【Citrix Gateway VPX】ICA-Proxy 接続の検証環境構築手順の一例（２）

こんにちは。Citrix製品のサポートを担当している川東（かわひがし）です。

Citrix Virtual Apps and Desktops（XenApp and XenDesktop）を社外からインターネット接続で利用する場合、Citrix Gatewayを使用して、「Citrix StoreFront、公開アプリケーション、仮想デスクトップ」の通信を暗号化することができます。こちらの接続方法は、ICA-Proxyと呼ばれています。

今回のブログは、ICA-Proxy 接続で利用するためのCitrix Gateway VPXの構築手順の一例をご紹介させて頂きます。Citrix Gateway VPX の入手方法から説明をする都合で、以下の６本の記事に分けてご紹介をさせて頂きます。今回は「２」の内容になります。

１．本記事の検証環境の構成イメージ
２．自己署名ルート証明書、中間証明書、サーバ証明書の作成の流れ
３．自己署名ルート証明書の作成手順
４．中間証明書の作成手順
５．サーバ証明書の作成手順

本資料で使用するすべてのマシンは、VMWare ESXi 上で構築しています。Citrix Gateway VPXの仮想NICは１枚です。こちらに３個のIPアドレスを割り当ててます。それぞれの用途は以下になります。

＜検証環境イメージ図＞
使用しているIPアドレスは、検証環境に作成した内部ネットワークのIPアドレスになります。

本記事で使用しているCitrix製品のバージョンは以下になります。

※本記事は中間証明書の作成も含めています。動作検証時に中間証明書を使用しない場合は、以下の②の内容は無視してください。「③の署名要求」は「①ルート証明書」を使用するイメージになります。

以下の図の①から③に記載の「自己署名ルート証明書の作成」「中間証明書の作成」「サーバ証明書の作成」の流れで作成します。すべて、Citrix Gatewayに用意されている機能で作成ができます。

それぞれの証明書の有効期間は、別記事の証明書更新手順の内容の都合で、「ルート証明書：３年」「中間証明書：１年」「サーバ証明書：１年」にしています。

１．「Traffic Management」－「SSL」を開きます。画面右上の保存アイコンにオレンジ色の丸が表示されている場合は、以前の作業の設定が保存されていない可能性がありますのでクリックして保存します。

２．「１」にて保存アイコンをクリックした場合、確認画面にて「Yes」をクリックします。

３．画面右下に通知メッセージが表示された場合は「✕」にて閉じます。

４．「Root-CA Certificate Wizard」をクリックします。

５．「SSL Root-CA Certificate Wizard」にて黄色の箇所を設定後、「Create」をクリックします。「Key Filename*」は秘密鍵として作成するファイルの名前を手動で入力してください。「Pem Passphrase」は秘密鍵のパスワードを設定します。「Key Size」は「2048」以上を推奨します。

６．「Create Certificate Signing Request (CSR)」にて黄色の箇所を設定します。「Request File Name*」は証明書署名要求ファイルとして作成するファイルの名前を手動で入力してください。「PEM Passphrase」は手順５で設定した秘密鍵のパスワードです。「Subject Alternative Name」は「DNS:testCA」にしています。手順７で設定するCommon Nameの「testCA」と同じにしています。

７．６の続きの設定です。黄色の箇所を設定後、一般名「Common Name」を入力後「Create」をクリックします。本資料は一般名「Common Name」を「testCA」にしています。

８．証明書署名要求ファイルのダウンロード画面にて、「No」をクリックします。

９．画面上部にCitrix Gateway にビルトインされている証明機関を使用するため、動作検証目的の使用を推奨するメッセージが表示された場合は「✕」をクリックします。

１０．「Certificate」にて黄色の箇所を設定します。「Certificate File Name*」は証明書署名要求ファイルとして作成するファイルの名前を手動で入力してください。本記事は「Valid Period（Number of Days）」は「1095」（３年間）にしています。「PEM Passphrase」は手順５の秘密鍵のパスワードです。「Subject Alternative Name」は「DNS:testCA」にしています。手順６と同じ値にしています。

１１．本記事は「Install Certificate」は設定せずに「Done」をクリックします。

１２．作成したルート証明書をダウンロードします。こちらのファイルは、【Citrix Gateway VPX】ICA-Proxy 接続の検証環境構築手順の一例（６） で、クライアント端末からICA-Proxy接続の動作確認をする際にクライアント端末にインストールします。

「Traffic Management」－「SSL」－「Manage Certificates / Keys / CSRs」をクリックします。

１３．作成したルート証明書を選択します。

１４．「Download」をクリックします。ダウンロードしたファイルは、ICA-Proxy接続の動作確認をするクライアント端末にインストールします。

１．「Traffic Management」－「SSL」をクリックします。「Intermediate-CA Certificate　Wizard」をクリックします。

２．「SSL Intermediate-CA Certificate Wizard」にて黄色の箇所を設定後、「Create」をクリックします。「Key Filename*」は秘密鍵として作成するファイルの名前を手動で入力してください。「PEM Passphrase」は秘密鍵のパスワードを設定します。「Key Size」は「2048」以上を推奨します。

３．「Create Certificate Signing Request (CSR)」にて黄色の箇所を設定します。「Request File Name*」は証明書署名要求ファイルとして作成するファイルの名前を手動で入力してください。PEM Passphraseは手順２で設定した秘密鍵のパスワードです。「Subject Alternative Name」は「DNS:test-intmCA」にしています。手順４で設定するCommon Nameの「test-intmCA」と同じにしています。

