在 Debian 上手动安装 Linux VDA
重要：
对于全新安装，我们建议您使用轻松安装进行快速安装。轻松安装省时又省力，与本文中详述的手动安装相比，更不易于出错。
步骤 1：准备配置信息和 Linux 计算机
步骤 1a：设置主机名
为确保正确报告计算机的主机名，请更改 /etc/hostname 文件，使其仅包含计算机的主机名。
hostname
步骤 1b：为主机名分配环回地址
确保计算机的 DNS 域名和完全限定域名 (FQDN) 正确地返回报告。方法是更改 /etc/hosts 文件的以下行以包含 FQDN 和主机名作为前两个条目：
127.0.0.1 hostname-fqdn hostname localhost
例如：
127.0.0.1 vda01.example.com vda01 localhost
从文件中的其他条目中删除对 hostname-fqdn 或 hostname 的任何其他引用。
注意：
Linux VDA 当前不支持 NetBIOS 名称截断。主机名不得超过 15 个字符。
提示：
只能使用字符 a-z、A-Z、0-9 和连字符 (-)。请避免使用下划线 (_)、空格和其他符号。主机名不得以数字开头和以连字符结尾。此规则也适用于 Delivery Controller 主机名。
步骤 1c：检查主机名
重新启动计算机并验证主机名设置是否正确：
hostname
<!--NeedCopy-->
此命令仅返回计算机的主机名，而不返回其 FQDN。
验证 FQDN 设置是否正确无误：
hostname -f
<!--NeedCopy-->
此命令返回计算机的 FQDN。
步骤 1d：禁用多播 DNS
默认设置启用了多播 DNS (mDNS)，而这会导致名称解析结果不一致。
要禁用 mDNS，请编辑 /etc/nsswitch.conf 并更改以下行：
hosts: files mdns_minimal [NOTFOUND=return] dns
更改为：
hosts: files dns
步骤 1e：检查名称解析和服务可访问性
确认可以解析 FQDN 并对域控制器和 Delivery Controller 执行 ping 操作：
nslookup domain-controller-fqdn
ping domain-controller-fqdn
nslookup delivery-controller-fqdn
ping delivery-controller-fqdn
<!--NeedCopy-->
如果无法解析 FQDN 或 Ping 不通上述任一计算机，请先检查相关步骤，然后再继续。
步骤 1f：配置时钟同步 (chrony)
确保 VDA、Delivery Controller 和域控制器之间的时钟始终精确同步至关重要。将 Linux VDA 托管为虚拟机 (VM) 可能会导致时钟偏差问题。出于此原因，最好使用远程时间服务来同步时间。
安装 chrony：
apt-get install chrony
<!--NeedCopy-->
以 root 用户身份，编辑 /etc/chrony/chrony.conf 并为每个远程时间服务器添加一个服务器条目：
server peer1-fqdn-or-ip-address iburst
server peer2-fqdn-or-ip-address iburst
在典型部署中，时间从本地域控制器同步，而不是直接从公共 NTP 池服务器同步。为域中的每个 Active Directory 域控制器添加一个服务器条目。
删除列出的任何其他 server 或 pool 条目，包括环回 IP 地址、localhost 和公共服务器 *.pool.ntp.org 条目。
保存更改并重新启动 Chrony 守护程序：
sudo systemctl restart chrony
<!--NeedCopy-->
步骤 1g：安装软件包
sudo apt-get install -y libsasl2-2
sudo apt-get install -y libgtk2.0-0
<!--NeedCopy-->
步骤 1h：添加存储库以安装必要的依赖项
对于 Debian 11.3，请将 deb http://deb.debian.org/debian/ bullseye main 行添加到 /etc/apt/sources.list 文件中。
步骤 1i：安装并指定要使用的数据库
安装 Linux VDA 软件包后，可以通过编辑 /etc/xdl/db.conf 来指定要使用的 SQLite 或 PostgreSQL。对于手动安装，必须先手动安装 SQLite 和 PostgreSQL，然后才能指定这两者。
本部分内容介绍了如何安装 PostgreSQL 和 SQLite 数据库以及如何指定要使用的数据库。
注意：
我们建议您仅对 VDI 模式使用 SQLite。
安装 PostgreSQL
请运行以下命令以安装 PostgreSQL：
sudo apt-get update
sudo apt-get install -y postgresql
sudo apt-get install -y libpostgresql-jdbc-java
<!--NeedCopy-->
请分别运行以下命令以在计算机启动时启动 PostgreSQL 或者立即启动：
sudo systemctl enable postgresql
sudo systemctl start postgresql
<!--NeedCopy-->
安装 SQLite
对于 Debian，请运行以下命令以安装 SQLite：
sudo apt-get install -y sqlite3
<!--NeedCopy-->
指定要使用的数据库
安装 Linux VDA 包后，可以通过编辑 /etc/xdl/db.conf 来指定要使用的数据库。为此，请完成以下步骤：
- 运行 /opt/Citrix/VDA/sbin/ctxcleanup.sh。如果是全新安装，则省略此步骤。
- 编辑 /etc/xdl/db.conf 以指定要使用的数据库。
- 运行 ctxsetup.sh。
注意：
也可以使用 /etc/xdl/db.conf 配置 PostgreSQL 的端口号。
步骤 2：准备虚拟机管理程序
在支持的虚拟机管理程序上将 Linux VDA 当作 VM 运行时，需要作出一些更改。根据正在使用的虚拟机管理程序平台做出以下更改。如果正在裸机硬件上运行 Linux 计算机，则无需作出任何更改。
修复 Citrix Hypervisor 上的时间同步问题
