TLS を使用してユーザーセッションを保護する
バージョン 7.16 以降、Linux VDA はセキュアなユーザーセッションのための TLS 暗号化をサポートしています。TLS 暗号化はデフォルトで無効になっています。
TLS 暗号化を有効にする
セキュアなユーザーセッションのために TLS 暗号化を有効にするには、Linux VDA と Delivery Controller™ (Controller) の両方に証明書をインストールし、TLS 暗号化を有効にします。
Linux VDA に証明書をインストールする
PEM 形式のサーバー証明書と CRT 形式のルート証明書を取得します。サーバー証明書には、以下のセクションが含まれています。
-
証明書
-
暗号化されていない秘密鍵
-
中間証明書 (オプション)
サーバー証明書の例:
サーバー証明書の例 (/en-us/linux-virtual-delivery-agent/2303/media/example-server-certificate.png)
TLS 暗号化を有効にする
Linux VDA で TLS 暗号化を有効にする
Linux VDA では、/opt/Citrix/VDA/sbin ディレクトリにある
enable_vdassl.sh スクリプトを使用して TLS 暗号化を有効 (または無効) にします。スクリプトで利用可能なオプションについては、/opt/Citrix/VDA/sbin/enable_vdassl.sh -help コマンドを実行してください。
SSL を有効にするスクリプト (/en-us/linux-virtual-delivery-agent/2303/media/script-for-enabling-ssl.png)
ヒント: 各 Linux VDA サーバーにサーバー証明書をインストールし、各 Linux VDA サーバーおよびクライアントにルート証明書をインストールする必要があります。
コントローラーでTLS暗号化を有効にする
注:
TLS暗号化はデリバリーグループ全体に対してのみ有効にできます。特定のアプリケーションに対してはTLS暗号化を有効にできません。
コントローラー上のPowerShellウィンドウで、ターゲットデリバリーグループのTLS暗号化を有効にするには、次のコマンドを順に実行します。
-
Add-PSSnapin citrix.*. -
Get-BrokerAccessPolicyRule –DesktopGroupName 'GROUPNAME' | Set-BrokerAccessPolicyRule –HdxSslEnabled $true
注:
ICA®セッションファイルにVDA FQDNのみが含まれるようにするには、
Set-BrokerSite –DnsResolutionEnabled $trueコマンドも実行できます。このコマンドはDNS解決を有効にします。DNS解決を無効にすると、ICAセッションファイルはVDAのIPアドレスを開示し、SSLProxyHostやUDPDTLSPortなどのTLS関連項目に対してのみFQDNを提供します。
コントローラーでTLS暗号化を無効にするには、次のコマンドを順に実行します。
-
Add-PSSnapin citrix.*. -
Get-BrokerAccessPolicyRule –DesktopGroupName 'GROUPNAME' | Set-BrokerAccessPolicyRule –HdxSslEnabled $false -
Set-BrokerSite –DnsResolutionEnabled $false
トラブルシューティング
公開されたデスクトップセッションにアクセスしようとすると、Windows向けCitrix Workspace™アプリで次の「要求されたアドレスを割り当てることができません」というエラーが発生する場合があります。
回避策として、次のようなエントリをhostsファイルに追加します。
<IP address of the Linux VDA> <FQDN of the Linux VDA>
Windowsマシンでは、hostsファイルは通常、
C:\Windows\System32\drivers\etc\hostsにあります。