Softwarevirtualisierung mit App V 5 192Unser Buch "Softwarevirtualisierung mit App-V 5"

Das deutsche App-V 5 Buch: 496 Seiten Wissen zu Microsoft App-V 5 (5.1 bis HF6). Ab Windows 7 bis Server 2016 mit Zusatzinhalten zu App-V mit VDI, Terminalservern, XenDesktop und SCCM Mit Fragestellungen zum Contentstore, Skripting, Hochverfügbarkeit usw.

Teil 3: App-V Infrastruktur mit Citrix NetScaler mit Verschlüsselung nach Außen

App-V-NetscalerC

Dies ist der vorletzte Teil und wir beschreiben eine hochverfügbare verschlüsselte App-V Infrastruktur mit einer Verschlüsselung nach außen.

Die Vorteile gegenüber einem Microsoft NLB sind, dass auch Services überwacht werden und auch das Lastverhalten berücksichtigt wird. Mit der Netscaler VPX Express Edition steht eine Kostenlose Lösung dafür mit bis zu 20 Mbit Bandbreite bereit.


In dieser Konfigurationsvorlage wird http im Backend gesprochen und SSL https nach außen.

App-V Netscaler https

Dazu muss zunächst die zuvor beschriebene Anleitung umgesetzt werden (Konfiguration des NetScaler Load Balancing). Anschließend geht es mit dem Import der Zertifikate werter.

Weitere Teile

Teil 1: App-V Infrastruktur mit Citrix NetScaler Load Balancing (optional Verschlüsselt)
Teil 2: App-V Infrastruktur mit Citrix NetScaler unverschlüsseltes App-V Load Balancing
Teil 3: App-V Infrastruktur mit Citrix NetScaler mit Verschlüsselung nach Außen
Teil 4: App-V Infrastruktur mit Citrix NetScaler und vollständiger Verschlüsselung

Der Port spielt diesmal keine Rolle. Wir nutzen in diesem Beispiel Port 4491

Für den Servernamen appv.uran.local und dem zugehörigen Stammzertifikat muss ein Zertifikat erzeugt worden sein.

3.1 Zertifikate importieren (NetScaler)

Wir benötigen das Root Zertifikat der CA und ein Zertifikat für den virtuellen Server. Der Name (comman Name) des NLB soll appv.uran.local sein. Das Zertifikat wird in der CA erzeugt und muss mit dem privaten Schlüssel exportiert werden. Hier im pfx format für das Serverzertifikat und als als „cer“ ohne privaten Schlüssel für das Root. Im Folgenden Bild ist eine gültige Zertifikatkette zu erkennen

image050

  1. Im NetScaler Traffic Management => SSL und rechts „Manage Certificates“ wählen

image052

  1. Über Upload das Root und das vServer Zertifikat hochladen
  2. Zur Installation des Serverzertifikates nach NetScaler Traffic Management => SSL => Certificates => Server Certificates navigieren und auf der rechten Seite oben „Install“ wählen

image054

  1. Appliance als Quelle wählen und das zuvor hochgeladene Zerifikat in der Liste auswählen. Hier ist das „export.pfx“. Nun noch das Passwort für den privaten Schlüssel angeben.
  2. Abschließend mit „Install“ das Zertifikat importieren. Es sollte nun in der Liste unter „Server Certificates“ auftauchen und mit dem „Common Name“ angezeigt werden

Anschließend muss das Rootzertifikat importiert werden. Die Prozedur entspricht der gerade durchgeführten nur ist kein Kennwort notwendig, da dass Stammzertifikat keinen privaten Schlüssel benötigt.

  1. Nach NetScaler Traffic Management => SSL => Certificates => CA Certificates navigieren
  2. “Install” wählen
  3. Das Stammzertifikat angeben – dazu Appliance auswählen
  4. Mit “Install” importieren
  5. Das Stammzertifikat muss in der Liste auftauchen

Netscaler App-V Root Certificate


3.2 Anlegen der Virtuellen Load Balancer für https

Es wird unter der gleichen IP Adresse wie für den http Zugriff ein neuer Virtueller Server angelegt. Diesmal mit dem Protokoll SSL.

In der Tat wird hier der neue Server mit der gleichen IP wie für den http Zugriff konfiguriert.

