统一网关常见问题解答
什么是统一网关?
统一网关是 NetScaler 11.0 版本中的一项新功能，它能够在一个虚拟服务器（称为统一网关虚拟服务器）上接收流量，然后根据需要，在内部将该流量定向到绑定到统一网关虚拟服务器的虚拟服务器。
统一网关功能允许最终用户通过使用单个 IP 地址或 URL（与统一网关虚拟服务器关联）访问多个服务。管理员可以释放 IP 地址并简化 NetScaler Gateway 部署的配置。
每个统一网关虚拟服务器都可以作为前端连接一个 NetScaler Gateway 虚拟服务器以及零个或多个负载平衡虚拟服务器，作为编组的一部分。统一网关通过使用 NetScaler 设备的内容切换功能来工作。
统一网关部署的一些示例：
每个负载平衡虚拟服务器都可以是托管后端服务的任何标准负载平衡服务器，例如 Microsoft Exchange 或 Citrix® ShareFile。
为什么要使用统一网关?
统一网关功能使最终用户能够通过使用单个 IP 地址或 URL（与统一网关虚拟服务器关联）访问多个服务。对于管理员而言，其优势在于他们可以释放 IP 地址并简化 NetScaler Gateway 部署的配置。
是否可以有多个统一网关虚拟服务器?
是的。您可以根据需要设置任意数量的统一网关虚拟服务器。
为什么统一网关需要内容切换?
内容切换功能是必需的，因为内容切换虚拟服务器是接收流量并在内部将其定向到适当虚拟服务器的服务器。内容切换虚拟服务器是统一网关功能的主要组件。
在 11.0 之前的版本中，内容切换可用于接收多个虚拟服务器的流量。这种用法也称为统一网关?
在 11.0 之前的版本中，支持使用内容切换虚拟服务器接收多个虚拟服务器的流量。但是，内容切换无法将流量定向到 NetScaler Gateway 虚拟服务器。
11.0 中的增强功能使内容切换虚拟服务器能够将流量定向到任何虚拟服务器，包括 NetScaler Gateway 虚拟服务器。
统一网关中的内容切换策略发生了哪些变化?
-
已为内容切换操作添加了一个新的命令行参数 "-targetVserver"。此新参数用于指定目标 NetScaler Gateway 虚拟服务器。示例：添加内容切换操作 UG_CSACT_MyUG -targetVserver UG_VPN_MyUG在 NetScaler Gateway 配置实用程序中，内容切换操作有一个新选项“目标虚拟服务器”，它可以引用 NetScaler Gateway 虚拟服务器。
-
一个新的高级策略表达式 is_vpn_url 可用于匹配 NetScaler Gateway 和特定于身份验证的请求。
统一网关目前不支持哪些 NetScaler Gateway 功能?
统一网关支持所有功能。但是，已通过 VPN 插件报告了一个小问题 (issue ID 544325)，即本机登录。在这种情况下，无缝单点登录 (SSO) 不起作用。
使用统一网关时，EPA 扫描的行为是什么?
使用统一网关时，端点分析仅针对 NetScaler Gateway 访问方法触发，而不是针对 NetScaler AAA TM 访问。如果用户尝试访问 NetScaler AAA TM 虚拟服务器，即使身份验证是在 NetScaler Gateway 虚拟服务器上完成的，也不会触发 EPA 扫描。但是，如果用户尝试获取无客户端 VPN/完整 VPN 访问权限，则会触发配置的 EPA 扫描。在这种情况下，将完成身份验证或无缝 SSO。
统一网关的许可证要求是什么?
统一网关仅支持 Advanced 和 Premium 许可证。它不适用于仅限 NetScaler Gateway 或 Standard 许可证版本。
与统一网关一起使用的 NetScaler Gateway 虚拟服务器是否需要 IP/端口/SSL 配置?
对于与统一网关虚拟服务器一起使用的 NetScaler Gateway 虚拟服务器，NetScaler Gateway 虚拟服务器上不需要 IP/端口/SSL 配置。但是，对于 RDP 代理功能，您可以将相同的 SSL/TLS 服务器证书绑定到 NetScaler Gateway 虚拟服务器。
我是否需要重新预配 NetScaler Gateway 虚拟服务器上的 SSL/TLS 证书以用于统一网关虚拟服务器?
您无需重新预配当前绑定到 NetScaler Gateway 虚拟服务器的证书。您可以自由重用任何现有 SSL 证书并将其绑定到统一网关虚拟服务器。
单一 URL 部署和多主机部署之间有什么区别？我需要哪一个?
