Abilitare TLS / DTLS sui VDA

Abilitare le connessioni TLS tra l’app Citrix Workspace™ e i Virtual Delivery Agent (VDA) completando le seguenti attività:

• Installare i certificati sui VDA. Per i dettagli, vedere richiesta e installazione di un certificato
• Configurare TLS sulle macchine in cui sono installati i VDA. (Per comodità, ulteriori riferimenti alle macchine in cui sono installati i VDA sono semplicemente chiamati “VDA”). Si consiglia vivamente di utilizzare lo script PowerShell fornito da Citrix per configurare TLS/DTLS. Per i dettagli, vedere Configurare TLS su un VDA utilizzando lo script PowerShell. Tuttavia, se si desidera configurare TLS/DTLS manualmente, vedere Configurare manualmente TLS su un VDA.
• Configurare TLS nei Delivery Group contenenti i VDA eseguendo un set di cmdlet PowerShell in Studio. Per i dettagli, vedere Configurare TLS sui Delivery Group.

Requisiti e considerazioni:

• Configurare TLS nei Delivery Group e sui VDA dopo aver installato i componenti, creato un sito, creato cataloghi di macchine e creato Delivery Group.
• Per configurare TLS nei Delivery Group, è necessario disporre dell’autorizzazione per modificare le regole di accesso del Controller. Un amministratore completo dispone di questa autorizzazione.
• Per configurare TLS sui VDA, è necessario essere un amministratore Windows sulla macchina in cui è installato il VDA.
• Sui VDA in pool che vengono forniti da Machine Creation Services™ o Provisioning Services, l’immagine della macchina VDA viene ripristinata al riavvio, causando la perdita delle impostazioni TLS precedenti. Eseguire lo script PowerShell ogni volta che il VDA viene riavviato per riconfigurare le impostazioni TLS.

Un Delivery Group non può avere una combinazione di alcuni VDA con TLS configurato e alcuni VDA senza TLS configurato. Prima di configurare TLS per un Delivery Group, assicurarsi di aver già configurato TLS per tutti i VDA in quel Delivery Group.

Quando si configura TLS sui VDA, le autorizzazioni sul certificato TLS installato vengono modificate, concedendo al servizio ICA® l’accesso in lettura alla chiave privata del certificato e informando il servizio ICA di quanto segue:

• Quale certificato nell’archivio certificati utilizzare per TLS.

• Quale numero di porta TCP utilizzare per le connessioni TLS.

  Il Firewall di Windows (se abilitato) deve essere configurato per consentire la connessione in entrata su questa porta TCP. Questa configurazione viene eseguita automaticamente quando si utilizza lo script PowerShell.

• Quali versioni del protocollo TLS consentire.

  Importante:

  Citrix consiglia di utilizzare TLS 1.2 o versioni successive. SSL e le versioni precedenti di TLS sono deprecate.

  Le versioni del protocollo TLS supportate seguono una gerarchia (dalla più bassa alla più alta): SSL 3.0, TLS 1.0, TLS 1.1, TLS 1.2 e TLS 1.3. Specificare la versione minima consentita; tutte le connessioni di protocollo che utilizzano tale versione o una versione superiore sono consentite.

  Ad esempio, se si specifica TLS 1.1 come versione minima, sono consentite le connessioni di protocollo TLS 1.1, TLS 1.2 e TLS 1.3. Se si specifica SSL 3.0 come versione minima, sono consentite le connessioni per tutte le versioni supportate. Se si specifica TLS 1.3 come versione minima, sono consentite solo le connessioni TLS 1.3.

• Quali suite di cifratura TLS consentire.

  Una suite di cifratura seleziona la crittografia utilizzata per una connessione. I client e i VDA possono supportare set diversi di suite di cifratura. Quando un client (app Citrix Workspace) si connette e invia un elenco di suite di cifratura TLS supportate, il VDA abbina una delle suite del client a una di quelle presenti nel proprio elenco di suite configurate e accetta la connessione. Se non esiste una suite di cifratura corrispondente, il VDA rifiuta la connessione.

