Installazione e configurazione del server di log
Il server di log può essere configurato su singoli server Linux o Windows o ospitato sull’appliance del connettore Citrix e sfruttare gli aggiornamenti evergreen. Fare riferimento alla sezione pertinente per i passaggi di installazione e configurazione per ciascuna opzione.
Nota per l’installazione
Per una maggiore sicurezza, si consiglia HTTPS nella distribuzione.
Assicurarsi che la porta selezionata non sia già in uso.
Evitare di utilizzare porte privilegiate (0-1023) poiché richiedono autorizzazioni di amministratore o a livello di sistema.
Verificare che le regole del firewall consentano il traffico sulla porta scelta.
Utilizzare un numero di porta compreso nell’intervallo valido (0-65535), ma evitare le porte comunemente utilizzate dai servizi di sistema per prevenire conflitti.
Se si utilizza l’appliance del connettore Citrix per distribuire il server di log, assicurarsi che sia configurata solo la porta 443.
Installazione del server di log tramite l’appliance del connettore Citrix
Il server di log può essere distribuito all’interno dell’appliance del connettore Citrix. Questo approccio elimina la necessità di distribuire e gestire una VM host e di scaricare manualmente le immagini o eseguire comandi contenitore. Il server di log viene automaticamente integrato durante l’aggiornamento dell’appliance del connettore e rimane aggiornato tramite gli aggiornamenti continui del connettore, garantendo di avere sempre la versione più recente. Per ulteriori informazioni, vedere Aggiornamenti dell’appliance del connettore
Passaggi per distribuire il server di log tramite l’appliance del connettore Citrix
-
Se l’ambiente non dispone già di un’appliance del connettore, distribuire l’appliance sull’hypervisor o dal marketplace del cloud pubblico. Dopo l’importazione, registrare l’appliance con Citrix Cloud. Per ulteriori informazioni, vedere Ottenere l’appliance del connettore
-
Per abilitare la funzionalità del server di log, contattare Citrix ATS o il rappresentante di vendita e fornire il CCID o l’ID tenant. Citrix abiliterà la funzionalità come parte di un aggiornamento dell’appliance del connettore. Attendere circa 30 minuti per il completamento dell’aggiornamento.
-
Per impostazione predefinita, l’appliance del connettore ha 2 vCPU e 4 GB di memoria; aumentare le risorse ad almeno 4 vCPU e 16 GB di memoria per gestire le richieste del server di log.
-
L’appliance del connettore fornisce un certificato autofirmato che viene servito a un browser che si connette alla pagina di amministrazione dell’appliance del connettore. Per potersi connettere al server di log tramite HTTPS, è possibile sostituire questo certificato autofirmato con uno proprio firmato dall’organizzazione o generato utilizzando la catena di attendibilità dell’organizzazione, per maggiori dettagli fare riferimento a Gestione dei certificati.
-
Una volta completato l’aggiornamento, accedere all’interfaccia utente dell’appliance del connettore all’indirizzo
https://<FQDN-appliance-connettore>o all’indirizzo IP dell’appliance. Una nuova scheda Server di log apparirà nell’interfaccia.
- Il disco di avvio dell’appliance del connettore ha una capacità di 20 GB. Per supportare l’archiviazione efficiente dei log sul server di log, è necessario aggiungere un altro disco virtuale all’appliance del connettore utilizzando l’hypervisor o la piattaforma di gestione cloud. Questo disco aggiuntivo dovrebbe avere spazio sufficiente per soddisfare le esigenze di archiviazione dei log (come spiegato nella sezione precedente).
Lo screenshot di XenServer riportato di seguito mostra un esempio di un’appliance del connettore con un disco aggiuntivo configurato.
- Dopo aver aggiunto il disco chiave, l’interfaccia utente del server di log lo rileverà automaticamente, consentendo di formattarlo e montarlo nel contenitore del server di log sull’appliance del connettore.
- Una volta fatto clic sul pulsante “Collega disco”, il disco verrà montato nel contenitore del server di log.
- La pagina principale visualizzerà la dimensione del disco insieme alle informazioni su quanto spazio è utilizzato e quanto rimane.
-
Dopo che il disco è stato collegato, verificare che il server di log sia in esecuzione chiamando l’endpoint ping:
https://<FQDN-appliance-connettore>/ctxlogserver/Ping. Una risposta pong conferma che il server di log è stato avviato correttamente. -
Fare clic su “Genera chiave”, immettere il nome del ruolo, quindi copiare o scaricare la chiave di autenticazione. La chiave non verrà più mostrata dopo aver chiuso la finestra.