４．３の手順の続きです。黄色の箇所を設定後、一般名「Common Name」を入力後「Create」をクリックします。本資料は一般名「Common Name」を「test-intmCA」にしています。本記事は「Common Name」を「test-intmCA」にしています。

５．証明書署名要求ファイルのダウンロード画面にて、「No」をクリックします。

６．「Certificate」にて黄色の箇所を設定します。「Certificate File Name*」は証明書署名要求ファイルとして作成するファイルの名前を手動で入力してください。「CA Certificate File Name*」の「Choose File」の右側の下矢印をクリック後、「Appliance」をクリックします。「Subject Alternative Name」は「DNS:test-intmCA」にしています。手順４と同じ値にしています。

７．ルート証明書のファイルを選択後、「Open」をクリックします。

８．「CA Key File Name」にて「Choose File」の下矢印をクリック後、「Appliance」をクリックします。

９．「testCA.key」を選択後、「Open」をクリックします。

１０．「PEM Passphrase」に、ルート証明書用の秘密鍵のパスワードを設定します。「CA Serial File Nnmber」の「Choose File」右側の下矢印をクリック後、「Appliance」をクリックします

１１．「ns-root.srl」を選択後、「Open」をクリックします。独自に作成したシリアル番号のファイルを使用する場合は、そちらを選択後、「Open」をクリックします。

１２．「Create」をクリックします。

１３．以下の画像の「Install Certificate」は設定無しで、「Done」をクリックします。

１４．「Manage Certificates / Keys / CSRs」をクリックします。

１５．作成したルート証明書を選択します。

１６．「Download」をクリックします。ダウンロードしたファイルは、ICA-Proxy接続の動作確認をするクライアント端末にインストールします。

インストール手順は、こちらのページ をご参照ください。

１．画面右上の保存アイコンがオレンジ色の場合は、以前の設定内容が保存されていない可能性がありますのでクリックして保存ます。

２．「Server Certificate Wizard」をクリックします。

３．「SSL Server Certificate Wizard」画面にて黄色の箇所を設定します。「Key Filename」はサーバ証明書用の秘密鍵を作成します。「PEM Passphrase」に秘密鍵のパスワードを設定します。設定後、「Create」をクリックします。

４．「Create Certificate Signing Request(CSR)」にて黄色の箇所を設定します。「Request File Name」は証明書署名要求ファイルの名前を入力します。「PEM Passphrase」は、手順３の秘密鍵のパスワードを入力します。「Subject Alternative Name」は「DNS:cgica13-01.river.local」にしています。手順５で設定するCommon Nameの「cgica13-01.river.local」と同じにしています。こちらの値は、ユーザが接続するFQDNと一致するようにしてください。

５．黄色の箇所を設定します。「Common Name」はサーバ証明書に指定するFQDNを指定します。こちらの値は、ユーザが接続するFQDNと一致するようにしてください。

６．証明書署名要求ファイルのダウンロード確認画面にて「No」をクリックします。

７．以下の警告画面にて、右側の「✕」をクリックします。

８．「Certificate」画面にて黄色の箇所を設定します。「Certificate File Name*」は、サーバ証明書のファイル名を入力します。「CA Certificate File Name*」は、「Choose File」の下矢印をクリック後「Appliance」をクリックします。「Subject Alternative Name」は「cgica13-01.river.local」にしています。手順４と同じ値にしています。こちらの値は、ユーザ様が接続するFQDNと一致するようにしてください。

９．中間証明書のファイルを選択後、「Open」をクリックします。

１０．引き続き、黄色の箇所を設定します。「CA Key File Name*」は、「Choose File」の下矢印をクリック後、「Appliance」をクリックします。

１１．中間証明書の秘密鍵を選択後、「Open」をクリックします。

１２．「CA Serial Number*」にて「Choose File」の下矢印をクリック後、「Appliance」をクリックします。「PEM Passphrase」は手順５で設定した中間証明書の秘密鍵のパスワードです。

１３．「ns-root.srl」を選択後、「Open」をクリックします。シリアル番号のファイルを独自に作成されている場合は、そちらのファイルを選択してください。

１４．「Create」をクリックします。

１５．「４」の以下の画像の「Install Certificate」は設定無しで、「Done」をクリックします。

１６．「Manage Certificates / Keys / CSRs」をクリックします。

１７．サーバ証明書用に作成した秘密鍵、署名要求ファイル、サーバ証明書が作成されていることを確認します。

次回 は、本記事で作成した中間証明書とサーバ証明書のキーペア作成とリンクの手順をご紹介します。

クライアント仮想化の基礎知識から、仮想化製品「Citrix Virtual Apps and Desktops(XenAppおよびXenDesktop)」の製品概要、導入検討時に注意すべき点などをご紹介します。
今お持ちのお悩みを解決し、Citrix製品をより有効に活用する方法を具体的に学ぶことができる内容になっております。

アシストのCitrixサポートセンターに良くある設定・トラブル対処方法のFAQ10選の資料を無料プレゼント中です。また、Citrix XenApp/XenDesktopの問題発生時に原因を切り分ける方法も掲載しております。以下のバナーからお気軽にダウンロードください。