Impostazioni di resilienza della sessione
Mantenere l’attività della sessione è fondamentale per offrire la migliore esperienza utente. La perdita di connettività a causa di reti inaffidabili, latenza di rete altamente variabile e limitazioni di portata dei dispositivi wireless può portare alla frustrazione dell’utente. Essere in grado di spostarsi rapidamente tra le workstation e accedere allo stesso set di applicazioni ogni volta che si effettua l’accesso è una priorità per molti lavoratori mobili, come gli operatori sanitari in un ospedale.
Le funzionalità descritte in questo articolo ottimizzano l’affidabilità delle sessioni, riducono gli inconvenienti, i tempi di inattività e la perdita di produttività; utilizzando queste funzionalità, gli utenti mobili possono spostarsi rapidamente e facilmente tra i dispositivi.
Affidabilità della sessione
L’affidabilità della sessione (Session Reliability) mantiene le sessioni attive e visibili sullo schermo dell’utente quando la connettività di rete viene interrotta. Gli utenti continuano a vedere l’applicazione che stanno utilizzando fino a quando la connettività di rete non riprende.
-
Questa funzionalità è particolarmente utile per gli utenti mobili con connessioni wireless. Ad esempio, un utente con una connessione wireless entra in una galleria ferroviaria e perde momentaneamente la connettività. Normalmente, la sessione viene disconnessa e scompare dallo schermo dell’utente, e l’utente deve riconnettersi alla sessione disconnessa. Con l’affidabilità della sessione, la sessione rimane attiva sulla macchina. Per indicare che la connettività è persa, il display dell’utente si blocca e il cursore cambia in una clessidra che gira fino a quando la connettività non riprende dall’altra parte della galleria. L’utente continua ad accedere al display durante l’interruzione e può riprendere a interagire con l’applicazione quando la connessione di rete viene ripristinata. L’affidabilità della sessione riconnette gli utenti senza richiedere una nuova autenticazione.
-
Gli utenti dell’app Citrix Workspace™ non possono ignorare l’impostazione del Controller.
È possibile utilizzare l’affidabilità della sessione con Transport Layer Security (TLS). TLS crittografa solo i dati inviati tra il dispositivo utente e Citrix Gateway.
Abilitare e configurare l’affidabilità della sessione con le seguenti impostazioni dei criteri:
- L’impostazione del criterio Connessioni di affidabilità della sessione (Session reliability connections) consente o impedisce l’affidabilità della sessione.
- L’impostazione del criterio Timeout di affidabilità della sessione (Session reliability timeout) ha un valore predefinito di 180 secondi, ovvero tre minuti. Sebbene sia possibile estendere il tempo in cui l’affidabilità della sessione mantiene una sessione aperta, questa funzionalità è progettata per la comodità dell’utente e pertanto non richiede all’utente una nuova autenticazione. Estendendo il tempo in cui una sessione viene mantenuta aperta, aumentano le probabilità che un utente possa distrarsi e allontanarsi dal dispositivo utente, lasciando potenzialmente la sessione accessibile a utenti non autorizzati.
- Le connessioni di affidabilità della sessione in ingresso utilizzano la porta 2598, a meno che non si modifichi il numero di porta nell’impostazione del criterio Numero di porta di affidabilità della sessione (Session reliability port number).
-
Se non si desidera che gli utenti possano riconnettersi a sessioni interrotte senza dover eseguire nuovamente l’autenticazione, utilizzare la funzionalità Riconnessione automatica client (Auto Client Reconnect). È possibile configurare l’impostazione del criterio Autenticazione riconnessione automatica client (Auto client reconnect authentication) per richiedere agli utenti di eseguire nuovamente l’autenticazione quando si riconnettono a sessioni interrotte.
- Se si utilizzano sia l’affidabilità della sessione che la riconnessione automatica client, le due funzionalità operano in sequenza. L’affidabilità della sessione chiude o disconnette la sessione utente dopo il tempo specificato nell’impostazione del criterio Timeout di affidabilità della sessione. Successivamente, le impostazioni dei criteri di riconnessione automatica client entrano in vigore, tentando di riconnettere l’utente alla sessione disconnessa.
