Mejora de la seguridad en la distribución de aplicaciones por streaming a escritorios Versión 1.2

Transcripción

1 Mejora de la seguridad en la distribución de aplicaciones por streaming a escritorios Versión 1.2 Citrix XenApp 5.0 para Windows Server 2003 y 2008 Citrix Presentation Server 4.5 para Microsoft Windows

2 Avisos El uso del producto descrito en el presente está sujeto a la aceptación previa del contrato de licencia de usuario final. Encontrará un copia imprimible del Contrato de licencia de usuario final en el soporte de instalación del producto. La información que aparece en este documento puede cambiar sin previo aviso. Las empresas, los nombres y los datos utilizados en los ejemplos del presente documento son ficticios a no ser que se indique lo contrario. No se puede reproducir ni transmitir ninguna parte de este documento en ningún formato ni por ningún medio, ya sea electrónico o mecánico, bajo ningún concepto y sin permiso explícito por escrito de Citrix Systems, Inc Citrix Systems, Inc. Reservados todos los derechos. Estas son marcas comerciales de Citrix Systems, Inc. o de una o más de sus subsidiarias y es posible que estén registradas en la United States Patent and Trademark Office (Oficina de patentes y marcas comerciales de los Estados Unidos) y en otros países: Citrix, Citrix Presentation Server, Citrix XenApp y ICA. El producto incluye software desarrollado por The Apache Software Foundation ( RSA Encryption RSA Security Inc. Reservados todos los derechos. FLEXnet Operations y FLEXnet Publisher son marcas comerciales o marcas registradas de Acresso Software Inc. y/o InstallShield Co. Inc. Todas las otras marcas registradas y marcas comerciales son propiedad de sus respectivos dueños. Document code: June :31:35

3 Contenido Introducción...5 Uso de perfiles firmados...7 Obtención de un certificado de firma de código para firmar perfiles...9 Firma de un perfil...11 Creación de una lista de certificados de confianza de entidades de certificación...13 Opción 1: Configuración de dispositivos cliente que pertenecen a un dominio de Servicios de Active Directory con una entidad de certificación de empresa...13 Para crear un certificado de firma...13 Para crear la lista de certificados de confianza...14 Opción 2: Configuración de dispositivos cliente que no tienen acceso a Servicios de Active Directory o a entidades de certificación de empresa...16 Configuración del plugin o cliente después de crear la Lista de certificados de confianza...19 Uso del Traspaso SSL para proteger la seguridad de la comunicación entre los componentes de servidor...21 Uso de SSLAutoConfig para configurar los servidores...22 Para instalar SSLAutoConfig...22 Ejecución de SSLAutoConfig para descargar certificados Ejecución de SSLAutoConfig para configurar el Traspaso SSL...24 Ejecución de SSLAutoConfig para descargar certificados y configurar el Traspaso SSL...25 Instalación y configuración manual del Traspaso SSL...26 Paso 1: Obtención del certificado raíz y el certificado de servidor...26 Paso 2: Instalación del certificado...27 Paso 3: Cambio del puerto SSL (si es necesario)...27 Paso 4: Configuración del Traspaso SSL...28 Configuración de las preferencias de Profiler para los entornos de aislamiento en los dispositivos cliente...29 Configuración de privilegios reducidos para los usuarios...31 Mejora de la seguridad en el servidor que ejecuta la Interfaz Web...33 Actualización del software para reducir riesgos de virus y ataques...35 iii

