Ce post vient à la suite de ;
- Fondamentaux – Certificat racine SSL sous MAC
- Vidéo – creation basique d’un certificat SSL à partir d’une autorité certifiante Microsoft
- Les fondamentaux – Architecture Citrix Secure Gateway – Part 1
- Les fondamentaux – Architecture Citrix Secure Gateway – Part 2
- Vidéo – installation basique de Citrix Secure Gateway 3.1 sous Windows 2003
- Vidéo – création et configuration basique d’un site Web Interface 5.2 pour Citrix Secure Gateway

Ca faisait longtemps que je n’avais pas fait la manipulation de création de certificat ssl autosigné avec openssl, pour mes Citrix Access gateway en l’occurence. En cherchant sur le Net, j’ai eu du mal à trouver des bonnes infos, mais j’avoue j’ai pas cherché longtemps non plus

D’abord je tiens à remercier les sites suivants, pour m’avoir remis les idées en place :
- http://blog.taragana.com/index.php/archive/openssl-how-to-create-self-signed-certificate/fr/
- http://www.floury.net/wordpress/wordpress/?p=39

Il y a cependant juste des petites erreurs d’écriture sur les lignes de commandes qu’ils nous donnent. Donc je me permet d’ecrire une version qui fonctionne aussi.

Méthode
Je me suis servi d’un serveur Windows 2003 SP2 pour installer une version d’openssl trouvé sur le site http://www.slproweb.com. Le pré-requis, en ce qui me concerne fut d’installer Visual C++ 2008 Redistributables uniquement.

En suivant les commandes données sur les 2 sites, que je cite au-dessus, j’ai corrigé comme suit :
Résultat :

A bientot,
Patrice Jacques-gustave

©2010 tescitrixoupas. All Rights Reserved.

Il y a quelques années, après le rachat de Net6 par Citrix, nous recevions les premiers boitiers Access Gateway, pour faire du VPN SSL. Mais comme nous étions 4 dans l’équipe, avoir un boitier chacun était exclus. Nous avions alors à l’époque virtualisé Access Gateway sous VMWare Workstation, juste pour tester chacun de notre coté.

Je rappelle que cette démarche n’est pas du tout supporté par Citrix. Je n’encourage personne à mettre en place d’Access Gateway, en production, sous VirtualBox 3.x.

Or il y a longtemps que j’ai abandonné VMWare Workstation pour Sun VirtualBox, pour des questions de coûts et de performances. Mais je me suis demandé si je pouvais en faire autant sous VirtualBox 3.x, par curiosité. Eh bien tout fonctionne très bien.

Note : cliquez sur les images et les vidéos pour les agrandir.

1ère étape

Configuration de la machine virtuelle

Première étape, création d’une nouvelle machine virtuelle Linux Kernel 2.6 64bit avec 100Go de disque dur dynamique et 2 cartes réseaux.

2ème étape

Installation des sources Access Gateway 4.6.3

Deuxième étape, installation des sources disponibles en téléchargement sur MyCitrix. Il vous faut un compte pour le récupérer.
L’installation ne nécessite aucune intervention de votre part. Cependant lors du premier redémarrage il faut enlever le CD ou l’ISO, à moins que vous souhaitiez repartir sur une installation. L’installation redémarre 2 fois en tout.	Durée : 2 minutes et 38 secondes Taille : 3.7Mo Format : .swf Résolution : 728×486

3ème étape

Accès à la console

Lors de l’installation, Citrix configure l’adresse IP 10.20.30.40 pour la première carte réseau et l’adresse IP 40.30.20.10 pour la deuxième carte. Il vous suffit alors de vous connecter via votre navigateur web en HTTPS, dans mon exemple je me connecte sur l’interface 40.30.20.10 sur le port 9001. Le compte d’administration par défaut est root et rootadmin pour le mot de passe (source edocs Citrix).

4ème étape

Installation de la console d’administration – Access Gateway Administration Tool

La vidéo concerne l’installation de la console d’administration Java sous Windows.

