Citrix GatewayおよびCitrix ADCとの統合

最終公開日 : Oct 21, 2026
XenMobile®と統合すると、Citrix Gatewayは、MAMデバイスが内部ネットワークにリモートデバイスアクセスするための認証メカニズムを提供します。この統合により、モバイル生産性アプリはマイクロVPNを介してイントラネット内の企業サーバーに接続できます。マイクロVPNは、モバイルデバイス上のアプリからCitrix Gatewayに作成されます。Citrix Gatewayは、すべての企業リソースへのアクセスにマイクロVPNパスを提供し、強力な多要素認証をサポートします。
Citrix ADCの負荷分散は、以下のケースで、すべてのXenMobile Serverデバイスモードに必要です。
  • 複数のXenMobile Serverがある場合
  • または、XenMobile ServerがDMZまたは内部ネットワーク内にある場合（そのため、トラフィックはデバイスからCitrix ADC、XenMobileへと流れます）
Related information
XenMobile® の展開

XenMobile Serverモードの統合要件

Citrix GatewayとCitrix ADCの統合要件は、XenMobile Serverのモード（MAM、MDM、ENT）によって異なります。

MAM

MAMモードのXenMobile Serverの場合：
  • Citrix Gatewayが必要です。Citrix Gatewayは、すべての企業リソースへのアクセスにマイクロVPNパスを提供し、強力な多要素認証をサポートします。
  • Citrix ADCは負荷分散に推奨されます。
    Citrixでは、高可用性構成でXenMobileを展開することを推奨しています。これには、XenMobileの前にロードバランサーが必要です。詳細については、「MAMおよびレガシーMAMモードについて」を参照してください。

MDM

MDMモードのXenMobile Serverの場合：
  • Citrix Gatewayは必須ではありません。MDM展開の場合、CitrixはモバイルデバイスVPNにCitrix Gatewayを推奨しています。
  • Citrix ADC はセキュリティと負荷分散に推奨されます。
    Citrix は、セキュリティと負荷分散のために、XenMobile Server の前に Citrix ADC アプライアンスを展開することを推奨します。DMZ に XenMobile を配置する標準的な展開では、Citrix は Citrix ADC for XenMobile ウィザードと、SSL Bridge モードでの XenMobile Server の負荷分散を推奨します。以下の展開では、SSL オフロードも検討できます。
    • XenMobile Server が DMZ ではなく内部ネットワークに配置されている。
    • または、セキュリティチームが SSL Bridge 構成を要求している。
    Citrix は、MDM のために NAT または既存のサードパーティ製プロキシやロードバランサーを介して XenMobile Server をインターネットに公開することを推奨しません。これらの構成は、SSL トラフィックが XenMobile Server (SSL Bridge) で終端される場合でも、潜在的なセキュリティリスクをもたらします。
    高セキュリティ環境では、デフォルトの XenMobile 構成を持つ Citrix ADC は、セキュリティ要件を満たすか、それを上回ります。
    最高のセキュリティ要件を持つ MDM 環境では、Citrix ADC での SSL 終端により、エンドツーエンドの SSL 暗号化を維持しながら、境界でトラフィックを検査できます。詳細については、「セキュリティ要件」を参照してください。Citrix ADC は、SSL/TLS 暗号と SSL FIPS Citrix ADC ハードウェアを定義するオプションを提供します。

ENT (MAM+MDM)

XenMobile Server が ENT モードの場合:
  • Citrix Gateway が必要です。Citrix Gateway は、すべての企業リソースへのアクセスにマイクロ VPN パスを提供し、強力な多要素認証をサポートします。
    XenMobile Server モードが ENT で、ユーザーが MDM 登録をオプトアウトした場合、デバイスはレガシー MAM モードで動作します。レガシー MAM モードでは、デバイスは Citrix Gateway FQDN を使用して登録します。詳細については、「MAM とレガシー MAM モードについて」を参照してください。
  • Citrix ADC は負荷分散に推奨されます。詳細については、この記事の「MDM」の項にある Citrix ADC の説明を参照してください。
重要:
初期登録の場合、負荷分散仮想サーバーを SSL オフロードまたは SSL ブリッジのどちらに構成しても、ユーザーデバイスからのトラフィックは XenMobile Server で認証されます。

