NetScaler Gateway Windows VPN 客户端注册表项

Last published : Oct 14, 2026
VPN 客户端注册表项位于 HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\Secure Access Client 下。下表列出了 NetScaler Gateway Windows VPN 客户端注册表项、值以及每个值的简要说明。
注册表项 注册表类型 注册表控制 值和说明 默认值
addedRoutes/modifiedRoutes REG_SZ 由 Citrix Secure Access 客户端管理。 为内部插件通信而创建。用户不得修改此项。 此注册表项没有默认值。
AlwaysOnService REG_DWORD 管理员可以通过组策略对象 (GPO) 使用组策略管理控制台 (GPMC) 或 System Center Configuration Manager (SCCM) 推送来部署此注册表项。
  • 1 => 建立机器级隧道，但不建立用户级隧道。
  • 2 => 在任何给定时间建立机器级隧道或用户级隧道。
  • 3 => 建立机器级隧道和用户级隧道，以便在 Citrix Secure Private Access 中为已加入域的计算机启用多会话操作系统。
    注意： 多会话操作系统功能支持处于预览阶段。
此注册表没有默认值。
AlwaysOnURL REG_SZ
您可以通过以下两种方式之一控制此注册表。
  • 管理员可以通过 GPO 使用 GPMC 或 SCCM 推送部署此注册表（或）
  • 使用 CLI。有关详细信息，请参阅注释*。
 用户希望连接的 NetScaler Gateway 虚拟服务器的 URL。示例：https://xyz.companyDomain.com 此注册表没有默认值，因为它配置用于自定义解决方案。
AlwaysOn REG_DWORD 使用 CLI。有关详细信息，请参阅注释*。
  • 1 => 允许在 VPN 故障时进行网络访问。
  • 2=> 在 VPN 故障时阻止网络访问。
 此注册表没有默认值。
AlwaysOnAllowlist REG_SZ 管理员可以使用 GPMC 或 SCCM 推送通过 GPO 部署此注册表。 由分号分隔的 FQDN、IP 地址范围或 IP 地址列表，在 Always On 严格模式下由驱动程序允许。示例：example.citrix.com;192.0.2.0;192.0.2.100-192.0.2.255 空或 NULL
ClientControl REG_DWORD 使用 CLI。有关详细信息，请参阅注释*。
  • 1 => 允许用户注销或连接到其他网关。
  • 0 => 阻止用户注销或连接到其他网关。
 1
ConfigSize REG_DWORD 管理员可以使用 GPMC 或 SCCM 推送通过 GPO 部署此注册表。此注册表仅用于 Citrix Secure Private Access。 Windows 客户端默认支持 64 KB 的配置文件大小。使用此注册表可增加配置文件大小。
如果配置文件大小超过 64 KB 的默认值，则对于每个额外的 64 KB，将 ConfigSize 注册表值设置为 5 倍 64 KB（以字节为单位）。
例如，如果您要额外增加 64 KB，则必须将注册表值设置为 64 x 1024 x 5 = 327680。同样，如果您要增加 128 KB，则必须将注册表值设置为 64 x 1024 x (5+5) = 655360。
64 KB
已连接 REG_DWORD 由 Citrix Secure Access™ 客户端管理。 连接成功时，此键设置为 1，否则设置为 0。此键供内部使用。用户不得修改此键。 此注册表没有默认值。
DisableCredProv REG_DWORD 管理员可以使用 GPMC 或 SCCM 推送通过 GPO 部署此注册表。 启用 AlwaysOn VPN before Windows Logon 后，Windows VPN 插件会添加凭据提供程序以在登录屏幕上显示隧道状态。如果不需要此附加功能，请创建此注册表并将其设置为 1。 0
DisableIconHide REG_DWORD 使用 CLI：set vpn parameter iconWithReceiver ON
  • 1 => Citrix Workspace 应用程序和 NetScaler Gateway 插件显示在任务栏上。
 0
0 => NetScaler Gateway 插件图标已与适用于 Windows 的 Citrix Workspace 应用程序集成。当完整的 VPN 会话运行时，NetScaler Gateway 插件在任务栏上不可见。
DisableDNSRoutes REG_DWORD 管理员可以使用 GPMC 或 SCCM 推送通过 GPO 部署此注册表。
  • 0 => 默认值。如果 DNS 服务器与物理接口的默认网关不同，VPN 插件会为 DNS 服务器添加路由。但是，根据 Windows 客户端计算机的网络拓扑，DNS 服务器路由可能并非总是必需的。
