TLSを使用してユーザーセッションを保護する
バージョン7.16以降、Linux VDAはセキュアなユーザーセッションのためにTLS暗号化をサポートしています。TLS暗号化はデフォルトで無効になっています。
TLS暗号化を有効にする
セキュアなユーザーセッションのためにTLS暗号化を有効にするには、証明書を取得し、Linux VDAとDelivery Controller™ (Controller) の両方でTLS暗号化を有効にします。
証明書を取得する
信頼された認証局 (CA) から、PEM形式のサーバー証明書とCRT形式のルート証明書を取得します。サーバー証明書には、以下のセクションが含まれます。
-
証明書
-
暗号化されていない秘密キー
-
中間証明書（オプション）
サーバー証明書の例：
TLS暗号化を有効にする
Linux VDAでTLS暗号化を有効にする
Linux VDAでは、
enable_vdassl.shツールを使用してTLS暗号化を有効（または無効）にします。このツールは /opt/Citrix/VDA/sbin ディレクトリにあります。ツールの利用可能なオプションについては、/opt/Citrix/VDA/sbin/enable_vdassl.sh -helpコマンドを実行してください。
ヒント: サーバー証明書は各Linux VDAサーバーにインストールする必要があり、ルート証明書は各Linux VDAサーバーとクライアントにインストールする必要があります。
ControllerでTLS暗号化を有効にする
注:
TLS暗号化はデリバリーグループ全体に対してのみ有効にできます。特定のアプリケーションに対してはTLS暗号化を有効にできません。
Controller上のPowerShellウィンドウで、ターゲットデリバリーグループのTLS暗号化を有効にするには、次のコマンドを順番に実行します。
-
Add-PSSnapin citrix.*. -
Get-BrokerAccessPolicyRule –DesktopGroupName 'GROUPNAME' | Set-BrokerAccessPolicyRule –HdxSslEnabled $true
注:
ICA®セッションファイルにVDA FQDNのみが含まれるようにするには、
Set-BrokerSite –DnsResolutionEnabled $trueコマンドも実行できます。このコマンドはDNS解決を有効にします。DNS解決を無効にすると、ICAセッションファイルはVDA IPアドレスを開示し、SSLProxyHostやUDPDTLSPortなどのTLS関連項目にのみFQDNを提供します。
ControllerでTLS暗号化を無効にするには、次のコマンドを順番に実行します。
-
Add-PSSnapin citrix.*. -
Get-BrokerAccessPolicyRule –DesktopGroupName 'GROUPNAME' | Set-BrokerAccessPolicyRule –HdxSslEnabled $false -
Set-BrokerSite –DnsResolutionEnabled $false
トラブルシューティング
公開デスクトップセッションにアクセスしようとすると、Windows向けCitrix Workspace™アプリで次の「要求されたアドレスを割り当てることができません」というエラーが発生する場合があります。
回避策として、次のようなエントリをhostsファイルに追加します。
<IP address of the Linux VDA> <FQDN of the Linux VDA>
Windowsマシンでは、hostsファイルは通常、
C:\Windows\System32\drivers\etc\hostsにあります。