在 NetScaler Gateway 上设置完整 VPN

Last published : Oct 14, 2026
本节介绍如何在 NetScaler Gateway 设备上配置完整 VPN 设置。它包含网络注意事项以及从网络角度解决问题的理想方法。
Related information
NetScaler Gateway 设备上的 VPN 配置

先决条件

当用户使用 Citrix Secure Access 客户端、Secure Hub 或 Citrix Workspace 应用程序连接时，客户端软件会通过端口 443（或 NetScaler Gateway 上配置的任何端口）建立安全隧道并发送身份验证信息。隧道建立后，NetScaler Gateway 会向 Citrix Secure Access 客户端、Citrix Secure Hub 或 Citrix Workspace 应用程序发送配置信息，描述要保护的网络。如果您启用内网 IP，该信息还包含一个 IP 地址。
您可以通过定义用户可以在内部网络中访问的资源来配置用户设备连接。配置用户设备连接包括以下内容：
  • 拆分隧道
  • 用户的 IP 地址，包括地址池（内部网 IP）
  • 通过代理服务器的连接
  • 定义允许用户访问的域
  • 超时设置
  • 单点登录
  • 通过 NetScaler Gateway 连接的用户软件
  • 移动设备访问
您可以通过会话策略中的配置文件来配置大多数用户设备连接。您还可以使用每个身份验证、流量和授权策略来定义用户设备连接设置。它们也可以使用内部网应用程序进行配置。

在 NetScaler Gateway 设备上配置完整的 VPN 设置

若要在 NetScaler Gateway 设备上配置 VPN 设置，请完成以下步骤：
  1. 导航到 流量管理 > DNS。
  2. 选择“名称服务器”节点，如以下屏幕截图所示。确保列出了 DNS 名称服务器。如果不可用，请添加一个 DNS 名称服务器。
    选择名称服务器
  3. 展开 NetScaler Gateway > 策略。
  4. 选择“会话”节点。
  5. 在 NetScaler Gateway 会话策略和配置文件页面中，单击“配置文件”选项卡，然后单击“添加”。 对于在“配置 NetScaler Gateway 会话配置文件”对话框中配置的每个组件，请确保为相应组件选择“覆盖全局”选项。
  6. 单击“客户端体验”选项卡。
  7. 如果希望在用户登录 VPN 时显示任何 URL，请在“主页”字段中键入内网门户 URL。如果主页参数设置为“nohomepage.html”，则不显示主页。当插件启动时，浏览器实例会自动启动并终止。
  8. 确保从“拆分隧道”列表中选择所需设置。
  9. 如果需要 FullVPN，请从“无客户端访问”列表中选择“关闭”。
  10. 确保从“插件类型”列表中选择“Windows/Mac OS X”。
  11. 如果需要，请选择“Web 应用程序单点登录”选项。
  12. 如果需要，请确保选中“客户端清理提示”选项，如下图所示：
    客户端清理
  13. 单击“安全”选项卡。
  14. 确保从“默认授权操作”列表中选择“允许”。
    将默认授权操作设置为允许
  15. 单击“已发布应用程序”选项卡。
  16. 确保在“已发布应用程序”选项下，从“ICA® 代理”列表中选择“关闭”。
    将 ICA 代理设置为关闭
  17. 单击“创建”。
  18. 单击“关闭”。
  19. 在虚拟服务器中，单击 NetScaler Gateway 会话策略和配置文件页面的“策略”选项卡，或根据需要激活 GROUP/USER 级别的会话策略。
  20. 使用所需表达式或 true 创建会话策略，如以下屏幕截图所示：
    创建会话策略
  21. 将会话策略绑定到 VPN 虚拟服务器。有关详细信息，请参阅绑定会话策略。
    如果分流隧道配置为“开”，则必须配置用户连接到 VPN 时希望访问的内网应用程序。有关内网应用程序的详细信息，请参阅为 Citrix Secure Access 客户端配置内网应用程序。
    1. 转到 NetScaler Gateway > 资源 > 内网应用程序。
    2. 创建内网应用程序。对于使用 Windows 客户端的 FullVPN，选择“透明”。选择您希望允许的协议（TCP、UDP 或 ANY）、目标类型（IP 地址和掩码、IP 地址范围或主机名）。
      创建内网应用程序
    3. 如有必要，使用以下表达式为 iOS 和 Android 上的 VPN 设置新策略： HTTP.REQ.HEADER("User-Agent").CONTAINS("CitrixVPN")&&HTTP.REQ.HEADER("User-Agent").CONTAINS("NSGiOSplugin")&&HTTP.REQ.HEADER("User-Agent").CONTAINS("Android")
    4. 根据需要将创建的内网应用程序绑定到 USER/GROUP/VSERVER 级别。
注意：
即使访问策略明确允许，发布在端口 80 (HTTP) 上的 Web 应用程序也会自动被阻止。要解决此问题，请在 NetScaler Gateway shell 中运行以下命令：
nsapimgr -y -s vpn_http_port80=0
为了在重新启动后保持持久性，请将此命令添加到 /nsconfig/rc.netscaler。

