RDPプロキシ
RDPプロキシ機能は、NetScaler Gateway の一部として提供されます。一般的な展開では、RDP クライアントはリモートユーザーのマシンで実行されます。NetScaler Gateway アプライアンスはDMZ内に展開され、RDPサーバーファームは社内ネットワークにあります。
リモートユーザー。
-
NetScaler Gateway パブリックIPアドレスに接続する
-
SSL VPN 接続を確立します。
-
認証する
-
NetScaler Gateway アプライアンスを介してリモートデスクトップにアクセスします。
RDP プロキシ機能は、クライアントレス VPN および ICA プロキシモードでサポートされます。
注：
NetScaler Gateway は、リモートデスクトップセッションホスト（RDSH）、リモートアプリ、RDSマルチユーザー、RDPセッション、またはRDPアプリをサポートしていません。
次のRDPプロキシ機能は、NetScaler Gateway を介してリモートデスクトップファームへのアクセスを提供します。
-
クライアントレス VPN または ICA プロキシモード（フルトンネルなし）を介して RDP トラフィックを保護します。
-
NetScaler Gateway を介したRDPサーバーへのSSO（シングルサインオン）。また、必要に応じて SSO を無効にするオプションも用意されています。
-
強制（SmartAccess）機能。NetScaler ADC管理者は、NetScaler Gateway 構成を通じて特定のRDP機能を無効にできます。
-
すべてのニーズに対応するシングル/ステートレス（デュアル）ゲートウェイソリューション（VPN/ICA/RDP/Citrix Endpoint Management）。
-
RDP 用のネイティブ Windows MSTSC クライアントとの互換性は、カスタムクライアントを必要としません。
-
Microsoftが提供している既存の RDP クライアントを MACOSX、iOS、Android で使用する。
次の図は、展開の概要を示しています。
クライアントレス VPN を介した導入
このモードでは、RDP リンクは Gateway ホームページまたはポータルで、ブックマークとして、
add vpn url構成または外部ポータルを介して公開されます。ユーザーは、これらのリンクをクリックして、リモートデスクトップにアクセスできます。
ICA プロキシを介した展開
このモードでは、
wihomeパラメータを使用して、Gateway VIP でカスタムホームページを設定します。このホームページは、ユーザーがアクセスできるリモートデスクトップリソースの一覧を使用してカスタマイズできます。このカスタムページは、NetScaler ADCでホストすることも、外部の場合は既存のGatewayポータルページのiFrameにすることもできます。
どちらのモードでも、ユーザーがプロビジョニングされたRDPリンクまたはアイコンをクリックすると、対応するリソースのHTTPSリクエストがNetScaler Gateway に到着します。Gateway は、要求された接続の RDP ファイルコンテンツを生成し、クライアントにプッシュします。ネイティブ RDP クライアントが呼び出され、ゲートウェイ上の RDP リスナーに接続します。ゲートウェイは、強制 (SmartAccess) をサポートすることによって RDP サーバーへの SSO を実行します。ゲートウェイは、NetScaler ADC構成に基づいて特定のRDP機能へのクライアントアクセスをブロックし、RDPクライアントとサーバー間のRDPトラフィックをプロキシします。
強制の詳細
NetScaler ADC管理者は、NetScaler Gateway 構成を通じて特定のRDP機能を構成できます。NetScaler Gateway は、重要なRDPパラメータに対して「RDP強制」機能を提供します。NetScaler ADCは、クライアントがブロックされたパラメータを有効にできないようにします。ブロックされたパラメータが有効の場合、RDP 強制機能はクライアント対応パラメータよりも優先され、適用されません。
重要： 強制機能は、SSO が有効な場合にのみ適用できます。
強制用にサポートされている RDP パラメータ
次のリダイレクトパラメータの強制がサポートされています。これらのパラメータは、RDP クライアントプロファイルの一部として設定できます。
-
クリップボードのリダイレクト
-
プリンタのリダイレクト
-
ディスクドライブのリダイレクト
-
COM ポートのリダイレクト
-
PNP デバイスのリダイレクト
接続フロー
接続フローは、次の 2 つのステップに分けることができます。
-
RDP リソースの列挙と RDP ファイルのダウンロード。
-
RDP 接続の起動。
前述の接続フローに基づいて、2 つの展開ソリューションがあります。
-
ステートレス（デュアル）ゲートウェイソリューション-RDP リソースの列挙と RDP ファイルのダウンロードはAuthenticator Gatewayを介して行われますが、RDP 接続の起動は RDP リスナーゲートウェイを介して行われます。
-
単一ゲートウェイソリューション-RDP リソースの列挙、RDP ファイルのダウンロード、および RDP 接続の起動は、同じゲートウェイを介して行われます。