4 Contenido Notas importantes sobre la creación y entrega de perfiles de aplicaciones...37 iv

5 Introducción La distribución de aplicaciones por streaming para escritorios es una solución para el aislamiento y descarga rápida de aplicaciones que permite a las organizaciones administrar una única instancia de una aplicación de escritorio y distribuirla a los usuarios cuando éstos la solicitan. A partir de Citrix XenApp 5.0, algunos nombres de producto han cambiado: Citrix XenApp es el nuevo nombre de Citrix Presentation Server. XenApp Plugin para aplicaciones de streaming es el nombre del plugin para la virtualización en el cliente, anteriormente conocido como cliente Streaming o Citrix Streaming Client. Este documento técnico va dirigido a los administradores de sistemas encargados de instalar, administrar, probar e implementar Presentation Server o XenApp. Citrix presupone que los lectores están familiarizados con conceptos y procedimientos generales de la administración de Windows. Este documento técnico es aplicable a ambos productos, Citrix XenApp 5.0 y Citrix Presentation Server 4.5, y usa tanto la terminología anterior como la nueva cuando es necesario. Este documento técnico ofrece instrucciones y recomendaciones para mejorar la seguridad de la distribución de aplicaciones mediante streaming en escritorios. Este documento forma parte de una serie de publicaciones técnicas disponibles en Citrix Knowledge Base en cuyo fin es ofrecer información detallada que amplía el contenido de la Guía para la distribución de aplicaciones por streaming de Citrix y de la Guía del administrador de Citrix XenApp o Guía del administrador de Citrix Presentation Server. Las tareas generales para mejorar la seguridad de la distribución de aplicaciones por streaming en escritorios son: Firma digital de perfiles de aplicación con un certificado del publicador o editor para garantizar la integridad de la aplicación distribuida Uso del Traspaso SSL de Citrix para mejorar la seguridad entre los componentes del servidor, tales como la Interfaz Web y los servidores que ejecutan XenApp o Presentation Server Mejora de la seguridad en la comunicación de cliente entre el XenApp Plugin para aplicaciones de streaming o Citrix Streaming Client y los servidores de archivos donde residen los perfiles Configuración del parámetro predeterminado de seguridad del perfil de usuario Configuración de preferencias y privilegios para mejorar la seguridad Mejora de la seguridad en el servidor que ejecuta la Interfaz Web Obtención de las actualizaciones de Windows más recientes y del software antivirus más actualizado 5

6 Introducción 6

7 Uso de perfiles firmados La distribución de aplicaciones por streaming en escritorios permite el uso de firmas digitales para autenticar el origen y la integridad de los perfiles firmados por un emisor de confianza. La firma del perfil se aplica a todos los paquetes de aplicación contenidos en el mismo. Las aplicaciones de los perfiles firmados son verificadas por los plug-ins (clientes) que tienen instalada una lista de confianza y pueden autenticar el certificado de firma de código comparándolo con dicha lista. Importante: Para evitar que los perfiles puedan sufrir algún tipo de manipulación malintencionada, Citrix recomienda que los administradores firmen todos los perfiles y configuren todos los clientes para que lleven a cabo la comprobación de la firma. Citrix presupone el uso de una entidad de certificación o CA (Certification Authority) de Microsoft; sin embargo, es posible usar otro tipo de entidad de certificación. Para firmar un perfil, hay que contar con lo siguiente: Certificado de firma de código para la firma de perfiles en la estación de trabajo donde se crean los perfiles Lista de certificados de confianza o CTL (Certificate Trust List) para la verificación de certificados en el dispositivo cliente Para poder crear y usar perfiles firmados, la cadena completa de certificados para la Firma de código y la Lista de certificados de confianza deben ser verificables en el equipo de creación de perfiles y en los dispositivos clientes, respectivamente. En el apartado siguiente se describen los procedimientos para solicitar un certificado de Firma de código, firmar un perfil y crear una Lista de certificados de confianza. 7

8 Uso de perfiles firmados 8

9 Obtención de un certificado de firma de código para firmar perfiles Antes de solicitar el certificado, asegúrese de que tiene las plantillas de certificado Firma de listas de confianza y Firma de código en la entidad de certificación (CA) en el servidor. Para ver más información sobre los servicios de certificados, busque el término Managing Microsoft Certificate Services en Para solicitar un certificado de firma de código 1. En la estación de trabajo utilizada para crear perfiles, use el explorador Web para ir al servidor que contiene los Servicios de certificados. Por ejemplo: nombre_servidor/certsrv 2. En la página de Bienvenida, haga clic en Solicitar un certificado. 3. En la página Solicitar un certificado, haga clic en Solicitud avanzada de certificado. 4. Haga clic en Crear y enviar una solicitud a esta CA e introduzca los datos solicitados. 5. En el cuadro Plantilla de certificado, seleccione Firma de código y luego haga clic en Enviar. 6. Cuando aparezca un mensaje, haga clic en Sí. 7. Para instalar el certificado en el equipo de creación de perfiles, en la página Certificado emitido haga clic en Instalar este certificado. 8. Aparecerán dos cuadros de mensaje; haga clic en Sí en ambos. Ahora ya puede firmar perfiles usando la página Firmar perfil de los asistentes de creación de perfiles, como se describe en el apartado siguiente. 9

