使用 SSL VPN 虚拟服务器配置 DTLS VPN 虚拟服务器
您可以为 NetScaler Gateway 配置 DTLS VPN 虚拟服务器，使用已配置的 SSL VPN 虚拟服务器的相同 IP 地址和端口号。配置 DTLS VPN 虚拟服务器使您能够将高级 DTLS 密码和证书绑定到 DTLS 流量，以增强安全性。
重要提示：
-
默认情况下，现有 SSL VPN 虚拟服务器的 DTLS 功能已设置为“开”。在创建 DTLS VPN 虚拟服务器之前，请禁用该服务器的功能。
-
NetScaler Gateway 13.0 版本 64.x 及更高版本支持 DTLS 网关虚拟服务器的 SNI。
-
从 NetScaler 13.0 版本 79.x 开始，
helloverifyrequest参数默认启用。在 DTLS 配置文件上启用helloverifyrequest参数有助于降低攻击者或机器人使网络吞吐量过载的风险，这可能导致出站带宽耗尽。也就是说，它有助于缓解 DTLS DDoS 放大攻击。有关helloverifyrequest参数的详细信息，请参阅 DTLS 配置文件。 -
处理 UDP 流量时，如果后端服务器推送大量流量，NetScaler 设备内存消耗会增加。因此，由于客户端的 TCP MUX 连接，NetScaler 设备无法将此流量推送到客户端。在这种情况下，Citrix 建议您使用 DTLS 协议。
注意事项
-
NetScaler Gateway 设备上的 DTLS VPN 虚拟服务器可从 13.0 版本 58.x 开始配置。
-
在 NetScaler Gateway 设备上配置 DTLS VPN 虚拟服务器之前，您必须已在该设备上配置 SSL VPN 虚拟服务器。
-
DTLS VPN 虚拟服务器使用已配置的 SSL VPN 虚拟服务器的 IP 地址和端口号。
-
如果 DTLS 握手失败，连接将回退到 TLS。
-
若要仅使用 DTLS，您可以通过仅将 DTLS 密码绑定到 DTLS 流量来禁用 TLS。
-
当 TCP 流量通过 VPN 隧道传输时，DTLS 多路复用不受支持。
使用 GUI 配置 DTLS VPN 虚拟服务器
-
在“配置”选项卡上，导航到 NetScaler Gateway > 虚拟服务器。
-
在“NetScaler Gateway 虚拟服务器”页面上，选择现有的 SSL VPN 虚拟服务器，然后单击“编辑”。
-
在“VPN 虚拟服务器”页面上，单击编辑图标，清除“DTLS”复选框，然后单击“确定”。
-
导航回 NetScaler Gateway > 虚拟服务器，然后单击“添加”。
-
在“基本设置”下，输入以下字段的值，然后单击“确定”。
-
名称 - DTLS VPN 虚拟服务器的名称
-
协议 - 选择 DTLS
-
IP 地址 – 输入 SSL VPN 虚拟服务器 IP 地址
-
端口 – 输入 SSL VPN 虚拟服务器端口号
-
-
在“NetScaler® Gateway 虚拟服务器”页面上，选择您之前添加的虚拟服务器，然后单击“编辑”。
-
在“证书”下，单击箭头图标以选择所需的证书密钥。
-
在“服务器证书绑定 > 选择服务器证书”中，选择现有 SSL 证书密钥或创建一个。
-
在“服务器证书绑定”页面上，单击“绑定”。
注意：
-
要使用 DTLS 1.2，请单击“SSL 参数”下的编辑图标，并选择“DTLS 1.2”复选框。
-
DTLS 类型的 VPN 虚拟服务器支持服务器名称指示 (SNI)。
使用 CLI 配置 DTLS VPN 虚拟服务器
在命令提示符下，键入以下命令集：
set vpn vserver <ssl vpnvserver name> -dtls off
add vpn vserver <dtls vpnvserver name> dtls <ssl vpn vserver IP> <ssl vpn vserver port>
bind ssl vservser <dtls vpnvserver name> -certkeyName <existing ssl cert key or newly created cert key>
DTLS 1.0 照常工作，要使用 DTLS 1.2，请键入以下命令：
set ssl vserver < dtls vpnvserver name > -dtls12 ENABLED
示例
set vpn vserver vpnvserver -dtls off
