RDP 代理

1. 连接到 NetScaler Gateway 公共 IP 地址
2. 建立 SSL VPN 连接
3. 进行身份验证
4. 通过 NetScaler Gateway 设备访问远程桌面

• 通过无客户端 VPN 或 ICA 代理模式（不带完整隧道）保护 RDP 流量。
• 通过 NetScaler Gateway 对 RDP 服务器进行 SSO（单点登录）。如果需要，还提供禁用 SSO 的选项。
  注意：
  NetScaler Gateway 不支持用于 RDP 服务器 SSO 的 Kerberos 约束委派 (KCD)。

• 强制执行 (SmartAccess) 功能，NetScaler 管理员可以通过 NetScaler Gateway 配置禁用某些 RDP 功能。
• 单一/无状态（双）网关解决方案，满足所有需求（VPN/ICA/RDP/Citrix 端点管理）。
• 与本机 Windows MSTSC 客户端的 RDP 兼容性，无需任何自定义客户端。
• 在 macOS、iOS 和 Android 上使用现有的 Microsoft 提供的 RDP 客户端。

通过无客户端 VPN 部署

通过 ICA 代理部署

强制执行详细信息

无状态（双）网关兼容性

• 用户连接到身份验证器网关 VIP 并提供凭据。
• 成功登录网关后，用户将被重定向到主页或外部门户，其中列出了用户可以访问的远程桌面资源。
• 用户选择 RDP 资源后，身份验证器网关 VIP 会收到格式为 https://vserver-vip/rdpproxy/rdptarget/listener 的请求，该请求指示用户单击的已发布资源。此请求包含用户选择的 RDP 服务器的 IP 地址和端口信息。
• 身份验证器网关处理 /rdpproxy/ 请求。由于用户已通过身份验证，此请求附带有效的网关 Cookie。
• RDPTarget 和 RDPUser 信息存储在 STA 服务器上，并生成 STA 票证。存储在 STA 服务器上的信息使用配置的预共享密钥进行加密。身份验证器网关使用网关虚拟服务器上配置的 STA 服务器之一。
• /rdpproxy/ 请求中获取的“侦听器”信息作为“fulladdress”放入 .rdp file 中，STA 票证（前缀为 STA AuthID）作为“loadbalanceinfo”放入 .rdp file 中。
• .rdp file 被发送回客户端端点。
• 本机 RDP 客户端启动并连接到 RDPListener Gateway。它在初始数据包中发送 STA 票证。
  RDPListener 网关验证 STA 票证并获取 RDPTarget 和 RDPUser 信息。要使用的 STA 服务器通过 loadbalanceinfo 中存在的“AuthID”检索。
• 创建网关会话以存储授权/审计策略。如果用户已存在会话，则会重用该会话。
• RDPListener 网关连接到 RDPTarget 并使用 CREDSSP 进行单点登录。

单网关兼容性

支持单个侦听器

• RDP 和 SSL 流量的单个侦听器。
• RDP 文件下载和 RDP 流量可以通过 NetScaler 设备上的相同 2 元组（即 IP 和端口）进行处理。

RDP 代理的许可证要求

书签

RDP 代理高级配置步骤

• 创建 RDP 服务器配置文件
• 创建 RDP 客户端配置文件
• 创建并绑定虚拟服务器
• 创建书签
• 创建或编辑会话配置文件或策略
• 绑定书签

使用 CLI 配置 RDP 代理

• 为用户添加包含目标信息的 VPN URL。
  add aaa user Administrator –password freebsd123$%^

add vpn url rdp RdpLink rdp://rdpserverinfo

add dns addrec rdpserverinfo 192.0.2.1

bind aaa user Administrator  –urlName rdp
• 为 VPN 连接配置 RDP 客户端和服务器配置文件。
  add rdp clientprofile p1 –psk citrix -redirectClipboard ENABLE

add rdp serverprofile p1 -rdpIP 192.0.2.2 -psk citrix

add vpn vserver mygateway SSL  192.0.2.2 443 –rdpserverprofile p1

set vpn parameter -clientlessVpnMode ON -defaultAuthorizationAction ALLOW -rdpClientProfileName p1

add ssl certKey gatewaykey -cert rdp_rootcert.pem  -key rdp_rootkey

bind ssl vserver mygateway -certkeyName gatewaykey
• 添加 SNIP 以实现从 NetScaler 到目标的连接。
  add ns ip 192.0.2.3  255.255.255.0 –type SNIP

使用 GUI 配置 RDP 代理

1. 导航到 NetScaler Gateway > 策略，右键单击 RDP，然后单击 启用功能。
2. 在导航窗格上单击 RDP。在右侧，选择 客户端配置文件 选项卡，然后单击 添加。
3. 输入客户端配置文件的名称并进行配置。
   
4. 在 RDP 主机字段中，输入解析为 RDP 代理侦听器的 FQDN，该 FQDN 通常与 NetScaler Gateway 设备的 FQDN 相同。
5. 在 预共享密钥 中，输入密码并单击 确定。
   
