关于 NetScaler Gateway

Last published : Oct 14, 2026
NetScaler Gateway 易于部署且易于管理。最典型的部署配置是将 NetScaler Gateway 设备放置在 DMZ 中。您可以在网络中安装多个 NetScaler Gateway 设备以实现更复杂的部署。
首次启动 NetScaler Gateway 时，您可以使用串行控制台、配置实用程序中的设置向导或动态主机配置协议 (DHCP) 执行初始配置。在 MPX 设备上，您可以使用设备前面板上的 LCD 键盘执行初始配置。您可以配置特定于内部网络的基本设置，例如 IP 地址、子网掩码、默认网关 IP 地址和域名系统 (DNS) 地址。配置基本网络设置后，您将配置特定于 NetScaler Gateway 操作的设置，例如身份验证、授权、网络资源、虚拟服务器、会话策略和端点策略的选项。
在安装和配置 NetScaler Gateway 之前，请查阅本节中的主题，了解有关规划部署的信息。部署规划可能包括确定设备的安装位置、了解如何在 DMZ 中安装多个设备以及许可要求。您可以在任何网络基础结构中安装 NetScaler Gateway，而无需更改安全网络中运行的现有硬件或软件。NetScaler Gateway 支持其他网络产品，例如服务器负载均衡器、缓存引擎、防火墙、路由器和 IEEE 802.11 无线设备。
您可以在“安装前检查表”中写下您的设置，以便在配置 NetScaler Gateway 之前随时查阅。
NetScaler Gateway 设备 提供有关 NetScaler Gateway 设备和设备安装说明的信息。
安装前检查表 提供要查看的规划信息以及在网络中安装 NetScaler Gateway 之前要完成的任务列表。
常见部署 提供有关在网络 DMZ 中、在没有 DMZ 的安全网络中以及与其他设备一起部署 NetScaler Gateway 以支持负载平衡和故障转移的信息。还提供有关将 NetScaler Gateway 与 Citrix Virtual Apps and Desktops 结合部署的信息。
许可 提供有关在设备上安装许可证的信息。还提供有关在多个 NetScaler Gateway 设备上安装许可证的信息。

