Habilitar TLS no Servidor de Impressão Universal

O protocolo Transport Layer Security (TLS) é compatível com conexões baseadas em TCP entre o Virtual Delivery Agent (VDA) e o Servidor de Impressão Universal.

Aviso:

Para tarefas que incluem trabalhar no registro do Windows — editar o registro incorretamente pode causar problemas sérios que podem exigir a reinstalação do seu sistema operacional. A Citrix® não pode garantir que os problemas resultantes do uso incorreto do Editor do Registro possam ser resolvidos. Use o Editor do Registro por sua própria conta e risco. Certifique-se de fazer backup do registro antes de editá-lo.

Tipos de conexões de impressão entre o VDA e o Servidor de Impressão Universal

Conexões de texto não criptografado

As seguintes conexões relacionadas à impressão se originam do VDA e se conectam a portas no Servidor de Impressão Universal. Essas conexões são feitas somente quando a configuração de política SSL enabled está definida como Disabled (o padrão).

• Conexões de serviço web de impressão em texto não criptografado (porta TCP 8080)
• Conexões de fluxo de dados de impressão em texto não criptografado (CGP) (porta TCP 7229)

O artigo de suporte da Microsoft Visão geral do serviço e requisitos de porta de rede para Windows descreve as portas usadas pelo Serviço de Spooler de Impressão do Microsoft Windows. As configurações de SSL/TLS neste documento não se aplicam às conexões NetBIOS e RPC feitas pelo serviço de Spooler de Impressão do Windows. O VDA usa o Provedor de Impressão de Rede do Windows (win32spl.dll) como um fallback se a configuração de política Universal Print Server enable estiver definida como Enabled with fallback to Windows’ native remote printing.

Conexões criptografadas

Essas conexões SSL/TLS relacionadas à impressão se originam do VDA e se conectam a portas no Servidor de Impressão Universal. Essas conexões são feitas somente quando a configuração de política SSL enabled está definida como Enabled.

• Conexões de serviço web de impressão criptografadas (porta TCP 8443)
• Conexões de fluxo de dados de impressão criptografadas (CGP) (porta TCP 443)

Configuração do cliente SSL/TLS

O VDA funciona como o cliente SSL/TLS.

Use a Política de Grupo da Microsoft e o registro para configurar o Microsoft SCHANNEL SSP para conexões de serviço web de impressão criptografadas (porta TCP 8443). O artigo de suporte da Microsoft Configurações de Registro TLS descreve as configurações de registro para o Microsoft SCHANNEL SSP.

Usando o Editor de Política de Grupo no VDA, vá para Configuração do Computador > Modelos Administrativos > Rede > Configurações de Configuração SSL > Ordem do Conjunto de Cifras SSL. Selecione a seguinte ordem quando o TLS 1.3 estiver definido:

TLS_AES_256_GCM_SHA384 TLS_AES_128_GCM_SHA256

Selecione a seguinte ordem quando o TLS 1.2 estiver definido:

TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384_P384 TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384_P256 TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384_P384 TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384_P256 TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA_P384 TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA_P256

Nota:

Quando esta configuração de Política de Grupo é configurada, o VDA seleciona um conjunto de cifras para conexões de serviço web de impressão criptografadas (porta padrão: 8443) somente se as conexões aparecerem em ambas as listas de conjuntos de cifras SSL:

• Lista de ordem do conjunto de cifras SSL da Política de Grupo
• Lista correspondente à configuração de política de Conjunto de Cifras SSL selecionada (COM, GOV ou ALL)

Esta configuração da Política de Grupo também afeta outros aplicativos e serviços TLS no VDA. Se seus aplicativos exigirem conjuntos de cifras específicos, talvez seja necessário adicioná-los a esta lista de Ordem do Conjunto de Cifras da Política de Grupo.

Importante:

As alterações da Política de Grupo para a configuração TLS só entram em vigor após a reinicialização do sistema operacional.

Use uma política Citrix para configurar as configurações de SSL/TLS para conexões de fluxo de dados de impressão criptografados (CGP) (porta TCP 443).