Riconnessione automatica client
Con la funzionalità Riconnessione automatica client (Auto Client Reconnect), l’app Citrix Workspace può rilevare disconnessioni involontarie delle sessioni ICA® e riconnettere automaticamente gli utenti alle sessioni interessate. Quando questa funzionalità è abilitata sul server, gli utenti non devono riconnettersi manualmente per continuare a lavorare.
-
Per le sessioni applicative, l’app Citrix Workspace tenta di riconnettersi alla sessione fino a quando non avviene una riconnessione riuscita o l’utente annulla i tentativi di riconnessione.
-
Per le sessioni desktop, l’app Citrix Workspace tenta di riconnettersi alla sessione per un tempo specificato, a meno che non avvenga una riconnessione riuscita o l’utente annulli i tentativi di riconnessione. Per impostazione predefinita, questo tempo è di cinque minuti. Per modificare questo periodo, modificare questo registro sul dispositivo utente:
-
HKLM\Software\Citrix\ICA Client\TransportReconnectRetryMaxTimeSeconds; DWORD;<seconds>
Dove seconds è il numero di secondi dopo i quali non vengono più effettuati tentativi di riconnessione della sessione.
Abilitare e configurare la riconnessione automatica client con le seguenti impostazioni dei criteri:
- Riconnessione automatica client: Abilita o disabilita la riconnessione automatica da parte dell’app Citrix Workspace dopo che una connessione è stata interrotta.
- Autenticazione riconnessione automatica client: Abilita o disabilita il requisito di autenticazione dell’utente dopo la riconnessione automatica.
-
Registrazione riconnessione automatica client: Abilita o disabilita la registrazione degli eventi di riconnessione nel registro eventi. La registrazione è disabilitata per impostazione predefinita. Quando abilitato, il registro di sistema del server acquisisce informazioni sugli eventi di riconnessione automatica riusciti e non riusciti. Ogni server memorizza le informazioni sugli eventi di riconnessione nel proprio registro di sistema. Il sito non fornisce un registro combinato degli eventi di riconnessione per tutti i server.
- La riconnessione automatica client incorpora un meccanismo di autenticazione basato su credenziali utente crittografate. Quando un utente effettua l’accesso iniziale, il server crittografa e memorizza le credenziali utente in memoria, e crea e invia un cookie contenente la chiave di crittografia all’app Citrix Workspace. L’app Citrix Workspace invia la chiave al server per la riconnessione. Il server decrittografa le credenziali e le invia a Windows Logon per l’autenticazione. Quando i cookie scadono, gli utenti devono eseguire nuovamente l’autenticazione per riconnettersi alle sessioni.
I cookie non vengono utilizzati se si abilita l’impostazione di autenticazione della riconnessione automatica client. Invece, agli utenti viene presentata una finestra di dialogo che richiede le credenziali quando l’app Citrix Workspace tenta di riconnettersi automaticamente.
-
Per la massima protezione delle credenziali e delle sessioni utente, utilizzare la crittografia per tutte le comunicazioni tra i client e il Sito.
-
Disabilitare la riconnessione automatica client sull’app Citrix Workspace per Windows utilizzando il file icaclient.adm. Per maggiori informazioni, consultare la documentazione per la versione dell’app Citrix Workspace per Windows in uso.
Le impostazioni per le connessioni influiscono anche sulla riconnessione automatica client (Auto Client Reconnect):
- Per impostazione predefinita, la riconnessione automatica client (Auto Client Reconnect) è abilitata tramite le impostazioni dei criteri a livello di sito, come descritto in precedenza. Non è richiesta la riautenticazione dell’utente. Tuttavia, se la connessione ICA TCP di un server è configurata per reimpostare le sessioni con un collegamento di comunicazione interrotto, la riconnessione automatica non si verifica. La riconnessione automatica client (Auto Client Reconnect) funziona solo se il server disconnette le sessioni in caso di connessione interrotta o scaduta. In questo contesto, la connessione ICA TCP si riferisce a una porta virtuale del server (piuttosto che a una connessione di rete effettiva) utilizzata per le sessioni su reti TCP/IP.