6. 输入服务器配置文件名称。
7. 输入您将绑定此配置文件的网关虚拟服务器的 IP 地址。
8. 输入您为 RDP 客户端配置文件配置的相同预共享密钥。单击 创建。
   重新输入预共享密钥密码(/en-us/netscaler-gateway/media/figure13_createrdpserverprofiles.png)
9. 如果要在无客户端访问门户页面上添加 RDP 书签，请在左侧展开 NetScaler Gateway，展开 资源，然后单击 书签。
10. 在右侧，单击 添加。
11. 为书签命名。
12. 对于 URL，输入 rdp://MyRDPServer using IP or DNS。
13. 选择使用 NetScaler Gateway 作为反向代理，然后单击 创建。
14. 根据您的要求创建书签。
    添加多个书签(/en-us/netscaler-gateway/media/figure16_createbookmarks.png)
15. 创建或编辑会话配置文件。导航到 NetScaler Gateway > 策略 > 会话。
16. 在“安全”选项卡上，将 默认授权操作 设置为 允许。或者，您可以使用授权策略来控制访问。
    设置默认身份验证操作(/en-us/netscaler-gateway/media/figure17_configuresessionprofile.png)
17. 在“远程桌面”选项卡上，选择您之前创建的 RDP 客户端配置文件。
    选择 RDP 客户端配置文件(/en-us/netscaler-gateway/media/figure18_configuresessionprofile2.png)
18. 如果要使用书签，请在“客户端体验”选项卡上，将“无客户端访问”设置为“开”。
    将无客户端访问设置为开(/en-us/netscaler-gateway/media/figure19_clientexperience.png)
19. 在“已发布的应用程序”选项卡上，确保 ICA 代理处于“关闭”状态。
    将 ICA 代理设置为关闭(/en-us/netscaler-gateway/media/figure20_publishedapplications.png)
20. 修改或创建网关虚拟服务器。
21. 在“基本设置”部分中，单击“更多”。
    设置基本设置(/en-us/netscaler-gateway/media/figure21_vpnvirtualserver.png)
22. 使用 RDP 服务器配置文件列表选择您之前创建的 RDP 服务器配置文件。
    使用 RDP 服务器配置文件(/en-us/netscaler-gateway/media/figure22_basicsettings.png)
23. 向下滚动。确保未选中“仅限 ICA”。
    将仅限 ICA 设置为关闭(/en-us/netscaler-gateway/media/figure22_ica_only.png)
24. 绑定证书。
25. 绑定身份验证策略。
26. 绑定已配置 RDP 客户端配置文件的会话策略/配置文件。
    绑定会话策略(/en-us/netscaler-gateway/media/figure23_vpnpolicybinding.png)
27. 您可以将书签绑定到 NetScaler Gateway 虚拟服务器或身份验证、授权和审计组。要绑定到 NetScaler Gateway 虚拟服务器，请在右侧的“高级设置”部分中，单击“已发布的应用程序”。
    单击已发布的应用程序(/en-us/netscaler-gateway/media/figure24_publishedapplications.png)
28. 在左侧的“已发布的应用程序”部分中，单击“无 Url”。
    设置无 URL(/en-us/netscaler-gateway/media/figure25_publishedapplications2.png)
29. 绑定您的书签。
    绑定书签(/en-us/netscaler-gateway/media/figure26_bindbookmarks.png)
30. 由于未为此 NetScaler Gateway 虚拟服务器指定“仅限 ICA”，请确保您的 NetScaler Gateway Universal 许可证已正确配置。在左侧，展开“NetScaler Gateway”，然后单击“全局设置”。
    设置全局设置(/en-us/netscaler-gateway/media/figure27_globalsettings.png)
31. 在右侧，单击“更改身份验证 AAA 设置”。
    更改身份验证设置(/en-us/netscaler-gateway/media/figure28_changeauthenticationaaasettings.png)
32. 将“最大用户数”更改为您的许可限制。
    设置最大用户数(/en-us/netscaler-gateway/media/figure29_configureaaaparameter.png)
33. 如果要使用 DNS 连接到 RDP 服务器，请确保设备上配置了 DNS 服务器（流量管理 > DNS > 名称服务器）。
    配置 DNS 服务器(/en-us/netscaler-gateway/media/figure30_dnsservers.png)
34. 如果您想使用短名称而不是 FQDN，请添加 DNS 后缀（流量管理 > DNS > DNS 后缀）。
    
35. 连接到您的网关并登录。
    
36. 如果您配置了书签，请单击书签。
    
37. 您可以将地址栏更改为 /rdpproxy/MyRDPServer。您可以输入 IP 地址（例如 rdpproxy/192.168.1.50）或 DNS 名称（/rdpproxy/myserver）。
    
38. 打开下载的 .rdp file。
    
39. 您可以通过导航到 NetScaler Gateway 策略 > RDP 来查看当前连接的用户。右侧是连接选项卡。
    

禁用 SSO 的选项

• 禁用所有流量的SSO：
  add vpn trafficpolicy <TrafficPolicyName>  "url contains rdpproxy" <TrafficActionName>
• 基于源/目标IP/FQDN禁用SSO
  add vpn trafficPolicy <TrafficPolicyName>  "HTTP.REQ.URL.CONTAINS(\"rdpproxy\") && CLIENT.IP.SRC.EQ(<IP>)" <TrafficActionName>
bind vpnvserver rdp -policy <TrafficPolicyName> -priority 10