传输层安全性(TLS)据/h1>
Citrix虚拟应用程序和桌面preen协议TLS (Transport Layer Security) pour les connections TCP entrcomponents。Citrix虚拟应用和桌面preégalement en charge le protocol DTLS(数据报传输层安全)pour les connections ICA/HDX basées sur UDP, en isisant le据a href="//m.giftsix.com/docs/fr-fr/citrix-virtual-apps-desktops/technical-overview/hdx/adaptive-transport.html">运输adaptatif据/a>.据/p>
TLS和DTLS发送类似信息和prenent en charge les mêmes certificats numériques。Citrix Virtual Apps和Citrix Virtual Desktops pour utiliser TLS le configure également pour utiliser DTLS。Utilisez les procédures suivantes;les étapes suivantes sont communes à TLS et DTLS sauf mention contrary:据/p>
Obtenez,安装和注册一个服务证书给我们的交付控制器,并配置一个端口和一个证书TLS。倒入加上去的细节,consultez拉节据a href="//m.giftsix.com/docs/fr-fr/citrix-virtual-apps-desktops/secure/tls.html">安装程序Les Certificats De Servicur TLS SUR DES控制器据/a>.据/p>
如果您不使用HTTP和HTTPS,您可以修改控制器使用的端口écouter流量。据/p>
Citrix Workspace et Virtual Delivery Agents (VDA) en renseignant les tâches suivantes:据/p>
- 在机器上配置TLS,以便进行VDA est安装(PAR-COMMODIE,LES RefEnErrices AUX机器UR LeqQueLES LES VDA SONT安装的SOT简化SOAPLEE ES VDA据a href="//m.giftsix.com/docs/fr-fr/citrix-virtual-apps-desktops/secure/tls.html">Paramètres TLS sur les VDA据/a>.我的堡垒recommandé d 'utiliser le脚本PowerShell为Citrix配置TLS/DTLS。倒入加上去的细节,consultez拉节据a href="//m.giftsix.com/docs/fr-fr/citrix-virtual-apps-desktops/secure/tls.html">Configur TLS SUR UN VDAàl'AideDu脚本PowerShell据/a>.请注意,如果您需要TLS/DTLS组件,请咨询我们的部门据a href="//m.giftsix.com/docs/fr-fr/citrix-virtual-apps-desktops/secure/tls.html">根据VDA配置部件TLS据/a>.据/li>
Configurez TSL丹斯莱groupes德濑处置contenant莱VDA EN执行者未JEU德的cmdlet的PowerShell丹斯工作室。倒入加上去的细节,consultez拉节据a href="//m.giftsix.com/docs/fr-fr/citrix-virtual-apps-desktops/secure/tls.html">配置者TLS河畔莱groupes德濑处置据/a>.据/p>
配置要求和considérations:据/p>
- L'激活des Connexions TLS Entre Les UtiliSateurs et Les VDA EST VALIDE SULD LES网站Xenapp 7.6 et Xendesktop 7.6,Ainsi Que Les版本Ultérieures拍摄。据/li>
- Configurez TLS Dans Les Groupes deMiseàIsmositionet levaaprèsl'安装de Comporants,Créezberstem,Créezdes Catalogs de Machines,etCréezdes Groupes deMiseàSitrosition。据/li>
- 在配置文件à配置组中配置TLS,您需要配置控制器règles d 'accès的修改授权。联合国行政官完成possède cette授权。据/li>
- 倒入配置者TLS河畔莱VDA,VOUS devez理由未administrateur的Windows河畔拉机河畔laquelle乐VDA ESTinstallé。据/li>
- Sur les VDA regroupés qui sont provisionnés par Machine Creation Services ou Provisioning Services, l 'image de la Machine VDA est réinitialisée au redémarrage, entraînant la perte des paramètres TLS précédents。Exécutez le script PowerShell check fois que le VDA est redémarré pour reconfigrer les paramètres TLS。据/li>
Avertissement:据/strong>
倒莱环节魁incluent L'利用杜视窗登记簿,LA修改杜登记簿peut夹带德sérieuxproblèmes魁pourraientnécessiter拉重装德VOTRE SYSTEME和开采。思杰东北peut garantir拉possibilité德résoudre莱problèmesprovenant D'UNE mauvaise利用DE L'Éditeur杜登记簿。VOUS assumez L'合奏德risques在于A L'利用DE L'Éditeur杜登记簿。Veillezàfaire fore copie de Sauvegarde de Votre Registre Avant De Le Modifier。据/p>
在données网站的基础上再加上激活TLS的信息,请参阅这个部分据a href="//m.giftsix.com/support/article/ctx137556" rel="noopener noreferrer" target="_blank">CTX137556据/a>.据/p>
安装程序Les Certificats De Servicur TLS SUR DES控制器据/h2>
使用HTTPS,使用服务XML,使用fonctionnalités TLS,服务端证书和客户端证书的区别。请参阅décrit节在交付控制器中TLS证书的获取和安装。Les mêmes étapes peuvent être appliquées aux Cloud Connector pour chiffrer le trafficsta et XML。据/p>
