始终在线
NetScaler Gateway 的 Always On 功能可确保用户始终连接到企业网络。这种持久的 VPN 连接是通过自动建立 VPN 隧道来实现的。
注意
Always On 功能支持 NetScaler 12.0 Build 51.24 及更高版本的强制门户。
何时使用 Always On
当您需要根据用户位置提供无缝 VPN 连接并阻止未连接到 VPN 的用户访问网络时，请使用 Always On。
以下场景说明了 Always On 的使用。
-
员工在企业网络外部启动笔记本电脑，需要帮助建立 VPN 连接。解决方案： 当笔记本电脑在企业网络外部启动时，Always On 会无缝建立隧道并提供 VPN 连接。
-
使用 VPN 连接的员工进入企业网络。员工已切换到企业网络，但仍连接到 VPN 隧道，这不是理想状态。解决方案： 当员工进入企业网络时，Always On 会拆除 VPN 隧道，并将员工无缝切换到企业网络。
-
员工移出企业网络并合上笔记本电脑（未关机）。员工在恢复使用笔记本电脑时需要帮助建立 VPN 连接。解决方案： 当员工移出企业网络时，Always On 会无缝建立隧道并提供 VPN 连接。
-
企业希望在其用户未连接到 VPN 隧道时规范其网络访问。解决方案： 根据配置，Always On 会限制访问，允许用户仅访问网关网络。
了解 Always On 框架
Always On 自动将用户连接到客户端之前已建立的 VPN 隧道。用户首次需要 VPN 隧道时，必须连接到 NetScaler Gateway URL 并建立隧道。Always On 配置下载到客户端后，此配置将驱动后续隧道的建立。
Citrix Secure Access™ 客户端可执行文件始终在客户端计算机上运行。当用户登录或网络发生变化时，Citrix Secure Access 客户端会确定用户笔记本电脑是否在企业网络上。根据位置和配置，Citrix Secure Access 客户端会建立隧道或拆除现有隧道。
只有在用户登录计算机后才启动隧道建立。Citrix Secure Access 客户端使用客户端计算机的凭据向网关服务器进行身份验证并尝试建立隧道。
隧道的自动重新建立
当 NetScaler Gateway 拆除 VPN 隧道时，将触发隧道的自动重新建立。
注意
当端点分析失败时，NetScaler Gateway 客户端不会重新尝试建立隧道，但会显示错误消息。如果出现身份验证失败，NetScaler Gateway 客户端会提示用户输入凭据。
无缝隧道建立支持的用户身份验证方法
支持的用户身份验证方法如下：
-
用户名 + AD 密码：如果使用 Windows 用户名和密码进行身份验证，Citrix Secure Access 客户端将使用这些凭据无缝建立隧道。
-
用户证书：如果使用用户证书进行身份验证，并且客户端计算机上只有一个证书，Citrix Secure Access 客户端将使用此证书无缝建立隧道。如果安装了多个客户端证书，则在用户选择首选证书后建立隧道。Citrix Secure Access 客户端将使用此首选证书用于后续隧道。如果智能卡共享用户证书，则如果证书是动态安装在存储中的，而不是存储中已有的证书，则无法实现自动登录。
-
用户证书和用户名 + AD 密码：此身份验证方法是前面描述的身份验证方法的组合。
注意
支持所有其他身份验证机制，但对于任何其他身份验证方法，隧道建立都不是无缝的。
Always On 的配置要求
企业管理员必须对托管设备强制执行以下操作：
-
用户不得终止特定配置的进程/服务
-
用户不得卸载特定配置的软件包
-
用户不得更改特定的注册表项
注意
如果用户具有管理权限（例如在非托管设备的情况下），该功能可能无法按预期工作。
启用 Always On 功能时的注意事项
在启用 Always On 功能之前，请查看以下部分。
主要网络访问：隧道建立后，到企业网络的流量根据分流隧道配置决定。未提供其他配置来覆盖此行为。
客户端计算机的代理设置：连接到网关服务器时，客户端计算机的代理设置将被忽略。
注意
NetScaler 设备代理配置不会被忽略。只有客户端计算机的代理设置会被忽略。系统上配置了代理的用户会收到通知，告知 VPN 插件已忽略其代理设置。
配置 Always On
要配置 Always On，请在 NetScaler Gateway 设备上创建 Always On 配置文件并应用该配置文件。
要创建 Always On 配置文件：
-
在 NetScaler GUI 中，导航到 Configuration > NetScaler Gateway > Policies > AlwaysON。
-
在 AlwaysON Profiles 页面上，单击 Add。
-
在 创建 AlwaysON 配置文件 页面上，输入以下详细信息：
-
名称 – 配置文件的名称。
-
