Linux Virtual Delivery Agent 2104

Sécuriser les sessions utilisateur en utilisant TLS

À compter de la version 7.16, l’agent Linux VDA prend en charge le chiffrement TLS pour des sessions utilisateur sécurisées Le chiffrement TLS est désactivé par défaut.

Activer le chiffrement TLS

Pour activer le chiffrement TLS pour des sessions utilisateur sécurisées, obtenez des certificats et activez le chiffrement TLS sur le Linux VDA et le Delivery Controller (le Controller).

Obtenir des certificats

Procurez-vous des certificats de serveur au format PEM et des certificats racine au format CRT auprès d’une autorité de certification (CA) de confiance. Un certificat de serveur contient les sections suivantes :

  • Certificat
  • Clé privée non chiffrée
  • Certificats intermédiaires (facultatif)

Exemple de certificat de serveur

Exemple de certificat de serveur

Activer le chiffrement TLS

Activer le chiffrement TLS sur le Linux VDA

Sur Linux VDA, utilisez l’outil enable_vdassl.sh pour activer (ou désactiver) le chiffrement TLS. L’outil est situé dans le répertoire /opt/Citrix/VDA/sbin. Pour plus d’informations sur les options disponibles dans l’outil, exécutez la commande /opt/Citrix/VDA/sbin/enable_vdassl.sh -help.

Conseil : un certificat de serveur doit être installé sur chaque serveur Linux VDA et des certificats racine doivent être installés sur chaque serveur et client Linux VDA.

Activer le chiffrement TLS sur le Controller

Remarque :

Vous pouvez activer le chiffrement TLS uniquement pour les groupes de mise à disposition entiers. Vous ne pouvez pas activer le chiffrement TLS pour des applications spécifiques.

Dans une fenêtre PowerShell sur le Controller, exécutez les commandes suivantes dans l’ordre pour activer le chiffrement TLS pour le groupe de mise à disposition cible.

  1. Add-PSSnapin citrix.*
  2. Get-BrokerAccessPolicyRule –DesktopGroupName 'GROUPNAME' | Set-BrokerAccessPolicyRule –HdxSslEnabled $true

Remarque :

Pour vous assurer que seuls les noms de domaine complets VDA sont contenus dans un fichier de session ICA, vous pouvez également exécuter la commande Set-BrokerSite –DnsResolutionEnabled $true. La commande active la résolution DNS. Si vous désactivez la résolution DNS, un fichier de session ICA divulgue les adresses IP du VDA et fournit des noms de domaine complets uniquement pour les éléments liés à TLS tels que SSLProxyHost et UDPDTLSPort.

Pour désactiver le chiffrement TLS sur le Controller, exécutez les commandes suivantes dans l’ordre :

  1. Add-PSSnapin citrix.*
  2. Get-BrokerAccessPolicyRule –DesktopGroupName 'GROUPNAME' | Set-BrokerAccessPolicyRule –HdxSslEnabled $false
  3. Set-BrokerSite –DnsResolutionEnabled $false

Résolution des problèmes

Le message d’erreur « Can’t assign requested address » (Impossible d’attribuer l’adresse demandée) peut s’afficher dans l’application Citrix Workspace pour Windows lorsque vous tentez d’accéder à une session de bureau publié :

Impossible d'attribuer l'adresse demandée

Pour résoudre ce problème, ajoutez une entrée au fichier hosts, comme :

<IP address of the Linux VDA>      <FQDN of the Linux VDA>

Sur les machines Windows, le fichier hosts est généralement situé dans C:\Windows\System32\drivers\etc\hosts.

Sécuriser les sessions utilisateur en utilisant TLS