Este documento describe la configuración de Citrix Secure Gateway 3.0 para proteger el acceso a aplicaciones publicadas con Presentation Server 4. Explica los componentes que intervienen como el Web Interface, Secure Ticket Authority y cliente ICA. Detalla las fases de una conexión segura incluyendo la emisión de tickets por el STA y la transformación del fichero ICA. Además, guía la instalación de Secure Gateway, una autoridad de certificación y la configuración del Web Interface para enviar ficheros ICA correctos con la información del STA.

1. TIC 0271
Acceso a aplicaciones usando Citrix Metaframe
Secure Gateway 3.0
INSTITUTO NACIONAL DE ADMINISTRACION PÚBLICA
Plan interadministrativo de formación contínua en el área de tecnologías Joaquín Herrero Pintado
de la información y las comunicaciones jherrero@mma.es

2. Contenido
Interlocutores del Secure Gateway
Características
Fases de una conexión segura a una granja Presentation Server 4
Preguntas frecuentes sobre el STA (Secure Ticket Authority)
Instalación de Secure Gateway 3.0
Configuración de una autoridad de certificación
Emisión del certificado de identidad del servidor
Secure Gateway Configuration Wizard
Configuración del Web Interface
DMZ settings
Secure Gateway settings
Estrategia para desplegar el certificado de la CA

3. Secure Gateway 3.0
Es el perímetro de seguridad para proteger accesos a Presentation Server.
Encripta y autentica las conexiones
Se instala en la DMZ
El Secure Gateway se constituye en el PUNTO UNICO DE ACCESO
Puede ser redundante
Componentes con los que habla el SG:
1. el Web Interface
2. el Secure Ticket Authority (STA)
3. el Citrix XML Service
4. el cliente ICA (Web client o PNAgent)

4. Componentes con los que habla el Secure Gateway
1. WEB INTERFACE -WI-
Proporciona el interface de logon
Proporciona los servicios de autenticación y autorización
2. SECURE TICKET AUTHORITY -STA-
Proporciona un TICKET en respuesta a una petición de conexión a una aplicación
publicada en entorno Metaframe. Estos tickets son la base del sistema de autenticaci
ón y autorización. Se instala automáticamente al instalar PS4, no es necesario un
servidor aparte (como sucedía antes)
3. CITRIX XML SERVICE
El XML Service es el punto de contacto inicial con una granja de servidores. Informa
de la disponibilidad y localización de las aplicaciones publicadas.

5. Secure Gateway 3.0 en DMZ "single hop" (un salto)

6. Caracteríticas del Secure Gateway /1
Soporta FTP, HTTP y TELNET
Deployment más sencillo, ya que ahora el STA está incluido en Presentation
Server y es instalado automáticamente
Ya no es necesario IIS para el STA
Manejo avanzado de certificados
El wizard no permite seleccionar un certificado que no tenga clave privada
El wizard verifica que el certificado esté instalado en el almacén de certificados
Los log que usa el SG están en el formato standard de Apache
Incluye performance counters para analizar el nivel de uso y carga

7. Caracteríticas del Secure Gateway /2
Basado en el código de Apache 2.x
Usa SSL y PKI (estándares)
Soporte de Session Reliability
"When a session connection is interrupted, all open windows to published resources will remain visible while
reconnection is automatically attempted in the background."
Conexiones seguras sin necesidad de VPN’s
Soporta DMZ single-hop o double-hop
Consola compatible con MMC (es un snap-in)
Mínima configuración en equipos cliente

8. Fases de una conexión segura con PS4 /1
1. El usuario abre un navegador y teclea
https://www.secure-gateway.com
2. El SG pasa la petición al Web Interface
3. El WI responde al usuario mandándole una página de logon
4. El usuario introduce sus credenciales, que vuelven al WI a través del SG
5. El WI manda las credenciales al XML Service de la granja y obtiene la lista de
aplicaciones que el usuario puede ejecutar
6. El WI compone la página web y la manda al usuario en forma de links a ficheros
.ICA

9. Fases de una conexión segura con PS4 /2
7. Cuando el usuario hace click en una de las aplicaciones, el Web Interface
procede a construir el fichero ICA que va a ser enviado al usuario para que lo
ejecute el web client. La dirección IP y puerta del servidor Metaframe que habrá que
incluir en el fichero ICA son enviados al STA, el cual guarda estos datos y emite un
ticket. [Técnica del guardarropa: la IP privada no puede salir de la LAN, solo sale el
ticket]
8. El WI genera un fichero ICA que contiene el ticket emitido por el STA y lo envía al
navegador del cliente. La única dirección que contiene el fichero ICA es el FQDN del
Secure Gateway. La dirección IP del servidor Metaframe no aparece en este tipo de
ficheros ICA.

10. Transformación del fichero ICA con datos del STA

11. Fases de una conexión segura PS4 /3
9. El browser ejecuta el cliente de Metaframe Presentation Server, el cual conecta al
SG usando la dirección que aparece en el fichero ICA. Se hace un handshaking SSL
para establecer la identidad del Secure Gateway.
10. EL cliente envía al SG el ticket que figuraba en el fichero ICA, el cual contacta
con el STA para establecer su validez. Si el ticket es válido y no ha expirado, el STA
pasa al SG la dirección IP y la puerta del servidor Metaframe al que el usuario debe
de conectarse.
11. El SG establece una conexión ICA con el dispositivo cliente dentro del tunel SSL
que les comunica, y encamina ese tráfico al servidor Metaframe.

