Gateway

Citrix Gateway in einer Double-Hop-DMZ bereitstellen

March 27, 2024

Beitrag von:

Einige Organisationen verwenden für den Schutz ihrer internen Netzwerke drei Firewalls. Diese drei Firewalls unterteilen die DMZ in zwei Stufen und bieten so zusätzliche Sicherheit für das interne Netzwerk. Diese Netzwerkkonfiguration nennt sich Double-Hop-DMZ.

Abbildung 1. Citrix Gateway-Appliances werden in einer Double-Hop-DMZ bereitgestellt

Bereitstellen von Citrix Gateway in einer Double-Hop-DMZ

Hinweis:

Zur Veranschaulichung beschreibt das vorangegangene Beispiel eine Double-Hop-Konfiguration mit drei Firewalls mit StoreFront, dem Webinterface und Citrix Virtual Apps, aber Sie können auch eine Double-Hop-DMZ mit einer Appliance in der DMZ und einer Appliance im sicheren Netzwerk haben. Wenn Sie eine Double-Hop-Konfiguration mit einer Appliance in der DMZ und einer im sicheren Netzwerk konfigurieren, können Sie die Anweisungen zum Öffnen von Ports an der dritten Firewall ignorieren.

Sie können eine Double-Hop-DMZ für die Unterstützung von Citrix StoreFront oder das parallel zum Citrix Gateway-Proxy installierte Webinterface konfigurieren. Benutzer verbinden sich mithilfe der Citrix Workspace-App.

Hinweis:

Wenn Sie Citrix Gateway in einer Double-Hop-DMZ mit StoreFront bereitstellen, funktioniert die E-Mail-basierte AutoDiscovery für Citrix Workspace-App nicht.

So funktioniert eine Double-Hop-Bereitstellung

Sie können Citrix Gateway-Appliances in einer Double-Hop-DMZ bereitstellen, um den Zugriff auf Server zu steuern, auf denen Citrix Virtual Apps ausgeführt wird. Die Verbindungen in einer Double-Hop-Bereitstellung erfolgen wie folgt:

Benutzer stellen in der ersten DMZ eine Verbindung zu Citrix Gateway her, indem sie einen Webbrowser verwenden und mithilfe der Citrix Workspace-App eine veröffentlichte Anwendung auswählen.
Die Citrix Workspace-App startet auf dem Benutzergerät. Der Benutzer stellt eine Verbindung zu Citrix Gateway her, um auf die veröffentlichte Anwendung zuzugreifen, die in der Serverfarm im sicheren Netzwerk ausgeführt wird.

Hinweis: Secure Hub und das Citrix Gateway-Plug-in werden in einer Double-Hop-DMZ-Bereitstellung nicht unterstützt. Nur die Citrix Workspace-App wird für Benutzerverbindungen verwendet.
Citrix Gateway in der ersten DMZ verarbeitet Benutzerverbindungen und führt die Sicherheitsfunktionen eines SSL-VPN aus. Dieses Citrix Gateway verschlüsselt Benutzerverbindungen, bestimmt, wie die Benutzer authentifiziert werden, und steuert den Zugriff auf die Server im internen Netzwerk.
Citrix Gateway in der zweiten DMZ dient als Citrix Gateway-Proxy-Gerät. Dieses Citrix Gateway ermöglicht es dem ICA-Datenverkehr, die zweite DMZ zu durchqueren, um Benutzerverbindungen zur Serverfarm herzustellen. Die Kommunikation zwischen Citrix Gateway in der ersten DMZ und der Secure Ticket Authority (STA) im internen Netzwerk wird ebenfalls über Citrix Gateway in der zweiten DMZ weitergeleitet.

Citrix Gateway unterstützt IPv4- und IPv6-Verbindungen. Sie können das Konfigurationsdienstprogramm verwenden, um die IPv6-Adresse zu konfigurieren.

