通过 NetScaler Gateway 进行高级无客户端 VPN 访问

Last published : Oct 14, 2026
无客户端 VPN 是一种通过 NetScaler Gateway 为企业内网资源提供远程访问的方式，无需在客户端计算机上安装 VPN 客户端应用程序。无客户端 VPN 允许客户端使用 Web 浏览器远程访问企业 Web 应用程序、门户和其他资源。 高级无客户端 VPN 解决方案消除了与无客户端 VPN 相关的以下限制：
  • 相对 URL 有时无法识别。
  • 动态生成的相对 URL 无法识别。
高级无客户端 VPN 识别绝对 URL 和主机名，并以一种新的、独特的方式重写它们，而不是尝试重写 HTTP 响应/网页中存在的相对 URL。SharePoint 不再需要使用默认文件夹来重写 URL，并且支持自定义 SharePoint 访问。
Related information
使用 NetScaler Gateway 配置无客户端 VPN 访问

先决条件

以下是配置高级无客户端 VPN 的先决条件。
  • 通配符服务器证书 - 高级无客户端 VPN 以独特的方式重写 URL。每个用户的每个 URL 都保持这种独特性。例如，如果 Web 应用程序托管在 https://webapp.customer.com 上，并且 VPN 虚拟服务器托管在 https://vpn.customer.com 上，则高级无客户端 VPN 会将其重写为 https://cvpneqwerty.vpn.customer.com。这意味着，每个 URL 都被重写为 VPN 虚拟服务器的子域。在这个新 URL 中，cvpneqwerty 可以解密回 https://webapp.customer.com。字符串 cvpneqwerty 是动态的，因此对于 SSL，您必须将 VPN 虚拟服务器绑定到通配符证书。
    如果服务器托管在 https://vpn.customer.com 上，则服务器证书现在必须包含 (vpn.customer.com 和 .vpn.customer.com) 作为证书 CN 或 SAN 的一部分（其中 CN=通用名，SAN=主题备用名称）。在 NetScaler Gateway 上绑定此证书的过程保持不变。 注意： 通配符证书仅支持一级（即不允许 ..customer.com）。如果您已经在使用通配符证书（用于 *.customer.com）并托管 https://vpn.customer.com，则这不适用于高级无客户端 VPN。您必须获取一个包含 *.vpn.customer.com 的新证书。
  • 通配符 DNS 条目 - 客户端（Web 浏览器）必须解析高级无客户端 VPN 应用程序的 FQDN。在设置 NetScaler Gateway 服务器时，您必须已配置 DNS 条目以解析 vpn.customer.com。这允许浏览器将 vpn.customer.com 解析为您的 VPN 虚拟服务器的 IP 地址。要将 https://cvpnqwerty.vpn.customer.com 等 URL 解析到相同的 IP（VPN 虚拟服务器的 IP 地址），您必须为 vpn.customer.com 的域添加一个新记录。在您的 DNS 服务器中找到域设置，并为“*”添加一个与之前相同的 IP 地址的新主机记录。添加主机记录后，您应该会看到 https://cpvnanything.vpn.customer.com 的成功 ping 响应。

配置高级无客户端 VPN 访问

要使用命令行界面配置高级无客户端 VPN 访问，请在命令提示符下键入：
set vpn parameter -clientlessVpnMode ON
set vpn parameter -advancedClientlessVpnMode ENABLED
如果会话操作绑定到虚拟服务器，则还必须为该会话操作启用高级无客户端 VPN 模式选项。
示例：
set vpn sessionaction SessionActionName -advancedclientlessvpn ENABLED
要使用 NetScaler GUI 配置高级无客户端 VPN 访问：
  1. 在 NetScaler® GUI 中，导航到 配置 > NetScaler > 全局设置。
  2. 在 全局设置页面 上，单击 更改全局设置，然后选择 客户端体验 选项卡。
  3. 在 客户端体验 选项卡上，从 无客户端访问 列表中，单击 开。
  4. 在 客户端体验 选项卡上，从 高级无客户端 VPN 模式 列表中，单击 已启用。 如果您从 高级无客户端 VPN 模式 列表中选择 严格，NetScaler 设备将仅响应经典无客户端 VPN 形式的 StoreFront URL，并阻止所有其他经典无客户端 VPN 请求。此选项为设备提供更安全的配置，用于交付内部 Web 资源。
注意：
  • 如果会话操作绑定到虚拟服务器，您还必须在 配置 NetScaler Gateway 会话配置文件 页面中的 客户端体验 选项卡上为该会话操作启用 高级无客户端 VPN 模式 选项。
  • 您可以选择 覆盖全局 选项来覆盖全局设置。
  • 您还可以在会话级别配置高级无客户端 VPN 功能。

注意事项

高级无客户端 VPN 旨在提供对企业 Web 应用程序的访问。此类应用程序对于它们所需的每种资源（JavaScript、CSS、图像等）只有一个 FQDN。由于我们将内部应用程序的完整 FQDN 编码为单八位字节（无客户端 VPN），因此我们失去了子域关系。因此，每当企业 Web 应用程序配置了 CORS 时，有时您可能会在通过高级无客户端 VPN 访问它时遇到问题。