設計上の決定事項

以下のセクションでは、XenMobile との Citrix Gateway 統合を計画する際に考慮すべき多くの設計上の決定事項をまとめます。

ライセンスとエディション

決定の詳細:
  • どのエディションの Citrix ADC を使用する予定ですか？
  • Citrix ADC にプラットフォームライセンスを適用しましたか？
  • MAM 機能が必要な場合、Citrix ADC ユニバーサルアクセスライセンスを適用しましたか？
設計ガイダンス:
Citrix Gateway に適切なライセンスを適用していることを確認してください。Exchange ActiveSync 用の Citrix Gateway connector™ を使用している場合、統合キャッシュが必要になることがあります。そのため、適切な Citrix ADC Edition が導入されていることを確認する必要があります。
Citrix ADC 機能を有効にするためのライセンス要件は次のとおりです。
  • XenMobile MDM の負荷分散には、最低でも Citrix ADC Standard プラットフォームライセンスが必要です。
  • ストレージゾーンコントローラーを使用した ShareFile の負荷分散には、最低でも Citrix ADC Standard プラットフォームライセンスが必要です。
  • XenMobile Advanced Edition (オンプレミス) または Citrix Endpoint Management™ (クラウド) には、MAM に必要な Citrix Gateway ユニバーサルライセンスが含まれています。
  • Exchange の負荷分散には、Citrix ADC Platinum プラットフォームライセンス、または統合キャッシュライセンスを追加した Citrix ADC Enterprise プラットフォームライセンスが必要です。

XenMobile 用 Citrix ADC バージョン

決定の詳細:
  • XenMobile環境で実行されているCitrix ADCのバージョンは何ですか？
  • 個別のインスタンスが必要ですか？
設計ガイダンス:
Citrixでは、Citrix Gateway仮想サーバーにCitrix ADCの専用インスタンスを使用することをお勧めします。XenMobile環境で、Citrix ADCの最小要件バージョンとビルドが使用されていることを確認してください。通常、XenMobileには最新の互換性のあるCitrix ADCバージョンとビルドを使用するのが最適です。Citrix Gatewayのアップグレードが既存の環境に影響を与える場合は、XenMobile用に2つ目の専用インスタンスが適切である可能性があります。
XenMobileとVPN接続を使用する他のアプリでCitrix ADCインスタンスを共有する予定がある場合は、両方に十分なVPNライセンスがあることを確認してください。XenMobileのテスト環境と本番環境は、Citrix ADCインスタンスを共有できないことに注意してください。

証明書

決定の詳細:
  • XenMobile環境への登録とアクセスに、より高度なセキュリティが必要ですか？
  • LDAPは選択肢ではありませんか？
設計ガイダンス:
XenMobileのデフォルト設定は、ユーザー名とパスワード認証です。XenMobile環境への登録とアクセスに別のセキュリティ層を追加するには、証明書ベースの認証の使用を検討してください。LDAPと証明書を組み合わせて2要素認証を行うことで、RSAサーバーを必要とせずに、より高度なセキュリティを提供できます。
LDAPを許可せず、スマートカードまたは類似の方法を使用する場合、証明書を構成することで、スマートカードをXenMobileに認識させることができます。ユーザーは、XenMobileが生成する一意のPINを使用して登録します。ユーザーがアクセス権を取得すると、XenMobileはXenMobile環境への認証に使用される証明書を作成して展開します。
XenMobileは、サードパーティの証明機関に対してのみ証明書失効リスト (CRL) をサポートしています。Microsoft CAが構成されている場合、XenMobileはCitrix ADCを使用して失効を管理します。クライアント証明書ベースの認証を構成する際は、Citrix ADCの証明書失効リスト (CRL) 設定 Enable CRL Auto Refresh を構成する必要があるかどうかを検討してください。この手順により、MAMのみに登録されたデバイスのユーザーが、デバイス上の既存の証明書を使用して認証できないようにします。XenMobileは新しい証明書を再発行します。これは、証明書が失効した場合でも、ユーザーがユーザー証明書を生成することを制限しないためです。この設定は、CRLが期限切れのPKIエンティティをチェックする際に、PKIエンティティのセキュリティを向上させます。

ネットワークトポロジ

決定の詳細:
  • どのようなCitrix ADCトポロジが必要ですか？
設計ガイダンス:
CitrixはXenMobileにCitrix ADCインスタンスを使用することを推奨しています。ただし、内部ネットワークからDMZへのトラフィックを望まない場合があるかもしれません。その場合は、Citrix ADCの追加インスタンスをセットアップすることを検討してください。内部ユーザー用に1つのCitrix ADCインスタンスを、外部ユーザー用に1つのCitrix ADCインスタンスを使用します。ユーザーが内部ネットワークと外部ネットワークを切り替える際、DNSレコードのキャッシュにより、Secure Hubのログオンプロンプトが増加する可能性があります。
XenMobileはCitrix Gatewayのダブルホップをサポートしていません。

