Integração do XenMobile®
Este artigo aborda o que considerar ao planejar como o XenMobile deve se integrar à sua rede e soluções existentes. Por exemplo, se você já usa o Citrix ADC para Virtual Apps and Desktops:
- Você usa a instância existente do Citrix ADC ou uma instância nova e dedicada?
- Você quer integrar ao XenMobile os aplicativos HDX publicados usando o StoreFront™?
- Você planeja usar o Citrix Files com o XenMobile?
- Você tem uma solução de Controle de Acesso à Rede que deseja integrar ao XenMobile?
- Você implanta proxies da web para todo o tráfego de saída da sua rede?
Citrix ADC e Citrix Gateway
O Citrix Gateway é obrigatório para os modos XenMobile ENT e MAM. O Citrix Gateway fornece um caminho de micro VPN para acesso a todos os recursos corporativos e oferece suporte robusto à autenticação multifator. O balanceamento de carga do Citrix ADC é necessário para todos os modos de dispositivo do XenMobile Server:
- Se você tiver vários XenMobile Servers
- Ou, se o XenMobile Server estiver dentro da sua DMZ ou rede interna (e, portanto, o tráfego flui dos dispositivos para o Citrix ADC e para o XenMobile)
Você pode usar instâncias existentes do Citrix ADC ou configurar novas para o XenMobile. As seções a seguir destacam as vantagens e desvantagens de usar instâncias existentes ou novas e dedicadas do Citrix ADC.
Citrix ADC MPX compartilhado com um VIP do Citrix Gateway criado para o XenMobile
Vantagens:
- Usa uma instância comum do Citrix ADC para todas as conexões remotas da Citrix: Citrix Virtual Apps and Desktops™, VPN completa e VPN sem cliente.
- Usa as configurações existentes do Citrix ADC, como para autenticação de certificado e para acessar serviços como DNS, LDAP e NTP.
- Usa uma única licença de plataforma do Citrix ADC.
Desvantagens:
- É mais difícil planejar a escala quando você lida com dois casos de uso diferentes no mesmo Citrix ADC.
- Às vezes, você precisa de uma versão específica do Citrix ADC para um caso de uso do Citrix Virtual Apps™ and Desktops. Essa mesma versão pode ter problemas conhecidos para o XenMobile. Ou o XenMobile pode ter problemas conhecidos para a versão do Citrix ADC.
- Se um Citrix Gateway existir, você não poderá executar o assistente do Citrix ADC para XenMobile uma segunda vez para criar a configuração do Citrix ADC para XenMobile.
- Exceto quando licenças Platinum são usadas para Citrix Gateway 11.1 ou posterior: As licenças de acesso de usuário instaladas no Citrix ADC e necessárias para a conectividade VPN são agrupadas. Como essas licenças estão disponíveis para todos os servidores virtuais do Citrix ADC, outros serviços além do XenMobile podem potencialmente consumi-las.
Instância dedicada do Citrix ADC VPX/MPX
Vantagens:
A Citrix recomenda usar uma instância dedicada do Citrix ADC.
- Mais fácil de planejar a escala e separa o tráfego do XenMobile de uma instância do Citrix ADC que já pode estar com recursos limitados.
- Evita problemas quando o XenMobile e o Citrix Virtual Apps and Desktops precisam de diferentes versões de software do Citrix ADC. A recomendação geral é usar a versão e a compilação mais recentes e compatíveis do Citrix ADC para o XenMobile.
- Permite a configuração do Citrix ADC pelo XenMobile por meio do assistente integrado do Citrix ADC para XenMobile.
- Separação virtual e física de serviços.
- Exceto quando licenças Platinum são usadas para Citrix Gateway 11.1 ou posterior: As licenças de acesso de usuário necessárias para o XenMobile estão disponíveis apenas para os Serviços XenMobile no Citrix ADC.
Desvantagens:
- Requer a configuração de serviços extras no Citrix ADC para oferecer suporte à configuração do XenMobile.
- Requer outra licença de plataforma do Citrix ADC. Licencie cada instância do Citrix ADC para o Citrix Gateway.