启用了 Citrix Hypervisor 时间同步功能时，在每个半虚拟化的 Linux VM 中，您都会遇到 NTP 和 Citrix Hypervisor 的问题。两者都试图管理系统时钟。为避免时钟与其他服务器不同步，请确保每个 Linux 客户机中的系统时钟都与 NTP 同步。这种情况要求禁用主机时间同步。无需在 HVM 模式下进行任何更改。
如果您正在运行半虚拟化的 Linux 内核，并且安装了 Citrix VM Tools，则可以检查 Citrix Hypervisor 时间同步功能是否存在，以及是否已在 Linux VM 中启用：
su -
cat /proc/sys/xen/independent_wallclock
<!--NeedCopy-->
此命令返回 0 或 1：
- 0 - 时间同步功能已启用，且必须禁用。
- 1 - 时间同步功能已禁用，无需采取任何操作。
如果 /proc/sys/xen/independent_wallclock 文件不存在，则不需要执行以下步骤。
如果已启用，请通过向该文件写入 1 来禁用时间同步功能：
sudo echo 1 > /proc/sys/xen/independent_wallclock
<!--NeedCopy-->
要使此更改成为永久更改，并在重新启动后仍然有效，请编辑 /etc/sysctl.conf 文件并添加以下行：
xen.independent_wallclock = 1
要验证这些更改，请重新启动系统：
su -
cat /proc/sys/xen/independent_wallclock
<!--NeedCopy-->
此命令返回值 1。
修复 Microsoft Hyper-V 上的时间同步问题
安装了 Hyper-V Linux 集成服务的 Linux VM 可以使用 Hyper-V 时间同步功能来使用主机操作系统的时间。为确保系统时钟始终精确可靠，请一同启用此功能与 NTP 服务。
从管理操作系统中：
- 打开 Hyper-V 管理器控制台。
- 对于 Linux VM 的设置，请选择 Integration Services（集成服务）。
- 确保已选择 Time synchronization（时间同步）。
注意：
此方法与 VMware 和 Citrix Hypervisor 不同，这两种产品会禁用主机时间同步功能，以免与 NTP 发生冲突。Hyper-V 时间同步可以与 NTP 时间同步共存并互补。
修复 ESX 和 ESXi 上的时间同步问题
启用 VMware 时间同步功能后，在每个半虚拟化的 Linux VM 中，您都会遇到 NTP 和虚拟机管理程序的问题。两者都试图同步系统时钟。为避免时钟与其他服务器不同步，请确保每个 Linux 客户机中的系统时钟都与 NTP 同步。这种情况要求禁用主机时间同步。
如果正在运行安装了 VMware Tools 的半虚拟化 Linux 内核：
- 打开 vSphere Client。
- 编辑 Linux VM 设置。
- 在 Virtual Machine Properties（虚拟机属性）对话框中，打开 Options（选项）选项卡。
- 选择 VMware Tools。
- 在 Advanced（高级）框中，取消选中 Synchronize guest time with host（与主机同步客户机时间）。
步骤 3：将 Linux VM 添加到 Windows 域中
以下方法可用于将 Linux 计算机添加到 Active Directory (AD) 域：
根据所选的方法，按说明执行操作。
注意：
为 Linux VDA 中的本地帐户和 AD 中的帐户使用相同的用户名时，会话启动可能会失败。
Samba Winbind
安装或更新所需软件包
sudo apt-get install winbind samba libnss-winbind libpam-winbind krb5-config krb5-locales krb5-user
<!--NeedCopy-->
在计算机启动时启用要启动的 Winbind 守护程序
Winbind 守护程序必须配置为在计算机启动时启动：
sudo systemctl enable winbind
<!--NeedCopy-->
注意：
确保
winbind脚本位于/etc/init.d下。
配置 Kerberos
以 root 用户身份，打开 /etc/krb5.conf 并配置以下设置：
注意：
根据您的 AD 基础结构配置 Kerberos。以下设置适用于单域、单林模型。
[libdefaults]
default_realm = REALM
dns_lookup_kdc = false
[realms]
REALM = {
admin_server = domain-controller-fqdn
kdc = domain-controller-fqdn
}
[domain_realm]
domain-dns-name = REALM
.domain-dns-name = REALM
此上下文中的 domain-dns-name 参数为 DNS 域名，例如 example.com。REALM 是大写的 Kerberos 领域名称，例如 EXAMPLE.COM。
配置 Winbind 身份验证
运行 vim /etc/samba/smb.conf 命令打开 /etc/samba/smb.conf，然后配置以下设置：
[global]
workgroup = WORKGROUP
security = ADS
realm = REALM
encrypt passwords = yes
idmap config *:range = 16777216-33554431
kerberos method = secrets and keytab
winbind refresh tickets = yes
template shell = /bin/bash
WORKGROUP 是 REALM 中的第一个字段，REALM 是大写的 Kerberos 领域名称。
配置 nsswitch
打开 /etc/nsswitch.conf 并将 winbind 附加到以下行：
passwd: files systemd winbind
group: files systemd winbind
加入 Windows 域
您的域控制器必须可访问，并且您必须具有有权将计算机添加到域的 Active Directory 用户帐户：
sudo net ads join <Kerberos realm name in uppercase> -U <domain user with permission to add computers to the domain>