専用または共有のCitrix Gateway VIP

決定の詳細:
  • 現在、Virtual Apps and DesktopsにCitrix Gatewayを使用していますか？
  • XenMobileでVirtual Apps and Desktopsと同じCitrix Gatewayを使用する予定ですか？
  • 両方のトラフィックフローの認証要件は何ですか？
設計ガイダンス:
Citrix環境にXenMobileとVirtual Apps and Desktopsが含まれている場合、両方に同じCitrix ADCインスタンスとCitrix Gateway仮想サーバーを使用できます。バージョン競合の可能性や環境の分離のため、各XenMobile環境には専用のCitrix ADCインスタンスとCitrix Gatewayを推奨します。ただし、専用のCitrix ADCインスタンスが選択肢にない場合、CitrixはSecure Hubのトラフィックフローを分離するために専用のCitrix Gateway仮想サーバーを使用することを推奨します。この構成は、XenMobileとVirtual Apps and Desktops間で共有される仮想サーバーの代わりとなります。
LDAP認証を使用する場合、ReceiverとSecure Hubは問題なく同じCitrix Gatewayに認証できます。証明書ベースの認証を使用する場合、XenMobileはMDXコンテナに証明書をプッシュし、Secure Hubはその証明書を使用してCitrix Gatewayで認証します。ReceiverはSecure Hubとは別であり、Secure Hubと同じ証明書を使用して同じCitrix Gatewayに認証することはできません。
2つのCitrix Gateway VIPに同じFQDNを使用できる、以下の回避策を検討してください。
  • 同じIPアドレスを持つ2つのCitrix Gateway VIPを作成します。Secure Hub用のVIPは標準の443ポートを使用し、Virtual Apps and Desktops（Receiverを展開する）用のVIPはポート444を使用します。
  • その結果、1つのFQDNが同じIPアドレスに解決されます。
  • この回避策では、StoreFront™ を構成して、デフォルトのポート 443 の代わりにポート 444 の ICA ファイルを返すようにすることができます。この回避策では、ユーザーがポート番号を入力する必要はありません。

Citrix Gateway のタイムアウト

決定の詳細:
  • XenMobile トラフィックの Citrix Gateway タイムアウトをどのように構成しますか？
設計ガイダンス:
Citrix Gateway には、セッションタイムアウトと強制タイムアウトの設定が含まれています。詳細については、推奨される構成 を参照してください。バックグラウンドサービス、Citrix ADC、およびオフライン時のアプリケーションアクセスには、異なるタイムアウト値があることに注意してください。

MAM 用 XenMobile ロードバランサー IP アドレス

決定の詳細:
  • VIP には内部 IP アドレスと外部 IP アドレスのどちらを使用していますか？
設計ガイダンス:
Citrix Gateway VIP にパブリック IP アドレスを使用できる環境では、XenMobile ロードバランシング VIP とアドレスをこの方法で割り当てると、登録エラーが発生します。
このシナリオでの登録エラーを回避するために、ロードバランシング VIP が内部 IP を使用していることを確認してください。この仮想 IP アドレスは、プライベート IP アドレスの RFC 1918 標準に従う必要があります。この仮想サーバーに非プライベート IP アドレスを使用すると、認証プロセス中に Citrix ADC が XenMobile Server に正常に接続できません。詳細については、<https://support.citrix.com/article/CTX200430> を参照してください。

MDM ロードバランシングメカニズム

決定の詳細:
  • Citrix Gateway は XenMobile Server のロードバランスをどのように行いますか？
設計ガイダンス:
XenMobileがDMZにある場合はSSLブリッジを使用します。セキュリティ標準を満たすために必要な場合は、XenMobileが内部ネットワークにあるときにSSLオフロードを使用します。
  • SSLブリッジモードでCitrix ADC VIPを使用してXenMobile Serverの負荷分散を行う場合、インターネットトラフィックはXenMobile Serverに直接流れ、そこで接続が終了します。SSLブリッジモードは、セットアップとトラブルシューティングが最も簡単なモードです。
  • SSLオフロードモードでCitrix ADC VIPを使用してXenMobile Serverの負荷分散を行う場合、インターネットトラフィックはCitrix ADCに直接流れ、そこで接続が終了します。その後、Citrix ADCはCitrix ADCからXenMobile Serverへの新しいセッションを確立します。SSLオフロードモードでは、セットアップとトラブルシューティングに追加の複雑さが伴います。

