シトリックス ゲートウェイ と XenMobile®

最終公開日 : Oct 21, 2026
XenMobile を使用して Citrix Gateway を構成すると、内部ネットワークへのリモートデバイスアクセス用の認証メカニズムが確立されます。この機能により、モバイルデバイス上のアプリがイントラネット内の企業サーバーにアクセスできるようになります。XenMobile は、デバイス上のアプリから Citrix Gateway へのマイクロ VPN を作成します。
XenMobile で使用するために Citrix Gateway を構成するには、XenMobile からスクリプトをエクスポートし、そのスクリプトを Citrix Gateway で実行します。
Related information
証明書と認証

Citrix Gateway 構成スクリプトを使用するための前提条件

Citrix ADC の要件:
  • Citrix ADC (最小バージョン 11.0、ビルド 70.12)。
  • Citrix ADC の IP アドレスが構成されており、LDAP サーバーへの接続があること (LDAP がロードバランスされている場合を除く)。
  • Citrix ADC サブネット (SNIP) IP アドレスが構成されており、必要なバックエンドサーバーへの接続があり、ポート 8443/TCP 経由でパブリックネットワークアクセスがあること。
  • DNS がパブリックドメインを解決できること。
  • Citrix ADC が Platform/Universal または Trial ライセンスでライセンスされていること。詳しくは、<https://support.citrix.com/article/CTX126049> を参照してください。
  • Citrix Gateway SSL 証明書が Citrix ADC にアップロードされ、インストールされていること。詳しくは、<https://support.citrix.com/article/CTX136023> を参照してください。
XenMobile の要件:
  • XenMobile Server (最小バージョン 10.6)。
  • LDAP サーバーが構成されていること。

内部ネットワークへのリモートデバイスアクセス用の認証を構成する

  1. XenMobileコンソールで、コンソールの右上隅にある歯車アイコンをクリックします。「設定」ページが表示されます。
  2. 「サーバー」の下にある「Citrix Gateway」をクリックします。「Citrix Gateway」ページが表示されます。次の例では、Citrix Gatewayインスタンスが存在します。
    Citrix Gateway構成画面
  3. これらの設定を構成します。
    • 認証：認証を有効にするかどうかを選択します。デフォルトは「ON」です。
    • 認証用のユーザー証明書を配信：XenMobileが認証証明書をSecure Hubと共有して、Citrix Gatewayがクライアント証明書認証を処理できるようにするかどうかを選択します。デフォルトは「OFF」です。
    • 資格情報プロバイダー：リストから使用する資格情報プロバイダーをクリックします。詳しくは、「資格情報プロバイダー」を参照してください。
  4. 「保存」をクリックします。

Citrix Gatewayインスタンスを追加する

認証設定を保存した後、XenMobileにCitrix Gatewayインスタンスを追加します。
  1. XenMobileコンソールで、コンソールの右上隅にある歯車アイコンをクリックします。「設定」ページが開きます。
  2. 「サーバー」の下にある「Citrix Gateway」をクリックします。「Citrix Gateway」ページが表示されます。
  3. 「追加」をクリックします。「新しいCitrix Gatewayの追加」ページが表示されます。
    Citrix Gateway構成画面
  4. これらの設定を構成します。
    • 名前: Citrix Gatewayインスタンスの名前を入力します。
    • エイリアス: オプションで、Citrix Gatewayのエイリアス名を含めます。
    • 外部URL: Citrix Gatewayの公開アクセス可能なURLを入力します。例: https://receiver.com.
    • ログオンの種類: ログオンの種類を選択します。種類には、ドメインのみ、セキュリティトークンのみ、ドメインとセキュリティトークン、証明書、証明書とドメイン、証明書とセキュリティトークンがあります。ログオンの種類で選択した内容に基づいて、パスワード必須フィールドのデフォルト設定が変更されます。デフォルトはドメインのみです。
    複数のドメインがある場合は、証明書とドメインを使用します。XenMobileとCitrix Gatewayでの複数ドメイン認証の構成について詳しくは、「複数ドメインの認証を構成する」を参照してください。
    証明書とセキュリティトークンを使用する場合、Secure HubをサポートするためにCitrix Gatewayで追加の構成が必要です。詳しくは、「証明書とセキュリティトークン認証用にXenMobileを構成する」を参照してください。
    詳しくは、展開ハンドブックの「認証」を参照してください。
    • パスワード必須: パスワード認証を必須にするかどうかを選択します。デフォルトは、選択したログオンの種類によって異なります。
    • デフォルトとして設定: このCitrix Gatewayをデフォルトとして使用するかどうかを選択します。デフォルトはオフです。
    • 構成スクリプトのエクスポート: ボタンをクリックして、Citrix GatewayにアップロードしてXenMobile設定で構成する構成バンドルをエクスポートします。詳しくは、これらの手順の後に「オンプレミスのCitrix GatewayをXenMobile Serverで使用するように構成する」を参照してください。
    • コールバックURLと仮想IP: これらのフィールドを追加する前に設定を保存してください。詳しくは、この記事の「コールバックURLとCitrix Gateway VPN仮想IPを追加する」を参照してください。
  5. 保存をクリックします。
    新しいCitrix Gatewayが追加され、テーブルに表示されます。インスタンスを編集または削除するには、リスト内の名前をクリックします。

