为 Citrix Gateway 虚拟服务器配置网络访问控制设备检查以进行单因素登录

Last published : Oct 14, 2026
本主题提供有关将 Citrix Gateway 配置为使用 Microsoft Intune 提供的网络访问合规性 (NAC) 安全性从移动设备（iOS 和 Android）连接到内部网络的信息。当用户尝试从 iOS 或 Android VPN 客户端连接到 Citrix Gateway 时，网关首先向 Intune 服务检查设备是否为受管设备和合规设备。
  • 托管：使用 Intune 公司门户客户端注册设备。
  • 合规：应用从 Intune MDM 服务器推送的必需策略。
只有当设备既受管又符合要求时，才会建立 VPN 会话，并向用户提供对内部资源的访问权限。
注意：
  • 在此设置中，后端的 Citrix Gateway 会与 Intune 服务进行对话。SSL 配置文件处理到 Citrix Gateway 的传入连接。Citrix Gateway 后端通信可处理后端云服务 (Intune) 的任何 SNI 要求。
  • Citrix Gateway 版本 13.0 版本 64.x 及更高版本支持适用于 DTLS 网关虚拟服务器的 SNI。
  • 仅当 Intune 管理门户（现在称为 Microsoft Endpoint Manager）配置 VPN 配置文件时，才支持针对 PerApp VPN 甚至是设备范围的 VPN 的 Intune NAC 检查。最终用户添加的 VPN 配置文件不支持这些功能。最终用户设备必须由其 Intune 管理员从 Microsoft Endpoint Manager 将 VPN 配置文件部署到其设备，才能使用 NAC 检查。
Related information
Microsoft Intune 集成

许可

此功能需要 Citrix 企业版许可证。

系统要求

  • Citrix Gateway 版本 11.1 版本 51.21 或更高版本
  • iOS VPN — 10.6 或更高版本
  • Android VPN — 2.0.13 或更高版本
  • Microsoft
    • Azure AD 访问权限（具有租户和管理员权限）
    • 启用 Intune 的租户
  • 防火墙 为从子网 IP 地址到 https://login.microsoftonline.com 和 https://graph.windows.net（端口 53 和端口 443）的所有 DNS 和 SSL 流量启用防火墙规则

必备条件

  • 所有现有的身份验证策略必须从经典策略转换为高级策略。有关如何从传统策略转换为高级策略的信息，请参阅 <https://support.citrix.com/article/CTX131024>。
  • 在 Azure 门户上创建 Citrix Gateway 应用程序。 有关详细信息，请参阅在 Azure 门户上配置 Citrix Gateway 应用程序。
  • 在使用以下应用程序特定信息创建的 Citrix Gateway 应用程序上配置 OAuth 策略。
    • 客户端ID/应用程序ID
    • 客户端密/应用程序密钥
    • Azure 租户 ID

引用

  • 本文档捕获 Citrix Gateway 的设置配置。大多数 Citrix SSO 客户端 (iOS/Android) 配置都是在 Intune 端完成的。有关适用于 NAC 的 Intune VPN 配置的详细信息，请参阅 <https://docs.microsoft.com/en-us/mem/intune/protect/network-access-control-integrate>。
  • 要为 iOS 应用程序配置 VPN 配置文件，请参阅 <https://docs.microsoft.com/en-us/mem/intune/configuration/vpn-settings-ios>。
  • 要在 Azure 门户上设置 Citrix Gateway 应用程序，请参阅在 Azure 门户 上配置 Citrix Gateway 应用程序。