单一 URL 是指统一网关虚拟服务器处理一个完全限定域名 (FQDN) 流量的能力。当统一网关使用其证书主题填充了 FQDN 的 SSL/TLS 服务器证书时，存在此限制。例如：ug.citrix.com
如果统一网关使用通配符服务器证书，则它可以处理多个子域的流量。例如：*.citrix.com
另一个选项是使用服务器名称指示 (SNI) 功能的 SSL/TLS 配置，以允许绑定多个 SSL/TLS 服务器证书。示例：auth.citrix.com、auth.citrix.de、auth.citrix.co.uk、auth.citrix.co.jp
单主机与多主机类似于网站通常在 Web 服务器（例如 Apache HTTP 服务器或 Microsoft Internet Information Services (IIS)）上托管的方式。如果是单主机，您可以使用站点路径切换流量，就像在 Apache 中使用别名或“虚拟目录”一样。如果是多主机，您可以使用主机头切换流量，类似于在 Apache 中使用虚拟主机的方式。
统一网关可以使用哪些身份验证机制?
所有与 NetScaler Gateway 兼容的现有身份验证机制也与统一网关兼容。
其中包括 LDAP、RADIUS、SAML、Kerberos、基于证书的身份验证等。
升级前在 NetScaler Gateway 虚拟服务器上配置的任何身份验证机制，在 NetScaler Gateway 虚拟服务器放置在统一网关虚拟服务器后面时都会自动使用。除了为 NetScaler Gateway 虚拟服务器分配一个不可寻址的 IP 地址 (0.0.0.0) 之外，没有其他配置步骤。
什么是“SelfAuth”身份验证?
SelfAuth 本身不是一种身份验证类型。SelfAuth 描述了 URL 的创建方式。一个新的命令行参数
ssotype 可用于 VPN URL 配置。示例：
> add vpn url RGB RGB "http://blue.citrix.lab/" -vServerName Blue -ssotype selfauth
SelfAuth 是
ssotype 参数的值之一。这种类型的 URL 可用于访问与 Unified Gateway 虚拟服务器不在同一域中的资源。配置书签时，可以在配置实用程序中看到此设置。
什么是“StepUp”身份验证?
当需要额外、更安全的身份验证级别才能访问 NetScaler AAA TM 资源时，您可以使用 StepUp 身份验证。在命令行中，使用 authnProfile 命令设置 authenticationLevel 参数。示例：
add authentication authnProfile AuthProfile -authnVsName AAATMVserver -AuthenticationHost auth.citrix.lab -AuthenticationDomain citrix.lab **-**AuthenticationLevel 100
此身份验证配置文件绑定到负载平衡虚拟服务器。
NetScaler AAA TM 虚拟服务器是否支持 StepUp 身份验证?
是的，支持。
什么是 login once/logout once?
Login Once：VPN 用户只需登录一次 NetScaler AAA TM 或 NetScaler Gateway 虚拟服务器。从那时起，VPN 用户可以无缝访问所有企业/云/Web 应用程序。用户无需重新进行身份验证。但是，在特殊情况下（例如 NetScaler AAA TM StepUp），会进行重新身份验证。
Logout Once：在创建第一个 NetScaler AAA TM 或 NetScaler Gateway 会话后，它将用于为该用户创建后续的 NetScaler AAA TM 或 NetScaler Gateway 会话。如果其中任何会话注销，NetScaler 设备也会注销用户的其他应用程序或会话。
可以在 Unified Gateway 级别指定通用身份验证策略，并且在负载平衡虚拟服务器级别绑定 NetScaler AAA TM 负载平衡虚拟服务器特定的身份验证吗？支持此用例的配置步骤是什么?
如果您需要为 Unified Gateway 后面的 NetScaler AAA TM 虚拟服务器指定单独的身份验证策略，则需要有一个单独的、可独立寻址的身份验证虚拟服务器（类似于普通的 NetScaler AAA TM 配置）。负载平衡虚拟服务器上的身份验证主机设置必须指向此身份验证虚拟服务器。
如何配置 Unified Gateway，以便绑定的 NetScaler AAA TM 虚拟服务器拥有自己的身份验证策略?
在此场景中，负载平衡服务器必须将身份验证 FQDN 选项设置为指向 NetScaler AAA TM 虚拟服务器。NetScaler AAA TM 虚拟服务器必须具有独立的 IP 地址，并且可从 NetScaler 和客户端访问。
NetScaler AAA TM 认证虚拟服务器是否需要用于通过 Unified Gateway 虚拟服务器进行身份验证的用户?
不需要。NetScaler Gateway 虚拟服务器甚至可以对 NetScaler AAA TM 用户进行身份验证。
您在哪里指定 NetScaler Gateway 身份验证策略——在 Unified Gateway 虚拟服务器上还是在 NetScaler Gateway 虚拟服务器上?
身份验证策略应绑定到 NetScaler Gateway 虚拟服务器。
如何在 Unified Gateway 内容交换虚拟服务器后面的 NetScaler AAA TM 虚拟服务器上启用身份验证?