Configuração do servidor SSL/TLS

O Universal Print Server funciona como o servidor SSL/TLS.

Use o script PowerShell Enable-UpsSsl.ps1 para configurar as configurações de SSL/TLS.

Instale o certificado de servidor TLS no Universal Print Server

Para HTTPS, o Universal Print Server oferece suporte a recursos TLS usando certificados de servidor. Certificados de cliente não são usados. Use os Serviços de Certificados do Microsoft Active Directory ou outra autoridade de certificação para solicitar um certificado para o Universal Print Server.

Tenha em mente as seguintes considerações ao registrar/solicitar um certificado usando os Serviços de Certificados do Microsoft Active Directory:

1. Coloque o certificado no armazenamento de certificados Pessoal do Computador Local.
2. Defina o atributo Nome Comum do Nome Distinto do Assunto (Subject DN) do certificado para o nome de domínio totalmente qualificado (FQDN) do Universal Print Server. Especifique isso no modelo de certificado.
3. Defina o Provedor de Serviços Criptográficos (CSP) usado para gerar a solicitação de certificado e a chave privada como Microsoft Enhanced RSA and AES Cryptographic Provider (Encryption). Especifique isso no modelo de certificado.
4. Defina o Tamanho da Chave para pelo menos 2048 bits. Especifique isso no modelo de certificado.

Configurando SSL no Universal Print Server

O Serviço XTE no Universal Print Server escuta as conexões de entrada. Ele funciona como um servidor SSL quando o SSL está habilitado. As conexões de entrada são de dois tipos: conexões de serviço web de impressão, que contêm comandos de impressão, e conexões de fluxo de dados de impressão, que contêm trabalhos de impressão. O SSL pode ser habilitado nessas conexões. O SSL protege a confidencialidade e a integridade dessas conexões. Por padrão, o SSL está desabilitado.

O script PowerShell usado para configurar o SSL está na mídia de instalação e tem este nome de arquivo: \Support\Tools\SslSupport\Enable-UpsSsl.ps1.

Configurando números de porta de escuta no Universal Print Server

Estas são as portas padrão para o Serviço XTE:

• Serviço web de impressão em texto simples (HTTP) porta TCP: 8080
• Fluxo de dados de impressão em texto simples (CGP) porta TCP: 7229
• Serviço web de impressão criptografado (HTTPS) porta TCP: 8443
• Fluxo de dados de impressão criptografado (CGP) porta TCP: 443

Para alterar as portas usadas pelo Serviço XTE no Universal Print Server, execute os seguintes comandos no PowerShell como administrador (consulte a seção posterior para obter notas sobre o uso do script PowerShell Enable-UpsSsl.ps1):

1. Stop-Service CitrixXTEServer, UpSvc
2. Enable-UpsSsl.ps1 -Enable -HTTPSPort <port> -CGPSSLPort <port> ou Enable-UpsSsl.ps1 -Disable -HTTPPort <port> -CGPPort <port>
3. Start-Service CitrixXTEServer

Configurações de TLS no Universal Print Server

Se você tiver vários Universal Print Servers em uma configuração de balanceamento de carga, certifique-se de que as configurações de TLS estejam configuradas de forma consistente em todos os Universal Print Servers.

Ao configurar o TLS no Universal Print Server, as permissões no certificado TLS instalado são alteradas, concedendo ao Serviço de Impressão Universal acesso de leitura à chave privada do certificado e informando ao Serviço de Impressão Universal o seguinte:

• Qual certificado no armazenamento de certificados usar para TLS.
• Quais números de porta TCP usar para conexões TLS.

O Firewall do Windows (se ativado) deve ser configurado para permitir conexões de entrada nessas portas TCP. Essa configuração é feita automaticamente quando você usa o script PowerShell Enable-UpsSsl.ps1.

• Quais versões do protocolo TLS permitir.

O Universal Print Server oferece suporte às versões 1.3 e 1.2 do protocolo TLS. Especifique a versão mínima permitida.