Installazione su Linux
- Scaricare l’immagine del contenitore Docker del server di log dai download di Citrix.
- Posizionare i file scaricati nella stessa directory.
- Eseguire il programma di installazione nella directory con il terminale (Linux) o il prompt dei comandi (Windows) e seguire le istruzioni:
chmod +x ./InstallLogServer
#Installazione con modalità https con porta 8443 con percorso predefinito
./InstallLogServer --https --cert </percorso/chiave_certificato_privato.pfx> --port 8443
#Installazione con modalità http, con porta 8080 con percorso predefinito
./InstallLogServer --port 8080
#Comando per modificare il percorso di configurazione e il percorso dei dati di propria scelta con modalità https
./InstallLogServer --https --cert </percorso/chiave_certificato_privato.pfx> --port 8443 --config /Percorso/LogServer/Config --database /Percorso/LogServer/Data
#Comando per modificare il percorso di configurazione e il percorso dei dati di propria scelta con modalità http
./InstallLogServer --port 8080 --config /Percorso/LogServer/Config --database /Percorso/LogServer/Data
#Per supportare il caricamento dei log AOT dal client CWA, è necessario aggiungere alcuni parametri aggiuntivi dopo il comando di installazione del server di log.
--sta-server http://FQDN_SERVER_STA:porta --log-server FQDN_SERVER_LOG:PORTA
<!--NeedCopy-->
Dove,
-
FQDN_SERVER_STA è il nome host o l’indirizzo IP del server STA (nell’installazione on-premise, il server STA di solito viene installato insieme a DDC.)
-
FQDN_SERVER_LOG e PORTA sono il nome host del server di log stesso e la porta specificata (8080, 8443 o il valore –port nel parametro di installazione).
-
Il certificato del server di log chiave_certificato_privato.pfx deve essere considerato attendibile da altri componenti Citrix, dove il client AOT utilizzerà la connessione TLS per caricare i log.
L’indirizzo SERVER_STA consente al server di log di emettere ticket STA di riconnessione ai client Citrix Workspace app (CWA) quando StoreFront non può fornirli, ad esempio dopo un timeout della sessione. Ciò consente ai client CWA di ristabilire la connessione direttamente con il server di log se si verifica un’interruzione della connessione.
L’indirizzo SERVER_LOG viene utilizzato quando il server di log richiede un ticket STA dal server STA configurato. Il server STA restituisce un ticket che autorizza le connessioni specificamente all’endpoint del server di log.
Questi parametri sono facoltativi se i client CWA non necessitano di ticket STA di riconnessione o si connettono direttamente al server di log senza un gateway.
Post installazione su Linux
Dopo l’installazione, vengono generati alcuni file di script utili:
# In Linux, verranno generati script sh
DownloadLogsByTime.sh
DownloadLogsByWords.sh
GetAuthKey.sh
ListMachines.sh
StartLogServer.sh
<!--NeedCopy-->
Utilizzare ./StartLogServer.sh per avviare il server. Controllare il file configpath/weblogs.txt per confermare che il server di log sia stato avviato correttamente.
Se il server di log si avvia correttamente, possiamo vedere il messaggio seguente nel file weblogs. La porta 5000 viene utilizzata internamente dal server di log nei contenitori Docker con il protocollo http o https selezionato.
Now listening on https://[::]:5000
<!--NeedCopy-->
Se il server di log è stato installato in modalità HTTP, i log di successo dovrebbero mostrare quanto segue:
Now listening on http://[::]:5000
<!--NeedCopy-->
Se il server di log utilizza HTTPS, assicurarsi che il suo certificato sia attendibile su tutte le macchine che caricano i log AOT
Nota:
La porta configurata nel passaggio di installazione (8080 o 8443 o qualsiasi porta specificata) deve essere utilizzata durante la configurazione dell’URL del server di log in DDC, Storefront, VDA, ecc.
Di solito, ci vogliono da 30 a 60 secondi per avviare su Linux.
Installazione su Windows
- Scaricare l’immagine del contenitore Docker del server di log dai download di Citrix.
- Posizionare i file scaricati nella stessa directory.
- Eseguire il programma di installazione nella directory con il terminale (Linux) o il prompt dei comandi (Windows) e seguire le istruzioni:
Passaggio 1
Installare Docker Desktop (potrebbe essere richiesto un abbonamento) per Windows sulla VM del server di log. Seguire i passaggi seguenti per garantire che Docker Desktop venga installato e avviato correttamente sui sistemi Windows che si basano su WSL 2.