  Il VDA supporta tre set di suite di cifratura (noti anche come modalità di conformità): GOV(ernment), COM(mercial) e ALL. Le suite di cifratura accettabili dipendono anche dalla modalità FIPS di Windows; vedere http://support.microsoft.com/kb/811833 per informazioni sulla modalità FIPS di Windows. La tabella seguente elenca le suite di cifratura in ogni set:

  Suite di cifratura	ALL	COM	GOV	ALL	COM	GOV
  Modalità FIPS	Spento	Spento	Spento	Acceso	Acceso	Acceso
  TLS_AES_256_GCM_SHA384	X		X	X		X
  TLS_AES_128_GCM_SHA256	X			X		X
  TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384	X		X	X		X
  TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384	X		X	X		X
  TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA	X	X		X	X

  Nota:

  Il VDA non supporta le suite di cifratura DHE (ad esempio, TLS_DHE_RSA_WITH_AES_256_GCM_SHA384, TLS_DHE_RSA_WITH_AES_256_CBC_SHA, TLS_DHE_RSA_WITH_AES_128_GCM_SHA256 e TLS_DHE_RSA_WITH_AES_128_CBC_SHA). Se selezionate da Windows, la connessione avrà esito negativo.

  Se si utilizza un NetScaler Gateway, consultare la documentazione di NetScaler per informazioni sul supporto delle suite di cifratura per la comunicazione back-end. Per informazioni sul supporto delle suite di cifratura TLS, vedere Cifre disponibili sugli appliance Citrix ADC. Per informazioni sul supporto delle suite di cifratura DTLS, vedere Supporto cifratura DTLS.

Richiesta e installazione di un certificato

Per utilizzare TLS, è necessario installare un certificato il cui Nome alternativo includa l’FQDN del VDA. Il certificato deve essere considerato attendibile da tutti i client che si connettono direttamente al VDA (non tramite un Citrix Gateway). Per consentire ai dispositivi non gestiti, in cui non è possibile distribuire facilmente i certificati, di connettersi al VDA, prendere in considerazione la distribuzione di un NetScaler® Gateway.

Creare un certificato utilizzando l’Autorità di certificazione Microsoft

Se i client e i VDA si trovano in una foresta attendibile e dispongono di un’Autorità di certificazione Microsoft, è possibile acquisire un certificato dalla procedura guidata di registrazione certificati dello snap-in Certificati di MMC.

1. Sul VDA, aprire la console MMC e aggiungere lo snap-in Certificati. Quando richiesto, selezionare Account computer.
2. Espandere Personale > Certificati, quindi utilizzare il comando del menu contestuale Tutte le attività > Richiedi nuovo certificato.
3. Fare clic su Avanti per iniziare e su Avanti per confermare che si sta acquisendo il certificato dalla registrazione di Active Directory.

4. Selezionare il modello per il certificato di autenticazione server. Sono accettabili sia il modello predefinito di Windows Computer che Server Web esportabile. Se il modello è stato configurato per fornire automaticamente i valori per l’Oggetto, è possibile fare clic su Registra senza fornire ulteriori dettagli.

   

5. Per fornire ulteriori dettagli per il modello di certificato, fare clic su Dettagli e configurare quanto segue:

   Nome oggetto — selezionare il tipo Nome comune e aggiungere l’FQDN del VDA

   Nome alternativo — selezionare il tipo DNS e aggiungere l’FQDN del VDA

   

   Nota:

   Utilizzare la registrazione automatica dei certificati dei servizi certificati di Active Directory per automatizzare l’emissione e la distribuzione dei certificati ai VDA. Questo è descritto in Abilitare la registrazione automatica dei certificati).