10 Obtención de un certificado de firma de código para firmar perfiles 10

11 Firma de un perfil Después de instalar el certificado de firma de código en el equipo de creación de perfiles, puede firmar perfiles haciendo lo siguiente: Usando la página Firmar perfil en los asistentes de creación de perfiles, destinos y actualización de destinos o Abriendo un perfil ya creado y seleccionando Firmar perfil en el menú Herramientas Una vez seleccionado cualquiera de estos métodos, use la página Firmar perfil para elegir un certificado de firma de código. Para elegir un certificado de firma de código en la página Firmar perfil, puede elegir entre: Firmar el perfil con un certificado de firma de código guardado en la unidad; para ello, seleccione Firmar con clave de un archivo seleccionable, y haga clic en Examinar para buscar y seleccionar el archivo de certificado; después, haga clic en Aceptar. Si selecciona un certificado no válido, aparecerá un mensaje de error: El certificado seleccionado no es válido para firmar. Seleccione otro certificado. o Firmar el perfil con el certificado de firma de código instalado en el equipo de creación de perfiles; para ello, seleccione Firmar con certificado instalado localmente, y haga clic en Examinar para buscar y seleccionar el archivo de certificado; después, haga clic en Aceptar. Si no hay ningún certificado instalado, aparecerá este mensaje:no se pudieron encontrar certificados para elegir. Nota: Al examinar el almacén de certificados en el equipo de creación de perfiles, sólo aparecen los certificados de firma de código. Es necesario configurar el XenApp Plugin para aplicaciones de streaming (Streaming Client) para que pueda usar una Lista de certificados de confianza de forma que acepte sólo los certificados emitidos por las entidades de certificación raíz de confianza especificadas. Consulte el apartado siguiente para ver información sobre cómo crear una Lista de certificados de confianza. 11

12 Firma de un perfil 12

13 Creación de una lista de certificados de confianza de entidades de certificación Si desea crear una lista de las entidades de certificación que pueden firmar perfiles, use una lista de certificados de confianza (CTL). Puede instalar dicha lista con la instalación del plug-in (cliente) para que éste solo acepte certificados emitidos por entidades de certificación de confianza. Los perfiles firmados con un certificado de una entidad de certificación que no aparezca en la lista de confianza instalada en el plugin, no serán ejecutados por el dispositivo cliente. Esto permite controlar el dispositivo cliente para que sólo ejecute perfiles publicados por emisores de confianza. Existen dos opciones para crear una lista de certificados de confianza: Opción 1: Para dispositivos cliente que pertenecen a un dominio de Servicios de Active Directory que tiene una entidad de certificación de empresa (Enterprise CA) Opción 2: Para dispositivos cliente independientes que pertenecen a un dominio Active Directory que no tiene ninguna entidad de certificación de empresa, o que no pertenecen a ningún dominio Estos procedimientos se llevan a cabo mediante los Servicios de certificados de Microsoft y la consola MMC (Microsoft Management Console). Puede usar procedimientos similares con otros Servicios de certificados. Opción 1: Configuración de dispositivos cliente que pertenecen a un dominio de Servicios de Active Directory con una entidad de certificación de empresa Si tiene dispositivos cliente dentro de un dominio Active Directory que tiene una entidad de certificación empresarial integrada, use este procedimiento para crear la lista de certificados de confianza. Realice este procedimiento en el servidor. El procedimiento consta de dos pasos: Paso 1: Creación de un certificado de firma Paso 2: Creación de la lista de certificados de confianza Para crear un certificado de firma 1. En la consola MMC, asegúrese de que las plantillas de certificado Firma de listas de confianza y Firma de código estén instaladas en la entidad de certificación (CA) de la empresa. 13