Para obter informações sobre o que considerar ao integrar o Citrix ADC e o Citrix Gateway com cada modo do XenMobile Server, consulte Integração com Citrix ADC e Citrix Gateway.
StoreFront
Se você tiver um ambiente Citrix Virtual Apps and Desktops, poderá integrar aplicativos HDX™ ao XenMobile usando o StoreFront. Ao integrar aplicativos HDX ao XenMobile:
- Os aplicativos ficam disponíveis para as pessoas que estão inscritas no XenMobile.
- Os aplicativos são exibidos na Loja XenMobile junto com outros aplicativos móveis.
- O XenMobile usa o site PNAgent (serviços) legado no StoreFront.
- Quando o Citrix Receiver™ é instalado em um dispositivo, os aplicativos HDX são iniciados usando o Receiver.
O StoreFront tem uma limitação de um site de serviço por instância do StoreFront. Suponha que você tenha várias lojas e queira segmentá-las de outros usos de produção. Nesse caso, a Citrix geralmente recomenda que você considere uma nova instância do StoreFront e um site de serviços para o XenMobile.
As considerações incluem:
- Existem requisitos de autenticação diferentes para o StoreFront? O site de serviços do StoreFront exige credenciais do Active Directory para logon. Clientes que usam apenas autenticação baseada em certificado não podem enumerar aplicativos por meio do XenMobile usando o mesmo Citrix Gateway.
- Usar a mesma loja ou criar uma nova?
- Usar o mesmo servidor StoreFront ou um diferente?
As seções a seguir destacam as vantagens e desvantagens de usar StoreFronts separados ou combinados para aplicativos de produtividade móvel e Receiver.
Integrar sua instância existente do StoreFront com um XenMobile Server
Vantagens:
- Mesma loja: Nenhuma configuração adicional do StoreFront é necessária para o XenMobile, supondo que você use o mesmo VIP do Citrix ADC para acesso HDX. Suponha que você opte por usar a mesma loja e queira direcionar o acesso do Receiver para um novo VIP do Citrix ADC. Nesse caso, adicione a configuração apropriada do Citrix Gateway ao StoreFront.
- Mesmo servidor StoreFront: Usa a instalação e configuração existentes do StoreFront.
Desvantagens:
- Mesma loja: Qualquer reconfiguração do StoreFront para oferecer suporte a cargas de trabalho do Virtual Apps and Desktops pode afetar negativamente o XenMobile também.
- Mesmo servidor StoreFront: Em ambientes grandes, considere a carga adicional do uso do PNAgent pelo XenMobile para enumeração e inicialização de aplicativos.
Usar uma nova instância dedicada do StoreFront para integração com o XenMobile Server
Vantagens:
- Nova loja: Quaisquer alterações de configuração da loja do StoreFront para o XenMobile não devem afetar as cargas de trabalho existentes do Virtual Apps and Desktops.
- Novo servidor StoreFront: As alterações de configuração do servidor não devem afetar o fluxo de trabalho do Virtual Apps and Desktops. Além disso, a carga fora do uso do PNAgent pelo XenMobile para enumeração e inicialização de aplicativos não deve afetar a escalabilidade.
Desvantagens:
- Nova loja: Configuração da loja do StoreFront.
- Novo servidor StoreFront: Requer nova instalação e configuração do StoreFront.
Para obter mais informações, consulte Virtual Apps and Desktops por meio do Citrix Secure Hub na documentação do XenMobile.
ShareFile e Citrix Files
Aviso:
Este recurso será descontinuado se o ShareFile (agora Progress) interromper o suporte.
O Citrix Files permite que as pessoas acessem e sincronizem todos os seus dados de qualquer dispositivo. Com o Citrix Files, as pessoas podem compartilhar dados com segurança com outras pessoas dentro e fora da organização. Se você integrar o ShareFile com o XenMobile Advanced Edition ou Enterprise Edition, o XenMobile poderá fornecer ao Citrix Files:
- Autenticação de logon único para usuários do aplicativo XenMobile.
- Provisionamento de contas de usuário baseado no Active Directory.
- Políticas abrangentes de controle de acesso.
As pessoas que usam dispositivos móveis podem se beneficiar do conjunto completo de recursos da conta Enterprise.
