如何对 Citrix 网站进行编码以使用安全网关 (CSG)？

Question

我使用 Citrix 的示例代码作为基础，并尝试让它生成 ICA 文件，指导客户端使用其安全网关 (CSG) 提供商。 我的配置是 ICA 文件的服务器地址替换为 CSG 票证，并且流量强制流向 CSG。

挑战在于 Citrix 应用程序服务器（在 1494 上提供 ICA 会话）和 CSG 都必须通过安全票证授权 (STA) 进行协调。 这意味着我的代码在创建 ICA 文件时需要与 STA 进行通信，因为 STA 持有 CSG 需要嵌入到 ICA 文件中的票证。 令人困惑？ 当然！ 但它更安全。

CSG 之前的代码如下所示：

AppLaunchInfo launchInfo = (AppLaunchInfo)userContext.launchApp(appID, new AppLaunchParams(ClientType.ICA_30));
ICAFile icaFile = userContext.convertToICAFile(launchInfo, null, null);

我尝试将 SSLEnabled 信息传递给 ICA 生成，但这还不够。 这是代码：

launchInfo.setSSLEnabled(true);
launchInfo.setSSLAddress(new ServiceAddress("CSG URL", 443));

现在，我在配置场时似乎需要注册 STA：

ConnectionRoutingPolicy policy = config.getDMZRoutingPolicy();
policy.getRules().clear();

//Set the Secure Ticketing Authorities (STAs).
STAGroup STAgr = new STAGroup();
STAgr.addSTAURL(@"http://CitrixAppServerURL/scripts/ctxsta.dll");

//creat Secure Gateway conenction
SGConnectionRoute SGRoute = new SGConnectionRoute(@"https://CSGURL");
SGRoute.setUseSessionReliability(false);
SGRoute.setGatewayPort(80);
SGRoute.setTicketAuthorities(STAgr);
// add the SGRoute to the policy
policy.setDefault(SGRoute);

这是基于我在 Citrix 论坛； 但是，它破坏了我与农场连接并获取我的申请列表的能力！

有人能给我指一个有效的代码示例吗？ 或者参考文档？

Answer 1

问题中的代码基本上是正确的，但我太努力地将配置注入到启动 ICA 生成器中。

注意：使用 WebInterface.conf 文件作为指导是确定正确配置设置的好方法。 即使代码是正确的，配置也非常敏感！

大多数 Citrix Secure Gateway (CSG)/Secure Ticket Authority (STA) 魔法是在建立与场的初始连接的策略时发生的。 具体来说，在 Global.asax.cs 中，您必须具有以下代码块：

1) 您必须具有有效的 STAGroup：

//Set the Secure Ticketing Authorities (STAs).
STAGroup STAgr = new STAGroup();
STAgr.addSTAURL(@"http://[STA URL]/scripts/ctxsta.dll");

2) 您必须创建 CSG 连接（具有映射的 STA）：

 //create Secure Gateway conenction
 SGConnectionRoute SGRoute = new SGConnectionRoute(@"[CSG FQDN without HTTPS]");
 SGRoute.setUseSessionReliability(false);
 SGRoute.setGatewayPort(443);
 SGRoute.setTicketAuthorities(STAgr);

3) 您需要设置默认策略

 // Create a DMZ routing policy
 ConnectionRoutingPolicy policy = config.getDMZRoutingPolicy();
 policy.getRules().clear();
 policy.setDefault(SGRoute);

4) 您需要告诉 launchInfo 您想要启用 CGP：

launchInfo.setCGPEnabled(true);

警告：启用 SSL 是为了转移注意力。

Answer 2

还有另一种更干净、更可配置的方法可以做到这一点。 可以将代码设置为使用默认 Citrix Web Interface 使用的 webinterface.conf 文件。

以下代码应替换上述示例中的所有 farmConfig、STAGroup、ConnectionRoutinePolcy 等。

InputStream inputStream = new FileInputStream(@"C:\temp\WebInterface.conf");
CtxConfig configInput = new CtxConfig(inputStream);
Map settingsMap = configInput.getSettingsMap();
WIConfiguration wiConfiguration = ConfigurationParser.buildWIConfiguration(settingsMap);

com.citrix.wing.config.Configuration config = new com.citrix.wing.config.Configuration();
config.setGlobalConfig(wiConfiguration.getGlobalConfig());
config.setMPSFarmConfigs(wiConfiguration.getMPSFarmConfigs());
config.setDMZRoutingPolicy(wiConfiguration.getDMZRoutingPolicy());
config.setClientProxyPolicy(wiConfiguration.getClientProxyPolicy());

// Create a StaticEnvironmentAdaptor instance.
WIASPNetStaticAdaptor staticEnvAdaptor = new WIASPNetStaticAdaptor(this);

// Create a WebPNBuilder instance.
WebPNBuilder builder = WebPNBuilder.getInstance();
Application["WebPNBuilder"] = builder;

// Create a WebPN instance from the configuration.
WebPN webPN = builder.createWebPN(config, staticEnvAdaptor);
Application["WebPN"] = webPN;

Answer 3

关于此问题的另一个说明是使用具有内部证书（不可信根）的 JICA 客户端。

JICA 客户端不允许您接受来自不可信根的证书，因此需要将证书添加到 Java CA 存储中。 将其添加到 Windows 商店并没有任何好处！

获取您的开发根 CA，然后导航到最新 Java 安装的 bin 目录（通常位于 c:\program files\java\jre*** 下）

执行以下命令：

keytool -import -trustcacerts -keystore "..\lib\security\cacerts" -file "c:\temp\root.cer" -alias myroot 

我会让您 Google 获取密码，因为您认为更改它[原文如此]。