在双跳 DMZ 中部署 NetScaler Gateway
有些组织使用三个防火墙来保护其内部网络。这三个防火墙将 DMZ 分为两个阶段，为内部网络提供额外的安全层。这种网络配置称为双跳 DMZ。
图 1. 部署在双跳 DMZ 中的 NetScaler Gateway 设备
在双跳 DMZ 中部署 NetScaler Gateway(/en-us/netscaler-gateway/media/ng-doublehop-dmz-new-icons.png)
注意：
为便于说明，前面的示例描述了一个使用三个防火墙的双跳配置，其中包含 StoreFront、NetScaler Gateway 和 Citrix Virtual Apps。但是，您也可以拥有一个双跳 DMZ，其中一个设备位于 DMZ 中，另一个设备位于安全网络中。如果您配置了一个双跳配置，其中一个设备位于 DMZ 中，另一个设备位于安全网络中，则可以忽略在第三个防火墙上打开端口的说明。
您可以配置双跳 DMZ 以支持与 NetScaler Gateway 代理并行安装的 Citrix StoreFront。用户通过使用 Citrix Workspace 应用程序进行连接。
注意：
如果您在带有 StoreFront 的双跳 DMZ 中部署 NetScaler Gateway，Citrix Workspace 应用程序的基于电子邮件的自动发现功能将不起作用。
双跳部署的工作原理
您可以在双跳 DMZ 中部署 NetScaler Gateway 设备，以控制对运行 Citrix Virtual Apps 的服务器的访问。双跳部署中的连接按以下方式进行：
-
用户通过使用 Web 浏览器连接到第一个 DMZ 中的 NetScaler Gateway，并使用 Citrix Workspace 应用程序选择已发布的应用程序。
-
Citrix Workspace 应用程序在用户设备上启动。用户连接到 NetScaler Gateway 以访问安全网络中服务器场中运行的已发布应用程序。注意： 双跳 DMZ 部署不支持 Secure Hub 和适用于 Windows 的 Citrix Secure Access 客户端。仅使用 Citrix Workspace 应用程序进行用户连接。
-
第一个 DMZ 中的 NetScaler Gateway 处理用户连接并执行 SSL VPN 的安全功能。此 NetScaler Gateway 加密用户连接，确定用户如何进行身份验证，并控制对内部网络中服务器的访问。
-
第二个 DMZ 中的 NetScaler Gateway 用作 NetScaler Gateway 代理设备。此 NetScaler Gateway 使 ICA 流量能够穿过第二个 DMZ，以完成用户到服务器场的连接。第一个 DMZ 中的 NetScaler Gateway 与内部网络中的安全票证颁发机构 (STA) 之间的通信也通过第二个 DMZ 中的 NetScaler Gateway 进行代理。
NetScaler Gateway 支持 IPv4 和 IPv6 连接。您可以使用配置实用程序来配置 IPv6 地址。
下表显示了双跳部署对各种 ICA® 功能的支持：
| ICA 功能 | 双跳支持 |
|---|---|
| SmartAccess | 是 |
| SmartControl | 是 |
| 智能数据传输 (EDT) | 是 |
| HDX 洞察 | 是 |
| ICA 会话可靠性（端口 2598） | 是 |
| ICA 会话迁移 | 是 |
| ICA 会话超时 | 是 |
| 多流 ICA | 是（仅限 TCP） |
| 弗雷姆霍克 | 否 |
| UDP 音频 | 否 |
准备双跳 DMZ 部署
配置双跳 DMZ 部署时，您必须回答以下问题：
-
我是否要支持负载平衡？
-
我需要在防火墙上打开哪些端口？
-
我需要多少个 SSL 证书？
-
在开始部署之前，我需要哪些组件？
本节中的主题包含有助于您根据环境回答这些问题的信息。
开始部署所需的组件
在开始双跳 DMZ 部署之前，请确保您拥有以下组件：
-
至少需要两个 NetScaler Gateway 设备（每个 DMZ 一个）。
-
运行 Citrix Virtual Apps™ 的服务器必须安装并在内部网络中运行。
-
StoreFront™ 必须安装在第二个 DMZ 中，并配置为与内部网络中的服务器场协同工作。
-
至少一个 SSL 服务器证书必须安装在第一个 DMZ 中的 NetScaler Gateway 上。此证书可确保 Web 浏览器和用户到 NetScaler Gateway 的连接是加密的。如果您希望加密双跳 DMZ 部署中其他组件之间的连接，则需要额外的证书。