 0
1 => VPN 插件不为 DNS 服务器添加显式路由。
DisallowCaptivePortals REG_DWORD 管理员可以使用 GPMC 或 SCCM 推送通过 GPO 部署此注册表。
  • 1 => VPN 插件在启动 VPN 会话之前，通过尝试连接到 Microsoft Connect test 页面来检查强制门户。
  • 0 => VPN 插件跳过强制门户检查。
 0
DisableIntuneDeviceEnrollment REG_DWORD 管理员可以使用 GPMC 或 SCCM 推送通过 GPO 部署此注册表。 如果设置为 1，则不执行 Intune 设备注册。 0
DisableWebViewForAutoLogon REG_DWORD 管理员可以使用 GPMC 或 SCCM 推送或通过功能标志通过 GPO 部署此注册表。
  • 1 => 在“始终开启”模式下运行时，隐藏设备状态或身份验证屏幕。
  • 0 => 在“始终开启”模式下运行时，显示设备状态或身份验证屏幕。
 0
EnableAdminConfigFetch REG_DWORD 管理员可以使用 GPMC 或 SCCM 推送通过 GPO 部署此注册表。
在客户端启用客户端应用程序管理设置。
  • 0 => 禁用客户端应用程序管理功能。
  • 1 => 启用客户端应用程序管理功能。
 0
EnableAntiDllProtection REG_DWORD 管理员可以使用 GPMC 或 SCCM 推送通过 GPO 部署此注册表。
  • 1 => 启用反 DLL 注入安全增强功能。
  • 0 => 禁用反DLL注入安全增强功能。
 0
EnableAutoUpdate REG_DWORD 管理员可以通过GPMC或SCCM推送，通过GPO部署此注册表。
用于从客户端控制插件更新功能。
  • 0 => 禁用自动更新功能。
  • 1 => 启用自动更新功能。
    注意：
    此注册表项位于 HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\Secure Access Client\AutoUpdate 下。
0
EnableContextualAccess REG_DWORD 管理员可以通过 GPO 使用 GPMC 或 SCCM 推送或通过功能标志部署此注册表。
  • 0 => 禁用 Secure Private Access 中的上下文访问
  • 1 => 启用 Secure Private Access 中的上下文访问
 0
EnableEdgeWebview REG_DWORD 管理员可以通过 GPO 使用 GPMC 或 SCCM 推送部署此注册表。
  • 0 => 禁用 微软 Edge WebView。
  • 1 => 启用 微软 Edge WebView。
 1
EnableKerberosAuth REG_DWORD 管理员可以通过 GPO 使用 GPMC 或 SCCM 推送部署此注册表。
  • 0 => 默认值。
  • 1 => VPN 客户端使用 Kerberos 身份验证方法进行自动登录。
 0
EnableMonitorDuringSleep REG_DWORD 管理员可以通过 GPO 使用 GPMC 或 SCCM 推送部署此注册表。
  • 0 => 当最终用户计算机中的电源事件被修改时，禁用对睡眠和唤醒事件的监控。
  • 1 => 即使最终用户计算机中的电源事件被修改，也启用对睡眠和唤醒事件的监控。
 0
EnableMultiSessionFlow REG_DWORD 管理员可以使用 GPMC 或 SCCM 推送通过 GPO 部署此注册表。
  • 0 => 在 Citrix Secure Private Access 中禁用对多会话操作系统的访问
  • 1 => 在 Citrix Secure Private Access 中启用对多会话操作系统的访问
 此注册表没有默认值，因为它配置用于自定义解决方案。
EnableTCPDNS REG_DWORD 管理员可以使用 GPMC 或 SCCM 推送通过 GPO 部署此注册表。
  • 0 => 禁用对基于 TCP 的 DNS 请求的拆分 DNS 支持。
  • 1 => 启用对基于 TCP 的 DNS 请求的拆分 DNS 支持。
 1
EnableVA REG_DWORD 由 Citrix Secure Access 客户端管理。 此键在内部使用，如果存在 IIP 时必须启用 Citrix 虚拟适配器。用户不得修改此键。 1
EnableWebModuleUI REG_DWORD 管理员可以通过 GPMC 或 SCCM 推送或通过功能标志，使用 GPO 部署此注册表。
  • 1 => 启用带有 通知中心 和集成 WebView 的增强型 UI。
  • 0 => 禁用增强型 UI。
 0
EnableWFP REG_DWORD 管理员可以通过 GPMC 或 SCCM 推送或通过功能标志，使用 GPO 部署此注册表。