14 Creación de una lista de certificados de confianza de entidades de certificación a. En la lista Agregar o quitar complemento, agregue Entidad de certificación e introduzca la ubicación de la misma. b. En el panel izquierdo, expanda el nodo Entidad de certificación, expanda el nodo del servidor y seleccione Plantillas de certificado. c. En el menú Acción, seleccione Nueva y seleccione Plantilla de certificado que se va a emitir. d. Si está disponible, seleccione Firma de listas de confianza y Firma de código y haga clic en Aceptar. Nota: En entornos con Active Directory, las Entidades de certificación de confianza empresariales pueden pre-distribuir el certificado raíz a todos los miembros del dominio Active Directory. 2. En la consola MMC, asegúrese de que los certificados necesarios de Entidades de certificación de confianza empresariales estén instalados en el almacén personal. Para ello, en la lista Agregar o quitar complemento, seleccione Certificados y luego Mi cuenta de usuario. 3. En el panel izquierdo, expanda el nodo Certificados y seleccione el nodo Personal. 4. En el menú Acción, seleccione Todas las tareas > Solicitar un nuevo certificado. 5. En la página de Bienvenida, haga clic en Siguiente y en la página Tipos de certificado seleccione Firma de listas de confianza. Después, para 2008 haga clic en Inscribir, o para 2003, haga clic en Siguiente. 6. Si el sistema lo pide, escriba un nombre y una descripción que lo ayudarán a identificar más adelante el certificado y finalice el asistente. Si no, expanda Personal, seleccione Certificados y haga doble clic en el certificado recién creado. En la ficha Detalles, haga clic en Editar propiedades y luego introduzca un Nombre descriptivo y una Descripción. Cuando cree la Lista de certificados de confianza usará este certificado de firma. Para crear la lista de certificados de confianza 1. Cree un nuevo objeto de directiva de grupo (GPO). Para Windows Server 2003: a. Mediante la consola MMC de Windows, agregue el complemento Usuarios y equipos de Active Directory. De forma alternativa, en un Controlador de dominio, vaya a la lista de Programas en el menú Inicio y seleccione Herramientas administrativas > Usuarios y equipos de Active Directory. b. Expanda el nodo Usuarios y equipos de Active Directory, seleccione el dominio donde residirá la directiva y en el menú Acción haga clic en Propiedades, seleccione la ficha Directiva de grupo y haga clic en Nueva. c. Cuando lo pida el sistema, introduzca un nombre para el GPO. 14

15 Mejora de la seguridad en la distribución de aplicaciones por streaming a escritorios Versión 1.2 Para Windows Server 2008: a. Mediante la consola MMC de Windows, agregue el complemento Administración de directivas de grupo. De forma alternativa, vaya a la lista de Programas del menú Inicio, seleccione Herramientas administrativas > Administración de directivas de grupo. b. En el panel izquierdo, expanda los nodos Administración de directivas de grupo > Bosque > dominios. c. Seleccione el dominio donde residirá la directiva y en el menú Acción, haga clic en Crear un GPO en este dominio y vincularlo aquí y escriba un nombre para el GPO. 2. Con el botón secundario del puntero, haga clic en el GPO recién creado en el panel derecho y seleccione Editar. 3. En el panel izquierdo del Editor de directivas de grupo, seleccione Configuración del equipo o Configuración de usuario (dependiendo de la configuración a la que quiera aplicar la lista de certificados de confianza), expanda los nodos de Configuración de Windows > Configuración de seguridad > Directivas de claves públicas y seleccione Confianza empresarial. 4. En el menú Acción seleccione Nueva > Lista de certificados de confianza. 5. En la página Bienvenida, haga clic en Siguiente. 6. En la página Propósito de la lista de certificados de confianza, escriba un prefijo CTL para ayudarle a identificar la lista una vez importada. Si lo desea, también puede configurar un periodo de caducidad para la lista de firma. Con una fecha de caducidad, si la lista de certificados de confianza caduca, el plugin (cliente) recibe un mensaje de error al intentar abrir un perfil. 7. En la lista de propósitos designados, seleccione Firma de código y luego haga clic en Siguiente. 8. Para incluir las Entidades de certificación de confianza necesarias para el certificado de firma de código, en la página Certificados en la lista de certificados de confianza (CTL), haga clic en Agregar desde el almacén, haga clic en el encabezamiento de la columna Emitido a para ordenarla, seleccione la entidad de certificación que contiene el certificado personal recién agregado, haga clic en Aceptar, haga clic en Siguiente, haga clic en Seleccionar del almacén, asegúrese de que la entidad recién creada está seleccionada y haga clic en Siguiente. 9. Para agregar el Certificado de firma solicitado anteriormente, en la página Firma del certificado, haga clic en Seleccionar del almacén, seleccione el certificado, haga clic en Aceptar si ve un mensaje de información, y luego haga clic en Siguiente. Si lo desea, puede agregar una marca de fecha y hora; después haga clic en Siguiente. 10. Escriba un nombre y una descripción para identificar el certificado, haga clic en Siguiente y luego haga clic en Finalizar y en Aceptar. 11. En el Editor de directivas de grupo, con el elemento Confianza empresarial resaltado en el panel izquierdo, seleccione la lista de certificados de confianza 15

