In Citrix Virtual Apps and Desktops 服务
In All products
产品文档
In Citrix Virtual Apps and Desktops 服务
In All products
Citrix Virtual Apps and Desktops 服务
查看 PDF

汇聚协议

December 18, 2020
贡献者: 
C G

在使用 Citrix Gateway 服务的环境中，汇聚协议允许 HDX 会话绕过 Citrix Cloud Connector 直接安全地连接到 Citrix Gateway 服务。

要求

  • 使用 Citrix Workspace 和 Citrix Gateway 服务访问环境。
  • 控制平面：Citrix Virtual Apps and Desktops 服务 (Citrix Cloud)
  • VDA：1912 或更高版本。
  • 在 Citrix 策略中启用汇聚协议。有关详细信息，请参阅汇聚协议策略设置。
  • VDA 必须对 https://*.nssvc.net 具有访问权限，包括所有子域。如果无法通过该方式将所有子域添加到允许列表中，请该为使用 https://*.c.nssvc.net 和 https://*.g.nssvc.net。有关详细信息，请参阅请参阅 Citrix Cloud 文档（Virtual Apps and Desktops 服务下）的“Internet 连接要求”部分和知识中心文章 CTX270584。
  • 在代理会话时，Cloud Connector 必须获取 VDA 的 FQDN。通过以下两种方式之一完成此操作：
    • 为站点启用 DNS 解析。使用 Citrix Virtual Apps and Desktops 远程 PowerShell SDK 运行命令 Set-BrokerSite -DnsResolutionEnabled $true。有关 Citrix Virtual Apps and Desktops 远程 PowerShell SDK 的详细信息，请参阅 SDK 和 API。
    • 具有 VDA 的 PTR 记录的 DNS 反向查找区域。如果选择此选项，我们建议您将 VDA 配置为始终尝试注册 PTR 记录。为此，请使用组策略编辑器或组策略对象，导航到计算机配置 > 管理模板 > 网络 > DNS 客户端，然后将注册 PTR 记录设置为已启用并注册。如果连接的 DNS 后缀与域的 DNS 后缀不匹配，您还必须配置 Connection-specific DNS suffix（连接特有的 DNS 后缀）设置，以便计算机能够成功注册 PTR 记录。

代理配置

VDA 支持通过代理建立汇聚连接。

代理注意事项

在汇聚中使用代理时，请注意以下事项：

  • 支持透明代理、非透明 HTTP 代理和 SOCKS 代理。
  • 不支持数据包解密和检查。配置异常，以便 VDA 与网关服务之间的 ICA 流量不会被拦截、解密或检查。否则，连接会中断。
  • 不支持在代理上进行身份验证。配置例外，以便发往网关服务地址的流量（在要求中指定）可以绕过身份验证。
  • 仅支持通过 TCP 的汇聚。代理目前不支持使用 EDT 的汇聚。

透明代理

如果在网络中使用透明代理，则不需要在 VDA 上进行其他配置。

非透明代理

如果在网络中使用非透明代理，请配置 汇聚代理配置 设置。启用该设置后，为 VDA 指定 HTTP 或 SOCKS 代理地址，以了解要使用哪个代理。例如，“http://<FQDN or IP>:<port>” 或 “socks5://<FQDN or IP>:<port>”。

当前不支持使用 PAC 文件进行代理配置。

汇聚验证

如果您满足所有要求，请按照下列步骤验证是否正在使用汇聚：

  1. 在 HDX 会话中启动 PowerShell 或命令提示符。
  2. 运行 ctxsession.exe –v。
  3. 正在使用的传输协议指明连接类型：
    • TCP 汇聚：TCP > SSL > CGP > ICA
    • EDT 汇聚：UDP > DTLS > CGP > ICA
    • 通过 Cloud Connector 代理：TCP > CGP > ICA

其他注意事项

Windows 密码套件顺序

对于自定义密码套件顺序，请确保在以下列表中包含 VDA 支持的密码套件：

  • TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
  • TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384
  • TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA

如果自定义密码套件顺序不包含这些密码套件，汇聚连接将失败。

Zscaler Private Access

如果使用 Zscaler Private Access (ZPA)，强烈建议您为网关服务配置绕过设置，以避免延迟增加和相关的性能影响。为此，您必须为网关服务地址定义应用程序段（在要求中指定），并将其设置为始终绕过。有关配置应用程序段以绕过 ZPA 的信息，请参阅 Zscaler 文档。

汇聚的工作原理

下图概述了汇聚连接流程。

汇聚协议概述

请按照步骤了解流程：

  1. 导航到 Citrix Workspace。
  2. 在 Citrix Workspace 中输入凭据。
  3. 如果使用本地 Active Directory，Citrix Virtual Apps and Desktops 服务将使用 Cloud Connector 通道通过 Active Directory 对凭据进行验证。
  4. Citrix Workspace 显示 Citrix Virtual Apps and Desktops 服务中的枚举资源。
  5. 从 Citrix Workspace 中选择资源。Citrix Virtual Apps and Desktops 服务向 VDA 发送一条消息，以便为传入会话做好准备。
  6. Citrix Workspace 将 ICA 文件发送到包含 Citrix Cloud 生成的 STA 票证的端点。
  7. 端点连接到 Citrix Gateway 服务，提供连接到 VDA 的票证，Citrix Cloud 将验证该票证。
  8. Citrix Gateway 服务将连接信息发送到 Cloud Connector。Cloud Connector 确定连接是否应为汇聚连接，并将信息发送到 VDA。
  9. VDA 建立与 Citrix Gateway 服务的直接连接。
  10. 如果无法在 VDA 与 Citrix Gateway 服务之间建立直接连接，VDA 通过 Cloud Connector 代理其连接。
  11. Citrix Gateway 服务在端点与 VDA 之间建立连接。
  12. VDA 通过 Cloud Connector 借助 Citrix Virtual Apps and Desktops 服务验证其许可证。
  13. Citrix Virtual Apps and Desktops 服务通过 Cloud Connector 向 VDA 发送会话策略并对其应用这些策略。
汇聚协议
December 18, 2020
贡献者: 
C G
December 18, 2020
贡献者: 
C G

本文中包含的内容

站点反馈 | 隐私和法律条款 | Cookie 首选项 | Consent settings
© 1999- Citrix Systems, Inc. All rights reserved.