Mit Citrix Gateway bzw. ADC (Netscaler) besteht ab der Version 12 die Möglichkeit für eine Native One-Time-Password (OTP) Integration mit einer Authenticator App (Google, Microsoft usw.) für eine Zweifaktorauthentifizierung. Dabei liefert der Authenticator eine Nummer als zweiten Faktor. Das jeweilige Gerät (Mobiltelefon mit App) muss zuvor für einen Anwender registriert werden. Informationen zum OTP werden im Benutzerkonto des jeweiligen Benutzers gespeichert. Das Management von Benutzern und Geräten ist nicht immer einfach. Eigentlich kann das mit einer GUI nur der Benutzer selber auf dem Citrix Gateway. Daher haben wir ein Tool für ein zentrales Management erstellt.

In diesem Blog findet Ihr die Beschreibung des Tools, das Tool selber und weitere Hintergründe.

Nutzt man Methoden wie Citrix PVS oder MCS zur massenhaften Bereitstellung von virtuellen Maschinen sind einige Dinge zu beachten, wenn man Produkte wie AppSense oder Virenschutzprodukte einsetzten möchte. Solche Anwendungen sind häufig nicht für derartige Technologien ausgelegt. Da alle virtuellen Maschinen aus einem Masterimage entsprungen sind, hätten u.U. alle Maschinen die gleiche ID, was zu eigenartigen Effekten führen kann.

Dieses Skript für AppSense muss ausgeführt werden, bevor das aktualisierte Masterimage heruntergefahren und verteilt wird. Es löscht die "group id" und "machine id". Diese werden beim Starten des verteilten Images automatisch mit zufälligen Werten neu generiert und verhindert somit, dass sich alle virtuellen Maschinen mit der gleichen ID am AppSense Managementserver melden.

Möchte man den Citrix Machine Creation Service (MCS) einsetzten und seine Microsoft Produkte über einen KMS Server aktivieren, sind einige Dinge zu beachten (CTX128580), damit die Aktivierung auch später im ausgerollten Masterimage funktioniert. In diesem Beispiel handelt es sich dabei um Server 2008 R2 sowie Office 2010 in Verbindung mit XenDesktop 7.6.300.

Ab der Citrix XenDesktop Version 7.8 ist es möglich, App-V Pakete (.appv Dateien) direkt aus einem Verzeichnis zu nutzen. Damit ist der vollständige Verzicht einer App-V Infrastruktur mit Publishing- und Managementserver möglich. Was dabei gefehlt hat, waren die App-V „Connection Groups“. Mit XenDesktop 7.11 hat Citrix „Isolation Groups“ in das Produkt integriert. Damit sind letztendlich nichts Anderes als eine App-V „Connection Group“ gemeint. Die jedoch mit etwas Citrix XenDesktop Magie gemischt wurde, um die Nutzung von „Connection Groups“ stark zu vereinfachen. Die „Isolation Groups“ können nur mit direkt, über ein Verzeichnis importierten App-V Paketen genutzt werden. Pakete, die über eine App-V Infrastruktur (App-V Management Server) kommen, können nicht in eine Citrix Isolation Group gesteckt werden. Das ist auch nicht nötig, da mit einer App-V Infrastruktur „Connection Groups“ definiert werden können, die wiederum beim Anwendungsstart auf das jeweilige Endgerät synchronisiert werden.

XenDesktop 7.8 bringt für die Anwendungsbereitstellung als Neuerung die AppDisk-Funktion. Damit ist ein Festplatten-Layering-Verfahren gemeint, bei dem über ein Masterimage weitere Layer (AppDisks) eingebunden bzw. überlagert werden, die Anwendungen enthalten. Bei der TechExchange 2015 in Berlin nannte ein Kollege das Verfahren schon „Citrix Application Streaming (CAS) 2.0“. Aber das ist es nicht. Das Verfahren unterscheidet sich davon in der Hinsicht, dass die Anwendungen genau an der Stelle im Dateisystem erscheinen, an welcher sie installiert wurden. Also beispielsweise unter „c:\program Files\Meine Anwendung“. 

