シトリックス炎の掲示板｜株式会社ピー・ビーシステムズ

IPアドレスによるアクセス制限

yama 2006/11/07 12:01:07

いつもお世話になっております。

公開アプリケーションのアクセス制限をユーザーだけではなくIPアドレスも交えた形で公開することができますでしょうか？
現状ですと、公開アプリケーションのユーザーに登録されているユーザー名とパスワードがわかってしまうと誰でもアプリケーションを起動することができる状態です。
METAフレームのサーバーに複数社のアプリケーションを公開した場合、他社同士は公開アプリケーションを使用させないようにしたいと考えております。
各会社では固定IPアドレスが違いますので、このアプリケーションはこのユーザー名、パスワード、IPで使用させるといった形にできればと考えております。

環境を下記に記します。

＜サーバー環境＞
Meta:MetaFrame Presentation Sever Ver.4.0
OS:Windows Server 2003

＜クライアント環境＞
Meta:Citrix Program Neighborhood Ver.9.1
OS:Windows XP SP2

サーバーへは、各社固定IPを使用して接続しております。
ファイアウォールもしようしてIPの許可を行っております。

以上、ご返答のほど、よろしくお願いいたします。

Asterisk 2006/11/07 12:30:20

CMCの負荷評価基準でアプリケーションごとのIPアドレスの制限が可能かと思います。
範囲指定ですが、同じIPを指定すれば固定IPと同じ働きをするかと思います。

ご参考まで。

yama 2006/11/07 15:10:36

ご返答ありがとうございます。

試してみたところ、アプリケーションの公開をIPアドレスでコントロールすることができました。

同じようにカスタムICAコネクションなどもIPアドレスでアクセス制限を行うことはできますでしょうか？

以上、ご返答のほど、よろしくお願いいたします。

VB.NetFramework2.0 + oracle10g 公開アプリについて

くま 2006/11/07 10:33:19

お世話になってます。くまです。
『VB(.NetFramework2.0) + oracle10g』で公開データベースアプリを運用しようと思っています。

ところが、メタフレームを解して他PCよりアプリを動かそうとすると
「アプリケーションのコンポーネントで、ハンドルされていない例外が発生しました。」と
エラーが出て動きません。

VBで作ったアプリ自体は立ち上がっていて、どうやらoracle10gに接続できないようです。
色々過去レスを調べましたが、オラクルのインストールフォルダにつける権限の問題かもしれません。（ユーザをadministratorしてみたら正常に動きました）

メタフレームを使わず「ターミナルサービス」で接続しても同じくエラーが起こります。
もし何か心当たりある方はなにか情報を教えてもらえるとうれしいです。
よろしくお願いします。

環境：
DCサーバ
Windows 2003

メタフレームサーバ（Citrix Presentation Server 4.0）
Windows 2003(ドメインに参加中)
.NetFramework2.0 + oracle10g

くま 2006/11/07 13:12:28

自己レスです。

オラクルの掲示板の方で、似た現象をみつけ原因が分かりました。

ポリシーの「グローバルオブジェクトの作成」の権限に
ユーザまたはグループを追加しなくてはいけないようです。

詳しくはこちらのページを参考にしてます。
http://support.microsoft.com/default.aspx?scid=kb%3bja%3b819817

CPSのログイン画面が自動的に起動する

maru 2006/10/31 09:24:09

いつも拝見しています。教えてください。
CPSのバージョン4.0でクライアントにはエージェントのみが入っています。

クライアントのWindows起動直後に自動的にCPSのログイン画面が起動してくるのですが
起動しないようにすることはできないのでしょうか？

スタートアップにエージェントがあるから起こるのかと調査したところスタートアップにエージェントがない端末でもWindows起動直後に表示されてしまいます。

それとある時刻？にCPSのログイン画面が自動的に起動することがあります。これはなぜでしょう？
時刻といっても全く同じではなく、Windowsを起動してから何時間とかで起こっているような
感じなのですがこのような設定するところがあるのでしょうか？

