Proxy RDP sans état

March 27, 2024

Contributeur:

Le proxy RDP sans état accède à un hôte RDP. L’accès est accordé via NetScaler Gateway lorsque l’utilisateur s’authentifie sur un authentificateur NetScaler Gateway distinct. RDPListener Les informations requises par le RDPListener for NetScaler Gateway sont stockées de manière sécurisée sur un serveur STA. Un serveur STA peut être placé n’importe où tant que NetScaler Gateway et les serveurs d’énumération d’applications peuvent y accéder. Pour plus de détails, reportez-vous à https://support.citrix.com/article/CTX101997.

Flux de connexion

Deux connexions sont impliquées dans le flux proxy RDP. La première connexion est la connexion VPN SSL de l’utilisateur au NetScaler Gateway VIP et l’énumération des ressources RDP.

La deuxième connexion est la connexion native du client RDP à l’écouteur RDP (configuré à l’aide de RDPip et RDPport) sur NetScaler Gateway, et la transmission ultérieure du client RDP vers les paquets du serveur en toute sécurité.

Diagramme de flux de connexion

L’utilisateur se connecte à la VIP Authenticator Gateway et fournit les informations d’identification.
Une fois la connexion réussie à la passerelle, l’utilisateur est redirigé vers la page d’accueil/portail externe qui énumère les ressources du poste de travail distant auxquelles l’utilisateur peut accéder.
Une fois que l’utilisateur a sélectionné une ressource RDP, une demande est reçue par le VIP Authenticator Gateway, dans le format https://AGVIP/rdpproxy/ip:port/rdptargetproxy indiquant la ressource publiée sur laquelle l’utilisateur a cliqué. Cette demande contient les informations relatives à l’adresse IP et au port du serveur RDP sélectionné par l’utilisateur.
La passerelle d’authentification traite la demande /rdpproxy/. Étant donné que l’utilisateur est déjà authentifié, cette demande est accompagnée d’un cookie de passerelle valide.
Les RDPUser informations RDPTarget et sont stockées sur le serveur STA et un ticket STA est généré. Les informations sont stockées sous la forme d’un objet blob XML qui est éventuellement chiffré à l’aide de la clé pré-partagée configurée. S’il est chiffré, le blob est codé et stocké en base64. La passerelle Authenticator utilise l’un des serveurs STA configurés sur le serveur virtuel de passerelle.

Le blob XML est au format suivant :

<Value name=”IPAddress”>ipaddr</Value>\n<Value name=”Port”>port</Value>n

<Value name=”`Username`”>username</Value>\n<Value name=”Password”>pwd</Value>

Le fichier rdptargetproxy obtenu dans la requête /rdpproxy/ est placé en tant quefulladdress’’ et le ticket STA (pré-ajouté avec l’AuthID STA) est placé loadbalanceinfo dans le fichier .rdp.
Le .rdp fichier est renvoyé au point de terminaison du client.
Le client RDP natif se lance et se connecte au RDPListener Gateway. Il envoie le ticket STA dans le paquet initial x.224.
Le RDPListener Gateway valide le ticket STA et obtient les RDPUser informations RDPTarget et. Le serveur STA à utiliser est récupéré à l’aide du ‘AuthID’ présent dans le loadbalanceinfo.
Une session de passerelle est créée pour stocker les stratégies d’autorisation/d’audit. Si une session existe pour l’utilisateur, elle est réutilisée.
Le RDPListener Gateway se connecte au RDPTarget et se connecte à l’aide de CREDSSP.

Pré-requis

L’utilisateur est authentifié sur l’authentificateur NetScaler Gateway.
L’URL /rdpproxy initiale et le client RDP sont connectés à un autre RDPListener NetScaler Gateway.
La passerelle Authenticator utilisant un serveur STA transmet les RDPListener Gateway informations en toute sécurité.

Configurez le proxy RDP sans état à l’aide de l’interface de ligne de commande

Ajoutez un rdpServer profil. Le profil de serveur est configuré sur le RDPListener Gateway.

Remarque :
- Une fois que le profil RDPServer est configuré sur le serveur virtuel VPN, il ne peut pas être modifié. De plus, le même ServerProfile ne peut pas être réutilisé sur un autre serveur virtuel VPN.
```
 add rdpServer Profile [profilename] -rdpIP [IPV4 address of the RDP listener] -rdpPort [port for terminating RDP client connections] -psk [key to decrypt RDPTarget/RDPUser information, needed while using STA].
  