12. Secure Gateway STA Frequently Asked Questions
CTX101997

13. INSTALACIÓN DE SECURE GATEWAY 3.0

14. CD de Componentes

15. Salimos de todos los programas

16. Aceptamos licencia

17. Single-hop DMZ

18. Directorio de la aplicación

19. Local User Account para el servicio SG

20. Última oportunidad para corregir

21. Instalado!

22. ¿Wizard? Aún no...

23. PREPARAMOS LA AUTORIDAD DE CERTIFICACION
Para configurar el Secure Gateway vamos a necesitar tener
emitido un certificado para identificar al servidor

24. Instalamos los "Certificate Services"
Componente de Windows

25. Tipo de Certification Authority

26. Nombre de la Certification Authority

27. Base de Datos de Certificados

28. Ok, paramos IIS

29. Tenemos en C:i386 el CD de Instalación

30. Ya somos Autoridad de Certificación
Podemos emitir el certificado para identificar al servidor

31. SOLICITAMOS EL CERTIFICADO A LA AUTORIDAD

32. Interfaz web de solicitud de certificados
http://server/certsrv

33. Advanced Certificate Request

34. Create and submit a requesto to this CA

35. EL nombre debe coincidir con la URL que usaremos
Tipo de Certificado: Server Authentication Certificate

36. Wildcard Certificate Support
Citrix:
"Secure Gateway 3.0 can be configured to use a wildcard certificate, for example, a
certificate issued to *.company.com. Wildcard certificates are supported by ICA
clients version 7.0 and later."
Brian Madden:
"Have you ever wanted to use wildcards certificates for your Secure Gateway? If so,
this feature is now supported with CSG 3.0. For example, if you host
www.domain.com, an SSL Wildcard Certificate for *.domain.com would allow you to
secure unlimited first-level subdomains."

37. Almacenar el certificado

38. Solo hay que pedir certificados a fuentes confiables

39. Solicitud en curso
Vuelva usted mañana

40. Vamos a autorizar la emisión del certificado

41. Sección "Pending Requests"

42. Issue (emitir)

43. Voy a ver cómo va lo mio...
View the status of a pending certificate request

44. Selecciono mi solicitud

45. Certificado preparado!
Lo instalo

46. He comprobado que esta web es confiable

47. El Certificado está instalado!

48. REANUDAMOS LA CONFIGURACION DEL SECURE GATEWAY
Secure Gateway Configuration Wizard

49. Solo vamos a proteger Presentation Server

50. Tipo de Configuración Estándar

51. Seleccionamos el certificado del servidor

52. Monitor all IP addresses

53. No outbound traffic restrictions

54. En PS4 los STA son los servidores Citrix
(podría ser cualquier máquina con tal de copiar en ella el directorio /Scripts)

55. Lista de STAs definidos

56. No queremos acceso directo al Web Interface
Todos los accesos los va a controlar el Secure Gateway

57. Nivel de verbosidad del log de eventos

58. Configuración terminada!
Start the Secure Gateway

59. Aún no se envían los ficheros ICA correctamente
Si conectamos con el Secure Gateway, la conexión es segura (https), pero los
archivos ICA que nos envía contienen direcciones IP de la red interna.

60. Configuración del Web Interface
Manage Secure Access Clients
Tenemos que actuar sobre:
"Edit DMZ settings" y "Edit Secure Gateway settings"

61. Edit DMZ settings
Opción por defecto: directo al web interface

62. Edit DMZ settings
Cambiamos a "Secure Gateway Direct"

63. DMZ Settings ok!

64. Secure Gateway Settings
Configuro los dos interlocutores del SG: el STA y los datos .ICA que enviaré al usuario

65. Probemos ahora!
Aceptamos el certificado (no conoce CACurso como emisora de certificados)

66. Detalles del certificado

67. Damos nuestras credenciales al Web Interface

68. Ahora el fichero ICA está correcto!
Contiene el ticket emitido por el STA y los datos para la conexión SSL

69. El cliente ICA no acepta certificados emitidos por fuentes no seguras!

70. Hay que instalar en el cliente el certificado de la CA
Lo publicamos en algun lugar accesible desde Internet para que el usuario se lo instale

71. Antes de la primera conexión hay que instalar en el cliente el
certificado de la CA

72. Aviso de seguridad
Vamos a importar un certificado confiable, lo abrimos

73. EL certificado es correcto, lo instalamos

74. Asistente para importación de certificados

75. Seleccionar automáticamente el almacén

76. Última oportunidad para rectificar

77. Comprobar la huella digital del certificado!
Es correcta, lo instalamos

78. Certificado de la CA importado!

79. Comprobamos que el certificado está en el almacén

80. Ahora ya puedo acceder a mis aplicaciones!

81. Links
CTX19376
Best Practices for Securing a Citrix Secure Gateway Deployment