分かる方いらっしゃいましたらお願いします。

Asterisk 2006/11/02 17:39:13

#Agentは触ったことがなくあまり詳しくはないので参考程度で聞いてください

1.PNAgentのPropatyでログオンモードはどうなっていますか？
起動時にサーバに接続し公開アプリケーションの一覧を更新する仕様だとするならば
「指定ユーザ」モードで認証がはいる気がします。

2.アプリケーションの一覧を更新する時間間隔をご確認ください。

一度Agentの設定をサーバ側でユーザ設定可能なようにするか、
管理者側で値を決めて、ユーザ側に設定させないようにする運用がよろしいかと思います。

イベント1109について

ドフ 2006/09/20 10:51:46

皆さんのお力をお貸しください。
当方の環境は以下のとおりです。
サーバー
・Windows2000ServerSP4 2台
・MetaFrame　Presentation　Server3.0
クライアント
・WindowsXP SP1 25台

昨日、2台あるMetaFrameサーバのうち1台で以下のエラーがイベントログに出力されました。
*********************
ソース：TermServDevices
分類：なし
種類：エラー
イベントID：1109
説明：Client\(クライアントPC名)#\\\(プリンタ名)プリンタを既定のプリンタとして設定できませんでした。
*********************

上記エラーが特定の時刻に同時に13件出力されました。
(クライアントPC名)はクライアント3台分、(プリンタ名)は2台のクライアント間で若干重複しているものの、ほとんどが異なるプリンタ(定義名)となっています。
この時刻、ユーザ側で公開APを稼働させていた事は確認していますが、特に異常は無かったとのこと。またサーバ側ではなんらの作業・タスクも行っていませんでした。

上記クライアントは所在地、使用者が異なる為、同時にこの様なエラーが発生するのは
サーバ側のアクションの影響と思われますが、どなたかこの事象についてご存知の方はいらっしゃいますでしょうか。

きくりん 2006/09/28 15:17:34

クライアントのデフォルトプリンタのみマッピングする設定で、
なおかつプリンタ固有のドライバのみ利用する設定になっていますでしょうか？
今申し上げた設定で、クライアントが既定のプリンタに設定しているプリンタのドライバが
MetaFrameサーバ上に存在しない場合、ドフさんの仰るエラーが発生する場合があります。

ただし、印刷を行わない場合はアプリケーションの動作自体には問題ないはずです。

ドフ 2006/09/29 09:31:26

きくりんさん、レスありがとうございます。

サーバ側のCitrixコネクション構成ツールから「クライアント設定」を見てみると、
「接続」に関しては「アカウントの設定を使用」にチェック。
「その他のオプション」の「クライアントのデフォルトプリンタのみ接続する」にはチェックが入っていません。
こちらのチェックを入れないと、クライアント側のデフォルト使用でないプリンタ定義まで、
クライアント接続時にサーバが認識しようとするわけですね。
チェックを入れてみようと思います。

この設定で2年近く稼働しているのですが、今回の1109エラーは初めて出ているようです。
特定端末のユーザが導入したプリンタの初使用時に発生したようなのですが、
1109が出るケースと1107が出るケースは何が異なるかご存知でしょうか。
1107は特に不都合なく(UPDを素直に使用している？)印刷できましたが、1109発生時にはクライアントPC側がハング同然となり、頻繁にメモリ不足となりました。
UPDでフォローできないプリンタがあるという事なのでしょうか・・・

きくりん 2006/09/29 13:04:55

1107に関しては、サーバ上にドライバが存在しない状態で、
クライアントが持つすべてのプリンタをマップする設定で、
かつユニバーサルを利用しない設定の場合に多発します。
また3.0利用の場合は、HotFixのMPSJ300W2K3R01が適用されていない場合に
発生することもあります。
この場合は、ユーザが利用するプリンタが作成されていれば印刷は可能のはずです。

