Citrix Gateway

Déploiement de Citrix Gateway avec l’interface Web

Lorsque vous déployez Citrix Gateway pour fournir un accès distant sécurisé à Citrix Virtual Apps and Desktops, Citrix Gateway est compatible avec l’interface Web et la Secure Ticket Authority (STA) pour fournir un accès aux applications et bureaux publiés hébergés dans une batterie de serveurs.

Le déploiement de Citrix Gateway dans la zone démilitarisée est la configuration la plus courante lorsque Citrix Gateway fonctionne avec une batterie de serveurs. Dans cette configuration, Citrix Gateway fournit un point d’accès unique sécurisé pour les navigateurs Web et l’application Citrix Workspace qui accèdent aux ressources publiées via l’interface Web. Cette section couvre les aspects de base de cette option de déploiement.

La configuration du réseau de votre organisation détermine où vous déployez Citrix Gateway lorsqu’il fonctionne avec une batterie de serveurs. Vous disposez des deux options suivantes :

  • Si votre organisation protège le réseau interne avec une zone démilitarisée unique, déployez Citrix Gateway dans la zone démilitarisée.
  • Si votre organisation protège le réseau interne avec deux zones démilitarisés, déployez une Citrix Gateway dans chacun des deux segments de réseau dans une configuration DMZ à double saut. Pour plus d’informations, consultez Déploiement de Citrix Gateway dans une zone démilitarisée à double saut. Remarque : Vous pouvez également configurer une zone démilitarisée à double saut avec le deuxième dispositif Citrix Gateway dans le réseau sécurisé.

Lorsque vous déployez Citrix Gateway dans la zone démilitarisée pour fournir un accès distant à une batterie de serveurs, vous pouvez implémenter l’une des trois options de déploiement suivantes :

  • Déployez l’interface Web derrière Citrix Gateway dans la zone démilitarisée. Dans cette configuration, comme illustré dans la figure suivante, Citrix Gateway et l’interface Web sont déployés dans la zone démilitarisée. La connexion utilisateur initiale est dirigée vers Citrix Gateway, puis redirigée vers l’interface Web. Figure 1. Interface Web derrière Citrix Gateway dans la zone démilitarisée Interface Web derrière Citrix Gateway dans la zone démilitarisée
  • Déployez Citrix Gateway en parallèle à l’interface Web dans la zone démilitarisée. Dans cette configuration, Citrix Gateway et l’interface Web sont déployées dans la zone démilitarisée, mais la connexion utilisateur initiale passe à l’interface Web au lieu de Citrix Gateway.
  • Déployez Citrix Gateway dans la zone démilitarisée et déployez l’interface Web sur le réseau interne. Dans cette configuration, Citrix Gateway authentifie les demandes des utilisateurs avant de relayer la demande à l’interface Web du réseau sécurisé. L’interface Web n’effectue pas d’authentification, mais interagit avec la STA et génère un fichier ICA pour s’assurer que le trafic ICA est acheminé via Citrix Gateway vers la batterie de serveurs.

L’emplacement dans lequel vous déployez l’interface Web dépend de divers facteurs, notamment :

  • Authentification. Lorsque les utilisateurs ouvrent une session, Citrix Gateway ou l’interface Web peuvent authentifier les informations d’identification des utilisateurs. L’emplacement de l’interface Web dans votre réseau est un facteur qui détermine, en partie, l’endroit où les utilisateurs s’authentifient.
  • Logiciel utilisateur. Les utilisateurs peuvent se connecter à l’interface Web à l’aide de l’agent Citrix Secure Access ou de l’application Citrix Workspace. Vous pouvez limiter les ressources auxquelles les utilisateurs peuvent accéder en utilisant uniquement l’application Citrix Workspace, ou donner aux utilisateurs un meilleur accès au réseau avec l’agent Citrix Secure Access. La façon dont les utilisateurs se connectent et les ressources auxquelles vous autorisez les utilisateurs à se connecter peuvent aider à déterminer où vous déployez l’interface Web sur votre réseau.