Alternativamente, você pode configurar o XenMobile para integrar-se apenas com conectores de zona de armazenamento. Por meio de conectores de zona de armazenamento, o Citrix Files fornece acesso a:
- Documentos e pastas
- Compartilhamentos de arquivos de rede
- Em sites do SharePoint: Coleções de sites e bibliotecas de documentos.
Os compartilhamentos de arquivos conectados podem incluir as mesmas unidades de rede domésticas usadas em ambientes Citrix Virtual Apps and Desktops. Você usa o console do XenMobile para configurar a integração com o Citrix Files ou conectores de zonas de armazenamento. Para obter mais informações, consulte Uso do Citrix Files com o XenMobile.
As seções a seguir destacam as perguntas a serem feitas ao tomar decisões de design para o Citrix Files.
Integrar com o Citrix Files ou apenas com conectores de zona de armazenamento
Perguntas a fazer:
- Você deseja armazenar dados em zonas de armazenamento gerenciadas pela Citrix?
- Você deseja fornecer às pessoas recursos de compartilhamento e sincronização de arquivos?
- Você deseja permitir que as pessoas acessem arquivos no site do Citrix Files? Ou acessem conteúdo do Office 365 e conectores de Nuvem Pessoal de dispositivos móveis?
Decisão de design:
- Se a resposta a qualquer uma dessas perguntas for “sim”, integre com o Citrix Files.
- Uma integração apenas com conectores de zona de armazenamento oferece às pessoas que usam iOS acesso móvel seguro a repositórios de armazenamento locais existentes, como sites do SharePoint e compartilhamentos de arquivos de rede. Nesta configuração, você não configura um subdomínio do ShareFile, não provisiona pessoas para o Citrix Files nem hospeda dados do Citrix Files. O uso de conectores de zonas de armazenamento com o XenMobile está em conformidade com as restrições de segurança contra vazamento de informações de pessoas para fora da rede corporativa.
Localização do servidor do controlador de zonas de armazenamento
Perguntas a fazer:
- Você precisa de armazenamento local ou recursos como conectores de zona de armazenamento?
- Se estiver usando recursos locais do Citrix Files, onde os controladores de zonas de armazenamento estarão localizados na rede?
Decisão de design:
- Determine se os servidores do controlador de zonas de armazenamento serão localizados na nuvem do Citrix Files, em seu sistema de armazenamento local de locatário único ou em armazenamento em nuvem de terceiros compatível.
- Os controladores de zonas de armazenamento exigem algum acesso à internet para se comunicar com o Plano de Controle do Citrix Files. Você pode se conectar de várias maneiras, incluindo acesso direto, configurações NAT/PAT ou configurações de proxy.
Conectores de zona de armazenamento
Perguntas a fazer:
- Quais são os caminhos de compartilhamento CIFS?
- Quais são as URLs do SharePoint?
Decisão de design:
- Determine se os controladores de zonas de armazenamento locais são necessários para acessar esses locais.
- Devido à comunicação do conector da zona de armazenamento com recursos internos, como repositórios de arquivos, compartilhamentos CIFS e SharePoint: a Citrix recomenda que os controladores de zonas de armazenamento residam na rede interna, atrás de firewalls DMZ e com o Citrix ADC na frente.
Integração SAML com XenMobile Enterprise
Perguntas a fazer:
- A autenticação do Active Directory é necessária para o Citrix Files?
- O primeiro uso do aplicativo Citrix Files para XenMobile exige SSO?
- Existe um IdP padrão em seu ambiente atual?
- Quantos domínios são necessários para usar SAML?
- Existem vários aliases de e-mail para usuários do Active Directory?
- Há alguma migração de domínio do Active Directory em andamento ou agendada para breve?
Decisão de design:
Ambientes XenMobile Enterprise podem optar por usar SAML como mecanismo de autenticação para o Citrix Files. As opções de autenticação são:
- Usar o XenMobile Server como Provedor de Identidade (IdP) para SAML
Essa opção pode proporcionar uma excelente experiência ao usuário e automatizar a criação de contas do Citrix Files, além de habilitar recursos de SSO de aplicativos móveis.
- O XenMobile Server é aprimorado para este processo: Ele não exige a sincronização do Active Directory.