1109に関しては、デフォルトプリンタのマップしか許さない設定なのに、
デフォルトのプリンタが利用するドライバがサーバ上になく、
ユニバーサルの利用も許していない場合に出る場合と、
ターミナル・サービスのバグ（仕様？）で、複数の印刷キューを処理したセッションが
切断された場合に、普通は処理待ちの残存キューはセッションの再接続まで保持しますが、
なぜか処理済みキューまでも復元しようと試みるようです。
そうすると、既に切断中のセッションのため、復元処理が行えず、先のエラーとなります。

ドフさんの環境の事象の場合、後者の可能性が高いですね。
その場合は、このエラーメッセージは無視して構わないようです。
ただ、発生時にクライアントが不安定になったというのが、因果関係が不明です。
クライアント側のイベントログに何か関連がありそうなエラー、警告、情報等は
表示されていませんでしょうか？

ドフ 2006/09/29 14:23:31

きくりんさん、ありがとうございます。

サーバ側の「プリンタ管理のプロパティ」では、
「プリンタドライバ」については「ネイティブドライバが無効な場合はユニバーサルドライバを使用」
にチェックが、また
「クライアントプリンタの自動作成時にネイティブドライバをインストール」
にチェックが入っています。

きくりんさんのコメントから考えると、最終的にUPDを使用して問題ないものの、
「ネイティブドライバの構成を試行して失敗」が発生するため、現状では1107が出ているように思われますね。
1109に関してはご指摘のとおり、「デフォルトプリンタのマップしか許さない」設定ではない為、
条件からすると記述の後者が当てはまるのかと思います。

きくりんさんは、この1109イベントに関する情報をどこで取得されていますか？
CitrixやMSのサイトで検索しても1109に関する記述・過去事例は皆無に思われましたが、
バグ情報などがどこかで参照できますでしょうか。
MetaFrameを運用していると結構な頻度でイベントログエラーが出ますが、
そのイベント内容とMetaFrameの障害内容を結びつけるのがほとほと苦労します。
経験しか無いんでしょうか・・

＞ただ、発生時にクライアントが不安定になったというのが、因果関係が不明です。
サーバ側には1109以外、不安定に関係ありそうなエラーは出ていませんでした。
クライアントがWin98と古く、公開APもPDFプレビューイメージを作成するような重い処理なのですが、
MetaFrame経由ならばクライアント側にリソース負荷がかかるのは変ですよね。
サーバ側からクライアント上のプリンタを認識しようとして、クライアント側に負荷がかかる
という状況なのでしょうか。

このあたりは、将来当該クライアントを98からXPに更改する予定があるため、同じプリンタ接続で再現
させて確認してみようかと思います。

きくりん 2006/09/29 14:44:28

>きくりんさんは、この1109イベントに関する情報をどこで取得されていますか？

TechNetに普通に掲載されていますよ。記事内ではバグだとは決して認めていませんが(笑)
http://technet2.microsoft.com/WindowsServer/en/library/28ca223c-d281-471a-9e39-beaac5eb2a8e1033.mspx?mfr=true

Microsoftの日本語サイトで探しても出てきませんね。
障害調査する場合は、日本語サイトよりも海外サイトを探した方が情報が豊富なので、
目的のものを見つけやすいですよ。
後はTry&Errorでしょうかね。

ドフ 2006/09/29 16:11:45

＞Microsoftの日本語サイトで探しても出てきませんね。
＞障害調査する場合は、日本語サイトよりも海外サイトを探した方が情報が豊富なので、
＞目的のものを見つけやすいですよ。
なるほど、日本語サイトで見ていましたが、英文サイトのほうに解説がでていますか。
良い事を教えていただきました。
当件に関してはハードの縛りを外し、様子を見てみようと思います。

きくりんさんはご経験が豊富そうなので、もう一点伺いたいのですが・・
サーバに搭載されているUPDで「対応(印刷)できないプリンタ」はほとんど無いものですか？
また、一般的な運用としてUPDをあてにする(ネイティブドライバ追加を逐次しない)のは
あまり良くない方針でしょうか。
「詳細設定」をしない分には使用に問題ないかなと思っているのですが。