  • 1 => VPN 插件使用 WFP。从适用于 Windows 的 Citrix Secure Access 客户端 25.1.1.27 版本开始，WFP 默认启用。
  • 0 => VPN 插件使用 DNE。
 1
ExcludeDomainsFromRemoteDns REG_SZ 管理员可以使用 GPMC 或 SCCM 推送通过 GPO 部署此注册表。 排除 Citrix Secure Access 客户端通过远程 DNS 服务器执行的 DNS 解析。
如果 example.com 是一个内部网域，并且您想排除 sshhost.example.com、rdphost.example.com 或 *.ftphost.example.com 等特定应用程序，请使用此注册表。*.ftphost.example.com 是一个通配符模式，匹配 ftphost.example.com 下的任何子域。
请务必根据您的要求调整域名和模式。完成更改后，请重新启动 Citrix Secure Access 或系统以使设置生效。
此注册表没有默认值，因为它配置用于自定义解决方案。
ExcludeDomainsFromTunnel (预览) REG_SZ 管理员可以通过使用 GPMC 或 SCCM 推送的 GPO 部署此注册表。 排除特定域的流量通过 Citrix Secure Access 客户端进行隧道传输。如果 example.com 是一个内部网域，并且您想排除 sshhost.example.com、rdphost.example.com 或 *.ftphost.example.com 等特定应用程序，请使用此注册表。请务必将注册表值设置为逗号分隔的域名或模式列表。 此注册表没有默认值，因为它配置用于自定义解决方案。
HideLoginLogoutScriptsPrompt REG_DWORD 管理员可以通过使用 GPMC 或 SCCM 推送的 GPO 或通过功能标志部署此注册表。
  • 1 => 隐藏登录/注销脚本执行。
  • 0 => 登录/注销脚本执行在 Citrix 安全访问 隧道建立或终止期间可见。
 0
HttpTimeout REG_DWORD 管理员可以使用 GPMC 或 SCCM 推送通过 GPO 部署此注册表。 HTTP 超时以秒为单位配置。如果未配置超时，则使用默认超时。默认超时值为 100 秒，基于 Windows 标准。 100 秒
InstallDir REG_SZ 由 Citrix Secure Access 客户端管理。 Citrix Secure Access 客户端的安装位置。 "C:\程序文件\Citrix\安全访问客户端\"
IsAutoUpdateControlledViaAdmin REG_DWORD 管理员可以使用 GPMC 或 SCCM 推送通过 GPO 部署此注册表。
用于选择哪些计算机必须自动获取适用于 Windows 的 Citrix Secure Access 客户端的 Beta 版本或生产版本的更新。
  • 0 => 最终用户可以选择更新到 Beta 版或最新生产版本。
 默认禁用。
最终用户无法控制选择测试版和生产版。
注意：
如果管理员使用 EnableAutoUpdate 注册表禁用自动更新功能，则 IsAutoUpdateControlledViaAdmin 注册表无效。
  • IsAutoUpdateControlledViaAdmin 注册表位于 HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\Secure Access Client\AutoUpdate 下。
locationDetection REG_DWORD 使用 CLI。有关详细信息，请参阅注释*。
  • 1 => 启用位置检测。
  • 0 => 禁用位置检测。
 此注册表没有默认值，并且仅在启用“始终开启”模式时才进行配置。
NoDHCPRoute REG_DWORD
  1. 在 NetScaler 设备上，创建一个名为 pluginCustomization.json 的新文件，其值为 \{ "NoDHCPRoute" : true }。
  2. 将 pluginCustomization.json 文件放置在 /netscaler/ns_gui/vpn 和 /var/netscaler/gui/vpn 文件夹中。
 如果设置为 1，则不添加 DHCP 服务器路由。 此注册表没有默认值，因为它根据网络拓扑进行自定义。
overrideIPV6DnsDrop REG_DWORD 管理员可以使用 GPMC 或 SCCM 推送通过 GPO 部署此注册表。
  • 1 => 允许 IPv6 DNS 流量通过 VPN。
  • 0 => 限制 IPv6 DNS 流量。
 此注册表没有默认值，因为它根据网络拓扑进行自定义。
ProductVersion REG_SZ 由 Citrix Secure Access 客户端管理。 当前安装的 Citrix Secure Access 客户端版本。 产品版本信息