XenMobile Serverで使用するためのCitrix Gatewayの構成

オンプレミスのCitrix GatewayをXenMobileで使用するように構成するには、この記事で詳しく説明されている次の一般的な手順を実行します。
  1. XenMobile Server からスクリプトと関連ファイルをダウンロードします。スクリプトに付属の readme ファイルで、最新の詳細な手順を確認してください。
  2. 環境が前提条件を満たしていることを確認します。
  3. 環境に合わせてスクリプトを更新します。
  4. Citrix ADC でスクリプトを実行します。
  5. 構成をテストします。
スクリプトは、XenMobile で必要となる以下の Citrix Gateway 設定を構成します。
  • MDM および MAM に必要な Citrix Gateway 仮想サーバー
  • Citrix Gateway 仮想サーバーのセッションポリシー
  • XenMobile Server の詳細
  • Citrix Gateway 仮想サーバーの認証ポリシーとアクション。 スクリプトは LDAP 構成設定について説明します。
  • プロキシサーバーのトラフィックアクションとポリシー
  • クライアントレスアクセスプロファイル
  • Citrix ADC の静的ローカル DNS レコード
  • その他のバインディング: サービスポリシー、CA 証明書
スクリプトは以下の構成を処理しません。
  • Exchange ロードバランシング
  • Citrix Files ロードバランシング
  • ICA® プロキシ構成
  • SSLオフロード

スクリプトをダウンロード、更新、実行するには

  1. Citrix Gateway を追加する場合は、Add New Citrix Gateway ページで Export Configuration Script をクリックします。
    Citrix Gateway 構成画面(/en-us/xenmobile/server/media/settings-citrix-gateway-add.png)
    または、Citrix Gateway インスタンスを追加し、スクリプトをエクスポートする前に Save をクリックした場合は、Settings > Citrix Gateway に戻り、Citrix ADC を選択し、Export Configuration Script をクリックしてから、Download をクリックします。
    Citrix Gateway 構成画面(/en-us/xenmobile/server/media/settings-citrix-gateway-added.png)
    Export Configuration Script をクリックすると、XenMobile は .tar.gz スクリプトバンドルを作成します。スクリプトバンドルには以下が含まれます。
    • 詳細な手順が記載された Readme ファイル
    • Citrix ADC で必要なコンポーネントを構成するために使用される Citrix ADC CLI コマンドを含むスクリプト
    • XenMobile Server のパブリックルートCA証明書および中間CA証明書（これらの証明書はSSLオフロード用であり、現在のリリースでは不要です）
    • Citrix ADC 構成を削除するために使用される Citrix ADC CLI コマンドを含むスクリプト
  2. スクリプト (NSGConfigBundle_CREATESCRIPT.txt) を編集し、すべてのプレースホルダーを環境の詳細に置き換えます。
    サンプルスクリプトファイル
  3. スクリプトバンドルに含まれている readme ファイルの説明に従って、編集したスクリプトを Citrix ADC bash シェルで実行します。例：
    /netscaler/nscli -U :<NetScaler Management Username>:<NetScaler Management Password> batch -f "/var/NSGConfigBundle_CREATESCRIPT.txt"
    Citrix ADC bash シェル
    スクリプトが完了すると、次の行が表示されます。
    Citrix ADC bash シェル

