使用高级策略创建 VPN 策略
经典策略引擎 (PE) 和高级策略基础架构 (PI) 是 NetScaler 当前支持的两种不同的策略配置和评估框架。
高级策略基础架构包含强大的表达式语言。表达式语言可用于定义策略中的规则、定义操作的各个部分以及其他受支持的实体。表达式语言可以解析请求或响应的任何部分，还可以让您深入查看标头和有效负载。相同的表达式语言可扩展并适用于 NetScaler 支持的每个逻辑模块。
注意： 建议您使用高级策略来创建策略。
为何从经典策略迁移到高级策略?
高级策略具有丰富的表达式集，并且比经典策略提供了更大的灵活性。随着 NetScaler 的扩展并满足各种客户端的需求，支持远远超出高级策略的表达式势在必行。有关详细信息，请参阅策略和表达式。
以下是高级策略新增的功能。
-
能够访问消息正文。
-
支持许多其他协议。
-
访问系统的许多其他功能。
-
具有更多基本函数、运算符和数据类型。
-
支持解析 HTML、JSON 和 XML 文件。
-
支持快速并行多字符串匹配 (
patsets等)。
现在可以使用高级策略配置以下 VPN 策略。
-
会话策略
-
授权策略
-
流量策略
-
隧道策略
-
审计策略
此外，可以将端点分析 (EPA) 配置为身份验证功能的 nFactor。EPA 用作尝试连接到 Gateway 设备的端点设备的看门人。在 Gateway 登录页面显示在端点设备上之前，会根据 Gateway 管理员配置的资格标准检查设备是否满足最低硬件和软件要求。根据执行检查的结果授予对 Gateway 的访问权限。以前，EPA 是作为会话策略的一部分进行配置的。现在，它可以链接到 nFactor，从而在执行时间上提供更大的灵活性。有关 EPA 的更多信息，请参阅 端点策略的工作原理 主题。有关 nFactor 的更多信息，请参阅 nFactor 身份验证 主题。
用例：
使用高级 EPA 的预身份验证 EPA
预身份验证 EPA 扫描在用户提供登录凭据之前进行。
使用高级 EPA 的身份验证后 EPA
身份验证后 EPA 扫描在用户凭据验证后进行。在经典策略基础架构下，身份验证后 EPA 是作为会话策略或会话操作的一部分进行配置的。在高级策略基础架构下，EPA 扫描将配置为 nFactor 身份验证中的 EPA 因素。有关更多信息，请参阅 将 EPA 扫描作为 nFactor 身份验证中的一个因素。
使用高级策略的预身份验证和身份验证后 EPA
EPA 可以在身份验证之前和身份验证之后执行。
作为 nFactor 身份验证中一个因素的定期 EPA 扫描
在经典策略基础架构下，定期 EPA 扫描是作为会话策略操作的一部分进行配置的。在高级策略基础架构下，它可以配置为 nFactor 身份验证中 EPA 因素的一部分。
有关将定期 EPA 扫描配置为 nFactor 身份验证中的一个因素的更多信息，请参阅 将定期端点分析扫描配置为 nFactor 身份验证中的一个因素。
故障排除：
故障排除时应牢记以下几点。
-
相同类型的经典策略和高级策略（例如，会话策略）不能绑定到同一实体/绑定点。
-
对于所有 PI 策略，优先级是强制性的。
-
VPN 的高级策略可以绑定到所有绑定点。
-
具有相同优先级的高级策略可以绑定到单个绑定点。
-
如果没有选择任何已配置的授权策略，则应用在 VPN 参数中配置的全局授权操作。
-
在授权策略中，如果授权规则失败，授权操作不会被撤销。
常用高级策略等效表达式（用于经典策略）：
| 经典策略表达式 | 高级策略表达式 |
|---|---|
| ns_true | 是 |
| ns_false | 否 |
| REQ.HTTP | HTTP.REQ |
| RES.HTTP | HTTP.RES |
| 标头 "foo" | HEADER("foo") |
| CONTAINS "bar" | .CONTAINS("bar") [Note use of “..”] |
| REQ.IP | CLIENT.IP |
| RES.IP | SERVER.IP |
| SOURCEIP | SRC |
| DESTIP | 目标 |
| 请求.TCP | 客户端.TCP |
| 响应.TCP | 服务器.TCP |
| 源端口 | 源端口 |
| 目标端口 | 目标端口 |
| 状态码 | 状态 |
| 请求.SSL.客户端.证书 | 客户端.SSL.客户端_证书 |