产品文档
Gateway
Current Release 13.1 13.0 12.1
查看 PDF

无状态 RDP 代理

April 1, 2024
投稿者: 
C

无状态 RDP 代理访问 RDP 主机。当用户在单独的 Citrix Gateway 身份验证器上进行身份验证时，将通过 Citrix Gateway 上的 RDPlistener 授予访问权限。Citrix Gateway 的 RDPlistener 所需的信息安全地存储在 STA 服务器上。

此处描述了为此功能创建的流量和新旋钮。

必备条件

  • 用户在 Citrix Gateway 身份验证器上进行了身份验证。

  • 初始 /rdpproxy URL 和 RDP 客户端连接到不同的 RDPlistener Citrix Gateway。

  • RDPlistener 网关信息由身份验证器网关使用 STA 服务器安全传递。

配置

  • 添加新的 RDPServer 配置文件 。服务器配置文件是在 RDPlistener 网关上配置的。

     add rdpServer Profile [profilename] -rdpIP [IPV4 address of the RDP listener] -rdpPort [port for terminating RDP client connections] -psk [key to decrypt RDPTarget/RDPUser information, needed while using STA].
 <!--NeedCopy-->

    对于无状态的 RDP 代理，STA 服务器会验证 RDP 客户端发送的 STA 票证，以获取 RDP 目标/RDP 用户信息。

    使用以下命令在 vpn 虚拟服务器上配置 RDPServer 配置文件：

     add vpn vserver v1 SSL [publicIP] [portforterminatingvpnconnections] -rdpServerProfile [rdpServer Profile]
 <!--NeedCopy-->

    警 告一旦在 VPN 虚拟服务器上配置了 RDPServerProfile，就无法对其进行修改。此外，相同的服务器配置文件不能在另一个 VPN 虚拟服务器上重复使用。

rdp profile 命令已重命名为 rdpClient profile 并具有新参数。添加了 multiMonitorSupport 命令。此外，还添加了配置自定义参数的选项，RDP 客户端配置文件不支持自定义参数。clientSSL 参数已被删除，因为连接始终是安全的。客户端配置文件是在身份验证器网关上配置的。

add rdpClient profile <name> -rdpHost <optional FQDN that will be put in the RDP file as ‘fulladdress’> \[-rdpUrlOverride \( ENABLE | DISABLE )] \[-redirectClipboard \( ENABLE | DISABLE )] \[-redirectDrives \( ENABLE | DISABLE )]

        \[-redirectPrinters \( ENABLE | DISABLE )] \[-keyboardHook <keyboardHook>] \[-audioCaptureMode \( ENABLE | DISABLE )] \[-videoPlaybackMode \( ENABLE | DISABLE )]

        \[-rdpCookieValidity <positive\_integer>]\[-multiMonitorSupport \( ENABLE | DISABLE )] \[-rdpCustomParams <string>] —rdphost 配置用于单个网关部署中。
  • 将 RDP 配置文件与 VPN 虚拟服务器关联。

这可以通过配置 sessionAction+sessionPolicy 或通过设置全局 VPN 参数来完成。

示例

add vpn sessionaction <actname> -rdpClientprofile <rdpprofilename>

add vpn sessionpolicy <polname> NS_TRUE <actname>

bind vpn vserver <vservername> -policy <polname> -priority <prioritynumber>

OR

set vpn parameter –rdpClientprofile <name>

连接计数器

添加了新的连接计数器 ns_rdp_tot_curr_active_conn，它保留了正在使用的活动连接数量的记录。可以将其视为 NetScaler shell 上 nsconmsg 命令的一部分。稍后，我们将提供一个新的 CLI 命令来查看这些计数器。

连接流程

RDP 代理流程中涉及两个连接。第一个连接是用户与 Citrix Gateway VIP 的 SSL VPN 连接，以及 RDP 资源的枚举。

第二种连接是与 Citrix Gateway 上的 RDP 侦听器（使用 RDPip 和 RDPort 进行配置）的本地 RDP 客户端连接，以及随后将 RDP 客户端代理到安全地服务器数据包。

