Gateway 预安装清单

Last published : Oct 14, 2026
此清单包含在安装 NetScaler Gateway 之前必须完成的任务列表和规划信息。
提供了空间，以便您可以在完成每项任务时进行勾选并做笔记。Citrix 建议您记下在安装过程和配置 NetScaler Gateway 时需要输入的配置值。
有关安装和配置 NetScaler Gateway 的步骤，请参阅安装 NetScaler Gateway。

用户设备

  • 确保用户设备满足 Citrix Secure Access 系统要求 中所述的安装先决条件
  • 识别用户连接所用的移动设备。注意：如果用户使用 iOS 设备连接，则必须在会话配置文件中启用安全浏览。

NetScaler Gateway 基本网络连接

Citrix® 建议您在开始配置设备之前获取许可证和已签名的服务器证书。
  • 识别并记下 NetScaler Gateway 主机名。注意：这不是完全限定域名 (FQDN)。FQDN 包含在绑定到虚拟服务器的已签名服务器证书中。
  • 从 Citrix 网站 获取通用许可证
  • 生成证书签名请求 (CSR) 并将其发送给证书颁发机构 (CA)。输入您将 CSR 发送给证书颁发机构的日期。
  • 记下系统 IP 地址和子网掩码。
  • 记下子网 IP 地址和子网掩码。
  • 记下管理员密码。NetScaler Gateway 附带的默认密码是 nsroot。
  • 记下 NetScaler Gateway 侦听安全用户连接的端口号。默认值为 TCP 端口 443。此端口必须在非安全网络（Internet）和 DMZ 之间的防火墙上打开。
  • 记下默认网关 IP 地址。
  • 记下 DNS 服务器 IP 地址和端口号。默认端口号为 53。此外，如果您直接添加 DNS 服务器，则还必须在设备上配置 ICMP (ping)。
  • 记下第一个虚拟服务器 IP 地址和主机名。
  • 记下第二个虚拟服务器 IP 地址和主机名（如果适用）。
  • 记下 WINS 服务器 IP 地址（如果适用）。

可通过 NetScaler Gateway 访问的内部网络

  • 记下用户可通过 NetScaler Gateway 访问的内部网络。示例：10.10.0.0/24
  • 输入用户在使用 Citrix Secure Access 客户端通过 NetScaler Gateway 连接时需要访问的所有内部网络和网络段。

高可用性

如果您有两台 NetScaler Gateway 设备，可以将其部署在高可用性配置中，其中一台 NetScaler Gateway 接受并管理连接，而第二台 NetScaler Gateway 监视第一台设备。如果第一台 NetScaler Gateway 因任何原因停止接受连接，第二台 NetScaler Gateway 将接管并开始主动接受连接。
  • 记下 NetScaler Gateway 软件版本号。
  • 两台 NetScaler Gateway 设备上的版本号必须相同。
  • 记下管理员密码 (nsroot)。两台设备上的密码必须相同。
  • 记下主 NetScaler Gateway IP 地址和 ID。最大 ID 号为 64。
  • 记下辅助 NetScaler Gateway IP 地址和 ID。
  • 获取并在两台设备上安装通用许可证。
  • 在两台设备上安装相同的通用许可证。
  • 记下 RPC 节点密码。

身份验证和授权

NetScaler Gateway 支持多种不同的身份验证和授权类型，这些类型可以以各种组合方式使用。有关身份验证和授权的详细信息，请参阅身份验证和授权。

LDAP 身份验证

如果您的环境包含 LDAP 服务器，则可以使用 LDAP 进行身份验证。
  • 记下 LDAP 服务器 IP 地址和端口。
    如果允许与 LDAP 服务器进行不安全的连接，则默认端口为 389。如果使用 SSL 加密与 LDAP 服务器的连接，则默认端口为 636。
  • 记下安全类型。
    您可以配置带加密或不带加密的安全。
  • 记下管理员绑定 DN。
    如果您的 LDAP 服务器需要身份验证，请输入 NetScaler Gateway 在查询 LDAP 目录时必须用于身份验证的管理员 DN。例如：cn=administrator,cn=Users,dc=ace, dc=com。
  • 记下管理员密码。
    密码与管理员绑定 DN 相关联。
  • 记下基本 DN。
    用户所在的 DN（或目录级别）；例如，ou=users,dc=ace,dc=com。
  • 记下服务器登录名属性。
    输入指定用户登录名的 LDAP 目录人员对象属性。默认值为 sAMAccountName。如果您不使用 Active Directory，此设置的常见值为 cn 或 uid。 有关 LDAP 目录设置的更多信息，请参阅 配置 LDAP 身份验证
  • 记下组属性。 输入指定用户所属组的 LDAP 目录人员对象属性。默认值为 memberOf。此属性使 NetScaler Gateway 能够识别用户所属的目录组。
  • 记下子属性名称。

RADIUS 身份验证和授权

如果您的环境包含 RADIUS 服务器，则可以使用 RADIUS 进行身份验证。 RADIUS 身份验证包括 RSA SecurID、SafeWord 和 Gemalto Protiva 产品。
  • 记下主 RADIUS 服务器 IP 地址和端口。默认端口为 1812。
  • 记下主 RADIUS 服务器密钥（共享密钥）。
  • 记下辅助 RADIUS 服务器 IP 地址和端口。默认端口为 1812。
  • 记下辅助 RADIUS 服务器密钥（共享密钥）。
  • 记下密码编码类型（PAP、CHAP、MS-CHAP v1、MSCHAP v2）。

