Documentazione dei prodotti
Citrix DaaS™
Visualizza PDF

Rendezvous V1

September 16, 2025
Grazie al contributo di: 
C C

Quando si utilizza il servizio Citrix Gateway, il protocollo Rendezvous consente ai VDA di bypassare i connettori Citrix Cloud™ per connettersi direttamente e in modo sicuro al piano di controllo di Citrix Cloud.

Requisiti

  • Accesso all’ambiente tramite Citrix Workspace™ e il servizio Citrix Gateway.
  • Piano di controllo: Citrix DaaS™ (Citrix Cloud).
  • VDA: versione 1912 o successiva.
    • La versione 2012 è il requisito minimo per EDT Rendezvous.
    • La versione 2012 è il requisito minimo per il supporto di proxy non trasparenti (nessun supporto per file PAC).
    • La versione 2103 è il requisito minimo per la configurazione del proxy con un file PAC.
  • Abilitare il protocollo Rendezvous nella policy Citrix. Per maggiori informazioni, consultare Impostazione della policy del protocollo Rendezvous.
  • I VDA devono avere accesso a https://*.nssvc.net, inclusi tutti i sottodomini. Se non è possibile aggiungere tutti i sottodomini all’elenco consentiti in questo modo, utilizzare invece https://*.c.nssvc.net e https://*.g.nssvc.net. Per maggiori informazioni, consultare la sezione Requisiti di connettività Internet della documentazione di Citrix Cloud (sotto Citrix DaaS) e l’articolo del Knowledge Center CTX270584.
  • I VDA devono essere in grado di connettersi agli indirizzi menzionati in precedenza su TCP 443 e UDP 443 rispettivamente per TCP Rendezvous ed EDT Rendezvous.
  • I Cloud Connector devono ottenere gli FQDN dei VDA durante il brokering di una sessione. Eseguire questa operazione in uno dei due modi seguenti:
    • Abilitare la risoluzione DNS per il sito. Passare a Settings > Site settings (Impostazioni > Impostazioni sito) e attivare l’impostazione Enable DNS resolution (Abilita risoluzione DNS). In alternativa, utilizzare l’SDK PowerShell remoto di Citrix Virtual Apps and Desktops ed eseguire il comando Set-BrokerSite -DnsResolutionEnabled $true. Per maggiori informazioni sull’SDK PowerShell remoto di Citrix Virtual Apps and Desktops, consultare SDK e API.
    • Zona di ricerca inversa DNS con record PTR per i VDA. Se si sceglie questa opzione, si consiglia di configurare i VDA in modo che tentino sempre di registrare i record PTR. A tale scopo, utilizzare l’Editor Criteri di gruppo o l’Oggetto Criteri di gruppo, passare a Computer Configuration > Administrative Templates > Network > DNS Client (Configurazione computer > Modelli amministrativi > Rete > Client DNS) e impostare Register PTR Records (Registra record PTR) su Enabled and Register (Abilitato e Registra). Se il suffisso DNS della connessione non corrisponde al suffisso DNS del dominio, è necessario configurare anche l’impostazione Connection-specific DNS suffix (Suffisso DNS specifico della connessione) affinché le macchine registrino correttamente i record PTR.

    Nota:

    Se si utilizza l’opzione di risoluzione DNS, i Cloud Connector devono essere in grado di risolvere i nomi di dominio completi (FQDN) delle macchine VDA. Nel caso in cui gli utenti interni si connettano direttamente alle macchine VDA, anche i dispositivi client devono essere in grado di risolvere gli FQDN delle macchine VDA.

    Se si utilizza una zona di ricerca inversa DNS, gli FQDN nei record PTR devono corrispondere agli FQDN delle macchine VDA. Se il record PTR contiene un FQDN diverso, la connessione Rendezvous fallisce. Ad esempio, se l’FQDN della macchina è vda01.domain.net, il record PTR deve contenere vda01.domain.net. Un FQDN diverso, come vda01.sub.domain.net, non funziona.

Configurazione del proxy

Il VDA supporta la creazione di connessioni Rendezvous tramite un proxy.

Considerazioni sul proxy

Considerare quanto segue quando si utilizzano i proxy con Rendezvous:

  • Sono supportati proxy trasparenti, proxy HTTP non trasparenti e proxy SOCKS5.
  • La decrittografia e l’ispezione dei pacchetti non sono supportate. Configurare un’eccezione in modo che il traffico ICA® tra il VDA e il servizio Gateway non venga intercettato, decrittografato o ispezionato. In caso contrario, la connessione si interrompe.