add vpn vserver vpnvserver_dtls dtls 10.108.45.220 443
bind ssl vservser vpnvserver_dtls -certkeyName sslcertkey
set ssl vserver vpnvserver_dtls -dtls12 ENABLED
要为 DTLS 类型 VPN 虚拟服务器启用 SNI，请键入以下命令：
set ssl vserver <vServerName>@ [-SNIEnable ( ENABLED | DISABLED )
bind ssl vservser <dtls vpnvserver name> -certkeyName <existing ssl cert key or newly created cert key> <-SNICert>
示例
set ssl vserver _XD_10.106.40.225_443_DTLS -sniEnable eNABLED
bind ssl vserver _XD_10.106.40.225_443_DTLS -certkeyName "Insight/*.insight.net.cer_CERT_" -snICert
支持的 DTLS VPN 虚拟服务器参数
DTLS 类型的 VPN 虚拟服务器仅支持以下参数。
-
IP 地址
-
端口
-
状态
-
双跳
-
下行状态清除
-
注释
-
Appflow日志
-
ICMP VSR响应
不支持的 DTLS VPN 虚拟服务器参数
类型为 DTLS 的 VPN 虚拟服务器不支持以下参数。
-
LinuxEPAPluginUpgrade
-
WindowsEPAPluginUpgrade
-
maxAAAUsers
-
icaProxySessionMigration
-
loginOnce
-
cginfraHomePageRedirect
-
logoutOnSmartcardRemoval
-
L2连接
-
MacEPAPluginUpgradeRHIstate
-
icaOnly
-
maxLoginAttempts
-
登录失败超时
-
虚拟服务器完全限定域名
-
设备证书
-
RDP服务器配置文件名
-
PCoIP虚拟服务器配置文件名
-
TCP配置文件名
-
网络配置文件
-
身份验证配置文件
-
侦听优先级
-
侦听策略
-
IP集
-
证书密钥名称
使用 XenApp 和 XenDesktop® 向导配置 DTLS 虚拟服务器
-
在与 Citrix® 产品集成下，单击XenApp® 和 XenDesktop。
-
在 XenApp 和 XenDesktop 设置向导上，选择StoreFront™，然后单击继续。
-
在 NetScaler Gateway 设置 页面上，启用 为此 VPN 虚拟服务器配置 DTLS 侦听器 复选框，然后单击 继续。DTLS 侦听器现已配置。
-
在服务器证书中，单击 选择文件 以选择服务器证书，然后单击 继续。
-
指定证书文件和密钥文件名，然后单击 继续。
-
在 StoreFront 部分下，按照以下说明提供所需参数的值，然后单击 继续。
-
在 身份验证 部分下，按照以下说明提供所需参数的值，然后单击 测试连接。确保服务器可访问，提供超时值和服务器登录名属性，然后单击 继续。指定配置值(/en-us/netscaler-gateway/media/dtls-xaxd-server-state.png)
-
单击 完成 以完成配置。配置完成(/en-us/netscaler-gateway/media/dtls-xaxd-done.png)
限制
-
DTLS 1.2 仅在 Windows、macOS 和 iOS 客户端上受支持。
-
带有 DTLS 的 VPN 虚拟服务器不支持 IPv6 地址。
-
DTLS VPN 虚拟服务器不支持 SSL 策略和 SSL 配置文件。此外，也不支持 VPN 虚拟服务器策略的绑定。
-
NetScaler Gateway DTLS VPN 虚拟服务器不支持以下功能。但是，NetScaler Gateway SSL VPN 虚拟服务器支持这些功能：
-
带内容交换虚拟服务器的统一网关
-
UDP MUX
-
UDP 视频
-
UDP 音频
-
PCOIP
-
-
与 DTLS VPN 虚拟服务器统计信息相关的
stat vpn vserver命令不受支持。 -
DTLS 虚拟服务器不支持 HSM 密钥。
-
不支持集群配置。