网关安装前检查表
清单中列出了在安装Citrix Gateway之前必须完成的任务和规划信息。
这里提供了足够的空间,让你可以在完成每项任务后检查并做笔记。Citrix建议您注意在安装过程中和配置Citrix Gateway时需要输入的配置值。
安装和配置Citrix Gateway的步骤请参见安装Citrix网关.
用户设备
- 请确保用户设备满足安装前提条件Citrix网关插件系统要求
- 识别用户连接的移动设备。请注意:当用户连接iOS设备时,必须在会话配置文件中启用“安全浏览”功能。
基本的网络连接
Citrix建议您在开始配置设备之前获得许可和签名的服务器证书。
- 识别并写下Citrix网关主机名。请注意:这不是完全限定域名。FQDN包含在绑定到虚拟服务器的签名服务器证书中。
- 获取Universal licenseCitrix网站
- 生成证书签名请求(CSR)并发送给证书颁发机构(CA)。输入将CSR发送给证书颁发机构的日期。
- 请填写系统IP地址和子网掩码。
- 写下子网IP地址和子网掩码。
- 请写下管理员密码。Citrix Gateway的默认密码是
nsroot
. - 记下Citrix Gateway监听安全用户连接的端口号。默认是TCP端口443。该端口必须在非安全网络(Internet)和DMZ之间的防火墙上开放。
- 写下默认网关IP地址。
- 请填写DNS服务器的IP地址和端口号。默认端口号为53。此外,如果直接添加DNS服务器,还必须在设备上配置ICMP (ping)。
- 写下第一个虚拟服务器的IP地址和主机名。
- 写下第二个虚拟服务器IP地址和主机名(如果适用)。
- 请填写WINS服务器IP地址(如果适用)。
通过Citrix Gateway可访问的内部网络
- 记录用户可以通过Citrix Gateway访问的内部网络。例如:10.10.0.0/24
- 输入用户使用Citrix网关插件通过Citrix网关连接时需要访问的所有内部网络和网段。
高可用性
如果您有两个Citrix Gateway设备,您可以将它们部署在高可用性配置中,其中一个Citrix Gateway接受和管理连接,而另一个Citrix Gateway监视第一个设备。如果第一个Citrix Gateway因任何原因停止接受连接,第二个Citrix Gateway将接管并开始主动接受连接。
- 写下Citrix网关软件版本号。
- 两个Citrix Gateway设备上的版本号必须相同。
- 记下管理员密码(
nsroot
).两个设备上的密码必须相同。 - 记下主要Citrix网关IP地址和ID。最大ID号为64。
- 写下辅助Citrix网关IP地址和ID。
- 获取并在两个设备上安装Universal许可证。
- 在两个设备上安装相同的通用许可证。
- 请写下RPC节点密码。
身份验证和授权
Citrix Gateway支持多种不同的身份验证和授权类型,可用于各种组合。有关身份验证和授权的详细信息,请参阅身份验证和授权.
LDAP身份验证
如果您的环境包括LDAP服务器,则可以使用LDAP进行身份验证。
写下LDAP服务器IP地址和端口。
如果允许与LDAP服务器进行不安全连接,则默认端口为389。如果使用SSL加密与LDAP服务器的连接,则默认端口为636。
写下安全类型。
您可以配置加密或不加密的安全性。
写下管理员绑定DN。
如果LDAP服务器需要身份验证,请输入Citrix Gateway在查询LDAP目录时必须进行身份验证的管理员DN。例如cn=administrator,cn=Users,dc=ace, dc=com。
请写下管理员密码。
密码与管理员绑定DN关联。
请填写Base DN。
用户所在的DN(或目录级别);例如,ou =用户,dc =王牌,dc = com。
记下服务器登录名属性。
输入指定用户登录名的LDAP directory person对象属性。默认值为sAMAccountName。如果未使用Active Directory,则此设置的常用值为cn或uid。有关LDAP目录设置的详细信息,请参阅配置LDAP身份验证
- 写下组属性。输入LDAP目录人员对象属性,该属性指定用户所属的组。默认值是memberOf。此属性使Citrix Gateway能够标识用户所属的目录组。
- 写下子属性名。
RADIUS认证授权
如果您的环境包含RADIUS服务器,则可以使用RADIUS进行身份验证。RADIUS认证包括RSA SecurID、SafeWord、金雅拓Protiva等产品。
- 请填写主用RADIUS服务器的IP地址和端口。默认端口为1812。
- 写主RADIUS服务器秘密(共享秘密)。
- 请填写备用RADIUS服务器的IP地址和端口。默认端口为1812。
- 写备用RADIUS服务器秘密(共享秘密)。
- 请填写密码编码类型(PAP、CHAP、MS-CHAP v1、MSCHAP v2)。
SAML验证
安全断言标记语言(SAML)是一种基于xml的标准,用于在身份提供者(IdP)和服务提供者之间交换身份验证和授权。
- 获取并在Citrix Gateway上安装安全的IdP证书。
- 写下重定向URL。
- 写下用户字段。
- 写下签名证书名称。
- 写下SAML发卡机构名称。
- 请写下默认认证组。
通过防火墙打开端口(单跳DMZ)
如果您的组织使用单个DMZ来保护内部网络,并且您在DMZ中部署了Citrix Gateway,请通过防火墙打开以下端口。如果在双跳DMZ部署中安装两个Citrix Gateway设备,请参阅在防火墙上打开适当的端口.