- Usar a Ferramenta de Gerenciamento de Usuários do Citrix Files para provisionamento de usuários.
- Usar um fornecedor terceirizado compatível como IdP para SAML
Se você tiver um IdP existente e compatível e não precisar de recursos de SSO de aplicativos móveis, esta opção pode ser a mais adequada para você. Esta opção também exige o uso da Ferramenta de Gerenciamento de Usuários do Citrix Files para provisionamento de contas.
O uso de soluções IdP de terceiros, como o ADFS, também pode fornecer recursos de SSO no lado do cliente Windows. Certifique-se de avaliar os casos de uso antes de escolher seu IdP SAML do Citrix Files.
Além disso, para atender a ambos os casos de uso, você pode configurar o ADFS e o XenMobile como um IdP duplo.
Aplicativos móveis
Perguntas a fazer:
- Qual aplicativo móvel do Citrix Files você planeja usar (público, MDM, MDX)?
Decisão de design:
- Você distribui aplicativos de produtividade móvel da Apple App Store e Google Play Store. Com essa distribuição de loja de aplicativos pública, você obtém aplicativos empacotados na página de downloads da Citrix.
- Se a segurança for baixa e você não exigir a contenção, o aplicativo público do Citrix Files pode não ser adequado. Em um ambiente somente MDM, você pode entregar a versão MDM do aplicativo Citrix Files usando o XenMobile no modo MDM.
- Para obter mais informações, consulte Aplicativos e Citrix Files para XenMobile.
Segurança, políticas e controle de acesso
Perguntas a fazer:
- Quais restrições você exige para usuários de desktop, web e móveis?
- Quais configurações de controle de acesso padrão você deseja para os usuários?
- Qual política de retenção de arquivos você planeja usar?
Decisão de design:
- O Citrix Files permite que você gerencie permissões de funcionários e segurança de dispositivos. Para obter informações, consulte Permissões de Funcionários e Gerenciando Dispositivos e Aplicativos.
- Algumas configurações de segurança de dispositivos do Citrix Files e políticas MDX controlam os mesmos recursos. Nesses casos, as políticas do XenMobile têm precedência, seguidas pelas configurações de segurança de dispositivos do Citrix Files. Exemplos: Se você desabilitar aplicativos externos no Citrix Files, mas habilitá-los no XenMobile, os aplicativos externos serão desabilitados no Citrix Files. Você pode configurar os aplicativos para que o XenMobile não exija um PIN/senha, mas o aplicativo Citrix Files exija um PIN/senha.
Zonas de armazenamento padrão versus restritas
Perguntas a fazer:
- Você exige zonas de armazenamento restritas?
Decisão de design:
- Uma zona de armazenamento padrão é destinada a dados não sensíveis e permite que os funcionários compartilhem dados com não funcionários. Esta opção suporta fluxos de trabalho que envolvem o compartilhamento de dados fora do seu domínio.
- Uma zona de armazenamento restrita protege dados sensíveis: Somente usuários de domínio autenticados podem acessar os dados armazenados na zona.
Proxies Web
O cenário mais provável para rotear o tráfego do XenMobile por meio de um proxy HTTP(S)/SOCKS é o seguinte: Quando a sub-rede em que o XenMobile Server reside não tem acesso de saída à Internet para os endereços IP necessários da Apple, Google ou Microsoft. Você pode especificar as configurações do servidor proxy no XenMobile para rotear todo o tráfego da Internet para o servidor proxy. Para obter mais informações, consulte Habilitar servidores proxy.
A tabela a seguir descreve as vantagens e desvantagens do proxy mais comum usado com o XenMobile.
| Opção | Vantagens | Desvantagens |
| Usar um Proxy HTTP(S)/SOCKS com um XenMobile Server. | Nos casos em que as políticas não permitem conexões de saída à Internet da sub-rede do XenMobile Server: Você pode configurar um proxy HTTP(S) ou SOCKS para fornecer conectividade à Internet. | Se o servidor proxy falhar, a conectividade APNs (iOS) ou Firebase Cloud Messaging (Android) será interrompida. Como resultado, as notificações de dispositivos falham para todos os dispositivos iOS e Android. |
| Usar um Proxy HTTP(S) com o Secure Web. | Você pode monitorar o tráfego HTTP/HTTPS para garantir que a atividade da Internet esteja em conformidade com os padrões da sua organização. | Esta configuração exige que todo o tráfego da Internet do Secure Web seja tunelado de volta para a rede corporativa antes de ser enviado para a Internet. Se sua conexão com a Internet restringir a navegação: Esta configuração pode afetar o desempenho da navegação na Internet. |
A configuração do perfil de sessão do Citrix ADC para tunelamento dividido afeta o tráfego da seguinte forma.