  • I proxy HTTP supportano l’autenticazione basata su macchina utilizzando i protocolli di autenticazione Negotiate e Kerberos o NT LAN Manager (NTLM).

    Quando ci si connette al server proxy, lo schema di autenticazione Negotiate seleziona automaticamente il protocollo Kerberos. Se Kerberos non è supportato, Negotiate ripiega su NTLM per l’autenticazione.

    Nota:

    Per utilizzare Kerberos, è necessario creare il nome dell’entità servizio (SPN) per il server proxy e associarlo all’account Active Directory del proxy. Il VDA genera l’SPN nel formato HTTP/<proxyURL> durante la creazione di una sessione, dove l’URL del proxy viene recuperato dall’impostazione della policy Rendezvous proxy. Se non si crea un SPN, l’autenticazione ripiega su NTLM. In entrambi i casi, l’identità della macchina VDA viene utilizzata per l’autenticazione.

  • L’autenticazione con un proxy SOCKS5 non è attualmente supportata. Se si utilizza un proxy SOCKS5, è necessario configurare un’eccezione in modo che il traffico destinato agli indirizzi del servizio Gateway (specificati nei requisiti) possa bypassare l’autenticazione.
  • Solo i proxy SOCKS5 supportano il trasporto dati tramite EDT. Per un proxy HTTP, utilizzare TCP come protocollo di trasporto per ICA.

Proxy trasparente

Se si utilizza un proxy trasparente nella propria rete, non è richiesta alcuna configurazione aggiuntiva sul VDA.

Proxy non trasparente

Se si utilizza un proxy non trasparente nella propria rete, configurare l’impostazione Configurazione del proxy Rendezvous. Quando l’impostazione è abilitata, specificare l’indirizzo del proxy HTTP o SOCKS5, oppure immettere il percorso del file PAC in modo che il VDA sappia quale proxy utilizzare. Ad esempio:

  • Indirizzo proxy: http://<URL o IP>:<porta> o socks5://<URL o IP>:<porta>
  • File PAC: http://<URL o IP>/<percorso>/<nomefile>.pac

Se si utilizza il file PAC per configurare il proxy, definire il proxy utilizzando la sintassi richiesta dal servizio HTTP di Windows: PROXY [<schema>=]<URL o IP>:<porta>. Ad esempio, PROXY socks5=<URL o IP>:<porta>.

Convalida di Rendezvous

Se si soddisfano tutti i requisiti, seguire questi passaggi per convalidare se Rendezvous è in uso:

  1. Avviare PowerShell o un prompt dei comandi all’interno della sessione HDX™.
  2. Eseguire ctxsession.exe –v.
  3. I protocolli di trasporto in uso indicano il tipo di connessione:
    • TCP Rendezvous: TCP > SSL > CGP > ICA
    • EDT Rendezvous: UDP > DTLS > CGP > ICA
    • Proxy tramite Cloud Connector: TCP > CGP > ICA

Altre considerazioni

Ordine delle suite di crittografia di Windows

Per un ordine personalizzato delle suite di crittografia, assicurarsi di includere le suite di crittografia supportate dal VDA dal seguente elenco:

  • TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
  • TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384
  • TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA

Se l’ordine personalizzato delle suite di crittografia non contiene queste suite di crittografia, la connessione Rendezvous fallisce.

Zscaler Private Access

Se si utilizza Zscaler Private Access (ZPA), si consiglia di configurare le impostazioni di bypass per il servizio Gateway per evitare l’aumento della latenza e il relativo impatto sulle prestazioni. A tale scopo, è necessario definire segmenti di applicazione per gli indirizzi del servizio Gateway – specificati nei requisiti – e impostarli in modo che vengano sempre bypassati. Per informazioni sulla configurazione dei segmenti di applicazione per bypassare ZPA, consultare la documentazione di Zscaler.

Rendezvous V1
September 16, 2025
Grazie al contributo di: 
C C
September 16, 2025
Grazie al contributo di: 
C C

In questo articolo

Feedback sito | Your privacy choices footer linkScelte di privacy | Privacy e condizioni legali | Preferenze cookie | Impostazioni di consenso | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.