IL存在Différentsd'autoritésde认证etméthodepledemander联合国证书,Mais CET文章DécritL'AutoritéDe认证微软。L'AutoritéDe认证Microsoft Doit Dispoor D'UNModèledeCertificatéAvec认证Du Servicur Comme Objectif。据/p>
Si l 'autorité de certification Microsoft est intégrée à un domain Active Directory ou à la forêt approuvée à laquelle les Delivery Controller sont joint, vous pouvez acquérir un certificat à partir de l 'Assistant components certificates logiciel enficel MMC certificates题词。据/p>
要求提供安装证书据/h3>
- 在交付控制器上,我们提供控制台MMC和组件逻辑认证证书。你可以通过êtes invité, sélectionnez来计算。据/li>
Developpez据strong>人员>证书据/strong>,PUIS utilisez拉COMMANDE德菜单contextuel据strong>Toutes les tâches >需要新证书据/strong>.据/p>
![Composant logiciel enfichable MMC Certificats“data-src=]()
- Chiquez Sur.据strong>桑丹据/strong>请继续据strong>桑丹据/strong>倒入兑阙VOUS obtenez乐certificatàpartir DE L'题词Active Directory中。据/li>
SélectionzeLeModèlede Certificatient d'认证du服务。Si LeModèleAétéConfiguréPleofnir自动化Les Valeurs du Sujet,Vous Pouvez Criuder Sur据strong>Inscrire据/strong>无fournir加上détails。据/p>
![BOITE德对话供需DES certificats“data-src=]()
倒入fournir加上去详细河畔乐德MODELE certificat,cliquez河畔乐布顿弗莱切据strong>细节据/strong>Et configurez les éléments suivants:据/p>
诺姆杜苏杰据/strong>:sélectionnez喃COMMUN等ajoutez乐NOM德酒庄结束于杜交付控制器。据/p>另一个笔名据/strong>: sélectionnez DNS et ajoutez le nom de domaine complete du Delivery Controller。据/p>![证书所有权“data-src=]()
SSL/TLS端口配置据/h3>
- Ouvrez UNEFenêtre两家德COMMANDE PowerShell的连接坦qu'administrateur德拉机。据/li>
Exécutez les commandes suivantes pour obtenir le 'application of service Broker:据/p>
New-PSDrive据/span>-名字据/span>HKCR据/span>-PSProvider据/span>登记处据/span>-根据/span>HKEY_CLASSES_ROOT据/span>Service_Guid美元据/span>=据/span>Get-ChildItem据/span>HKCR: \安装\产品据/span>-重现据/span>ea据/span>0.据/span>|据/span>在哪里 - 对象据/span>{据/span>$钥匙据/span>=据/span>$据/span>\ _据/span>;据/span>$据/span>\ _。GetValueNames据/span>()据/span>|据/span>ForEach-Object据/span>{据/span>$钥匙据/span>.据/span>方法据/span>(据/span>$据/span>\ _据/span>)据/span>}据/span>|据/span>在哪里 - 对象据/span>{据/span>$据/span>\ _据/span>-喜欢据/span>Citrix代理服务的据/span>}据/span>}据/span>|据/span>选择-对象据/span>的名字据/span>Service_Guid美元据/span>.据/span>的名字据/span>匹配据/span>“[A-Z0-9] *美元”据/span>$Guid据/span>=据/span>$匹配据/span>[据/span>0.据/span>]据/span>[据/span>指南据/span>]据/span>$Guid据/span>=据/span>$Guid据/span>Remove-PSDrive据/span>-名字据/span>HKCR据/span>写主机据/span>“代理服务应用程序GUID:据/span>$(据/span>$Guid据/span>)据/span>“据/span>-前底色据/span>黄色据/span>据据/span>!!据/span>--需求副本据/span>--据/span>>据/span>
Exécutez les commandes suivantes dans la même fenêtre PowerShell pour obtenir l 'empreinte numérique du certificat que you avez installé précédemment:据/p>
美元的主机据/span>的名字据/span>=据/span>([据/span>system.net。据/span>DNS据/span>] ::据/span>的gethostbyname据/span>((据/span>$据/span>env据/span>:据/span>computerName据/span>)))据/span>.据/span>主机名据/span>$指纹据/span>=据/span>(据/span>Get-ChildItem据/span>路径据/span>证书:\ LOCALMACHINE \我的据/span>|据/span>在哪里 - 对象据/span>{据/span>$ _据/span>.据/span>主题据/span>匹配据/span>(据/span>“CN =”据/span>+据/span>美元的主机据/span>的名字据/span>)})据/span>.据/span>钟表据/span>-加入据/span>“;”据/span>写主机据/span>-目的据/span>“的证书指纹”据/span>$(据/span>美元的主机据/span>的名字据/span>):据/span>$据/span>(据/span>$指纹据/span>)据/span>“据/span>-前景据/span>黄色据/span>据据/span>!!据/span>--需求副本据/span>--据/span>>据/span>
