使用 NetScaler Gateway 配置无客户端 VPN 访问

Last published : Oct 14, 2026
无客户端访问允许用户获得所需的访问权限，而无需安装用户软件，例如 Citrix Secure Access™ 客户端或 Receiver。用户可以使用其 Web 浏览器连接到 Web 应用程序，例如 Outlook Web Access。
您可以使用以下步骤配置无客户端访问：
  • 全局启用无客户端访问，或通过使用绑定到用户、组或虚拟服务器的会话策略启用。
  • 选择 Web 地址编码方法。
要仅为特定虚拟服务器启用无客户端访问，请全局禁用无客户端访问，然后创建会话策略以启用它。
如果您使用 NetScaler Gateway 向导配置设备，则可以选择在向导中配置无客户端访问。向导中的设置将全局应用。在 NetScaler Gateway 向导中，您可以配置以下客户端连接方法：
  • Citrix Secure Access 客户端。用户只能使用 Citrix Secure Access 客户端登录。
  • 使用 Citrix Secure Access 客户端并允许访问场景回退。用户使用 Citrix Secure Access 客户端登录到 NetScaler Gateway。如果用户设备未能通过端点分析扫描，则允许用户使用无客户端访问登录。发生这种情况时，用户对网络资源的访问权限将受到限制。
  • 允许用户使用 Web 浏览器和无客户端访问登录。用户只能通过无客户端访问登录，并且对网络资源的访问权限受到限制。
Related information
NetScaler Gateway 设备上的 VPN 配置
通过 NetScaler Gateway 进行高级无客户端 VPN 访问为用户配置域访问SharePoint 2003、SharePoint 2007 和 SharePoint 2013 的无客户端 VPN 访问启用无客户端 VPN 访问持久性 Cookie

无客户端 VPN 访问策略的工作原理

您可以通过创建策略来配置对 Web 应用程序的无客户端访问。您可以在配置实用程序中配置无客户端访问策略的设置。无客户端访问策略由规则和配置文件组成。您可以使用 NetScaler Gateway 附带的预配置无客户端访问策略。您还可以创建自己的自定义无客户端访问策略。
NetScaler Gateway 为以下各项提供预配置策略：
  • Outlook 网页访问 和 Outlook 网页应用
  • SharePoint 2007
  • 所有其他 Web 应用程序
注意：
OWA 2016 和 SharePoint 2016 仅支持使用高级无客户端访问。
请记住预配置的无客户端访问策略的以下特点：
  • 它们是自动配置的，无法更改。
  • 每个策略都在全局级别绑定。
  • 除非您在全局启用无客户端访问或通过创建会话策略启用无客户端访问，否则不会强制执行每个策略。
  • 即使您未启用无客户端访问，也无法删除或修改全局绑定。
对其他 Web 应用程序的支持取决于您在 NetScaler Gateway 上配置的重写策略。Citrix 建议测试您创建的任何自定义策略，以确保应用程序的所有组件都成功重写。
如果您允许来自 Receiver for Android、Receiver for iOS 或 Citrix Secure Hub™ 的连接，则必须启用无客户端访问。对于在 iOS 设备上运行的 Citrix Secure Hub，您还必须在会话配置文件中启用安全浏览。安全浏览和无客户端访问协同工作，以允许来自 iOS 设备的连接。如果用户不使用 iOS 设备连接，则无需启用安全浏览。
快速配置向导为移动设备配置正确的无客户端访问策略和设置。Citrix® 建议运行快速配置向导，为连接到 StoreFront 和 Citrix Endpoint Management 配置正确的策略。
您可以在全局或绑定到虚拟服务器自定义无客户端访问策略。如果要将无客户端访问策略绑定到虚拟服务器，则需要创建自定义策略并将其绑定。要在全局或针对虚拟服务器强制执行不同的无客户端访问策略，请更改自定义策略的优先级编号，使其低于预配置策略的编号，从而使自定义策略具有更高的优先级。如果没有其他无客户端访问策略绑定到虚拟服务器，则预配置的全局策略将优先。
注意：
您无法更改预配置的无客户端访问策略的优先级编号。

启用无客户端 VPN 访问

当您在全球级别启用无客户端访问时，所有用户都会收到无客户端访问的设置。您可以使用 NetScaler Gateway 向导、全局策略或会话策略来启用无客户端访问。
在全局设置或会话配置文件中，无客户端访问具有以下设置：
  • 开。启用无客户端访问。如果您禁用客户端选择并且未配置或禁用 StoreFront™，用户将通过无客户端访问登录。
  • 关。无客户端访问默认不启用。用户使用 Citrix Secure Access 客户端登录后，无客户端访问才启用。如果您禁用客户端选择并且未配置或禁用 StoreFront，用户将使用 Citrix Secure Access 客户端登录。如果用户登录时端点分析失败，用户将收到选择页面，其中包含可用的无客户端访问选项。
  • 已禁用。无客户端访问已禁用。当您选择已禁用时，用户无法通过无客户端访问登录，并且无客户端访问的图标不会显示在选择页面上。
如果您不使用 NetScaler Gateway 向导启用无客户端访问，则可以使用配置实用程序在全球范围或会话策略中启用它。

全局启用无客户端访问

  1. 在配置实用程序中，在“配置”选项卡上，在导航窗格中，展开 NetScaler Gateway，然后单击全局设置。
  2. 在详细信息窗格中，在设置下，单击更改全局设置。
  3. 在客户端体验选项卡上，在无客户端访问旁边，选择开，然后单击确定。