-
Impostare il limite di memoria >= 12 GB nelle impostazioni di Docker Desktop
-
Docker Desktop richiede le seguenti funzionalità di Windows, assicurarsi di verificare che queste funzionalità siano abilitate.
- Hyper-V
- Virtual Machine Platform
- Windows Subsystem for Linux (WSL)
-
Se mancano delle funzionalità, installarle e riavviare la VM per rendere effettive le modifiche.
-
Dopo il riavvio del sistema, aprire PowerShell (Esegui come amministratore) e aggiornare WSL eseguendo il comando
wsl --update -
Docker Desktop richiede WSL 2. Configurarlo come predefinito eseguendo il comando
wsl --set-default-version 2 -
Una volta aggiornato WSL e abilitate le funzionalità di Windows richieste, Docker Desktop Engine dovrebbe avviarsi correttamente.
Passaggio 2
Eseguire i comandi seguenti per continuare l’installazione.
Nota:
La posizione predefinita delle cartelle Config e Database (Data) viene creata in C:\Users<nomeutente>\LogServer. È possibile modificarle con i comandi seguenti
#Installazione con modalità https con porta 8443 con percorso predefinito
InstallLogServer.exe --https --cert <c:\percorso\cert.pfx> --port 8443
#Installazione con modalità http, con porta 8080 con percorso predefinito
InstallLogServer.exe --port 8080
#Comando per modificare il percorso di configurazione e il percorso dei dati di propria scelta con modalità https
InstallLogServer.exe --https --cert <c:\percorso\cert.pfx> --port 8443 --config C:\LogServer\Config --database C:\LogServer\Datacmd
#Installazione con percorso di configurazione e percorso dei dati specifici
InstallLogServer.exe --port 8080 --config C:\LogServer\Config --database C:\LogServer\Datacmd
#Per supportare il caricamento dei log AOT dal client CWA, è necessario aggiungere alcuni parametri aggiuntivi dopo il comando di installazione del server di log.
--sta-server http://FQDN_SERVER_STA:porta --log-server FQDN_SERVER_LOG:PORTA
<!--NeedCopy-->
Dove,
-
FQDN_SERVER_STA è il nome host o l’indirizzo IP del server STA (nell’installazione on-premise, il server STA di solito viene installato insieme a DDC.)
-
FQDN_SERVER_LOG e PORTA sono il nome host del server di log stesso e la porta specificata (8080, 8443 o il valore –port nel parametro di installazione).
-
Il certificato del server di log chiave_certificato_privato.pfx deve essere considerato attendibile da altri componenti Citrix, dove il client AOT utilizzerà la connessione TLS per caricare i log.
L’indirizzo SERVER_STA consente al server di log di fornire ticket STA di riconnessione ai client CWA quando StoreFront non può fornirli a causa del timeout della sessione. Di conseguenza, i client CWA possono ottenere ticket di riconnessione direttamente dal server di log in caso di errori di connessione.
L’indirizzo SERVER_LOG viene utilizzato quando il server di log richiede un ticket STA da SERVER_STA. Il SERVER_STA emette un ticket STA che autorizza esclusivamente le connessioni all’indirizzo SERVER_LOG.
Questi parametri sono facoltativi se i client CWA non necessitano di ticket STA di riconnessione o si connettono direttamente al server di log senza un gateway.
Post installazione su Windows
Dopo l’installazione, vengono generati alcuni file di script utili nella stessa directory in cui sono stati salvati i file del programma di installazione.
Nota:
È possibile spostare questi file in una posizione diversa. Tuttavia, ricordare la nuova posizione, poiché saranno nuovamente necessari durante la configurazione del server di log.
#In Windows, gli script bat verranno generati nella stessa directory in cui sono stati salvati i file del programma di installazione.
DownloadLogsByTime.bat
DownloadLogsByWords.bat
GetAuthKey.bat
ListMachines.bat
StartLogServer.bat
<!--NeedCopy-->
Utilizzare StartLogServer.bat per avviare il server di log.
Controllare il file configpath\weblogs.txt per confermare che il server di log sia stato avviato correttamente
Quando i log mostrano quanto segue, significa che il server di log è stato avviato correttamente. Se il server di log si avvia correttamente, verrà visualizzato il messaggio seguente nel file weblogs. La porta 5000 viene utilizzata internamente dal server di log nei contenitori Docker con il protocollo http o https selezionato.