SAML 身份验证

安全断言标记语言 (SAML) 是一种基于 XML 的标准，用于在身份提供商 (IdP) 和服务提供商之间交换身份验证和授权信息。
  • 在 NetScaler Gateway 上获取并安装安全的 IdP 证书。
  • 记下重定向 URL。
  • 记下用户字段。
  • 记下签名证书名称。
  • 记下 SAML 颁发者名称。
  • 记下默认身份验证组。

通过防火墙打开端口（单跳 DMZ）

如果您的组织使用单个 DMZ 保护内部网络，并且您在 DMZ 中部署 NetScaler Gateway，请通过防火墙打开以下端口。如果您在双跳 DMZ 部署中安装两台 NetScaler Gateway 设备，请参阅 在防火墙上打开相应的端口。

在非安全网络和 DMZ 之间的防火墙上

  • 在 Internet 和 NetScaler Gateway 之间的防火墙上打开一个 TCP/SSL 端口（默认 443）。用户设备通过此端口连接到 NetScaler Gateway。

在安全网络之间的防火墙上

  • 在 DMZ 和安全网络之间的防火墙上打开一个或多个适当的端口。NetScaler Gateway 通过这些端口连接到一个或多个身份验证服务器，或连接到安全网络中运行 Citrix Virtual Apps and Desktops 的计算机。
  • 记下身份验证端口。
    仅打开适用于您的 NetScaler Gateway 配置的端口。
    • 对于 LDAP 连接，默认是 TCP 端口 389。
    • 对于 RADIUS 连接，默认是 UDP 端口 1812。记下 Citrix Virtual Apps and Desktops 端口。
  • 如果您将 NetScaler Gateway 与 Citrix Virtual Apps and Desktops 结合使用，请打开 TCP 端口 1494。如果启用会话可靠性，请打开 TCP 端口 2598 而不是 1494。Citrix 建议保持这两个端口都打开。

Citrix 虚拟桌面™、Citrix 虚拟应用或 StoreFront

如果您正在部署 NetScaler Gateway 以通过 StoreFront 提供对 Citrix Virtual Apps and Desktops 的访问，请完成以下任务。此部署不需要 Citrix Secure Access 客户端。用户仅通过 Web 浏览器和 Citrix Receiver 即可通过 NetScaler Gateway 访问已发布的应用程序和桌面。
  • 记下运行 StoreFront 的服务器的 FQDN 或 IP 地址。

Citrix 端点管理™

如果您在内部网络中部署 Citrix Endpoint Management，请完成以下任务。如果用户从外部网络（例如 Internet）连接到 Endpoint Management，则用户必须先连接到 NetScaler Gateway，然后才能访问移动、Web 和 SaaS 应用程序。
  • 记下 Endpoint Management 的 FQDN 或 IP 地址。
  • 确定用户可以访问的 Web、SaaS 和移动 iOS 或 Android 应用程序。

采用 Citrix Virtual Apps™ 的双跳 DMZ 部署

如果您正在双跳 DMZ 配置中部署两个 NetScaler Gateway 设备以支持访问运行 Citrix Virtual Apps 的服务器，请完成以下任务。

第一个 DMZ 中的 NetScaler Gateway

第一个 DMZ 是内部网络最外边缘的 DMZ（最靠近 Internet 或不安全网络）。客户端通过将 Internet 与 DMZ 分隔开的防火墙连接到第一个 DMZ 中的 NetScaler Gateway。在第一个 DMZ 中安装 NetScaler Gateway 之前，请收集此信息。
  • 对于此 NetScaler Gateway，请完成此清单中“NetScaler Gateway 基本网络连接”部分中的项目。
    完成这些项目时，接口 0 将此 NetScaler Gateway 连接到 Internet，接口 1 将此 NetScaler Gateway 连接到第二个 DMZ 中的 NetScaler Gateway。
  • 在主设备上配置第二个 DMZ 设备信息。
    要将 NetScaler Gateway 配置为双跳 DMZ 中的第一跳，您必须在第一个 DMZ 中的设备上指定第二个 DMZ 中 NetScaler Gateway 的主机名或 IP 地址。指定在第一跳设备上配置 NetScaler Gateway 代理后，将其全局绑定到 NetScaler Gateway 或绑定到虚拟服务器。
  • 记下设备之间的连接协议和端口。
    要将 NetScaler Gateway 配置为双 DMZ 中的第一跳，您必须指定连接协议以及第二个 DMZ 中的 NetScaler Gateway 侦听连接的端口。连接协议和端口是带 SSL 的 SOCKS（默认端口 443）。协议和端口必须通过分隔第一个 DMZ 和第二个 DMZ 的防火墙打开。

第二个 DMZ 中的 NetScaler Gateway

第二个 DMZ 是最靠近您的内部安全网络的 DMZ。部署在第二个 DMZ 中的 NetScaler Gateway 充当 ICA 流量的代理，在外部用户设备和内部网络上的服务器之间穿越第二个 DMZ。
  • 为此 NetScaler Gateway 完成此清单的“NetScaler Gateway 基本网络连接”部分中的任务。
    完成这些项目时，接口 0 将此 NetScaler Gateway 连接到第一个 DMZ 中的 NetScaler Gateway。接口 1 将此 NetScaler Gateway 连接到安全网络。