Gateway

Déployer Citrix Gateway dans une zone DMZ à double saut

January 26, 2024

Contributeur:

Certaines organisations utilisent trois pare-feu pour protéger leurs réseaux internes. Les trois pare-feu divisent la DMZ en deux phases afin d’offrir une couche supplémentaire de sécurité pour le réseau interne. Cette configuration réseau est appelée une DMZ double-hop.

Figure 1. Appliances Citrix Gateway déployées dans une zone DMZ à double saut

Déploiement de Citrix Gateway dans une zone DMZ à double saut

Remarque :

À titre d’illustration, l’exemple précédent décrit une configuration à double saut utilisant trois pare-feu avec StoreFront, l’interface Web et Citrix Virtual Apps, mais vous pouvez également avoir une zone démilitarisée à double saut avec une appliance dans la zone démilitarisée et une appliance dans le réseau sécurisé. Si vous configurez une configuration à double saut avec une appliance dans la zone démilitarisée et une autre dans le réseau sécurisé, vous pouvez ignorer les instructions d’ouverture des ports sur le troisième pare-feu.

Vous pouvez configurer une zone démilitarisée à double saut pour prendre en charge Citrix StoreFront ou l’interface Web installée en parallèle au proxy Citrix Gateway. Les utilisateurs se connectent à l’aide de l’application Citrix Workspace.

Remarque :

Si vous déployez Citrix Gateway dans une zone démilitarisée à double saut avec StoreFront, l’application AutoDiscovery basée sur les e-mails pour Citrix Workspace ne fonctionne pas.

Fonctionnement d’un déploiement à double saut

Vous pouvez déployer des appliances Citrix Gateway dans une zone démilitarisée à double saut pour contrôler l’accès aux serveurs exécutant Citrix Virtual Apps. Les connexions dans un déploiement à double saut se déroulent comme suit :

Les utilisateurs se connectent à Citrix Gateway dans la première zone démilitarisée à l’aide d’un navigateur Web et de l’application Citrix Workspace pour sélectionner une application publiée.
L’application Citrix Workspace démarre sur la machine utilisateur. L’utilisateur se connecte à Citrix Gateway pour accéder à l’application publiée exécutée dans la batterie de serveurs du réseau sécurisé.

Remarque : Secure Hub et le plug-in Citrix Gateway ne sont pas pris en charge dans un déploiement DMZ à double saut. Seule l’application Citrix Workspace est utilisée pour les connexions utilisateur.
Citrix Gateway dans la première zone démilitarisée gère les connexions utilisateur et exécute les fonctions de sécurité d’un VPN SSL. Cette passerelle Citrix Gateway chiffre les connexions utilisateur, détermine comment les utilisateurs sont authentifiés et contrôle l’accès aux serveurs du réseau interne.
Citrix Gateway dans la deuxième zone démilitarisée sert de périphérique proxy Citrix Gateway. Cette passerelle Citrix Gateway permet au trafic ICA de traverser la deuxième zone démilitarisée pour terminer les connexions utilisateur à la batterie de serveurs. Les communications entre Citrix Gateway dans la première DMZ et STA (Secure Ticket Authority) dans le réseau interne sont également transmises par proxy via Citrix Gateway dans la deuxième DMZ.

Citrix Gateway prend en charge les connexions IPv4 et IPv6. Vous pouvez utiliser l’utilitaire de configuration pour configurer l’adresse IPv6.

Le tableau suivant suggère la prise en charge du déploiement à double saut pour les différentes fonctionnalités ICA :

Fonctionnalité ICA	Prise en charge du double-hop
SmartAccess	Oui
SmartControl	Oui
Enlightened Data Transport (EDT)	Oui
HDX Insight	Oui
Fiabilité de session ICA (port 2598)	Oui
Migration de session ICA	Oui
Délai d’expiration de session ICA	Oui
ICA Multi-Stream	Oui (TCP uniquement)
Framehawk	Non
audio UDP	Non

Préparation à un déploiement DMZ à double saut

Pour vous préparer correctement et éviter des problèmes inutiles lors de la configuration d’un déploiement DMZ à double saut, vous devez répondre aux questions suivantes :

Voulez-vous prendre en charge l’équilibrage de charge ?
Quels ports dois-je ouvrir sur les pare-feu ?
De combien de certificats SSL ai-je besoin ?
De quels composants ai-je besoin avant de commencer le déploiement ?

Les rubriques de cette section contiennent des informations qui vous aideront à répondre à ces questions en fonction de votre environnement.

Composants nécessaires au démarrage du déploiement

Avant de commencer un déploiement DMZ à double saut, vérifiez que vous disposez des composants suivants :

Au minimum, deux appliances Citrix Gateway doivent être disponibles (une pour chaque zone démilitarisée).
Les serveurs exécutant Citrix Virtual Apps doivent être installés et opérationnels sur le réseau interne.
L’interface Web ou StoreFront doit être installé dans la deuxième zone démilitarisée et configuré pour fonctionner avec la batterie de serveurs du réseau interne.
Au minimum, un certificat de serveur SSL doit être installé sur Citrix Gateway dans la première zone démilitarisée. Ce certificat garantit que le navigateur Web et les connexions utilisateur à Citrix Gateway sont cryptées.

Vous avez besoin de certificats supplémentaires si vous souhaitez chiffrer les connexions qui se produisent entre les autres composants d’un déploiement DMZ à double saut.

La version officielle de ce document est en anglais. Certains contenus de la documentation Cloud Software Group ont été traduits de façon automatique à des fins pratiques uniquement. Cloud Software Group n'exerce aucun contrôle sur le contenu traduit de façon automatique, qui peut contenir des erreurs, des imprécisions ou un langage inapproprié. Aucune garantie, explicite ou implicite, n'est fournie quant à l'exactitude, la fiabilité, la pertinence ou la justesse de toute traduction effectuée depuis l'anglais d'origine vers une autre langue, ou quant à la conformité de votre produit ou service Cloud Software Group à tout contenu traduit de façon automatique, et toute garantie fournie en vertu du contrat de licence de l'utilisateur final ou des conditions d'utilisation des services applicables, ou de tout autre accord avec Cloud Software Group, quant à la conformité du produit ou service à toute documentation ne s'applique pas dans la mesure où cette documentation a été traduite de façon automatique. Cloud Software Group ne pourra être tenu responsable de tout dommage ou problème dû à l'utilisation de contenu traduit de façon automatique.

Déployer Citrix Gateway dans une zone DMZ à double saut

January 26, 2024

Contributeur:

January 26, 2024

Contributeur:

Dans cet article

Fonctionnement d’un déploiement à double saut
Préparation à un déploiement DMZ à double saut