A versão padrão do protocolo TLS é 1.2.

Nota:

TLS 1.1 e 1.0 não são mais suportados a partir da versão 2311 do Citrix Virtual Apps and Desktops.

• Quais conjuntos de cifras TLS permitir.

Um conjunto de cifras seleciona os algoritmos criptográficos usados para uma conexão. VDAs e o Universal Print Server podem suportar diferentes conjuntos de cifras. Quando um VDA se conecta e envia uma lista de conjuntos de cifras TLS suportados, o Universal Print Server compara um dos conjuntos de cifras do cliente com um dos conjuntos de cifras em sua própria lista de conjuntos de cifras configurados e aceita a conexão. Se não houver um conjunto de cifras correspondente, o Universal Print Server rejeita a conexão.

O Universal Print Server oferece suporte aos seguintes conjuntos de cifras nomeados GOV (Governo), COM (Comercial) e ALL (Todos) para os modos de Kit Criptográfico nativo OPEN, FIPS e SP800-52. Os conjuntos de cifras aceitáveis também dependem da configuração da política Modo FIPS SSL e do Modo FIPS do Windows. Consulte este artigo de suporte da Microsoft para obter informações sobre o modo FIPS do Windows.

Configurar TLS em um Servidor de Impressão Universal usando o script PowerShell

Instale o Certificado TLS na área Computador Local > Pessoal > Certificados do armazenamento de certificados. Se mais de um certificado residir nesse local, forneça a impressão digital do certificado para o script PowerShell Enable-UpsSsl.ps1.

Nota:

O script PowerShell encontra o certificado correto com base no FQDN do Servidor de Impressão Universal. Você não precisa fornecer a impressão digital do certificado quando apenas um único certificado está presente para o FQDN do Servidor de Impressão Universal.

O script Enable-UpsSsl.ps1 habilita ou desabilita as conexões TLS originadas do VDA para o Servidor de Impressão Universal. Este script está disponível na pasta Support > Tools > SslSupport na mídia de instalação.

Ao habilitar o TLS, o script desabilita todas as regras existentes do Firewall do Windows para as portas TCP do Servidor de Impressão Universal. Em seguida, ele adiciona novas regras que permitem que o Serviço XTE aceite conexões de entrada somente nas portas TCP e UDP TLS. Ele também desabilita as regras do Firewall do Windows para:

• Conexões de serviço web de impressão em texto simples (padrão: 8080)
• Conexões de fluxo de dados de impressão em texto simples (CGP) (padrão: 7229)

O efeito é que o VDA pode fazer essas conexões somente ao usar TLS.

Nota:

A habilitação do TLS não afeta as conexões RPC/SMB do Spooler de Impressão do Windows originadas do VDA e destinadas ao Universal Print Server.

Importante:

Especifique Enable ou Disable como o primeiro parâmetro. O parâmetro CertificateThumbprint é opcional se apenas um certificado no armazenamento de certificados Pessoal do Computador Local tiver o FQDN do Universal Print Server. Os outros parâmetros são opcionais.

Sintaxe

Enable-UpsSSL.ps1 -Enable [-HTTPPort <port>] [-CGPPort <port>] [–HTTPSPort <port>] [-CGPSSLPort <port>] [-SSLMinVersion <version>] [-SSLCipherSuite <name>] [-CertificateThumbprint <thumbprint>] [-FIPSMode <Boolean>] [-ComplianceMode <mode>]
Enable-UpsSSL.ps1 -Disable [-HTTPPort <portnum>] [-CGPPort <portnum>]

Exemplos

O script a seguir habilita o TLS. A impressão digital (representada como “12345678987654321” neste exemplo) é usada para selecionar o certificado a ser usado.

Enable-UpsSsl.ps1 –Enable -CertificateThumbprint "12345678987654321"

O script a seguir desabilita o TLS.

Enable-UpsSsl.ps1 –Disable

Configurando o modo FIPS

A habilitação do modo FIPS (US Federal Information Processing Standards) garante que apenas criptografia compatível com FIPS 140 seja usada para conexões criptografadas do Universal Print Server.

