在 NetScaler Gateway 上启用 TLS 1.3 协议

Last published : Oct 14, 2026
NetScaler Gateway 14.1 build 43.50 及更高版本引入了对最新安全标准 TLS 1.3 协议的支持，以保护 NetScaler Gateway 和 VDA 之间的连接。
注意：
  • 如果 TLS 1.3 协议失败，NetScaler Gateway 会尝试使用下一个可用的最高版本。
  • TLS 1.3 可以独立用于保护 NetScaler Gateway 和 VDA 之间的后端连接。我们建议您也将 TLS 1.3 用于前端连接。
  • 使用默认后端配置文件 (ns_default_ssl_profile_backend) 在后端连接上启用 TLS 1.3。使用默认前端配置文件 (ns_default_ssl_profile_frontend) 或自定义配置文件在前端连接上启用 TLS 1.3。有关更多信息，请参阅使用 GUI 设置 SSL 配置文件参数。
  • 默认前端和默认后端 SSL 配置文件包含所有默认密码和 ECC 曲线，以及旧配置文件中的设置。启用默认配置文件操作会自动将默认前端配置文件绑定到所有前端实体，并将默认后端配置文件绑定到所有后端实体。您可以修改默认配置文件以适应您的部署。您还可以创建自定义配置文件并将其绑定到 SSL 实体。在启用默认配置文件之前，请参阅启用默认配置文件 以了解此操作的影响。
Related information
NetScaler Gateway 上的 SSL 支持

使用 GUI 启用 TLS 1.3 协议

执行以下步骤，使用 GUI 在 NetScaler Gateway 上启用 TLS 1.3 协议。
  1. 导航到 流量管理 > SSL > 设置 > 更改高级 SSL 设置，选择 启用默认配置文件，然后单击 确定。
    启用默认配置文件
  2. 导航到 系统 > 配置文件 > SSL 配置文件。
  3. 选择 ns_default_ssl_profile_backend，然后单击编辑图标以编辑后端配置文件。
  4. 在 协议 下，选择 TLSv13，然后单击 确定。
  5. 要为前端连接启用 TLS 1.3 协议，请修改默认配置文件 ns_default_ssl_profile_frontend 或编辑现有 SSL 配置文件。
  6. 在“协议”下，选择“TLSv13”，然后单击“确定”。
    启用 TLS 1.3(/en-us/netscaler-gateway/media/nsg-tls-1-3.png)

使用 CLI 启用 TLS 1.3 协议

要在默认前端和后端配置文件上启用 TLS 1.3 协议，请在命令提示符下键入：
set ssl parameter -defaultProfile enaBLED
set ssl profile ns_default_ssl_profile_frontend -tls13 enaBLED
set ssl profile ns_default_ssl_profile_backend -tls13 enaBLED
要创建新的前端配置文件并启用 TLS 1.3 协议，请在命令提示符下键入：
add ssl profile <new SSL profile> -sslProfileType FrontEnd
set ssl profile <name> -tls13 ENABLED

兼容性矩阵

对于后端连接

下表提供了支持 TLS 1.3 以及支持 HDX Insight 的 TLS 1.3 的 VDA 平台的兼容性矩阵，确保 NetScaler Gateway 和 VDA 之间安全的端到端连接。
支持的平台 TLS 1.3 带有 HDX Insight 的 TLS 1.3
视窗 2407 及更高版本 2503 及更高版本
利努克斯 2411 及更高版本 2411 及更高版本
macOS 2507 及更高版本 2507 及更高版本
从 NetScaler Gateway 14.1 版本 build 56.x 开始，适用于 macOS 的 VDA 支持 TLS 1.3 以及带有 HDX Insight 的 TLS 1.3，前提是已在 Delivery Controller 或 Citrix Studio 上配置了 Secure HDX。有关配置 Secure HDX 的详细信息，请参阅 Secure HDX™。

对于前端连接

有关支持 TLS 1.3 的 Citrix Workspace 应用程序版本，请参阅 Citrix Workspace 应用程序功能矩阵 - 安全性。TLS 1.3 加密可确保 NetScaler Gateway 和 Citrix Workspace 应用程序之间安全的端到端连接。

限制

  • 在 NetScaler Gateway 13.1 及更早版本中，NetScaler Gateway 到 VDA 的后端连接不支持 TLS 1.3 协议。
  • TLS 1.3 协议仅在 VDA 2503 及更高版本的 Windows 和 Linux 平台上受支持。
  • NetScaler FIPS 设备不支持 TLS 1.3。
  • TLS 1.3 握手仅支持具有 1024 位及更大密钥的 RSA 证书。

验证 TLS 1.3 加密状态

后端连接

对于后端连接，使用以下命令检查 TLS 1.3 加密状态：
ctxsession -v
排除后端连接故障(/en-us/netscaler-gateway/media/tls-1-3-backend.png)

前端连接

对于前端连接，请在连接中心（适用于 Windows 和 Linux）或 Citrix Viewer（适用于 macOS）中验证 TLS 1.3 加密状态。
排除前端连接故障(/en-us/netscaler-gateway/media/tls-1-3-frontend.png)

适用于 Windows 的 Citrix Workspace™ 应用程序

  1. 右键单击通知区域中的 Citrix Workspace 应用程序图标。
  2. 导航到 连接中心 > 首选项。
  3. 在出现的 客户端连接状态 屏幕中验证加密状态。
CWA Windows 中的连接中心(/en-us/netscaler-gateway/media/connection-center-windows.png)

适用于 Linux 的 Citrix Workspace 应用程序

  1. 在 Citrix Workspace 应用程序中导航到 菜单 > 连接中心。活动会话将列在 连接中心 中。
  2. 选择所需的会话并在出现的 服务器属性 屏幕中验证加密状态。
CWA Linux 中的连接中心(/en-us/netscaler-gateway/media/connection-center-linux.png)

适用于 macOS 的 Citrix Workspace 应用程序

  1. 导航到 Citrix Viewer > 关于 Citrix Viewer。
  2. 验证出现的 Citrix Viewer 屏幕中的加密状态。
CWA macOS 中的连接中心

参考资料

有关 TLS 1.3 协议的更多信息，请参阅 支持 TLS 1.3 协议。