Sombreado de sesiones

Last published : Nov 13, 2026
La función de sombreado de sesiones permite a los administradores de dominio ver las sesiones ICA de los usuarios en una intranet. La función utiliza noVNC para conectarse a las sesiones ICA y solo es compatible con RHEL 7.x y Ubuntu 16.04.
Nota:
Para usar la función de sombreado de sesiones, la versión de Citrix Director debe ser 7.16 o posterior.
Related information
Configurar el VDA de Linux

Instalación y configuración

Dependencias

Se requieren dos nuevas dependencias, python-websockify y x11vnc, para el sombreado de sesiones. Las dependencias python-websockify y x11vnc se instalan automáticamente al instalar el VDA de Linux en Ubuntu 16.04. En RHEL 7.x, debe instalar python-websockify y x11vnc manualmente después de instalar el VDA de Linux.
Ejecute el siguiente comando en RHEL 7.x para instalar python-websockify y x11vnc (versión 0.9.13 o posterior de x11vnc).
sudo yum install -y python-websockify x11vnc
Para resolver python-websockify y x11vnc, habilite los siguientes repositorios en RHEL 7.x:
  • Paquetes adicionales para Enterprise Linux (EPEL)
    El repositorio EPEL es necesario tanto para python-websockify como para x11vnc. Ejecute el siguiente comando para habilitar el repositorio EPEL:
    sudo yum install https://dl.fedoraproject.org/pub/epel/epel-release-latest-$(rpm -E '%{rhel}').noarch.rpm
  • RPM opcionales
    Ejecute cualquiera de los siguientes comandos para habilitar el repositorio de RPM opcionales para instalar algunos paquetes de dependencia de x11vnc:
    Para estación de trabajo:
    subscription-manager repos --enable=rhel-7-workstation-optional-rpms
    Para servidor:
    subscription-manager repos --enable=rhel-7-server-optional-rpms

Puerto

La función de sombreado de sesiones selecciona automáticamente los puertos disponibles dentro del rango 6001-6099 para establecer conexiones desde el VDA de Linux a Citrix Director. Por lo tanto, el número de sesiones ICA® que puede sombrear simultáneamente está limitado a 99. Asegúrese de que haya suficientes puertos disponibles para satisfacer sus requisitos, especialmente para el sombreado de varias sesiones.

Registro

La siguiente tabla enumera los registros relacionados:
Registro Descripción Valor predeterminado
EnableSessionShadowing Habilita o deshabilita la función de proyección de sesiones 1 (Habilitado)
ShadowingUseSSL Determina si se debe cifrar la conexión entre el VDA de Linux y Citrix Director 0 (Inhabilitado)
Ejecute el comando ctxreg en el VDA de Linux para cambiar los valores del Registro. Por ejemplo, para inhabilitar la proyección de sesiones, ejecute el siguiente comando:
/opt/Citrix/VDA/bin/ctxreg update -k "HKLM\Software\Citrix\VirtualDesktopAgent" -v "EnableSessionShadowing" -d 0x00000000

SSL

La conexión noVNC entre el VDA de Linux y Citrix Director utiliza el protocolo WebSocket. Para la proyección de sesiones, la elección de ws:// o wss:// viene determinada por el Registro “ShadowingUseSSL” mencionado anteriormente. De forma predeterminada, se elige ws://. Sin embargo, por motivos de seguridad, le recomendamos que utilice wss:// e instale certificados en cada cliente de Citrix Director y en cada servidor VDA de Linux. Citrix declina toda responsabilidad de seguridad por la proyección de sesiones del VDA de Linux mediante ws://.

Obtener certificados SSL de servidor y raíz

Los certificados deben estar firmados por una entidad de certificación (CA) de confianza.
Se requiere un certificado de servidor independiente (incluida la clave) para cada servidor VDA de Linux en el que desee configurar SSL. Un certificado de servidor identifica un equipo específico, por lo que debe conocer el nombre de dominio completo (FQDN) de cada servidor. Para mayor comodidad, puede utilizar un certificado comodín para todo el dominio. En este caso, debe conocer al menos el nombre de dominio.
Además de instalar un certificado de servidor en cada servidor, debe instalar un certificado raíz de la misma CA en cada cliente de Citrix Director que se comunique con el servidor VDA de Linux. Los certificados raíz están disponibles en las mismas CA que emiten los certificados de servidor. Puede instalar certificados de servidor y de cliente desde una CA que se incluya con su sistema operativo, desde una CA empresarial (una CA a la que su organización le da acceso) o desde una CA que no se incluya con su sistema operativo. Consulte al equipo de seguridad de su organización para averiguar qué métodos requieren para obtener certificados.
Importante:
  • El nombre común de un certificado de servidor debe ser el FQDN exacto del servidor VDA de Linux o, al menos, el comodín correcto más los caracteres de dominio. Por ejemplo, vda1.basedomain.com o *.basedomain.com.
  • Los algoritmos de hash, incluidos SHA1 y MD5, son demasiado débiles para las firmas en certificados digitales para que algunos navegadores los admitan. Por lo tanto, SHA-256 se especifica como el estándar mínimo.