Configure o modo FIPS no servidor antes de configurar o modo FIPS no cliente.

Consulte o site de documentação da Microsoft para habilitar/desabilitar o modo FIPS do Windows.

Habilitando o modo FIPS no cliente

No Delivery Controller™, execute o Web Studio e defina a configuração da política Citrix Modo FIPS SSL como Habilitado. Habilite a política Citrix.

Faça isso em cada VDA:

1. Habilite o modo FIPS do Windows.
2. Reinicie o VDA.

Habilitando o modo FIPS no servidor

Faça isso em cada Universal Print Server:

1. Habilite o modo FIPS do Windows.
2. Execute este comando do PowerShell como Administrador: stop-service CitrixXTEServer, UpSvc
3. Execute o script Enable-UpsSsl.ps1 com os parâmetros -Enable -FIPSMode $true.
4. Reinicie o Universal Print Server.

Desabilitando o modo FIPS no cliente

No Web Studio, defina a configuração da política Citrix Modo FIPS SSL como Desabilitado. Habilite a política Citrix. Você também pode excluir a configuração da política Citrix Modo FIPS SSL.

Faça isso em cada VDA:

1. Desabilite o modo FIPS do Windows.
2. Reinicie o VDA.

Desabilitando o modo FIPS no servidor

Faça isso em cada Universal Print Server:

1. Desabilite o modo FIPS do Windows.
2. Execute este comando do PowerShell como Administrador: stop-service CitrixXTEServer, UpSvc
3. Execute o script Enable-UpsSsl.ps1 com os parâmetros -Enable -FIPSMode $false.
4. Reinicie o Universal Print Server.

Nota:

O modo FIPS não é compatível quando a versão do protocolo SSL é definida como TLS 1.3.

Configurando a versão do protocolo SSL/TLS

A versão padrão do protocolo SSL/TLS é TLS 1.2. TLS 1.2 e TLS 1.3 são as versões de protocolo SSL/TLS recomendadas para uso em produção. Para solução de problemas, pode ser necessário alterar temporariamente a versão do protocolo SSL/TLS em um ambiente que não seja de produção.

SSL 2.0 e SSL 3.0 não são compatíveis com o Universal Print Server.

Definindo a versão do protocolo SSL/TLS no servidor

Faça isso em cada Universal Print Server:

1. Execute este comando PowerShell como Administrador: stop-service CitrixXTEServer, UpSvc
2. Execute o script Enable-UpsSsl.ps1 com os parâmetros de versão -Enable -SSLMinVersion. Lembre-se de redefinir para TLS 1.2 ou TLS 1.3 quando terminar os testes.
3. Reinicie o Universal Print Server.

Definindo a versão do protocolo SSL/TLS no cliente

Faça isso em cada VDA:

1. No Delivery Controller, defina a configuração de política SSL Protocol Version para a versão de protocolo desejada e ative a política.

2. O artigo de suporte da Microsoft TLS Registry Settings descreve as configurações de registro para Microsoft SCHANNEL SSP. Habilite o TLS 1.2 ou TLS 1.3 do lado do cliente usando as configurações de registro.

   Importante:

   Lembre-se de restaurar as configurações do registro para seus valores originais quando terminar os testes.

3. Reinicie o VDA.

Solução de problemas

Se ocorrer um erro de conexão, verifique o arquivo C:\Program Files (x86)\Citrix\XTE\logs\error.log no Universal Print Server.

A mensagem de erro SSL handshake from client failed aparece neste arquivo de log se o handshake SSL/TLS falhar. Tais falhas podem ocorrer se a versão do protocolo SSL/TLS no VDA e no Universal Print Server não corresponderem.

Use o FQDN do Universal Print Server nas seguintes configurações de política que contêm nomes de host do Universal Print Server:

• Impressoras de sessão
• Atribuições de impressora
• Universal Print Servers para balanceamento de carga

Certifique-se de que o relógio do sistema (data, hora e fuso horário) esteja correto nos Universal Print Servers e nos VDAs.