在非安全网络和DMZ之间的防火墙上
- 在Internet和Citrix Gateway之间的防火墙上打开TCP/SSL端口(默认为443)。用户设备通过该端口连接到Citrix Gateway。
在安全网络之间的防火墙上
- 在DMZ和受保护网络之间的防火墙上打开一个或多个适当的端口。Citrix Gateway连接到一个或多个认证服务器,或连接到这些端口上安全网络中运行Citrix虚拟应用程序和桌面的计算机。
写下身份验证端口。
仅打开适合Citrix网关配置的端口。
- 对于LDAP连接,默认为TCP端口号389。
- 对于RADIUS连接,默认是UDP端口1812。写下Citrix虚拟应用和桌面端口。
- 如果您使用Citrix网关与Citrix虚拟应用程序和桌面,开放TCP端口1494。如果启用会话可靠性,请打开TCP端口2598,而不是1494。思杰建议保持这两个端口的开放。
Citrix虚拟桌面、Citrix虚拟应用、Web界面或StoreFront
如果您正在部署Citrix Gateway以通过Web界面或StoreFront提供访问Citrix虚拟应用程序和桌面的访问,请完成以下任务。该部署不需要使用Citrix Gateway插件。用户仅使用web浏览器和Citrix Receiver就可以通过Citrix Gateway访问发布的应用程序和桌面。
- 请写下运行Web Interface或StoreFront的服务器的FQDN或IP地址。
- 请填写运行STA (Secure Ticket Authority)的服务器的FQDN或IP地址(仅用于Web接口)。
Citrix端点管理
如果在内部网络中部署Citrix Endpoint Management,请完成以下任务。如果用户在外部网络(如Internet)连接Endpoint Management,则在访问移动、web和SaaS应用之前,必须先连接Citrix Gateway。
- 请填写Endpoint Management的FQDN或IP地址。
- 识别用户可以访问的web、SaaS和移动iOS或Android应用程序。
双跳DMZ部署与Citrix虚拟应用程序
如果要在双跳DMZ配置中部署两个Citrix Gateway设备以支持访问运行Citrix Virtual Apps的服务器,请完成以下任务。
第一个DMZ中的Citrix网关
第一个DMZ是内部网络最外层的DMZ(最接近Internet或不安全网络)。客户端通过隔离Internet和DMZ的防火墙连接到第一个DMZ中的Citrix网关。在第一个DMZ中安装Citrix Gateway之前收集这些信息。
完成本Citrix网关清单中“Citrix网关基本网络连接”部分的项目。
当完成这些项目时,接口0将这个Citrix网关连接到Internet,接口1将这个Citrix网关连接到第二个DMZ中的Citrix网关。
在主设备上配置第二个DMZ设备信息。
要将Citrix Gateway配置为双跳DMZ中的第一个跳,必须在第一个DMZ中的设备上的第二个DMZ中指定Citrix Gateway的主机名或IP地址。在指定在第一个跳中在设备上配置Citrix Gateway代理之后,将其全局绑定到Citrix Gateway或虚拟服务器。
记下设备之间的连接协议和端口。
要将Citrix网关配置为双DMZ中的第一个跃点,必须指定连接协议和第二个DMZ中Citrix网关侦听连接的端口。连接协议和端口是带有SSL的SOCKS(默认端口443)。协议和端口必须通过分隔第一个DMZ和第二个DMZ的防火墙打开。
第二个DMZ中的Citrix Gateway
第二个DMZ是最接近您的内部安全网络的DMZ。部署在第二个DMZ区域的Citrix Gateway作为ICA流量的代理,在外部用户设备和内部网络服务器之间穿过第二个DMZ区域。
完成本Citrix网关清单中“Citrix网关基本网络连接”部分的任务。
当完成这些项目时,接口0将这个Citrix网关连接到第一个DMZ中的Citrix网关。接口1连接该Citrix网关到安全网络。