Console remote

Le console remote aprono una sessione verso una macchina o un appliance direttamente nel browser. Nessun client da installare, nessun protocollo nativo esposto sulla rete: il traffico passa da Vanguard, che fa da proxy.

Sono in Console nel menu, e da qualunque pagina di dettaglio di un oggetto.

Tipi di console

Tipo	Verso	Protocollo
Desktop remoto	Macchine Windows	RDP
Console VM	Console dell’hypervisor	VNC
Terminale	Host Linux, apparati	SSH
Console web	Interfacce degli appliance	HTTPS
HDX	Risorse pubblicate Citrix	HDX, con client HTML5

Console web degli appliance

Le console web degli appliance — Prism Central, vCenter, NetScaler, i gestori degli array — meritano una spiegazione, perché il loro funzionamento spiega uno dei record DNS del setup.

Ogni console si apre su un proprio sottodominio:

<nome>-<identificativo>.console.<vostro-dominio>

Due ragioni:

• Isolamento dei cookie. Ogni appliance vede un’origine diversa: due console aperte contemporaneamente non si sovrascrivono la sessione.
• Nessuna riscrittura dei percorsi. Le interfacce moderne degli appliance sono applicazioni a pagina singola che si aspettano di stare sulla radice del sito. Servite sotto un prefisso di percorso, si rompono.

Il requisito

Perché la console si apra dentro il portale, in un frame, servono:

1. il record DNS con wildcard *.console.<dominio> verso il VIP;
2. un certificato che copra quel nome.

Senza, la console si apre comunque, ma in una scheda separata. Il motivo è tecnico e vale la pena conoscerlo: un frame con un errore di certificato non può chiedere all’utente di procedere comunque, come farebbe una scheda. Fallisce e basta.

Sicurezza degli accessi

Autorizzazione. L’accesso alle console richiede il permesso vm_actions.console_access o webconsoles.view. Si delegano separatamente dagli altri permessi.

Token monouso. Ogni apertura genera un token valido una volta sola e per un tempo breve. Un collegamento copiato non funziona due volte.

Nessuna credenziale nel browser. Le credenziali verso il sistema di destinazione, dove servono, sono custodite dalla piattaforma e usate da Vanguard. Non transitano dal browser dell’utente.

Registrazione. Le sessioni possono essere registrate. Per le sessioni PAM la registrazione è obbligatoria.

Console HDX

Per le risorse pubblicate Citrix, il portale include il client HTML5 di Citrix, servito dalla stessa origine del portale.

È una scelta deliberata: evita problemi di CORS e di policy di sicurezza del contenuto, e non dipende dal fatto che lo StoreFront del cliente sia raggiungibile dal browser dell’utente finale.

Il bundle del client è distribuito secondo l’entitlement Citrix del cliente. Se non è presente nell’installazione, tutto il resto funziona ma l’avvio HDX fallisce: è una condizione riconoscibile e distinta da un problema di connettività.

Le mie console

Console → Le mie console raccoglie le sessioni aperte. Restano attive fra un cambio di pagina e l’altro, così che si possa tornare a una console mentre si lavora altrove nel portale.

Diagnosi

Sintomo	Causa tipica
La console si apre in una scheda invece che nel portale	Manca il record DNS wildcard o il certificato non copre *.console.<dominio>
Errore di certificato	Il certificato dell’ingress non copre l’hostname della console
La sessione si chiude subito	Token scaduto: riaprite dal portale invece di riusare un collegamento
Nessuna console disponibile per un oggetto	Permesso mancante, o l’oggetto non espone una console raggiungibile
L’avvio HDX restituisce un errore sul client	Bundle del client HTML5 non presente nell’installazione