产品文档
Linux Virtual Delivery Agent
Current Release 2402 LTSR 2311 2308 2305 2303 2301 2212 2210 2209 2207 2206 2204 2203 LTSR 1912 LTSR 7.15 LTSR
查看 PDF

Rendezvous V2

January 4, 2024
投稿者: 
C

使用 Citrix Gateway 服务时，Rendezvous 协议允许流量绕过 Citrix Cloud Connector，以直接安全地连接到 Citrix Cloud 控制平面。

有两种类型的流量需要考虑：1) 控制 VDA 注册和会话代理的流量；2) HDX 会话流量。

Rendezvous V1 允许 HDX 会话流量绕过 Cloud Connector，但它仍要求 Cloud Connector 代理所有控制流量以进行 VDA 注册和会话代理。

支持加入了标准 AD 域的计算机和未加入域的计算机将 Rendezvous V2 与单会话和多会话 Linux VDA 配合使用。对于未加入域的计算机，Rendezvous V2 允许 HDX 流量和控制流量绕过 Cloud Connector。

要求

使用 Rendezvous V2 的要求是：

  • 使用 Citrix Workspace 和 Citrix Gateway 服务访问环境。
  • 控制平面：Citrix DaaS（以前称为 Citrix Virtual Apps and Desktops 服务）
  • VDA 版本 2201 或更高版本。
    • 版本 2204 是 HTTP 和 SOCKS5 代理所需的最低版本。
  • 在 Citrix 策略中启用 Rendezvous 协议。有关详细信息，请参阅 Rendezvous 协议策略设置。
  • VDA 必须对 https://*.nssvc.net 具有访问权限，包括所有子域。如果您无法通过该方式将所有子域列入白名单，请改为使用 https://*.c.nssvc.net 和 https://*.g.nssvc.net。有关详细信息，请参阅 Citrix Cloud 文档（在 Virtual Apps and Desktops 服务下方）的 Internet 连接要求部分和知识中心文章 CTX270584。
  • VDA 必须能够连接到上文提到的地址：
    • 在 TCP 443 上，用于 TCP Rendezvous。
    • 在 UDP 443 上，用于 EDT Rendezvous。

代理配置

使用 Rendezvous 时，VDA 支持通过代理连接控制流量和 HDX 会话流量。两种类型的流量的要求和注意事项不同，因此请仔细查看。

控制流量代理注意事项

  • 仅支持 HTTP 代理。
  • 不支持数据包解密和检查。配置例外，以便 VDA 和 Citrix Cloud 控制平面之间的控制流量不会被拦截、解密或检查。否则，连接将失败。
  • 不支持代理身份验证。

  • 要为控制流量配置代理，请按如下方式编辑注册表：

     /opt/Citrix/VDA/bin/ctxreg create -k "HKLM\Software\Citrix\VirtualDesktopAgent" -t "REG_SZ" -v "ProxySettings" -d "http://<URL or IP>:<port>" --force
 <!--NeedCopy-->

HDX 流量代理注意事项

  • 支持 HTTP 和 SOCKS5 代理。
  • EDT 只能与 SOCKS5 代理一起使用。
  • 要为 HDX 流量配置代理，请使用 Rendezvous 代理配置策略设置。
  • 不支持数据包解密和检查。配置例外，以便 VDA 和 Citrix Cloud 控制平面之间的 HDX 流量不会被拦截、解密或检查。否则，连接将失败。

  • HTTP 代理通过使用协商和 Kerberos 身份验证协议支持基于计算机的身份验证。连接到代理服务器时，协商身份验证方案会自动选择 Kerberos 协议。Kerberos 是 Linux VDA 支持的唯一方案。

    注意：

    要使用 Kerberos，必须为代理服务器创建服务主体名称 (SPN)，并将其与代理的 Active Directory 帐户关联。VDA 在建立会话时生成格式为 HTTP/<proxyURL> 的 SPN，其中代理 URL 是从 Rendezvous 代理策略设置中检索的。如果不创建 SPN，身份验证将失败。

