Установка Citrix XenDesktop 7.1
План настройки XenDesktop 7.1 у меня такой (тут)
- Настройка контроллера домена (тут)
- Установка vCenter server, создание кластера, подключение хоста ESXi (тут)
- Установка XenDesktop 7.1 (тут)
- Удаленный доступ через NetScaler (тут)
- Тонкие клиенты для XenDesktop 7.1 (тут)
NetScaler Access Gateway
Программный продукт (virtual appliance) который необходим для организации удаленного доступа к Citrix XenDesktop, старый Citrix XenApp, Citrix Mobile и прочее. Я обычно публикую ссылки на дистрибутивы и инструкции по получению триальных ключей для тех у кого нет партнерского доступа. В этот раз помочь не могу, не знаю, как пользователю с улицы тестовый ключ получить, если у вас получится, сделайте скриншоты, пришлите мне пожалуйста.
Одна из версий, объясняющая эту ситуацию, Acess Gateway настолько сложен, что для его настройки обязательно понадобится помощь (координация, советы, наставничество) партнера Citrix. Типа того, что триал не поможет обычному админу, а наоборот, он разочаруется в продукте и плюнет на него с высокой колокольни.
2-ой негатив…
Настройка удаленного доступа через Citrix Access Gateway (теперь NetScaler Access Gateway), без преувеличения, можно назвать самым сложным этапом всей инсталляции. И так было всегда с Citrix, как будто специально усложняют моменты, которые, наоборот, нужно максимально упростить. Например, с VMware View нет вообще никаких проблем с настройкой удаленного доступа.
Где мы ищем инструкции по настройке? Конечно, открываем документацию на официальном сайте (edocs.citrix.com), но я лично не смог настроить по этим материалам, хоть и потратил много времени на то, чтобы разобраться какой из параметров за что отвечает, картинка не складывается. Второй источник, как всегда, это гугл с массой зарубежных статей, причем написаны они в разное время и про разные версии Access Gateway и изучая их иногда создается впечатление, что авторы настраивают вообще разные продукты…
В последних версиях Netscaler Access Gateway разработчики добавили мастер настройки, вы указываете небольшое количество параметров своей инфраструктуры, а визард создает кучу настроек. Это, конечно, решает проблему с настройкой, но если вы решаете что-то изменить, то проще переустановить AG, чем искать где нужно изменять параметры.
Настройка
Я хочу показать, что удаленный доступ работает и его можно настроить, при выполнении правильного порядка действий.
Для настройки в «боевой» среде вам потребуется действительный SSL сертификат для доменного имени. Когда внешние пользователи обращаются к NetScaler Access Gateway через браузер или напрямую через Citrix Receiver (Windows, Android) будет проверяться валидность сертификата, и если он самоподписанный или срок его действия истек, то Receiver ругнется и не будет подключаться. У iOS версии Receiver есть возможность отключить данную проверку.
У меня нет сертификата SSL, поэтому я выкручусь, как обычно.
Описание слайдов:
1-2 Захожу под своей учетной записью на сайт Citrix, скачиваю Vitrual appliance для VMware. Существуют также выпуски для Hyper-V, для XenServer. Крайняя доступная версия NetScaler Gateway 10.1.120.1216.e
3 Импортирую скачанный апплайнс в виртуальную среду, на моем тестовом стенде это VMware Workstation, но никакой разницы нет с ESXi
4 Запускаю, получившуюся после импорта виртуальную машину, ввожу основные настройки: IP адрес, маска, шлюз. После этого виртуальная машина перезагружается, самостоятельно переконфигурируется и готова принимать подключения.
5 Через браузер, лучше чтобы это был IE, переходим на страничку настройки по адресу, который указали ранее. Логин и пароль в NetScaler по-умолчанию «nsroot» «nsroot». В третьей строчке выбираем NetScaler Access Gateway, чтобы интерфейс настройки был тот, который нужно.
6 Попадаю в мастер настройки, где указываю, требуемые параметры. Hostname должен обязательно совпадать с тем, для которого вы генерировали лицензии на портале, регистр имеет значение.
7 Загружаю лицензию, которую ранее скачал с портала (на слайдах нет, как скачивать лицензию) через интерфейс в AG
8-10 После загрузки лицензии и ввода сетевых параметров сервер должен перезагрузиться.