16 Creación de una lista de certificados de confianza de entidades de certificación recién creada en el panel derecho y, en el menú Acción, seleccione Todas las tareas > Exportar. 12. En la página Bienvenida, haga clic en Siguiente. 13. En la página Archivo para exportar, use el botón Examinar para especificar un nombre de archivo y una ubicación donde guardar la lista de certificados de confianza (archivo.stl), haga clic en Siguiente, haga clic en Finalizar y luego haga clic en Aceptar. La ubicación debe ser un punto compartido de red al que los administradores puedan acceder cuando instalen el XenApp Plugin para aplicaciones de streaming (Streaming Client). Durante cada instalación del plugin (cliente) se puede hace referencia al archivo.stl del punto compartido en un parámetro de línea de comandos con el plugin (cliente) para crear la lista de certificados de confianza para los perfiles que se distribuyen por streaming en el dispositivo cliente. Opción 2: Configuración de dispositivos cliente que no tienen acceso a Servicios de Active Directory o a entidades de certificación de empresa Siga este procedimiento para crear una lista de certificados de confianza si tiene dispositivos cliente independientes que: Pertenecen a un dominio Active Directory que no tiene una entidad de certificación de empresa o No pertenecen a ningún dominio Para realizar este procedimiento necesitará Microsoft Visual Studio y el SDK de la plataforma. El SDK de la plataforma puede descargarse desde msdn.microsoft.com/. Una vez instalado el SDK, los archivos de firma de código residen en esta ubicación del equipo cliente: %windrive%\program Files\Microsoft Platform SDK\Bin Para crear una lista de certificados de confianza sin acceso a un dominio o a una entidad de certificación empresarial 1. En el menú Inicio del dispositivo cliente, seleccione Ejecutar, escriba cmd y haga clic en Aceptar. 2. En la interfaz de comandos, escriba MakeCTL.exe y luego presione Entrar. 3. En la página Bienvenida, haga clic en Siguiente. 16

17 Mejora de la seguridad en la distribución de aplicaciones por streaming a escritorios Versión En la página Propósito de la lista de certificados de confianza, escriba un prefijo CTL para ayudarle a identificar la lista una vez importada. Si lo desea, también puede configurar un periodo de caducidad para la lista de firma. 5. En la lista de propósitos designados, seleccione Firma de código y luego haga clic en Siguiente. 6. Para incluir las entidades de certificación de confianza necesarias para el certificado de firma de código, en la página Certificados en la lista de certificados de confianza (CTL), haga clic en Agregar desde el almacén, seleccione las entidades de certificación que desee en la lista, haga clic en Aceptar y luego haga clic en Siguiente. 7. Para agregar el Certificado de firma solicitado anteriormente, en la página Firma del certificado, haga clic en Seleccionar del almacén, haga clic en Aceptar y luego haga clic en Siguiente. Si lo desea, puede agregar una marca de fecha y hora; después haga clic en Siguiente y luego en Finalizar. 8. Escriba un nombre y una descripción para identificar el certificado, haga clic en Siguiente y luego haga clic en Finalizar y en Aceptar. Una vez creada la lista de certificados de confianza, complete la configuración del cliente como se describe en el apartado siguiente. 17