NetScaler Gateway 体系结构

NetScaler Gateway 的核心组件包括：
  • 虚拟服务器。NetScaler Gateway 虚拟服务器是一个内部实体，代表所有可供用户使用的已配置服务。虚拟服务器也是用户访问这些服务的接入点。您可以在单个设备上配置多个虚拟服务器，从而允许一个 NetScaler Gateway 设备为具有不同身份验证和资源访问要求的多个用户社区提供服务。
  • 身份验证、授权和审计。您可以配置身份验证、授权和记帐，以允许用户使用 NetScaler Gateway 或安全网络中（例如 LDAP 或 RADIUS）的身份验证服务器识别的凭据登录到 NetScaler Gateway。授权策略定义用户权限，确定给定用户有权访问哪些资源。有关身份验证和授权的更多信息，请参阅配置身份验证和授权。审计服务器维护有关 NetScaler Gateway 活动的数据，包括用户登录事件、资源访问实例和操作错误。此信息存储在 NetScaler Gateway 或外部服务器上。有关审计的更多信息，请参阅在 NetScaler Gateway 上配置审计。
  • 用户连接。用户可以使用以下访问方法登录到 NetScaler Gateway：
    • 适用于 Windows 的 Citrix Secure Access 客户端是安装在基于 Windows 的计算机上的软件。用户通过右键单击基于 Windows 的计算机通知区域中的图标来登录。如果用户使用的计算机未安装 Citrix Secure Access 客户端，他们可以通过使用 Web 浏览器下载并安装插件来登录。如果用户已安装 Citrix Workspace 应用程序，则用户可以通过 Citrix Workspace 应用程序使用 Citrix Secure Access 客户端登录。当用户设备上安装了 Citrix Workspace 应用程序和 Citrix Secure Access 客户端时，Citrix Workspace 应用程序会自动添加 Citrix Secure Access 客户端。
    • 适用于 macOS X 的 Citrix Secure Access 客户端允许运行 macOS X 的用户登录。它具有与适用于 Windows 的 Citrix Secure Access 客户端相同的功能。您可以通过安装 NetScaler Gateway 10.1, Build 120.1316.e 为此插件版本提供端点分析支持。
    • Citrix Workspace 应用程序，允许用户通过 Citrix StoreFront 连接到服务器场中的已发布应用程序和虚拟桌面。
    • Citrix Workspace 应用程序、Secure Hub、WorxMail 和 WorxWeb，允许用户访问 Web 和 SaaS 应用程序、iOS 和 Android 移动应用程序以及 Citrix Endpoint Management 中托管的 ShareFile 数据。
    • 用户可以从使用 NetScaler Gateway Web 地址的 Android 设备进行连接。当用户启动应用程序时，连接会使用 Micro VPN 将网络流量路由到内部网络。如果用户从 Android 设备进行连接，则必须在 NetScaler Gateway 上配置 DNS 设置。有关更多信息，请参阅通过使用 Android 设备的 DNS 后缀支持 DNS 查询。
    • 用户可以从使用 NetScaler Gateway Web 地址的 iOS 设备进行连接。您可以全局配置安全浏览，也可以在会话配置文件中配置。当用户在其 iOS 设备上启动应用程序时，VPN 连接会启动，并且连接会通过 NetScaler Gateway 路由。
    • 无客户端访问，无需在用户设备上安装软件即可为用户提供所需的访问权限。
      配置 NetScaler Gateway 时，您可以创建策略来配置用户如何登录。您还可以通过创建会话和端点分析策略来限制用户登录。
  • 网络资源。这些包括用户通过 NetScaler Gateway 访问的所有网络服务，例如文件服务器、应用程序和网站。
  • 虚拟适配器。NetScaler Gateway 虚拟适配器支持需要 IP 欺骗的应用程序。当安装 Citrix Secure Access 客户端时，虚拟适配器会安装在用户设备上。当用户连接到内部网络时，NetScaler Gateway 与内部服务器之间的出站连接使用内网 IP 地址作为源 IP 地址。Citrix Secure Access 客户端会从服务器接收此 IP 地址作为配置的一部分。
    如果在 NetScaler Gateway 上启用拆分隧道，所有内网流量都将通过虚拟适配器路由。在拦截内网绑定流量时，虚拟适配器将拦截 A 和 AAAA 记录类型的 DNS 查询，同时保持所有其他 DNS 查询不变。不绑定到内部网络的网络流量将通过安装在用户设备上的网络适配器路由。Internet 和专用局域网 (LAN) 连接保持打开和连接状态。如果禁用拆分隧道，所有连接都将通过虚拟适配器路由。任何现有连接都将断开，用户必须重新建立会话。
    如果配置了内网 IP 地址，则流向内部网络的流量将通过虚拟适配器使用内网 IP 地址进行欺骗。

用户连接的工作方式

用户可以从远程位置连接到其电子邮件、文件共享和其他网络资源。用户可以使用以下软件连接到内部网络资源：
  • 思杰安全访问™ 客户端
  • Citrix Workspace 应用程序
  • WorxMail 和 WorxWeb
  • Android 和 iOS 移动设备