<!--NeedCopy-->
重新启动 Winbind
sudo systemctl restart winbind
<!--NeedCopy-->
为 Winbind 配置 PAM
运行以下命令，确保选中 Winbind NT/Active Directory authentication（Winbind NT/Active Directory 身份验证）和 Create home directory on login（在登录时创建主目录）选项：
sudo pam-auth-update
<!--NeedCopy-->
提示：
仅当计算机加入域后，winbind 守护程序才会始终保持运行。
验证域成员身份
Delivery Controller 要求所有 VDA 计算机（不论是 Windows 还是 Linux）都要在 Active Directory 中有一个计算机对象。
运行 Samba 的 net ads 命令以验证计算机是否已加入域：
sudo net ads testjoin
<!--NeedCopy-->
运行以下命令验证额外的域和计算机对象信息：
sudo net ads info
<!--NeedCopy-->
验证 Kerberos 配置
要验证 Kerberos 是否已正确配置为可与 Linux VDA 配合使用，请验证系统 keytab 文件是否已创建并且包含有效密钥：
sudo klist -ke
<!--NeedCopy-->
此命令显示各种主体名称与密码套件组合可用的密钥列表。运行 Kerberos kinit 命令，以使用这些密钥向域控制器验证计算机的身份：
sudo kinit -k MACHINE$@REALM
<!--NeedCopy-->
计算机和领域名称必须指定为大写。美元符号 ($) 必须使用反斜杠 (\) 进行转义，以免发生 shell 替换。在某些环境中，DNS 域名与 Kerberos 领域名称不同。请确保使用领域名称。如果此命令成功运行，则不会显示任何输出。
请使用以下命令验证计算机帐户的 TGT 票据已缓存：
sudo klist
<!--NeedCopy-->
请使用以下命令检查计算机的帐户详细信息：
sudo net ads status
<!--NeedCopy-->
验证用户身份验证
使用 wbinfo 工具验证是否可向域验证域用户的身份：
wbinfo --krb5auth=domain\username%password
<!--NeedCopy-->
这里指定的域为 AD 域名，而不是 Kerberos 领域名称。对于 bash shell，必须使用另一个反斜杠对反斜杠 (\) 字符进行转义。此命令返回一条成功或失败消息。
要验证 Winbind PAM 模块是否已正确配置，请使用以前未使用的域用户帐户登录 Linux VDA。
ssh localhost -l domain\username
id -u
<!--NeedCopy-->
注意：
要成功运行 SSH 命令，请确保 SSH 已启用并正常运行。
验证是否为 id -u 命令返回的 uid 创建了对应的 Kerberos 凭据缓存文件：
ls /tmp/krb5cc_uid
<!--NeedCopy-->
验证用户的 Kerberos 凭据缓存中的票据是否有效且未过期：
klist
<!--NeedCopy-->
退出会话。
exit
<!--NeedCopy-->
直接登录 Gnome 或 KDE 控制台也可以执行类似的测试。在进行域加入验证后继续执行步骤 6：安装 Linux VDA。
提示：
如果使用域帐户登录时成功执行用户身份验证，但无法显示您的桌面，请重新启动计算机，然后重试。
Centrify DirectControl
加入 Windows 域
安装 Centrify DirectControl Agent 后，请使用 Centrify adjoin 命令将 Linux 计算机加入 Active Directory 域：
su –
adjoin -w -V -u user domain-name
<!--NeedCopy-->
user 参数为有权将计算机加入到 Active Directory 域的任何 Active Directory 域用户。domain-name 参数是将 Linux 计算机加入到的域的名称。
验证域成员身份
Delivery Controller 要求所有 VDA 计算机（不论是 Windows 还是 Linux）都要在 Active Directory 中有一个计算机对象。要验证加入了 Centrify 的 Linux 计算机是否位于域中，请执行以下操作：
su –
adinfo
<!--NeedCopy-->
验证 Joined to domain 值是否有效以及 CentrifyDC mode 是否返回了 connected。如果模式仍然卡在正在启动状态，则表明 Centrify 客户端遇到了服务器连接或身份验证问题。
请使用以下命令可获得更全面的系统和诊断信息：
adinfo --sysinfo all
adinfo --diag
<!--NeedCopy-->
测试与各种 Active Directory 和 Kerberos 服务的连接。
adinfo --test
<!--NeedCopy-->
在进行域加入验证后继续执行步骤 6：安装 Linux VDA。
SSSD
配置 Kerberos
请运行以下命令以安装 Kerberos：
sudo apt-get install krb5-user
<!--NeedCopy-->
要配置 Kerberos，请以 root 用户身份打开 /etc/krb5.conf 并配置以下参数：
注意：
根据您的 AD 基础结构配置 Kerberos。以下设置适用于单域、单林模型。
[libdefaults]
default_realm = REALM
dns_lookup_kdc = false
rdns = false
[realms]
REALM = {
admin_server = domain-controller-fqdn
kdc = domain-controller-fqdn
}
[domain_realm]
domain-dns-name = REALM
.domain-dns-name = REALM
此上下文中的 domain-dns-name 参数为 DNS 域名，例如 example.com。REALM 是大写的 Kerberos 领域名称，例如 EXAMPLE.COM。
加入域
