Gateway

Flujo de comunicación en una implementación DMZ de doble salto

January 26, 2024

Contribución de:

Para comprender los problemas de configuración relacionados con una implementación DMZ de doble salto, debe tener conocimientos básicos de cómo se comunican los distintos componentes de NetScaler Gateway y Citrix Virtual Apps de una implementación DMZ de doble salto para admitir una conexión de usuario. El proceso de conexión de StoreFront y la interfaz web es el mismo.

Aunque el proceso de conexión de usuario se produce en un flujo continuo, los siguientes pasos de alto nivel están implicados en el proceso.

Autenticar usuarios
Crear un tíquet de sesión
Inicie la aplicación Citrix Workspace
Completa la conexión

En la siguiente ilustración se muestran los pasos que se producen en el proceso de conexión del usuario a StoreFront o a la interfaz web. En la red segura, los equipos que ejecutan Citrix Virtual Apps también ejecutan Secure Ticket Authority (STA), XML Service y aplicaciones publicadas.

Proceso de conexión en una DMZ de doble salto

Proceso de conexión

La autenticación de usuarios es el primer paso del proceso de conexión de usuarios en una implementación DMZ de doble salto.

En la siguiente ilustración se muestra el proceso de conexión de usuarios de esta implementación.

Proceso de autenticación de usuarios en una DMZ de doble salto

Durante la fase de autenticación de usuarios, se produce el siguiente proceso básico:

Un usuario escribe la dirección de NetScaler Gateway, por ejemplo, https://www.ng.wxyco.com en un explorador web para conectarse a NetScaler Gateway en la primera DMZ. Si ha habilitado la autenticación de la página de inicio de sesión en NetScaler Gateway, NetScaler Gateway autentica al usuario.
NetScaler Gateway en la primera DMZ recibe la solicitud.
NetScaler Gateway redirige la conexión del explorador web a la interfaz web.
La interfaz web envía las credenciales de usuario al servicio Citrix XML que se ejecuta en el conjunto de servidores de la red interna.
Citrix XML Service autentica al usuario.
El servicio XML crea una lista de las aplicaciones publicadas a las que el usuario tiene autorización para acceder y envía esta lista a la interfaz web.

Nota:
- Si habilita la autenticación en NetScaler Gateway, el dispositivo envía la página de inicio de sesión de NetScaler Gateway al usuario. El usuario introduce las credenciales de autenticación en la página de inicio de sesión y el dispositivo autentica al usuario. A continuación, NetScaler Gateway devuelve las credenciales de usuario a la interfaz web.
- Si no habilita la autenticación, NetScaler Gateway no realiza la autenticación. El dispositivo se conecta a la interfaz web, recupera la página de inicio de sesión de la interfaz web y envía la página de inicio de sesión de la interfaz web al usuario. El usuario introduce las credenciales de autenticación en la página de inicio de sesión de la Interfaz Web y NetScaler Gateway devuelve las credenciales de usuario a la interfaz web.
La creación del tíquet de sesión es la segunda etapa del proceso de conexión de usuario en una implementación DMZ de doble salto.

Durante la etapa de creación del tíquet de sesión, se produce el siguiente proceso básico:
La interfaz web se comunica tanto con el servicio XML como con la Secure Ticket Authority (STA) de la red interna para producir tíquets de sesión para cada una de las aplicaciones publicadas a las que el usuario tiene autorización para acceder. El vale de sesión contiene una dirección de alias para el equipo que ejecuta Citrix Virtual Apps que aloja una aplicación publicada.
El STA guarda las direcciones IP de los servidores que alojan las aplicaciones publicadas. A continuación, el STA envía los tíquets de sesión solicitados a la interfaz web. Cada vale de sesión incluye un alias que representa la dirección IP del servidor que aloja la aplicación publicada, pero no la dirección IP real.
La interfaz web genera un archivo ICA para cada una de las aplicaciones publicadas. El archivo ICA contiene el tíquet emitido por la STA. A continuación, la interfaz web crea y rellena una página web con una lista de vínculos a las aplicaciones publicadas y envía esta página web al explorador web del dispositivo del usuario.

El inicio de la aplicación Citrix Workspace es la tercera etapa del proceso de conexión de usuario en una implementación DMZ de doble salto. El proceso básico es el siguiente:
El usuario hace clic en un enlace a una aplicación publicada en la interfaz web. La interfaz web envía el archivo ICA de esa aplicación publicada al explorador del dispositivo del usuario.

El archivo ICA contiene datos que indican al explorador web que inicie Receiver.

