App-V Buch
Unser App-V
Buch

- App-V Infrastruktur
- App-V Client
- App-V Sequenzierung
- Tools & Troubelshooting
- PowerShell mit App-V

Image is not available
Services
Image is not available
Image is not available
Image is not available
Image is not available
Image is not available

Hochwertige Lösungen mit bestem Kundenservice

Terminalserver- und Desktop Umgebungen mit der besten Usability

Schulungen und Workshops

Intuitive individuelle Lösungen

Standartanwendungen
App-V SaS über 20 Standardanwendungen

Alle wichtigen Browser

Wichtige Standardanwendungen

Wöchentlich aktuallisiert

Mit Support

Individuelle Anpassungen sind möglich

Schnell auf Sicherheitslücken reagieren

Bonus: Einige MSIX Pakete für WVD

App-V Buch
Services
Innovative IT-Lösungen
previous arrow
next arrow
Schriftgröße: +
3 minutes reading time (695 words)

Teil 3: App-V Infrastruktur mit Citrix NetScaler mit Verschlüsselung nach Außen

App-V-NetscalerC

Dies ist der vorletzte Teil und wir beschreiben eine hochverfügbare verschlüsselte App-V Infrastruktur mit einer Verschlüsselung nach außen.

Die Vorteile gegenüber einem Microsoft NLB sind, dass auch Services überwacht werden und auch das Lastverhalten berücksichtigt wird. Mit der Netscaler VPX Express Edition steht eine Kostenlose Lösung dafür mit bis zu 20 Mbit Bandbreite bereit.


In dieser Konfigurationsvorlage wird http im Backend gesprochen und SSL https nach außen.

App-V Netscaler https

Dazu muss zunächst die zuvor beschriebene Anleitung umgesetzt werden (Konfiguration des NetScaler Load Balancing). Anschließend geht es mit dem Import der Zertifikate werter.

Weitere Teile

Teil 1: App-V Infrastruktur mit Citrix NetScaler Load Balancing (optional Verschlüsselt)
Teil 2: App-V Infrastruktur mit Citrix NetScaler unverschlüsseltes App-V Load Balancing
Teil 3: App-V Infrastruktur mit Citrix NetScaler mit Verschlüsselung nach Außen
Teil 4: App-V Infrastruktur mit Citrix NetScaler und vollständiger Verschlüsselung

Der Port spielt diesmal keine Rolle. Wir nutzen in diesem Beispiel Port 4491

Für den Servernamen appv.uran.local und dem zugehörigen Stammzertifikat muss ein Zertifikat erzeugt worden sein.

3.1 Zertifikate importieren (NetScaler)

Wir benötigen das Root Zertifikat der CA und ein Zertifikat für den virtuellen Server. Der Name (comman Name) des NLB soll appv.uran.local sein. Das Zertifikat wird in der CA erzeugt und muss mit dem privaten Schlüssel exportiert werden. Hier im pfx format für das Serverzertifikat und als als „cer“ ohne privaten Schlüssel für das Root. Im Folgenden Bild ist eine gültige Zertifikatkette zu erkennen

image050

  1. Im NetScaler Traffic Management => SSL und rechts „Manage Certificates“ wählen

image052

  1. Über Upload das Root und das vServer Zertifikat hochladen
  2. Zur Installation des Serverzertifikates nach NetScaler Traffic Management => SSL => Certificates => Server Certificates navigieren und auf der rechten Seite oben „Install“ wählen

image054

  1. Appliance als Quelle wählen und das zuvor hochgeladene Zerifikat in der Liste auswählen. Hier ist das „export.pfx“. Nun noch das Passwort für den privaten Schlüssel angeben.
  2. Abschließend mit „Install“ das Zertifikat importieren. Es sollte nun in der Liste unter „Server Certificates“ auftauchen und mit dem „Common Name“ angezeigt werden

Anschließend muss das Rootzertifikat importiert werden. Die Prozedur entspricht der gerade durchgeführten nur ist kein Kennwort notwendig, da dass Stammzertifikat keinen privaten Schlüssel benötigt.

  1. Nach NetScaler Traffic Management => SSL => Certificates => CA Certificates navigieren
  2. “Install” wählen
  3. Das Stammzertifikat angeben – dazu Appliance auswählen
  4. Mit “Install” importieren
  5. Das Stammzertifikat muss in der Liste auftauchen

Netscaler App-V Root Certificate


3.2 Anlegen der Virtuellen Load Balancer für https

Es wird unter der gleichen IP Adresse wie für den http Zugriff ein neuer Virtueller Server angelegt. Diesmal mit dem Protokoll SSL.