例如,我们命令用户为配置服务代理和使用服务代理提供SSL/TLS端口,并为客户提供证书:据/p>
IPV4_Address美元据/span>=据/span>测试连接据/span>-ComputerName据/span>美元的主机据/span>的名字据/span>-数数据/span>1据/span>|据/span>选择-对象据/span>-ExpandProperty据/span>IPV4Address据/span>IPPort美元据/span>=据/span>“据/span>$(据/span>IPV4_Address美元据/span>)据/span>: 443”据/span>$ SSLxml据/span>=据/span>"http add sslcert ipport= .据/span>IPPort美元据/span>certhash =据/span>$指纹据/span>appid = {据/span>$Guid据/span>}”据/span>$ SSLxml据/span>|据/span>netsh据/span>.据/span>netsh据/span>http据/span>显示据/span>sslcert.据/span>据据/span>!!据/span>--需求副本据/span>--据/span>>据/span>
Developpez据strong>人员>证书据/strong>,PUIS utilisez拉COMMANDE德菜单contextuel据strong>Toutes les tâches >需要新证书据/strong>.据/p>
SélectionzeLeModèlede Certificatient d'认证du服务。Si LeModèleAétéConfiguréPleofnir自动化Les Valeurs du Sujet,Vous Pouvez Criuder Sur据strong>Inscrire据/strong>无fournir加上détails。据/p>
倒入fournir加上去详细河畔乐德MODELE certificat,cliquez河畔乐布顿弗莱切据strong>细节据/strong>Et configurez les éléments suivants:据/p>
诺姆杜苏杰据/strong>:sélectionnez喃COMMUN等ajoutez乐NOM德酒庄结束于杜交付控制器。据/p> 另一个笔名据/strong>: sélectionnez DNS et ajoutez le nom de domaine complete du Delivery Controller。据/p>
- Ouvrez UNEFenêtre两家德COMMANDE PowerShell的连接坦qu'administrateur德拉机。据/li>
Exécutez les commandes suivantes pour obtenir le 'application of service Broker:据/p>
New-PSDrive据/span>-名字据/span>HKCR据/span>-PSProvider据/span>登记处据/span>-根据/span>HKEY_CLASSES_ROOT据/span>Service_Guid美元据/span>=据/span>Get-ChildItem据/span>HKCR: \安装\产品据/span>-重现据/span>ea据/span>0.据/span>|据/span>在哪里 - 对象据/span>{据/span>$钥匙据/span>=据/span>$据/span>\ _据/span>;据/span>$据/span>\ _。GetValueNames据/span>()据/span>|据/span>ForEach-Object据/span>{据/span>$钥匙据/span>.据/span>方法据/span>(据/span>$据/span>\ _据/span>)据/span>}据/span>|据/span>在哪里 - 对象据/span>{据/span>$据/span>\ _据/span>-喜欢据/span>Citrix代理服务的据/span>}据/span>}据/span>|据/span>选择-对象据/span>的名字据/span>Service_Guid美元据/span>.据/span>的名字据/span>匹配据/span>“[A-Z0-9] *美元”据/span>$Guid据/span>=据/span>$匹配据/span>[据/span>0.据/span>]据/span>[据/span>指南据/span>]据/span>$Guid据/span>=据/span>$Guid据/span>Remove-PSDrive据/span>-名字据/span>HKCR据/span>写主机据/span>“代理服务应用程序GUID:据/span>$(据/span>$Guid据/span>)据/span>“据/span>-前底色据/span>黄色据/span>据据/span>!!据/span>--需求副本据/span>--据/span>>据/span>
Exécutez les commandes suivantes dans la même fenêtre PowerShell pour obtenir l 'empreinte numérique du certificat que you avez installé précédemment:据/p>
美元的主机据/span>的名字据/span>=据/span>([据/span>system.net。据/span>DNS据/span>] ::据/span>的gethostbyname据/span>((据/span>$据/span>env据/span>:据/span>computerName据/span>)))据/span>.据/span>主机名据/span>$指纹据/span>=据/span>(据/span>Get-ChildItem据/span>路径据/span>证书:\ LOCALMACHINE \我的据/span>|据/span>在哪里 - 对象据/span>{据/span>$ _据/span>.据/span>主题据/span>匹配据/span>(据/span>“CN =”据/span>+据/span>美元的主机据/span>的名字据/span>)})据/span>.据/span>钟表据/span>-加入据/span>“;”据/span>写主机据/span>-目的据/span>“的证书指纹”据/span>$(据/span>美元的主机据/span>的名字据/span>):据/span>$据/span>(据/span>$指纹据/span>)据/span>“据/span>-前景据/span>黄色据/span>据据/span>!!据/span>--需求副本据/span>--据/span>>据/span>
例如,我们命令用户为配置服务代理和使用服务代理提供SSL/TLS端口,并为客户提供证书:据/p>