Durée : 30 secondes Taille : 555 ko Format : .swf Résolution : 728×486

Retrouvez toutes les vidéos dans la section Téléchargement.

A bientôt,
Patrice Jacques-gustave

©2010 tescitrixoupas. All Rights Reserved.

Citrix annonce aujourd’hui la disponibilité de l’appliance Access Gateway en mode virtuelle sous XenServer, sous le nom de Access Gateway VPX Express. Cette nouvelle machine virtuelle, tant attendu est gratuite jusqu’à 5 connections par AG VPX Express.

Mais qu’elle est la différence basique entre Citrix Secure Gateway, Citrix Access Gateway et Citrix Netscaler ?
Je vais essayer de vous résumer cela simplement

A bientôt,
Patrice Jacques-gustave

©2010 tescitrixoupas. All Rights Reserved.

Ce post vient à la suite de ;
- News – Netscaler (AGE inclus) VPX Express virtuel gratuit depuis hier – part I
- News – Netscaler (AGE inclus) VPX Express virtuel gratuit sous XenServer et ESX – part II

Je profite de la sortie de la nouvelle version de Netscaler 9.2 pour vous poster une vidéo sur le Netscaler VPX Express 9.2). J’en ai déjà parlé mais au cas où, il existe une version de Netscaler VPX (sous XenServer ou VMWare) gratuite.

Dans la vidéo, je vous montre, après avoir transféré l’appliance virtuelle de Netscaler VPX Express, via la XenCenter, comment configurer l’adresse IP et je vous montre comment se présente la console.

Qu'est ce que Netscaler VPX ?
C’est en 2005 que Citrix a acheté Netscaler. Il semblerait que la technologie Netscaler seraient positionnées chez de grands acteurs du web comme Google, Amazon ou Microsoft MSN par exemple. Certains sites utilisent un boitier Netscaler en tant que principale et un Netscaler VPX en tant que backup ou en HA, par exemple…

Netscaler VPX se décompose en 3 famille;
Netscaler VPX 1000, 200, 10, qui partage les mêmes binaires et options, et que ce soit sous XenServer ou VMWare.

Afficher le tableau des plateformes Netscaler VPX

Afficher le tableau des versions Netscaler VPX
Source: ctx121291 – NetScaler VPX Release 9.1 FAQ (il y a dans ce document des informations à connaitre)

Chaque Netscaler VPX que vous mettrez en place nécessitera une licence. Si vous choisissez la version gratuite, la licence expire au bout d’un an et il vous suffira d’en demander une autre sur MyCitrix du citrix.com, tout comme les XenServer gratuit.

Utilisez le document CTX122426 pour savoir comment activer votre licence basée sur l’adresse MAC de votre Netscaler VPX.

Pour rappel Netscaler est avant tout un Load Balancer mais y est intégré un firewall applicatif, un accélérateur d’application Web, un vpn SSL, un cache, un système de compression de données, un système de répartition de charge, etc… Un tout en un en somme

Vidéo
Netscaler VPX est une appliance FreeBSD virtualisée, sécurisée et qui offre de multiples options.

Je vous montre dans la vidéo les options disponible dans la console d’administration, après avoir configuré l’adresse IP de gestion pour l’interface d’administration Web et Java.

Bonne lecture,
Durée de la vidéo : 08 minutes 11 sec | format (flash en .swf) 1024×786 pixels
Taille de la vidéo : 13.58 Mo | Auteur : tescitrixoupas | Date de création : 03 Mai 2010

©2010 tescitrixoupas. All Rights Reserved.

Je ne sais pas si vous aviez tous suivit ceci, mais non seulement NetScaler VPX Express est gratuit sous XenServer mais aussi sous ESX en TechPreview.

En effet, vous avez la possibilité d’avoir une passerelle VPN SSL, du load balancing, accélération d’application Web, etc…gratis chez Citrix.

Citrix nous fournit les appliances virtuelles sous mycitrix.com.

