Kommunikationswege:

Technisch stellt der Agent an das Citrix Webinterface PNAgent Site erst eine GET Anfrage (kann weggelassen werden) und übermittelt danach per POST Username und Passwort. Daraufhin leitet das Webinterface die Usercredentials and den Citrix XML-Service weiter und erhält die Liste der Anwendungen, welche für den User konfiguriert sind als XML.

Simulieren des Logins

Um unsere Anfrage zu simulieren müssen wir den Verkehr mit einem Tool wie Wireshark mitschneiden. Um mitlesen zu können sollten wir gegen ein Webinterface arbeiten, welches per HTTP anzusprechen ist.

Im vorhinein wird ein User benötigt für welchen wenigstens eine veröffentlichte Anwendung definiert ist.

Da mehrere Logins mit dem gleichem Passwort immer das selbe verschlüsselte Passwort ergeben, ist davon auszugehen, dass ein XOR mit einem geheimen Wert gemacht wird.

Die POST Anfrage vom Client zu Server sieht ungefähr folgendermaßen aus:

erst nen bischen allgemeines Zeug:

< ?xml version="1.0" encoding="UTF-8"?>
< !DOCTYPE NFuseProtocol SYSTEM "NFuse.dtd">
<nfuseprotocol version="4.6">
<requestappdata>
<scope traverse="onelevel" type="PNFolder"/>
</requestappdata></nfuseprotocol>
<desireddetails>all</desireddetails>
<desireddetails>icon-info</desireddetails>
<servertype>x</servertype>
<servertype>win32</servertype><clienttype>ica30</clienttype>
<clienttype>content</clienttype>

nun die Usercredentials:

<credentials>
<username>MYUSERACCOUNTTOCHECK</username>
<password encoding="ctx1">THISISMYCRYPTEDPASSWORD</password>
<domain type="NT">MYDOMAIN</domain>
</credentials>

ein bischen unnützes Zeug:

<clientname>MYCLIENTNAME</clientname>
<clientaddress>111.222.333.444</clientaddress>

NagiosPlugin

Eins vorweg: ich weiss, dass es “smartere” Möglichkeiten gibt, aber es muss platz für Verbesserung geben. Ich denke ich werde das gesammte Plugin demnächst nochmal überarbeiten und schick machen.

Mit dem check_http Plugin – defaultplugin von Nagios – kann ein Post Anfrage simuliert und die Rückgabe geparsed werden. Wird dein definiertes Pattern gefunden liefert das Script “OK” und eine Antwortzeit. Diese Rückgabe parsen wir mit dem check_wiserver.sh Script.

check_wiserver.sh:

#!/bin/sh
a=`/usr/lib/nagios/plugins/check_http -I 111.112.113.114 -u http://mywebinterfaceserver/citrix/pnagent/enum.aspx -s MyMonitoringApp -P '< ?xml version="1.0" encoding="UTF-8"?>< !DOCTYPE NFuseProtocol SYSTEM "NFuse.dtd"><nfuseprotocol version="4.6"><requestappdata><scope traverse="onelevel" type="PNFolder"/><desireddetails>all</desireddetails><desireddetails>icon-info</desireddetails><servertype>x</servertype><servertype>win32</servertype><clienttype>ica30</clienttype><clienttype>content</clienttype><credentials><username>MYUSERACCOUNTTOCHECK</username><password encoding="ctx1">THISISMYCRYPTEDPASSWORD</password><domain type="NT">MYDOMAIN</domain></credentials><clientname>Nagisserver</clientname><clientaddress>115.116.117.118</clientaddress></requestappdata></nfuseprotocol>'`
 
zeic=`/bin/echo $a |/bin/grep OK`
if [[ "$zeic" = "" ]]; then
 
  echo $a
  exit 2
fi
echo $a
exit 0

In diesem Beispiel wird der Host 111.112.113.114 auf der URL http://mywebinterfaceserver/citrix/pnagent/enum.aspx mit den Usercredentials MYUSERACCOUNTTOCHECK mit dem verschlüsseltem Passwort “THISISMYCRYPTEDPASSWORD” abgefragt. In der Rückabe wird nach der veröffentlichten Anwendung “MyMonitoringApp” geparsed und “OK” zurückgegeben. Daraufhin liefert check_wiserver.sh 2 für Error oder 0 für OK an Nagios zurück.

Dieses Script muss nun lediglich noch als Command im Nagios definiert werden.

Zusammenfassung

was wird mit der Probe überwacht?
• Authentifizierungbackend (z.B.: Active Directory)
• XML Service liefert valide Antworten
• Web Interface Agent Site

was wird mit der Probe nicht überwacht?
• Citrix Datastore
• Citrix Licensing (hierzu kommt demnächst ein Blogpost)
• “richtiges Login” wie Citrix Active Application Monitoring oder Openview

was muss getan werden:
• Monitoringuser anlegen und Anwendung veröffentlichen
• Login mit expliziten Credentials tracen um verschlüsseltes Passwort zu erhalten
• in check_wiserver.sh hostname, sitename und usercredentials anpassen, ggf. Pfad zu check_http anpassen

Man findet lediglich 4 Tabellen DATATABLE, DELETETRACKER, INDEXTABLE, KEYTABLE vor, welche seltsame Zahlenkolonnen enthalten. Brian Madden wusste wieder warum.

Kurz zusammengefasst: Die Datenbank stellt lediglich das Backend für einen LDAP Dienst bereit welcher durch den IMA Service bereitgestellt wird. Ursprünglich wollte Citrix mit MetaframeXP als Backend das Active Directory nutzen. Noch während der Entwicklung stellte man aber fest, dass viele Firmen wohl keine Schemaerweiterung am AD machen wollen nur um Citrix zu implementieren – außerdem waren viele Kunden sicherlich noch nicht “AD ready” oder nutzen beispielsweise Novell.
Somit wurde das Backend in eine relationale Datenbank gepresst.

Dieses Script hilft dabei.

Spannende Facts: XenApp 5.0 für Windows2003 scheint ein original 4.5FR1 mit “schöneren” Admintools, neuem Webinterface und Lizenzserver zu sein. Laut CTX117913

"there is no installation process or requirement to deploy any new binaries on each member server. "

Wie man sich aber die neuen Features wie AIE3.0 und IPV6 freuen soll, ohne Binaries auszutauschen muss man wohl in den nächsten Tagen erforschen.

er hat’s verraten

Anscheinend war den Webentwicklern aber das arbeiten mit Sessions zu aufwendig. Wer keine Lust hat seine Daten zu hinterlegen benutzt einfach die direkten Links:

XenServer 4.1 Beta:
http://www.citrixxenserver.com/Pages/DownloadProducts_MiamiBeta.aspx
XenServer 4.0:
http://www.citrixxenserver.com/Pages/DownloadProducts_4.0.0.aspx

Die Werte können nach Excel (muss installiert sein) übergeben werden. Der Client benötigt einige zusätzliche Perlmodule – alternativ kann einfach die .exe Datei gestartet werden – und das Citrix SDK. Alternativ kann das Programm auf einfach vom Terminalserver gestartet werden.

Es werden lediglich aktive Sessions betrachtet. KBytesSend sind KB welche vom PS zum Client geschickt werden – also Download für den Client.

Bisher wurde das Problem mit MFCOM Scripting gelösst (z.B.: hier).

Ein paar Bugs gibt es aber anscheinend. So funktioniert die HTTP Authentifizierung in 1.10 nicht.

Link