ランデブー V1
Citrix Gatewayサービスを使用する場合、Rendezvousプロトコルにより、トラフィックはCitrix Cloud™ Connectorsをバイパスし、Citrix Cloudコントロールプレーンに直接かつ安全に接続できます。
考慮すべきトラフィックには2つの種類があります。1) VDA登録およびセッションブローカリングのための制御トラフィック、2) HDX™セッションのトラフィックです。
Rendezvous V1では、HDXセッションのトラフィックがCloud Connectorsをバイパスできますが、VDA登録およびセッションブローカリングのためのすべての制御トラフィックをプロキシするには、引き続きCloud Connectorsが必要です。
要件
-
Citrix Workspace™およびCitrix Gatewayサービスを使用した環境へのアクセス。
-
コントロールプレーン：Citrix DaaS（旧Citrix Virtual Apps and Desktops™サービス）。
-
Linux VDAバージョン2112以降。
-
バージョン2112は、非透過型HTTPプロキシに必要な最小バージョンです。
-
バージョン2204は、透過型およびSOCKS5プロキシに必要な最小バージョンです。
-
-
CitrixポリシーでRendezvousプロトコルを有効にします。詳しくは、「Rendezvousプロトコルポリシー設定」を参照してください。
-
VDAは、すべてのサブドメインを含め、
https://*.nssvc.netにアクセスできる必要があります。その方法ですべてのサブドメインをホワイトリストに登録できない場合は、代わりにhttps://*.c.nssvc.netとhttps://*.g.nssvc.netを使用してください。詳しくは、Citrix Cloudドキュメントの「インターネット接続要件」セクション（Virtual Apps and Desktopサービスの下）およびKnowledge Centerの記事「CTX270584」を参照してください。 -
Cloud Connectorsは、セッションを仲介する際にVDAのFQDNを取得する必要があります。この目標を達成するには、サイトのDNS解決を有効にします。Citrix DaaS Remote PowerShell SDKを使用して、コマンド
Set-BrokerSite -DnsResolutionEnabled $trueを実行します。Citrix DaaS Remote PowerShell SDKについて詳しくは、「SDKとAPI」を参照してください。
プロキシ構成
VDAは、HTTPおよびSOCKS5プロキシを介したRendezvous接続の確立をサポートしています。
プロキシに関する考慮事項
Rendezvousでプロキシを使用する場合は、次の点を考慮してください。
-
非透過型HTTPプロキシとSOCKS5プロキシがサポートされています。
-
パケットの復号と検査はサポートされていません。VDAとGateway Service間のICA®トラフィックが傍受、復号、検査されないように例外を設定してください。そうしないと、接続が切断されます。
-
HTTPプロキシは、NegotiateおよびKerberos認証プロトコルを使用して、マシンベースの認証をサポートします。プロキシサーバーに接続すると、Negotiate認証スキームが自動的にKerberosプロトコルを選択します。Kerberosは、Linux VDAがサポートする唯一のスキームです。注:Kerberosを使用するには、プロキシサーバーのサービスプリンシパル名（SPN）を作成し、それをプロキシのActive Directoryアカウントに関連付ける必要があります。VDAはセッション確立時に
HTTP/<proxyURL>の形式でSPNを生成します。このとき、プロキシURLはRendezvous proxyポリシー設定から取得されます。SPNを作成しない場合、認証は失敗します。 -
SOCKS5プロキシでの認証は現在サポートされていません。SOCKS5プロキシを使用する場合は、Gateway Serviceアドレス（要件で指定）宛てのトラフィックが認証をバイパスできるように例外を設定する必要があります。
-
SOCKS5プロキシのみがEDTを介したデータ転送をサポートします。HTTPプロキシの場合は、ICAのトランスポートプロトコルとしてTCPを使用してください。
透過型プロキシ
Rendezvousでは透過型HTTPプロキシがサポートされています。ネットワークで透過型プロキシを使用している場合、VDAに追加の設定は必要ありません。
非透過型プロキシ
ネットワークで非透過型プロキシを使用する場合は、Rendezvous proxy configuration設定を構成します。この設定が有効になっている場合、VDAが使用するプロキシを認識できるように、HTTPまたはSOCKS5プロキシアドレスを指定します。例：
-
プロキシアドレス:
http://<URL or IP>:<port>またはsocks5://<URL or IP>:<port>
Rendezvousの検証
すべての要件を満たしている場合は、Rendezvousが使用されているかどうかを検証するために、次の手順に従ってください。
-
VDAでターミナルを起動します。
-
/opt/Citrix/VDA/bin/ctxquery -f iPを実行します。 -
TRANSPORT PROTOCOLSは接続の種類を示します。
-
TCP ランデブー: TCP - TLS - CGP - ICA
-
EDT ランデブー: UDP - DTLS - CGP - ICA
-
Cloud Connector経由のプロキシ: TCP - PROXY - SSL - CGP - ICA または UDP - PROXY - DTLS - CGP - ICA
-
ヒント:
Rendezvousが有効な状態でVDAがCitrix Gatewayサービスに直接到達できない場合、VDAはCloud Connectorを介してHDXセッションをプロキシするようにフォールバックします。
Rendezvousの仕組み
この図は、Rendezvous接続フローの概要です。
フローを理解するには、以下の手順に従ってください。
-
Citrix Workspaceに移動します。
-
Citrix Workspaceで資格情報を入力します。
-
オンプレミスのActive Directoryを使用している場合、Citrix DaaS™は、Cloud Connectorチャネルを使用してActive Directoryで資格情報を認証します。
-
Citrix Workspaceは、Citrix DaaSから列挙されたリソースを表示します。
-
Citrix Workspaceからリソースを選択します。Citrix DaaSは、受信セッションの準備をするようVDAにメッセージを送信します。
-
Citrix Workspaceは、Citrix Cloudによって生成されたSTAチケットを含むICAファイルをエンドポイントに送信します。
-
エンドポイントはCitrix Gatewayサービスに接続し、VDAに接続するためのチケットを提供し、Citrix Cloudがそのチケットを検証します。
-
Citrix Gatewayサービスは、接続情報をCloud Connectorに送信します。Cloud Connectorは、その接続がRendezvous接続であるかどうかを判断し、その情報をVDAに送信します。
-
VDAはCitrix Gatewayサービスへの直接接続を確立します。
-
VDAとCitrix Gatewayサービス間の直接接続が不可能な場合、VDAはCloud Connectorを介して接続をプロキシします。
-
Citrix Gatewayサービスは、エンドポイントデバイスとVDA間の接続を確立します。
-
VDAは、Cloud Connectorを介してCitrix DaaSでライセンスを検証します。
-
Citrix DaaSは、Cloud Connectorを介してセッションポリシーをVDAに送信します。これらのポリシーが適用されます。