Implementierung von Citrix Netscaler

NetScaler - die eierlegende Wollmilchsau von Citrix

Das Projekt

Gegenstand des Projekts war die Einführung von Citrix ShareFile sowie die Veröffentlichung (das Publishing) der Citrix-Umgebung einschließlich ShareFile über NetScaler, um den Zugriff über das Internet zu ermöglichen. Dabei ersetzte NetScaler im Sinne der Serverkonsolidierung die normalerweise für das ShareFile-Publishing benötigte ADFS-Farm mit mindestens zwei Servern. Da das NetScaler Gateway für das Publishing der Citrix-Umgebung sowieso erforderlich war, konnten im Zuge des Projekts zusätzliche Funktionen wie die SAML-Authentifizierung für ShareFile auf NetScaler verlagert werden. Somit muss nur ein Produkt verwaltet werden, was weniger Komplexität bei der Administration bedeutet.

INTERTEC-Hess hatte bereits die Einführung der Citrix-Umgebung einschließlich HDX3DPro sowie ein Storageprojekt mit netlogix verwirklicht. Daher fiel die Wahl des Dienstleisters auch bei diesem Projekt auf netlogix. Die Entscheidung für NetScaler kam durch den Besuch eines unserer 79er-Seminare und weitere vertiefende Gespräche zum Thema zustande.  

Warum NetScaler?

Citrix NetScaler ist ein Application Delivery Controller (ADC). Das integrierte NetScaler Gateway sorgt für den sicheren Zugriff auf Anwendungen über das Internet, indem es eine strikte Trennung zwischen dem Internet und dem internen Datencenter gewährleistet. Citrix NetScaler war damit auch die perfekte Lösung für das Exchange-Publishing als Ersatz für das abgekündigte Microsoft Threat Management Gateway (TMG).

NetScaler fungiert außerdem als Reverse Proxy, also als die Instanz, die Informationen vom Server abruft und dem Client antwortet. Damit nicht jeder Client eine offene Verbindung zum Backendserver hat, bündelt NetScaler diese Verbindungen, sodass weniger TCP-Verbindungen nötig sind. Alle Verbindungen aus dem Internet werden mit dem Reverse Proxy als zusätzliche Sicherheitsstufe abgesichert.

NetScaler bietet verschiedene Möglichkeiten, um die SSL-Security anzupassen, unabhängig vom Backendsystem. Ein Beispiel sind Clients mit Windows XP: XP braucht SSLv3, einen seit einiger Zeit veralteten Verschlüsselungsstandard. Diese Veröffentlichung sollte man wegen Bedrohungen durch Poodle o.Ä. vermeiden. Daher soll diese Veröffentlichung nicht öffentlich sein (nicht über den Client), sondern direkt zwischen NetScaler und Backendsystem laufen. Somit ist auch bei derartigen (alten) Konstellationen ein Rating der Stufe A+ der Qualys SSL Labs möglich.

Eine weitere Funktion des NetScaler ist der HTTPS-Redirect: Da der gesamte HTTP-Verkehr sowohl ein- als auch ausgehend manipulierbar ist, können Websitebenutzer per Redirect zum sicheren, verschlüsselten HTTPS-Protokoll umgeleitet werden.

Mit NetScaler ist es möglich, sämtliche HTTP-Header-Informationen zu verändern, zu ergänzen oder zu entfernen. So kann beispielsweise auch der HSTS-Header (HTTP Strict Transport Security) hinzugefügt werden: Dieser sorgt dafür, dass der Client sich „merkt“, dass er eine URL nur noch per HTTPS aufrufen soll. Die grundsätzlich unsichere Anfrage wird also vom Browser gar nicht mehr ausgeführt. Dies muss jedoch vom Browser unterstützt werden. 

Citrix-Publishing über NetScaler

Grundsätzlich bietet ShareFile zwei Anmeldemöglichkeiten: mit Clouddaten oder per SAML. Die SAML-Authentifizierung erfolgt normalerweise über ADFS vor Ort. Das SAML-Log-in hat den Vorteil, dass die Anmeldedaten der Nutzer nicht in der Cloud, sondern im Unternehmen liegen. Außerdem können die Mitarbeiter ihre vertrauten AD-Daten nutzen.