Für den https Zugang:
AppVHttps: 192.168.1.214 Port 4491

  1. Zu Traffic Management => Load Balancing => Virtual Servers => Add
  2. Die IP Adresse 192.168.1.214 eintragen
  3. Als Protokoll hier SSL wählen

Anmerkung: Hier auch SSL/TSC eigentlich wird ein eigener Monitor benötigt

image058

  1. Nun bei Load Balancing Service Group die Gruppe „AppvHttp“ eintragen und binden
  2. Jetzt als Server Certificate „Appv.uran.local“ wählen und als „CA Certificate“ das Stammzertifikat der CA
  3. Beide Zertifikate binden
  4. Abschließend auf der rechten Seite „+ Method“ wählen und das Lastverhalten beispielsweise wie folgt eintragen. Leastconnection wählt den Server mit der geringsten Anzahl Verbindungen.

image060

3.3 Konfiguration des Service Principal Name (SPN) für den unverschlüsselten Zugriff

Wenn Services in einem Netzwerk bereitstellt werden, in denen das Kerberos-Protokoll zur gegenseitigen Authentifizierung verwendet wird, müssen Sie einen Dienstprinzipalnamen (SPN) für den Servicepunkt erstellt werden. Das AD weiß darüber über welches Konto eine Authentifizierung erfolgen kann.

Für jedes Konto und jeden Service darf ein solcher Eintrag nur einmal existieren.

Setspn -s http/<computername>.<domainname>:<port> <domain-account>

Optional, wenn noch kein Computerkonto „appv“ angelegt wurde

  1. Zunächst ein Computerkonto „appv“ im AD anlegen (Beispielsweise in einer CN=appv,OU=Servers,OU=uran,DC=uran,DC=local). Wenn das noch nicht erfolgt ist!
  2. In der MMC unter View die „Advanced Features“ aktivieren
  3. Nun in den Eigenschaften des Computers „Trust this computer for delegatrion to any service (Kerberos only)“ aktivieren

image040


SPN https setzen

Anmerkung: Der Switch „-C“ verweist auf ein Computerkonto

setspn -C -A https/appv.uran.local:4491 uran\appv

Die Domäne "DC=uran,DC=local" wird überprüft.

Dienstprinzipalnamen (SPN) für CN=appv,OU=Servers,OU=uran,DC=uran,DC=local werden registriert.
https/appv.uran.local:4491
Aktualisiertes Objekt

Prüfen des SPN:

setspn -Q https/appv.uran.local:4491

Die Domäne "DC=uran,DC=local" wird überprüft.
CN=appv,OU=Servers,OU=uran,DC=uran,DC=local
https/appv.uran.local:4491
http/appv.uran.local:8091

3.4 Test der Konfiguration

Abschließend Services und Server herunterfahren. Der App-V Webservice appv.uran.local:4491 muss immer erreichbar bleiben

image062

Teil 4: App-V Infrastruktur mit Citrix NetScaler u...
App-V, AppX und MSIX eine Evolution?

Ähnliche Beiträge

 

Kommentare

Derzeit gibt es keine Kommentare. Schreibe den ersten Kommentar!
Bereits registriert? Hier einloggen
Gäste
Mittwoch, 26. September 2018

Sicherheitscode (Captcha)

Kontakt

Nick Informationstechnik GmbH
WEB : http://www.nick-it.de
TEL : +49 511 165.810.190
MAIL: info(at)nick-it.de

@nickinformation Tweets

Most Popular Post

04. Mai 2015
NITCtxPatcher a patchmanager for Citrix XenApp and XenDesktop 7.xMay 2017 The NITCtxPatchManager is back, after some changes from Citrix on the websit...
02. April 2015
NIT-GPOSearch is a free tool to search in the Group Policy (admx, adml) definitions for a specific setting. New in Version 1.2 - search in the domain ...
14. März 2015
Attention: We have completed a new version 2.0. This version is not longer free (Version 1.4 is it). In DACH you can request a conversion with the con...
Cookies erleichtern die Bereitstellung unserer Dienste. Mit der Nutzung unserer Dienste erklären Sie sich damit einverstanden, dass wir Cookies verwenden.
Weitere Informationen