   È possibile utilizzare certificati wildcard per consentire a un singolo certificato di proteggere più VDA:

   Nome soggetto — selezionare il tipo Nome comune e immettere il *.primary.domain dei VDA

   Nome alternativo — selezionare il tipo DNS e aggiungere il *.primary.domain dei VDA

   

   È possibile utilizzare certificati SAN per consentire a un singolo certificato di proteggere più VDA specifici:

   Nome soggetto — selezionare il tipo Nome comune e immettere una stringa per identificare l’utilizzo del certificato

   Nome alternativo — selezionare il tipo DNS e aggiungere una voce per l’FQDN di ciascun VDA. Mantenere il numero di nomi alternativi al minimo per garantire una negoziazione TLS ottimale.

   

   Nota:

   Sia i certificati wildcard che i certificati SAN richiedono che Rendi esportabile la chiave privata nella scheda Chiave privata sia selezionato:

   

Configurare TLS su un VDA utilizzando lo script PowerShell

Installare il certificato TLS nell’area Computer locale > Personale > Certificati dell’archivio certificati. Se più di un certificato si trova in quella posizione, fornire l’identificazione personale del certificato allo script PowerShell.

Nota:

A partire da XenApp e XenDesktop 7.15 LTSR, lo script PowerShell trova il certificato corretto in base all’FQDN del VDA. Non è necessario fornire l’identificazione personale quando è presente un solo certificato per l’FQDN del VDA.

Lo script Enable-VdaSSL.ps1 abilita o disabilita il listener TLS su un VDA. Questo script è disponibile nella cartella Supporto > Strumenti > SslSupport sul supporto di installazione.

Quando si abilita TLS, le suite di cifratura DHE vengono disabilitate. Le suite di cifratura ECDHE non sono interessate.

Quando si abilita TLS, lo script disabilita tutte le regole esistenti del Firewall di Windows per la porta TCP specificata. Aggiunge quindi una nuova regola che consente al servizio ICA di accettare connessioni in entrata solo sulle porte TCP e UDP TLS. Disabilita anche le regole del Firewall di Windows per:

• Citrix ICA (predefinito: 1494)
• Citrix CGP (predefinito: 2598)
• Citrix WebSocket (predefinito: 8008)

L’effetto è che gli utenti possono connettersi solo utilizzando TLS o DTLS. Non possono utilizzare ICA/HDX, ICA/HDX con Session Reliability o HDX su WebSocket, senza TLS o DTLS.

Nota:

DTLS non è supportato con ICA/HDX Audio su UDP Real-time Transport o con ICA/HDX Framehawk.

Vedere Porte di rete.

Lo script contiene le seguenti descrizioni della sintassi, più esempi aggiuntivi; è possibile utilizzare uno strumento come Notepad++ per rivedere queste informazioni.

Importante:

Specificare il parametro Enable o Disable e il parametro CertificateThumbPrint. Gli altri parametri sono facoltativi.

Sintassi

Enable-VdaSSL {-Enable | -Disable} -CertificateThumbPrint "<thumbprint>" [-SSLPort <port>] [-SSLMinVersion "<min-ssl-version>"] [-SSLCipherSuite"\<suite>"]

Esempi

Lo script seguente installa e abilita il valore della versione del protocollo TLS. L’identificazione personale (rappresentata come “12345678987654321” in questo esempio) viene utilizzata per selezionare il certificato da usare.

Enable-VdaSSL -Enable -CertificateThumbPrint "12345678987654321"

Lo script seguente installa e abilita il listener TLS e specifica la porta TLS 400, la suite di cifratura GOV e un valore minimo del protocollo TLS 1.2. L’identificazione personale (rappresentata come “12345678987654321” in questo esempio) viene utilizzata per selezionare il certificato da usare.

Enable-VdaSSL -Enable
-CertificateThumbPrint "12345678987654321"
-SSLPort 400 -SSLMinVersion "TLS_1.2"
-SSLCipherSuite "All"

Lo script seguente disabilita il listener TLS sul VDA.

Enable-VdaSSL -Disable

Configurare manualmente TLS su un VDA

Quando si configura manualmente TLS su un VDA, si concede l’accesso generico in lettura alla chiave privata del certificato TLS per il servizio appropriato su ciascun VDA: NT SERVICE\PorticaService per un VDA per sistema operativo a sessione singola Windows, o NT SERVICE\TermService per un VDA per sistema operativo a sessione multipla Windows. Sulla macchina in cui è installato il VDA:

FASE 1. Avviare la console di gestione Microsoft (MMC): Start > Esegui > mmc.exe.