ProductCode REG_SZ 由 Citrix Secure Access 客户端管理。 此密钥供内部使用。用户不得修改此密钥。 {B04137FF-B5C9-4058-ACEB-04118790118D}
secureDNSUpdate REG_DWORD 管理员可以通过 GPO 使用 GPMC 或 SCCM 推送部署此注册表。
  • 0 => VPN 插件只尝试不安全的 DNS 更新。
  • 1 => VPN 插件首先尝试不安全的 DNS 更新。如果不安全的 DNS 更新失败，VPN 插件会尝试安全的 DNS 更新。这是从 21.3.1.2 Windows 插件版本开始的默认行为。
  • 2 => VPN 插件只尝试安全的 DNS 更新。
 1
SecureChannelResetTimeoutSeconds REG_DWORD 管理员可以使用 GPMC 或 SCCM 推送通过 GPO 部署此注册表。 默认情况下，此注册表值未设置或添加。当 SecureChannelResetTimeoutSeconds 的值为 0xFFFFFFFF 或注册表中不存在时，VPN 插件会等待 SecureChannelReset() API 调用完成，然后才开始隧道传输数据流量。这是默认行为。管理员必须在客户端上设置此注册表，以便 VPN 插件在等待 API 调用完成指定时间后开始隧道传输数据流量。 此注册表没有默认值，因为它配置用于自定义解决方案。
SecureAccessLogInScript REG_SZ 管理员可以使用 GPMC 或 SCCM 推送通过 GPO 部署此注册表。 Citrix Secure Access 服务在连接到 Citrix Secure Private Access 服务时，使用此注册表项访问登录脚本配置。有关详细信息，请参阅 登录和注销脚本配置注册表。 此注册表没有默认值，因为它配置用于自定义解决方案。
SecureAccessLogOutScript REG_SZ 管理员可以使用 GPMC 或 SCCM 推送通过 GPO 部署此注册表。 Citrix Secure Access 服务在连接到 Citrix Secure Private Access 服务时，使用此注册表项访问注销脚本配置。有关详细信息，请参阅 登录和注销脚本配置注册表。 此注册表没有默认值，因为它配置用于自定义解决方案。
suffixList REG_SZ 使用 CLI: add dns suffix 内网域名的分号分隔列表。在启用位置检测时使用。 从服务器上配置的 DNS 后缀中检索值。
SicBeginPort REG_DWORD
  1. 在 NetScaler 设备上，创建一个名为 pluginCustomization.json 的新文件，其值为 \{"SicBeginPort" : 51000}。
  2. 将 pluginCustomization.json 文件放置在 /netscaler/ns_gui/vpn 和 /var/netscaler/gui/vpn 文件夹中。
 避免在使用端口在 Citrix Secure Access 客户端和客户端计算机上的第三方应用程序之间创建套接字时可能出现的冲突。允许的范围是 49152–64535（十六进制格式为 C000 到 FC17）。VPN 客户端仅在 EnableWFP 也设置为 1 时，才使用从 SicBeginPort 开始的最多 1000 个端口。 此注册表没有默认值，因为它配置用于自定义解决方案。
userCertCAList REG_SZ 管理员可以使用 GPMC 或 SCCM 推送通过 GPO 部署此注册表。 在Always On服务中使用，客户可以在其中指定选择客户端证书的CA列表。 此注册表没有默认值，因为它配置用于自定义解决方案。
UserTunnelFallbackEnabled REG_DWORD 管理员可以通过GPMC或SCCM推送，通过GPO部署此注册表。 当机器隧道无法建立时，Always On VPN的备用机制。如果UserTunnelFallbackEnabled注册表项已启用，即使机器隧道无法建立，Citrix Secure Access客户端也会自动尝试形成用户隧道。
如果设置为1，则启用UserTunnelFallbackEnabled参数。
此注册表没有默认值，因为它配置用于自定义解决方案。
smartCardProviders REG_SZ 管理员可以通过GPMC或SCCM推送，通过GPO部署此注册表。 分号分隔的智能卡提供商列表。 空或 NULL
注意：
*使用以下命令通过 CLI 应用 AlwaysOnURL、AlwaysOn、ClientControl 和 locationDetection 注册表项：
add alwaysONProfile <alwaysONProfileName>-clientControl ( ALLOW | DENY )-locationBasedVPN ( Remote | Everywhere )-networkAccessOnVPNFailure ( onlyToGateway | fullAccess )
重要：