**Location Based VPN (client-side registry name: LocationDetection) – Select one of the following settings:
-
远程：使客户端能够检测其是否在企业网络中，如果不在企业网络中则建立隧道。远程是默认设置。
-
随处：让客户端跳过位置检测，无论客户端位置如何都建立隧道。
-
-
客户端控制 – 选择以下设置之一：
-
拒绝：阻止用户注销并连接到另一个网关。拒绝是默认设置。
-
允许：使用户能够注销并连接到另一个网关。
-
-
VPN 故障时的网络访问 (客户端注册表名称: AlwaysOn) – 选择以下设置之一：
-
完全访问：允许在隧道未建立时网络流量流向客户端和从客户端流出。完全访问是默认设置。
-
仅限网关：阻止在隧道未建立时网络流量流向客户端或从客户端流出。但是，允许流向或流出网关 IP 地址的流量。注意： 在 仅限网关 模式下，只有虚拟服务器、DNS 和 DHCP 流量未被阻止。要解除阻止其他网站、IP 地址范围或 IP 地址，您必须使用以分号分隔的 FQDN、IP 地址范围或 IP 地址列表来设置 AlwaysOnAllowlist 注册表。 例如：mycompany.com,mycdn.com,10.120.67.0-10.120.67.255,67.67.67.67
-
-
-
单击 创建 完成配置文件创建。
要应用 Always On 配置文件：
-
在 NetScaler 界面中，选择 配置 > NetScaler Gateway > 全局设置。
-
在“全局设置”页面上，单击“更改全局设置”链接，然后选择“客户端体验”选项卡。
-
从“AlwaysON 配置文件名称”下拉菜单中，选择新创建的配置文件，然后单击“确定”。
注意： 可以在会话配置文件中进行类似配置，以在组级别、服务器级别或用户级别应用策略。
关于 IIP 的说明
机器级隧道使用基于证书的身份验证，并且创建的会话将证书的通用名称作为用户名。因此，如果设备证书具有唯一的通用名称，则不同机器的会话将具有不同的用户名，从而具有不同的 IIP。请确保生成具有唯一名称的设备证书。理想情况下，您必须使用机器名称作为设备证书的通用名称。
管理员用户和非管理员用户的不同配置行为摘要
下表总结了不同配置的行为。它还详细说明了某些用户操作的可能性，这些操作可能会影响 Always On 功能。
| networkAccessONVPNFailure | 客户端控制 | 非管理员用户 | 管理员用户 |
|---|---|---|---|
fullaccess |
允许 | 隧道自动建立。用户可以注销并保持脱离网络。用户还可以指向另一个 NetScaler Gateway。 | 隧道自动建立。用户可以注销并保持脱离企业网络。用户还可以指向另一个 NetScaler Gateway。 |
fullaccess |
拒绝 | 隧道会自动建立。用户无法注销或指向其他 NetScaler Gateway。 | 隧道会自动建立。用户可以卸载 Citrix Secure Access 客户端或移动到其他 NetScaler Gateway。 |
| onlyToGateway | 允许 | 隧道会自动建立。用户可以注销（无网络访问）。用户还可以指向另一个 NetScaler Gateway，在这种情况下，访问权限仅授予新指向的 NetScaler Gateway。 | 隧道会自动建立。用户可以卸载 Citrix Secure Access 客户端或移动到其他 NetScaler Gateway。 |
| onlyToGateway | 拒绝 | 隧道会自动建立。用户无法注销或指向其他 NetScaler Gateway。 | 隧道会自动建立。用户可以卸载 Citrix Secure Access 客户端或移动到其他 NetScaler Gateway。 |
在“始终在线”关闭时允许选定的 URL
即使在“始终在线”关闭且网络被锁定时，用户也可以访问一些网站。管理员可以使用 AlwaysOnAllowlist 注册表添加在“始终在线”关闭时要启用访问的网站。
注意：
-
AlwaysOnAllowlist 注册表从 13.0 build 47.x 及更高版本开始支持。
-
AlwaysOnAllowlist 注册表位置是 Computer\HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\Secure Access Client。
-
通配符 URL/FQDN 在 AlwaysOnAllowlist 注册表中不受支持。
设置 AlwaysOnAllowlist 注册表
将 AlwaysOnAllowlist 注册表设置为以分号分隔的 FQDN、IP 地址范围或您希望允许访问的 IP 地址列表。
示例： example.citrix.com;192.0.2.0;192.0.2.100-192.0.2.255
下图显示了一个 AlwaysOnAllowlist 注册表示例。
