Sombreado de sesiones

Last published : Nov 13, 2026
El sombreado de sesiones permite a los administradores de dominio ver las sesiones ICA® de los usuarios en una intranet. La función utiliza noVNC para conectarse a las sesiones ICA.
Nota:
Para usar la función, utilice Citrix Director 7.16 o posterior.
Related information
Administración

Instalación y configuración

Dependencias

Se requieren dos nuevas dependencias, python-websockify y x11vnc, para el sombreado de sesiones. Instale python-websockify y x11vnc manualmente después de instalar el VDA de Linux.
Para RHEL 7.x y Amazon Linux2:
Ejecute los siguientes comandos para instalar python-websockify y x11vnc (x11vnc versión 0.9.13 o posterior):
sudo pip3 install websockify
sudo yum install x11vnc
(Para RHEL 7.x) Resuelva python-websockify y x11vnc habilitando los repositorios Extra Packages for Enterprise Linux (EPEL) y RPM opcionales:
  • EPEL
    El repositorio EPEL es necesario para x11vnc. Ejecute el siguiente comando para habilitar el repositorio EPEL:
    yum install https://dl.fedoraproject.org/pub/epel/epel-release-latest-7.noarch.rpm
  • RPM opcionales
    Ejecute el siguiente comando para habilitar el repositorio opcional RPMs para instalar algunos paquetes de dependencia de x11vnc:
    subscription-manager repos --enable rhel-7-server-optional-rpms --enable rhel-7-server-extras-rpms
Para RHEL 8.x/9.0 y Rocky Linux 8.6/9.0:
Ejecute los siguientes comandos para instalar python-websockify y x11vnc (x11vnc versión 0.9.13 o posterior).
sudo pip3 install websockify
sudo yum install x11vnc
Resuelva x11vnc habilitando los repositorios EPEL y CodeReady Linux Builder:
dnf install -y --nogpgcheck https://dl.fedoraproject.org/pub/epel/epel-release-latest-8.noarch.rpm

subscription-manager repos --enable "codeready-builder  -for-rhel-8-x86_64-rpms"
Para Ubuntu:
Ejecute los siguientes comandos para instalar python-websockify y x11vnc (x11vnc versión 0.9.13 o posterior):
sudo pip3 install websockify
sudo apt-get install x11vnc
Para SUSE:
Ejecute los siguientes comandos para instalar python-websockify y x11vnc (x11vnc versión 0.9.13 o posterior):
sudo pip3 install websockify
sudo zypper install x11vnc
Para Debian:
Ejecute los siguientes comandos para instalar python-websockify y x11vnc (x11vnc versión 0.9.13 o posterior):
sudo pip3 install websockify
sudo apt-get install x11vnc

Puerto

La función de supervisión de sesiones selecciona automáticamente los puertos disponibles entre 6001 y 6099 para establecer conexiones desde el VDA de Linux a Citrix Director. Por lo tanto, el número de sesiones ICA que puede supervisar simultáneamente está limitado a 99. Asegúrese de que haya suficientes puertos disponibles para satisfacer sus requisitos, especialmente para la supervisión de varias sesiones.

Registro

La siguiente tabla enumera los registros relacionados:
Registro Descripción Valor predeterminado
EnableSessionShadowing Habilita o deshabilita la función de supervisión de sesiones 1 (Habilitado)
ShadowingUseSSL Determina si se debe cifrar la conexión entre el VDA de Linux y Citrix Director 0 (Deshabilitado)
Ejecute el comando ctxreg en el VDA de Linux para cambiar los valores del registro. Por ejemplo, para deshabilitar la supervisión de sesiones, ejecute el siguiente comando:
/opt/Citrix/VDA/bin/ctxreg update -k "HKLM\Software\Citrix\VirtualDesktopAgent" -v "EnableSessionShadowing" -d 0x00000000

SSL

La conexión noVNC entre el VDA de Linux y Citrix Director utiliza el protocolo WebSocket. Para el shadowing de sesiones, la elección de ws:// o wss:// depende del registro "ShadowingUseSSL" mencionado anteriormente. De forma predeterminada, se elige ws://. Sin embargo, por motivos de seguridad, le recomendamos que utilice wss:// e instale certificados en cada cliente de Citrix Director y en cada servidor VDA de Linux. Citrix declina cualquier responsabilidad de seguridad por el shadowing de sesiones del VDA de Linux al usar ws://.

Obtener certificados SSL de servidor y raíz

Los certificados deben estar firmados por una entidad de certificación (CA) de confianza.
Se requiere un certificado de servidor independiente (incluida la clave) para cada servidor VDA de Linux en el que desee configurar SSL. Un certificado de servidor identifica un equipo específico, por lo que debe conocer el nombre de dominio completo (FQDN) de cada servidor. En su lugar, puede utilizar un certificado comodín para todo el dominio. En este caso, debe conocer al menos el nombre de dominio.
También se requiere un certificado raíz para cada cliente de Citrix Director que se comunica con el VDA de Linux. Los certificados raíz están disponibles en las mismas CA que emiten los certificados de servidor.
Puede instalar certificados de servidor y cliente de las siguientes CA:
  • Una CA que se incluye con su sistema operativo
  • Una CA empresarial (una CA a la que su organización le da acceso)
  • Una CA no incluida con su sistema operativo
Consulte al equipo de seguridad de su organización para averiguar cuál de los métodos requieren para obtener certificados.
Importante:
  • El nombre común de un certificado de servidor debe ser el FQDN exacto del VDA de Linux o, al menos, el comodín correcto más los caracteres de dominio. Por ejemplo, vda1.basedomain.com o *.basedomain.com.
  • Los algoritmos hash, incluidos SHA1 y MD5, son demasiado débiles para las firmas de certificados digitales para que algunos navegadores los admitan. Por lo tanto, SHA-256 se especifica como el estándar mínimo.