El archivo ICA también contiene el nombre de dominio completo (FQDN) o el nombre del sistema de nombres de dominio (DNS) de NetScaler Gateway en la primera DMZ.
El explorador web inicia Receiver y el usuario se conecta a NetScaler Gateway en la primera DMZ mediante el nombre de NetScaler Gateway del archivo ICA. El enlace inicial de SSL/TLS se produce para establecer la identidad del servidor que ejecuta NetScaler Gateway.

La finalización de la conexión es la cuarta y última etapa del proceso de conexión de usuario en una implementación DMZ de doble salto.

Durante la fase de finalización de la conexión, se produce el siguiente proceso básico:
- El usuario hace clic en un enlace a una aplicación publicada en la interfaz web.
- El explorador web recibe el archivo ICA generado por la interfaz web e inicia la aplicación Citrix Workspace. Nota: El archivo ICA contiene código que indica al explorador web que inicie la aplicación Citrix Workspace.
- La aplicación Citrix Workspace inicia una conexión ICA con NetScaler Gateway en la primera DMZ.
- NetScaler Gateway en la primera DMZ se comunica con Secure Ticket Authority (STA) de la red interna para resolver la dirección de alias del tíquet de sesión en la dirección IP real de un equipo que ejecuta Citrix Virtual Apps o StoreFront. Esta comunicación se transforma mediante proxy a través de la segunda DMZ por el proxy de NetScaler Gateway.
- NetScaler Gateway en la primera DMZ completa la conexión ICA a la aplicación Citrix Workspace.
- La aplicación Citrix Workspace ahora se puede comunicar a través de ambos dispositivos NetScaler Gateway con el equipo que ejecuta Citrix Virtual Apps en la red interna.
Los pasos detallados para completar el proceso de conexión de usuario son los siguientes:
La aplicación Citrix Workspace envía el tíquet STA de la aplicación publicada a NetScaler Gateway en la primera DMZ.
NetScaler Gateway en la primera DMZ se pone en contacto con el STA de la red interna para validar los tíquets. Para ponerse en contacto con STA, NetScaler Gateway establece un SOCKS o SOCKS con conexión SSL al proxy de NetScaler Gateway en la segunda DMZ.
El proxy de NetScaler Gateway de la segunda DMZ transfiere la solicitud de validación de tíquets al STA de la red interna. STA valida el tíquet y lo asigna al equipo que ejecuta Citrix Virtual Apps que aloja la aplicación publicada.
El STA envía una respuesta al proxy de NetScaler Gateway en la segunda DMZ, que se transfiere a NetScaler Gateway en la primera DMZ. Esta respuesta completa la validación del tíquet e incluye la dirección IP del equipo que aloja la aplicación publicada.
NetScaler Gateway en la primera DMZ incorpora la dirección del servidor Citrix Virtual Apps en el paquete de conexión de usuario y envía este paquete al proxy de NetScaler Gateway en la segunda DMZ.
El proxy de NetScaler Gateway de la segunda DMZ realiza una solicitud de conexión al servidor especificado en el paquete de conexión.
El servidor responde al proxy de NetScaler Gateway en la segunda DMZ. El proxy de NetScaler Gateway de la segunda DMZ transfiere esta respuesta a NetScaler Gateway en la primera DMZ para completar la conexión entre el servidor y NetScaler Gateway en la primera DMZ.
NetScaler Gateway en la primera DMZ completa el enlace SSL/TLS con el dispositivo del usuario transmitiendo el paquete de conexión final al dispositivo del usuario. Se establece la conexión del dispositivo del usuario al servidor.
El tráfico ICA fluye entre el dispositivo de usuario y el servidor a través de NetScaler Gateway en la primera DMZ y el proxy de NetScaler Gateway en la segunda DMZ.

La versión oficial de este contenido está en inglés. Para mayor comodidad, parte del contenido de la documentación de Cloud Software Group solo tiene traducción automática. Cloud Software Group no puede controlar el contenido con traducción automática, que puede contener errores, imprecisiones o un lenguaje inadecuado. No se ofrece ninguna garantía, ni implícita ni explícita, en cuanto a la exactitud, la fiabilidad, la idoneidad o la precisión de las traducciones realizadas del original en inglés a cualquier otro idioma, o que su producto o servicio de Cloud Software Group se ajusten a cualquier contenido con traducción automática, y cualquier garantía provista bajo el contrato de licencia del usuario final o las condiciones de servicio, o cualquier otro contrato con Cloud Software Group, de que el producto o el servicio se ajusten a la documentación no se aplicará en cuanto dicha documentación se ha traducido automáticamente. Cloud Software Group no se hace responsable de los daños o los problemas que puedan surgir del uso del contenido traducido automáticamente.

Flujo de comunicación en una implementación DMZ de doble salto

January 26, 2024

Contribución de:

January 26, 2024

Contribución de:

En este artículo

Proceso de conexión