汇聚协议
在使用 Citrix Gateway 服务的环境中,汇聚协议允许 HDX 会话绕过 Citrix Cloud Connector 直接安全地连接到 Citrix Gateway 服务。
要求
- 使用 Citrix Workspace 和 Citrix Gateway 服务访问环境。
- 控制平面:Citrix Virtual Apps and Desktops 服务 (Citrix Cloud)。
- VDA:1912 或更高版本。
- 版本 2012 是 EDT Rendezvous 所需的最低版本。
- 版本 2012 是非透明代理支持所需的最低版本(不支持 PAC 文件)。
- 版本 2103 是使用 PAC 文件进行代理配置所需的最低版本。
- 在 Citrix 策略中启用汇聚协议。有关详细信息,请参阅汇聚协议策略设置。
- VDA 必须对
https://*.nssvc.net
具有访问权限,包括所有子域。如果无法通过该方式将所有子域添加到允许列表中,请该为使用https://*.c.nssvc.net
和https://*.g.nssvc.net
。有关详细信息,请参阅请参阅 Citrix Cloud 文档(Virtual Apps and Desktops 服务下)的“Internet 连接要求”部分和知识中心文章 CTX270584。 - VDA 必须能够分别连接到上文 TCP Rendezvous 和 EDT Rendezvous 的 TCP 443 和 UDP 443 中提到的地址。
- 在代理会话时,Cloud Connector 必须获取 VDA 的 FQDN。通过以下两种方式之一完成此操作:
-
为站点启用 DNS 解析。使用 Citrix Virtual Apps and Desktops 远程 PowerShell SDK 运行命令
Set-BrokerSite -DnsResolutionEnabled $true
。有关 Citrix Virtual Apps and Desktops 远程 PowerShell SDK 的详细信息,请参阅 SDK 和 API。 - 具有 VDA 的 PTR 记录的 DNS 反向查找区域。如果选择此选项,我们建议您将 VDA 配置为始终尝试注册 PTR 记录。为此,请使用组策略编辑器或组策略对象,导航到计算机配置 > 管理模板 > 网络 > DNS 客户端,然后将注册 PTR 记录设置为已启用并注册。如果连接的 DNS 后缀与域的 DNS 后缀不匹配,您还必须配置 Connection-specific DNS suffix(连接特有的 DNS 后缀)设置,以便计算机能够成功注册 PTR 记录。
-
为站点启用 DNS 解析。使用 Citrix Virtual Apps and Desktops 远程 PowerShell SDK 运行命令
代理配置
VDA 支持通过代理建立汇聚连接。
代理注意事项
在汇聚中使用代理时,请注意以下事项:
- 支持透明代理、非透明 HTTP 代理和 SOCKS5 代理。
- 不支持数据包解密和检查。配置异常,以便 VDA 与网关服务之间的 ICA 流量不会被拦截、解密或检查。否则,连接会中断。
- 不支持在代理上进行身份验证。配置例外,以便发往网关服务地址的流量(在要求中指定)可以绕过身份验证。
- 只有 SOCKS5 代理支持通过 EDT 进行数据传输。对于 HTTP 代理,请使用 TCP 作为 ICA 的传输协议。
透明代理
如果在网络中使用透明代理,则不需要在 VDA 上进行其他配置。
非透明代理
如果在网络中使用非透明代理,请配置 汇聚代理配置 设置。启用该设置后,请指定 HTTP 或 SOCKS5 代理地址,或者输入 PAC 文件的路径,以便 VDA 知晓要使用的代理。例如:
- 代理地址:
http://<URL or IP>:<port>
或socks5://<URL or IP>:<port>
- PAC 文件:
http://<URL or IP>/<path>/<filename>.pac
如果使用 PAC 文件配置代理,请使用 Windows HTTP 服务所需的语法定义代理:PROXY [<scheme>=]<URL or IP>:<port>
。例如 PROXY socks5=<URL or IP>:<port>
。有关详细信息,请参阅 Microsoft 文档。
汇聚验证
如果您满足所有要求,请按照下列步骤验证是否正在使用汇聚:
- 在 HDX 会话中启动 PowerShell 或命令提示符。
- 运行
ctxsession.exe –v
。 - 正在使用的传输协议指明连接类型:
- TCP 汇聚:TCP > SSL > CGP > ICA
- EDT 汇聚:UDP > DTLS > CGP > ICA
- 通过 Cloud Connector 代理:TCP > CGP > ICA
其他注意事项
Windows 密码套件顺序
对于自定义密码套件顺序,请确保在以下列表中包含 VDA 支持的密码套件:
- TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
- TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384
- TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
如果自定义密码套件顺序不包含这些密码套件,汇聚连接将失败。
Zscaler Private Access
如果使用 Zscaler Private Access (ZPA),强烈建议您为网关服务配置绕过设置,以避免延迟增加和相关的性能影响。为此,您必须为网关服务地址定义应用程序段(在要求中指定),并将其设置为始终绕过。有关配置应用程序段以绕过 ZPA 的信息,请参阅 Zscaler 文档。
汇聚的工作原理
下图概述了汇聚连接流程。
请按照步骤了解流程:
- 导航到 Citrix Workspace。
- 在 Citrix Workspace 中输入凭据。
- 如果使用本地 Active Directory,Citrix Virtual Apps and Desktops 服务将使用 Cloud Connector 通道通过 Active Directory 对凭据进行验证。
- Citrix Workspace 显示 Citrix Virtual Apps and Desktops 服务中的枚举资源。
- 从 Citrix Workspace 中选择资源。Citrix Virtual Apps and Desktops 服务向 VDA 发送一条消息,以便为传入会话做好准备。
- Citrix Workspace 将 ICA 文件发送到包含 Citrix Cloud 生成的 STA 票证的端点。
- 端点连接到 Citrix Gateway 服务,提供连接到 VDA 的票证,Citrix Cloud 将验证该票证。
- Citrix Gateway 服务将连接信息发送到 Cloud Connector。Cloud Connector 确定连接是否应为汇聚连接,并将信息发送到 VDA。
- VDA 建立与 Citrix Gateway 服务的直接连接。
- 如果无法在 VDA 与 Citrix Gateway 服务之间建立直接连接,VDA 通过 Cloud Connector 代理其连接。
- Citrix Gateway 服务在端点与 VDA 之间建立连接。
- VDA 通过 Cloud Connector 借助 Citrix Virtual Apps and Desktops 服务验证其许可证。
- Citrix Virtual Apps and Desktops 服务通过 Cloud Connector 向 VDA 发送会话策略并对其应用这些策略。
已复制
Failed!