Documentation Produit
Gateway
Current Release 13.1 13.0 12.1
Voir PDF

Flux de communication dans un déploiement DMZ à double saut

January 26, 2024
Contributeur: 
C

Pour comprendre les problèmes de configuration liés à un déploiement DMZ à double saut, vous devez avoir une compréhension de base de la façon dont les différents composants Citrix Gateway et Citrix Virtual Apps d’un déploiement DMZ à double saut communiquent pour prendre en charge une connexion utilisateur. Le processus de connexion de StoreFront et de l’interface Web est identique.

Bien que le processus de connexion utilisateur se déroule dans un flux continu, les étapes de haut niveau suivantes sont impliquées dans le processus.

  • Authentification des utilisateurs
  • Créer un ticket de session
  • Démarrez l’application Citrix Workspace
  • Terminez la connexion

La figure suivante illustre les étapes du processus de connexion utilisateur à StoreFront ou à l’interface Web. Dans le réseau sécurisé, les ordinateurs exécutant Citrix Virtual Apps exécutent également la Secure Ticket Authority (STA), le service XML et les applications publiées.

Processus de connexion dans une DMZ à double saut

Procédure de connexion

L’authentification des utilisateurs est la première étape du processus de connexion utilisateur dans un déploiement DMZ à double saut.

La figure suivante illustre le processus de connexion des utilisateurs dans ce déploiement.

Processus d'authentification utilisateur dans une zone DMZ à double saut

Au cours de la phase d’authentification de l’utilisateur, le processus de base suivant se produit :

  1. Un utilisateur tape l’adresse de Citrix Gateway, par exemple https://www.ng.wxyco.com dans un navigateur Web pour se connecter à Citrix Gateway dans la première zone démilitarisée. Si vous avez activé l’authentification de la page d’ouverture de session sur Citrix Gateway, Citrix Gateway authentifie l’utilisateur.
  2. Citrix Gateway dans la première zone démilitarisée reçoit la demande.
  3. Citrix Gateway redirige la connexion du navigateur Web vers l’interface Web.
  4. L’interface Web envoie les informations d’identification de l’utilisateur au service Citrix XML exécuté dans la batterie de serveurs du réseau interne.
  5. Le service XML Citrix authentifie l’utilisateur.

  6. Le service XML crée une liste des applications publiées auxquelles l’utilisateur est autorisé à accéder et envoie cette liste à l’interface Web.

    Remarque :

    • Si vous activez l’authentification sur Citrix Gateway, l’appliance envoie la page d’ouverture de session Citrix Gateway à l’utilisateur. L’utilisateur entre les informations d’identification d’authentification sur la page d’ouverture de session et l’appliance authentifie l’utilisateur. Citrix Gateway renvoie ensuite les informations d’identification de l’utilisateur à l’interface Web.

    • Si vous n’activez pas l’authentification, Citrix Gateway n’effectue pas d’authentification. L’appliance se connecte à l’interface Web, récupère la page d’ouverture de session de l’interface Web et envoie la page d’ouverture de session de l’interface Web à l’utilisateur. L’utilisateur entre les informations d’identification d’authentification sur la page d’ouverture de session de l’interface Web et Citrix Gateway les transmet à l’interface Web.

    La création du ticket de session est la deuxième étape du processus de connexion utilisateur dans un déploiement DMZ à double saut.

    Au cours de l’étape de création du ticket de session, le processus de base suivant se produit :

  7. L’interface Web communique à la fois avec le service XML et la Secure Ticket Authority (STA) du réseau interne pour produire des tickets de session pour chacune des applications publiées auxquelles l’utilisateur est autorisé à accéder. Le ticket de session contient une adresse d’alias pour l’ordinateur exécutant Citrix Virtual Apps qui héberge une application publiée.
  8. La STA enregistre les adresses IP des serveurs qui hébergent les applications publiées. La STA envoie ensuite les tickets de session demandés à l’interface Web. Chaque ticket de session inclut un alias qui représente l’adresse IP du serveur qui héberge l’application publiée, mais pas l’adresse IP réelle.

  9. L’interface Web génère un fichier ICA pour chacune des applications publiées. Le fichier ICA contient le ticket émis par la STA. L’interface Web crée et remplit ensuite une page Web avec une liste de liens vers les applications publiées et envoie cette page Web au navigateur Web de la machine utilisateur.

    Le démarrage de l’application Citrix Workspace est la troisième étape du processus de connexion utilisateur dans un déploiement DMZ à double saut. Le processus de base est le suivant :

  10. L’utilisateur clique sur un lien vers une application publiée dans l’interface Web. L’interface Web envoie le fichier ICA de cette application publiée au navigateur de la machine utilisateur.

