创建虚拟服务器

Last published : Oct 14, 2026
虚拟服务器是用户登录的访问点。每个虚拟服务器都有自己的 IP 地址、证书和策略集。虚拟服务器由接受传入流量的 IP 地址、端口和协议组合而成。虚拟服务器包含用户登录设备时的连接设置。您可以在虚拟服务器上配置以下设置：
  • 证书
  • 身份验证
  • 策略
  • 书签
  • 地址池（也称为 IP 池或内网 IP）
  • 使用 NetScaler Gateway 进行双跳 DMZ 部署
  • 安全票证颁发机构
  • SmartAccess ICA® 代理会话传输
如果运行 NetScaler Gateway 向导，可以在向导中创建虚拟服务器。您可以通过以下方式配置更多虚拟服务器：
  • 通过虚拟服务器节点。此节点位于配置实用程序的导航窗格中。您可以使用配置实用程序添加、编辑和删除虚拟服务器。
  • 使用快速配置向导。如果在您的环境中部署 Citrix Endpoint Management™ 或 StoreFront，可以使用快速配置向导创建虚拟服务器以及部署所需的所有策略。
如果您希望用户登录并使用特定的身份验证类型（例如 RADIUS），可以配置一个虚拟服务器并为其分配一个唯一的 IP 地址。当用户登录时，他们将被定向到虚拟服务器，然后系统会提示他们输入 RADIUS 凭据。
您还可以配置用户登录 NetScaler Gateway 的方式。您可以使用会话策略来配置用户软件类型、访问方法以及用户登录后看到的主页。
Related information
配置 NetScaler Gateway

创建虚拟服务器

您可以使用 NetScaler Gateway GUI 或快速配置向导添加、修改、启用或禁用以及删除虚拟服务器。有关使用快速配置向导配置虚拟服务器的更多信息，请参阅 使用快速配置向导配置设置。
注意：
VPN 虚拟服务器默认支持 DTLS 1.0 版。要启用 DTLS 1.2 版，请参阅 使用 SSL VPN 虚拟服务器配置 DTLS VPN 虚拟服务器。

HTTP QUIC VPN 虚拟服务器

从版本 14.1 build 8.x 开始，NetScaler Gateway 支持在浏览器上使用 HTML5 通过 QUIC 发送 ICA 流量并启动 Citrix DaaS 会话。您可以创建服务类型为 HTTP QUIC 的 VPN 虚拟服务器，以便在 HTML5 客户端上通过 QUIC 启动 Citrix DaaS 应用程序，而无需客户端插件软件。以前，Citrix DaaS 应用程序必须通过浏览器使用 Citrix Workspace 应用程序客户端插件软件或使用 WebSockets（无客户端访问）的 HTML5 客户端应用程序启动。
HTML5 客户端支持 WebTransport 协议。WebTransport 协议使用基于 QUIC 的 HTTP3 在客户端和 Web 服务器之间建立通信。有关基于 QUIC 的 HTTP 的更多信息，请参阅 基于 QUIC 的 HTTP 协议。

使用 GUI 配置 HTTP QUIC VPN 虚拟服务器

  1. 配置 HTTP QUIC VPN 虚拟服务器。
    1. 导航到 配置 > NetScaler 网关 > 虚拟服务器。
    2. 在 NetScaler Gateway Virtual Servers 页面上，单击 Add。
    3. 在 Protocol 中，选择 HTTP_QUIC。
    4. 根据需要更新其余字段，然后单击 OK。
  2. 在 HTTP 配置文件上启用 HTTP/3 WebTransport。
    • 导航到 System > Profiles > HTTP Profiles。在 HTTP/3 部分中，启用 HTTP/3 WebTransport 复选框。有关 HTTP 配置文件的详细信息，请参阅 HTTP 配置。

使用 CLI 配置 HTTP QUIC VPN 虚拟服务器

  1. 配置服务类型为 HTTP QUIC 的 VPN 虚拟服务器。
    add vpn vserver <VPN server name> -service type <HTTP_QUIC> -dtls <off> -Listenpolicy <NONE> -httpProfileName <name of the HTTP QUIC profile> -deploymentType <ICA_STOREFRONT> -vserverFqdn <URL>
  2. 在 HTTP 配置文件上启用 HTTP/3 WebTransport。
    set httpprofile nshttp_default_http_quic_profile -http3webTransport ENABLED
以下 show 命令的输出显示参数 HTTP/3 WebTransport: ENABLED。此参数指示正在使用服务类型 HTTP QUIC 在客户端和 VPN 虚拟服务器之间发送 WebTransport 流量。
sh httpprofile <name>