IPV4_Address美元据/span>=据/span>测试连接据/span>-ComputerName据/span>美元的主机据/span>的名字据/span>-数数据/span>1据/span>|据/span>选择-对象据/span>-ExpandProperty据/span>IPV4Address据/span>IPPort美元据/span>=据/span>“据/span>$(据/span>IPV4_Address美元据/span>)据/span>: 443”据/span>$ SSLxml据/span>=据/span>"http add sslcert ipport= .据/span>IPPort美元据/span>certhash =据/span>$指纹据/span>appid = {据/span>$Guid据/span>}”据/span>$ SSLxml据/span>|据/span>netsh据/span>.据/span>netsh据/span>http据/span>显示据/span>sslcert.据/span>据据/span>!!据/span>--需求副本据/span>--据/span>>据/span>
Lorsqu 'elle est correct configurée, la sortie de la dernière command据code class="language-plaintext highlighter-rouge">.netsh http show sslcert据/code>indique阙L'écouteur利用勒庞据code class="language-plaintext highlighter-rouge">IP:端口据/code>等阙据code class="language-plaintext highlighter-rouge">应用程序ID据/code>对应于服务代理的应用程序的GUID。据/p>
硅莱serveurs approuvent乐certificatinstallé河畔莱交付控制器,VOUS pouvezdésormais配置者莱交付控制器店面和les联络员STA的Citrix网关倒utiliser HTTPS AU柳堤HTTP。据/p>
雷马克:据/strong>
思乐控制器ESTinstallé河畔的Windows Server 2016等阙店面ESTinstallé河畔的Windows Server 2012 R2,UNE修改德拉配置ESTnécessaireAU niveau杜控制器,倒修改骑士勋章德套房德chiffrement TLS。CETTE修改德拉配置n'est PASnécessaire倒乐控制器等店面AVEC德combinaisons其他残疾德版本德的Windows Server。据/p>
拉清单当然德公共秩序德拉套房德chiffrement DOIT inclure商旅德chiffrement据code class="language-plaintext highlighter-rouge">TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384据/code>欧据code class="language-plaintext highlighter-rouge">TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256据/code>(ou les deux);我们的套间是précéder,我们的套间是据code class="language-plaintext highlighter-rouge">TLS_DHE_据/code>.据/p>
- 丹斯L'éditeur德stratégie德GROUPE微软,accédezà据strong>配置纵序>Modèlesd'ministration>Réseau>paramètresde配置SSL据/strong>.据/li>
- Modifiez la stratégie«授权证书»。Par défaut, cette stratégie est définie sur Non configuré。Définissez cette stratégie sur Activé。据/li>
- Organisez商旅丹斯骑士勋章approprié;supprimez商旅德chiffrement阙VOUS NE souhaitez PAS utiliser。据/li>
请放心据code class="language-plaintext highlighter-rouge">TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384据/code>欧据code class="language-plaintext highlighter-rouge">TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256据/code>先例商旅德chiffrement据code class="language-plaintext highlighter-rouge">TLS_DHE_据/code>.据/p>
在微软MSDN,报告您également à la节据a href="https://docs.microsoft.com/en-gb/windows/desktop/SecAuthN/prioritizing-schannel-cipher-suites" rel="noopener noreferrer" target="_blank">Priorité des suites de chiffement channel据/a>.据/p>
Modifier les ports HTTP ou HTTPS据/h2>
Par défaut,控制器的XML服务écoute流量HTTP端口80和HTTPS端口443。很好,你们可以使用港口différents,也可以使用défaut,不可以使用sécurité亲戚à,不可以使用控制器à,也可以使用réseaux,不可以使用approuvés。Le déploiement d 'un serveur StoreFront自治为préférable à,值为défaut。据/p>
Pour modifier la valeur par défaut des ports HTTP ou HTTPS utilisés par le Controller, exécutez la commande suivante à partir de Studio:据/p>
BrokerService.exe -WIPORT \
欧据code class="language-plaintext highlighter-rouge"> 雷马克:据/strong> Après avoir modifié在这里,我可以给我们的工作室发一条信息compatibilité和协议à许可证。Pour résoudre le problème, ré-enregistrez les instances de service à l 'aide de la séquence de l 'applet de commande PowerShell suivante:据/p>
如果您不知道服务XML忽略流量HTTP, créez le paramètre在控制器上注册,并使用HKLM\Software\Citrix\DesktopServer\ et redémarrez le服务代理。据/p>
Pour ignore le traffic HTTP, créez un DWORD XmlServicesEnableNonSsl et définissez-le sur 0。据/p>
