:
  • Cliente de correo electrónico nativo de Samsung
  • Cliente de correo electrónico nativo de iOS

Implementación del conector de Citrix Gateway para Exchange ActiveSync

El conector de Citrix Gateway para Exchange ActiveSync le permite usar Citrix ADC para actuar como proxy y equilibrar la carga de la comunicación de XenMobile Server con los dispositivos administrados por XenMobile. El conector se comunica periódicamente con XenMobile para sincronizar las directivas. El conector y XenMobile se pueden agrupar en clústeres juntos o de forma independiente, y Citrix ADC puede equilibrar su carga.

Componentes del conector de Citrix Gateway para Exchange ActiveSync

  • Servicio del conector de Citrix Gateway para Exchange ActiveSync: Este servicio proporciona una interfaz de servicio web REST que Citrix ADC puede invocar para determinar si una solicitud de ActiveSync de un dispositivo está autorizada.
  • Servicio de configuración de XenMobile: Este servicio se comunica con XenMobile para sincronizar los cambios de directiva de XenMobile con el conector.
  • Servicio de notificaciones de XenMobile: Este servicio envía notificaciones de acceso no autorizado de dispositivos a XenMobile. De este modo, XenMobile puede tomar las medidas adecuadas, como notificar al usuario por qué se bloqueó el dispositivo.
  • Utilidad de configuración del conector de Citrix Gateway para Exchange ActiveSync: Esta aplicación permite al administrador configurar y supervisar el conector.

Para configurar las direcciones de escucha del conector de Citrix Gateway para Exchange ActiveSync

Para que el conector de Citrix Gateway para Exchange ActiveSync reciba solicitudes de Citrix ADC para autorizar el tráfico de ActiveSync, haga lo siguiente. Especifique el puerto en el que el conector escucha las llamadas al servicio web de Citrix ADC.
  1. En el menú Inicio, seleccione la utilidad de configuración del conector de Citrix Gateway para Exchange ActiveSync.
  2. Haga clic en la ficha Servicio web y, a continuación, escriba las direcciones de escucha del servicio web del conector. Puede seleccionar HTTP o HTTPS o ambos. Si el conector reside en el mismo servidor que XenMobile (instalado en el mismo servidor), seleccione valores de puerto que no entren en conflicto con XenMobile.
  3. Una vez configurados los valores, haga clic en Guardar y, a continuación, en Iniciar servicio para iniciar el servicio web.

Para configurar las directivas de control de acceso de dispositivos en el conector de Citrix Gateway para Exchange ActiveSync

Para configurar la directiva de control de acceso que desea aplicar a sus dispositivos administrados, haga lo siguiente:
  1. En la utilidad de configuración del conector de Citrix Gateway para Exchange ActiveSync, haga clic en la ficha Filtros de ruta.
  2. Seleccione la primera fila, Microsoft-Server-ActiveSync es para ActiveSync, y haga clic en Modificar.
  3. En la lista Directiva, seleccione la directiva deseada. Para una directiva que incluya las directivas de XenMobile, seleccione Estático + ZDM: Modo de permiso o Estático + ZDM: Modo de bloqueo. Estas directivas combinan reglas locales (o estáticas) con las reglas de XenMobile. El modo de permiso significa que todos los dispositivos no identificados explícitamente por las reglas tienen permitido el acceso a ActiveSync. El modo de bloqueo significa que dichos dispositivos están bloqueados.
  4. Después de configurar las políticas, haga clic en Guardar.

Para configurar la comunicación con XenMobile

Especifique el nombre y las propiedades del servidor XenMobile (también conocido como proveedor de configuración) que desea utilizar con el conector de Citrix Gateway para Exchange ActiveSync y Citrix ADC.
Nota:
Esta tarea asume que ya ha instalado y configurado XenMobile.
  1. En la utilidad de configuración del conector de Citrix Gateway para Exchange ActiveSync, haga clic en la ficha Proveedores de configuración y, a continuación, en Agregar.
  2. Introduzca el nombre y la URL del servidor XenMobile que está utilizando en esta implementación. Si tiene varios servidores XenMobile implementados en una implementación multiempresa, este nombre debe ser único para cada instancia de servidor. Por ejemplo, en Nombre, puede escribir XMS.
  3. En URL, introduzca la dirección web del proveedor de configuración global (GCP) de XenMobile, normalmente en el formato https://<FQDN>/<instanceName>/services/<MagConfigService>. El nombre MagConfigService distingue entre mayúsculas y minúsculas.
  4. En Contraseña, introduzca la contraseña que se utiliza para la autorización HTTP básica con el servidor web de XenMobile.
  5. En Host de administración, introduzca el nombre del servidor donde instaló el conector de Citrix Gateway para Exchange ActiveSync.
  6. En Intervalo de línea base, especifique un período de tiempo para cuando se extrae un nuevo conjunto de reglas dinámicas actualizado de XenMobile.
  7. En Tiempo de espera de solicitud, especifique el intervalo de tiempo de espera de la solicitud del servidor.
  8. En Proveedor de configuración, seleccione si la instancia del servidor del proveedor de configuración está proporcionando la configuración de la política.
  9. En Eventos habilitados, active esta opción si desea que Secure Mobile Gateway notifique a XenMobile cuando se bloquea un dispositivo. Esta opción es necesaria si utiliza reglas de Secure Mobile Gateway en cualquiera de sus acciones automatizadas de Device Manager.
  10. Después de configurar el servidor, haga clic en Probar conectividad para probar la conexión con XenMobile.
  11. Cuando se haya establecido la conectividad, haga clic en Guardar.

Implementación del conector de Citrix Gateway para Exchange ActiveSync para redundancia y escalabilidad

Si desea escalar su conector de Citrix Gateway para Exchange ActiveSync y la implementación de XenMobile, puede instalar instancias del conector en varios servidores Windows, todos apuntando a la misma instancia de XenMobile, y luego puede usar Citrix ADC para equilibrar la carga de los servidores.
Hay dos modos para la configuración del conector de Citrix Gateway para Exchange ActiveSync:
  • En el modo no compartido, cada instancia del conector de Citrix Gateway para Exchange ActiveSync se comunica con un servidor XenMobile y mantiene su propia copia privada de la política resultante. Por ejemplo, si tuviera un clúster de servidores XenMobile, podría ejecutar una instancia del conector en cada servidor XenMobile y el conector obtendría las políticas de la instancia local de XenMobile.
  • En el modo compartido, se elige un nodo del conector como nodo principal y este se comunica con XenMobile. La configuración resultante se comparte entre los demás nodos, ya sea mediante un recurso compartido de red de Windows o mediante la replicación de Windows (o de terceros).
Toda la configuración del conector se encuentra en una única carpeta (que consta de unos pocos archivos XML). El proceso del conector detecta los cambios en cualquier archivo de esta carpeta y recarga automáticamente la configuración. No hay conmutación por error para el nodo principal en modo compartido. Pero el sistema puede tolerar que el servidor principal esté inactivo durante unos minutos (por ejemplo, para reiniciarse) porque la última configuración válida conocida se almacena en caché en el proceso del conector.