きくりん 2006/09/29 17:06:32

物理的に印刷できないというのは恐らくないと思います。
ただし、UPDはデータをEMFで生成するので、仮にRAWしか対応しないプリンタがあれば
印刷に失敗すると思います。

また、ネイティブドライバを使うか否かというのは、
印刷をどういった目的で使うかによります。

UPDの場合は、サーバ上で中間データを作成して、
それをクライアントのプリンタドライバに引き継ぎますが、
ネイティブを利用した場合とは微妙に印刷結果が変わります。
（余白や色調、解像度等）

ビジネス文書しか印刷せず、それもさほど体裁にうるさくないというのであれば、
UPDで問題ないと思いますが、
デザインオフィス等は、やはりネイティブにこだわりますし、
印刷位置が細かく決められている伝票印刷やシール印刷等の場合も
ネイティブドライバでの運用が必須となります。

ですから、「使い方による」としか申し上げられません。

ドフ 2006/10/02 16:39:23

きくりんさん、度々のレスありがとうございます。

メタは非常に便利ですが、細かい部分を詰めようとすると情報が少ないため、
実運用の経験豊富な方のコメントが非常に参考になります。

当初の質問の件については、何かわかったら追ってアップしようかと思います。

ドフ 2006/11/02 11:38:29

その後いろいろと解ったので情報提供します。

結論としては、きくりんさんの指摘した以下事象と判断しました。
＞ターミナル・サービスのバグ（仕様？）で、複数の印刷キューを処理したセッションが
＞切断された場合に、普通は処理待ちの残存キューはセッションの再接続まで保持しますが、
＞なぜか処理済みキューまでも復元しようと試みるようです。
＞そうすると、既に切断中のセッションのため、復元処理が行えず、先のエラーとなります。

先のやりとりの後、3回ほど同じ1109エラーが発生した為、イベントログの流れを追ってみました。
状況を見る限りでは
①2つのMFサーバのうち一方でのみで発生している事。
②連続して出力されるID1109エラーの直前に、あきらかに業務システムのMFクライアントではない
不明なプリンタについてID4/8/9等の警告が必ず記録されている事。
が解りました。

これについて精査したところ、以下の事が判明しました。
③②は社内の運用部門が定期的に行う、パスワード変更用端末からのRDT接続により発生している
④問題の起きるサーバの「Citrixコネクション構成ツール」からRDPプロトコルの「クライアント設定」
を確認したところ、問題の起きないサーバと比べ
・Winクライアントのプリンタマッピングを無効にする
・クライアントのLPTポートマッピングを無効にする
にチェックが入っていない。

③④により、2つのMFサーバのうち当該のサーバ側でのみ、RDT接続時にクライアントのプリンタを
サーバ側で認識しようとしていると考えられ、それに関連して発生する警告イベントをトリガー
として、更に1109エラーを出力させていると考えられます。

ちなみに1109エラーは、パスワード変更用端末のプリンタに関するものではなく、
業務システムの正規クライアントのうち「定義はあるがプリンタ自体は既に無いもの」を持つクライアントに関して、
その残存定義の数だけ出力されます。

きくりんさんに教えていただいたMSの解説は2003のケースとして日本語サイトにありました。
http://support.microsoft.com/kb/817870/ja
が、詳細が省かれている(というか実害が無いので軽視されているのだと思いますが)ようで、
おそらくこのCitrix上のマッピング設定による動きが、同事象を引き起こす原因になっているかと思います。

当方では問題のサーバのRDPプロトコル設定を問題無いサーバのものと同一にし、
RDT接続時のマッピング動作をやめさせることで、1109発生のトリガ自体を除去する方向で対応しました。
実装後、問題はでていないようなので、多分対処としてはあっているかと思います。