Déploiement de l’interface Web dans un réseau sécurisé

Dans ce déploiement, l’interface Web réside dans le réseau interne sécurisé. Citrix Gateway est dans la zone démilitarisée. Citrix Gateway authentifie les demandes des utilisateurs avant de les envoyer à l’interface Web.

Lorsque vous déployez l’interface Web sur le réseau sécurisé, vous devez configurer l’authentification sur Citrix Gateway.

Si vous déployez l’interface Web avec Citrix Virtual Apps and Desktops, le déploiement de l’interface Web sur le réseau sécurisé est le scénario de déploiement par défaut. Lorsque le Desktop Delivery Controller est installé, une version personnalisée de l’interface Web est également installée.

Important : Lorsque l’interface Web se trouve dans le réseau sécurisé, vous devez activer l’authentification sur Citrix Gateway. Les utilisateurs se connectent à Citrix Gateway, saisissent leurs informations d’identification, puis se connectent à l’interface Web. Lorsque vous désactivez l’authentification, les demandes HTTP non authentifiées sont envoyées directement au serveur exécutant l’interface Web. La désactivation de l’authentification sur Citrix Gateway est recommandée uniquement lorsque l’interface Web se trouve dans la zone démilitarisée et que les utilisateurs se connectent directement à l’interface Web.

Figure 1. Interface Web située dans le réseau sécurisé

Illustration du déploiement

Déploiement de l’interface Web parallèle à Citrix Gateway dans une zone démilitarisée

Dans ce déploiement, l’interface Web et Citrix Gateway résident tous deux dans la zone démilitarisée. Les utilisateurs se connectent directement à l’interface Web à l’aide d’un navigateur Web ou de l’application Citrix Workspace. Les connexions utilisateur sont d’abord envoyées à l’interface Web pour authentification. Après authentification, les connexions sont acheminées via Citrix Gateway. Une fois que les utilisateurs se sont connectés à l’interface Web, ils peuvent accéder aux applications ou bureaux publiés dans la batterie de serveurs. Lorsque les utilisateurs démarrent une application ou un bureau, l’interface Web envoie un fichier ICA contenant des instructions pour acheminer le trafic ICA via Citrix Gateway comme s’il s’agissait d’un serveur exécutant Secure Gateway. Le fichier ICA fourni par l’interface Web inclut un ticket de session produit par la Secure Ticket Authority (STA).

Lorsque l’application Citrix Workspace se connecte à Citrix Gateway, le ticket est présenté. Citrix Gateway contacte la STA pour valider le ticket de session. Si le ticket est toujours valide, le trafic ICA de l’utilisateur est relayé vers le serveur de la batterie de serveurs. La figure suivante illustre ce déploiement.

Figure 1. L’interface Web installée en parallèle à Citrix Gateway

Interface Web exécutée en parallèle à Citrix Gateway

Lorsque l’interface Web s’exécute en parallèle à Citrix Gateway dans la zone démilitarisée, vous n’avez pas besoin de configurer l’authentification sur Citrix Gateway. L’interface Web authentifie les utilisateurs.

Déployer l’interface Web derrière Citrix Gateway dans une zone démilitarisée

Dans cette configuration, Citrix Gateway et l’interface Web sont déployés dans la zone démilitarisée. Lorsque les utilisateurs ouvrent une session avec l’application Citrix Workspace, la connexion utilisateur initiale est dirigée vers Citrix Gateway, puis redirigée vers l’interface Web. Pour acheminer tout le trafic HTTPS et ICA via un seul port externe et nécessiter l’utilisation d’un seul certificat SSL, Citrix Gateway agit en tant que proxy Web inverse pour l’interface Web.

Figure 1. Interface Web située derrière Citrix Gateway

Illustration du déploiement

Lorsque l’interface Web est déployée derrière Citrix Gateway dans la zone démilitarisée, vous pouvez configurer l’authentification sur l’appliance, mais elle n’est pas nécessaire. Citrix Gateway ou l’interface Web peuvent authentifier les utilisateurs, car ils résident tous deux dans la zone démilitarisée.

Déploiement de Citrix Gateway avec l’interface Web