与Citrix网关和Citrix ADC集成

当与端点管理集成时，Citrix Gateway为MAM设备的远程设备访问内部网络提供了身份验证机制。该集成使Citrix移动生产力应用程序可以通过一个微型VPN连接到企业内网的服务器。终端管理创建了一个微型VPN，从设备上的应用程序到Citrix网关。Citrix Gateway为访问所有企业资源提供了一个微型VPN路径，并提供强大的多因素认证支持。

当用户选择退出MDM注册时，设备使用Citrix Gateway FQDN进行注册。

Citrix云操作管理Citrix ADC负载平衡。

设计决策

下面几节总结了在计划将Citrix Gateway与Endpoint Management集成时需要考虑的许多设计决策。

证书

决定细节:

• 注册和访问端点管理环境是否需要更高级别的安全性？
• LDAP不是一个选项吗?

设计指导:

端点管理的默认配置是用户名和密码身份验证。要为端点管理环境的注册和访问添加另一层安全，请考虑使用基于证书的身份验证。您可以在LDAP中使用证书进行双因素身份验证，从而提供更高级别的安全性，而不需要RSA服务器。

如果您不允许LDAP，并且使用智能卡或类似的方法，则配置证书允许您将智能卡表示为Endpoint Management。然后，用户使用Endpoint Management为他们生成的唯一PIN进行注册。用户拥有访问权限后，端点管理将创建并部署证书，该证书稍后用于向端点管理环境进行身份验证。

终端管理仅支持第三方证书颁发机构使用的CRL (Certificate Revocation List)。如果您配置了Microsoft CA，那么端点管理将使用Citrix Gateway来管理撤销。配置客户端证书认证时，请考虑是否需要配置“Citrix Gateway Certificate Revocation List (CRL)”设置，启用CRL自动刷新. 此步骤确保仅在MAM中注册的设备的用户不能使用设备上的现有证书进行身份验证。端点管理重新颁发新证书，因为它不会限制用户在证书被吊销时生成用户证书。当CRL检查过期的PKI实体时，此设置提高了PKI实体的安全性。

专用或共享的Citrix网关贵宾

决定细节:

• 您目前是否使用Citrix网关用于Citrix虚拟应用程序和桌面?
• 终端管理是否会使用Citrix网关，Citrix虚拟应用和桌面?
• 两种流量的认证要求是什么?

设计指导:

当您的Citrix环境包括端点管理、虚拟应用程序和桌面时，您可以为两者使用相同的Citrix网关虚拟服务器。由于潜在的版本冲突和环境隔离，建议针对每个端点管理环境使用专用的Citrix Gateway。

如果使用LDAP身份验证，则Citrix Workspace和Secure Hub可以通过身份验证到同一个Citrix Gateway，不会出现任何问题。如果使用基于证书的身份验证，端点管理将证书推送到MDX容器中，安全集束器使用该证书与Citrix网关进行身份验证。工作区应用程序与安全集线器分离，不能使用与安全集线器相同的证书来验证到相同的Citrix网关。

您可以考虑使用这种方法，它允许您为两个Citrix Gateway vip使用相同的FQDN。可以创建两个IP地址相同的“Citrix Gateway vip”。用于Secure Hub的端口使用标准的443端口，用于Citrix Virtual Apps和desktop(部署Citrix Workspace应用程序)的端口使用444端口。然后，一个FQDN解析到相同的IP地址。为了解决这个问题，您可能需要配置StoreFront以返回端口444(而不是默认端口443)的ICA文件。这个解决方案不需要用户输入端口号。

Citrix网关超时

决定细节:

• 您希望如何配置端点管理流量的Citrix网关超时?

设计指导:

“Citrix Gateway”包括“会话超时”和“强制超时”的设置。有关详细信息,请参见推荐配置．请记住，对于后台服务、Citrix Gateway和离线访问应用程序，有不同的超时值。

注册FQDN

重要的是:

要更改注册FQDN，需要一个新的SQL Server数据库和端点管理服务器重建。

安全Web流量

决定细节:

• 您是否将安全Web仅限于内部Web浏览？
• 您是否会为内部和外部Web浏览启用安全Web？

设计指导:

如果您计划使用Secure Web仅用于内部Web浏览，则Citrix网关的配置很简单。但是，如果默认情况下Secure Web无法访问所有内部站点，则可能需要配置防火墙和代理服务器。

如果您计划使用Secure Web进行内部和外部浏览，您必须启用SNIP，使其具有出站internet访问。IT通常将注册的设备(使用MDX容器)视为公司网络的扩展。因此，IT部门通常希望安全Web连接返回到Citrix网关，通过代理服务器，然后再连接到Internet。缺省情况下，内网存在安全的Web访问隧道。安全Web使用每个应用程序的VPN隧道返回到内部网络的所有网络访问和Citrix网关使用分割隧道设置。

有关安全Web连接的讨论，请参阅配置用户连接．

安全邮件的推送通知

决定细节:

• 你会使用推送通知吗?

iOS的设计指南：

如果您的Citrix网关配置包括安全票据授权(STA)和分离隧道是关闭的:Citrix网关必须允许流量从安全邮件到Citrix侦听器服务url。这些url是在iOS安全邮件推送通知中指定的。

Android的设计指导:

使用Firebase云消息(FCM)来控制Android设备何时以及如何连接到Endpoint Management。配置了FCM后，任何安全操作或部署命令都会触发到Secure Hub的推送通知，以提示用户重新连接端点管理服务器。

HDX斯塔斯

决定细节:

• 如果要集成HDX应用程序访问，要使用哪些STAs ?