HTTP/2 Strict Cipher: ENABLED
        HTTP/3: ENABLED
        HTTP/3 maximum header field section size: 24576
        HTTP/3 maximum header table size: 4096
        HTTP/3 maximum header blocked streams: 100
        HTTP/3 WebTransport: ENABLED
        gRPC Buffer Limit: 131072
        gRPC Buffer Timeout: 1000
        gRPC Length Delimited Message: ENABLED
        Apdex Client Response Threshold: 500
        HTTP pipeline req buffer size: 131072
        Reference count: 2
注意：
  • SSL 和 HTTP QUIC VPN 虚拟服务器的 IP 地址和端口号必须相同。但是，必须在 SSL VPN 虚拟服务器上禁用 DTLS，因为不能在同一个 IP 地址和端口号上同时运行 DTLS 和 HTTP_QUIC。有关 DTLS VPN 虚拟服务器的详细信息，请参阅 使用 SSL VPN 虚拟服务器配置 DTLS VPN 虚拟服务器。
  • 配置了替代服务值设置为 Altsvc=h3=":port number" 的 HTTP 配置文件必须绑定到 SSL VPN 虚拟服务器。有关替代服务参数的详细信息，请参阅 HTTP 负载平衡配置的 HTTP/2。

使用 GUI 创建虚拟服务器

  1. 导航到 NetScaler Gateway > 虚拟服务器。
  2. 在详细信息窗格中，单击 添加。
  3. 根据您的要求配置设置。
  4. 单击 创建，然后单击 关闭。

使用 CLI 创建虚拟服务器

在命令提示符下，键入：
add vpn vserver <name> <serviceType> [<IPAddress> <port>]
示例：
add vpn vserver gatewayserver SSL 1.1.1.1 443

将网络配置文件绑定到 VPN 虚拟服务器时的注意事项

您可以创建网络配置文件（net profile），以配置设备使用指定的源 IP 地址，并将网络配置文件绑定到 VPN 虚拟服务器。但是，在将网络配置文件绑定到 VPN 虚拟服务器时，请注意以下事项。
  • 当您将网络配置文件绑定到 NetScaler Gateway 虚拟服务器时，它会为虚拟服务器选择一个特定的 SNIP，以便在向后端服务器发送流量时使用。
  • 如果没有绑定网络配置文件，并且存在多个 SNIP，NetScaler Gateway 会使用循环法选择要使用的 SNIP。
  • 网络配置文件不适用于动态生成的服务（STA、SF 监视器）。对于 STA 和其他动态生成的服务，您可以直接将网络配置文件绑定到这些监视器，并且这些监视器会在此时使用。但是，如果同一设备上有多个网关，则所有网关都将为配置的监视器使用相同的网络配置文件。
    有关网络配置文件的更多详细信息，请参阅 使用指定的源 IP 进行后端通信。

DTLS VPN 虚拟服务器配置中用于 UDP 启动的网络配置文件源 IP 地址

从版本 14.1 build 17.38 开始，配置了 DTLS 侦听器的 NetScaler Gateway 会从网络配置文件中选择源 IP 地址，以与虚拟投递代理 (VDA) 建立 UDP 连接。确保网络配置文件已绑定到 SSL VPN 虚拟服务器。
运行以下 CLI 命令以在 VPN 虚拟服务器中配置网络配置文件：
add ip <IPAddress><netmask> -type SNIP
add netprofile net1 -srcIP <IPAddress>
set vpn vserver <name> -netProfile net1
要验证是否使用了所选的源 IP 地址，请运行 show connectiontable CLI 命令。

虚拟服务器上的当前用户和总连接用户

当前用户： 登录到特定虚拟服务器的用户数量。建议您监视当前用户以跟踪 CCU。
总连接用户： 通过特定虚拟服务器建立一个或多个活动连接的用户数量。总连接用户数量主要用于 ICA 代理。
您可以在以下场景中使用总连接用户计数器：
  • 假设已建立 ICA 连接，但未建立相应的身份验证、授权和审计会话。在这种情况下，用户启动应用程序或桌面并关闭浏览器，然后继续使用已启动的应用程序或桌面。身份验证、授权和审计会话超时，但连接仍然处于活动状态。连接用户总数可用于识别仍处于连接状态的用户。
  • 在 HDX™ 优化路由中，身份验证网关和 ICA 网关可以位于不同的设备上。在这种情况下，连接用户总数可用于识别 ICA 网关上的连接用户数。
注意事项：
  • 当存在活动会话（尚未超时）但这些会话上没有活动连接时，当前用户数会超过连接用户总数。例如，用户启动应用程序或桌面后立即将其关闭，但未从身份验证、授权和审计会话中注销。
  • 如果身份验证、授权和审计会话超时但 ICA 连接仍处于活动状态，则连接用户总数会超过当前用户数。
  • 在纯 VPN 设置中（不涉及 ICA），当前用户数和连接用户总数相等。