必须将 SSSD 配置为使用 Active Directory 作为其身份提供程序并且使用 Kerberos 进行身份验证。但是，SSSD 并不提供用于加入域和管理系统 keytab 文件的 AD 客户端功能。可以改为使用 adcli、realmd 或 Samba。
注意：
本部分内容仅提供 adcli 和 Samba 的信息。
- 如果您使用 adcli 加入域，请完成以下步骤：
-
安装 adcli。
sudo apt-get install adcli <!--NeedCopy--> -
通过 adcli 加入域。
请使用以下命令删除旧系统 keytab 文件并加入域：
su - rm -rf /etc/krb5.keytab adcli join domain-dns-name -U user -H hostname-fqdn <!--NeedCopy-->user 是有权将计算机添加到域的域用户。hostname-fqdn 是计算机的 FQDN 格式的主机名。
需要 -H 选项，adcli 才能生成格式为 host/hostname-fqdn@REALM 的 SPN（Linux VDA 要求使用此格式）。
-
验证系统 keytab。
运行
sudo klist -ket命令以确保系统 keytab 文件已创建。验证每个键的时间戳是否与将计算机加入域的时间相匹配。
- 如果使用 Samba 加入域，请完成以下步骤：
-
安装软件包。
sudo apt-get install samba krb5-user <!--NeedCopy--> -
配置 Samba。
打开 /etc/samba/smb.conf 并配置以下设置：
[global]workgroup =WORKGROUPsecurity = ADSrealm =REALMclient signing = yesclient use spnego = yeskerberos method = secrets and keytabWORKGROUP 是 REALM 中的第一个字段，REALM 是大写的 Kerberos 领域名称。
-
使用 Samba 加入域。
您的域控制器必须可访问，并且您必须具有有权将计算机添加到域的 Windows 帐户。
sudo net ads join <the Kerberos realm name in uppercase> -U <domain user with permission to add computers to the domain> <!--NeedCopy-->
设置 SSSD
安装或更新所需软件包：
如果尚未安装，请安装所需的 SSSD 和配置软件包：
sudo apt-get install sssd
<!--NeedCopy-->
如果已安装软件包，则建议进行更新：
sudo apt-get install --only-upgrade sssd
<!--NeedCopy-->
配置 SSSD
启动 SSSD 守护程序之前，需要更改 SSSD 配置。对于某些版本的 SSSD，默认不安装 /etc/sssd/sssd.conf 配置文件，必须手动创建。以 root 用户身份创建或打开 /etc/sssd/sssd.conf 并配置以下设置：
[sssd]
services = nss, pam
config_file_version = 2
domains = domain-dns-name
[domain/domain-dns-name]
id_provider = ad
access_provider = ad
auth_provider = krb5
krb5_realm = REALM
# Set krb5_renewable_lifetime higher if TGT renew lifetime is longer than 14 days
krb5_renewable_lifetime = 14d
# Set krb5_renew_interval to lower value if TGT ticket lifetime is shorter than 2 hours
krb5_renew_interval = 1h
krb5_ccachedir = /tmp
krb5_ccname_template = FILE:%d/krb5cc_%U
# This ldap_id_mapping setting is also the default value
ldap_id_mapping = true
override_homedir = /home/%d/%u
default_shell = /bin/bash
ad_gpo_map_remote_interactive = +ctxhdx
注意：
ldap_id_mapping 设置为 true，以便 SSSD 本身负责将 Windows SID 映射到 Unix UID。否则，
Active Directory必须能够提供 POSIX 扩展程序。PAM 服务ctxhdx已添加到 ad_gpo_map_remote_interactive。此上下文中的 domain-dns-name 参数为 DNS 域名，例如 example.com。REALM 是大写的 Kerberos 领域名称，例如 EXAMPLE.COM。不需要配置 NetBIOS 域名。
有关配置设置的信息，请参阅 sssd.conf 和
sssd-ad的手册页。
SSSD 守护程序要求配置文件必须仅具有所有者读取权限：
sudo chmod 0600 /etc/sssd/sssd.conf
<!--NeedCopy-->
启动 SSSD 守护程序
运行以下命令立即启动 SSSD 守护程序，以及使守护程序在计算机启动时启动：
sudo systemctl start sssd
sudo systemctl enable sssd
<!--NeedCopy-->
PAM 配置
运行以下命令，确保选中 SSS authentication（SSS 身份验证）和 Create home directory on login（在登录时创建主目录）选项：
sudo pam-auth-update
<!--NeedCopy-->
验证域成员身份
Delivery Controller 要求所有 VDA 计算机（Windows 和 Linux VDA）都要在 Active Directory 中有一个计算机对象。
-
如果使用 adcli 验证域成员身份，请运行
sudo adcli info domain-dns-name命令以显示域信息。 -
如果使用 Samba 验证域成员身份，请运行