设计指导:

HDX的STAs必须与StoreFront中的STAs匹配，并且必须对虚拟应用和桌面站点有效。

Citrix文件和Citrix内容协作

决定细节:

• 您将在环境中使用存储区域控制器吗?
• 您将使用哪个Citrix文件VIP URL ?

设计指导:

如果您将在环境中包含存储区域控制器，请确保正确配置以下内容:

• Citrix Files Content Switch VIP(用于Citrix Files控制平面与存储分区控制服务器通信)
• Citrix文件负载均衡
• 所有必需的策略和配置文件

有关信息，请参阅文档存储区域控制器．

SAML国内流离失所者

决定细节:

• 如果Citrix文件需要SAML，您想使用端点管理作为SAML IdP吗?

设计指导:

推荐的最佳实践是将Citrix文件与端点管理集成在一起，这是配置基于saml的联邦的一个更简单的替代方案。端点管理为Citrix文件提供:

• Citrix mobile productivity应用程序用户的单点登录（SSO）身份验证
• 基于Active Directory的用户帐户配置
• 全面的访问控制策略。

Endpoint Management控制台允许您执行Citrix Files配置，并监视服务级别和许可证使用情况。

有两种类型的Citrix文件客户端:Citrix终端管理文件(也称为包装的Citrix文件)和Citrix文件移动客户端(也称为未包装的Citrix文件)。要理解它们的区别，请看Citrix终端管理客户端文件与Citrix文件移动客户端有何不同．

您可以配置端点管理和Citrix文件使用SAML提供SSO访问:

• 使用MDX工具包启用或包装MAM SDK的Citrix文件应用程序
• 非包装的Citrix文件客户端，如网站、Outlook插件或同步客户端

如果您想使用端点管理作为Citrix文件的SAML IdP，请确保适当的配置。有关详细信息,请参见用于使用Citrix文件的SSO的SAML．

ShareConnect直接连接

决定细节:

• 用户是否会使用直接连接从运行ShareConnect的计算机或移动设备访问主机？

设计指导:

ShareConnect允许用户通过ipad、Android平板电脑和Android手机安全地连接到自己的电脑上，以访问他们的文件和应用程序。对于直接连接，端点管理使用Citrix Gateway提供对本地网络之外资源的安全访问。具体配置请参见ShareConnect．

为每个管理模式注册FQDN

管理模式	注册FQDN
MDM+MAM，强制MDM注册	端点管理服务器FQDN
MDM+MAM，可选MDM注册	端点管理服务器FQDN或Citrix网关FQDN
MAM-only	端点管理服务器FQDN
仅限MAM（遗留）	Citrix网关FQDN

部署总结

如果您有多个端点管理实例(例如用于测试、开发和生产环境)，则必须为其他环境手动配置Citrix Gateway。当您拥有一个工作环境时，在尝试为Endpoint Management手动配置Citrix Gateway之前，请注意这些设置。

一个关键决定是使用HTTPS还是HTTP与端点管理服务器进行通信。HTTPS提供安全的后端通信，因为Citrix网关和端点管理之间的通信是加密的。重新加密会影响端点管理服务器的性能。HTTP提供了更好的端点管理服务器性能。Citrix网关和端点管理之间的通信未加密。下表显示了Citrix网关和端点管理的HTTP和HTTPS端口要求。

HTTPS

Citrix通常为Citrix Gateway MDM虚拟服务器配置推荐SSL桥。在与MDM虚拟服务器一起使用Citrix Gateway SSL Offload时，Endpoint Management仅支持80端口作为后端服务。

管理模式	Citrix网关负载平衡方法	SSL重新加密	管理服务器端口
老妈	SSL卸载	启用	8443
MDM +老妈	MDM: SSL桥	N/A	443, 8443
MDM +老妈	MAM:SSL卸载	启用	8443

HTTP

管理模式	Citrix网关负载平衡方法	SSL重新加密	管理服务器端口
老妈	SSL卸载	启用	8443
MDM +老妈	MDM: SSL卸载	不支持	80
MDM +老妈	MAM:SSL卸载	启用	8443

有关端点管理部署中Citrix Gateway的关系图，请参见体系结构．