  • 您可以根据部署应用注册表项。例如，AlwaysOnService 注册表项仅适用于 Always on 服务，而 ClientControl 注册表项不适用于 Always on 服务。有关更多详细信息，请参阅各个部署文档。
  • secureDNSUpdate 仅适用于已加入域的客户端设备。
  • 对于适用于 Windows 23.1.1.8 及更高版本的 Citrix Secure Access 客户端，注册表项名称为 overrideIPV6DnsDrop。对于适用于 Windows 22.10.1.9 及更早版本的 Citrix Secure Access 客户端，注册表项名称为 overrideIP6DnsDrop。
  • 从适用于 Windows 24.8.1.15 的 Citrix Secure Access 客户端开始，注册表项 DisableGA、ForcedLogging 和 OverrideSpoofIPRange 已弃用。
  • 从适用于 Windows 24.8.1.19 的 Citrix Secure Access 客户端开始，管理员可以使用 EnableMultiSessionFlow 注册表在 Citrix Secure Private Access 中启用云托管多会话 VDI，以便根据其位置、设备和其他因素对资源进行上下文访问。对于已加入域的计算机，请同时使用 EnableMultiSessionFlow 和 AlwaysOnService 注册表。
  • 从适用于 Windows 24.11.1.17 的 Citrix Secure Access 客户端开始，管理员可以使用注册表 EnableAutoUpdate 和 IsAutoUpdateControlledViaAdmin 启用自动更新功能，并选择哪些计算机必须自动获取早期访问版本或生产版本的更新。由于自动更新功能是在适用于 Windows 24.11.1.17 的 Citrix Secure Access 客户端中引入的，因此管理员可以在后续版本中使用此功能。
  • 从适用于 Windows 24.11.1.17 的 Citrix Secure Access 客户端开始，管理员可以使用 EnableContextualAccess 注册表在 Secure Private Access 中启用上下文访问功能。上下文访问功能使管理员能够根据用户上下文（例如网络位置、地理位置和设备状态）动态实施 ZTNA 策略。
  • 对于适用于 Windows 24.8.1.19 之前的 Citrix Secure Access 客户端版本，管理员可以使用 EnableEdgeWebview 注册表启用 Microsoft Edge WebView。
  • 从适用于 Windows 25.11.1.12 的 Citrix Secure Access 客户端版本开始，管理员可以使用 EnableWebModuleUI 注册表启用增强型 UI，其中包含通知中心、集成 WebView 和强制门户支持。
  • 从 Citrix Secure Access 客户端版本 25.11.1.12 开始，管理员可以使用 EnableAntiDllProtection 注册表启用反 DLL 注入安全增强功能。启用后，它可保护 Citrix Secure Access 客户端免受某些未经授权的动态链接库 (DLL) 或不受信任的模块的侵害。如果注入了此类不受信任的模块，Citrix Secure Access 客户端会检测到这些干预并阻止模块加载。此外，如果在 Citrix Secure Access 启动期间检测到任何不受信任或恶意 DLL，它会生成通知并终止应用程序启动。
  • 从 Citrix Secure Access 客户端版本 25.11.1.12 开始，管理员可以配置 HideLoginLogoutScriptsPrompt 注册表，以确保在 Citrix Secure Access 隧道建立或终止期间执行登录或注销脚本时，命令提示符不会闪烁。
  • 从 Citrix Secure Access 客户端版本 25.11.1.12 开始，管理员可以配置 DisableWebViewForAutoLogon 注册表，以确保 Citrix Secure Access 客户端在“始终开启”模式下运行时隐藏设备状态或身份验证屏幕。此功能仅在新 UI 中受支持，新 UI 是使用 EnableWebModuleUI 注册表启用的。
  • 从适用于 Windows 的 Citrix Secure Access 客户端版本 25.11.1.12 开始，管理员必须配置 EnableAdminConfigFetch 注册表以在客户端启用客户端应用程序管理设置，或联系 Citrix 支持。有关详细信息，请参阅 Citrix Secure Access - 客户端应用程序管理。
  • UserTunnelFallbackEnabled 注册表从适用于 Windows 的 Citrix Secure Access 客户端版本 26.1.1.9 开始提供。
Related information
NetScaler Gateway 设备上的 VPN 配置