FASE 2. Aggiungere lo snap-in Certificati alla MMC:

1. Selezionare File > Aggiungi/Rimuovi snap-in.
2. Selezionare Certificati e quindi fare clic su Aggiungi.
3. Quando viene richiesto “Questo snap-in gestirà sempre i certificati per:”, scegliere “Account computer” e quindi fare clic su Avanti.
4. Quando viene richiesto “Selezionare il computer che si desidera gestire con questo snap-in”, scegliere “Computer locale” e quindi fare clic su Fine.

PASSAGGIO 3. In Certificati (computer locale) > Personale > Certificati, fare clic con il pulsante destro del mouse sul certificato e quindi selezionare Tutte le attività > Gestisci chiavi private.

PASSAGGIO 4. L’editor dell’elenco di controllo di accesso visualizza “Autorizzazioni per le chiavi private (FriendlyName)” dove (FriendlyName) è il nome del certificato TLS. Aggiungere uno dei seguenti servizi e concedergli l’accesso in lettura:

• Per un VDA per sistema operativo Windows a sessione singola, “PORTICASERVICE”
• Per un VDA per sistema operativo Windows a più sessioni, “TERMSERVICE”

PASSAGGIO 5. Fare doppio clic sul certificato TLS installato. Nella finestra di dialogo del certificato, selezionare la scheda Dettagli e scorrere fino in fondo. Fare clic su Identificazione personale.

PASSAGGIO 6. Eseguire regedit e passare a HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\icawd.

1. Modificare la chiave SSL Thumbprint e copiare il valore dell’identificazione personale del certificato TLS in questo valore binario. È possibile ignorare tranquillamente gli elementi sconosciuti nella finestra di dialogo Modifica valore binario (come ‘0000’ e caratteri speciali).
2. Modificare la chiave SSLEnabled e modificare il valore DWORD in 1. (Per disabilitare SSL in seguito, modificare il valore DWORD in 0.)

3. Se si desidera modificare le impostazioni predefinite (facoltativo), utilizzare quanto segue nello stesso percorso del registro:

   SSLPort DWORD – Numero di porta SSL. Predefinito: 443.

   SSLMinVersion DWORD – 1 = SSL 3.0, 2 = TLS 1.0, 3 = TLS 1.1, 4 = TLS 1.2, 5 = TLS 1.3. Predefinito: 2 (TLS 1.0).

   SSLCipherSuite DWORD – 1 = GOV, 2 = COM, 3 = ALL. Predefinito: 3 (ALL).

PASSAGGIO 7. Assicurarsi che le porte TCP e UDP TLS siano aperte nel Firewall di Windows se non sono quelle predefinite 443. (Quando si crea la regola in entrata nel Firewall di Windows, assicurarsi che le sue proprietà abbiano le voci “Consenti la connessione” e “Abilitato” selezionate.)

PASSAGGIO 8. Assicurarsi che nessun’altra applicazione o servizio (come IIS) stia utilizzando la porta TCP TLS.

PASSAGGIO 9. Per i VDA a più sessioni, riavviare la macchina affinché le modifiche abbiano effetto. (Non è necessario riavviare le macchine VDA a sessione singola.)

PASSO 10. Modificare la preferenza della suite di crittografia di Windows in modo che le suite di crittografia supportate dal VDA abbiano la priorità più alta per evitare problemi di connessione.

Importante:

Le modifiche ai Criteri di gruppo descritte di seguito hanno effetto solo dopo il riavvio del sistema.

Se si utilizzano host di sessione non persistenti di cui è stato eseguito il provisioning con MCS o PVS, è necessario applicare queste impostazioni nell’immagine master.