在 NetScaler AAA TM 上启用身份验证，并将身份验证主机指向 Unified Gateway 内容交换 FQDN。
如何将 TM 虚拟服务器添加到内容交换后面（单个 URL 与多主机）?
为单个 URL 添加 NetScaler AAA TM 虚拟服务器与为多个主机添加它之间没有区别。在任何一种情况下，虚拟服务器都作为目标添加到内容交换操作中。单个 URL 与多主机之间的区别通过内容交换策略规则实现。
如果将绑定到 NetScaler AAA TM 负载平衡虚拟服务器的身份验证策略移到 Unified Gateway 虚拟服务器后面，会发生什么?
身份验证策略绑定到身份验证虚拟服务器，身份验证虚拟服务器绑定到负载平衡虚拟服务器。对于 Unified Gateway 虚拟服务器，Citrix 建议将 NetScaler Gateway 虚拟服务器作为单一身份验证点，这消除了在身份验证虚拟服务器上执行身份验证的需要（甚至不需要特定的身份验证虚拟服务器）。将身份验证主机指向 Unified Gateway 虚拟服务器 FQDN 可确保由 NetScaler Gateway 虚拟服务器执行身份验证。如果将身份验证主机指向 Unified Gateway 的内容交换，并且仍然绑定了身份验证虚拟服务器，则绑定到身份验证虚拟服务器的身份验证策略将被忽略。但是，如果将身份验证主机指向独立的、可寻址的身份验证虚拟服务器，则绑定的身份验证策略将生效。
如何为 NetScaler AAA TM 会话配置会话策略?
如果在 Unified Gateway 中，未为 NetScaler AAA TM 虚拟服务器指定身份验证虚拟服务器，则 NetScaler AAA TM 会话将继承 NetScaler Gateway 会话策略。如果指定了身份验证虚拟服务器，则将应用绑定到该虚拟服务器的 NetScaler AAA TM 会话策略。
NetScaler 11.0 中 NetScaler Gateway 门户有哪些变化?
在 NetScaler 11.0 之前的版本中，可以在全局级别设置单个门户自定义。给定 NetScaler 设备中的每个网关虚拟服务器都使用全局门户自定义。
在 NetScaler 11.0 中，借助门户主题功能，您可以设置多个门户主题。主题可以全局绑定，也可以绑定到特定的虚拟服务器。
NetScaler 11.0 是否支持 NetScaler Gateway 门户自定义?
使用配置实用程序，您可以使用新的门户主题功能完全自定义和创建门户主题。您可以上传不同的图像、设置配色方案、更改文本标签等。
可自定义的门户页面包括：
-
登录页面
-
端点分析页面
-
端点分析错误页面
-
后端点分析页面
-
VPN 连接页面
-
门户主页
通过此版本，您可以使用独特的门户设计自定义 NetScaler Gateway 虚拟服务器。
NetScaler 高可用性或群集部署是否支持门户主题?
是的。NetScaler 高可用性部署和群集部署支持门户主题。
我的自定义项是否会作为 NetScaler 11.0 升级过程的一部分进行迁移?
否。通过修改 rc.conf/rc.netscaler 文件或使用 10.1/10.5 中的自定义主题功能对 NetScaler Gateway 门户页面进行的现有自定义项，在升级到 NetScaler 11.0 后不会自动迁移。
在 NetScaler 11.0 中使用门户主题之前，是否有任何需要遵循的预升级步骤?
必须从 rc.conf 或 rc.netscaler 文件中删除任何现有自定义项。
另一种选择是，如果使用自定义主题，则必须将其分配为“默认”设置：
-
导航到 配置 > NetScaler Gateway > 全局设置
-
单击 更改全局设置。
-
单击 Client Experience，然后从 UI Theme 列表中选择 Default。
如何将存储在 NetScaler 实例上并由 rc.conf 或 rc.netscaler 调用的自定义项迁移到门户主题?
为 NetScaler Gateway 登录页面创建自定义主题 详细介绍了 NetScaler 9.3 和 10.0 版本（最高 10.0 build 73.5001.e）的此类配置。自 NetScaler 10.0 build 10.0 73.5002.e（包括 10.1 和 10.5）以来，UITHEME CUSTOM 参数已可用，可帮助客户在重新启动后保留其自定义项。如果自定义项存储在 NetScaler 硬盘上，并且您希望继续使用这些自定义项，请备份 11.0 GUI 文件并将其插入到现有自定义主题文件中。如果要迁移到门户主题，则必须首先在“全局设置”或“会话配置文件”中的 Client Experience 下取消设置 UITHEME 参数。或者，您可以将其设置为 DEFAULT 或 GREENBUBBLE。然后，您就可以开始创建和绑定门户主题了。
如何在升级到 NetScaler 11.0 之前导出并保存当前自定义项，以及是否可将导出的文件移动到其他 NetScaler 设备?