sudo net ads testjoin命令验证计算机是否已加入到域，运行sudo net ads info命令验证额外的域和计算机对象信息。
验证 Kerberos 配置
要验证 Kerberos 是否已正确配置为可与 Linux VDA 配合使用，请验证系统 keytab 文件是否已创建并且包含有效密钥：
sudo klist -ke
<!--NeedCopy-->
此命令显示各种主体名称与密码套件组合可用的密钥列表。运行 Kerberos kinit 命令，使用这些密钥向域控制器验证计算机的身份：
sudo kinit -k MACHINE$@REALM
<!--NeedCopy-->
计算机和领域名称必须指定为大写。美元符号 ($) 必须使用反斜杠 (\) 进行转义，以免发生 shell 替换。在某些环境中，DNS 域名与 Kerberos 领域名称不同。请确保使用领域名称。如果此命令成功运行，则不会显示任何输出。
请使用以下命令验证计算机帐户的 TGT 已缓存：
sudo klist
<!--NeedCopy-->
验证用户身份验证
SSSD 不直接通过守护程序提供用于测试身份验证的命令行工具，只能通过 PAM 完成。
要验证 SSSD PAM 模块是否已正确配置，请使用以前未使用的域用户帐户登录 Linux VDA。
ssh localhost -l domain\username
id -u
klist
exit
<!--NeedCopy-->
验证 klist 命令返回的 Kerberos 票据是否适用于该用户并且尚未过期。
以 root 用户身份，验证是否已为前面的 id -u 命令返回的 uid 创建相应的票据缓存文件：
ls /tmp/krb5cc_uid
<!--NeedCopy-->
可以通过登录 KDE 或 Gnome Display Manager 执行类似的测试。在进行域加入验证后继续执行步骤 6：安装 Linux VDA。
PBIS
下载所需的 PBIS 软件包
sudo wget https://github.com/BeyondTrust/pbis-open/releases/download/9.1.0/pbis-open-9.1.0.551.linux.x86_64.deb.sh
<!--NeedCopy-->
使 PBIS 安装脚本可执行
sudo chmod +x pbis-open-9.1.0.551.linux.x86_64.deb.sh
<!--NeedCopy-->
运行 PBIS 安装脚本
sudo sh pbis-open-9.1.0.551.linux.x86_64.deb.sh
<!--NeedCopy-->
加入 Windows 域
您的域控制器必须可访问，并且您必须具有有权将计算机添加到域的 Active Directory 用户帐户：
sudo /opt/pbis/bin/domainjoin-cli join domain-name user
<!--NeedCopy-->
user 为有权将计算机添加到 Active Directory 域的域用户。domain-name 为域的 DNS 名称，例如 example.com。
注意： 要将 Bash 设置为默认 shell，请运行 sudo /opt/pbis/bin/config LoginShellTemplate/bin/bash 命令。
验证域成员身份
Delivery Controller 要求所有 VDA 计算机（Windows 和 Linux VDA）都要在 Active Directory 中有一个计算机对象。要验证加入了 PBIS 的 Linux 计算机是否位于域中，请执行以下操作：
/opt/pbis/bin/domainjoin-cli query
<!--NeedCopy-->
如果计算机已加入某个域，此命令将返回有关当前加入的 AD 域和 OU 的信息。否则，仅显示主机名。
验证用户身份验证
要验证 PBIS 是否能够通过 PAM 对域用户进行身份验证，请使用以前未使用的域用户帐户登录 Linux VDA。
sudo ssh localhost -l domain\user
id -u
<!--NeedCopy-->
验证是否为 id -u 命令返回的 UID 创建了对应的 Kerberos 凭据缓存文件：
ls /tmp/krb5cc_uid
<!--NeedCopy-->
退出会话。
exit
<!--NeedCopy-->
在进行域加入验证后继续执行步骤 6：安装 Linux VDA。
步骤 4：安装 .NET Runtime 6.0
在安装 Linux VDA 之前，请按照 https://docs.microsoft.com/en-us/dotnet/core/install/linux-package-managers 上的说明安装 .NET Runtime 6.0。
安装 .NET Runtime 6.0 后，运行 which dotnet 命令查找您的运行时路径。
根据命令输出，设置 .NET Runtime 二进制文件路径。例如，如果命令输出为 /aa/bb/dotnet，请使用 /aa/bb 作为 .NET 二进制文件路径。
步骤 5：下载 Linux VDA 软件包
- 转至 Citrix Virtual Apps and Desktops 下载页面。
- 展开适当版本的 Citrix Virtual Apps and Desktops。
-
展开组件以查找 Linux VDA。例如：
-
单击 Linux VDA 链接可访问 Linux VDA 下载内容。
-
下载与您的 Linux 发行版匹配的 Linux VDA 软件包。
-
下载可用于验证 Linux VDA 软件包完整性的 GPG 公钥。例如：
要验证 Linux VDA 软件包的完整性，请运行以下命令以将公钥导入到 DEB 数据库中以及检查软件包的完整性：
sudo apt-get install dpkg-sig gpg --import <path to the public key> dpkg-sig --verify <path to the Linux VDA package> <!--NeedCopy-->
步骤 6：安装 Linux VDA
步骤 6a：安装 Linux VDA
使用 Debian 软件包管理器安装 Linux VDA 软件：
sudo dpkg -i xendesktopvda_<version>.debian10_amd64.deb
<!--NeedCopy-->
Debian 11.3 的依赖项列表：
openjdk-11-jdk >= 11