In der Tat wird hier der neue Server mit der gleichen IP wie für den http Zugriff konfiguriert.

Für den https Zugang:
AppVHttps: 192.168.1.214 Port 4491

  1. Zu Traffic Management => Load Balancing => Virtual Servers => Add
  2. Die IP Adresse 192.168.1.214 eintragen
  3. Als Protokoll hier SSL wählen

Anmerkung: Hier auch SSL/TSC eigentlich wird ein eigener Monitor benötigt

image058

  1. Nun bei Load Balancing Service Group die Gruppe „AppvHttp“ eintragen und binden
  2. Jetzt als Server Certificate „Appv.uran.local“ wählen und als „CA Certificate“ das Stammzertifikat der CA
  3. Beide Zertifikate binden
  4. Abschließend auf der rechten Seite „+ Method“ wählen und das Lastverhalten beispielsweise wie folgt eintragen. Leastconnection wählt den Server mit der geringsten Anzahl Verbindungen.

image060

3.3 Konfiguration des Service Principal Name (SPN) für den unverschlüsselten Zugriff

Wenn Services in einem Netzwerk bereitstellt werden, in denen das Kerberos-Protokoll zur gegenseitigen Authentifizierung verwendet wird, müssen Sie einen Dienstprinzipalnamen (SPN) für den Servicepunkt erstellt werden. Das AD weiß darüber über welches Konto eine Authentifizierung erfolgen kann.

Für jedes Konto und jeden Service darf ein solcher Eintrag nur einmal existieren.

Setspn -s http/<computername>.<domainname>:<port> <domain-account>

Optional, wenn noch kein Computerkonto „appv“ angelegt wurde

  1. Zunächst ein Computerkonto „appv“ im AD anlegen (Beispielsweise in einer CN=appv,OU=Servers,OU=uran,DC=uran,DC=local). Wenn das noch nicht erfolgt ist!
  2. In der MMC unter View die „Advanced Features“ aktivieren
  3. Nun in den Eigenschaften des Computers „Trust this computer for delegatrion to any service (Kerberos only)“ aktivieren

image040


SPN https setzen

Anmerkung: Der Switch „-C“ verweist auf ein Computerkonto

setspn -C -A https/appv.uran.local:4491 uran\appv

Die Domäne "DC=uran,DC=local" wird überprüft.

Dienstprinzipalnamen (SPN) für CN=appv,OU=Servers,OU=uran,DC=uran,DC=local werden registriert.
https/appv.uran.local:4491
Aktualisiertes Objekt

Prüfen des SPN:

setspn -Q https/appv.uran.local:4491

Die Domäne "DC=uran,DC=local" wird überprüft.
CN=appv,OU=Servers,OU=uran,DC=uran,DC=local
https/appv.uran.local:4491
http/appv.uran.local:8091

3.4 Test der Konfiguration

Abschließend Services und Server herunterfahren. Der App-V Webservice appv.uran.local:4491 muss immer erreichbar bleiben

image062

Teil 4: App-V Infrastruktur mit Citrix NetScaler u...
App-V, AppX und MSIX eine Evolution?

Ähnliche Beiträge

 

Kommentare

Derzeit gibt es keine Kommentare. Schreibe den ersten Kommentar!
Bereits registriert? Hier einloggen
Samstag, 12. Oktober 2024

Sicherheitscode (Captcha)

Nick Informationstechnik GmbH
Dribusch 2
30539 Hannover

+49 (0) 511 165 810 190
+49 (0) 511 165 810 199

infonick-it.de

Newsletter

Anmeldung zum deutschen M.A.D. Newsletter mit Informationen zur Anwendungsvirtualisierung!

Wir nutzen Cookies auf unserer Website. Einige von ihnen sind essenziell für den Betrieb der Seite, während andere uns helfen, diese Website und die Nutzererfahrung zu verbessern (Tracking Cookies). Sie können selbst entscheiden, ob Sie die Cookies zulassen möchten. Bitte beachten Sie, dass bei einer Ablehnung womöglich nicht mehr alle Funktionalitäten der Seite zur Verfügung stehen.