Zuletzt aktualisiert:
Aktuell dürften viele NetScaler-Administratoren ihre Appliances aufgrund der aktuellen Security-Themen auf 14.1-73.33 oder neuer aktualisieren.
Und natürlich gilt weiterhin:
👉 Security Updates installieren!
Allerdings steckt in den Release Notes ein kleines Detail, das man vor dem Wartungsfenster kennen sollte.
ICA Proxy Sessions können ihren Reconnect verlieren
Das Szenario:
Ein Benutzer startet seine Citrix Session vor dem NetScaler Upgrade.
Die Session läuft auf dem VDA weiter.
Der NetScaler wird anschließend auf 14.1-73.33+ aktualisiert.
Versucht der Benutzer danach, seine bestehende Session zu reconnecten:
💥 Reconnect fehlgeschlagen.
Der Grund sind die vor dem Upgrade ausgestellten Session Tickets.
Diese können nach dem Upgrade nicht mehr für den Reconnect verwendet werden. Der Benutzer muss seine Sitzung neu starten.
Die gute Nachricht:
Das ist kein generelles ICA-Proxy-Problem nach dem Upgrade.
Sessions, die nach dem Upgrade gestartet werden, funktionieren normal – inklusive späterer Reconnects.
Es ist auch keine zusätzliche Konfiguration notwendig.
Betroffen ist also der Übergang:
Pre-Upgrade Session → Upgrade → Post-Upgrade Reconnect
Warum ist das wichtig?
NetScaler HA Upgrades führen wir normalerweise mit möglichst wenig User Impact durch:
Secondary aktualisieren → Failover → Primary aktualisieren.
Dadurch könnte schnell die Annahme entstehen:
„HA Upgrade ohne Downtime = Benutzer merken nichts.“
Genau das muss hier nicht stimmen.
Die Infrastruktur kann vollständig verfügbar sein, während bestehende ICA Sessions beim nächsten Reconnect trotzdem betroffen sind.
🔥 Zero Downtime HA Upgrade ≠ Zero User Impact
Meine Empfehlung
Bei einem Upgrade auf 14.1-73.33+:
👉 bestehende ICA Sessions berücksichtigen
👉 Benutzer über möglichen Sessionverlust informieren
👉 Service Desk entsprechend vorbereiten
👉 Upgrade möglichst außerhalb produktiver Nutzungszeiten durchführen
Gerade in 24/7-Umgebungen kann dieses kleine Detail ziemlich relevant werden.
Fazit
Natürlich ist das kein Grund, ein Security Update aufzuschieben.
Aber es zeigt mal wieder:
Die interessantesten Findings stehen manchmal nicht im Security Bulletin – sondern irgendwo in den Release Notes. 😉