Instalar un certificado raíz en cada cliente de Citrix Director

El shadowing de sesiones utiliza el mismo almacén de certificados basado en el registro que IIS, por lo que puede instalar certificados raíz mediante IIS o el complemento Certificados de Microsoft Management Console (MMC). Cuando reciba un certificado de una CA, puede reiniciar el Asistente para certificados de servidor web en IIS y el asistente instalará el certificado. Alternativamente, puede ver e importar certificados en el equipo mediante MMC y agregar el certificado como un complemento independiente. Internet Explorer y Google Chrome importan los certificados instalados en su sistema operativo de forma predeterminada. Para Mozilla Firefox, debe importar sus certificados SSL raíz en la ficha Autoridades del Administrador de certificados.

Instale un certificado de servidor y su clave en cada servidor VDA de Linux

Asigne el nombre "shadowingcert.*" a los certificados de servidor y "shadowingkey.*" al archivo de clave (* indica el formato, por ejemplo, shadowingcert.pem y shadowingkey.key). Coloque los certificados de servidor y los archivos de clave en la ruta /etc/xdl/shadowingssl y protéjalos correctamente con permisos restringidos. Un nombre o una ruta incorrectos impiden que el VDA de Linux encuentre un certificado o archivo de clave específico y, por lo tanto, provocan un error de conexión con Citrix Director.

Uso

Desde Citrix Director, busque la sesión de destino y haga clic en Shadow en la vista Detalles de la sesión para enviar una solicitud de shadowing al VDA de Linux.
La ficha de shadowing
Una vez inicializada la conexión, aparece una confirmación en el cliente de sesión ICA (no en el cliente Citrix Director) para solicitar al usuario permiso para hacer shadowing de la sesión.
Si se permite que un administrador haga shadowing de esta sesión
Si el usuario hace clic en Sí, aparece una ventana en el lado de Citrix Director, que indica que se está haciendo shadowing de la sesión ICA.
Para obtener más información sobre el uso, consulte la documentación de Citrix Director.

Limitaciones

  • El shadowing de sesiones está diseñado para usarse solo en una intranet. No funciona para redes externas, incluso si se conecta a través de Citrix Gateway. Citrix declina toda responsabilidad por el shadowing de sesiones del VDA de Linux en una red externa.
  • Con el shadowing de sesiones habilitado, un administrador de dominio solo puede ver las sesiones ICA, pero no tiene permiso para escribir o controlarlas.
  • Después de que un administrador haga clic en Shadow desde Citrix Director, aparece una confirmación para solicitar al usuario permiso para hacer shadowing de la sesión. Solo se puede hacer shadowing de una sesión cuando el usuario de la sesión da el permiso.
  • La confirmación mencionada anteriormente tiene una limitación de tiempo de espera, que es de 20 segundos. Una solicitud de shadowing falla cuando se agota el tiempo.
  • Solo un administrador puede hacer shadowing de una sesión. Por ejemplo, si el administrador B envía una solicitud de shadowing para una sesión de la que el administrador A está haciendo shadowing, la confirmación para obtener el permiso del usuario vuelve a aparecer en el dispositivo del usuario. Si el usuario acepta, la conexión de shadowing para el administrador A se detiene y se establece una nueva conexión de shadowing para el administrador B. Si un administrador envía otra solicitud de shadowing para la misma sesión, también se puede establecer una nueva conexión de shadowing.
  • Para usar el shadowing de sesiones, instale Citrix Director 7.16 o posterior.
  • Un cliente Citrix Director utiliza un FQDN en lugar de una dirección IP para conectarse al servidor VDA de Linux de destino. Por lo tanto, el cliente Citrix Director debe poder resolver el FQDN del servidor VDA de Linux.

Solución de problemas

Si el sombreado de sesiones falla, depure tanto en el cliente Citrix Director como en el VDA de Linux.

En el cliente de Citrix Director

A través de las herramientas de desarrollador del explorador, compruebe los registros de salida en la ficha Console. O bien, compruebe la respuesta de la API ShadowLinuxSession en la ficha Network. Si aparece la confirmación para obtener el permiso del usuario, pero la conexión falla, haga ping manualmente al FQDN del VDA para verificar que Citrix Director puede resolver el FQDN. Si hay un problema con la conexión wss://, compruebe sus certificados.

En el VDA de Linux

verificar que la confirmación para obtener el permiso del usuario aparece en respuesta a una solicitud de sombreado. Si no es así, compruebe los archivos vda.log y hdx.log para buscar pistas. Para obtener el archivo vda.log, haga lo siguiente:
  1. Busque el archivo /etc/xdl/ctx-vda.conf. Quite el comentario de la siguiente línea para habilitar la configuración de vda.log:
    Log4jConfig="/etc/xdl/log4j.xml"
  2. Abra /etc/xdl/log4j.xml, busque la parte com.citrix.dmc y cambie "info" a "trace" de la siguiente manera:
     <!-- Broker Agent Plugin - Director VDA plugin Logger -->

      <logger name="com.citrix.dmc">

        <level value="trace"/>

      </logger>
  3. Ejecute el comando service ctxvda restart para reiniciar el servicio ctxvda.
Si hay un error durante el establecimiento de la conexión:
  1. Compruebe si hay alguna limitación del firewall que impida que el sombreado de sesiones abra el puerto.
  2. verificar que ha nombrado los certificados y los archivos de clave correctamente y que los ha colocado en la ruta correcta si se trata del escenario SSL.
  3. verificar que quedan suficientes puertos entre 6001 y 6099 para nuevas solicitudes de sombreado.