ランデブー V1
Citrix Gatewayサービスを使用する場合、Rendezvousプロトコルにより、VDAはCitrix Cloud™ Connectorをバイパスして、Citrix Cloudコントロールプレーンに直接かつ安全に接続できます。
要件
-
Citrix® StoreFront CloudおよびCitrix Gatewayサービスを使用した環境へのアクセス。
-
コントロールプレーン:Citrix DaaS™ (Citrix Cloud)。
-
VDA:バージョン1912以降。
-
EDT Rendezvousにはバージョン2012が最低要件です。
-
非透過型プロキシのサポート(PACファイルサポートなし)にはバージョン2012が最低要件です。
-
PACファイルを使用したプロキシ構成にはバージョン2103が最低要件です。
-
-
CitrixポリシーでRendezvousプロトコルを有効にします。詳しくは、「Rendezvousプロトコルポリシー設定」を参照してください。
-
VDAは、すべてのサブドメインを含め、
https://*.nssvc.netにアクセスできる必要があります。その方法ですべてのサブドメインを許可リストに追加できない場合は、代わりにhttps://*.c.nssvc.netとhttps://*.g.nssvc.netを使用してください。詳しくは、Citrix Cloudドキュメント(Citrix DaaSの下)の「インターネット接続要件」セクションと、Knowledge Centerの記事「CTX270584」を参照してください。 -
VDAは、TCP RendezvousおよびEDT Rendezvousの場合、それぞれTCP 443およびUDP 443で前述のアドレスに接続できる必要があります。
-
Cloud Connectorは、セッションを仲介する際にVDAのFQDNを取得する必要があります。このタスクは、次の2つの方法のいずれかで実行します。
-
サイトのDNS解決を有効にする。 **[設定]>[サイト設定]に移動し、[DNS解決を有効にする]**設定をオンにします。または、Citrix Virtual Apps and Desktops Remote PowerShell SDKを使用して、コマンド
Set-BrokerSite -DnsResolutionEnabled $trueを実行します。Citrix Virtual Apps and Desktops Remote PowerShell SDKについて詳しくは、「SDKとAPI」を参照してください。 -
VDAのPTRレコードを含むDNS逆引き参照ゾーン。 このオプションを選択する場合は、VDAが常にPTRレコードの登録を試行するように構成することをお勧めします。これを行うには、グループポリシーエディターまたはグループポリシーオブジェクトを使用して、**[コンピューターの構成]>[管理用テンプレート]>[ネットワーク]>[DNSクライアント]に移動し、[PTRレコードの登録]を[有効にして登録]に設定します。接続のDNSサフィックスがドメインのDNSサフィックスと一致しない場合は、マシンがPTRレコードを正常に登録できるように、[接続固有のDNSサフィックス]**設定も構成する必要があります。
注:DNS解決オプションを使用する場合、Cloud ConnectorはVDAマシンの完全修飾ドメイン名 (FQDN) を解決できる必要があります。内部ユーザーがVDAマシンに直接接続する場合、クライアントデバイスもVDAマシンのFQDNを解決できる必要があります。DNS逆引き参照ゾーンを使用する場合、PTRレコード内のFQDNはVDAマシンのFQDNと一致する必要があります。PTRレコードに異なるFQDNが含まれている場合、Rendezvous接続は失敗します。たとえば、マシンのFQDNがvda01.domain.netの場合、PTRレコードにはvda01.domain.netが含まれている必要があります。vda01.sub.domain.netのような異なるFQDNは機能しません。 -
プロキシ構成
VDAは、プロキシを介したRendezvous接続の確立をサポートしています。
プロキシに関する考慮事項
Rendezvousでプロキシを使用する際は、次の点を考慮してください。
-
透過型プロキシ、非透過型HTTPプロキシ、SOCKS5プロキシがサポートされています。
-
パケットの復号化と検査はサポートされていません。VDAとGateway Service間のICA®トラフィックが傍受、復号化、または検査されないように例外を構成してください。そうしないと、接続が切断されます。
-
HTTPプロキシは、NegotiateおよびKerberosまたはNT LAN Manager (NTLM) 認証プロトコルを使用して、マシンベースの認証をサポートします。プロキシサーバーに接続すると、Negotiate認証スキームが自動的にKerberosプロトコルを選択します。Kerberosがサポートされていない場合、Negotiateは認証のためにNTLMにフォールバックします。注:Kerberosを使用するには、プロキシサーバーのサービスプリンシパル名 (SPN) を作成し、それをプロキシのActive Directoryアカウントに関連付ける必要があります。VDAは、セッション確立時に
HTTP/<proxyURL>の形式でSPNを生成します。このとき、プロキシURLはRendezvous proxyポリシー設定から取得されます。SPNを作成しない場合、認証はNTLMにフォールバックします。どちらの場合も、VDAマシンのIDが認証に使用されます。 -
SOCKS5プロキシでの認証は現在サポートされていません。SOCKS5プロキシを使用する場合、Gateway Serviceアドレス (要件で指定) 宛てのトラフィックが認証をバイパスできるように例外を構成する必要があります。
-
SOCKS5プロキシのみがEDTを介したデータ転送をサポートします。HTTPプロキシの場合は、ICAのトランスポートプロトコルとしてTCPを使用してください。
透過型プロキシ
ネットワークで透過型プロキシを使用している場合、VDAに追加の設定は必要ありません。
非透過型プロキシ
ネットワークで非透過型プロキシを使用している場合は、Rendezvousプロキシ構成設定を構成します。この設定を有効にすると、HTTPまたはSOCKS5プロキシアドレスを指定するか、PACファイルへのパスを入力して、VDAが使用するプロキシを認識できるようにします。例:
-
プロキシアドレス:
http://<URL or IP>:<port>またはsocks5://<URL or IP>:<port> -
PACファイル:
http://<URL or IP>/<path>/<filename>.pac
PACファイルを使用してプロキシを構成する場合、Windows HTTPサービスで必要な構文を使用してプロキシを定義します:
PROXY [<scheme>=]<URL or IP>:<port>。例: PROXY socks5=<URL or IP>:<port>。
Rendezvousの検証
すべての要件を満たしている場合、Rendezvousが使用されているかどうかを検証するには、次の手順に従います。
-
HDX™セッション内でPowerShellまたはコマンドプロンプトを起動します。
-
ctxsession.exe –vを実行します。 -
使用中のトランスポートプロトコルは、接続の種類を示します。
-
TCPランデブー: TCP > SSL > CGP > ICA
-
EDTランデブー: UDP > DTLS > CGP > ICA
-
Cloud Connector経由のプロキシ: TCP > CGP > ICA
-
その他の考慮事項
Windowsの暗号スイートの順序
カスタムの暗号スイート順序を使用する場合は、以下のリストからVDAでサポートされている暗号スイートを含めるようにしてください。
-
TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
-
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384
-
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
カスタムの暗号スイート順序にこれらの暗号スイートが含まれていない場合、Rendezvous接続は失敗します。
ゼットスケーラー プライベートアクセス
Zscaler Private Access (ZPA)を使用している場合、レイテンシーの増加とそれに伴うパフォーマンスへの影響を回避するために、Gateway Serviceのバイパス設定を構成することをお勧めします。そのためには、要件で指定されているGateway Serviceアドレスのアプリケーションセグメントを定義し、それらを常にバイパスするように設定する必要があります。ZPAをバイパスするためのアプリケーションセグメントの構成については、Zscalerのドキュメントを参照してください。