  • 当前不支持使用 SOCKS5 代理进行身份验证。如果使用 SOCKS5 代理，必须配置例外，以便发往 Gateway 服务地址的流量（在要求中指定）可以绕过身份验证。
  • 只有 SOCKS5 代理支持通过 EDT 进行数据传输。对于 HTTP 代理，请使用 TCP 作为 ICA 的传输协议。

透明代理

Rendezvous 支持透明 HTTP 代理。如果在网络中使用透明代理，则不需要在 VDA 上进行其他配置。

如何配置 Rendezvous V2

下面是在您的环境中配置 Rendezvous 的步骤：

  1. 请确保满足所有要求。

  2. 安装 VDA 后，运行以下命令以设置所需的注册表项：

    /opt/Citrix/VDA/bin/ctxreg create -k "HKLM\Software\Citrix\VirtualDesktopAgent" -t "REG_DWORD" -v "GctRegistration" -d "0x00000001" --force
<!--NeedCopy-->
  3. 重新启动 VDA 计算机。
  4. 创建 Citrix 策略或者编辑现有策略：
    • 将 Rendezvous 协议设置设为允许。
    • 请务必正确设置 Citrix 策略过滤器。该策略适用于需要启用 Rendezvous 的计算机。
    • 请确保 Citrix 策略具有正确的优先级，以免覆盖其他策略。

Rendezvous 验证

要检查会话是否正在使用 Rendezvous 协议，请在终端中运行 /opt/Citrix/VDA/bin/ctxquery -f iP 命令。

显示的传输协议指明连接类型：

  • TCP Rendezvous：TCP - TLS - CGP - ICA
  • EDT Rendezvous：UDP - DTLS - CGP - ICA
  • 通过Cloud Connector 代理：TCP - PROXY - SSL - CGP - ICA 或 UDP - PROXY - DTLS - CGP - ICA

如果正在使用 Rendezvous V2，协议版本将显示 2.0。

提示：

如果启用了 Rendezvous 时 VDA 无法直接访问 Citrix Gateway 服务，VDA 将回退到通过 Cloud Connector 代理 HDX 会话。

Rendezvous 通信流

下图说明了有关 Rendezvous 通信流的步骤顺序。

Rendezvous 通信流

  1. VDA 与 Citrix Cloud 建立 WebSocket 连接并注册。
  2. VDA 在 Citrix Gateway 服务中注册并获得专用令牌。
  3. VDA 与 Gateway 服务建立永久控制连接。
  4. 用户导航到 Citrix Workspace。
  5. Workspace 评估身份验证配置并将用户重定向到相应的 IdP 进行身份验证。
  6. 用户输入自己的证书。
  7. 成功验证用户凭据后，用户将被重定向到 Workspace。
  8. Workspace 为用户计算资源的数量并显示这些资源。
  9. 用户从 Workspace 中选择桌面或应用程序。Workspace 向 Citrix DaaS 发送请求，后者代理连接并指示 VDA 为会话做好准备。
  10. VDA 使用 Rendezvous 功能及其标识进行响应。
  11. Citrix DaaS 生成启动票据并通过 Workspace 将其发送到用户设备。
  12. 用户的端点连接到 Gateway 服务并提供启动票据以进行身份验证和识别要连接到的资源。
  13. Gateway 服务将连接信息发送到 VDA。
  14. VDA 为与 Gateway 服务的会话建立直接连接。
  15. Gateway 服务完成端点与 VDA 之间的连接。
  16. VDA 验证会话的许可。
  17. Citrix DaaS 向 VDA 发送适用的策略。
Rendezvous V2
January 4, 2024
投稿者: 
C
January 4, 2024
投稿者: 
C

在本文中

站点反馈 | Your privacy choices footer link您的隐私选择 | 隐私和法律条款 | Cookie 首选项 | 同意设置 | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.