構成をテストする

  1. Citrix Gateway Virtual Server の状態が UP と表示されていることを確認します。
    Citrix ADC VPX 構成画面
  2. プロキシ負荷分散仮想サーバーの状態が UP と表示されていることを確認します。
    Citrix ADC VPX 構成画面
  3. Web ブラウザーを開き、Citrix Gateway URL に接続して、認証を試行します。認証に失敗すると、次のメッセージが表示されます：HTTP Status 404 - Not Found
  4. デバイスを登録し、MDM と MAM の両方に登録されていることを確認します。

コールバック URL と Citrix Gateway VPN 仮想 IP を追加する

Citrix Gateway インスタンスを追加した後、コールバック URL を追加し、Citrix Gateway 仮想 IP アドレスを指定できます。これらの設定はオプションですが、特に XenMobile Server が DMZ にある場合に、セキュリティを強化するために構成できます。
  1. 設定 > Citrix Gatewayで、Citrix Gatewayを選択し、編集をクリックします。
  2. テーブルで、追加をクリックします。
  3. コールバックURLには、完全修飾ドメイン名（FQDN）を入力します。コールバックURLは、要求がCitrix Gatewayから発信されたことを検証します。
    コールバックURLがXenMobile Serverから到達可能なIPアドレスに解決されることを確認してください。コールバックURLは、外部のCitrix Gateway URLまたはその他のURLにすることができます。
  4. Citrix Gatewayの仮想IPアドレスを入力し、保存をクリックします。

複数ドメインの認証を構成する

テスト、開発、本番環境など、複数のXenMobile Serverインスタンスがある場合は、追加の環境に対してCitrix Gatewayを手動で構成します（Citrix ADC for XenMobileウィザードは1回しか使用できません）。

Citrix Gatewayの構成

複数ドメイン環境のCitrix Gateway認証ポリシーとセッションポリシーを構成するには：
  1. Citrix Gateway構成ユーティリティで、構成タブのCitrix Gateway > ポリシー > 認証を展開します。
  2. ナビゲーションペインで、LDAPをクリックします。
  3. クリックしてLDAPプロファイルを編集します。サーバーログオン名属性をuserPrincipalNameまたは検索に使用する属性に変更します。指定した属性は、XenMobileコンソールでLDAP設定を構成する際に必要となるため、メモしておいてください。
    Citrix Gateway構成画面
  4. 各LDAPポリシーに対してこれらの手順を繰り返します。各ドメインには個別のLDAPポリシーが必要です。
  5. Citrix Gateway仮想サーバーにバインドされているセッションポリシーで、セッションプロファイルの編集 > 公開アプリケーションに移動します。シングルサインオンドメインが空白であることを確認します。

XenMobile Serverの構成

複数ドメインのXenMobile環境でLDAPを構成するには、次の手順を実行します。
  1. XenMobileコンソールで、**［Settings］>［LDAP］**の順に選択し、ディレクトリを追加または編集します。
    XenMobile LDAP設定画面(/en-us/xenmobile/server/media/ldap-settings-multiple-domains1.png)
  2. 情報を入力します。
    • **［Domain Alias］**で、ユーザー認証に使用する各ドメインを指定します。ドメインはコンマで区切り、ドメイン間にスペースを使用しないでください。例：domain1.com,domain2.com,domain3.com
    • **［User search by］フィールドが、Citrix Gateway LDAPポリシーで指定されている［Server Logon Name Attribute］**と一致していることを確認します。
    XenMobile LDAP設定画面(/en-us/xenmobile/server/media/ldap-settings-multiple-domains2.png)