Pour mettre NetScaler VPX sur ESX vous devez :

1. Obtenir ESXi sur le site de vmware
2. Télécharger le client vSphere sur le site de vmware et l’installer sous Windows XP ou 2003
3. Télécharger NetScaler VPX for ESX (.zip qui fait 1,28 Go)
4. Dans vSphere, utilisez “File -> Deploy OVF Template” pour installer le Netscaler VPX Express
5. Récupérer une licence gratuite au même endroit où vous avez télécharger la machine virtuelle
6. Pour récupérer plusieurs licences vous passerez au même endroit

A bientôt,
Patrice Jacques-gustave

©2010 tescitrixoupas. All Rights Reserved.

Citrix depuis hier a mis en téléchargement sur www.citrix.com, une version gratuite d’un Netscaler (incluant Access Gateway) virtuel limité à 1Mo de bande passante. Il vous faut juste avoir un compte mycitrix (enregistrement gratuit aussi).

Ce qui me permet de remplacer mon Citrix Secure Gateway sous Windows (gratuit) dans ma DMZ de démo par une version sous Linux (aussi gratuit).

Merci à Citrix devrais je dire

A bientôt,
Patrice Jacques-gustave

©2010 tescitrixoupas. All Rights Reserved.

J’archive ce précieux pdf et je vous le met en téléchargement

Citrix_TCP_Ports.pdf

Ce document indique les ports pour les produits suivants :
Access Gateway 4.5 Advanced & Standard Edition
Access Gateway 4.6 Advanced & Standard Edition
Access Gateway 7.0/8.0/8.1 Enterprise Edition
Access Gateway 9.0/9.1 Enterprise Edition
Branch Repeater 4.5/5.0/5.5
Branch Repeater with Windows Server 1.0/1.5/2.0
Citrix Licensing 11.5/11.6
Citrix Licensing for 4.5
EasyCall 2.1/2.2
EdgeSight for Presentation Server 4.5
EdgeSight for XenApp 5.0/5.1
GoToAssist 7.0
GoToMeeting 3.0
Lab Manager 3.6
Password Manager 4.5/4.6
Presentation Server 4.5 for Windows Server 2003
Provisioning Server 4.5/5.0/5.1
SmartAuditor 1.1/1.2
Workflow Studio 1.0/2.0
XenApp 5.0 for Windows Server 2008 x64
XenDesktop 3.0 x64
XenServer 5.0/5.0 Update 3/5.5

Jeudi 23 Avril 2009 – Mise à jour
Laurent C. m’avait sympathiquement envoyé le fameux document (ci-dessous) reprenant les diverses architectures Citrix avec les ports réseaux associés. Avec beaucoup de retard je le met en ligne. Donc milles excuses Laurent et merci. J’en profite donc pour ré-ouvrir la base documentaire que j’avais mis en place et mettre en dessous une mise à jour de la liste des ports.

Je m’appuie donc de ce document pour démarrer.

Citrix Access Suite 4.2 Connections – format.pdf – 1,7 Mo

Mise à jour 03 Août 2009 : Mise en ligne d’une cartographie basique XenApp mise à jour.

Cet article va essayer de lister tous les ports utilisé par défaut par les solutions Citrix. Liste de ports disponible pour le moment dans cet article : XenApp, Presentation Server, Metaframe, Access Gateway, Edgesight

XenApp / Presentation Server / Metraframe

2512	|port tcp utilisé pour les communications entre serveurs au travers du service IMA (independant management architecture)
2513	|port tcp de communication entre les serveurs (service IMA) et la console d’administration java centralisée (Citrix Management Console)
135	|port tcp utilisé par le service DCOM+ pour la console d’administration centralisée (Access Suite Console – Access Management Console), utilisé aussi pour communiquer avec le serveur de licence “Terminal Server”)
1494	|port tcp utilisé pour le protocol ICA
2598	|port tcp utilisé pour le protocol ICA dans le cadre de la “fiabilité de session”
80 ou 443	|port tcp XML utilisé pour communiquer avec Web Interface
3268 ou/et 3269	|port udp utilisé pour communiquer avec l’Active Directory Microsoft
27000 + des ports aléatoires	|port udp utilisé pour communiquer avec le serveur de licence centralisé Citrix
Illustration:	Cartographie basique d’une architecture XenApp – ports TCP et UDP

