Kommunikationswege:

Technisch stellt der Agent an das Citrix Webinterface PNAgent Site erst eine GET Anfrage (kann weggelassen werden) und übermittelt danach per POST Username und Passwort. Daraufhin leitet das Webinterface die Usercredentials and den Citrix XML-Service weiter und erhält die Liste der Anwendungen, welche für den User konfiguriert sind als XML.

Simulieren des Logins

Um unsere Anfrage zu simulieren müssen wir den Verkehr mit einem Tool wie Wireshark mitschneiden. Um mitlesen zu können sollten wir gegen ein Webinterface arbeiten, welches per HTTP anzusprechen ist.

Im vorhinein wird ein User benötigt für welchen wenigstens eine veröffentlichte Anwendung definiert ist.

Da mehrere Logins mit dem gleichem Passwort immer das selbe verschlüsselte Passwort ergeben, ist davon auszugehen, dass ein XOR mit einem geheimen Wert gemacht wird.

Die POST Anfrage vom Client zu Server sieht ungefähr folgendermaßen aus:

erst nen bischen allgemeines Zeug:

< ?xml version="1.0" encoding="UTF-8"?>
< !DOCTYPE NFuseProtocol SYSTEM "NFuse.dtd">
<nfuseprotocol version="4.6">
<requestappdata>
<scope traverse="onelevel" type="PNFolder"/>
</requestappdata></nfuseprotocol>
<desireddetails>all</desireddetails>
<desireddetails>icon-info</desireddetails>
<servertype>x</servertype>
<servertype>win32</servertype><clienttype>ica30</clienttype>
<clienttype>content</clienttype>

nun die Usercredentials:

<credentials>
<username>MYUSERACCOUNTTOCHECK</username>
<password encoding="ctx1">THISISMYCRYPTEDPASSWORD</password>
<domain type="NT">MYDOMAIN</domain>
</credentials>

ein bischen unnützes Zeug:

<clientname>MYCLIENTNAME</clientname>
<clientaddress>111.222.333.444</clientaddress>

NagiosPlugin

Eins vorweg: ich weiss, dass es “smartere” Möglichkeiten gibt, aber es muss platz für Verbesserung geben. Ich denke ich werde das gesammte Plugin demnächst nochmal überarbeiten und schick machen.

Mit dem check_http Plugin – defaultplugin von Nagios – kann ein Post Anfrage simuliert und die Rückgabe geparsed werden. Wird dein definiertes Pattern gefunden liefert das Script “OK” und eine Antwortzeit. Diese Rückgabe parsen wir mit dem check_wiserver.sh Script.

check_wiserver.sh:

#!/bin/sh
a=`/usr/lib/nagios/plugins/check_http -I 111.112.113.114 -u http://mywebinterfaceserver/citrix/pnagent/enum.aspx -s MyMonitoringApp -P '< ?xml version="1.0" encoding="UTF-8"?>< !DOCTYPE NFuseProtocol SYSTEM "NFuse.dtd"><nfuseprotocol version="4.6"><requestappdata><scope traverse="onelevel" type="PNFolder"/><desireddetails>all</desireddetails><desireddetails>icon-info</desireddetails><servertype>x</servertype><servertype>win32</servertype><clienttype>ica30</clienttype><clienttype>content</clienttype><credentials><username>MYUSERACCOUNTTOCHECK</username><password encoding="ctx1">THISISMYCRYPTEDPASSWORD</password><domain type="NT">MYDOMAIN</domain></credentials><clientname>Nagisserver</clientname><clientaddress>115.116.117.118</clientaddress></requestappdata></nfuseprotocol>'`
 
zeic=`/bin/echo $a |/bin/grep OK`
if [[ "$zeic" = "" ]]; then
 
  echo $a
  exit 2
fi
echo $a
exit 0

In diesem Beispiel wird der Host 111.112.113.114 auf der URL http://mywebinterfaceserver/citrix/pnagent/enum.aspx mit den Usercredentials MYUSERACCOUNTTOCHECK mit dem verschlüsseltem Passwort “THISISMYCRYPTEDPASSWORD” abgefragt. In der Rückabe wird nach der veröffentlichten Anwendung “MyMonitoringApp” geparsed und “OK” zurückgegeben. Daraufhin liefert check_wiserver.sh 2 für Error oder 0 für OK an Nagios zurück.

Dieses Script muss nun lediglich noch als Command im Nagios definiert werden.

Zusammenfassung

was wird mit der Probe überwacht?
• Authentifizierungbackend (z.B.: Active Directory)
• XML Service liefert valide Antworten
• Web Interface Agent Site

was wird mit der Probe nicht überwacht?
• Citrix Datastore
• Citrix Licensing (hierzu kommt demnächst ein Blogpost)
• “richtiges Login” wie Citrix Active Application Monitoring oder Openview

was muss getan werden:
• Monitoringuser anlegen und Anwendung veröffentlichen
• Login mit expliziten Credentials tracen um verschlüsseltes Passwort zu erhalten
• in check_wiserver.sh hostname, sitename und usercredentials anpassen, ggf. Pfad zu check_http anpassen

Spannende Facts: XenApp 5.0 für Windows2003 scheint ein original 4.5FR1 mit “schöneren” Admintools, neuem Webinterface und Lizenzserver zu sein. Laut CTX117913

"there is no installation process or requirement to deploy any new binaries on each member server. "

Wie man sich aber die neuen Features wie AIE3.0 und IPV6 freuen soll, ohne Binaries auszutauschen muss man wohl in den nächsten Tagen erforschen.

er hat’s verraten

Hauptnachteil der Lösung: gearbeitet werden kann nur mit Onlineverbindung. Zug, Flugzeug etc. fällt aus!

Link zum Hersteller:
http://www.wyse.com/products/hardware/thinclients/X90/index.asp

Wer ein brauchbares Webinterface für den Ressource Manager benötigt, dem kann ich das von JasonConger.com ans Herz legen! Es fragt die SummaryDatabase des Ressource Managers ab. Leider gibts auf der Webseite keine praxisrelevanten Screenshots, also hab ich selbst welche von meiner Umgebung gezogen.

http://support.citrix.com/article/CTX113293 (dt. PS) bzw. http://support.citrix.com/article/CTX113515 (engl. PS) ist das Problem als Verbindungsabrüche von “nicht Windows Clients” beschrieben.

der Hotfix hat nach kurzer Testphase funktioniert. Es waren Igel LX2110 Thinclient betroffen. Vom MacOS konnte ich das Problem nicht nachstellen!

Kein Plan ob das Produkt was taugt, aber ich würde es nur wegen dem geilen Werbebanner kaufen!!! – einfach aufs Bild klicken

Link zum Flash!
Link zum Hersteller!

With this setting i have much better user performance also in Windows Explorer. When a users changing the network drive and the explorer hung for some seconds this setting might also have an positive impact for you.

Registry Key
more information: http://support.microsoft.com/kb/232476/en-us