配置拆分隧道

  1. 导航到 配置 > NetScaler Gateway > 策略 > 会话。
  2. 在详细信息窗格中，在“配置文件”选项卡上，选择一个配置文件，然后单击“编辑”。
  3. 在“客户端体验”选项卡上，在“拆分隧道”旁边，选择“全局覆盖”，选择一个选项，然后单击“确定”。
    配置拆分隧道和授权
    规划 NetScaler Gateway 部署时，务必考虑拆分隧道以及默认授权操作和授权策略。
    例如，您有一个授权策略，允许访问网络资源。您已将拆分隧道设置为“开”，并且未配置内部网应用程序通过 NetScaler Gateway 发送网络流量。当 NetScaler Gateway 具有此类配置时，允许访问资源，但用户无法访问该资源。
    配置完整 VPN
如果授权策略拒绝访问网络资源，Citrix Secure Access 客户端会将流量发送到 NetScaler Gateway，但在以下情况下，对资源的访问将被拒绝。
  • 您已将拆分隧道设置为“开”。
  • 内部网应用程序配置为通过 NetScaler Gateway 路由网络流量
有关授权策略的更多信息，请查看以下内容：
配置对内部网络资源的访问
  1. 导航到 配置 > NetScaler Gateway > 资源 > 内网应用程序。
  2. 在详细信息窗格中，单击 Add。
  3. 完成允许网络访问的参数，单击 Create，然后单击 Close。
当我们不为 VPN 用户设置内网 IP 时，用户会将流量发送到 NetScaler Gateway VIP，然后 NetScaler 设备会从那里构建一个新数据包，发送到内部 LAN 上的内网应用程序资源。这个新数据包将从 SNIP 发送到内网应用程序。从这里，内网应用程序接收数据包，处理它，然后尝试回复该数据包的源（在这种情况下是 SNIP）。SNIP 接收数据包并将回复发送给发出请求的客户端。
当使用内网 IP 地址时，用户会将流量发送到 NetScaler Gateway VIP，然后 NetScaler 设备会将客户端 IP 映射到池中配置的其中一个内网 IP。请注意，NetScaler 设备将拥有内网 IP 池，因此这些范围不得在内部网络中使用。NetScaler 设备会像 DHCP 服务器一样为传入的 VPN 连接分配一个内网 IP。NetScaler 设备会构建一个新数据包，发送到用户将访问的 LAN 上的内网应用程序。这个新数据包将从其中一个内网 IP 发送到内网应用程序。从这里，内网应用程序接收数据包，处理它，然后尝试回复该数据包的源（内网 IP）。在这种情况下，回复数据包需要路由回 NetScaler 设备，即内网 IP 所在的位置（请记住，NetScaler 设备拥有内网 IP 子网）。为了完成此任务，网络管理员必须有一个指向其中一个 SNIP 的内网 IP 路由。建议将流量指向首次数据包离开 NetScaler 设备时所使用的 SNIP，以避免任何非对称流量。

分流隧道选项

以下是各种分流隧道选项。
分流隧道配置

分流隧道关闭

当分流隧道设置为关闭时，Citrix Secure Access 客户端会捕获来自用户设备的所有网络流量，并通过 VPN 隧道将流量发送到 NetScaler Gateway。换句话说，VPN 客户端会从客户端 PC 建立一个指向 NetScaler Gateway VIP 的默认路由，这意味着所有流量都需要通过隧道发送才能到达目的地。由于所有流量都将通过隧道发送，因此授权策略必须确定流量是否允许通过到内部网络资源，或者被拒绝。
当设置为“关闭”时，所有流量（包括到网站的标准 Web 流量）都将通过隧道。如果目标是监控和控制这些 Web 流量，则必须使用 NetScaler 设备将这些请求转发到外部代理。用户设备也可以通过代理服务器连接以访问内部网络。
NetScaler Gateway 支持 HTTP、SSL、FTP 和 SOCKS 协议。要为用户连接启用代理支持，您必须在 NetScaler Gateway 上指定这些设置。您可以在 NetScaler Gateway 上指定代理服务器使用的 IP 地址和端口。代理服务器用作所有后续内部网络连接的正向代理。
有关更多信息，请查看以下链接：