存在一个注册DWORD对应的值,你可以在créer中忽略流量HTTPS: DWORD XmlServicesEnableSsl。我保证它不等于définie等于0。据/p>
我们的安排à不能用mélange d 'un VDA avec TLS configuré,也不能用VDA sans TLS configuré。预先配置协议TLS提供协议组à配置,您必须通过déjà configuré TLS提供协议组à配置。据/p>
请您根据VDA配置协议TLS,根据证书TLS installé sont modifiées,提供服务ICA un accès en lecture à la clé privée du certificat, et通知服务ICA opérations suivantes:据/p>
QUELNÚMERO德端口TCP utiliser倒莱CONNEXIONS TLS据/strong>.据/p> 乐怕惹-FEU的Windows(s'il EST ACTIVE)DOIT理由倒配置莱斯autoriser CONNEXIONS entrantes河畔CE TCP端口。CETTE配置ESTeffectuée倒VOUS SI VOUS utilisez乐脚本的PowerShell。据/p> 版本du protocole tlsà自动取镜。据/strong> 重要的 :据/strong> Citrix您可以推荐vérifier leur utilisation de SSLv3和de reconfigurer ces déploiements pour suprimer la prise en charge de SSLv3, le cas échéant。Consultez据a href="//m.giftsix.com/support/article/CTX200238" rel="noopener noreferrer" target="_blank">CTX200238据/a>.据/p>
莱斯版本prises烯电荷杜protocole TLS suivent UNEhiérarchie(德拉加巴塞点菜加élevée):SSL 3.0,TLS 1.0,TLS 1.1等TLS 1.2。SpécifiezLA版minimaleautorisée;所有领域LES CONNEXIONS德protocole utilisant CETTE版欧版新英格兰高等SONTautorisées。据/p> 帕为例,SI VOUSspécifiezTLS 1.1版本COMME minimale,莱CONNEXIONS德protocole TLS 1.1等TLS 1.2 SONTautorisées。硅VOUSspécifiezSSL 3.0连接坦阙版本minimale,莱CONNEXIONS倒带电荷SONT alorsautorisées所有领域莱版本prises。硅VOUSspécifiezTLS 1.2版本COMME minimale,seules莱CONNEXIONS TLS 1.2 SONTautorisées。据/p> DTLS 1.0对应à TLS 1.1, et DTLS 1.2对应à TLS 1.2。据/p> 套间,TLS à授权。据/strong> 您可以选择在连接处使用密码。客户和VDA prendre在chiffrement套房中的费用。Lorsqu'un客户(应用Citrix Workspace ou StoreFront)se连接和环境,以收取费用,并与客户的chiffrement套房相对应,以配置和接受连接。这是一种与婚姻相关的生活方式。据/p> VDA充电的三套设备(également appelés模式conformité): GOV(政府),COM(商业)和ALL(全部)。Les suites de chifferve acceptables dépendent du mode FIPS Windows;看到据a href="http://support.microsoft.com/kb/811833" rel="noopener noreferrer" target="_blank">http://support.microsoft.com/kb/811833据/a>在FIPS窗口模式下添加信息。Le tableau suivant répertorie les suites de chiffement compris dans chaque ensemble:据/p> *Windows Server 2012 R2的非pris en费用。据/p>
雷马克:据/strong> 乐VDA NE出了点PAS带电荷商旅德chiffrement DHE(参数为例,TLS_DHE_RSA_WITH_AES_256_GCM_SHA384,TLS_DHE_RSA_WITH_AES_256_CBC_SHA,TLS_DHE_RSA_WITH_AES_128_GCM_SHA256等TLS_DHE_RSA_WITH_AES_128_CBC_SHA)。硅SONT埃尔斯齐名sélectionnées的Windows,埃尔斯NE peuvent PAS理由utilisées相提并论接收机。据/p>
如果您使用Citrix网关,请报告您à文档Citrix ADC为您提供信息,并为通信后端提供服务。为您提供额外的信息,并向您提供全套服务据a href="//m.giftsix.com/docs/en-us/citrix-adc/13/ssl/ciphers-available-on-the-citrix-adc-appliances">Suites de Chiffrest Dixonible Sur Les Appliances Citrix ADC据/a>.倒入加D'信息河畔拉奖恩负责德拉套房德chiffrement DTLS,reportez-VOUS点菜节据a href="//m.giftsix.com/docs/en-us/citrix-adc/13/ssl/support-for-dtls-protocol.html">价格和费用都是固定的据/a>.据/p>
在zone Ordinateur local > Personnel > certificate du magasin de certificates中安装证书。Si plusieurs certificats résident à cet emplacement, fournissez l 'empreinte numérique du certificat au script PowerShell。据/p>
雷马克:据/strong> À computer de XenApp et XenDesktop 7.16 LTSR, le script PowerShell trouve le certificate approprié en function du nom de domaine compleet du VDA。你们不能在这里注册,如果有一个证书在présent,你们可以在VDA上注册。据/p>
Enable-VdaSSL Le脚本。ps1激活ou désactive l ' écouteur TLS sur un VDA。这个脚本在档案中是可删除的据em>支持>工具> SslSupport据/em>SUR LE支持D'安装。据/p>
如果您有订单,请寄到désactivées。我的套间是affectées。据/p>