使用会话策略启用无客户端访问

如果您只想让选定的用户组、组或虚拟服务器使用无客户端访问，请全局禁用或清除无客户端访问。然后，使用会话策略启用无客户端访问并将其绑定到用户、组或虚拟服务器。
  1. 在配置实用程序中，在“配置”选项卡上，在导航窗格中，展开 NetScaler Gateway > 策略 > 会话。
  2. 在详细信息窗格中，在“策略”选项卡上，单击添加。
  3. 在名称中，键入策略的名称。
  4. 在 请求配置文件 旁边，点击 新建。
  5. 在 名称 中，输入配置文件的名称。
  6. 在 客户端体验 选项卡上，在“无客户端访问”旁边，点击 覆盖全局，选择 开，然后点击 创建。
  7. 在 创建会话策略 对话框中，在 命名表达式 旁边，选择“常规”，选择“真值”，点击“添加表达式”，点击 创建，然后点击 关闭。
  8. 点击 创建，然后点击 关闭。
创建启用无客户端访问的会话策略后，将其绑定到用户、组或虚拟服务器。

编码 Web 地址

启用无客户端访问时，可以选择编码内部 Web 应用程序的地址，或将地址保留为明文。设置包括：
  • 模糊处理。这使用标准编码机制来模糊处理资源的域和协议部分。
  • 明文。Web 地址未编码，对用户可见。
  • 加密。域和协议使用会话密钥加密。当 Web 地址加密时，同一 Web 资源的 URL 对于每个用户会话都不同。如果用户将编码的 Web 地址添加书签，将其保存在 Web 浏览器中然后注销，当用户再次登录并尝试使用书签连接到该 Web 地址时，他们将无法连接到该 Web 地址。 注意：如果用户在会话期间将加密的书签保存在访问界面中，则每次用户登录时该书签都有效。
您可以全局配置此设置，也可以将其作为会话策略的一部分进行配置。如果将编码配置为会话策略的一部分，则可以将其绑定到用户、组或虚拟服务器。

全局配置 Web 地址编码

  1. 在配置实用程序中，在“配置”选项卡上的导航窗格中，展开 NetScaler Gateway，然后点击“全局设置”。
  2. 在详细信息窗格中，在“设置”下，点击“更改全局设置”。
  3. 在“客户端体验”选项卡上，在“无客户端访问 URL 编码”旁边，选择编码级别，然后单击“确定”。

通过创建会话策略配置 Web 地址编码

  1. 在配置实用程序中，在“配置”选项卡上的导航窗格中，展开 NetScaler Gateway > 策略，然后单击“会话”。
  2. 在详细信息窗格中，在“策略”选项卡上，单击“添加”。
  3. 在“名称”中，键入策略的名称。
  4. 在“请求配置文件”旁边，单击“新建”。
  5. 在“名称”中，键入配置文件的名称。
  6. 在“客户端体验”选项卡上，在“无客户端访问 URL 编码”旁边，单击“覆盖全局”，选择编码级别，然后单击“确定”。
  7. 在“创建会话策略”对话框中，在“命名表达式”旁边，选择“常规”，选择“True 值”，单击“添加表达式”，单击“创建”，然后单击“关闭”。

创建无客户端访问策略

如果您想使用与默认无客户端访问策略相同的设置，但又想将策略绑定到虚拟服务器，则可以复制默认策略，并为该策略提供一个新名称。您可以使用配置实用程序复制默认策略。
将新策略绑定到虚拟服务器后，您可以设置策略的优先级，以便在用户登录时首先运行它。

使用默认设置创建无客户端访问策略

  1. 在配置实用程序中，在导航窗格中，展开 NetScaler Gateway > 策略，然后单击“无客户端访问”。
  2. 在详细信息窗格中，在“策略”选项卡上，单击一个默认策略，然后单击“添加”。
  3. 在“名称”中，键入策略的新名称，单击“创建”，然后单击“关闭”。

将无客户端访问策略绑定到虚拟服务器

创建策略后，将其绑定到虚拟服务器。
  1. 在配置实用程序中，在“配置”选项卡上的导航窗格中，展开 NetScaler Gateway，然后单击“虚拟服务器”。
  2. 在详细信息窗格中，选择一个虚拟服务器，然后单击“打开”。
  3. 在“配置 NetScaler Gateway 虚拟服务器”对话框中，单击“策略”选项卡，然后单击“无客户端”。
  4. 单击“插入策略”，从列表中选择一个策略，然后单击“确定”。

创建和评估无客户端访问策略表达式

为无客户端访问创建策略时，可以为该策略创建自己的表达式。完成表达式创建后，可以评估表达式的准确性。
  1. 在配置实用程序中，在导航窗格中，展开 NetScaler Gateway > 策略，然后单击“无客户端访问”。
  2. 在详细信息窗格中，在“策略”选项卡上，单击一个默认策略，然后单击“添加”。
  3. 在“名称”中，键入策略的名称。
  4. 在“配置文件”旁边，单击“新建”。
  5. 在“名称”中，键入配置文件的名称。
  6. 配置重写设置，然后单击“创建”。
  7. 在“创建无客户端访问策略”对话框中，在“表达式”下，单击“添加”。
  8. 在“添加表达式”对话框中，创建表达式，然后单击“确定”。
  9. 在“创建无客户端访问策略”对话框中，单击“评估”，如果表达式测试正确，则单击“创建”。