ステートレス (デュアル) ゲートウェイの互換性
次の図は、展開を示しています。
-
ユーザはAuthenticator Gateway VIP に接続し、クレデンシャルを提供します。
-
ゲートウェイへのログインに成功すると、ユーザーはホームページまたは外部ポータルにリダイレクトされ、ユーザーがアクセスできるリモートデスクトップリソースが列挙されます。
-
ユーザーが RDP リソースを選択すると、Authenticator Gateway VIP は、ユーザーがクリックした公開リソースを示す形式
https://vserver-vip/rdpproxy/rdptarget/listenerで要求を受信します。この要求には、ユーザーが選択した RDP サーバーの IP アドレスとポートに関する情報が含まれます。 -
Authenticator Gatewayは /rdpproxy/ 要求を処理します。ユーザはすでに認証されているため、このリクエストには有効な Gateway Cookie が付属しています。
-
RDPTargetおよびRDPUser情報は STA サーバに保存され、STA チケットが生成されます。STA サーバに保存された情報は、設定済みの事前共有キーを使用して暗号化されます。Authenticator Gatewayは、ゲートウェイ仮想サーバ上に設定されている STA サーバの 1 つを使用します。 -
/rdpproxy/ 要求で取得された「リスナー」情報は、
.rdp fileに「fulladdress」 としてに追加され、STAチケット（STA AuthId が前に付く）は.rdp fileに「loadbalanceinfo」として追加されます。 -
.rdp fileがクライアントエンドポイントに返送されます。 -
ネイティブ RDP クライアントが起動し、
RDPListener Gatewayに接続します。STA チケットを最初のパケットで送信します。RDPListenerゲートウェイは STA チケットを検証し、RDPTargetおよびRDPUser情報を取得します。使用する STA サーバは、loadbalanceinfoに存在する「AuthID」を使用して取得されます。 -
ゲートウェイセッションは、承認/監査ポリシーを格納するために作成されます。ユーザーのセッションが存在する場合、そのセッションは再利用されます。
-
RDPListenerゲートウェイは、RDPTargetに接続し、CREDSSP を使用してシングルサインオンします。
重要：
-
ステートレス RDP プロキシの場合、STA サーバは RDP クライアントによって送信された STAチケットを検証して
RDPTarget/RDPUser情報を取得します。VPN 仮想サーバーに加えて STA サーバーをバインドする必要があります。
シングルゲートウェイの互換性
次の図は、展開を示しています。
重要：
単一ゲートウェイ展開の場合、STA サーバーは必要ありません。オーセンティケータゲートウェイは、
RDPTargetおよびNetScalerの認証、承認、および監査セッションCookie を安全にエンコードし、.rdp fileのloadbalanceinfoとして送信します。 RDP クライアントがこのトークンを最初のパケットで送信すると、Authenticator GatewayはRDPTarget情報をデコードし、セッションを検索し、RDPTargetに接続します。
シングルリスナーのサポート
-
RDP トラフィックと SSL トラフィックの両方に対応する単一リスナー。
-
RDPファイルのダウンロードとRDPトラフィックは、NetScaler ADCアプライアンスの同じ2つのタプル（IPとポート）を介して処理できます。
RDP プロキシのライセンス要件
プレミアムエディション、アドバンスドエディション
注:
RDP プロキシ機能は、Gateway プラットフォームライセンスのみ、または Standard エディションのみをお持ちのお客様にはご利用いただけません。
RDP プロキシを有効にするには、次のコマンドを使用します。
enable feature rdpProxy
ブックマーク
**ポータルを介した RDP リンク生成。**ユーザーの RDP リンクを構成したり、外部ポータルを使用して RDP リンクを公開したりする代わりに、
targerIP:Portを提供して独自の URL を生成するオプションをユーザーに与えることができます。ステートレス RDP プロキシ展開の場合、管理者は RDP クライアントプロファイルの一部として、RDP リスナー情報を FQDN: ポート形式で含めることができます。これはrdpListenerオプションの下で行われます。この構成は、デュアルゲートウェイモードのポータル経由の RDP リンク生成に使用されます。
ブックマークを作成する
-
RDP リソースにアクセスするためのポータルページにブックマークを作成します (actualURLは
rdp://で始まります)。 -
VPN URL を追加
<urlName> <linkName> <actualURL>-
URLは次の形式にする必要があります。
rdp://<TargetIP:Port> -
ステートレス RDP プロキシモードの場合、URL は次の形式である必要があります。
rdp://<TargetIP:Port>/<ListenerIP:Port> -
