製品ドキュメント
Citrix DaaS™
PDFを表示

HDX™ ダイレクト

September 3, 2026
寄稿者: 
C C

Citrixが提供するリソースにアクセスする際、直接通信が可能であれば、HDX Directにより、内部および外部のクライアントデバイスはセッションホストと安全な直接接続を確立できます。

システム要件

HDX Directを使用するためのシステム要件は以下のとおりです。

  • コントロールプレーン

    • シトリックス DaaS™
    • シトリックス Virtual Apps and Desktops™ 2503 以降

  • バーチャル デリバリー エージェント (VDA)

    • Windows: バージョン 2503 以降

  • ワークスペース アプリ

    • Windows: バージョン 2503 以降
    • Linux: バージョン 2411 以降
    • Mac: バージョン 2411 以降

  • アクセス層

    • Citrix® StoreFront クラウド
    • Citrix StoreFront 2503 以降
    • シトリックス ゲートウェイサービス
    • シトリックス NetScaler® ゲートウェイ

ネットワーク要件

HDX Direct を使用するためのネットワーク要件は次のとおりです。

セッションホスト

セッションホストに Windows Defender ファイアウォールなどのファイアウォールがある場合は、内部接続に対して次の受信トラフィックを許可する必要があります。

説明 ソース プロトコル ポート
直接内部接続 クライアント TCP 443
直接内部接続 クライアント UDP 443

注:

VDAインストーラーは、Windows Defender ファイアウォールに適切な受信規則を追加します。別のファイアウォールを使用する場合は、上記の規則を追加する必要があります。

クライアントネットワーク

次の表は、内部ユーザーと外部ユーザーのクライアントネットワークについて説明しています。

内部ユーザー

説明 プロトコル 送信元 送信元ポート 宛先 宛先ポート
直接内部接続 TCP クライアントネットワーク 1024–65535 VDAネットワーク 443
直接内部接続 UDP クライアントネットワーク 1024–65535 VDAネットワーク 443

外部ユーザー

説明 プロトコル 送信元 送信元ポート 宛先 宛先ポート
STUN (外部ユーザーのみ) UDP クライアントネットワーク 1024–65535 インターネット (下記の注記を参照) 3478, 19302
外部ユーザー接続 UDP クライアントネットワーク 1024–65535 データセンターのパブリックIPアドレス 1024–65535

データセンターネットワーク

以下の表は、内部ユーザーと外部ユーザー向けのデータセンターネットワークについて説明しています。

内部ユーザー

説明 プロトコル ソース ソースポート 宛先 宛先ポート
直接内部接続 TCP クライアントネットワーク 1024–65535 VDAネットワーク 443
直接内部接続 UDP クライアントネットワーク 1024–65535 VDAネットワーク 443

外部ユーザー

説明 プロトコル 送信元 送信元ポート 宛先 宛先ポート
STUN (外部ユーザーのみ) UDP VDAネットワーク 1024–65535 インターネット (下記の注記を参照) 3478, 19302
外部ユーザー接続 UDP DMZ / 内部ネットワーク 1024–65535 VDAネットワーク 55000–55250
外部ユーザー接続 UDP VDAネットワーク 55000–55250 クライアントのパブリックIP 1024–65535

注:

VDAとWorkspaceアプリの両方が、以下のサーバーに同じ順序でSTUNリクエストを送信しようとします。

  • stun.cloud.com:3478
  • stun.cloudflare.com:3478
  • stun.l.google.com:19302

HDX Direct port rangeポリシー設定を使用して外部ユーザー接続のデフォルトポート範囲を変更した場合、対応するファイアウォールルールはカスタムポート範囲と一致する必要があります。

構成

HDX Directはデフォルトで無効になっています。この機能は、CitrixポリシーのHDX Direct設定を使用して構成できます。

  • HDX Direct: 機能を有効または無効にする場合。
  • HDX Direct mode: HDX Directが内部クライアントのみで利用可能か、内部クライアントと外部クライアントの両方で利用可能かを決定します。
  • HDX Direct port range: 外部クライアントからの接続にVDAが使用するポート範囲を定義します。

必要に応じて、HDX Directが使用するSTUNサーバーのリストは、以下のレジストリ値を編集することで変更できます。

  • Key: HKLM\SOFTWARE\Citrix\HDX-Direct
  • 値の型: REG_MULTI_SZ
  • 値の名前: STUNServers
  • データ: stun.cloud.com:3478 stun.cloudflare.com:3478 stun.l.google.com:19302

注記:

