配置授权策略

Last published : Oct 14, 2026
配置授权策略时，可以将其设置为允许或拒绝访问内部网络中的网络资源。例如，要允许用户访问 10.3.3.0 网络，请使用以下表达式：
CLIENT.IP.DST.IN_SUBNET(10.3.0.0/16)
授权策略应用于用户和组。用户通过身份验证后，NetScaler Gateway 通过从 RADIUS、LDAP 或 TACACS+ 服务器获取用户的组信息来执行组授权检查。如果用户有可用的组信息，NetScaler Gateway 会检查该组允许的网络资源。
要控制用户可以访问的资源，必须创建授权策略。如果不需要创建授权策略，可以配置默认的全局授权。
如果在授权策略中创建拒绝访问文件路径的表达式，则只能使用子目录路径，而不能使用根目录。例如，使用 fs.path contains "\\\\dir1\\\\dir2" 而不是 fs.path contains "\\\\rootdir\\\\dir1\\\\dir2"。如果在此示例中使用第二种版本，则策略将失败。
配置授权策略后，您可以将其绑定到用户或组，如下面的任务所示。
默认情况下，授权策略首先根据您绑定到虚拟服务器的策略进行验证，然后根据全局绑定的策略进行验证。如果您全局绑定策略，并希望全局策略优先于绑定到用户、组或虚拟服务器的策略，则可以更改策略的优先级编号。优先级编号从零开始。优先级编号越低，策略的优先级越高。
例如，如果全局策略的优先级编号为 1，用户的优先级为 2，则首先应用全局身份验证策略。
重要提示：
  • 经典授权策略仅应用于 TCP 流量。
  • 高级授权策略可应用于所有类型的流量（TCP/UDP/ICMP/DNS）。
    • 要将策略应用于 UDP/ICMP/DNS 流量，必须分别将策略绑定到 UDP_REQUEST、ICMP_REQUEST 和 DNS_REQUEST 类型。
    • 绑定时，如果未明确提及“type”或将“type”设置为 REQUEST，则行为与早期版本没有变化，即这些策略仅应用于 TCP 流量。
    • 绑定到 UDP_REQUEST 的策略不适用于 DNS 流量。对于 DNS，策略必须明确绑定到 DNS_REQUEST。TCP_DNS 类似于其他 TCP 请求。
有关高级授权策略的更多详细信息，请参阅文章 <https://support.citrix.com/article/CTX232237>。
Related information
配置授权

授权策略表达式示例

以下是授权策略的表达式示例：
  • add authorization policy athzPol1 "HTTP.REQ.USER.IS_MEMBER_OF(\"allowedGroup\")" ALLOW
  • add authorization policy athzPol2 "CLIENT.IP.DST.BETWEEN(192.0.2.10,192.0.2.20)" DENY
  • add authorization policy athzPol3 "HTTP.REQ.HOSTNAME.CONTAINS(\"portal-srv") || CLIENT.IP.DST.IN_SUBNET(192.0.2.0/25)" ALLOW

使用 GUI 配置授权策略

  1. 导航到 NetScaler Gateway > 策略 > 授权。
  2. 在详细信息窗格中，单击“添加”。
  3. 在“名称”中，键入策略的名称。
  4. 在“操作”中，选择“允许”或“拒绝”。
  5. 在“表达式”中，单击“表达式编辑器”。
  6. 要开始配置表达式，请单击“选择”并选择必要的元素。
  7. 表达式完成后，单击“完成”。
  8. 单击“创建”。

使用 GUI 将授权策略绑定到用户

  1. 导航到 NetScaler Gateway > 用户管理。
  2. 单击 AAA 用户。
  3. 在详细信息窗格中，选择一个用户，然后单击 编辑。
  4. 在 高级设置 中，单击 授权策略。
  5. 在 策略绑定 页面中，选择一个策略或创建一个策略。
  6. 在 优先级 中，设置优先级编号。
  7. 在 类型 中，选择请求类型，然后单击 确定。

使用 GUI 将授权策略绑定到组

  1. 导航到 NetScaler Gateway > 用户管理。
  2. 单击 AAA 组。
  3. 在详细信息窗格中，选择一个组，然后单击 编辑。
  4. 在 高级设置 中，单击 授权策略。
  5. 在 策略绑定 页面中，选择一个策略或创建一个策略。
  6. 在 优先级 中，设置优先级编号。
  7. 在 类型 中，选择请求类型，然后单击 确定。