Documentation Produit
Gateway
Current Release 13.1 13.0 12.1
Voir PDF

Proxy RDP sans état

March 27, 2024
Contributeur: 
C

Le proxy RDP Stateless accède à un hôte RDP. L’accès est accordé via le RDPListener sur Citrix Gateway lorsque l’utilisateur s’authentifie sur un Citrix Gateway Authenticator distinct. Les informations requises par RDPListener pour Citrix Gateway sont stockées en toute sécurité sur un serveur STA.

Le flux et les nouveaux boutons créés pour cette fonctionnalité sont décrits ici.

Pré-requis

  • L’utilisateur est authentifié sur l’authentificateur Citrix Gateway.

  • L’URL /rdpproxy initiale et le client RDP sont connectés à un autre RDPListener Citrix Gateway.

  • Les informations de la passerelle RDPListener sont transmises de manière sécurisée par la passerelle d’authentification à l’aide d’un serveur STA.

Configuration

  • Ajoutez un nouveau profil RDPServer. Le profil de serveur est configuré sur la passerelle RDPListener.

     add rdpServer Profile [profilename] -rdpIP [IPV4 address of the RDP listener] -rdpPort [port for terminating RDP client connections] -psk [key to decrypt RDPTarget/RDPUser information, needed while using STA].
 <!--NeedCopy-->

    Pour le proxy RDP sans état, le serveur STA valide le ticket STA, qui est envoyé par le client RDP, pour obtenir les informations sur la cible RDP/l’utilisateur RDP.

    Le profil RDPServer est configuré sur le serveur virtuel VPN à l’aide de la commande suivante :

     add vpn vserver v1 SSL [publicIP] [portforterminatingvpnconnections] -rdpServerProfile [rdpServer Profile]
 <!--NeedCopy-->

    Avertissement Une fois que le RDPServerProfile est configuré sur le vserver VPN, il ne peut pas être modifié. De plus, le même ServerProfile ne peut pas être réutilisé sur un autre vserver VPN.

La commande de profil rdp a été renommée en tant que profil RDPClient et comporte de nouveaux paramètres. La commande MultiMonitorSupport a été ajoutée. Une option permettant de configurer des paramètres personnalisés, qui ne sont pas pris en charge dans le cadre du profil client RDP, a également été ajoutée. Le paramètre ClientSSL a été supprimé, car la connexion est toujours sécurisée. Le profil client est configuré sur la passerelle d’authentification.

add rdpClient profile <name> -rdpHost <optional FQDN that will be put in the RDP file as ‘fulladdress’> \[-rdpUrlOverride \( ENABLE | DISABLE )] \[-redirectClipboard \( ENABLE | DISABLE )] \[-redirectDrives \( ENABLE | DISABLE )]

        \[-redirectPrinters \( ENABLE | DISABLE )] \[-keyboardHook <keyboardHook>] \[-audioCaptureMode \( ENABLE | DISABLE )] \[-videoPlaybackMode \( ENABLE | DISABLE )]

        \[-rdpCookieValidity <positive\_integer>]\[-multiMonitorSupport \( ENABLE | DISABLE )] \[-rdpCustomParams <string>] La configuration —RDPHHost est utilisée dans un déploiement de passerelle unique.
  • Associez le profil RDP au serveur virtuel VPN.

Cela peut être fait soit en configurant un SessionAction+SessionPolicy, soit en définissant le paramètre VPN global.

Exemple

add vpn sessionaction <actname> -rdpClientprofile <rdpprofilename>

add vpn sessionpolicy <polname> NS_TRUE <actname>

bind vpn vserver <vservername> -policy <polname> -priority <prioritynumber>

OR

set vpn parameter –rdpClientprofile <name>

Compteur de connexions

Un nouveau compteur de connexions ns_rdp_tot_curr_active_conn a été ajouté, qui enregistre le nombre de connexions actives utilisées. Il peut être considéré comme faisant partie de la commande nsconmsg sur le shell NetScaler. Plus tard, nous fournirons une nouvelle commande CLI pour afficher ces compteurs.

Flux de connexion

Deux connexions sont impliquées dans le flux proxy RDP. La première connexion est la connexion VPN SSL de l’utilisateur au Citrix Gateway VIP et l’énumération des ressources RDP.

La deuxième connexion est la connexion native du client RDP à l’écouteur RDP (configuré à l’aide de RDPIP et RDPport) sur Citrix Gateway, puis le proxy du client RDP vers les paquets du serveur en toute sécurité.

Image localisée

  1. L’utilisateur se connecte à l’Authenticator Gateway VIP et fournit ses informations d’identification.

  2. Après une connexion réussie à la passerelle, l’utilisateur est redirigé vers la page d’accueil/le portail externe qui énumère les ressources du bureau à distance auxquelles l’utilisateur peut accéder.