Now listening on: https://[::]:5000
<!--NeedCopy-->
Se il server di log è stato installato in modalità HTTP, i log di successo dovrebbero mostrare quanto segue:
Now listening on: http://[::]:5000
<!--NeedCopy-->
Se il server di log utilizza HTTPS, assicurarsi che il suo certificato sia attendibile su tutte le macchine che caricano i log AOT.
Nota:
La porta configurata nel passaggio di installazione (8080 o 8443 o qualsiasi porta specificata) deve essere utilizzata durante la configurazione dell’URL del server di log in DDC, Storefront, VDA, ecc.
Di solito, ci vogliono da 1 a 10 minuti a seconda dell’hardware in Windows.
Autenticazione TLS reciproca (facoltativo)
Il TLS reciproco (mTLS) fornisce un ulteriore livello di sicurezza tra il server di log e i client (VDA, DDC, StoreFront, CWA). Quando mTLS è abilitato, sia il client che il server si autenticano a vicenda utilizzando certificati rilasciati dalla PKI aziendale.
mTLS è utile negli ambienti in cui:
- I segmenti di rete non sono attendibili o sono condivisi
- C’è un requisito di autenticare non solo il server di log ma anche ogni client di log AOT
- I clienti vogliono impedire a sistemi non autorizzati di inviare dati di log
- Le politiche normative o di conformità richiedono l’autenticazione basata su certificati.
Sebbene mTLS sia facoltativo, migliora la sicurezza garantendo che solo i componenti Citrix attendibili possano comunicare con il server di log e che il server di log possa verificare ogni connessione in arrivo prima di accettare i dati di telemetria.
Requisiti del certificato
Per configurare mTLS, è necessario generare i seguenti certificati:
- aotclient.pfx – Certificato utilizzato dai client di log AOT (VDA, DDC, StoreFront, CWA)
- logserver.pfx – Certificato utilizzato dal server di log
- enterprise-ca.cer – Il certificato radice o intermedio utilizzato per firmare entrambi i file .pfx
Nota
Saltare questa sezione TLS reciproco se si utilizza l’appliance del connettore Citrix, poiché non è supportata.
Il file enterprise-ca.cer deve essere importato nell’archivio Autorità di certificazione radice attendibili sia sul server di log che sui client di telemetria.
I certificati aotclient.pfx e logserver.pfx non devono essere protetti da password.
Il soggetto di aotclient.pfx deve essere CitrixAOTClient, consentendo al client di telemetria di individuare automaticamente il certificato durante l’esecuzione.
Per abilitare mTLS, includere il parametro –ca nel comando di installazione del server di log. Questo parametro specifica il percorso del certificato enterprise-ca.cer.
# con percorso predefinito
./InstallLogServer --https --cert logserver.pfx --ca enterprise-ca.cer --port 8443
# con percorso personalizzato
./InstallLogServer --config /TuoPercorso/LogServer/Config --database /TuoPercorso/LogServer/Data --cert /TuoPercorso/logserver.pfx --ca /TuoPercorso/enterprise-ca.cer --port 8443
# eliminare il certificato temporaneo logserver.pfx nella directory di installazione corrente
sudo rm -rf /TuoPercorso/logserver.pfx
# mantenere logserver.pfx accessibile solo dall'utente del processo contenitore 'ubuntu'.
sudo chmod 400 LogServer/Config/logserver.pfx
sudo chown ubuntu:ubuntu LogServer/Config/logserver.pfx
<!--NeedCopy-->
Se è richiesta l’autenticazione TLS reciproca, eseguire il seguente comando PowerShell in DDC, Storefront, VDA e altri componenti CVAD con privilegi di amministratore.
# importare il certificato del client nel client aot della macchina
Import-PfxCertificate -CertStoreLocation Cert:\LocalMachine\My\ -FilePath c:\aotclient.pfx
# Verificare l'importazione riuscita
Get-ChildItem Cert:\LocalMachine\My | Where-Object { $_.Subject -like "*AOTclient*" }
# eliminare il certificato temporaneo aotclient.pfx
Remove-Item -Path "C:\aotclient.pfx" -Force
# Assicurarsi che il certificato del server di log sia attendibile su tutte le macchine che caricano i log AOT.
<!--NeedCopy-->
Nota:
Il servizio di telemetria è in esecuzione nell’account “servizio di rete”, quindi è necessario concedere manualmente al SERVIZIO DI RETE il controllo completo sulla chiave privata del certificato CitrixAOTClient, utilizzando l’interfaccia grafica certlm.msc.
Premere Win + R, digitare certlm.msc e premere Invio per aprire la console Certificati (Computer locale).
Espandere Certificati (Computer locale) > Personale > Certificati.
