ℹ️ À savoir · En bref
Citrix sépare trois couches : l'accès (StoreFront ou Workspace, Gateway), le contrôle (Delivery Controllers sur site, ou plan de contrôle Citrix Cloud joint par des Cloud Connectors) et les ressources (VDA sur un hyperviseur ou un cloud).
CVAD = tu héberges tout. DaaS = Citrix héberge le contrôle (et peut héberger l'accès) ; tu gardes les VDA et les Cloud Connectors.
Objectifs de la fiche
- Identifier les composants et leur rôle.
- Comprendre l'enregistrement d'un VDA et la séquence de lancement.
- Connaître le comportement en cas de panne (Local Host Cache).
- Savoir par où commencer un dépannage.
Les composants
| Composant | Rôle | Sur site (CVAD) | DaaS |
|---|---|---|---|
| Delivery Controller | Broker : enregistrement des VDA, choix de la machine, alimentation | Tes serveurs (2 minimum) | Hébergé par Citrix |
| Cloud Connector | Relais entre ton réseau et Citrix Cloud (AD, VDA, hyperviseurs) | — | 2 minimum par emplacement de ressources |
| Base du site | Configuration, état, journal, supervision | SQL Server (haute dispo.) | Hébergée par Citrix |
| Studio | Console d'administration | Web Studio | Console Citrix Cloud (Gérer) |
| StoreFront / Workspace | Authentification et liste des ressources | StoreFront | Workspace (cloud) ou StoreFront |
| Gateway | Accès externe sécurisé | NetScaler | Gateway service ou NetScaler |
| Licences | Contrôle des licences | Serveur de licences | Intégrées au service |
| VDA | Agent dans chaque machine qui publie bureaux et applications | Tes machines | Tes machines |
Les objets à connaître
| Objet | Définition |
|---|---|
| Connexion d'hébergement | Lien vers un hyperviseur ou un cloud (vCenter, abonnement Azure) et ses ressources (réseau, stockage) |
| Catalogue de machines | Ensemble de machines identiques (même image, même type : multisession, mono-session aléatoire ou statique) |
| Groupe de mise à disposition | Machines d'un ou plusieurs catalogues publiées à des utilisateurs, avec bureaux et/ou applications |
| Groupe d'applications | Applications publiées sur plusieurs groupes de mise à disposition, avec leurs propres droits |
| Zone (CVAD) / emplacement de ressources (DaaS) | Regroupement géographique : contrôleurs ou connecteurs proches des VDA et des utilisateurs |
| Balises (tags) | Restreindre une application ou un bureau à certaines machines, ou cibler des stratégies |
Enregistrement du VDA
Au démarrage, le VDA cherche la liste des contrôleurs puis s'enregistre (port 80, trafic authentifié et chiffré par Kerberos). Tant qu'il n'est pas enregistré, aucune session ne peut lui être attribuée.
| Méthode | Détail |
|---|---|
| Mise à jour automatique | Activée par défaut : après le premier contact, le VDA reçoit et garde la liste à jour |
| Stratégie / GPO | Paramètre « Controllers » (Virtual Delivery Agent Settings) |
| Registre | HKLM\SOFTWARE\Citrix\VirtualDesktopAgent\ListOfDDCs |
| Installation | Adresses saisies à l'installation (ou /controllers en ligne de commande) |
vérifier l'enregistrement
# Sur le VDA : diagnostic complet de l'enregistrement
XDPing.exe # outil Citrix (DNS, ports, Kerberos, heure)
# Sur un contrôleur / via le SDK DaaS
Get-BrokerMachine -MachineName "CORP\VDA-W25-01" |
Select-Object RegistrationState, LastDeregistrationReason, AgentVersion
⚠️ Piège
Causes classiques d'un VDA « non enregistré » : heure décalée (Kerberos), DNS (enregistrement inverse, zone parasite), pare-feu sur le port 80, compte machine désynchronisé après restauration, liste de contrôleurs vide. La raison est dans LastDeregistrationReason et dans le journal Application du VDA.