- Per impostazione predefinita, la connessione ICA TCP su un server è impostata per disconnettere le sessioni con connessioni interrotte o scadute. Le sessioni disconnesse rimangono intatte nella memoria di sistema e sono disponibili per la riconnessione tramite l’app Citrix Workspace.
- La connessione può essere configurata per reimpostare o disconnettere le sessioni con connessioni interrotte o scadute. Quando una sessione viene reimpostata, il tentativo di riconnessione avvia una nuova sessione. Invece di ripristinare l’utente nello stesso punto dell’applicazione in uso, l’applicazione viene riavviata.
- Se il server è configurato per reimpostare le sessioni, la riconnessione automatica client (Auto Client Reconnect) crea una sessione. Questo processo richiede agli utenti di inserire le proprie credenziali per accedere al server.
- La riconnessione automatica può non riuscire se l’app Citrix Workspace o il plug-in invia informazioni di autenticazione errate, il che potrebbe verificarsi durante un attacco o se il server determina che è trascorso troppo tempo da quando ha rilevato la connessione interrotta.
ICA Keep-Alive
L’abilitazione della funzionalità ICA Keep-Alive impedisce la disconnessione delle connessioni interrotte. Se abilitata, se il server non rileva alcuna attività (ad esempio, nessun cambio di orologio, nessun movimento del mouse, nessun aggiornamento dello schermo), questa funzionalità impedisce ai Servizi Desktop remoto di disconnettere tale sessione. Il server invia pacchetti keep-alive ogni pochi secondi per rilevare se la sessione è attiva. Se la sessione non è più attiva, il server la contrassegna come disconnessa.
-
Importante:
-
ICA Keep-Alive funziona solo se non si utilizza l’affidabilità della sessione (Session Reliability). L’affidabilità della sessione (Session Reliability) ha i propri meccanismi per impedire la disconnessione delle connessioni interrotte. Configurare ICA Keep-Alive solo per le connessioni che non utilizzano l’affidabilità della sessione (Session Reliability).
Le impostazioni di ICA Keep-Alive sovrascrivono le impostazioni keep-alive configurate nei Criteri di gruppo di Microsoft Windows.
Abilitare e configurare ICA Keep-Alive con le seguenti impostazioni dei criteri:
-
ICA keep alive timeout: Specifica l’intervallo (1–3600 secondi) utilizzato per inviare messaggi ICA keep-alive. Non configurare questa opzione se si desidera che il software di monitoraggio della rete chiuda le connessioni inattive in ambienti in cui le connessioni interrotte sono così infrequenti che consentire agli utenti di riconnettersi alle sessioni non è un problema.
L’intervallo predefinito è di 60 secondi: i pacchetti ICA Keep-Alive vengono inviati ai dispositivi utente ogni 60 secondi. Se un dispositivo utente non risponde entro 60 secondi, lo stato delle sessioni ICA cambia in disconnesso.
-
ICA keep alives: Invia o impedisce l’invio di messaggi ICA keep-alive.
Controllo workspace
Il controllo workspace consente a desktop e applicazioni di seguire un utente da un dispositivo all’altro. Questa capacità di roaming consente a un utente di accedere a tutti i desktop o alle applicazioni aperte da qualsiasi luogo semplicemente effettuando l’accesso, senza dover riavviare i desktop o le applicazioni su ciascun dispositivo. Ad esempio, il controllo workspace può aiutare gli operatori sanitari in un ospedale che devono spostarsi rapidamente tra diverse workstation e accedere allo stesso set di applicazioni ogni volta che accedono. Se si configurano le opzioni di controllo workspace per consentirlo, questi operatori possono disconnettersi da più applicazioni su un dispositivo client e quindi riconnettersi per aprire le stesse applicazioni su un dispositivo client diverso.
-
Il controllo workspace influisce sulle seguenti attività:
- Accesso: Per impostazione predefinita, il controllo workspace consente agli utenti di riconnettersi automaticamente a tutti i desktop e le applicazioni in esecuzione al momento dell’accesso, evitando la necessità di riaprirli manualmente. Tramite il controllo workspace, gli utenti possono aprire desktop o applicazioni disconnessi e qualsiasi altro attivo su un altro dispositivo client. La disconnessione da un desktop o un’applicazione la lascia in esecuzione sul server. Se si dispone di utenti in roaming che devono mantenere alcuni desktop o applicazioni in esecuzione su un dispositivo client mentre si riconnettono a un sottoinsieme dei loro desktop o applicazioni su un altro dispositivo client, è possibile configurare il comportamento di riconnessione all’accesso per aprire solo i desktop o le applicazioni da cui l’utente si era disconnesso in precedenza.