Opzione 1:

Utilizzando l’Editor Criteri di gruppo, andare a Configurazione computer > Criteri > Modelli amministrativi > Rete > Impostazioni di configurazione SSL > Ordine suite di crittografia SSL. Assicurarsi che le seguenti suite di crittografia siano all’inizio dell’elenco:

TLS_AES_256_GCM_SHA384_P384
TLS_AES_256_GCM_SHA384_P256
TLS_AES_128_GCM_SHA256_P384
TLS_AES_128_GCM_SHA256_P256
TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384_P384
TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384_P256
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384_P384
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384_P256
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA_P384
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA_P256
<!--NeedCopy-->

Nota:

TLS_AES_256_GCM_SHA384 e TLS_AES_128_GCM_SHA256 si applicano solo a Windows 11 e Windows Server 2022 o versioni più recenti. Se si utilizzano sistemi operativi meno recenti, non includere queste suite di crittografia nell’elenco.

Si noti che le suite di crittografia elencate specificano anche la curva ellittica, P384 o P256, per garantire che “curve25519” non venga selezionata. La modalità FIPS non impedisce l’uso di “curve25519”.

Non è necessario rimuovere alcuna suite di crittografia dall’elenco. Si noti che queste impostazioni si applicano all’intero sistema, quindi se si decide di rimuovere delle suite di crittografia, è necessario assicurarsi che non siano richieste da alcuna applicazione o servizio in esecuzione sugli host di sessione.

Opzione 2:

Utilizzando l’Editor Criteri di gruppo, andare a Configurazione computer > Criteri > Modelli amministrativi > Rete > Impostazioni di configurazione SSL > Ordine suite di crittografia SSL. Assicurarsi che le seguenti suite di crittografia siano all’inizio dell’elenco:

TLS_AES_256_GCM_SHA384
TLS_AES_128_GCM_SHA256
TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
<!--NeedCopy-->

Nota:

TLS_AES_256_GCM_SHA384 e TLS_AES_128_GCM_SHA256 si applicano solo a Windows 11 e Windows Server 2022 o versioni più recenti. Se si utilizzano sistemi operativi meno recenti, non includere queste suite di crittografia nell’elenco.

Non è necessario rimuovere alcuna suite di crittografia dall’elenco. Si noti che queste impostazioni si applicano all’intero sistema, quindi se si decide di rimuovere delle suite di crittografia, è necessario assicurarsi che non siano richieste da alcuna applicazione o servizio in esecuzione sugli host di sessione.

Utilizzando l’Editor Criteri di gruppo, andare a Configurazione computer > Criteri > Modelli amministrativi > Rete > Impostazioni di configurazione SSL > Ordine curve ECC. Abilitare l’impostazione e includere le seguenti curve nell’elenco:

NistP384
NistP256
<!--NeedCopy-->

Nota:

Ciò garantisce che “curve25519” non sia selezionata. La modalità FIPS non impedisce l’uso di “curve25519”.

Il VDA seleziona una suite di cifratura solo se compare in entrambi gli elenchi: l’elenco dei Criteri di gruppo e l’elenco per la modalità di conformità selezionata (COM, GOV o ALL). La suite di cifratura deve comparire anche nell’elenco inviato dal client (Citrix Workspace app).

Configurare TLS sui gruppi di recapito

Completare questa procedura per ogni gruppo di recapito che contiene VDA configurati per le connessioni TLS.

1. Da Studio, aprire la console PowerShell.
2. Eseguire Get-BrokerAccessPolicyRule -DesktopGroupName ‘<delivery-group-name>’ | Set-BrokerAccessPolicyRule -HdxSslEnabled $true.
3. Eseguire Set-BrokerSite -DnsResolutionEnabled $true.

Abilitazione di SSL per VDA in pool tramite registrazione automatica

Quando si utilizzano VDA in pool, se si aggiunge un certificato all’immagine master, tutti i VDA condividono la stessa immagine. È possibile utilizzare un certificato wildcard, ma uno svantaggio è che se uno qualsiasi dei VDA viene compromesso, questo certificato così potente metterebbe a rischio le connessioni HDX™ appartenenti a tutti i VDA.