配置虚拟服务器上的连接类型

创建和配置虚拟服务器时，可以配置以下连接选项：
  • 仅使用 Citrix Workspace 应用程序连接到 Citrix Virtual Apps and Desktops，不带 SmartAccess、端点分析或网络层隧道功能。
  • 使用 Citrix Secure Access™ 客户端和 SmartAccess 进行连接，允许使用 SmartAccess、端点分析和网络层隧道功能。
  • 使用 Secure Hub 进行连接，该连接可从移动设备建立到 NetScaler Gateway 的微型 VPN 连接。
  • 用户从多个设备通过 ICA 会话协议建立的并行连接。这些连接将迁移到单个会话，以防止使用多个通用许可证。
如果您希望用户无需用户软件即可登录，可以配置无客户端访问策略并将其绑定到虚拟服务器。

在虚拟服务器上配置基本或 SmartAccess 连接

  1. 导航到 NetScaler Gateway，然后单击 Virtual Servers。
  2. 在详细信息窗格中，单击添加。
  3. 在名称中，键入虚拟服务器的名称。
  4. 在IP 地址和端口中，键入虚拟服务器的 IP 地址和端口号。
  5. 执行以下操作之一：
    • 若要仅允许 ICA 连接，请单击基本模式。
    • 若要允许用户使用 Secure Hub、Citrix Secure Access 客户端和 SmartAccess 登录，请单击SmartAccess 模式。
    • 若要允许 SmartAccess 管理多个用户连接的 ICA 代理会话，请单击ICA 代理会话迁移。
  6. 配置虚拟服务器的其他设置，单击创建，然后单击关闭。

为通配符虚拟服务器配置侦听策略

您可以配置 NetScaler Gateway 虚拟服务器，以限制虚拟服务器在特定 VLAN 上侦听的能力。您可以创建具有侦听策略的通配符虚拟服务器，该策略将其限制为处理指定 VLAN 上的流量。
配置参数如下：
参数 描述
名称 虚拟服务器的名称。名称是必需的，创建虚拟服务器后无法更改。名称不能超过 127 个字符，并且第一个字符必须是数字或字母。您还可以使用以下字符：at 符号 (@)、下划线 (_)、破折号 (-)、句点 (.)、冒号 (:)、井号 (#) 和空格。
IP 虚拟服务器的 IP 地址。对于绑定到 VLAN 的通配符虚拟服务器，该值始终为 *。
类型 服务的行为。您的选择包括 HTTP、SSL、FTP、TCP、SSL_TCP、UDP、SSL_BRIDGE、NNTP、DNS、ANY、SIP-UDP、DNS-TCP 和 RTSP。
端口 虚拟服务器侦听用户连接的端口。端口号必须介于 0 到 65535 之间。对于绑定到 VLAN 的通配符虚拟服务器，该值通常为 *。
侦听优先级 分配给侦听策略的优先级。优先级按相反顺序评估；数字越小，分配给侦听策略的优先级越高。
侦听策略规则 策略规则用于标识虚拟服务器必须侦听的 VLAN。规则为 CLIENT.VLAN.ID.EQ (<ipaddressat>)。将 <ipaddressat> 替换为分配给 VLAN 的 ID。

创建具有侦听策略的通配符虚拟服务器

  1. 在导航窗格中，展开 NetScaler Gateway，然后单击 Virtual Servers。
  2. 在详细信息窗格中，单击 Add。
  3. 在 Name 中，键入虚拟服务器的名称。
  4. 在 Protocol 中，选择协议。
  5. 在 IP 地址中，键入虚拟服务器的 IP 地址。
  6. 在 端口中，键入虚拟服务器的端口。
  7. 在 高级 选项卡上，在“侦听策略”下，在 侦听优先级 中，键入侦听策略的优先级。
  8. 在“侦听策略规则”旁边，单击 配置。
  9. 在 创建表达式 对话框中，单击 添加，配置表达式，然后单击 确定。
  10. 单击 创建，然后单击 关闭。