上传到 ns_gui_custom 文件夹的自定义文件位于磁盘上，并在升级后仍然存在。但是，这些文件可能与新的 NetScaler 11.0 内核以及作为内核一部分的其他 GUI 文件不完全兼容。因此，Citrix 建议备份 11.0 GUI 文件并自定义备份。
此外，配置实用程序中没有用于将 ns_custom_gui 文件夹导出到另一个 NetScaler 设备的功能。请使用 SSH 或 WinSCP 等文件传输实用程序将文件从 NetScaler 实例中取出。
NetScaler AAA TM 虚拟服务器是否支持门户主题?
是的。NetScaler AAA TM 虚拟服务器支持门户主题。
NetScaler Gateway 11.0 的 RDP 代理功能有哪些变化?
自 NetScaler 10.5.e 增强版发布以来，RDP 代理已进行了许多增强。在 NetScaler 11.0 中，此功能从第一个发布的版本开始即可用。
许可变更
NetScaler 11.0 中的 RDP 代理功能只能与 Premium 和 Advanced 版本一起使用。每个用户都必须获取 Citrix 并发用户 (CCU) 许可证。
启用命令
在 NetScaler 10.5.e 中，没有用于启用 RDP 代理的命令。在 NetScaler 11.0 中，已添加启用命令：
enable feature rdpproxy
必须获得此功能的许可才能运行此命令。
其他 RDP 代理更改
服务器配置文件上的预共享密钥 (PSK) 属性已成为强制性要求。
要将现有的 NetScaler 10.5.e RDP 代理配置迁移到 NetScaler 11.0，必须理解并解决以下详细信息。
如果管理员希望将现有的 RDP 代理配置添加到所选的统一网关部署中：
-
必须编辑 NetScaler Gateway 虚拟服务器的 IP 地址，并将其设置为不可寻址的 IP 地址 (0.0.0.0)。
-
任何 SSL/TLS 服务器证书、身份验证策略都必须绑定到作为所选统一网关组成部分的 NetScaler Gateway 虚拟服务器。
如何将基于 NetScaler 10.5.e 的远程桌面协议 (RDP) 代理配置迁移到 NetScaler 11.0?
选项 1：保持现有的 NetScaler Gateway 虚拟服务器及其 RDP 代理配置不变，并使用 Premium 或 Advanced 许可证。
选项 2：移动现有的 NetScaler Gateway 虚拟服务器及其 RDP 代理配置，并将其放置在统一网关虚拟服务器之后。
选项 3：将带有 RDP 代理配置的独立 NetScaler Gateway 虚拟服务器添加到现有的 Standard Edition 设备中。
如何使用 NetScaler 11.0 版本设置 NetScaler Gateway 以进行 RDP 代理配置?
使用 NS 11.0 版本部署 RDP 代理有两种选项：
-
使用外部面向的 NetScaler Gateway 虚拟服务器。这需要为 NetScaler Gateway 虚拟服务器提供一个外部可见的 IP 地址/FQDN。此选项在 NetScaler 10.5.e 中可用。
-
使用作为 NetScaler Gateway 虚拟服务器前端的 Unified Gateway 虚拟服务器。
对于选项 2，NetScaler Gateway 虚拟服务器不需要自己的 IP 地址/FQDN，因为它使用不可寻址的 IP 地址 (0.0.0.0)。
HDX™ Insight 是否与 Unified Gateway 兼容?
当 NetScaler Gateway 与 Unified Gateway 一起部署时，必须满足以下条件：
-
NetScaler Gateway 虚拟服务器必须绑定有效的 SSL 证书。
-
NetScaler Gateway 虚拟服务器必须处于 UP 状态，才能在 NetScaler ADM 上生成 AppFlow 记录，用于 HDX Insight 报告。
如何迁移我现有的 HDX Insight 配置?
无需迁移。如果 NetScaler Gateway 虚拟服务器置于 Unified Gateway 虚拟服务器之后，则绑定到 NetScaler Gateway 虚拟服务器的 AppFlow 策略会继承。
对于 NetScaler ADM 上 NetScaler Gateway 虚拟服务器的现有数据，有两种可能性：
-
如果 NetScaler Gateway 虚拟服务器的 IP 地址在迁移到 Unified Gateway 过程中分配给 Unified Gateway 虚拟服务器，则数据仍与 NetScaler Gateway 虚拟服务器关联
-
如果 Unified Gateway 虚拟服务器分配了单独的 IP 地址，则来自 NetScaler Gateway 虚拟服务器的 AppFlow 数据将链接到该新 IP 地址。因此，现有数据不属于新数据。