Lorsque VOUS activez乐protocole TLS,乐脚本désactive所有领域莱règles去消减-FEU的Windows existantes倒乐端口TCPspécifié。套间,IL ajoute UNE REGLE归仁柏美AU服务ICA D'受主莱CONNEXIONS entrantes uniquement河畔莱端口TLS TCP UDP等。塞拉désactiveégalement莱règles杜佩尔 - FEU的Windows倒:据/p>
使用TLS或DTLS的连接器是唯一的。我们不能在WebSocket中使用ICA/HDX, ICA/HDX和HDX,没有TLS和DTLS。据/p>
雷马克:据/strong> DTLS通过UDP实时传输为avec ICA/HDX音频充电。据/p>
Consultez据a href="//m.giftsix.com/docs/fr-fr/tech-zone/build/tech-papers/citrix-communication-ports.html">港口网格据/a>.据/p>
乐脚本contient DES描述德拉syntaxe suivante,AINSI阙德exemples其他残疾;VOUS pouvez utiliser未OUTIL电话阙乐阵营,票据++倒咨询者CES信息。据/p>
重要的 :据/strong> Spécifiez soit le paramètre Enable ou Disable de même que le paramètre CertificateThumbPrint。其余的都是教员。据/p>
Le Script Suivant Installe等Active La Version De Protocole TLS。L 'empreinte numérique (représentée en tant que«12345678987654321»dans cet example) est utilisée pour sélectionner le certificat à utiliser。据/p>
脚本安装和激活écouteur TLS和spécifie端口TLS 400, TLS 1.2协议最小值。L 'empreinte numérique (représentée en tant que«12345678987654321»dans cet example) est utilisée pour sélectionner le certificat à utiliser。据/p>
Le script suivant désactive l ' écouteur TLS sur Le VDA。据/p>
那时de la配置manuelle de TLS在联合国的共识,你们offrez联合国acc en讲座generique la cle privee du,证明TLS pour le服务每approprie苏尔VDA: NT服务\ PorticaService倒联合国VDA倒OS mono-session Windows或者NT服务\ TermService倒联合国VDA倒OS multi-session Windows。Sur la machine Sur laquelle le VDA est installé:据/p>
ETAPE 1据/strong>.MMC (Microsoft Management console): Démarrer > Exécuter > MMC .exe。据/p>
ETAPE 2据/strong>.Ajouter le composant logiciel enficables Certificats à la console MMC:据/p>
ETAPE 3据/strong>.Sous Certificats(Ordinateur本地)>人员> Chricez Avec Le Bouton Droit de La Souris Sur Le Certificat,PuisSélectionnzToutesLesTâches>GérerLesClésProvées。据/p>
兵站4。据/strong>L'Éditeur德清单当然德CONTROLE德ACCES网站公告«Autorisations倒LES CLESprivées(NomConvivial)»Où(NomConvivial)EST乐NOM DE VOTRE certificat TLS。Ajoutez L'联合国DES服务suivants等accordez雷先生未ACCES EN演讲:据/p>
Étape5。据/strong>Cliquez deux fois sur le certificate at TLS installé。Dans la boîte de dialogue du certificat, sélectionnez l’onglet Détails, puis faites défiler vers le bas。Cliquez sur Empreinte numérique。据/p>
兵站6。据/strong>Exécutez la command regedit et renz -vous sur HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\icawd。据/p>
硅VOUS souhaitez修改莱斯参数应用相提并论défaut(facultatif),utilisez LES信息suivantes丹斯乐即使得到舍曼D'ACCES杜登记簿:据/p> SSLPort DWORD:numéro de port SSL。Valeul-Pd Fefut:443。据/p> SSLMinVersion DWORD: 1 = SSL 3.0, 2 = TLS 1.2, 3 = TLS 1.1, 4 = TLS 1.2。面值défaut: 2 (TLS 1.2)。据/p> SSLCipherSuite DWORD: 1 = GOV, 2 = COM, 3 = ALL。价格défaut: 3(全部)。据/p> 兵站7。据/strong>Assurez-VOUS阙莱端口TLS TCP UDP等SONT ouverts丹斯乐帕雷-FEU的Windows s'il NE s'agit PAS德拉valeur面值défaut(443)。(LORS德拉CRÉATION德拉REGLE德TRAFIC参赛者丹斯乐帕雷-FEU的Windows,assurez-VOUS阙SESpropriétéspossèdent莱主菜sélectionnées«Autoriser拉联接»等«活跃»)。据/p>
É磁带8。据/strong>确保您的应用程序和服务(IIS)使用TCP TLS端口。据/p>
兵站9。据/strong>倒莱VDA倒OS多会话窗口,redémarrez拉机倾阙莱修改prennent effet。(IL n'est PASnécessaire德redémarrer莱机contenant德VDA倒OS单 - 会话窗口)。据/p>
重要的 :据/strong> Une étape supplémentaire est nécessaire lorsque le VDA se trouve sur un Server Windows Server 2012 R2, Windows Server 2016 ou Windows 10 Anniversary Edition ou Une version ultérieure prise en chargeCela影响les connections à partir de Citrix Receiver pour Windows (version 4.6 à 4.9), l 'application Citrix Workspace pour HTML5和l 'application Citrix Workspace pour Chrome。Cela inclut également les connections utilisant Citrix Gateway。据/p>