    Le fichier ICA contient des données qui indiquent au navigateur Web de démarrer Receiver.

    Le fichier ICA contient également le nom de domaine complet (FQDN) ou le nom DNS (Domain Name System) de Citrix Gateway dans la première zone DMZ.

  11. Le navigateur Web démarre Receiver et l’utilisateur se connecte à Citrix Gateway dans la première zone démilitarisée en utilisant le nom Citrix Gateway dans le fichier ICA. La connexion SSL/TLS initiale a lieu pour établir l’identité du serveur exécutant Citrix Gateway.

    L’achèvement de la connexion est la quatrième et dernière étape du processus de connexion utilisateur dans un déploiement DMZ à double saut.

    Au cours de l’étape d’achèvement de la connexion, le processus de base suivant se produit :

    • L’utilisateur clique sur un lien vers une application publiée dans l’interface Web.
    • Le navigateur Web reçoit le fichier ICA généré par l’interface Web et démarre l’application Citrix Workspace. Remarque : Le fichier ICA contient du code qui indique au navigateur Web de démarrer l’application Citrix Workspace.
    • L’application Citrix Workspace initie une connexion ICA à Citrix Gateway dans la première zone démilitarisée.
    • Citrix Gateway dans la première zone démilitarisée communique avec la Secure Ticket Authority (STA) du réseau interne pour résoudre l’adresse alias du ticket de session en adresse IP réelle d’un ordinateur exécutant Citrix Virtual Apps ou StoreFront. Cette communication est transmise par proxy via la deuxième zone démilitarisée par le proxy Citrix Gateway.
    • Citrix Gateway dans la première zone démilitarisée complète la connexion ICA à l’application Citrix Workspace.
    • L’application Citrix Workspace peut désormais communiquer via les deux appliances Citrix Gateway vers l’ordinateur exécutant Citrix Virtual Apps sur le réseau interne.

    Les étapes détaillées pour terminer le processus de connexion utilisateur sont les suivantes :

  12. L’application Citrix Workspace envoie le ticket STA de l’application publiée à Citrix Gateway dans la première zone démilitarisée.
  13. Citrix Gateway, dans la première zone démilitarisée, contacte la STA du réseau interne pour la validation des tickets. Pour contacter la STA, Citrix Gateway établit une connexion SOCKS ou SOCKS avec connexion SSL au proxy Citrix Gateway dans la deuxième zone DMZ.
  14. Le proxy Citrix Gateway de la deuxième zone démilitarisée transmet la demande de validation de ticket à la STA du réseau interne. La STA valide le ticket et le mappe sur l’ordinateur exécutant Citrix Virtual Apps qui héberge l’application publiée.
  15. La STA envoie une réponse au proxy Citrix Gateway dans la deuxième zone démilitarisée, qui est transmise à Citrix Gateway dans la première zone démilitarisée. Cette réponse termine la validation du ticket et inclut l’adresse IP de l’ordinateur qui héberge l’application publiée.
  16. Citrix Gateway dans la première zone démilitarisée intègre l’adresse du serveur Citrix Virtual Apps dans le paquet de connexion utilisateur et envoie ce paquet au proxy Citrix Gateway dans la deuxième zone démilitarisée.
  17. Le proxy Citrix Gateway de la deuxième zone démilitarisée envoie une demande de connexion au serveur spécifié dans le paquet de connexion.
  18. Le serveur répond au proxy Citrix Gateway dans la deuxième zone démilitarisée. Le proxy Citrix Gateway dans la deuxième zone démilitarisée transmet cette réponse à Citrix Gateway dans la première zone démilitarisée pour terminer la connexion entre le serveur et Citrix Gateway dans la première zone démilitarisée.
  19. Citrix Gateway dans la première zone démilitarisée termine la liaison SSL/TLS avec la machine utilisateur en transmettant le paquet de connexion final à la machine utilisateur. La connexion entre la machine utilisateur et le serveur est établie.
  20. Le trafic ICA circule entre la machine utilisateur et le serveur via Citrix Gateway dans la première zone démilitarisée et le proxy Citrix Gateway dans la deuxième zone démilitarisée.
Flux de communication dans un déploiement DMZ à double saut
January 26, 2024
Contributeur: 
C
January 26, 2024
Contributeur: 
C

Dans cet article

Commentaires sur le site | Confidentialité et conditions légales | Préférences de cookies | Paramètres de consentement | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.