Invece, un’alternativa sicura è sfruttare i Servizi certificati di Microsoft Active Directory per il provisioning automatico dei certificati tramite i criteri di gruppo. È possibile utilizzare uno script di avvio sul VDA per eseguire il provisioning dinamico di un nuovo certificato e abilitare SSL sul VDA.

Si noti che questo approccio funzionerà solo per i VDA desktop a sessione singola. Per i VDA multi-sessione, il listener ICA viene avviato troppo presto durante il processo di avvio, prima che i certificati possano essere automaticamente sottoposti a provisioning.

Poiché i Servizi certificati di Active Directory utilizzano un’Autorità di certificazione aziendale interna, non saranno automaticamente considerati attendibili da tutte le installazioni di Windows. Se i client sono gestiti dall’azienda e fanno parte di una foresta di dominio, i certificati CA attendibili possono essere distribuiti automaticamente tramite i criteri di gruppo. Per i dispositivi BYOD e altri dispositivi non aggiunti a un dominio, è necessario distribuire i certificati CA attendibili agli utenti tramite un altro meccanismo (ad esempio, offrendo un link per il download) o utilizzare un gateway NetScaler.

Abilitare la registrazione automatica dei certificati

Per prima cosa, assicurati di avere il ruolo Servizi certificati Active Directory installato su un server nella foresta di dominio VDA che fornisca una CA aziendale, altrimenti l’iscrizione automatica non sarà possibile.

Si noti che ciò potrebbe comportare un carico considerevolmente più elevato del solito sulla CA aziendale, poiché i VDA invieranno una richiesta di certificato ad ogni avvio. Assicurarsi di allocare CPU e memoria sufficienti sul server CA per far fronte al carico e, come sempre, testare la scalabilità della distribuzione in un ambiente di laboratorio prima di passare alla produzione.

Nell’Editor Gestione Criteri di gruppo, creare un nuovo criterio che si applichi all’unità organizzativa che conterrà i VDA in pool con SSL abilitato come segue:

1. Espandere Configurazione computer -> Criteri -> Impostazioni di Windows -> Impostazioni di sicurezza -> Criteri chiave pubblica
2. Modificare le proprietà dell’oggetto ‘Client Servizi certificati – Criteri di registrazione automatica’
3. Configurare come mostrato nello screenshot seguente.
4. Fare clic con il pulsante destro del mouse sul contenitore Richiesta certificato automatica e selezionare Nuovo -> Richiesta certificato automatica…
5. Nella procedura guidata di configurazione della richiesta automatica di certificato, fare clic su Avanti
6. Assicurarsi che sia selezionato il modello di certificato Computer, fare clic su Avanti
7. Fare clic su Fine

Preparazione dell’immagine master di Windows

Copiare lo script Enable-VdaSsl.ps1 dal supporto di installazione del prodotto nella cartella Support\Tools\SslSupport all’immagine master VDA. Si noti che l’immagine master non deve contenere certificati da utilizzare per le connessioni HDX SSL. I certificati verranno forniti quando viene creato il catalogo macchine MCS o PVS. Ora creare una nuova attività pianificata come segue (non eseguire l’attività pianificata ora):

1. Aprire Utilità di pianificazione.

2. Nel riquadro Azioni, premere Crea attività…

3. Nella scheda Generale:

   • Immettere un Nome come Enable VDA SSL

   • Fare clic su Cambia utente o gruppo… e nella finestra di dialogo Seleziona utente o gruppo immettere SYSTEM e fare clic su OK

   

4. Selezionare la scheda Trigger

5. Fare clic su Nuovo…. Nella finestra di dialogo Nuovo trigger:

   1. Impostare Avvia l’attività su In caso di evento

   2. Impostare Log su Microsoft-Windows-CertificateServicesClient-Lifecycle-System/Operational

   3. Impostare Origine su Microsoft-Windows-CertificateServicesClient-Lifecycle-System

   4. Impostare ID evento su 1006

   5. Fare clic su OK per salvare il trigger

   

6. Selezionare la scheda Azioni

7. Fare clic su Nuovo…

8. Nella finestra di dialogo Nuova azione:

   1. Imposta Azione su Avvia un programma

   2. Nel campo Programma/script, immettere powershell.exe

   3. Nel campo Aggiungi argomenti, immettere -ExecutionPolicy RemoteSigned Enable-VdaSsl.ps1 -Enable -Confirm:$False, incluso il percorso dello script PowerShell.