使用 Citrix Secure Access 客户端连接

Citrix Secure Access 客户端允许用户通过以下步骤访问内部网络中的资源：
  1. 用户首次通过在 Web 浏览器中键入 Web 地址连接到 NetScaler Gateway。此时将显示登录页面，并提示用户输入用户名和密码。如果配置了外部身份验证服务器，NetScaler Gateway 将联系该服务器，并且身份验证服务器将验证用户的凭据。如果配置了本地身份验证，NetScaler Gateway 将执行用户身份验证。
  2. 如果配置了预身份验证策略，当用户在基于 Windows 的计算机或 macOS X 计算机上的 Web 浏览器中键入 NetScaler Gateway Web 地址时，NetScaler Gateway 会在登录页面出现之前检查是否存在任何基于客户端的安全策略。安全检查会验证用户设备是否满足安全相关条件，例如操作系统更新、防病毒保护和正确配置的防火墙。如果用户设备未能通过安全检查，NetScaler Gateway 将阻止用户登录。无法登录的用户必须下载必要的更新或软件包并将其安装到用户设备上。当用户设备通过预身份验证策略时，将显示登录页面，用户可以输入登录凭据。如果安装了 NetScaler Gateway 10.1 Build 120.1316.e，则可以在 macOS X 计算机上使用高级端点分析。
  3. 当 NetScaler Gateway 成功验证用户身份后，NetScaler Gateway 会启动 VPN 隧道。NetScaler Gateway 会提示用户下载并安装适用于 Windows 的 Citrix Secure Access 客户端或适用于 macOS X 的 Citrix Secure Access 客户端。
  4. 如果配置了后身份验证扫描，则在用户成功登录后，NetScaler Gateway 会扫描用户设备以查找所需的客户端安全策略。您可以要求与预身份验证策略相同的安全相关条件。如果用户设备未能通过扫描，则策略将不适用，或者用户将被置于隔离组中，并且用户对网络资源的访问将受到限制。
  5. 会话建立后，用户将被定向到 NetScaler Gateway 主页，用户可以在其中选择要访问的资源。NetScaler Gateway 附带的主页称为“访问界面”。如果用户使用适用于 Windows 的 Citrix Secure Access 客户端登录，Windows 桌面通知区域中的图标会显示用户设备已连接，并且用户会收到连接已建立的消息。用户还可以不使用访问界面访问网络中的资源，例如打开 Microsoft Outlook 并检索电子邮件。
  6. 如果用户请求通过了预身份验证和后身份验证安全检查，NetScaler Gateway 随后会联系请求的资源，并在用户设备和该资源之间启动安全连接。
  7. 用户可以通过右键单击基于 Windows 的计算机通知区域中的 NetScaler Gateway 图标，然后单击“注销”来关闭活动会话。会话也可能因不活动而超时。会话关闭后，隧道将关闭，用户将不再有权访问内部资源。用户还可以在浏览器中键入 NetScaler Gateway 网址。当用户按下 Enter 键时，将显示访问界面，用户可以从该界面注销。
注意： 如果您在内部网络中部署 Citrix Endpoint Management，则从内部网络外部连接的用户必须首先连接到 NetScaler Gateway。当用户建立连接后，他们可以访问 Citrix Endpoint Management 上托管的 Web 和 SaaS 应用程序、Android 和 iOS 移动应用程序以及 ShareFile 数据。用户可以通过无客户端访问方式使用 Citrix Secure Access 客户端连接，或者通过使用 Citrix Workspace 应用程序或 Secure Hub 连接。

使用 Citrix Workspace 应用程序连接

用户可以使用 Citrix Workspace 应用程序连接以访问其基于 Windows 的应用程序和虚拟桌面。用户还可以从 Endpoint Management 访问应用程序。要从远程位置连接，用户还需要在其设备上安装 Citrix Secure Access 客户端。Citrix Workspace 应用程序会自动将 Citrix Secure Access 客户端添加到其插件列表中。当用户登录 Citrix Workspace 应用程序时，他们也可以登录 Citrix Secure Access 客户端。您还可以配置 NetScaler Gateway，以便在用户登录 Citrix Workspace 应用程序时对 Citrix Secure Access 客户端执行单点登录。

使用 iOS 和 Android 设备连接

用户可以使用 Secure Hub 从 iOS 或 Android 设备连接。用户可以使用 Secure Mail 访问其电子邮件，并使用 WorxWeb 连接到网站。
当用户从移动设备连接时，连接会通过 NetScaler Gateway 路由以访问内部资源。如果用户使用 iOS 连接，您需要启用 Secure Browse 作为会话配置文件的一部分。如果用户使用 Android 连接，连接会自动使用 Micro VPN。此外， Secure Mail 和 WorxWeb 使用 Micro VPN 通过 NetScaler Gateway 建立连接。您无需在 NetScaler Gateway 上配置 Micro VPN。