  3. Une fois que l’utilisateur a sélectionné une ressource RDP, une demande est reçue par l’Authenticator Gateway VIP, dans le format https://AGVIP/rdpproxy/ip:port/rdptargetproxy indiquant la ressource publiée sur laquelle l’utilisateur a cliqué. Cette demande contient les informations relatives à l’adresse IP et au port du serveur RDP sélectionné par l’utilisateur.

  4. La requête /rdpproxy/ est traitée par la passerelle d’authentification. L’utilisateur étant déjà authentifié, cette demande est accompagnée d’un cookie Gateway valide.

  5. Les informations RDPTarget et RDPUser sont stockées sur le serveur STA et un ticket STA est généré. Les informations sont stockées sous la forme d’un objet blob XML qui est éventuellement chiffré à l’aide de la clé pré-partagée configurée. S’il est chiffré, le blob est codé et stocké en base64. L’Authenticator Gateway utilisera l’un des serveurs STA configurés sur le Gateway Vserver.

  6. Le blob XML sera au format suivant

    <Value name=”IPAddress”>ipaddr</Value>\n<Value name=”Port”>port</Value>\n

    <Value name=”Username”>username</Value>\n<Value name=”Password”>pwd</Value>

  7. Le « rdptargetproxy » obtenu dans la requête /rdpproxy/ est placé comme « adresse complète » et le ticket STA (précédé du STA AuthID) est placé comme « loadbalanceinfo » dans le fichier .rdp.

  8. Le fichier .rdp est renvoyé au point de terminaison du client.

  9. Le client RDP natif se lance et se connecte à la passerelle RDPListener. Il envoie le ticket STA dans le paquet initial x.224.

  10. La passerelle RDPListener valide le ticket STA et obtient les informations RDPTarget et RDPUser. Le serveur STA à utiliser est récupéré à l’aide de l’ « AuthID » présent dans loadbalanceinfo.

  11. Une session de passerelle est créée pour stocker les stratégies d’autorisation/d’audit. Si une session existe déjà pour l’utilisateur, elle est réutilisée.

  12. La passerelle RDPListener se connecte au RDPTarget et s’identifie par connexion unique à l’aide de CREDSSP.

Compatibilité avec une passerelle unique

Si le fichier RDP est généré à l’aide de l’URL /rdpproxy/rdptarget/rdptargetproxy, nous générerons un ticket STA, sinon la méthode actuelle de « loadbalanceinfo » faisant directement référence à la session sera utilisée.

Image localisée

Dans le cas d’un déploiement de passerelle unique, l’URL /rdpproxy est envoyée à la passerelle d’authentification elle-même. Un serveur STA n’est pas nécessaire. La passerelle d’authentification code le RDPTarget et le cookie de session AAA de manière sécurisée et les envoie sous la forme « loadbalanceinfo » dans le fichier .rdp. Lorsque le client RDP envoie ce jeton dans le paquet x.224, la passerelle d’authentification décode les informations RDPTarget, recherche la session et se connecte au RDPTarget.

Notes de mise à niveau

La configuration précédente ne fonctionne pas avec cette nouvelle version, car les paramètres RDPip et RDPport, qui étaient précédemment configurés sur vpn vserver, ont été mis à jour pour faire partie du RDPServerProfile et le « profil rdp » a été renommé en « rdp ClientProfile » et l’ancien paramètre ClientSSL a été supprimé.

Création d’un profil de serveur RDP

  1. Accédez à Citrix Gateway > Politiques > RDP.

    Image localisée

  2. Accédez à l’onglet Profils de serveur et cliquez sur Ajouter.

    Image localisée

  3. Entrez les informations suivantes pour créer le profil de serveur RDP.

    Image localisée

Configurer le profil client RDP

  1. Accédez à Citrix Gateway > Politiques > RDP

    Image localisée

  2. Accédez à l’onglet Profils clients et cliquez sur Ajouter.

    Image localisée

  3. Entrez les informations suivantes pour configurer le profil de serveur RDP.

    Image localisée

Configuration d’un serveur virtuel

  1. Accédez à Citrix Gateway > Virtual Server.

    Image localisée

  2. Cliquez sur Ajouter pour créer un nouveau serveur RDP.

    Image localisée

  3. Complétez les données sur cette page des paramètres de base et cliquez sur OK.

    Image localisée

  4. Cliquez sur le crayon pour modifier la page.

    Image localisée

Proxy RDP sans état
March 27, 2024
Contributeur: 
C
March 27, 2024
Contributeur: 
C

Dans cet article

Commentaires sur le site | Confidentialité et conditions légales | Préférences de cookies | Paramètres de consentement | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.