imagemagick >= 8:6.9.10
ufw >= 0.36
desktop-base >= 10.0.2
libxrandr2 >= 2:1.5.1
libxtst6 >= 2:1.2.3
libxm4 >= 2.3.8
util-linux >= 2.33
gtk3-nocsd >= 3
bash >= 5.0
findutils >= 4.6.0
sed >= 4.7
cups >= 2.2
ghostscript >= 9.53~
libmspack0 >= 0.10
ibus >= 1.5
libgoogle-perftools4 >= 2.7~
libpython3.9 >= 3.9~
libsasl2-modules-gssapi-mit >= 2.1.~
libqt5widgets5 >= 5.5~
mutter >= 3.38.6~
libqrencode4 >= 4.0.0
libimlib2 >= 1.5.1
<!--NeedCopy-->
注意：
有关此版本的 Linux VDA 支持的 Linux 发行版和 Xorg 版本的列表，请参阅系统要求。
步骤 6b：升级 Linux VDA（可选）
可以从先前的两个版本和 LTSR 版本升级现有安装。
sudo dpkg -i <PATH>/<Linux VDA deb>
<!--NeedCopy-->
注意：
升级现有安装将覆盖 /etc/xdl 下的配置文件。在进行升级之前，请务必备份这些文件。
步骤 7：安装 NVIDIA GRID 驱动程序
启用 HDX 3D Pro 要求您在虚拟机管理程序和 VDA 计算机上安装 NVIDIA GRID 驱动程序。
要在特定虚拟机管理程序上安装和配置 NVIDIA GRID 虚拟 GPU 管理器（主机驱动程序），请参阅以下指南：
要安装和配置 NVIDIA GRID 来宾 VM 驱动程序，请执行下面的常规步骤：
- 确保来宾 VM 已关闭。
- 在虚拟机管理程序控制面板中，为 VM 分配一个 GPU。
- 启动 VM。
- 在 VM 上安装来宾 VM 驱动程序。
步骤 8：配置 Linux VDA
注意：
在设置运行时环境之前，请确保已在您的操作系统中安装了 en_US.UTF-8 区域设置。如果该区域设置在您的操作系统中不可用，请运行 sudo locale-gen en_US.UTF-8 命令。对于 Debian，通过取消注释 # en_US.UTF-8 UTF-8 行来编辑 /etc/locale.gen 文件，然后运行 sudo locale-gen 命令。
安装软件包后，必须运行 ctxsetup.sh 脚本来配置 Linux VDA。执行任何更改之前，该脚本都会验证环境，确保所有依赖项都已安装。如有必要，可以随时重新运行该脚本以更改设置。
可以按照提示手动运行脚本，也可以采用预先配置的响应自动运行脚本。继续操作前，请查看该脚本的帮助信息：
sudo /opt/Citrix/VDA/sbin/ctxsetup.sh --help
<!--NeedCopy-->
提示配置
运行会提示各种问题的手动配置：
sudo /opt/Citrix/VDA/sbin/ctxsetup.sh
<!--NeedCopy-->
自动配置
自动安装时，设置脚本所需的选项可由环境变量提供。如果所需的所有变量都存在，则脚本不会提示用户提供任何信息，从而允许通过脚本完成安装过程。
支持的环境变量包括：
- CTX_XDL_SUPPORT_DDC_AS_CNAME=Y | N - Linux VDA 支持使用 DNS CNAME 记录指定 Delivery Controller 名称。默认情况下设置为 N。
- CTX_XDL_DDC_LIST=’list-ddc-fqdns’ – Linux VDA 要求提供由空格分隔的 Delivery Controller 完全限定域名 (FQDN) 列表以用于向 Delivery Controller 注册。必须至少指定一个 FQDN 或 CNAME 别名。
- CTX_XDL_VDA_PORT=port-number – Linux VDA 通过 TCP/IP 端口（默认为端口 80）与 Delivery Controller 通信。
- CTX_XDL_REGISTER_SERVICE=Y | N - 在启动计算机后启动 Linux VDA 服务。默认情况下设置为 Y。
- CTX_XDL_ADD_FIREWALL_RULES=Y | N – Linux VDA 服务要求允许传入网络连接通过系统防火墙。您可以在系统防火墙中自动为 Linux VDA 打开所需的端口（默认为端口 80 和 1494）。默认情况下设置为 Y。
- CTX_XDL_AD_INTEGRATION=winbind | quest |centrify | sssd | pbis - Linux VDA 要求使用 Kerberos 配置设置向 Delivery Controller 进行身份验证。Kerberos 配置根据系统上已安装和已配置的 Active Directory 集成工具确定。
- CTX_XDL_HDX_3D_PRO=Y | N - Linux VDA 支持 HDX 3D Pro，这是一组 GPU 加速技术，旨在优化富图形应用程序的虚拟化水平。如果选择了 HDX 3D Pro，则要为 VDI 桌面（单会话）模式配置 VDA -（即 CTX_XDL_VDI_MODE=Y）。
- CTX_XDL_VDI_MODE=Y | N - 将计算机配置为专用桌面交付模型 (VDI) 还是托管共享桌面交付模型。对于 HDX 3D Pro 环境，将此变量设置为 Y。默认情况下，此变量设置为 N。
- CTX_XDL_SITE_NAME=dns-name - Linux VDA 通过 DNS 发现 LDAP 服务器。要将 DNS 搜索结果限制为本地站点，应指定 DNS 站点名称。默认情况下，此变量设置为 <none>。
- CTX_XDL_LDAP_LIST=’list-ldap-servers’ – Linux VDA 查询 DNS 来发现 LDAP 服务器。如果 DNS 无法提供 LDAP 服务记录，您可以提供以空格分隔的 LDAP FQDN（带有 LDAP 端口）列表。例如，ad1.mycompany.com:389 ad2.mycompany.com:3268 ad3.mycompany.com:3268 或 ad1.mycompany.com:636 ad2.mycompany.com:3269 ad3.mycompany.com:3269（如果您使用的是 LDAPS）。要在 Active Directory 林中启用速度更快的 LDAP 查询，请在域控制器上启用全局目录，并将相关的 LDAP 端口号指定为 3268 或 3269（如果您使用的是 LDAPS）。默认情况下，此变量设置为 <none>。