18 Creación de una lista de certificados de confianza de entidades de certificación 18

19 Configuración del plugin o cliente después de crear la Lista de certificados de confianza Después de crear la Lista de certificados de confianza, complete la configuración agregándola a la instalación del XenApp Plugin para aplicaciones de streaming (Streaming Client). Para completar la configuración 1. Exporte la lista de certificados de confianza a un archivo. 2. Guarde el archivo de la lista de certificados de confianza en un punto compartido de la red donde los dispositivos cliente tengan acceso de lectura. 3. Para habilitar la comprobación de firma de perfiles durante la instalación del XenApp Plugin para aplicaciones de streaming (Streaming Client), agregue la propiedad CSS_CTL_PATH mediante un archivo de transformación o pásela al programa de instalación del plugin (cliente) mediante una línea de comandos. Tenga en cuenta que una vez que se habilita la comprobación de firma de perfiles en el plugin (cliente), éste ya no podrá abrir perfiles sin firma. Defina el valor de la propiedad con la ruta completa de la ubicación del archivo de la lista de certificados de confianza. Por ejemplo: En Citrix Presentation Server, puede ejecutar: msiexec /i Citrix Streaming Client.msi CSS_CTL_PATH= \\Servidor_Archivos\Punto_Compartido \MiListaCTL.stl En XenApp 5.0, debido a que XenApp Plugin para aplicaciones de streaming se instala ahora con un archivo.exe y no.msi, ejecute este comando para extraer los archivos.msi y setup.exe: [ruta a]\xenappstreaming.exe /C : "setup.exe CSS_CTL_Path= [ruta al punto compartido]\milistactl.stl Una vez agregada la lista de certificados de confianza al XenApp Plugin para aplicaciones de streaming (Streaming Client), continúe instalando el plugin en los dispositivos cliente, ya sea de forma manual o mediante un objeto de directiva de grupo. Durante la instalación, el identificador de la lista de certificados de confianza se rellena en el Registro en la entrada HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\RADE\ctl \Data. El plugin instalado usa este valor para buscar la lista de certificados de confianza en el almacén de certificados. 19

20 Configuración del plugin o cliente después de crear la Lista de certificados de confianza 20

21 Uso del Traspaso SSL para proteger la seguridad de la comunicación entre los componentes de servidor Si la directiva de seguridad de su organización requiere el cifrado de toda la comunicación de red de punto a punto, configure el Traspaso SSL en el equipo que ejecuta Presentation Server o XenApp. El Traspaso SSL actúa como un proxy para los datos enviados entre el servicio XML alojado en el equipo que ejecuta Presentation Server o XenApp y la Interfaz Web. El Traspaso SSL utiliza el protocolo Secure Sockets Layer/Transport Layer Security (SSL/TLS), que ofrece autenticación, confidencialidad e integridad de datos. La autenticación SSL sólo se realiza en una dirección: la Interfaz Web autentica el Traspaso SSL verificando el certificado del servidor del traspaso en su lista de entidades de certificación de confianza. El Traspaso SSL recibe todo el tráfico enviado desde y hacia el servidor que ejecuta la Interfaz Web. El Traspaso SSL descifra el flujo de datos SSL/TLS enviado desde la Interfaz Web y lo reenvía al servicio XML. El XenApp Plugin para aplicaciones de streaming o Streaming Client no se comunica directamente con el servicio XML. Se comunica únicamente con la Interfaz Web, que a su vez, se comunica después con el servicio XML. Para asegurarse de que todos los datos enviados entre el Streaming Client y la Interfaz Web se transportan a través de una conexión SSL/TLS (que proporciona confidencialidad y evita que las credenciales puedan ser detectadas por herramientas de supervisión de redes), habilite HTTPS e inhabilite HTTP para todo el tráfico de datos entre Internet Information Services (IIS) y XenApp Plugin para aplicaciones de streaming o Streaming Client. Para dar el mismo nivel de protección al tránsito de datos entre la Interfaz Web y el servidor XenApp (o Presentation Server), configure el Traspaso SSL en este último. Figura 1 Este gráfico ilustra el proceso de comunicación entre el XenApp Plugin para aplicaciones de streaming, la Interfaz Web y el Traspaso SSL (hacia el servicio XML) y viceversa. Citrix ofrece dos métodos para configurar el Traspaso SSL en los servidores: 21