- Riconnessione: Dopo aver effettuato l’accesso al server, gli utenti possono riconnettersi a tutti i loro desktop o applicazioni in qualsiasi momento facendo clic su Riconnetti. Per impostazione predefinita, Riconnetti apre i desktop o le applicazioni disconnessi, oltre a quelli attualmente in esecuzione su un altro dispositivo client. È possibile configurare Riconnetti per aprire solo i desktop o le applicazioni da cui l’utente si era disconnesso in precedenza.
- Disconnessione: Per gli utenti che aprono desktop o applicazioni tramite StoreFront™, è possibile configurare il comando Disconnetti per disconnettere l’utente da StoreFront e da tutte le sessioni attive contemporaneamente, oppure disconnettersi solo da StoreFront.
-
Disconnessione: Gli utenti possono disconnettersi da tutti i desktop e le applicazioni in esecuzione contemporaneamente, senza dover disconnettersi da ciascuno individualmente.
- Il controllo workspace è disponibile per gli utenti che accedono a desktop e applicazioni tramite una connessione Citrix StoreFront o tramite l’app Citrix Workspace. Per impostazione predefinita, il controllo workspace è disabilitato per le sessioni desktop virtuali, ma è abilitato per le applicazioni ospitate. La condivisione della sessione non si verifica per impostazione predefinita tra i desktop pubblicati e le applicazioni pubblicate in esecuzione all’interno di tali desktop.
I criteri utente, le mappature delle unità client e le configurazioni delle stampanti cambiano in modo appropriato quando un utente si sposta su un nuovo dispositivo client. I criteri e le mappature vengono applicati in base al dispositivo client in cui l’utente ha effettuato l’accesso alla sessione. Ad esempio, se un operatore sanitario si disconnette da un dispositivo client nel pronto soccorso di un ospedale e quindi accede a una workstation nel laboratorio di radiologia dell’ospedale, i criteri, le mappature delle stampanti e le mappature delle unità client appropriate per la sessione nel laboratorio di radiologia entrano in vigore all’avvio della sessione.
È possibile personalizzare quali stampanti vengono visualizzate agli utenti quando cambiano posizione. È inoltre possibile controllare se gli utenti possono stampare su stampanti locali, quanta larghezza di banda viene consumata quando gli utenti si connettono in remoto e altri aspetti delle loro esperienze di stampa.
Per informazioni sull’abilitazione e la configurazione del controllo workspace per gli utenti, consultare la documentazione di StoreFront.
Roaming sessione
Nota:
Le seguenti informazioni guidano l’utente alla configurazione del roaming sessione tramite PowerShell. È possibile utilizzare Studio in alternativa. Per maggiori informazioni, consultare Gestire i gruppi di consegna.
Per impostazione predefinita, le sessioni eseguono il roaming tra i dispositivi client con l’utente. Quando l’utente avvia una sessione e quindi si sposta su un altro dispositivo, viene utilizzata la stessa sessione e le applicazioni sono contemporaneamente disponibili su entrambi i dispositivi. È possibile visualizzare le applicazioni su più dispositivi. Le applicazioni seguono, indipendentemente dal dispositivo o dall’esistenza di sessioni correnti. Spesso, anche le stampanti e altre risorse assegnate all’applicazione seguono.
Sebbene questo comportamento predefinito offra molti vantaggi, potrebbe non essere l’ideale in tutti i casi. È possibile impedire il roaming sessione utilizzando l’SDK PowerShell.
Esempio 1: un professionista medico utilizza due dispositivi, compilando un modulo assicurativo su un PC desktop e consultando le informazioni del paziente su un tablet.
- Se il roaming di sessione è abilitato, entrambe le applicazioni vengono visualizzate su entrambi i dispositivi (un’applicazione avviata su un dispositivo è visibile su tutti i dispositivi in uso). Questo potrebbe non soddisfare i requisiti di sicurezza.