本地化后的图片

  1. 用户连接到身份验证器网关 VIP 并提供他/她的证书。

  2. 成功登录到网关后，用户将被重定向到主页/外部门户，该门户列举了用户可以访问的远程桌面资源。

  3. 一旦用户选择了 RDP 资源，Authenticator Gateway VIP 就会收到一个请求，其格式 https://AGVIP/rdpproxy/ip:port/rdptargetproxy 表示用户单击的已发布资源。此请求包含有关用户选择的 RDP 服务器的 IP 和端口的信息。

  4. /rdpproxy/ 请求由身份验证器网关处理。由于用户已经过身份验证，因此此请求附带有效的网关 cookie。

  5. RdpTarget 和 RDPUser 信息存储在 STA 服务器上，并生成 STA 票证。信息存储为 XML blob，可以选择使用配置的预共享密钥对其进行加密。如果加密，则 blob 将进行 base64 编码和存储。身份验证器网关将使用在网关虚拟服务器上配置的其中一台 STA 服务器。

  6. XML blob 将采用以下格式

    <Value name=”IPAddress”>ipaddr</Value>\n<Value name=”Port”>port</Value>\n

    <Value name=”Username”>username</Value>\n<Value name=”Password”>pwd</Value>

  7. 在 /rdpproxy/ 请求中获得的“rdptargetproxy”作为“完整地址”，而 STA 票证（前面有 STA AuthID）作为“loadbalanceinfo”放在 .rdp 文件中。

  8. .rdp 文件被发送回客户端端点。

  9. 本机 RDP 客户端启动并连接到 RDPlistener 网关。它以最初的 x.224 数据包发送 STA 票证。

  10. RDPlistener Gateway 验证 STA 票证并获取 RDPTarget 和 RDPUser 信息。使用负载平衡信息中存在的“authID”检索要使用的 STA 服务器。

  11. 创建网关会话用于存储授权/审核策略。如果用户已经存在会话，则会重复使用该会话。

  12. RDPlistener Gateway 连接到 RDPTarget 并使用 CREDSSP 进行单点登录。

单网关兼容性

如果 RDP 文件是使用 /rdpproxy/rdptarget/rdptargetproxy URL 生成的，我们将生成 STA 票证，否则将使用当前直接引用会话的“负载平衡信息”方法。

本地化后的图片

如果是单一网关部署，/rdproxy URL 会指向身份验证器网关本身。不需要 STA 服务器。身份验证器网关安全地对 RDPTarget 和 AAA 会话 cookie 进行编码，并将其作为“负载平衡信息”发送到 .rdp 文件中。当 RDP 客户端在 x.224 数据包中发送此令牌时，身份验证器网关解码 RDPTarget 信息，查找会话并连接到 RDPTarget。

升级注意事项

较早的配置不适用于这个新版本，因为之前在 vpn 虚拟服务器上配置的 rdpIP 和 rdport 参数已更新为RDPServerProfile的一部分，而且“rdp配置文件”已重命名为“rdp ClientProfile”，旧参数 ClientSL 已被删除。

创建 RDP 服务器配置文件

  1. 前往 Citrix Gateway > 策略 > RDP。

    本地化后的图片

  2. 转到“服务器配置文件”选项卡，然后单击“添加”。

    本地化后的图片

  3. 输入以下信息以创建 RDP 服务器配置文件。

    本地化后的图片

配置 RDP 客户端配置文件

  1. 前往 Citrix Gateway > 策略 > RDP

    本地化后的图片

  2. 转到“客户资料”选项卡，然后单击“添加”。

    本地化后的图片

  3. 输入以下信息以配置 RDP 服务器配置文件。

    本地化后的图片

设置虚拟服务器

  1. 前往 Citrix Gateway > 虚拟服务器。

    本地化后的图片

  2. 单击“添加”创建新的 RDP 服务器。

    本地化后的图片

  3. 在“基本设置”页面上填写数据，然后单击“**确定”。

    本地化后的图片

  4. 单击 铅笔 编辑页面。

    本地化后的图片

无状态 RDP 代理
April 1, 2024
投稿者: 
C
April 1, 2024
投稿者: 
C

在本文中

站点反馈 | Your privacy choices footer link您的隐私选择 | 隐私和法律条款 | Cookie 首选项 | 同意设置 | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.