22 Uso del Traspaso SSL para proteger la seguridad de la comunicación entre los componentes de servidor Si usa una entidad de certificación (CA) de Microsoft, para una instalación inicial rápida puede usar la herramienta SSLAutoConfig para instalar los certificados de servidor en cada uno de los servidores de la comunidad. Para obtener más información, consulte Uso de SSLAutoConfig para configurar los servidores en la página 22. Si no utiliza entidades de certificación de Microsoft, y desea cambiar la configuración o desea instalar el Traspaso SSL manualmente, consulte Instalación y configuración manual del Traspaso SSL en la página 26. Uso de SSLAutoConfig para configurar los servidores Para simplificar la configuración inicial del Traspaso SSL, puede usar la herramienta SSLAutoConfig de Citrix para realizar cualquiera de estas tareas: Descargar e instalar certificados, configurar el Registro del Traspaso SSL y reiniciar servicios Descargar certificados sin configurar el Traspaso SSL Nota: El uso de SSLAutoConfig no recibe respaldo en Windows Server En su lugar, consulte Instalación y configuración manual del Traspaso SSL en la página 26. Para configurar el Traspaso SSL, ejecute SSLAutoConfig en cada servidor de su comunidad de servidores. El CD de instalación del servidor contiene los archivos sslautoconfig.exe y settings.ini en la carpeta Support/SSL. Para ejecutar SSLAutoConfig Es necesario ser un administrador de dominio Los servidores donde se va a ejecutar SSLAutoConfig deben estar en el mismo dominio que el servidor donde se ejecuta la entidad de certificación Para instalar SSLAutoConfig 1. Copie los archivos sslautoconfig.exe y settings.ini desde la carpeta Support/SSL del CD de instalación del servidor en una carpeta local. 2. Modifique settings.ini para adaptarlo a sus servidores. a. Defina el parámetro DNSSuffix con el nombre de dominio completo del servidor donde está ejecutando SSLAutoConfig. Para determinar el valor de DNSSuffix, escriba ipconfig en una interfaz de comandos y encuentre este valor en el resultado: Sufijo DNS específico para la conexión. Ejemplo: DNSSuffix=citrix.com 22

23 Mejora de la seguridad en la distribución de aplicaciones por streaming a escritorios Versión 1.2 b. Defina el parámetro KeySize con el tamaño de la clave de seguridad del certificado con su valor desplazado 16 bits a la izquierda. Estos son algunos valores frecuentes: 512 = = = Ejemplo: KeySize= c. Defina el parámetro CertServ con el nombre del equipo que aloja el servidor de la entidad de certificación y el nombre del servidor de la entidad de certificación para el que está solicitando un certificado. Ejemplo: CertServ=mfcasrv01\Streaming CA d. Establezca la configuración de nombre distinguido según sus atributos locales. Para el valor Country, utilice el código de dos caracteres correspondiente a su país. Ejemplos: OrgUnit=IT Organization=Citrix Systems Local=Fort Lauderdale State=Florida Country=US e. Defina el parámetro OID con el tipo de certificado que está utilizando. Actualmente SSLAutoConfig admite sólo la configuración de OID para el certificado de autenticación de servidor, que es Ejemplo: OID= f. Defina el parámetro CertificateTemplate para seleccionar la plantilla de autenticación correcta para pasarla al motor de directivas. Los servidores de certificados más nuevos, como es el caso de Windows 2003, utilizan plantillas de certificado. Actualmente, la única plantilla de certificado que admite SSLAutoConfig es WebServer. Ejemplo: CertificateTemplate=WebServer 3. Haga lo siguiente en cada uno de los servidores que quiera configurar: Cree una carpeta para ejecutar SSLAutoConfig. Copie el archivo settings.ini configurado y el archivo sslautoconfig.exe en dicha carpeta. En la interfaz de comandos, sitúese en el directorio donde reside SSLAutoConfig. En la interfaz de comandos, ejecute SSLAutoConfig como administrador de dominio. 23