- CTX_XDL_SEARCH_BASE=search-base-set - Linux VDA 通过设置为 Active Directory 域根的搜索库来查询 LDAP（例如，DC=mycompany,DC=com）。但是，为提高搜索效能，可以指定搜索基础（例如 OU=VDI,DC=mycompany,DC=com）。默认情况下，此变量设置为 <none>。
- CTX_XDL_FAS_LIST=’list-fas-servers’ – 联合身份验证服务 (FAS) 服务器是通过 AD 组策略配置的。Linux VDA 不支持 AD 组策略，但您可以改为提供以分号分隔的 FAS 服务器的列表。顺序必须与在 AD 组策略中配置的顺序相同。如果删除了任何服务器地址，请使用 <none> 文本字符串填充其空白，并且不要修改服务器地址的顺序。要与 FAS 服务器正确通信，请确保附加的端口号与在 FAS 服务器上指定的端口号一致，例如 CTX_XDL_FAS_LIST=’fas_server_1_url:port_number; fas_server_2_url: port_number; fas_server_3_url: port_number’。
-
CTX_XDL_DOTNET_ RUNTIME_PATH=path-to-install-dotnet-runtime - 安装 .NET Runtime 6.0 以支持新的 Broker 代理服务 (
ctxvda) 的路径。默认路径为 /usr/bin。 -
CTX_XDL_DESKTOP _ENVIRONMENT=gnome/gnome-classic/mate – 指定要在会话中使用的 GNOME 、GNOME Classic 或 MATE 桌面环境。如果未指定变量，则使用 VDA 上当前安装的桌面。但是，如果当前安装的桌面为 MATE，则必须将变量值设置为 mate。
还可以通过完成以下步骤来更改目标会话用户的桌面环境：
- 在 VDA 上的 $HOME/<username> 目录下创建一个
.xsession文件。 -
编辑
.xsession文件以根据发行版指定桌面环境。-
对于 MATE 桌面
MSESSION="$(type -p mate-session)" if [ -n "$MSESSION" ]; then exec mate-session fi -
适用于 GNOME Classic 桌面
GSESSION="$(type -p gnome-session)" if [ -n "$GSESSION" ]; then export GNOME_SHELL_SESSION_MODE=classic exec gnome-session --session=gnome-classic fi -
对于 GNOME 桌面
GSESSION="$(type -p gnome-session)" if [ -n "$GSESSION" ]; then exec gnome-session fi
-
- 与目标会话用户共享 700 文件权限。
自版本 2209 起，会话用户可以自定义其桌面环境。必须提前在 VDA 上安装可切换的桌面环境，才能启用此功能。有关详细信息，请参阅按会话用户划分的自定义桌面环境。
- 在 VDA 上的 $HOME/<username> 目录下创建一个
- CTX_XDL_START_SERVICE=Y | N – 在完成 Linux VDA 配置后，是否启动 Linux VDA 服务。默认情况下设置为 Y。
- CTX_XDL_TELEMETRY_SOCKET_PORT - 用于侦听 Citrix Scout 的套接字端口。默认端口为 7503。
- CTX_XDL_TELEMETRY_PORT - 用于与 Citrix Scout 通信的端口。默认端口为 7502。
设置环境变量并运行配置脚本：
export CTX_XDL_SUPPORT_DDC_AS_CNAME=Y|N
export CTX_XDL_DDC_LIST='list-ddc-fqdns'
export CTX_XDL_VDA_PORT=port-number
export CTX_XDL_REGISTER_SERVICE=Y|N
export CTX_XDL_ADD_FIREWALL_RULES=Y|N
export CTX_XDL_AD_INTEGRATION=winbind | quest |centrify | sssd | pbis
export CTX_XDL_HDX_3D_PRO=Y|N
export CTX_XDL_VDI_MODE=Y|N
export CTX_XDL_SITE_NAME=dns-site-name | '<none>'
export CTX_XDL_LDAP_LIST='list-ldap-servers' | '<none>'
export CTX_XDL_SEARCH_BASE=search-base-set | '<none>'
export CTX_XDL_FAS_LIST='list-fas-servers' | '<none>'
export CTX_XDL_DOTNET_RUNTIME_PATH=path-to-install-dotnet-runtime
export CTX_XDL_DESKTOP_ENVIRONMENT= gnome | gnome-classic | mate | '<none>'
export CTX_XDL_TELEMETRY_SOCKET_PORT=port-number
export CTX_XDL_TELEMETRY_PORT=port-number
export CTX_XDL_START_SERVICE=Y|N
sudo -E /opt/Citrix/VDA/sbin/ctxsetup.sh --silent
<!--NeedCopy-->
运行 sudo 命令时，键入 -E 选项以将现有环境变量传递给其创建的新 shell。我们建议您使用前面的命令并加上 #!/bin/bash 作为第一行来创建 shell 脚本文件。
另外，您可以使用单个命令指定所有参数：
sudo CTX_XDL_SUPPORT_DDC_AS_CNAME=Y|N \
CTX_XDL_DDC_LIST='list-ddc-fqdns' \
