CITRIX: Verständnis und Speed

[cevaxn]

Hallo Leute,

• was ist der Unterschied zwischen Citrix Storefront und Citrix Gateway?
• benötigt Citrix immer VPN/OpenVPN?

Hintergrund:
ich arbeite beruflich mit der Citrix vom Arbeitsgeber.
Unterwegs muss ich mich immer zuerst per OpenVPN mit dem Firmenserver verbinden.
Dann muss ich einen Link im Browser öffnen "citrixcon.***.de" usw.
wo die Seite "Citrix StoreFront" kommt, ich Name+PW eingeben muss und dann das Citrix-Fenster aufploppt.
Die Website ist nur erreichbar, wenn die VPN-Verbindung steht.

Dabei macht mir das VPN einen Strich durch die Rechnung.
Wenn ich in Deutschland unterwegs bin, hat das VPN eine Datenrate von 2mbit down und 0,9mbit up. Sehr grenzwertig, aber es geht mit viel Geduld.
Zur Zeit bin ich im Ausland und habe eine Datenrate von 350kb/s down. Egal wie gut die lokale Leitung ist.
Laut unserer IT sei alles normal. Hmm, ok, aber damit (sprich 1-2 FPS) ist kein Arbeiten möglich. Definitiv nicht.
Ein ruckelndes Daumenkino ist gelinde gesagt Tierquälerei.
Bin der Meinung, dass ich gedrosselt werde, da ich 400mbit habe, wenn ich in der Firma sitze.

Eine Bekannte von mir (zur Zeit im selben Hotel/WLAN) hat auch Laptop + Citrix von ihrer Firma.
Sie hat aber ein "Citrix Gateway" und kann problemlos flüssig arbeiten.
Sie braucht KEINE VPN-Verbindung. Es geht also ohne VPN bei ihr.

Besteht die Möglichkeit, mich ohne VPN, direkt mit meiner Citrix/Firma zu verbinden?

Danke für eure Hilfe

 

[kachiri]

Arbeitet deine Bekannte bei derselben Firma? Kann halt anders gelöst sein. Ich muss mich z.B. vorher in keinen VPN einloggen, sondern logge mich lediglich über den Browser ein und greife von dort auf meinen Rechner im Büro zu, den ich quasi fernsteuere. Klingt bei dir ähnlich, da du von "FPS" sprichst. Nur das du dich vorher über einen VPN einloggen musst...

Grundsätzlich: Wie die IT in deiner Firma aufgebaut ist, weiß letztlich nur die IT-Abteilung deiner Firma.

 

[d4nY]

Der StoreFront ist das was über den Browser aufrufst und dir deine Anwendungen/Desktops zur Verfügung stellt. Der Storefront wird aber nur intern bereitgestellt.

Wenn du jetzt von außen darauf zugreifen willst, dann wird das meistens über die beiden Varianten VPN oder eben über das Gateway erledigt.
Das Gateway (aka NetScaler) kann einiges und bietet eben unter anderem die Möglichkeit den StoreFront sicher außerhalb des internen Netzwerks zur Verfügung zu stellen.
Der große Vorteil vom Gateway im Vergleich zu VPN ist, dass die ganzen Optimierungen die Citrix in seinem Protokoll eingebaut hat um bei schmalbandigen Leitungen trotzdem eine gute Leistung zu erzielen
Das funktioniert über VPN nur bedingt bzw. deutlich schlechter

Wir haben bei uns auch von VPN aufs Gateway gewechselt, einerseits weil die Usability in unserem Fall deutlich einfacher wurde und andererseits weil wir viele Nutzer mit schlechter bzw. unzuverlässiger Anbindung haben, da kann das Gateway eben seine volle Stärke ausspielen

Letzten Endes kannst DU aber gar nichts machen, das muss die IT erledigen und ein Citrix Gateway ist relativ teuer, deswegen wird das bei euch über die "billig" Lösung VPN erledigt werden

 

[kartoffelpü]

Bei ordentlicher Konfiguration sollte eine Citrix-Sitzung auch mit 350kBit noch relativ ordentlich funktionieren. Aber das muss die IT deiner Firma machen.
Wenn ich mich aber grade nicht ganz täusche, kannst du nach Anmeldung auf der Storefront-Webseite in den Einstellungen u.A. die Farbtiefe ändern. Je weniger du einstellst, desto besser sollte es laufen (und so hässlicher aussehen).

 

[cevaxn]

Arbeitet deine Bekannte bei derselben Firma? Kann halt anders gelöst sein.

nein, sie ist natürlich bei einer komplett anderen Firma. Bei ihr ist es definitiv anders und besser gelöst, weil sie normal arbeiten kann.

Ich muss mich z.B. vorher in keinen VPN einloggen, sondern logge mich lediglich über den Browser ein und greife von dort auf meinen Rechner im Büro zu, den ich quasi fernsteuere.

steht bei dir auch "Citrix StoreFront"?

Der Storefront wird aber nur intern bereitgestellt.

hmm ok, das steht jedoch im Widerspruch zu kachiri's Beschreibung.