ダイヤルアップ接続でタイムアウトになる？

mnakaue 2006/10/31 18:21:44

はじめて投稿します
実行環境
サーバー＝Windows2003Server
　　　　　MetaFrem Presentation Server 3.0
クライアント＝WindowsXP

現象
クライアイントとサーバー間で接続情報の確認の為にテキストデータ（数ＫＢ）の
送受信をしているのですが
社内LAN環境ではＶＢで作成したアプリケーションの実行に問題ないのですが
ダイヤルアップ接続によるＶＰＮ接続で、同じアプリケーションを実行すると
サーバーからクライアントへの「データ送信に失敗しました」と表示されます
メタフレームサーバーで応答のタイムアウトなどの設定があるのでしょうか？
又、通信のログを取得する方法はありますでしょうか？

だれか、教えてください
よろしくお願いします

CPS上のドライブを隠す

maru 2006/10/27 16:46:58

いつも拝見しています。分からないことがあるので教えて下さい。
VB.NETで作成したアプリケーションをCPS上で動かしています。
VBでファイルを開くダイアログを使用していますが、CPS上のドライブが参照できCPS上のファイル
を削除したり移動できたりします。これをマッピングしたクライアントのドライブだけ参照できる
ようにできないでしょうか？

分かる方いらっしゃいましたらお願いします。

Asterisk 2006/10/27 19:22:17

環境の詳細がわかりませんが、Windows2000以降のサーバであれば、
GroupPolicyで制御なさってはいかがでしょうか。
（ドライブを見せない・ファイルの権限等）

ただ、VB側のファイルを開くダイアログの初期フォーカス位置には注意する必要が
あると思います。

maru 2006/10/30 14:06:13

返信ありがとうございます。
WindowsのGroupPlicyですね。試してみます。

匿名ユーザーの接続を許可でエラー

ヒロ 2006/10/27 09:39:49

はじめましてヒロと申します。

<構成>
・MetaFrame XPe FR2（Windows2000Server SP4）
・公開アプリ　VB6.0で開発した業務アプリ
・Citrix NFuse Classic　Ver1.7

NFuseで公開アプリケーションでＥｘｅを実行します。

公開アプリケーションの登録で匿名ユーザーの接続を許可をチェックし
実行すると以下のエラーメッセージが表示されます。

-------------------------------------------------------------------
ログオン失敗：ユーザー名を認識できないか、またはパスワードが間違っています。
この作業ディレクトリは無効です。「☆☆☆」
クライアント構成の作業ディレクトリを確認してください
-------------------------------------------------------------------

※「☆☆☆」は作業ディレクトリのパスが表示されています。

ご存知の方が教えていただきたいのですが
よろしくお願いします。

きくりん 2006/10/27 11:32:44

公開アプリケーションの登録時に作業ディレクトリはどういう設定をされていますか？
デフォルトではアプリケーションが格納されているディレクトリになりますが、
そのディレクトリにユーザのアクセス権がないとエラーが表示されます。
アプリケーション格納ディレクトリにユーザに対してのアクセス権を付与できないのであれば、
パブリックなディレクトリ若しくはユーザプロファイル等を作業ディレクトリに指定してください。

ヒロ 2006/10/27 12:54:04

きくりん　さん
早速のレスありがとうございます。

作業ディレクトリはＥＸＥが格納されている
ディレクトリになっています。

MetaFrameがインストールされているドメインと違うサーバーに
Ｅｘｅが格納されています。
「匿名ユーザーの接続を許可」のチェックをはずして
アカウントを設定すれば、NFuseには表示されないが
Citrix　Program Heighborhoodからの起動は可能になります。

