In Citrix Gateway 13.0
In Citrix Gateway
In All products
Documentation produit
In Citrix Gateway 13.0
In Citrix Gateway
In All products
Citrix Gateway 13.0 Citrix Gateway 12.1
Voir PDF

Proxy RDP sans état

July 29, 2019
Contributed by:  C

Le proxy RDP sans état accède à un hôte RDP. L’accès est accordé via RDPListener sur Citrix Gateway lorsque l’utilisateur s’authentifie sur un Authenticator Citrix Gateway distinct. Les informations requises par RDPlistener pour Citrix Gateway sont stockées en toute sécurité sur un serveur STA.

Le flux et les nouveaux boutons créés pour cette fonctionnalité sont décrits ici.

Conditions préalables

  • L’utilisateur est authentifié sur l’authentificateur Citrix Gateway.

  • L’URL /rdpproxy initiale et le client RDP sont connectés à un autre RDPlistener Citrix Gateway.

  • Les informations RDPlistener Gateway sont transmises en toute sécurité par Authenticator Gateway à l’aide d’un serveur STA.

Configuration

  • Ajouter un nouveau profil RDPServer . Le profil de serveur est configuré sur la passerelle RDPlistener.

     add rdpServer Profile [profilename] -rdpIP [IPV4 address of the RDP listener] -rdpPort [port for terminating RDP client connections] -psk [key to decrypt RDPTarget/RDPUser information, needed while using STA].

    Pour le proxy RDP sans état, le serveur STA valide le ticket STA, qui est envoyé par le client RDP, pour obtenir les informations RDP Target/RDPUser.

    Le profil RDPServer est configuré sur le serveur virtuel vpn à l’aide de la commande suivante :

     add vpn vserver v1 SSL [publicIP] [portforterminatingvpnconnections] -rdpServerProfile [rdpServer Profile]

    Avertissement Une fois que le RDPServerProfile est configuré sur le vpn vserver, il ne peut pas être modifié. En outre, le même ServerProfile ne peut pas être réutilisé sur un autre vpn vserver.

La commande rdp profile a été renommée profil RDPClient et a de nouveaux paramètres. La commande MultiMonitorSupport a été ajoutée. En outre, une option pour configurer des paramètres personnalisés, qui ne sont pas pris en charge dans le profil client RDP, a été ajoutée. Le param ClientSSL a été supprimé, puisque la connexion est toujours sécurisée. Le profil client est configuré sur la passerelle d’authentification.

add rdpClient profile <name> -rdpHost <optional FQDN that will be put in the RDP file as ‘fulladdress’> [-rdpUrlOverride ( ENABLE | DISABLE )] [-redirectClipboard ( ENABLE | DISABLE )] [-redirectDrives ( ENABLE | DISABLE )]

        [-redirectPrinters ( ENABLE | DISABLE )] [-keyboardHook <keyboardHook>] [-audioCaptureMode ( ENABLE | DISABLE )] [-videoPlaybackMode ( ENABLE | DISABLE )]

        [-rdpCookieValidity <positive_integer>][-multiMonitorSupport ( ENABLE | DISABLE )] [-rdpCustomParams <string>] La configuration — RDpHost est utilisée dans un déploiement de passerelle unique.
  • Associez le profil RDP au serveur virtuel vpn.

Cela peut être fait soit en configurant un SessionAction + SessionPolicy, soit en définissant le paramètre global vpn.

Exemple

add vpn sessionaction <actname> -rdpClientprofile <rdpprofilename>

add vpn sessionpolicy <polname> NS_TRUE <actname>

bind vpn vserver <vservername> -policy <polname> -priority <prioritynumber>

OU

set vpn parameter –rdpClientprofile <name>

Compteur de connexion

Un nouveau compteur de connexion ns_rdp_tot_curr_active_conn a été ajouté, qui conserve l’enregistrement du nombre de connexions actives en cours d’utilisation. Il peut être considéré comme une partie de la commande nsconmsg sur le shell NetScaler. Plus tard, nous fournirons une nouvelle commande CLI pour afficher ces compteurs.

Débit de connexion

Il y a deux connexions impliquées dans le flux de proxy RDP. La première connexion est la connexion VPN SSL de l’utilisateur au VIP Citrix Gateway et l’énumération des ressources RDP.

La deuxième connexion est la connexion du client RDP natif à l’écouteur RDP (configure à l’aide de RDPip et RDPPort) sur Citrix Gateway, et le proxy ultérieur du client RDP vers des paquets de serveur en toute sécurité.

image localisée

  1. L’utilisateur se connecte à l’Authenticator Gateway VIP et fournit ses informations d’identification.

  2. Une fois la connexion réussie à la passerelle, l’utilisateur est redirigé vers le portail homepe/externe qui énumère les ressources de bureau à distance auxquelles l’utilisateur peut accéder.