SSLオフロードによるMDM負荷分散のサービスポート

決定の詳細:
  • 負荷分散にSSLオフロードモードを使用する予定の場合、バックエンドサービスはどのポートを使用しますか？
設計ガイダンス:
SSLオフロードの場合、ポート80または8443を次のように選択します。
  • 真のオフロードのために、XenMobile Serverへのバックエンドにポート80を使用します。
  • エンドツーエンド暗号化、つまりトラフィックの再暗号化はサポートされていません。詳細については、Citrixサポート記事「Supported Architectures Between NetScaler and XenMobile Server」を参照してください。

登録FQDN

決定の詳細:
  • 登録用FQDNおよびXenMobileインスタンス/負荷分散VIPとして何を使用する予定ですか？
設計ガイダンス:
クラスター内の最初のXenMobile Serverの初期構成では、XenMobile Server FQDNを指定する必要があります。そのFQDNは、MDM VIP URLおよび内部MAM LB VIP URLと一致している必要があります。（内部Citrix ADCアドレスレコードがMAM LB VIPを解決します。）詳細については、この記事の後半にある「各管理モードの登録FQDN」を参照してください。
さらに、以下の証明書と同じものを使用する必要があります。
  • XenMobile SSLリスナー証明書
  • 内部MAM LB VIP証明書
  • MDM VIP証明書（MDM VIPにSSLオフロードを使用している場合）
重要:
登録FQDNを構成した後、変更することはできません。新しい登録FQDNには、新しいSQL ServerデータベースとXenMobile Serverの再構築が必要です。

Secure Webトラフィック

決定の詳細:
  • Secure Webを内部Webブラウジングのみに制限する予定ですか？
  • Secure Webを内部および外部Webブラウジングの両方で有効にする予定ですか？
設計ガイダンス:
Secure Webを内部Webブラウジングのみに使用する予定の場合、Citrix Gatewayの構成は簡単です。Secure Webは、デフォルトですべての内部サイトに到達できる必要があります。ファイアウォールとプロキシサーバーを構成する必要がある場合があります。
Secure Webを内部および外部ブラウジングの両方で使用する予定の場合、SNIPがアウトバウンドインターネットアクセスを持つように有効にする必要があります。IT部門は通常、登録済みデバイス（MDXコンテナを使用）を企業ネットワークの拡張と見なします。そのため、IT部門は通常、Secure Web接続がCitrix ADCに戻り、プロキシサーバーを経由してインターネットに出ることを望んでいます。デフォルトでは、Secure Webはすべてのネットワークアクセスに対して、アプリケーションごとのVPNトンネルを使用して内部ネットワークに戻ります。Citrix ADCはスプリットトンネル設定を使用します。
Secure Web接続の詳細については、「ユーザー接続の構成」を参照してください。

Secure Mail のプッシュ通知

決定の詳細:
  • プッシュ通知を使用する予定はありますか？
iOS の設計ガイダンス:
Citrix Gateway の構成には、スプリットトンネリングがオフの Secure Ticket Authority (STA) が含まれる場合があります。Citrix Gateway は、iOS 用 Secure Mail のプッシュ通知で指定されている Citrix リスナーサービス URL への Secure Mail からのトラフィックを許可する必要があります。
Android の設計ガイダンス:
Firebase Cloud Messaging (FCM) を使用して、Android デバイスが XenMobile に接続する必要がある方法とタイミングを制御します。FCM が構成されている場合、セキュリティアクションまたは展開コマンドは、ユーザーに XenMobile Server への再接続を促すプッシュ通知を Secure Hub にトリガーします。

HDX™ STA

決定の詳細:
  • HDX アプリケーションアクセスを統合する予定がある場合、どの STA を使用しますか？
設計ガイダンス:
HDX STA は StoreFront の STA と一致している必要があり、Virtual Apps and Desktops ファームに対して有効である必要があります。

Citrix Files および ShareFile

決定の詳細:
  • 環境でストレージゾーンコントローラーを使用する予定はありますか？
  • どのCitrix Files VIP URLを使用する予定ですか？
設計ガイダンス:
環境にストレージゾーンコントローラーを含める場合は、以下を正しく構成してください:
  • Citrix Files Switch VIP (Citrix Files Control Planeがストレージゾーンコントローラーサーバーと通信するために使用)
  • Citrix FilesロードバランシングVIP
  • 必要なすべてのポリシーとプロファイル
詳細については、ストレージゾーンコントローラーのドキュメントを参照してください。