MetaFrameに設定が必要ですか？
よろしくお願いします。

ヒロ 2006/10/27 16:13:36

自己レス

ＥＸＥが格納されているサーバーのローカルユーザーの「Geust」が
無効で、そのためにサーバーにアクセスできずにエラーとなっていました。

お騒がせしました。

MetaFrame+VB公開アプリの経路暗号化について

COMOL 2006/09/07 16:37:49

初めましてCOMOLと申します。
知識不足で場違いな質問かもしれませんが、
どなたかご存知の方がいらっしゃいましたらご教授いただけますでしょうか。

現在、
VBで作成したアプリケーション(EXE)をMetaFrameで公開しています。(社内LAN環境内で公開)
接続はICAクライアントを使用しております。

アプリケーションを立ち上げるとログイン画面が立ち上がるのですが、
この時、クライアントPC(ICAクライアント)とMetaFrameサーバー間の経路において、
パスワードなどの情報の暗号化は可能なのでしょうか。
MetaFrame管理コンソールの公開アプリのプロパティで、暗号化レベルの設定が
出来ますが、この設定を行うと通信が出来なくなってしまいました。

参考となるサイトなどの情報でもいいと思ってますので、どなたかご回答をお願い致します。

K810 2006/09/07 18:14:02

ICAクライアント側でも暗号化レベルが設定できます。
サーバ側と合わせるとどうですか？

タクヤン 2006/09/11 18:49:58

こんにちは

間にSGを入れるとSSL暗号化できますよ。

見当違いの回答でしたら失礼。

COMOL 2006/10/26 00:53:41

ご連絡が遅くなりまして申し訳御座いません。

>>K810様

レスポンスありがとう御座います。
暗号化レベルについてはクライアントとサーバーで
合わせても通信できませんでした。
明日再度いろいろ試してみます。

>>タクヤン様

こちらこそ見当違いな質問かもしれませんので・・・
SGとは何かの略？でしょうか。
SGで調べてもSSL暗号化につながりそうな情報が得られませんでした。
知識不足で申し訳御座いません。SGの事をもう少し教えていただけますでしょうか。

pancra 2006/10/27 08:40:12

SGとはSecureGatewayの事です。
ちなみにPresentattionServerでSSL暗号化を利用するには以下の方法と
なります。
1．SSLRelay（単一サーバでSSL行う。サーバ証明書必要）
2．SecureGateway（別途サーバが必要。サーバ証明書必要）
3.AccessGatewayでのSSL-VPN（アプライアンス機器。サーバ証明書必要）
PresentationServerの暗号レベルを設定してもSSLとはなりませんので
ご注意ください。

ドメインサーバを立てずに複数台のサーバ構成は可能ですか

いけぽん 2006/10/24 13:31:59

ＶＰＮを経由して複数の拠点で使用する業務アプリケーションをデータセンターで一括管理を
考えております。
全体の人数が100名以上いるため複数のMetaFrameのサーバにより負荷分散を考えております。

現在、複数拠点はワークグループ環境であり、お客様先のグループポリシーでドメインサーバを
立てたくないとのことですが、その場合では導入は可能でしょうか？
このケースの推奨構成はドメインサーバは必須ということなのですが、ドメインサーバがない場合でも、面倒ですが、ユーザを個別を行えば導入は可能でしょうか？(この場合ですと100人分ここのサーバに追加するつもりです。）

よろしくお願いします。

Pingu 2006/10/25 21:35:57

設定は可能ですが、やはり推奨しません。
ユーザープロファイルの内容や設定による障害時の原因切り分けに
非常に手間が掛かると思います。

shin 2006/10/25 22:51:12

MetaFrameサーバーにはドメインサーバは必須だと思ってください。

一瞬でログオフしてしまう現象

K 2006/10/25 15:19:58

いつも参考にさせて頂いております。
現在、MetaFrameサーバー３台（MetaFrame XP FR3）で運用しておりますが、３台ともそれぞれ決まった接続数まで達すると、
それ以降にログオンしようとしたクライアントは一瞬でログオフされてしまう現象が起きてしまい、運用が立ち行かなくなり困っております。（ライセンス数は十分余裕があるのですが・・・。）
もし何かご存知であればお教え頂けませんでしょうか？

宜しくお願いします。

クライアントはProgram Neighborhood ver.8.10&9.15
サーバーはWindows 2000 server SP3
となります。