使用 nFactor 添加 Citrix Gateway 虚拟服务器以进行网关部署

  1. 导航到 Citrix Gateway > 虚拟服务器。
    虚拟服务器页面
  2. 单击添加。
  3. 在“基本设置”区域中提供所需信息，然后单击“确定”。
    设置基本设置
  4. 选择 服务器证书。
    选择服务器证书
  5. 选择所需的服务器证书并单击 绑定。
    绑定服务器证书
  6. 单击继续。
  7. 单击继续。
  8. 单击继续。
  9. 单击“策略”旁边的加号图标 ，然后从“选择 策略”列表中 选择“会话”，然后从“选择 类型”列表中选择“请求”，然后单击“继续”。
  10. 单击“选择策略”旁边的加号图标 。
  11. 在 创建 Citrix Gateway 会话策略 页面上，提供会话策略的名称。
  12. 单击 配置文件 旁边的加号图标 ，然后在 创建 Citrix Gateway 会话配置文件 页面上，提供会话配置文件的名称。
  13. 在“客户端体验”选项卡上，单击“无客户端访问”旁边的复选框，然后从列表中选择“关闭”。
  14. 单击 插件类型 旁边的复选框，然后从列表中选择 Windows/Mac OS X。
  15. 单击 高级设置 ，然后选中 客户端选择旁边的复选 框，然后将其值设置为 开。
  16. 在“安 全”选项卡上，单击“默认授权操作”旁边的复选框，然后从列表中选择“允许”。
  17. 在“已发布的应用程序”选项卡上，单击 ICA Proxy 旁边的复选框，然后从列表中选择 关闭 。
  18. 单击创建。
  19. 在 创建 Citrix Gateway 会话策略 页面的“表达式”区域中，配置符合条件的表达式。
  20. 单击创建。
  21. 单击绑定。
  22. 在 高级设置中选择验证配置文件。
    选择验证配置文
  23. 单击加号图标 并提供身份验证配置文件的名称。
    验证配置文件名
  24. 单击加号图标 可创建身份验证虚拟服务器。
    添加验证虚拟服务器
  25. 在 基本设置 区域下指定身份验证虚拟服务器的名称和 IP 地址类型，然后单 击确定IP 地址类型也可以是“不可寻址”。
    设置基本设置
  26. 单击 身份验证策略。
    身份验证策略
  27. 在“策略绑定”视图下，单击加号图标 以创建身份验证策略。
    创建身份验证策略
  28. 选择 OAUTH 作为 操作类型 ，然后单击加号图标 为 NAC 创建 OAuth 操作。
    选择 OAuth 操作类型
  29. 使用客户端 ID、客户端密钥 和 租户 ID 创建 OAuth 操作。
    注意：
    • 客户端 ID、 客户端密钥 和 租户 ID 是在 Azure 门户上配置 Citrix Gateway 应用程序后生成的。
    • 记下客户端 ID/ 应用程序 ID、客户端密钥/应用程序密钥和 Azure 租户 ID 信息，以便稍后在 Citrix Gateway 上创建 OAuth 操作时需要这些信息。

将身份验证登录架构绑定到身份验证虚拟服务器以指示 VPN 插件作为 /cgi/login 请求的一部分发送设备 ID

  1. 导航到安全 > AAA - 应用程序流量 > 虚拟服务器。
    虚拟服务器页面
  2. 选择之前选择的虚拟服务器，然后单击 编辑。
    编辑虚拟服务器
  3. 单击 高级设置****下的登录架构。
    选择登录架构
  4. 单击 登录架构进 行绑定。
    绑定登录架构
  5. 单击 在登录架构策略中选择并绑定现有内部版本以进行 NAC 设备检查。
    绑定登录架构策略
  6. 选择适合您的身份验证部署的所需登录架构策略，然后单击 选择。
    在前面解释的部署中，使用了单因素身份验证 (LDAP) 和 NAC OAuth 操作策略，因此已选择 lschema_single_factor_deviceid 。
    选择单因素身份验证策略
  7. 单击绑定。
    单击绑定
  8. 单击 Done（完成）。

故障排除

常规问题

问题 解决方案
打开应用程序时，将显示“需要添加策略”消息 在 Microsoft Graph API 中添加策略
存在策略冲突 每个应用程序只允许使用一个策略
您的应用无法连接到内部资源 确保打开了正确的防火墙端口、更正了租户 ID 等

Citrix Gateway 问题

问题 解决方案
Citrix Gateway 无法访问 login.microsoftonline.comandgraph.windows.net。 从 NS Shell，检查您是否能够访问以下 Microsoft 网站：cURL -v -k <https://login.microsoftonline.com>。然后，检查是否在 Citrix Gateway 上配置了 DNS。还要检查防火墙设置是否正确（如果 DNS 请求被防火墙处理）。
配置 OAuthAction 后，ns.log 中会出现错误。 检查 Intune 许可是否已启用，以及 Azure 网关应用程序是否设置了适当的权限。
Sh OAuthAction 命令不会显示 OAuth 状态为完成。 检查 Azure Gateway 应用程序的 DNS 设置和配置权限。
Android 或 iOS 设备不显示双重身份验证提示。 检查双重设备 ID 登录架构是否绑定到身份验证虚拟服务器。

Citrix Gateway OAuth 状态和错误情况

状态 错误情况
AADFORGRAPH 密钥无效、URL 未解析、连接超时
MDMINFO *manage.microsoft.com已关闭或无法访问
GRAPH 图形端点已关闭，无法访问
CERTFETCH 由于 DNS 错误，无法与“令牌端点：<https://login.microsoftonline.com>”对话。要验证此配置，请转到 Shell 提示符并键入 cURL <https://login.microsoftonline.com>。此命令必须验证。
注意： 当 OAuth 状态成功时，状态将显示为“完成”。

Intune 配置检查

确保在 Citrix SSO > 启用网络访问控制 (NAC) 的基础 iOS VPN 配置 中选中 我同意复选框。否则，NAC 检查不起作用。