Lancement d’une session
- Le broker choisit le VDA selon l'index de charge (multisession), l'attribution (statique), les balises et l'état d'alimentation ; il allume une machine si besoin.
- Le fichier ICA contient l'adresse du VDA (ou de la Gateway) et un ticket à usage unique, de courte durée de validité.
- Avec Rendezvous, le VDA ouvre lui-même une connexion sortante vers le Gateway service : pas de flux entrant vers les VDA.
ℹ️ À savoir
Rendezvous V2 (défaut sur les VDA récents) va plus loin : le VDA dialogue directement avec le plan de contrôle Citrix Cloud. Sans Cloud Connector, ce n'est possible que pour des machines jointes à Entra ID ou hors domaine ; les machines jointes à l'AD (ou hybrides) gardent les Cloud Connectors.
Résilience : Local Host Cache
| Situation | Comportement |
|---|---|
| Déclenchement | Perte du lien entre Cloud Connectors et Citrix Cloud (ou base du site injoignable sur site) |
| Qui prend la main | Un broker élu parmi les connecteurs de la zone (ordre alphabétique des FQDN) |
| Ce qui marche | Multisession et mono-session statique ; machines allumées ; mono-session aléatoire : une session par machine par défaut |
| Ce qui ne marche pas | Studio, nouvelles attributions, alimentation (pas d'accès à l'hyperviseur), Monitor |
| Condition DaaS | Le trafic StoreFront passe par les Cloud Connectors (StoreFront sur site), ou la continuité de service est activée |
| Synchronisation | Copie de la configuration environ toutes les 5 minutes |
Versions : LTSR ou CR
- LTSR (Long Term Service Release) : support long, correctifs par mises à jour cumulatives (CU) ; recommandé en production stable. La dernière est la 2607 LTSR.
- CR (Current Release) : nouvelles fonctions tous les quelques mois, support court.
- En DaaS, le plan de contrôle est toujours à jour ; seuls les VDA, Cloud Connectors (mis à jour automatiquement) et StoreFront sont à gérer.
🔷 En contexte Citrix
Place les Cloud Connectors dans le même domaine (ou une forêt approuvée) que les utilisateurs et les VDA, et au moins deux par emplacement : ils portent l'enregistrement, l'AD et le Local Host Cache.
L'élection du broker LHC passe par HTTP (port 80) entre connecteurs : à autoriser dans les règles réseau internes.
À retenir
- Accès (StoreFront/Workspace, Gateway) → contrôle (DDC / Cloud Connectors) → ressources (VDA).
- Catalogue = machines identiques ; groupe de mise à disposition = publication aux utilisateurs.
- Un VDA non enregistré ne reçoit aucune session : heure, DNS, Kerberos, port 80.
- Le ticket du fichier ICA est validé par le VDA auprès du broker.
- LHC : continuité en panne cloud, sans alimentation ni Studio.
Auto-évaluation
Q1. Quelle différence entre un catalogue et un groupe de mise à disposition ?
→ Le catalogue regroupe des machines identiques (image, type) ; le groupe de mise à disposition publie ces machines à des utilisateurs sous forme de bureaux ou d'applications.
Q2. Un VDA reste « non enregistré ». Quelles vérifications en premier ?
→ XDPing sur le VDA : heure, DNS (direct et inverse), Kerberos, port 80 vers les contrôleurs, liste des contrôleurs ; puis LastDeregistrationReason.
Q3. Que se passe-t-il pour un bureau mono-session aléatoire pendant un LHC ?
→ Il reste utilisable s'il est allumé, pour une seule session par défaut (réutilisation activable par groupe) ; aucune opération d'alimentation n'est possible.
Q4. Pourquoi Rendezvous simplifie-t-il le réseau ?
→ Le VDA ouvre une connexion sortante vers le Gateway service : pas de flux HDX entrant à ouvrir vers les VDA.