Produktdokumentation
Gateway
Current Release 13.1 13.0 12.1
PDF anzeigen

Citrix Gateway in einer Double-Hop-DMZ bereitstellen

March 27, 2024
Beitrag von: 
C

Einige Organisationen verwenden für den Schutz ihrer internen Netzwerke drei Firewalls. Diese drei Firewalls unterteilen die DMZ in zwei Stufen und bieten so zusätzliche Sicherheit für das interne Netzwerk. Diese Netzwerkkonfiguration nennt sich Double-Hop-DMZ.

Abbildung 1. Citrix Gateway-Appliances werden in einer Double-Hop-DMZ bereitgestellt

Bereitstellen von Citrix Gateway in einer Double-Hop-DMZ

Hinweis:

Zur Veranschaulichung beschreibt das vorangegangene Beispiel eine Double-Hop-Konfiguration mit drei Firewalls mit StoreFront, dem Webinterface und Citrix Virtual Apps, aber Sie können auch eine Double-Hop-DMZ mit einer Appliance in der DMZ und einer Appliance im sicheren Netzwerk haben. Wenn Sie eine Double-Hop-Konfiguration mit einer Appliance in der DMZ und einer im sicheren Netzwerk konfigurieren, können Sie die Anweisungen zum Öffnen von Ports an der dritten Firewall ignorieren.

Sie können eine Double-Hop-DMZ für die Unterstützung von Citrix StoreFront oder das parallel zum Citrix Gateway-Proxy installierte Webinterface konfigurieren. Benutzer verbinden sich mithilfe der Citrix Workspace-App.

Hinweis:

Wenn Sie Citrix Gateway in einer Double-Hop-DMZ mit StoreFront bereitstellen, funktioniert die E-Mail-basierte AutoDiscovery für Citrix Workspace-App nicht.

So funktioniert eine Double-Hop-Bereitstellung

Sie können Citrix Gateway-Appliances in einer Double-Hop-DMZ bereitstellen, um den Zugriff auf Server zu steuern, auf denen Citrix Virtual Apps ausgeführt wird. Die Verbindungen in einer Double-Hop-Bereitstellung erfolgen wie folgt:

  • Benutzer stellen in der ersten DMZ eine Verbindung zu Citrix Gateway her, indem sie einen Webbrowser verwenden und mithilfe der Citrix Workspace-App eine veröffentlichte Anwendung auswählen.

  • Die Citrix Workspace-App startet auf dem Benutzergerät. Der Benutzer stellt eine Verbindung zu Citrix Gateway her, um auf die veröffentlichte Anwendung zuzugreifen, die in der Serverfarm im sicheren Netzwerk ausgeführt wird.

    Hinweis: Secure Hub und das Citrix Gateway-Plug-in werden in einer Double-Hop-DMZ-Bereitstellung nicht unterstützt. Nur die Citrix Workspace-App wird für Benutzerverbindungen verwendet.

  • Citrix Gateway in der ersten DMZ verarbeitet Benutzerverbindungen und führt die Sicherheitsfunktionen eines SSL-VPN aus. Dieses Citrix Gateway verschlüsselt Benutzerverbindungen, bestimmt, wie die Benutzer authentifiziert werden, und steuert den Zugriff auf die Server im internen Netzwerk.
  • Citrix Gateway in der zweiten DMZ dient als Citrix Gateway-Proxy-Gerät. Dieses Citrix Gateway ermöglicht es dem ICA-Datenverkehr, die zweite DMZ zu durchqueren, um Benutzerverbindungen zur Serverfarm herzustellen. Die Kommunikation zwischen Citrix Gateway in der ersten DMZ und der Secure Ticket Authority (STA) im internen Netzwerk wird ebenfalls über Citrix Gateway in der zweiten DMZ weitergeleitet.

Citrix Gateway unterstützt IPv4- und IPv6-Verbindungen. Sie können das Konfigurationsdienstprogramm verwenden, um die IPv6-Adresse zu konfigurieren.

In der folgenden Tabelle wird die Unterstützung der Double-Hop-Bereitstellung für die verschiedenen ICA-Funktionen vorgeschlagen:

ICA-Funktion Double-Hop-Unterstützung
SmartAccess Ja
SmartControl Ja
Enlightened Data Transport (EDT) Ja
HDX Insight Ja
ICA-Sitzungszuverlässigkeit (Port 2598) Ja
ICA-Sitzungsmigration Ja
ICA-Sitzungszeitlimit Ja
Multistream-ICA Ja (nur TCP)
Framehawk Nein
UDP-Audio Nein

Bereiten Sie sich auf eine Double-Hop-DMZ-Bereitstellung vor

Um sich angemessen vorzubereiten und unnötige Probleme bei der Konfiguration einer Double-Hop-DMZ-Bereitstellung zu vermeiden, müssen Sie die folgenden Fragen beantworten:

  • Möchte ich den Lastenausgleich unterstützen?
  • Welche Ports muss ich an den Firewalls öffnen?
  • Wie viele SSL-Zertifikate brauche ich?
  • Welche Komponenten benötige ich, bevor ich mit der Bereitstellung beginne?

Die Themen in diesem Abschnitt enthalten Informationen, die Ihnen bei der Beantwortung dieser Fragen helfen, sofern dies für Ihre Umgebung angemessen ist.

Komponenten, die für den Beginn der Bereitstellung erforderlich sind

Bevor Sie mit einer Double-Hop-DMZ-Bereitstellung beginnen, stellen Sie sicher, dass Sie über die folgenden Komponenten verfügen:

  • Mindestens zwei Citrix Gateway-Appliances müssen verfügbar sein (eine für jede DMZ).

  • Server, auf denen Citrix Virtual Apps ausgeführt werden, müssen im internen Netzwerk installiert und betriebsbereit sein.

  • Das Webinterface oder StoreFront muss in der zweiten DMZ installiert und für den Betrieb mit der Serverfarm im internen Netzwerk konfiguriert sein.

  • Mindestens ein SSL-Serverzertifikat muss auf Citrix Gateway in der ersten DMZ installiert sein. Dieses Zertifikat stellt sicher, dass der Webbrowser und Benutzerverbindungen zu Citrix Gateway verschlüsselt sind.

    Sie benötigen zusätzliche Zertifikate, wenn Sie Verbindungen verschlüsseln möchten, die zwischen den anderen Komponenten in einer Double-Hop-DMZ-Bereitstellung auftreten.

Citrix Gateway in einer Double-Hop-DMZ bereitstellen
March 27, 2024
Beitrag von: 
C
March 27, 2024
Beitrag von: 
C

In diesem Artikel

Feedback zur Site | Datenschutz und rechtliche Bestimmungen | Cookie-Einstellungen | Einstellungen für die Zustimmung | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.