URL は、次の形式でポータルに公開されます。
https://<VPN-VIP>/rdpproxy/<TargetIP:Port>https://<VPN-VIP>/rdpproxy/<TargetIP:Port>/<ListenerIP:Port>
-
-
ブックマークをユーザー、グループ、VPN 仮想サーバー、または VPN グローバルにバインドします。
RDP プロキシで有効にする機能とモード
- enable ns feature ssl
- enable ns feature sslvpn
- enable ns feature rdpproxy
- enable mode usnip
RDP プロキシの概要設定手順
ステートレス RDP プロキシ設定に関連する次の高レベルのステップ。
-
RDP サーバープロファイルを作成する
-
RDP クライアントプロファイルを作成する
-
仮想サーバーを作成してバインドする
-
ブックマークを作成する
-
セッションプロファイルまたはポリシーを作成または編集する
-
ブックマークをバインドする
クライアントプロファイルを構成する
Authenticator Gatewayでクライアントプロファイルを設定します。次に、設定例を示します。
add rdpClient profile <name> [-addUserNameInRdpFile ( YES | NO )] [-audioCaptureMode ( ENABLE | DISABLE )] [-keyboardHook <keyboardHook>] [-multiMonitorSupport ( ENABLE | DISABLE )] [-psk <string>] [-rdpCookieValidity <positive_integer>] [-rdpCustomParams <string>] [-rdpFileName <string>] [-rdpHost <optional FQDN that will be put in the RDP file as ‘fulladdress>] [-rdpUrlOverride ( ENABLE | DISABLE )] [-redirectClipboard ( ENABLE | DISABLE )] [-redirectComPorts ( ENABLE | DISABLE )] [-redirectDrives ( ENABLE | DISABLE )] [-redirectPnpDevices ( ENABLE | DISABLE )] [-redirectPrinters ( ENABLE | DISABLE )] [-videoPlaybackMode ( ENABLE | DISABLE )]
RDP クライアントプロファイルを VPN 仮想サーバに関連付けます。
これは、SessionAction+SessionPolicy を設定するか、グローバル VPN パラメータを設定することによって行うことができます。
例：
add vpn sessionaction <actname> -rdpClientprofile <rdpprofilename>
add vpn sessionpolicy <polname> NS_TRUE <actname>
bind vpn vserver <vservername> -policy <polname> -priority <prioritynumber>
または
set vpn parameter –rdpClientprofile <name>
サーバープロファイルを構成する
リスナーゲートウェイでサーバプロファイルを設定します。
add rdp ServerProfile <profilename> -rdpIP <IPV4 address of the RDP listener> -rdpPort <port for terminating RDP client connections> -psk <key to decrypt RDPTarget/RDPUser information, needed while using STA>`
rdp ServerProfileは VPN 仮想サーバ上で設定する必要があります。
add vpn vserver v1 SSL <publicIP> <portforterminatingvpnconnections> -rdpServerProfile <rdpServer Profile>`
CLI を使用した RDP プロキシの設定
CLI を使用した RDP プロキシ設定の例を次に示します。
-
ターゲット情報を含むユーザの VPN URL を追加します。
add aaa user Administrator –password freebsd123$%^
add vpn url rdp RdpLink rdp://rdpserverinfo
add dns addrec rdpserverinfo 10.102.147.132
bind aaa user Administrator –urlName rdp -
VPN 接続用の RDP クライアントおよびサーバプロファイルを設定します。
add rdp clientprofile p1 –psk citrix -redirectClipboard ENABLE