11-12 После загрузки, ввода пароля попадаем в мастер настройки Access Gateway, это значит, что лицензия была принята успешно и можно продолжать. Если мастер у вас не запустился, то была допущена ошибка и дальше двигаться рано (такое часто бывает)
13 Начинаю вводить настройки самого Access Gatewy (до этого были настройки Netscaler). Name — название виртуального сервера AG, IP adress — сетевой адрес, который будет принимать внешние подключения, Port — порт для внешних подключений. Можно поставить галочку и небезопасные подключения на 80 порт, просто по http://доменному имени будут автоматически перенаправляться на 443 https://доменное имя
14 Если есть SSL сертификат для внешнего доменного имени (для справки, он платный) то на этой страничке его можно добавить, если нет, как в моем случае, то можно создать самоподписанный. Но при подключении к сайту по https будет выдаваться предупреждение безопасности, до тех пор, пока в операционную систему не будет установлен этот сертификат. Также до установки сертификата, подключения к Citrix XenDesktop проходить не будут из за ограничений Citrix Receiver.
Я создаю сертификат для выдуманного имени ag.itsave.ru
15 Настройки аутентификации. Когда пользователь попадает на веб страницу Access Gateway он должен ввести связку логин — пароль, и эта связка должна быть проверена, в моем случае, на домен контроллере. Чтобы эта процедура работала, я задаю следующие настройки (на слайде). sAMAccountname — означает, что пользователь должен ввести логин в виде domain\username
16 Если проверка логина — пароля проходит успешно, они передаются на StoreFront в Citrix, а для пользователя создается SSL VPN канал до веб страницы Storefront. На этом слайде указываю, до какую именно страницу будет перенаправлен пользователь. STA URL — Secury ticket authority — указываем адрес Storefront.
Это последний шаг мастера настройки
17 Проверяю, что виртуальный сервер Access Gateway был корректно создан, кликаю по нему, чтобы проверить настройки
18-23 Установка Java. Я советовал использовать IE Не просто так. Плохо работает в Chrome, Firefox, Opera. И не во всех версия IE, кстати, тоже.
24 Пробежимся по вкладкам. Сертификаты, вижу что сейчас задействован созданный ранее самоподписанный сертификат.
25-28 Проверяю, правильно ли я ввел параметры аутентификации.
29 Проверяю, что зеленым огоньком горит Secury ticket authority, значит что Access Gateway успешно соединился со StoreFront
30 Немного про IP адреса. Сейчас у моего NetScaler Access Gatewy 2 сетевые карты, которые смотрят в одну и туже подсеть. IP адреса к физическим сетевым картам жестко не привязаны, я никакие соответствия не выставлял ручками. Есть три типа виртуальных IP адресов про которые нужно знать в рамках настройки доступа к Citrix XenDesktop: VIP — virtula IP — адрес виртуально сервера Access Gateway, SIP — subnet IP — адрес по которому службы NetScaler (в том числе AG) взаимодействует с остальной инфраструктурой, например, со Storefront или AD, и последний NIP — NetScaler IP — адрес для настройки.
31 Перехожу на сервер Citrix XenDesktop, настройка продолжается. Первым делом прописываю придуманное доменное имя ag.itsave.ru в файл hosts.
32 — 38 Устанавливаю самоподписанный сертификат с Access Gateway в операционную систему где установлен Storefront. Это очень важный момент, т.к. общение происходит по 443 порту, сервер с XenDesktop должен доверять сертификатам AG.
100% последовательности добавления сертификата я добиться не могу, поэтому добавляю его до тех пор, пока не увижу отсутствия предупреждения в IE.
39 Нужно в Citrix Desktop Studio в разделе Storefront активировать удаленный доступ через Access Gatewy, для этого включаем метод аутентификации pass-through. Это чтобы пользователь мог бы ввести свой пароль на веб странице Acceess Gateway и он автоматом принялся здесь, на StoreFront
40-44 Добавляю информация по Access Gateway.
45 Проверяю, что добавился метод аутентификации pass-through. Также замечаю предупреждение, что сервер работает по http. Необходимо перевести его в режим работы по https, для этого идем на IIS
46 В диспетчере серверов выбираем роль IIS и открываем консоль управления.
47 — 49 Создаем самоподписанный сертификат, для доменного имени нашего сервера XenDesktop
50 -53 Теперь нам нужна вкладка bindings для настройки соответствия сайта по умолчанию (это и есть страничка StoreFront) и сертификата.
54 -56 Возвращаемся обратно в настройки StoreFront и изменяем http на https в адресе сайта . Ошибка пропадает.
57 -58 последний шаг, разрешить доступ к Store через AG.
59 Перехожу на компьютер в интернете, вне локальной сети. Прописываю в Hosts соответствие придуманного доменного имени ag.itsave.ru и своего внешнего IP адреса, с которого 443 порт перенаправлен на VIP адрес.
60-62 опять устанавливаю самоподписанный сертификат, добиваюсь отсутствия ошибок. Ввожу логин-пароль
63-70 происходит перенаправление на страницу StoreFront, где я устанавливаю Citrix Receiver, после чего вижу доступные приложения. На этом можно считать настройку законченной.
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