Nel riquadro di destra, individuare il certificato rilasciato a CitrixAOTClient.
Aprire “Gestisci chiavi private”
Fare clic con il pulsante destro del mouse sul certificato e selezionare Tutte le attività > Gestisci chiavi private
Nella finestra di dialogo delle autorizzazioni, selezionare Aggiungi, digitare SERVIZIO DI RETE e fare clic su Controlla nomi (dovrebbe risolversi in NT AUTHORITY\SERVIZIO DI RETE).
Fare clic su OK per applicare le autorizzazioni.
Se il cliente fornisce certificati autofirmati, procedere come segue:
- Sul lato del server di log, logserver.pfx e aotclient.cer vengono installati come descritto in precedenza. Il file aotclient.cer svolge il ruolo di enterprise-ca.cer.
- Sul lato client, aotclient.pfx e logserver.cer vengono importati come descritto in precedenza. Il file logserver.cer svolge il ruolo di enterprise-ca.cer.
- Per ulteriori informazioni, vedere Creare un nuovo certificato
Verificare il server di log
Aprire il browser sul server di log o VDA o DDC, visitare http://FQDNServerLog:8080/Ping
Una stringa di risposta “Pong UTC:08/19/2025 01:03:29 Version: 2511.1.6 verrà visualizzata nel browser. L’ora UTC dovrebbe essere l’ora UTC del server di log. La stringa della versione contiene il nome della release e il numero del builder.
Nota:
Modificare la porta 8080 con la porta configurata se non si utilizza la porta predefinita e modificare http in https se installato con modalità HTTPS.
Se la verifica del server di log fallisce, controllare i seguenti log:
- Eseguire docker logs logserver per controllare i log di Docker.
- Per Linux -
$HOME/LogServer/Config/weblogs.txt(modificare $HOME/LogServer con il percorso di installazione reale se non si utilizza quello predefinito) - Per Windows -
C:\Users\NomeUtente\LogServer\Config\weblogs.txt(Modificare NomeUtente con il nome utente reale. Modificare C:\Users\NomeUtente\LogServer con il percorso di installazione reale se non si utilizza quello predefinito)
Configurazione avanzata del server di log
Eseguire docker stop logserver per arrestare il server di log
Per impostazione predefinita, il server di log è configurato con i valori seguenti. Per apportare modifiche, modificare StartLogServer.sh o StartLogServer.bat se installato in Windows.
-e MAX_RESERVE_DAYS=7
-e MAX_DISK_USAGE_PERCENTAGE=85
-e LOCAL_DOWN_ONLY=true
-e OPENSEARCH_JAVA_OPTS="-Xms2G -Xmx2G"
<!--NeedCopy-->
| Opzioni di configurazione del server di log | Valore predefinito | Intervallo di valori | Descrizione |
|---|---|---|---|
| LOG_LEVEL | 2 | 0-4 | 0=Trace, 1=Debug, 2=Info, 3=Warning, 4=Error |
| CORS_ORIGINS | “Url” o “url1;url2;url3” | Modificare questo valore per consentire al client CWA H5/Chrome di caricare i log AOT. Supporta più URL separati da “;” | |
| MAX_RESERVE_DAYS | 7 | 1~30 | Il server di log memorizza le voci di log per un numero massimo di giorni in base al campo TimeStamp. I log inseriti 7 giorni fa verranno eliminati. Controllare ogni 10 minuti. |
| MAX_DISK_USAGE_PERCENTAGE | 85 | 10~90 | Il server di log monitora la percentuale di archiviazione dei dati. Se la percentuale di utilizzo è superiore al 90%, il server di log eliminerà i log vecchi giorno per giorno fino a quando la percentuale di utilizzo non sarà inferiore al 90%. Controllare ogni 10 minuti. |
| LOCAL_DOWN_ONLY | true | true/false | Se true, solo la macchina su cui è installato il server di log può visitare le API /Download/. Se false, altre macchine con AuthKey possono visitare le API /Download/. |
| OPENSEARCH_JAVA_OPTS | “-Xms2G -Xmx2G” | 2G ~ MaxMem/2 | Configurazioni della memoria di Opensearch. Fornire più memoria se ci sono molte macchine che inviano log al server di log. Es., 0~999 macchine: 2GB 1000~1999 macchine: 4GB 2000~9999 macchine: 6GB |
Eseguire ./StartLogServer.sh su Linux per verificare se le modifiche sono state aggiornate.
Eseguire StartLogServer.bat su Windows per verificare se le modifiche sono state aggiornate.