   4. Premere OK per salvare l’azione

   

9. Premere OK per salvare l’attività

Risoluzione dei problemi

Se si verifica un errore di connessione, controllare il registro eventi di sistema sul VDA.

Quando si utilizza Citrix Workspace app per Windows, se si riceve un errore di connessione che indica un errore TLS, disabilitare Desktop Viewer e quindi provare a connettersi di nuovo. Anche se la connessione continua a non riuscire, potrebbe essere fornita una spiegazione del problema TLS sottostante. Ad esempio, è stato specificato un modello errato durante la richiesta di un certificato all’autorità di certificazione.)

La maggior parte delle configurazioni che utilizzano HDX Adaptive Transport funziona correttamente con DTLS, incluse quelle che utilizzano le versioni più recenti di Citrix Workspace app, Citrix Gateway e VDA. Alcune configurazioni che utilizzano DTLS tra Citrix Workspace app e Citrix Gateway, e che utilizzano DTLS tra Citrix Gateway e il VDA, richiedono un’azione aggiuntiva.

È necessaria un’azione aggiuntiva se:

• la versione di Citrix Receiver supporta HDX Adaptive Transport e DTLS: Receiver for Windows (4.7, 4.8, 4.9), Receiver for Mac (12.5, 12.6, 12.7), Receiver for iOS (7.2, 7.3.x) o Receiver for Linux (13.7)

e si applica anche una delle seguenti condizioni:

• la versione di Citrix Gateway supporta DTLS al VDA, ma la versione del VDA non supporta DTLS (versione 7.15 o precedente),

• la versione del VDA supporta DTLS (versione 7.16 o successiva), ma la versione di Citrix Gateway non supporta DTLS al VDA.

Per evitare che le connessioni da Citrix Receiver™ falliscano, eseguire una delle seguenti operazioni:

• aggiornare Citrix Receiver, a Receiver per Windows versione 4.10 o successiva, Receiver per Mac 12.8 o successiva, o Receiver per iOS versione 7.5 o successiva; oppure,
• aggiornare Citrix Gateway a una versione che supporti DTLS al VDA; oppure,
• aggiornare il VDA, alla versione 7.16 o successiva; oppure,
• disabilitare DTLS sul VDA; oppure,
• disabilitare HDX Adaptive Transport.

Nota:

Un aggiornamento adatto per Receiver per Linux non è ancora disponibile. Receiver per Android (versione 3.12.3) non supporta HDX Adaptive Transport e DTLS tramite Citrix Gateway, e pertanto non è interessato.

Per disabilitare DTLS sul VDA, modificare la configurazione del firewall del VDA per disabilitare la porta UDP 443. Vedere Porte di rete.

Reindirizzamento video TLS e HTML5 e reindirizzamento del contenuto del browser

È possibile utilizzare il reindirizzamento video HTML5 e il reindirizzamento del contenuto del browser per reindirizzare i siti Web HTTPS. Il JavaScript iniettato in tali siti Web deve stabilire una connessione TLS al servizio di reindirizzamento video HTML5 Citrix HDX in esecuzione sul VDA. Per raggiungere questo obiettivo, il servizio di reindirizzamento video HTML5 genera due certificati personalizzati nell’archivio certificati sul VDA. L’arresto del servizio rimuove i certificati.

La policy di reindirizzamento video HTML5 è disabilitata per impostazione predefinita.

Il reindirizzamento del contenuto del browser è abilitato per impostazione predefinita.

Per ulteriori informazioni sul reindirizzamento video HTML5, vedere Impostazioni dei criteri multimediali.