外部ユーザー向けのHDX Directは、トランスポートプロトコルとしてEDT (UDP) を使用する場合にのみ利用可能です。したがって、アダプティブトランスポートを有効にする必要があります。

考慮事項

HDX Directを使用する際の考慮事項は次のとおりです。

  • 外部ユーザー向けのHDX Directは、トランスポートプロトコルとしてEDT (UDP) を使用する場合にのみ利用可能です。したがって、アダプティブトランスポートを有効にする必要があります。
  • HDX Insightを使用している場合、HDX Directを使用すると、セッションがNetScaler Gatewayを介してプロキシされなくなるため、HDX Insightのデータ収集が妨げられることに注意してください。

仕組み

HDX Directを使用すると、直接通信が可能な場合にクライアントがセッションホストへの直接接続を確立できます。HDX Directを使用して直接接続が行われると、自己署名証明書が使用され、ネットワークレベルの暗号化 (TLS/DTLS) で直接接続が保護されます。

内部ユーザー

次の図は、内部ユーザーのHDX Direct接続プロセスの概要を示しています。

HDX Directの概要

  1. クライアントはGateway Serviceを介してHDXセッションを確立します。
  2. 接続が成功すると、VDA は HDX 接続を介して、VDA マシンの FQDN、その IP アドレスのリスト、および VDA マシンの証明書をクライアントに送信します。
  3. クライアントは、VDA に直接到達できるかどうかを確認するために IP アドレスをプローブします。
  4. クライアントが共有されたいずれかの IP アドレスで VDA に直接到達できる場合、クライアントは VDA と直接接続を確立します。この接続は、ステップ (2) で交換された証明書と一致する証明書を使用して (D)TLS で保護されます。
  5. 直接接続が正常に確立されると、セッションは新しい接続に転送され、Gateway Service への接続は終了します。

注:

上記のステップ 2 で接続を確立した後、セッションはアクティブになります。その後の手順は、ユーザーが仮想アプリケーションまたはデスクトップを使用する能力を遅らせたり、妨げたりすることはありません。その後の手順のいずれかが失敗した場合でも、ユーザーのセッションを中断することなく、Gateway を介した接続は維持されます。

従来の直接接続

Storefront、Direct Workload Connection を使用する Workspace、または内部接続専用に構成された Workspace を使用する場合、クライアントとセッションホスト間の直接接続は、最初に Gateway を経由する必要なく確立されます。

これらの場合、接続は本質的に直接的であるため、HDX Direct はトリガーされません。ただし、HDX Direct が有効になっている場合、これらの接続は HDX Direct 証明書を利用してセッションを保護します。

外部ユーザー

次の図は、外部ユーザー向けの HDX Direct 接続プロセスの概要を示しています。

HDX Direct 接続プロセス

  1. クライアントは Gateway Service を介して HDX セッションを確立します。
  2. 接続が成功すると、クライアントと VDA の両方が STUN リクエストを送信して、それぞれのパブリック IP アドレスとポートを検出します。
  3. STUN サーバーは、クライアントと VDA にそれぞれのパブリック IP アドレスとポートで応答します。
  4. HDX接続を介して、クライアントとVDAはそれぞれのパブリックIPアドレスとUDPポートを交換し、VDAはクライアントに証明書を送信します。
  5. VDAはクライアントのパブリックIPアドレスとUDPポートにUDPパケットを送信します。クライアントはVDAのパブリックIPアドレスとUDPポートにUDPパケットを送信します。
  6. VDAからのメッセージを受信すると、クライアントはセキュアな接続要求で応答します。
  7. DTLSハンドシェイク中に、クライアントは証明書がステップ(4)で交換された証明書と一致することを確認します。検証後、クライアントは認証トークンを送信します。これでセキュアな直接接続が確立されます。
  8. 直接接続が正常に確立されると、セッションは新しい接続に転送され、Gateway Serviceへの接続は終了します。

注:

上記のステップ2で接続が確立された後、セッションはアクティブになります。その後のステップは、ユーザーが仮想アプリケーションまたはデスクトップを使用する能力を遅らせたり、妨げたりすることはありません。その後のいずれかのステップが失敗した場合でも、ユーザーのセッションを中断することなく、Gatewayを介した接続は維持されます。

HDX™ ダイレクト
September 3, 2026
寄稿者: 
C C
September 3, 2026
寄稿者: 
C C

この記事の概要

サイトに関するフィードバック | Your privacy choices footer linkプライバシーに関する選択肢 | プライバシーと法令 | Cookieの設定 | 同意設定 | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.