特定のURLへの受信接続要求をドロップする

環境内のCitrix GatewayがSSLオフロード用に構成されている場合、特定のURLへの受信接続要求をゲートウェイでドロップするように設定できます。
追加のセキュリティを優先する場合は、Citrix Gatewayで2つのMDMロードバランサー仮想サーバー（ポート443用とポート8443用）を構成します。以下の情報を設定のテンプレートとして使用してください。
重要：
以下の更新は、SSLオフロード用に構成されたCitrix Gatewayにのみ適用されます。
  1. XMS_DropURLsという名前のパターンセットを作成します。
    add policy patset XMS_DropURLs
  2. 新しいパターンセットに以下のURLを追加します。必要に応じてこのリストをカスタマイズしてください。
    bind policy patset XMS_DropURLs /zdm/shp/console -index 6

    bind policy patset XMS_DropURLs /zdm/login_xdm_uc.jsp -index 5

    bind policy patset XMS_DropURLs /zdm/helper.jsp -index 4

    bind policy patset XMS_DropURLs /zdm/log.jsp -index 3

    bind policy patset XMS_DropURLs /zdm/login.jsp -index 2

    bind policy patset XMS_DropURLs /zdm/console -index 1
  3. 指定されたサブネットから接続要求が発信されない限り、これらのURLへのすべてのトラフィックを破棄するポリシーを作成します。
    add responder policy XMS_DROP_pol “CLIENT.IP.SRC.IN_SUBNET(192.168.0.0/24).NOT &&
    HTTP.REQ.URL.CONTAINS_ANY(”XMS_DropURLs”)” DROP -comment "Allow only subnet 192.168.0.0/24 to access these URLs. All other connections are DROPed"
  4. 新しいポリシーを、両方のMDMロードバランサー仮想サーバー（ポート443および8443）にバインドします。
    bind lb vserver _XM_LB_MDM_XenMobileMDM_443 -policyName XMS_DROP_pol -priority 100 -gotoPriorityExpression END -type REQUEST

    bind lb vserver _XM_LB_MDM_XenMobileMDM_8443 -policyName XMS_DROP_pol -priority 100 -gotoPriorityExpression END -type REQUEST
  5. ブラウザ経由のMAM URLアクセスをブロックする
    ブラウザからMAM URLに直接アクセスすると、ユーザーはActive Directoryの資格情報を入力するように求められます。これはユーザーが資格情報を検証するためのツールとして機能しますが、一部のユーザーはこれをセキュリティ違反と見なす可能性があります。以下のセクションでは、NetScalerのResponder Policy機能を使用して、MAM URL（NetScaler® Gateway VIP）へのブラウザアクセスを制限する方法について説明します。
    次のいずれかのResponder Policyを作成し、NetScaler Gateway仮想サーバーにバインドします。
    • add responder policy Resp_Brow_Pol "HTTP.REQ.HEADER(\"User-Agent\").CONTAINS(\"Mozilla\")&&HTTP.REQ.URL.PATH_AND_QUERY.EQ(\"/vpn/index.html\")" DROP
    • add responder policy Resp_Brow_Pol_CR "!HTTP.REQ.HEADER(\"User-Agent\").CONTAINS(\"CitrixReceiver\")&&HTTP.REQ.URL.PATH_AND_QUERY.EQ(\"/vpn/index.html\")" DROP
    • add responder policy Resp_Brow_Pol_CR "HTTP.REQ.HEADER(\"User-Agent\").CONTAINS(\"CitrixReceiver\").NOT&&HTTP.REQ.URL.PATH_AND_QUERY.EQ(\"/vpn/index.html\")" DROP
    bind vpn vserver _XM_XenMobileGateway -policy Resp_Brow_Pol_CR -priority 100 -gotoPriorityExpression END -type REQUESTを使用してNetScaler Gateway仮想サーバーにバインドします
    注:
    _XM_XenMobileGatewayは、NetScaler Gateway仮想サーバーの例の名前です。