Instalar un certificado raíz en cada cliente de Citrix Director

El sombreado de sesiones utiliza el mismo almacén de certificados basado en el Registro que IIS, por lo que puede instalar certificados raíz mediante IIS o el complemento Certificados de Microsoft Management Console (MMC). Cuando reciba un certificado de una CA, puede reiniciar el Asistente para certificados de servidor web en IIS y el asistente instalará el certificado. Alternativamente, puede ver e importar certificados en el equipo mediante MMC y agregar el certificado como un complemento independiente. Internet Explorer y Google Chrome importan los certificados instalados en su sistema operativo de forma predeterminada. Para Mozilla Firefox, debe importar sus certificados raíz SSL en la ficha Autoridades del Administrador de certificados.

Instalar un certificado de servidor y su clave en cada servidor Linux VDA

Asigne a los certificados de servidor el nombre “shadowingcert.*” y al archivo de clave “shadowingkey.*” (* puede indicar el formato, por ejemplo, shadowingcert.csr y shadowingkey.key). Coloque los certificados de servidor y los archivos de clave en la ruta /etc/xdl/shadowingssl y protéjalos correctamente con permisos restringidos. Un nombre o una ruta incorrectos impiden que el Linux VDA encuentre un certificado o un archivo de clave específicos y, por lo tanto, provocan un error de conexión con Citrix Director.

Uso

Desde Citrix Director, busque la sesión de destino y haga clic en Shadow en la vista Detalles de la sesión para enviar una solicitud de sombreado al Linux VDA.
Imagen de la ficha Shadow en la vista de detalles de la sesión
Una vez que se inicializa la conexión, aparece una confirmación en el cliente de sesión de ICA (no en el cliente de Citrix Director) para solicitar al usuario permiso para realizar el sombreado de la sesión.
Imagen de si se permite a un administrador sombrear esta sesión
Si el usuario hace clic en Sí, aparece una ventana en el lado de Citrix Director, lo que indica que la sesión de ICA se está sombreando.
Para obtener más información sobre el uso, consulte la documentación de Citrix Director.

Limitaciones

  • El sombreado de sesiones está diseñado para usarse solo en una intranet. No funciona para redes externas, incluso si se conecta a través de Citrix Gateway. Citrix declina toda responsabilidad por el sombreado de sesiones de Linux VDA en una red externa.
  • Con el sombreado de sesiones habilitado, un administrador de dominio solo puede ver las sesiones de ICA, pero no tiene permiso para escribir o controlarlas.
  • Después de que un administrador haga clic en Shadow desde Citrix Director, aparece una confirmación para solicitar al usuario permiso para realizar el sombreado de la sesión. Solo se puede sombrear una sesión cuando el usuario de la sesión otorga el permiso.
  • La confirmación mencionada anteriormente tiene un límite de tiempo de espera de 20 segundos. Una solicitud de sombreado falla cuando se agota el tiempo.
  • Una sesión ICA solo puede ser proyectada por un administrador en una ventana de Citrix Director. Si la sesión ICA ha sido proyectada por el administrador A y, mientras tanto, el administrador B envía una solicitud de proyección, la confirmación para obtener el permiso del usuario vuelve a aparecer en el dispositivo del usuario. Si el usuario acepta, la conexión de proyección del administrador A se detiene y se establece una nueva conexión de proyección para el administrador B. Lo mismo ocurre si el mismo administrador envía otra solicitud de proyección para la misma sesión ICA.
  • Para usar la proyección de sesiones, instale Citrix Director 7.16 o una versión posterior.
  • Un cliente de Citrix Director utiliza un FQDN en lugar de una dirección IP para conectarse al servidor VDA de Linux de destino. Por lo tanto, el cliente de Citrix Director debe poder resolver el FQDN del servidor VDA de Linux.

Solución de problemas

Si la proyección de sesiones falla, realice la depuración tanto en el cliente de Citrix Director como en el VDA de Linux.

En el cliente de Citrix Director

A través de las herramientas de desarrollador del explorador, compruebe los registros de salida en la ficha Console. O bien, compruebe la respuesta de la API ShadowLinuxSession en la ficha Network. Si aparece la confirmación para obtener el permiso del usuario, pero la conexión no se establece, haga ping manualmente al FQDN del VDA de Linux para verificar que Citrix Director puede resolver el FQDN. Si hay un problema con la conexión wss://, compruebe los certificados.

En el VDA de Linux

verificar que la confirmación para obtener el permiso del usuario aparece en respuesta a una solicitud de proyección. Si no es así, compruebe los archivos vda.log y hdx.log para obtener pistas. Para obtener el archivo vda.log, haga lo siguiente:
  1. Busque el archivo /etc/xdl/ctx-vda.conf. Quite la marca de comentario de la siguiente línea para habilitar la configuración de vda.log:
    Log4jConfig=”/etc/xdl/log4j.xml”
  2. Abra /etc/xdl/log4j.xml, localice la parte com.citrix.dmc y cambie “info” a “trace” de la siguiente manera:
     <!-- Broker Agent Plugin - Director VDA plugin Logger -->

      <logger name="com.citrix.dmc">

        <level value="trace"/>

      </logger>
  3. Ejecute el comando service ctxvda restart para reiniciar el servicio ctxvda.
Si hay un error durante el establecimiento de la conexión:
  1. Compruebe si hay alguna limitación del firewall que impida que la proyección de sesiones abra el puerto.
  2. verificar que los certificados y los archivos de clave tienen el nombre correcto y se encuentran en la ruta correcta si se trata del escenario SSL.
  3. verificar que quedan suficientes puertos entre 6001 y 6099 para nuevas solicitudes de proyección.