  3. Une fois que l’utilisateur sélectionne une ressource RDP, une demande est reçue par le VIP Authenticator Gateway, au format https://AGVIP/rdpproxy/ip:port/rdptargetproxy indiquant la ressource publiée sur laquelle l’utilisateur a cliqué. Cette demande contient les informations sur l’IP et le port du serveur RDP sélectionné par l’utilisateur.

  4. La requête /rdpproxy/ est traitée par Authenticator Gateway. Étant donné que l’utilisateur est déjà authentifié, cette demande est accompagnée d’un cookie de passerelle valide.

  5. Les informations RDPTarget et RDPUser sont stockées sur le serveur STA et un ticket STA est généré. Les informations sont stockées en tant que blob XML qui est éventuellement crypté à l’aide de la clé pré-partagée configurée. S’il est chiffré, le blob est codé en base64 et stocké. La passerelle Authenticator utilisera l’un des serveurs STA configurés sur le serveur Gateway Vserver.

  6. Le blob XML sera au format suivant

    <Value name=”IPAddress”>ipaddr</Value>\n<Value name=”Port”>port</Value>\n

    <Value name=”Username”>username</Value>\n<Value name=”Password”>pwd</Value>

  7. Le ‘rdptargetproxy’ obtenu dans la requête /rdpproxy/ est placé comme ‘fulladdress’ et le ticket STA (pré-pendé avec l’AuthID STA) est placé comme ‘loadbalanceinfo’ dans le fichier .rdp.

  8. Le fichier .rdp est renvoyé au point de terminaison client.

  9. Le client RDP natif lance et se connecte à la passerelle RDPlistener. Il envoie le ticket STA dans le paquet x.224 initial.

  10. La passerelle RDPlistener valide le ticket STA et obtient les informations RDPTarget et RDPUser. Le serveur STA à utiliser est récupéré en utilisant le ‘AuthID’ présent dans le loadbalanceinfo.

  11. Une session Gateway est créée pour stocker les stratégies d’autorisation/d’audit. Si une session existe déjà pour l’utilisateur, elle est réutilisée.

  12. La passerelle RDPlistener se connecte au RDPTarget et aux signes uniques à l’aide de CREDSSP.

Compatibilité avec une passerelle unique

Si le fichier RDP est généré à l’aide de l’URL /rdpproxy/rdptarget/rdptargetproxy, nous allons générer un ticket STA, sinon la méthode actuelle de « loadbalanceinfo » se référant directement à la session sera utilisée.

image localisée

Dans le cas d’un déploiement de passerelle unique, l’URL /rdpproxy arrive à la passerelle Authenticator elle-même. Un serveur STA n’est pas requis. La passerelle d’authentification code le cookie de session RDPTarget et AAA en toute sécurité et envoie ceci sous la forme de « loadbalanceinfo » dans le fichier .rdp. Lorsque le client RDP envoie ce jeton dans le paquet x.224, la passerelle d’authentification décode les informations RDPTarget, recherche la session et se connecte à RDPTarget.

Notes de mise à niveau

La configuration antérieure ne fonctionne pas avec cette nouvelle version, car les paramètres RDPip et RDPPort, qui étaient précédemment configurés sur vpn vserver, ont été mis à jour pour faire partie du RDPServerProfile et ‘rdp Profile’ a été renommé en ‘rdp ClientProfile’ et l’ancien paramètre ClientSSL a été supprimé.

Créer un profil de serveur RDP

  1. Accédez à Citrix Gateway > Stratégies > RDP.

    image localisée

  2. Accédez à l’onglet Profils de serveur et cliquez sur Ajouter.

    image localisée

  3. Entrez les informations suivantes pour créer le profil de serveur RDP.

    image localisée

Configurer le profil du client RDP

  1. Accédez à Citrix Gateway > Stratégies > RDP

    image localisée

  2. Accédez à l’onglet Profils du client et cliquez sur Ajouter.

    image localisée

  3. Entrez les informations suivantes pour configurer le profil de serveur RDP.

    image localisée

Configurer un serveur virtuel

  1. Accédez à Citrix Gateway > Serveur virtuel.

    image localisée

  2. Cliquez sur Ajouter pour créer un nouveau serveur RDP.

    image localisée

  3. Complétez les données de cette page Paramètres de base et cliquez sur OK.

    image localisée

  4. Cliquez sur le crayon pour modifier la page.

    image localisée

Proxy RDP sans état

July 29, 2019
Contributed by:  C

Dans cet article

Éditer cette page