Access Gateway

80 :
port tcp utilisé par le “Configuration Utility” et pour communiquer avec le Secure Ticket Authority (STA)

3010 :
port tcp utilisé par le “Configuration Utility” en mode applet java

22 :
port tcp pour se connecter en SSH et transférer des fichiers en utilisant le “Configuration Utility”

389 :
port tcp pour communiquer avec un annuaire LDAP

636 :
port tcp pour communiquer avec un annuaire LDAP en SSL

1812 :
port UDP pour communiquer avec un serveur Radius

443 :
port tcp pour communiquer avec la Web Interface, et le Secure Ticket Authority (STA)

1494 ou 2598 :
port tcp pour communiquer de la MIP vers le lan (session ICA) et si vous avez configurez la fiabilité de session le port tcp utilisé sera plutot le 2598

Edgesight

source : CTX111107
Ports (80, 443, 9035, 9036, 27000, 1433)

80 ou 443 :
port tcp de communication entre l’agent edgesight et le serveur edgesight.

9035 :
Port tcp de communication entre la console web edgesight et l’agent edgesight.

9036 :
port tcp de communication interne au poste où installé l’agent, entre l’agent et la base local. Les processes qui utilisent ce port sont RSCorSvc and FBserver.

2700 :
port tcp de communication pour le serveur de licences

1433 :
port tcp de communication pour la base Edgesight.

Vous pouvez trouvez un shcéma à cette adresse : CTX114355

————-A suivre ————

XenDesktop

XenServer

Provisioning

Wanscaler

Netscaler

Password Manager

Web Interface

Branch Repeater

Patrice Jacques-gustave

 

©2010 tescitrixoupas. All Rights Reserved.

Vous trouverez dans ce post et dans la base vidéothèque, une vidéo d’installation de Citrix Secure Gateway 3.1. Je me sers de Citrix Secure Gateway pour mes maquettes XenApp et XenDesktop.

Petit rappel:
Citrix Secure Gateway est une passerelle VPN SSL logiciel que vous pouvez installer soit sous Windows ou Unix (mais très peu de sites l’utilisent dans ce mode, car plus long à mettre en place et offrant moins de fonctionnalités, je sais même plus si c’est maintenu d’ailleurs .
Ce soft est dans les distributions de XenApp ou en téléchargement sur le site de Citrix dans la Section XenApp. Et c’est gratuit. Pour vos maquettes XenApp ou XenDesktop, c’est idéal pour commencer à tester des connections externes sécurisées sous Citrix. Puis de passer sous Access Gateway ou Netscaler quand vous voulez aller plus loin dans la sécurité des accès.

Les pré-requis pour une passerelle Citrix Secure Gateway sont les suivants;
- Une Windows 2003 en workgroup avec les dernières mise à jour
- Le certificat racine de l’autorité de certification qui a généré le certificat serveur destiné à la passerelle Citrix Secure Gateway
- Le certificat serveur destiné à la passerelle Citrix Secure Gateway pour le chiffrement de la session externe

Note: en ce qui me concerne j’arrête un max de service Windows qui ne servent pas dans ce type d’architecture. Ce qui me permet d’utiliser un Windows 2003 virtuel sous Virtual PC avec une mémoire de 192Mo. Au final, ma VM consomme environ 145 Mo à tout casser.

Techniquement comment ça marche ?
Voir Les fondamentaux – Architecture Citrix Secure Gateway – Part 1 et Les fondamentaux – Architecture Citrix Secure Gateway – Part 2

Les ports utilisés sont:
443 pour les connections externes
80 (par défaut) pour la communication avec le Secure Ticket Authority
80 (par défaut) pour la communication avec la Web Interface

Bonne lecture,
Durée de la vidéo : 3 minutes 46 secondes

Retrouvez cette vidéo et les autres sur la page Téléchargement de ce site en accès libre.

A bientôt
Patrice Jacques-gustave

©2010 tescitrixoupas. All Rights Reserved.