Beim CAS waren die Anwendungen in den RADE Cache redirected. Es wurde also ein umgelenktes Dateisystem genutzt. Wir erinnern uns: CAS wurde 2014 abgekündigt und als Neuerung wurde in XenDesktop die Unterstützung für Microsoft App-V integriert. Wir haben Ende 2014 daher einen Konverter von Citrix Application Streaming nach App-V veröffentlicht (den AppBot – Version für App-V 5.1 nur noch auf Anfrage). Warum also ein weiteres Verfahren, wenn nicht einmal das gut funktionierende eigene CAS weiter unterstützt wurde? Für VDA (Windows Client) und Terminalserver muss App-V bei Microsoft mit lizensiert werden, daher hat es Sinn gemacht, hier Kosten zu sparen.

Wir benutzen für viele Umgebungen Wildcard Zertifikate (*.DOMAENE.LOCAL o.ä.) die wir teilweise als langjährige Zertifikate (http://www.software-virtualisierung.de/entry/erstellung-langjaehriger-zertifikate-zur-nutzung-mit-citrix.html) aus unserer eigenen CA exportieren. Leider hat sich gezeigt, dass der Citrix html 5 Client diese Zertifikate nicht ohne weiteres importieren kann. Diese funktionieren dennoch. Daher hier eine Anleitung, wie die Zertifikate für den VDA und den Desktop Delivery Controller konfiguriert werden. Damit wird die Darstellung der Citrix Inhalte direkt in einem Html 5 fähigen Webbrowser erreicht.

Here is the next version of our patch manager for Citrix XenApp 6 and XenApp 6.5. This version is free and requires only one registration and the request to announce annotations and error in the support-forum. Now I write first of all no new instructions. Also this Blog will grow with the versions.

Do you search for a version for XenApp or XenDesktop 7.x ? You find them >here<

I would like to thank all for the nice feedbacks to our patch manager for XenDesktop 7.6. Especially still once with my employee Martin von Hessert who had the idea for these tools

For visitors from Germany (special - Niedersachsen, Hannover und  Hamburg) : Wir, die Nick Informationstechnik GmbH, würden Sie gerne bei Ihren Migrationsprojekten, Performance Problemen, Reviews und Automatisierung zu XenApp 7.6 und App-V 5 unterstützen. Wir freuen uns auf Ihre Anfrage! Kontaktformular Info[at]nick-it.de

Image 1 : Screenshot with Japanese Citrix hotfixes

Für die Systemüberwachung reicht es machmal nicht, die Serververfügbarkeit zu prüfen. Wir hatten vor kurzem das Problem, dass ein PVS Server aus Netzwertechnischen Gründen verfügbar und voll finktionsfähig war, aber leider dennoch keine Images gestreamt hat. Zur Überwachung mit SCOM ist ein kleiner Powershell Skript entstanden, dass die Verbindungen von einem Citrix PVS Server überpruft. 

Wenn wir 0 Verbindungen haben, ist etwas nicht OK und das Skript liefert "False" zurück. Im Folgenden das genannzte Skript.

Hier kommt das alte Problem mit der Zertifikatprüfung wieder hoch. Das Signierte Programm Prüft beim Start die Gültigkeit der Zertifikate. Hat der Server keine Internetverbindung, dann kommt des zu einem Stark verzögerten Start und zu der Fehlermeldung

Das Problem, den Zertifikatcheck im Browser abzuschalten ist, dass das eine riesige Sicherheitslücke in das System reißt. Alternativ können auch die Citrix Stammzertifikate exportiert und wieder importirt werden.

NITCtxPatcher a patchmanager for Citrix XenApp and XenDesktop 7.x

May 2017 The NITCtxPatchManager is back, after some changes from Citrix on the website. Finally we've made it this far. Version 1.1.2 is available. Now with support for XenApp/XenDesktop 7.7 and 7.6 SP3. You can now detect the superseded hotfixes with the report function.

Broken:( are you searching for a version for XenApp 6.x ? Go to this blog post >here<)

Searching for patches on the Citrix website is a lot of work. 10 sites with 10 patches on each site for XenDesktop 7.6 alone. Therefore I have decided to build a patching tool and patchmanager for Citrix XenApp and XenDesktop 7.x. We created this application to download all hotfixes and LIMITED hotfixes.
This is the first release with all features. This tool can save a lot of work. Maybe even a few days in the year for an administrator, making it a real timesaver. Eric from Xenappblog.com has written a nice contribution about this: Automate Citrix Hotfix Installation Together With Feature PacksAutomate Citrix Hotfix Installation Together With Feature Packs

Direct downlaod latest Version 1.3.0

Please also note our other tool for Citrix :AppBot, a Citrix Application Streaming (CAS or XenApp Streaming) to App-V 5 and MSI Converter:Appbot