In der folgenden Tabelle wird die Unterstützung der Double-Hop-Bereitstellung für die verschiedenen ICA-Funktionen vorgeschlagen:

ICA-Funktion	Double-Hop-Unterstützung
SmartAccess	Ja
SmartControl	Ja
Enlightened Data Transport (EDT)	Ja
HDX Insight	Ja
ICA-Sitzungszuverlässigkeit (Port 2598)	Ja
ICA-Sitzungsmigration	Ja
ICA-Sitzungszeitlimit	Ja
Multistream-ICA	Ja (nur TCP)
Framehawk	Nein
UDP-Audio	Nein

Bereiten Sie sich auf eine Double-Hop-DMZ-Bereitstellung vor

Um sich angemessen vorzubereiten und unnötige Probleme bei der Konfiguration einer Double-Hop-DMZ-Bereitstellung zu vermeiden, müssen Sie die folgenden Fragen beantworten:

Möchte ich den Lastenausgleich unterstützen?
Welche Ports muss ich an den Firewalls öffnen?
Wie viele SSL-Zertifikate brauche ich?
Welche Komponenten benötige ich, bevor ich mit der Bereitstellung beginne?

Die Themen in diesem Abschnitt enthalten Informationen, die Ihnen bei der Beantwortung dieser Fragen helfen, sofern dies für Ihre Umgebung angemessen ist.

Komponenten, die für den Beginn der Bereitstellung erforderlich sind

Bevor Sie mit einer Double-Hop-DMZ-Bereitstellung beginnen, stellen Sie sicher, dass Sie über die folgenden Komponenten verfügen:

Mindestens zwei Citrix Gateway-Appliances müssen verfügbar sein (eine für jede DMZ).
Server, auf denen Citrix Virtual Apps ausgeführt werden, müssen im internen Netzwerk installiert und betriebsbereit sein.
Das Webinterface oder StoreFront muss in der zweiten DMZ installiert und für den Betrieb mit der Serverfarm im internen Netzwerk konfiguriert sein.
Mindestens ein SSL-Serverzertifikat muss auf Citrix Gateway in der ersten DMZ installiert sein. Dieses Zertifikat stellt sicher, dass der Webbrowser und Benutzerverbindungen zu Citrix Gateway verschlüsselt sind.

Sie benötigen zusätzliche Zertifikate, wenn Sie Verbindungen verschlüsseln möchten, die zwischen den anderen Komponenten in einer Double-Hop-DMZ-Bereitstellung auftreten.

Die offizielle Version dieses Inhalts ist auf Englisch. Für den einfachen Einstieg wird Teil des Inhalts der Cloud Software Group Dokumentation maschinell übersetzt. Cloud Software Group hat keine Kontrolle über maschinell übersetzte Inhalte, die Fehler, Ungenauigkeiten oder eine ungeeignete Sprache enthalten können. Es wird keine Garantie, weder ausdrücklich noch stillschweigend, für die Genauigkeit, Zuverlässigkeit, Eignung oder Richtigkeit von Übersetzungen aus dem englischen Original in eine andere Sprache oder für die Konformität Ihres Cloud Software Group Produkts oder Ihres Diensts mit maschinell übersetzten Inhalten gegeben, und jegliche Garantie, die im Rahmen der anwendbaren Endbenutzer-Lizenzvereinbarung oder der Vertragsbedingungen oder einer anderen Vereinbarung mit Cloud Software Group gegeben wird, dass das Produkt oder den Dienst mit der Dokumentation übereinstimmt, gilt nicht in dem Umfang, in dem diese Dokumentation maschinell übersetzt wurde. Cloud Software Group kann nicht für Schäden oder Probleme verantwortlich gemacht werden, die durch die Verwendung maschinell übersetzter Inhalte entstehen können.

Citrix Gateway in einer Double-Hop-DMZ bereitstellen

March 27, 2024

Beitrag von:

March 27, 2024

Beitrag von:

In diesem Artikel

So funktioniert eine Double-Hop-Bereitstellung
Bereiten Sie sich auf eine Double-Hop-DMZ-Bereitstellung vor