CTX_XDL_VDA_PORT=port-number \
CTX_XDL_REGISTER_SERVICE=Y|N \
CTX_XDL_ADD_FIREWALL_RULES=Y|N \
CTX_XDL_AD_INTEGRATION=winbind | quest |centrify | sssd | pbis \
CTX_XDL_HDX_3D_PRO=Y|N \
CTX_XDL_VDI_MODE=Y|N \
CTX_XDL_SITE_NAME=dns-name \
CTX_XDL_LDAP_LIST='list-ldap-servers' \
CTX_XDL_SEARCH_BASE=search-base-set \
CTX_XDL_FAS_LIST='list-fas-servers' \
CTX_XDL_DOTNET_RUNTIME_PATH=path-to-install-dotnet-runtime \
CTX_XDL_DESKTOP_ENVIRONMENT=gnome|gnome-classic|mate \
CTX_XDL_TELEMETRY_SOCKET_PORT=port-number \
CTX_XDL_TELEMETRY_PORT=port-number \
CTX_XDL_START_SERVICE=Y|N \
/opt/Citrix/VDA/sbin/ctxsetup.sh --silent
<!--NeedCopy-->
删除配置更改
在某些情形下，您可能需要删除 ctxsetup.sh 脚本对配置所做的更改，但不卸载 Linux VDA 软件包。
继续操作前，请查看此脚本的帮助信息：
sudo /opt/Citrix/VDA/sbin/ctxcleanup.sh --help
<!--NeedCopy-->
删除配置更改：
sudo /opt/Citrix/VDA/sbin/ctxcleanup.sh
<!--NeedCopy-->
重要：
此脚本会从数据库删除所有配置数据，从而使 Linux VDA 无法使用。
配置日志
ctxsetup.sh 和 ctxcleanup.sh 脚本会在控制台上显示错误，并将其他信息写入配置日志文件 /tmp/xdl.configure.log。
重新启动 Linux VDA 服务，确保更改生效。
卸载 Linux VDA 软件
要检查 Linux VDA 是否已安装并查看已安装软件包的版本，请运行以下命令：
dpkg -l xendesktopvda
<!--NeedCopy-->
查看更多详细信息：
apt-cache show xendesktopvda
<!--NeedCopy-->
要卸载 Linux VDA 软件，请执行以下操作：
dpkg -r xendesktopvda
<!--NeedCopy-->
注意：
卸载 Linux VDA 软件会删除关联的 PostgreSQL 和其他配置数据。但是，不会删除在安装 Linux VDA 之前设置的 PostgreSQL 软件包和其他依赖软件包。
提示：
本节中的信息未介绍包括 PostgreSQL 在内的依赖软件包的删除操作。
步骤 9：运行 XDPing
请运行 sudo /opt/Citrix/VDA/bin/xdping 以检查 Linux VDA 环境存在的常见配置问题。有关详细信息，请参阅 XDPing。
步骤 10：运行 Linux VDA
使用 ctxsetup.sh 脚本配置 Linux VDA 后，请使用以下命令控制 Linux VDA。
启动 Linux VDA：
启动 Linux VDA 服务：
sudo systemctl start ctxhdx
sudo systemctl start ctxvda
<!--NeedCopy-->
停止 Linux VDA：
要停止 Linux VDA 服务，请执行以下操作：
sudo systemctl stop ctxvda
sudo systemctl stop ctxhdx
<!--NeedCopy-->
注意：
在停止 ctxvda 和 ctxhdx 服务之前，请运行 systemctl stop ctxmonitord 命令以停止监视服务守护程序。否则，监视服务守护程序将重新启动您停止的服务。
重新启动 Linux VDA：
重新启动 Linux VDA 服务：
sudo systemctl stop ctxvda
sudo systemctl restart ctxhdx
sudo systemctl restart ctxvda
<!--NeedCopy-->
检查 Linux VDA 状态：
要检查 Linux VDA 服务的运行状态，请执行以下操作：
sudo systemctl status ctxvda
sudo systemctl status ctxhdx
<!--NeedCopy-->
步骤 11：创建计算机目录
创建计算机目录和添加 Linux VDA 计算机的过程与传统的 Windows VDA 方法类似。有关如何完成这些任务的更加详细的说明，请参阅创建计算机目录和管理计算机目录。
创建包含 Linux VDA 计算机的计算机目录时会面临一些限制，使得该过程不同于为 Windows VDA 计算机创建计算机目录：
- 对于操作系统，请选择：
- 多会话操作系统选项（对于托管共享桌面交付模型）。
- 单会话操作系统选项（适用于 VDI 专用桌面交付模型）。
- 请勿在同一个计算机目录中混合使用 Linux 和 Windows VDA 计算机。
注意：
早期版本的 Citrix Studio 不支持“Linux 操作系统”的概念。但是，选择 Windows Server 操作系统或服务器操作系统选项等同于使用托管共享桌面交付模型。选择 Windows 桌面操作系统或桌面操作系统选项等同于使用每计算机一个用户交付模型。
提示：
如果删除计算机后将其重新加入 Active Directory 域，则必须删除计算机，然后将其重新添加到计算机目录。
步骤 12：创建交付组
创建交付组和添加包含 Linux VDA 计算机的计算机目录的过程与 Windows VDA 计算机几乎相同。有关如何完成这些任务的更加详细的说明，请参阅创建交付组。
创建含有 Linux VDA 计算机目录的交付组时会面临以下限制：
- 确保所选 AD 用户和组已正确配置，能够登录到 Linux VDA 计算机。
- 请勿允许未经身份验证的（匿名）用户登录。
- 请勿在交付组中混入含有 Windows 计算机的计算机目录。
有关如何创建计算机目录和交付组的信息，请参阅 Citrix Virtual Apps and Desktops 7 2308。