Wir haben bei uns auch von VPN aufs Gateway gewechselt, einerseits weil die Usability in unserem Fall deutlich einfacher wurde und andererseits weil wir viele Nutzer mit schlechter bzw. unzuverlässiger Anbindung haben, da kann das Gateway eben seine volle Stärke ausspielen

das hatte ich schon erahnt

Letzten Endes kannst DU aber gar nichts machen, das muss die IT erledigen

Unsere IT besteht aus 3 Kollegen, die fachlich kompetent und sehr nett sind.
Ist mir jedoch weiterhin ein Rätsel, warum mein OpenVPN dermaßen gedrosselt wird.
Auch verstehe ich nicht, warum das OpenVPN ein "Sophos SSL VPN Client" ist, version 2.3.8, OpenSSL 1.0.21 vom 25.05.2017
Wieviel teurer ist denn das Citrix-Gateway? (pro Lizenz?)

deswegen wird das bei euch über die "billig" Lösung VPN erledigt werden

wozu holt man sich eigentlich noch Citrix?
Tuts RDP nicht dann genauso, wenn man die VPN-Schiene fährt?
RDP + VPN Klappt genauso gut/schlecht wie mit Citrix. Sogar bischen besser und ohne Artefakte.

bei mir läuft privat ein OpenVPN-Server auf einem 7 Jahre alten Asus Router.
Mein privates Notebook kann sich überall damit verbinden und der Speed stellt den Speed des Firmen-VPN sowas von in der Schatten ...

 

[d4nY]

hmm ok, das steht jedoch im Widerspruch zu kachiri's Beschreibung.

Nichts zwangsweise, weil das Gateway den StoreFront sozusagen nach extern präsentiert und die Authentifizierung übernimmt. Deswegen ist das Gateway ja auch so charmant, weil man es konfigurieren kann, dass es zwischen intern und extern fast keinen Unterschied mehr gibt. In beiden Fällen läuft das dann komplett über den Browser (und ggf. noch den Receiver bzw. die Workspace App)

Wieviel teurer ist denn das Citrix-Gateway? (pro Lizenz?)

Keine Ahnung, da muss man bei Citrix nachfragen, hängt außerdem von einigen Dingen ab (allen voran Bandbreite und Edition) aber ich sags mal so, ein paar 10.000€ sind da kein Problem

Was auch sein kann ist, dass das Hotel deinen VPN drosselt weil der nicht über Port 443 läuft. Aber das ist reine Spekulation

wozu holt man sich eigentlich noch Citrix?
Tuts RDP nicht dann genauso, wenn man die VPN-Schiene fährt?
RDP + VPN Klappt genauso gut/schlecht wie mit Citrix. Sogar bischen besser und ohne Artefakte.

Ich denke mal Citrix wird bei euch einfach schon da gewesen sein. Aber in kleineren Umgebungen ist RDP bzw ein RD-Gateway eigentlich die sinnvollere Alternative weil deutlich günstiger. Trotzdem hat Citrix schon noch einige Vorteile im Vergleich zu einer MS-nativen Lösung

 

[Matthias80]

Letzten Endes kannst DU aber gar nichts machen, das muss die IT erledigen und ein Citrix Gateway ist relativ teuer, deswegen wird das bei euch über die "billig" Lösung VPN erledigt werden

Halte ich für ein Gerücht...
Es läuft alles gleich! Die Daten werden nur durch den Tunnel geschickt. Dadurch gehen keine Optimierungen verloren.
Vielleicht wird eine sehr starke Verschlüsselung verwendet die entsprechend Leistung braucht. An beiden Seiten! Ohne vpn und nur der netscaler ist Sicherheitstechnisch grob fahrlässig! Wenigstens zwei faktor müsste dann noch sein. Seine interne IT ins Internet zu bringen war noch nie eine gute Idee. Ich denke eure netscaler stehen wenigstens in einer dmz.

Ok Back to topic.
Du kannst gar nichts machen.
Vielleicht ist da irgendwo anderes gerade die Bandbreite dünn oder wird gedrosselt.

Mfg

 

[d4nY]

Ok, das sind jetzt zwei völlige verschiedene Themen

Natürlich gehen keine Optimierungen verloren, aber wenn das HDX Protokoll keine Notwendigkeit erkennt um eine Optimierung durchzuführen (bspw. eine stärke Komprimierung). Ohne jetzt das Protokoll auswendig zu kennen, könnte ich mir aber durchaus vorstellen, dass genau das übertragen innerhalb des Tunnels eine entsprechende Erkennung erschwert, immerhin hat man ja eine weitere Schicht dazwischen
Ich kann nur sagen, dass das bei uns deutlich geholfen hat...und sei es nur, weil HDX bei Verbindungsabbrüchen deutlich komfortabler und schneller agieren kann, als wenn ich erstmal auf den erneuten Verbindungsaufbau beim Abbrechen des Tunnels warten muss

Wieso wäre der NetScaler ohne VPN ein Sicherheitsrisiko? 2FA hat damit erstmal gar nichts zu tun, das ist sowohl bei VPN als auch dem ICA Reverse Proxy sinnvoll. Ich brauch kein VPN wenn ich mit HTTPS arbeiten kann, genau das macht die NetScaler ja mit dem ICA Reverse Proxy und das ist in meinen Augen einfach deutlich komfortabler weil alles im Browser abgehandelt wird und ich nicht vorab eine VPN Verbindung aufbauen muss
Und ja, natürlich werden externe Verbindungen in einer DMZ terminiert, ich wüsste nicht wo man herauslesen könnte, dass das nicht so wäre?

 

[chrigu]

Kommt darauf an, für was Citrix benutzt wird.

Wenn im wlan des Hotels im Ausland nur 350kb/s möglich ist, wird dort gedrosselt. Lte als Alternative ist keine Option?