开始之前
在安装 NetScaler Gateway 之前，您必须评估您的基础架构并收集信息，以规划一个满足您组织特定需求的访问策略。在定义访问策略时，您需要考虑安全隐患并完成风险分析。您还需要确定允许用户连接的网络，并决定启用用户连接的策略。
除了规划可供用户使用的资源外，您还需要规划部署方案。NetScaler Gateway 与以下 NetScaler 产品兼容：
-
思杰端点管理™
-
思杰虚拟应用™
-
思杰虚拟桌面™
-
StoreFront™
-
思杰SD-WAN™
有关部署 NetScaler Gateway 的更多信息，请参阅 常见部署 和 与 NetScaler 产品集成
在准备访问策略时，请执行以下初步步骤：
-
识别资源。列出您希望提供访问权限的网络资源，例如您在风险分析中定义的 Web、SaaS、移动或已发布的应用程序、虚拟桌面、服务和数据。
-
制定访问方案。创建描述用户如何访问网络资源的访问方案。访问方案由用于访问网络的虚拟服务器、端点分析扫描结果、身份验证类型或其组合定义。您还可以定义用户如何登录网络。
-
识别客户端软件。您可以使用 Citrix Secure Access 客户端提供完整的 VPN 访问，要求用户使用 Citrix Workspace 应用程序、Secure Hub 或通过无客户端访问登录。您还可以将电子邮件访问限制为 Outlook Web App 或 WorxMail。这些访问方案还决定了用户获得访问权限后可以执行的操作。例如，您可以指定用户是否可以通过使用已发布的应用程序或连接到文件共享来修改文档。
-
将策略与用户、组或虚拟服务器关联。您在 NetScaler Gateway 上创建的策略在个人或用户集满足指定条件时强制执行。您根据创建的访问方案确定条件。然后，您创建策略，通过控制用户可以访问的资源以及用户可以对这些资源执行的操作来扩展网络安全性。您将策略与适当的用户、组、虚拟服务器或全局关联。
本节包含以下主题，可帮助您规划访问策略：
-
安全规划包括有关身份验证和证书的信息。
-
定义您可能需要的网络硬件和软件的先决条件。
-
预安装清单，您可以在配置 NetScaler Gateway 之前使用它来记录您的设置。
安装 NetScaler Gateway 的先决条件
在配置 NetScaler Gateway 上的设置之前，请查看以下先决条件：
-
NetScaler Gateway 已物理安装在您的网络中并可访问网络。NetScaler Gateway 部署在 DMZ 或防火墙后面的内部网络中。您还可以将 NetScaler Gateway 配置在双跳 DMZ 中，并配置与服务器场的连接。Citrix 建议将设备部署在 DMZ 中。
-
您可以使用默认网关或指向内部网络的静态路由配置 NetScaler Gateway，以便用户可以访问网络中的资源。NetScaler Gateway 默认配置为使用静态路由。
-
用于身份验证和授权的外部服务器已配置并正在运行。有关更多信息，请参阅身份验证和授权。
-
网络具有域名服务器 (DNS) 或 Windows Internet 命名服务 (WINS) 服务器，用于名称解析，以提供正确的 NetScaler Gateway 用户功能。
-
您已从 Citrix 网站下载了用于 Citrix Secure Access 客户端用户连接的通用许可证，并且这些许可证已准备好安装在 NetScaler Gateway 上。
-
NetScaler Gateway 具有由受信任的证书颁发机构 (CA) 签名的证书。有关更多信息，请参阅安装和管理证书。
在安装 NetScaler Gateway 之前，请使用预安装清单记录您的设置。
安全规划
规划 NetScaler Gateway 部署时，您必须了解与证书以及身份验证和授权相关的基本安全问题。
配置安全证书管理
默认情况下，NetScaler Gateway 包含一个自签名安全套接字层 (SSL) 服务器证书，使设备能够完成 SSL 握手。自签名证书足以用于测试或示例部署，但 NetScaler 不建议将其用于生产环境。在生产环境中部署 NetScaler Gateway 之前，Citrix 建议您请求并接收来自已知证书颁发机构 (CA) 的已签名 SSL 服务器证书，并将其上传到 NetScaler Gateway。
如果您在任何环境中部署 NetScaler Gateway，并且 NetScaler Gateway 必须在 SSL 握手中充当客户端（与另一个服务器建立加密连接），则您还必须在 NetScaler Gateway 上安装受信任的根证书。例如，如果您将 NetScaler Gateway 与 Citrix Virtual Apps 和 StoreFront 一起部署，则可以使用 SSL 加密从 NetScaler Gateway 到 StoreFront 的连接。在此配置中，您必须在 NetScaler Gateway 上安装受信任的根证书。
身份验证支持
您可以将 NetScaler Gateway 配置为对用户进行身份验证，并控制用户对内部网络上网络资源的访问级别（或授权）。
在部署 NetScaler Gateway 之前，您的网络环境必须具备目录和身份验证服务器，以支持以下身份验证类型之一：
-
LDAP
-
RADIUS
-
TACACS+
-
支持审计和智能卡的客户端证书
-
采用 RADIUS 配置的 RSA
-
SAML 身份验证
如果您的环境不支持任何这些身份验证类型，或者您有少量远程用户，您可以在 NetScaler Gateway 上创建本地用户列表。然后，您可以将 NetScaler Gateway 配置为根据此本地列表对用户进行身份验证。通过此配置，您无需在单独的外部目录中维护用户帐户。
保护您的 NetScaler Gateway 部署
不同的部署可能需要不同的安全注意事项。NetScaler 安全部署指南提供了通用的安全指导，帮助您根据特定的安全要求决定适当的安全部署。
有关详细信息，请参阅 NetScaler 安全部署指南。