建立安全通道
当用户连接到 Citrix Gateway 插件、Secure Hub 或 Citrix Receiver 时，客户端软件会通过端口 443（或 Citrix Gateway 上的任何配置端口）建立安全通道并发送身份验证信息。建立通道后，Citrix Gateway 会向 Citrix Gateway 插件、Secure Hub 或 Receiver 发送配置信息，描述需要保护的网络，如果启用地址池，则包含 IP 地址。
通过安全连接通道传输私有网络流量
Citrix Gateway 插件启动且用户通过身份验证后，将捕获目的地为指定专用网络的所有网络流量，并通过安全通道重定向到 Citrix Gateway。用户登录时，接收方必须支持 Citrix Gateway 插件才能通过安全通道建立连接。
Secure Hub、Secure Mail 和 WorxWeb 使用 Micro VPN 为 iOS 和 Android 移动设备建立安全通道。
Citrix Gateway 会拦截用户设备建立的所有网络连接，并通过安全套接字层 (SSL) 将这些连接复用到 Citrix Gateway，在这里，流量将被解复用，并将连接转发到正确的主机和端口组合。
连接受适用于单个应用程序、应用程序子集或整个 Intranet 的管理安全策略的约束。您可以指定远程用户可以通过 VPN 连接访问的资源（IP 地址/子网对的范围）。
Citrix Gateway 插件为定义的 Intranet 应用程序拦截和通道传输以下协议：
-
TCP（所有端口）
-
UDP（所有端口）
-
ICMP（类型 8 和 0-回应请求/回复）
来自用户设备上本地应用程序的连接会安全地通过通道传输到 Citrix Gateway，从而重新建立与目标服务器的连接。目标服务器将连接视为源自专用网络上的本地 Citrix Gateway，因此隐藏了用户设备。这也称为反向网络地址转换 (NAT)。隐藏 IP 地址可以增加源位置的安全性。
在本地，在用户设备上，所有与连接相关的流量（例如 SYN-ACK、PUSH、ACK 和 FIN 数据包）都由 Citrix Gateway 插件重新创建，以便从专用服务器显示。