Produktdokumentation
Gateway
Current Release 13.1 13.0 12.1

Verwalten von SSL-Zertifikaten in einer Double-Hop-DMZ-Bereitstellung

January 19, 2024
Beitrag von: 
C

Sie müssen die SSL-Zertifikate installieren, die zum Verschlüsseln der Verbindungen zwischen Komponenten in einer Double-Hop-DMZ-Bereitstellung erforderlich sind.

Bei einer Double-Hop-DMZ-Bereitstellung treten verschiedene Arten von Verbindungen zwischen den verschiedenen Komponenten auf, die an der Bereitstellung beteiligt sind. Es gibt keine Ende-zu-End-SSL-Verschlüsselung dieser Verbindungen. Jede Verbindung kann jedoch einzeln verschlüsselt werden.

Zum Verschlüsseln einer Verbindung müssen Sie das entsprechende SSL-Zertifikat (entweder ein vertrauenswürdiges Stamm- oder ein Serverzertifikat) auf den Komponenten installieren, die an der Verbindung beteiligt sind.

Die folgende Tabelle zeigt die Verbindungen, die über die erste Firewall auftreten, und die SSL-Zertifikate, die zum Verschlüsseln jeder dieser Verbindungen erforderlich sind. Die Verschlüsselung der Verbindungen über die erste Firewall ist zwingend erforderlich, um den über das Internet gesendeten Datenverkehr zu sichern.

Verbindungen über die erste Firewall Für die Verschlüsselung erforderliche Zertifikate
Der Webbrowser aus dem Internet stellt eine Verbindung zu Citrix Gateway in der ersten DMZ her. Citrix Gateway in der ersten DMZ muss ein SSL-Serverzertifikat installiert sein. Im Webbrowser muss ein Stammzertifikat installiert sein, das von derselben Certificate Authority (CA) signiert ist wie das Serverzertifikat auf Citrix Gateway.
Citrix Workspace-App aus dem Internet stellt eine Verbindung mit Citrix Gateway in der ersten DMZ her. Die Zertifikatverwaltung für diese Verbindung ist identisch mit dem Webbrowser zur Citrix Gateway-Verbindung. Wenn Sie die Zertifikate zum Verschlüsseln der Webbrowserverbindung installiert haben, wird diese Verbindung auch mit diesen Zertifikaten verschlüsselt.

Die folgende Tabelle zeigt die Verbindungen, die über die zweite Firewall auftreten, und die SSL-Zertifikate, die zum Verschlüsseln jeder dieser Verbindungen erforderlich sind. Die Verschlüsselung dieser Verbindungen erhöht die Sicherheit, ist jedoch nicht zwingend erforderlich.

Verbindungen über die zweite Firewall Für die Verschlüsselung erforderliche Zertifikate
Citrix Gateway in der ersten DMZ stellt eine Verbindung mit dem Webinterface in der zweiten DMZ her. StoreFront oder das Webinterface muss ein SSL-Serverzertifikat installiert sein. Citrix Gateway in der ersten DMZ muss ein Stammzertifikat installiert sein, das von derselben Zertifizierungsstelle signiert ist wie das Serverzertifikat auf dem Webinterface.
Citrix Gateway in der ersten DMZ stellt eine Verbindung zu Citrix Gateway in der zweiten DMZ her. Citrix Gateway in der zweiten DMZ muss ein SSL-Serverzertifikat installiert sein. Citrix Gateway in der ersten DMZ muss ein Stammzertifikat installiert sein, das von derselben Zertifizierungsstelle signiert ist wie das Serverzertifikat auf Citrix Gateway in der zweiten DMZ.

Die folgende Tabelle zeigt die Verbindungen, die über die dritte Firewall auftreten, und die SSL-Zertifikate, die für die Verschlüsselung jeder dieser Verbindungen erforderlich sind. Die Verschlüsselung dieser Verbindungen erhöht die Sicherheit, ist jedoch nicht zwingend erforderlich.

Verbindungen über die dritte Firewall Für die Verschlüsselung erforderliche Zertifikate
StoreFront oder das Webinterface in der zweiten DMZ stellt eine Verbindung mit dem XML-Dienst her, der auf einem Server im internen Netzwerk gehostet wird. Wenn der XML-Dienst auf dem Microsoft Internet Information Services (IIS) -Server auf dem Citrix Virtual Apps-Server ausgeführt wird, muss ein SSL-Serverzertifikat auf dem IIS-Server installiert sein. Wenn es sich bei dem XML-Dienst um einen Windows-Standarddienst handelt (der sich nicht in IIS befindet), muss im SSL-Relay auf dem Server ein SSL-Serverzertifikat installiert werden. StoreFront oder das Webinterface muss ein Stammzertifikat installiert sein, das von derselben Zertifizierungsstelle signiert ist wie das Serverzertifikat, das entweder auf dem Microsoft IIS-Server oder dem SSL-Relay installiert ist.
StoreFront oder das Webinterface in der zweiten DMZ stellt eine Verbindung mit dem STA her, der auf einem Server im internen Netzwerk gehostet wird. Die Zertifikatverwaltung für diese Verbindung ist identisch mit der Webschnittstelle zum XML-Dienst. Sie können die gleichen Zertifikate verwenden, um diese Verbindung zu verschlüsseln. (Das Serverzertifikat muss sich entweder auf dem Microsoft IIS-Server oder dem SSL-Relay befinden. Ein entsprechendes Stammzertifikat muss auf dem Webinterface installiert sein.)
Citrix Gateway in der zweiten DMZ stellt eine Verbindung mit dem STA her, der auf einem Server im internen Netzwerk gehostet wird. Die SSL-Serverzertifikatverwaltung für den STA in dieser Verbindung entspricht der Beschreibung für die beiden vorherigen Verbindungen, die in dieser Tabelle beschrieben wurden. (Das Serverzertifikat muss sich entweder auf dem Microsoft IIS-Server oder dem SSL-Relay befinden.) Citrix Gateway in der zweiten DMZ muss ein Stammzertifikat installiert sein, das von derselben Zertifizierungsstelle signiert ist wie das vom STA- und XML-Dienst verwendete Serverzertifikat.
Citrix Gateway in der zweiten DMZ stellt eine ICA-Verbindung zu einer veröffentlichten Anwendung auf einem Server im internen Netzwerk her. Ein SSL-Serverzertifikat muss im SSL-Relay auf dem Server installiert sein, der die veröffentlichte Anwendung hostet. Citrix Gateway-Proxy in der zweiten DMZ muss ein Stammzertifikat installiert sein, das von derselben Zertifizierungsstelle signiert ist wie das im SSL-Relay installierte Serverzertifikat.
Verwalten von SSL-Zertifikaten in einer Double-Hop-DMZ-Bereitstellung
January 19, 2024
Beitrag von: 
C
January 19, 2024
Beitrag von: 
C

In diesem Artikel

Feedback zur Site | Your privacy choices footer linkIhre Datenschutzauswahl | Datenschutz und rechtliche Bestimmungen | Cookie-Einstellungen | Einstellungen für die Zustimmung | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.