Gestion des certificats SSL dans un déploiement DMZ à double saut

Vous devez installer les certificats SSL nécessaires pour chiffrer les connexions entre les composants dans un déploiement DMZ à double saut.

Dans un déploiement DMZ à double saut, plusieurs types de connexions se produisent entre les différents composants impliqués dans le déploiement. Il n’y a pas de cryptage SSL de bout en bout de ces connexions. Cependant, chaque connexion peut être cryptée individuellement.

Pour chiffrer une connexion, vous devez installer le certificat SSL approprié (certificat racine de confiance ou serveur) sur les composants impliqués dans la connexion.

Le tableau suivant indique les connexions qui se produisent via le premier pare-feu et les certificats SSL requis pour chiffrer chacune de ces connexions. Le chiffrement des connexions via le premier pare-feu est obligatoire pour sécuriser le trafic envoyé sur Internet.

Connexions via le premier pare-feu Certificats requis pour le chiffrement
Le navigateur Web à partir d’Internet se connecte à Citrix Gateway dans la première DMZ. Citrix Gateway dans la première DMZ doit avoir un certificat de serveur SSL installé. Le navigateur Web doit disposer d’un certificat racine qui est signé par la même autorité de certification que le certificat de serveur sur Citrix Gateway.
Citrix Receiver à partir d’Internet se connecte à Citrix Gateway dans la première DMZ. La gestion des certificats pour cette connexion est identique à celle du navigateur Web vers la connexion Citrix Gateway. Si vous avez installé les certificats pour chiffrer la connexion du navigateur Web, cette connexion est également cryptée à l’aide de ces certificats.

Le tableau suivant indique les connexions qui se produisent via le deuxième pare-feu et les certificats SSL requis pour chiffrer chacune de ces connexions. Le chiffrement de ces connexions améliore la sécurité, mais n’est pas obligatoire.

Connexions via le deuxième pare-feu Certificats requis pour le chiffrement
Citrix Gateway dans la première DMZ se connecte à l’Interface Web dans la deuxième DMZ. StoreFront ou l’interface Web doivent avoir un certificat de serveur SSL installé. Citrix Gateway dans la première DMZ doit disposer d’un certificat racine qui est signé par la même autorité de certification que le certificat serveur sur l’interface Web.
Citrix Gateway dans la première DMZ se connecte à Citrix Gateway dans la deuxième DMZ. Citrix Gateway dans la deuxième DMZ doit avoir un certificat de serveur SSL installé. Citrix Gateway dans la première DMZ doit avoir installé un certificat racine signé par la même autorité de certification que le certificat serveur sur Citrix Gateway dans la seconde DMZ.

Le tableau suivant montre les connexions qui se produisent via le troisième pare-feu et les certificats SSL requis pour chiffrer chacune de ces connexions. Le chiffrement de ces connexions améliore la sécurité, mais n’est pas obligatoire.

Connexions via le troisième pare-feu Certificats requis pour le chiffrement
StoreFront ou l’interface Web de la deuxième DMZ se connecte au service XML hébergé sur un serveur du réseau interne. Si le service XML s’exécute sur le serveur Microsoft Internet Information Services (IIS) sur le serveur Citrix Virtual Apps, un certificat de serveur SSL doit être installé sur le serveur IIS. Si le service XML est un service Windows standard (ne réside pas dans IIS), un certificat de serveur SSL doit être installé dans le relais SSL sur le serveur. StoreFront ou l’interface Web doit disposer d’un certificat racine qui est signé par la même autorité de certification que le certificat de serveur installé sur le serveur Microsoft IIS ou le relais SSL.
StoreFront ou l’interface Web de la deuxième DMZ se connecte à la STA hébergée sur un serveur du réseau interne. La gestion des certificats pour cette connexion est la même que la connexion Interface Web to XML Service. Vous pouvez utiliser les mêmes certificats pour chiffrer cette connexion. (Le certificat de serveur doit résider sur le serveur Microsoft IIS ou le relais SSL. Un certificat racine correspondant doit être installé sur l’interface Web.)
Citrix Gateway dans la seconde DMZ se connecte au STA hébergé sur un serveur du réseau interne. La gestion des certificats de serveur SSL pour le STA dans cette connexion est la même que celle décrite pour les deux connexions précédentes décrites dans ce tableau. (Le certificat de serveur doit résider sur le serveur Microsoft IIS ou le relais SSL.) Citrix Gateway dans la seconde DMZ doit avoir un certificat racine installé qui est signé par la même autorité de certification que le certificat de serveur utilisé par le service STA et XML.
Citrix Gateway dans la deuxième DMZ établit une connexion ICA à une application publiée sur un serveur du réseau interne. Un certificat de serveur SSL doit être installé dans le relais SSL sur le serveur hébergeant l’application publiée. Le proxy Citrix Gateway dans la deuxième DMZ doit avoir un certificat racine installé qui est signé par la même autorité de certification que le certificat de serveur installé dans le relais SSL.

Gestion des certificats SSL dans un déploiement DMZ à double saut