Cette étape est également requise pour outes les connexions utilisant Citrix Gateway, pour outes les versions de VDA, si TLS est configuré entre Citrix Gateway et le VDA。Cela affte toutes les versions de Citrix Receiver。据/p>
在VDA(Windows Server 2012 R2,Windows Server 2016 ou Windows 10周年纪念版ou Ulteérieure)上,在集团战略的指导下,根据配置坐标>战略>管理模式>资源>配置参数SSL>chiffrement SSL命令。Sélectionnez l'ordre suivant:据/p>
雷马克:据/strong> 《elliptique六国总理会议》,第384页和第256页。确保您选择的“曲线25519”不符合选择。模式FIPS n'empêche pas l'use de l'option«curve25519»。据/p>
Lorsque CeparamètrededrateceneestConfiguré,LeVdaSélectiona联合国套房De Chiffrest独裁Si Elle Apparaîtdansles deux列表:la listestratégiesde groupe et la liste pourle mode deconformitésélectionné(com,gov ou全部)。La Suite de Chiffrest DoitÉgalementS'afficherDans La ListeEnvoyéeparle客户端(Application Citrix Workspace Ou Storefront)。据/p>
stratégie组的配置影响également其他应用程序和服务在VDA上的TLS。如果您想申请requièrent des suites de chiffement spécifiques,您可以申请à la list Stratégie de group。据/p>
重要的 :据/strong> Même si les changes de stratégie de groupe sont affichées lorsqu 'elles sont appliquées, les changes de stratégie de groupe pour la configuration TLS ne prenent effet 'après le redémarrage du système d 'exploitation。Par conséquent, pour les bureaux regroupés, appliquez les modifications de stratégie de groupe pour la configuration TLS à l 'image de base。据/p>
有效的:procédure pour chque group de mise à disposition qui continentes les VDA VDA您avez configurés pour les connection TLS。据/p>
如果产品有错误,请参阅événements système du VDA杂志。据/p>
您可以使用Citrix应用程序工作区来安装Windows,您可以接收连接错误和独立错误、桌面查看器和您重新连接的信息。这是一首安可曲,是对问题的描述。PAR免责,Vo.Avez Sp'Ciffiununmod。据/p>
香格里拉plupart DES配置utilisant HDX自适应输运fonctionnent AVEC DTLS,Y compris CELLES魁utilisent莱dernières版本去应用的Citrix工作区,思杰网关等VDA。Certaines配置魁utilisent DTLS恩特雷里奥斯应用的Citrix工作区等的Citrix网关等魁utilisent DTLS恩特雷里奥斯思杰网关等乐VDArequièrentDES行动supplémentaires。据/p>
Des actions supplémentaires sont nécessaires si:据/p>
这是贴花的条件également据/p>
Citrix Gateway preen charge DTLS sur le VDA, mais la version VDA ne preen charge DTLS (version 7.15 ou antérieure)据/p> LA版VDA出了点带电荷DTLS(7.16版本OUultérieure),MAIS LA版本的Citrix网关网元出了点PAS带电荷DTLS河畔乐VDA。据/p> Pour éviter l ' échec des cirix Receiver, efftuez l ' une des opérations suivantes:据/p>
雷马克:据/strong> UNE MISEàjourpropropriée倒接收器倒入Linux n'est Pas Encoreible。接收器倒入Android(版本3.12.3)NE PREND PAS通过Citrix Gateway et N'est DONC PAS Chanction HDX自适应传输等DTL。据/p>
将désactiver DTLS配置为VDA,修改VDA配置为désactiver le port UDP 443。Consultez据a href="//m.giftsix.com/docs/fr-fr/tech-zone/build/tech-papers/citrix-communication-ports.html">港口网格据/a>.据/p>
Windows通信框架(WCF)的消息保护sécurise控制器和VDA之间的通信。一个保护supplémentaire au niveau du transport à我的助手不需要。配置WCF在控制器和VDA之间使用Kerberos相互认证。加密使用AES en mode CBC avec une clé 256位。L 'intégrité des messages est assurée par SHA-1。据/p>