- Se il roaming di sessione è disabilitato, la cartella clinica del paziente non viene visualizzata sul PC desktop e il modulo assicurativo non viene visualizzato sul tablet.
Esempio 2: Un responsabile di produzione avvia un’applicazione sul PC nel suo ufficio. Il nome e la posizione del dispositivo determinano quali stampanti e altre risorse sono disponibili per quella sessione. Più tardi, si reca in un ufficio nell’edificio accanto per una riunione che richiederà l’uso di una stampante.
- Se il roaming di sessione è abilitato, il responsabile di produzione probabilmente non sarebbe in grado di accedere alle stampanti vicino alla sala riunioni, perché le applicazioni avviate in precedenza nel suo ufficio hanno comportato l’assegnazione di stampanti e altre risorse vicino a quella posizione.
- Se il roaming di sessione è disabilitato, quando si connette a una macchina diversa (utilizzando le stesse credenziali), viene avviata una nuova sessione e le stampanti e le risorse vicine sono disponibili.
Configurare il roaming di sessione
Per configurare il roaming di sessione, utilizzare i seguenti cmdlet della regola dei criteri di diritto con la proprietà “SessionReconnection”. Facoltativamente, è possibile specificare anche la proprietà “LeasingBehavior”.
Per le sessioni desktop:
Set-BrokerEntitlementPolicyRule <Delivery-Group-name> -SessionReconnection <value> -LeasingBehavior Allowed|Disallowed
Per le sessioni applicative:
Set-BrokerAppEntitlementPolicyRule <Delivery-Group-name> -SessionReconnection <value> -LeasingBehavior Allowed|Disallowed
Dove value può essere uno dei seguenti:
- Always: Le sessioni eseguono sempre il roaming, indipendentemente dal dispositivo client e dal fatto che la sessione sia connessa o disconnessa. Questo è il valore predefinito.
- DisconnectedOnly: Riconnettersi solo a sessioni già disconnesse; altrimenti, avviare una nuova sessione. (Le sessioni possono eseguire il roaming tra dispositivi client disconnettendoli prima o utilizzando il controllo dell’area di lavoro per eseguirne esplicitamente il roaming.) Una sessione attiva connessa da un altro dispositivo client non viene mai utilizzata. Viene invece avviata una nuova sessione.
- SameEndpointOnly: Un utente ottiene una sessione unica per ogni dispositivo client che utilizza. Ciò disabilita completamente il roaming. Gli utenti possono riconnettersi solo allo stesso dispositivo utilizzato in precedenza nella sessione.
La proprietà “LeasingBehavior” è descritta di seguito.
Effetti di altre impostazioni:
La disabilitazione del roaming di sessione è influenzata dal limite applicativo “Consenti una sola istanza dell’applicazione per utente” nelle proprietà dell’applicazione nel gruppo di consegna.
- Se si disabilita il roaming di sessione, disabilitare il limite applicativo “Consenti una sola istanza…”.
- Se si abilita il limite applicativo “Consenti una sola istanza…”, non configurare nessuno dei due valori che consentono nuove sessioni su nuovi dispositivi.
Intervallo di accesso
Se una macchina virtuale contenente un VDA desktop si chiude prima che il processo di accesso sia completato, è possibile allocare più tempo al processo. Il valore predefinito per le versioni 7.6 e successive è 180 secondi (il valore predefinito per le versioni 7.0-7.5 è 90 secondi).
Sulla macchina (o sull’immagine master utilizzata in un catalogo di macchine), impostare la seguente chiave di registro:
Chiave: HKLM\SOFTWARE\Citrix\PortICA
- Valore:
AutoLogonTimeout - Tipo:
DWORD - Specificare un tempo decimale in secondi, nell’intervallo da 0 a 3600.
Se si modifica l’immagine master, distribuire la nuova immagine nel catalogo. Per ulteriori informazioni, vedere Modificare l’immagine master.
Questa impostazione si applica solo alle VM con VDA desktop a sessione singola (workstation). Microsoft controlla il timeout di accesso sulle macchine con VDA server multi-sessione.