SAML IdP

決定の詳細:
  • Citrix FilesでSAMLが必要な場合、XenMobileをSAML IdPとして使用しますか？
設計ガイダンス:
推奨されるベストプラクティスは、Citrix FilesをXenMobile Advanced Edition、XenMobile Advanced Edition (オンプレミス)、またはCitrix Endpoint Management (クラウド) と統合することです。これは、SAMLベースのフェデレーションを構成するよりも簡単な代替手段です。これらのXenMobileエディションでCitrix Filesを使用する場合、XenMobileはCitrix Filesに以下を提供します:
  • モバイル生産性アプリユーザーのシングルサインオン (SSO) 認証
  • Active Directoryに基づくユーザーアカウントプロビジョニング
  • 包括的なアクセス制御ポリシー
XenMobileコンソールを使用すると、Citrix Filesの構成を実行し、サービスレベルとライセンス使用状況を監視できます。
Citrix Filesクライアントには、Citrix Files for XenMobileクライアント（ラップされたCitrix Filesとも呼ばれる）とCitrix Filesモバイルクライアント（ラップされていないCitrix Filesとも呼ばれる）の2種類があります。違いを理解するには、「Citrix Files for XenMobileクライアントとCitrix Filesモバイルクライアントの違い」を参照してください。
XenMobileとShareFileをSAMLを使用するように構成して、以下のSSOアクセスを提供できます。
  • Citrix Filesモバイルアプリ
  • ラップされていないCitrix Filesクライアント（Webサイト、Outlookプラグイン、同期クライアントなど）
XenMobileをCitrix FilesのSAML IdPとして使用するには、適切な構成が設定されていることを確認してください。詳細については、「Citrix FilesでのSSOのためのSAML」を参照してください。

ShareConnectダイレクト接続

決定の詳細:
  • ユーザーは、ShareConnectを実行しているコンピューターまたはモバイルデバイスから、ダイレクト接続を使用してホストコンピューターにアクセスする必要がありますか？
設計ガイダンス:
ShareConnectを使用すると、ユーザーはiPad、Androidタブレット、Androidフォンを介してコンピューターに安全に接続し、ファイルやアプリケーションにアクセスできます。ダイレクト接続の場合、XenMobileはCitrix Gatewayを使用して、ローカルネットワーク外のリソースへの安全なアクセスを提供します。構成の詳細については、「ShareConnect」を参照してください。

各管理モードの登録FQDN
管理モード 登録FQDN
必須MDM登録を伴うエンタープライズ（MDM+MAM） XenMobile Server エフキューディーエヌ
エンタープライズ (MDM+MAM)、オプションのMDM登録あり XenMobile Server エフキューディーエヌ または Citrix Gateway エフキューディーエヌ
MDMのみ XenMobile Server エフキューディーエヌ
MAMのみ (レガシー) Citrix Gateway エフキューディーエヌ
MAMのみ XenMobile Server エフキューディーエヌ

展開の概要

Citrixでは、適切な構成を確実にするために、XenMobileウィザード用のCitrix ADCを使用することをお勧めします。このウィザードは1回しか使用できません。テスト、開発、および本番環境など、複数のXenMobileインスタンスがある場合は、追加の環境用にCitrix ADCを手動で構成する必要があります。動作する環境がある場合は、XenMobile用にCitrix ADCを手動で構成する前に、設定をメモしておいてください。
ウィザードを使用する際の重要な決定事項は、XenMobile Serverへの通信にHTTPSを使用するかHTTPを使用するかです。HTTPSは、Citrix ADCとXenMobile間のトラフィックが暗号化されるため、安全なバックエンド通信を提供します。再暗号化はXenMobile Serverのパフォーマンスに影響を与えます。HTTPはXenMobile Serverのパフォーマンスを向上させます。Citrix ADCとXenMobile間のトラフィックは暗号化されません。次の表は、Citrix ADCとXenMobile ServerのHTTPおよびHTTPSポート要件を示しています。

HTTPS

Citrixは通常、Citrix ADC MDM仮想サーバー構成にはSSLブリッジを推奨しています。MDM仮想サーバーでのCitrix ADC SSLオフロードの使用の場合、XenMobileはバックエンドサービスとしてポート80のみをサポートします。
管理モード Citrix ADC ロードバランシング方式 SSL再暗号化 XenMobileサーバーポート
MDM SSLブリッジ N/A 443, 8443
MAM SSLオフロード 有効 8443
エンタープライズ MDM: SSLブリッジ N/A 443, 8443
エンタープライズ MAM: SSLオフロード 有効 8443

HTTP
管理モード Citrix ADCの負荷分散方法 SSL再暗号化 XenMobileサーバーポート
MDM SSLオフロード サポートされていません 80
MAM SSLオフロード 有効 8443
エンタープライズ MDM: SSLオフロード サポートされていません 80
エンタープライズ MAM: SSLオフロード 有効 8443
XenMobile展開におけるCitrix Gatewayの図については、オンプレミス展開の参照アーキテクチャを参照してください。