Quando o Tunelamento Dividido do Citrix ADC está desativado:
- Se a política de Acesso à rede do MDX estiver definida como Tunelado para a rede interna: Todo o tráfego é forçado a usar o micro VPN ou o túnel VPN sem cliente (cVPN) de volta para o Citrix Gateway.
- Configure as políticas/perfis de tráfego do Citrix ADC para o servidor proxy e vincule-os ao VIP do Citrix Gateway.
Importante:
Certifique-se de excluir o tráfego cVPN do Secure Hub do proxy.
- Para obter mais informações, consulte Tráfego do Citrix Secure Hub do XenMobile por meio do servidor proxy no modo Secure Browse.
Quando o Tunelamento Dividido do Citrix ADC está ativado:
- Quando os aplicativos são configurados com a política de Acesso à rede do MDX definida como Tunelado para a rede interna: Os aplicativos primeiro tentam obter o recurso web diretamente. Se o recurso web não estiver disponível publicamente, esses aplicativos então recorrem ao Citrix Gateway.
- Configure as políticas e perfis de tráfego do Citrix ADC para o servidor proxy. Em seguida, vincule essas políticas e perfis ao VIP do Citrix Gateway.
Importante:
Certifique-se de excluir o tráfego cVPN do Secure Hub do proxy.
A configuração do perfil de sessão do Citrix ADC para Split DNS (em Experiência do cliente) funciona de forma semelhante ao Tunelamento Dividido.
Com o Split DNS habilitado e definido como Ambos:
- O cliente primeiro tenta resolver o FQDN localmente e, em seguida, recorre ao Citrix ADC para resolução de DNS em caso de falha.
Com o Split DNS definido como Remoto:
- A resolução de DNS ocorre apenas no Citrix ADC.
Com o Split DNS definido como Local:
- O cliente tenta resolver o FQDN localmente. O Citrix ADC não é usado para resolução de DNS.
Controle de Acesso
As empresas podem gerenciar dispositivos móveis dentro e fora das redes. Soluções de Gerenciamento de Mobilidade Empresarial, como o XenMobile, são excelentes para fornecer segurança e controles para dispositivos móveis, independentemente do local. No entanto, quando você as combina com uma solução de Controle de Acesso à Rede (NAC), pode adicionar QoS e controle mais granular aos dispositivos que são internos à sua rede. Essa combinação permite estender a avaliação de segurança de dispositivos do XenMobile por meio de sua solução NAC. Sua solução NAC pode então usar a avaliação de segurança do XenMobile para facilitar e lidar com decisões de autenticação.
Você pode usar qualquer uma dessas soluções para impor políticas NAC:
- Citrix Gateway
- Cisco Identity Services Engine (ISE)
- ForeScout
A Citrix não garante a integração para outras soluções NAC.
As vantagens de uma integração de solução NAC com o XenMobile incluem o seguinte:
- Melhor segurança, conformidade e controle para todos os endpoints em uma rede corporativa.
- Uma solução NAC pode:
- Detectar dispositivos no instante em que tentam se conectar à sua rede.
- Consultar o XenMobile para obter atributos de dispositivo.
- Usar essas informações de dispositivo para determinar se deve permitir, bloquear, limitar ou redirecionar esses dispositivos. Essas decisões dependem das políticas de segurança que você escolher impor.
- Uma solução NAC fornece aos administradores de TI uma visão de dispositivos não gerenciados e não conformes.
Para uma descrição dos filtros de conformidade NAC suportados pelo XenMobile e uma visão geral da configuração, consulte Controle de Acesso à Rede.