```
Configurez le profil du serveur RDP sur le serveur virtuel VPN à l’aide de la commande suivante :
```
 add vpn vserver v1 SSL [publicIP] [portforterminatingvpnconnections] -rdpServerProfile [rdpServer Profile]
  
```
Exemple
```
 add vpn vserver v1 SSL 1.1.1.1 443 -rdpServerProfile rdp_server_prof  
  
```
Important :
- Le même serveur STA doit être lié à la fois à la passerelle d’authentification RDP et à la passerelle d’écoute.
- Pour un proxy RDP apatride, le serveur STA valide le ticket STA envoyé par le client RDP pour obtenir les informations du serveur cible RDP et de l’utilisateur RDP. Vous devez lier le serveur STA en plus du serveur virtuel VPN. Dans l’exemple suivant, le serveur cible RDP est 1.1.1.0 et le serveur virtuel de passerelle d’écoute RDP 1.1.1.2.
```
     add vpn url url4 RDP2 "rdp://1.1.1.0/1.1.1.2:443"
  
```

Configurez le profil client sur la passerelle d’authentification à l’aide de la commande suivante :

add rdpClient profile <name> -rdpHost <optional FQDN that will be put in the RDP file as ‘fulladdress’> [-rdpUrlOverride ( ENABLE | DISABLE )] [-redirectClipboard ( ENABLE | DISABLE )] [-redirectDrives ( ENABLE | DISABLE )]

        [-redirectPrinters ( ENABLE | DISABLE )] [-keyboardHook <keyboardHook>] [-audioCaptureMode ( ENABLE | DISABLE )] [-videoPlaybackMode ( ENABLE | DISABLE )]

        [-rdpCookieValidity <positive_integer>][-multiMonitorSupport ( ENABLE | DISABLE )] [-rdpCustomParams <string>]

La configuration —RDPHHost est utilisée dans un déploiement de passerelle unique. Seul psk est un argument obligatoire et il doit s’agir du même PSK que celui ajouté dans le profil du serveur RDP dans la passerelle d’écoute RDP.

Associez le profil RDP au serveur virtuel VPN.

Vous pouvez associer un profil RDP en configurant une SessionAction+SessionPolicy ou en définissant le paramètre VPN global.

Exemple :

add vpn sessionaction <actname> -rdpClientprofile <rdpprofilename>

add vpn sessionpolicy <polname> NS_TRUE <actname>

bind vpn vserver <vservername> -policy <polname> -priority <prioritynumber>

set vpn parameter –rdpClientprofile <name>
 

Configurez le proxy RDP sans état à l’aide de l’interface graphique

Les étapes de haut niveau suivantes sont impliquées dans la configuration du proxy RDP sans état. Pour connaître les étapes détaillées, reportez-vous à la section Configuration du proxy RDP.

Créer un profil de serveur RDP
Créer un profil client RDP
Créer un serveur virtuel
Créer un signet
Créer ou modifier un profil ou une stratégie de session
Liez un signet

Important :

Pour le proxy RDP sans état, vous devez lier un serveur STA en plus du serveur virtuel VPN.

Compteur de connexion

Un nouveau compteur de connexions ns_rdp_tot_curr_active_conn a été ajouté, qui conserve l’enregistrement du nombre de connexions actives en cours d’utilisation. Il peut être considéré comme faisant partie de la nsconmsg commande sur le shell NetScaler. La commande CLI pour afficher ces compteurs devrait être ajoutée ultérieurement.

Notes de mise

Le RDPip et le port RDPport, qui étaient précédemment configurés sur le serveur virtuel VPN, font partie du profil RDPServerProfile. Le paramètre rdp Profile est renommé rdp ClientProfile et le paramètre ClientSSL est supprimé. Par conséquent, la configuration précédente ne fonctionne pas.

La version officielle de ce document est en anglais. Certains contenus de la documentation Cloud Software Group ont été traduits de façon automatique à des fins pratiques uniquement. Cloud Software Group n'exerce aucun contrôle sur le contenu traduit de façon automatique, qui peut contenir des erreurs, des imprécisions ou un langage inapproprié. Aucune garantie, explicite ou implicite, n'est fournie quant à l'exactitude, la fiabilité, la pertinence ou la justesse de toute traduction effectuée depuis l'anglais d'origine vers une autre langue, ou quant à la conformité de votre produit ou service Cloud Software Group à tout contenu traduit de façon automatique, et toute garantie fournie en vertu du contrat de licence de l'utilisateur final ou des conditions d'utilisation des services applicables, ou de tout autre accord avec Cloud Software Group, quant à la conformité du produit ou service à toute documentation ne s'applique pas dans la mesure où cette documentation a été traduite de façon automatique. Cloud Software Group ne pourra être tenu responsable de tout dommage ou problème dû à l'utilisation de contenu traduit de façon automatique.

Cela vous a-t-il été utile ?

Proxy RDP sans état

March 27, 2024

Contributeur:

Dans cet article

Cela vous a-t-il été utile ?