根据微软,莱斯据a href="https://docs.microsoft.com/en-us/dotnet/framework/wcf/feature-details/security-protocols" rel="noopener noreferrer" target="_blank">协议据/a>DeSe CurITE UTILIE的PAR WCF SONT符合AUX规范OASIS(组织结构信息标准的进展),Y-Cabasa La StuteGeWS Security Prand 1.2。事实上,微软独立于WCF,并将其应用于各种算法据a href="http://www.oasis-open.org/committees/download.php/23821/ws-securitypolicy-1.2-spec-cs.pdf" rel="noopener noreferrer" target="_blank">stratégie安全局1.2据/a>.据/p>
通信中心的控制器和VDA使用基本的算法256,而不是独立的算法。据/p>
Vous Pouvez UtiliSer La RedirectionVidéoHTML5 et La Redirection du Contenu du Navigeur Pout Rediriger Les Sites Web HTTPS。Le Code JavaScriptInjectéSurCES网站WebDoitétablirUne Connexion TLS Avec Le Service De RedirectionVidéoCitrixHDX HTML5 QuiS'Exécutesur le vda。Pour Ce Faire,Le Service De RedirectionVidéoHTML5Génèredeux认证Personnalisésdansle magasin de certificats sur le vda。l'arrêtdeserving supprime les certificats。据/p>
La重定向vidéo HTML5 est désactivée par défaut。据/p>
航向修正号航标。据/p>
Pour plus d'informations sur la redirection de la vidéo Pour HTML5,consultez la section据a href="//m.giftsix.com/docs/fr-fr/citrix-virtual-apps-desktops/policies/reference/ica-policy-settings/multimedia-policy-settings.html">paramètresdestratégiemultimédia据/a>.据/p>
Get-ConfigRegisteredServiceInstance -ServiceType Broker -Binding XML_HTTPS | unregisteredserviceinstance Get-BrokerServiceInstance | where Binding -eq "XML_HTTPS" | Register-ConfigServiceInstance 据/code>
贴花le流量HTTPS唯一据/h3>
Paramètres TLS sur les VDA据/h2>
Suite de Chiffrent TLS / DTLS据/strong>
所有据/strong>
com据/strong>
GOV.据/strong>
所有据/strong>
com据/strong>
GOV.据/strong>
FIPS模式据/strong>
Désactivé据/td>
Désactivé据/td>
Désactivé据/td>
活跃的据/td>
活跃的据/td>
活跃的据/td>
TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 *据/td>
X据/td>
X据/td>
X据/td>
X据/td>
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384据/td>
X据/td>
X据/td>
X据/td>
X据/td>
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA据/td>
X据/td>
X据/td>
X据/td>
X据/td>
Configur TLS SUR UN VDAàl'AideDu脚本PowerShell据/h3>
句法据/h4>
启用-VdaSSL {-Enable |-disable} -CertificateThumbPrint “<指纹>”[-SSLPort <端口>] [-SSLMinVersion “<分钟的SSL版本>”] [-SSLCipherSuite “\ <套件>”]据/code>
标记为据/strong>
描述据/strong>
演员据/td>
在VDA上安装并激活écouteur TLS。所以我们可以paramètre或者paramètre禁用它。据/td>
Desactiver据/td>
Désactive l ' écouteur TLS sur le VDA。所以它是paramètre或paramètre启用是必需的。如果您spécifiez ce paramètre,那么您就可以访问paramètre,它是有效的。据/td>
Certificatethumbprint“ Empreinte numérique du certificat TLS dans le magasin de certificats, entourée de guillemets。请将您想要使用的证书应用于numérique spécifiée。Si ce paramètre est omis, uncertificat错误est sélectionné。据/td>
SSLPort <端口>据/td>
端口TLS。Valeur pardéfaut:443据/td>
SSLMinVersion“<版本>”据/td>
版本minimale杜protocole TLS,entourés德guillemets。Valeurs valides:«TLS_1.0»(PARdéfaut),«TLS_1.1»等«TLS_1.2»。据/td>
SSLCipherSuite“> <套件”据/td>
Suite de chiffement TLS, entourés de guillemets。有效值为:«GOV»,«COM»et«ALL»(par défaut)。据/td>
例子据/h4>
Enable-VdaSSL -Enable -CertificateThumbPrint "12345678987654321"据/code>
启用VdaSSL-启用-证书humbprint“12345678987654321”-SSLPort 400-SSLMinVersion“TLS_1.2”-SSLCipherSuite“全部”据/code>
启用 - VdaSSL -Disable据/code>
根据VDA配置部件TLS据/h3>
Tls_ecdhe_rsa_with_aes_256_gcm_sha384_p384 tls_ecdhe_rsa_with_aes_256_cbc_sha384_p384 tls_ecdhe_rsa_with_aes_256_cbc_sha384_p384 tls_ecdhe_rsa_with_aes_256_cbc_sha384_p384 tls_ecdhe_rsa_with_aes_256_cbc_sha384_p384据/code>
配置者TLS河畔莱groupes德濑处置据/h3>
解决问题据/h3>
控制器和VDA之间的通信据/h2>
重定向视频TLS等HTML5 /重定向杜contenu杜navigateur据/h3>