add rdp serverprofile p1 -rdpIP 10.102.147.134 -psk citrix
add vpn vserver mygateway SSL 10.102.147.134 443 –rdpserverprofile p1
set vpn parameter -clientlessVpnMode ON -defaultAuthorizationAction ALLOW -rdpClientProfileName p1
add ssl certKey gatewaykey -cert rdp_rootcert.pem -key rdp_rootkey
bind ssl vserver mygateway -certkeyName gatewaykey -
NetScaler ADCからターゲットに接続するためのSNIPを追加します。
add ns ip 10.102.147.135 255.255.255.0 –type SNIP
GUI を使用した RDP プロキシの設定
-
［ NetScaler Gateway］>［ポリシー］に移動し、［ RDP］を右クリックして［ 機能を有効にする］をクリックします。
-
クライアントプロファイルの名前を入力し、設定します。
-
［RDPホスト］フィールドに、RDPプロキシリスナーに解決されるFQDNを入力します。これは通常、NetScaler Gateway アプライアンスのFDQNと同じFQDNです。
-
「 事前共有キー」にパスワードを入力し、 **「OK」**をクリックします。
-
サーバプロファイルの名前を入力します。
-
このプロファイルをバインドするゲートウェイ仮想サーバーの IP アドレスを入力します。
-
RDP クライアントプロファイルに設定したのと同じ事前共有キーを入力します。［Create］ をクリックします。
-
クライアントレスアクセスポータルページでRDPブックマークを追加する場合は、左側で［ NetScaler Gateway］、［ リソース］、［ ブックマーク］の順に展開します。
-
ブックマークに名前を付けます。
-
URL には、 IP または DNS を使用して rdp: //myrdpServerと入力します。
-
［ NetScaler Gateway をリバースプロキシとして使用 ］を選択し、［ 作成］をクリックします。
-
要件に従ってブックマークを作成します。
-
セッションプロファイルを作成または編集します。［NetScaler Gateway］>［ ポリシー］>［セッション］ に移動します。
-
-
-
-
-
ゲートウェイ仮想サーバーを変更または作成します。
-
-
RDP サーバプロファイルリストを使用して、前に作成した RDP サーバプロファイルを選択します。
-
-
証明書をバインドします。
-
認証ポリシーをバインドします。
-
RDP クライアントプロファイルが設定されているセッションポリシー/プロファイルをバインドします。
-
ブックマークは、NetScaler Gateway 仮想サーバー、または認証、承認、および監査グループにバインドできます。NetScaler Gateway 仮想サーバーにバインドするには、右側の［詳細設定］セクションで、［ 公開アプリケーション］をクリックします。
-
-
ブックマークをバインドします。
-
このNetScaler Gateway 仮想サーバーには［ICAのみ］が指定されていないため、NetScaler Gateway ユニバーサルライセンスが正しく構成されていることを確認してください。左側で、 ［NetScaler Gateway］ を展開し、［ グローバル設定］をクリックします。
-
-
-
-
-
ゲートウェイに接続してログオンします。
-
-
アドレスバーを /rdpProxy/myrdpServerに変更できます。IP アドレス (rdpproxy/192.168.1.50 など) または DNS 名 (/rdpproxy/myserver) を入力できます。
-
ダウンロードした
.rdp fileを開きます。 -
SSO を無効にするオプション
RDPプロキシを使用したSSO（シングルサインオン）機能は、NetScaler ADCトラフィックポリシーを構成することで無効にできます。これにより、ユーザーは常に資格情報の入力を求められます。SSO が無効になっていると、RDP 強制 (SmartAccess) は機能しません。
例：
add vpn trafficaction <TrafficActionName> HTTP -SSO OFF
トラフィックポリシーは、要件に従って設定できます。次に、2 つの例を示します。
-
すべてのトラフィックに対して SSO を無効にするには、次の手順を実行します。
add vpn trafficpolicy <TrafficPolicyName> "url contains rdpproxy" <TrafficActionName> -
送信元/宛先 IP/FQDN に基づいて SSO を無効にするには
add vpn trafficPolicy <TrafficPolicyName> "HTTP.REQ.URL.CONTAINS("rdpproxy") && CLIENT.IP.SRC.EQ(<IP>)" <TrafficActionName>
bind vpnvserver rdp -policy <TrafficPolicyName> -priority 10