分流隧道开启

您可以启用拆分隧道，以防止 Citrix Secure Access 客户端向 NetScaler Gateway 发送不必要的网络流量。如果启用了拆分隧道，Citrix Secure Access 客户端将仅通过 VPN 隧道发送目标为受 NetScaler Gateway 保护的网络（内部网应用程序）的流量。Citrix Secure Access 客户端不会将目标为未受保护网络的网络流量发送到 NetScaler Gateway。当 Citrix Secure Access 客户端启动时，它会从 NetScaler Gateway 获取内部网应用程序列表，并为客户端 PC 上内部网应用程序选项卡中定义的每个子网建立路由。Citrix Secure Access 客户端会检查从用户设备传输的所有数据包，并将数据包中的地址与内部网应用程序列表（VPN 连接启动时创建的路由表）进行比较。如果数据包中的目标地址在某个内部网应用程序范围内，Citrix Secure Access 客户端会将数据包通过 VPN 隧道发送到 NetScaler Gateway。如果目标地址不在定义的内部网应用程序中，则数据包不会加密，然后用户设备会使用客户端 PC 上最初定义的默认路由适当地路由数据包。“当您启用拆分隧道时，内部网应用程序会定义被拦截并通过隧道发送的网络流量。”.

反向拆分隧道

NetScaler Gateway 还支持反向拆分隧道，它定义了 NetScaler Gateway 不会拦截的网络流量。如果将拆分隧道设置为反向，则内部网应用程序会定义 NetScaler Gateway 不会拦截的网络流量。启用反向拆分隧道后，所有指向内部 IP 地址的网络流量都会绕过 VPN 隧道，而其他流量则通过 NetScaler Gateway。反向拆分隧道可用于记录所有非本地 LAN 流量。例如，如果用户拥有家庭无线网络并使用 Citrix Secure Access 客户端登录，NetScaler Gateway 不会拦截目标为无线网络中打印机或其他设备的网络流量。
注意：
适用于 Windows、macOS、iOS 和 Android 的 Citrix Secure Access 客户端支持基于 FQDN 的反向拆分隧道。对于 Windows 客户端，从 Citrix Secure Access 22.6.1.5 开始，此功能仅在启用 WFP 驱动程序时才有效。

注意事项

基于 IP 的反向拆分隧道：
  • 基于 IP 地址的规则数量限制为 1024 条。
  • DNE 和 WFP 驱动程序均支持。
基于主机名的反向拆分隧道：
  • VPN 会话期间可访问的主机名数量受 FQDN 欺骗范围中指定的可用 IP 地址数量的限制。这是因为每个主机名都会占用 FQDN 欺骗范围中的一个 IP 地址。一旦 IP 范围耗尽，最近最少分配的 IP 地址将重新用于下一个新主机名。
  • 必须配置 DNS 后缀。
    注意：
    • 适用于 Windows、macOS、iOS 和 Android 的 Citrix Secure Access™ 客户端支持基于主机名的反向拆分隧道。
    • 对于 Windows 客户端，仅 WFP 驱动程序支持基于主机名的反向拆分隧道。通过将 EnableWFP 注册表值设置为 1 来启用 WFP 驱动程序模式。有关详细信息，请参阅 使用 Windows 筛选平台的 Windows Citrix Secure Access 客户端。
    • 对于 Android 客户端，基于主机名的反向分流隧道处于预览阶段。请联系 NetScaler® 支持以启用此功能。
基于 IP 和基于主机名的反向分流隧道：
  • 仅支持 WFP 驱动程序。基于 IP 的反向分流隧道和基于主机名的反向分流隧道中提及的所有其他指南均适用。

配置名称服务解析

在安装 NetScaler Gateway 期间，您可以使用 NetScaler Gateway 向导配置其他设置，包括名称服务提供程序。名称服务提供程序将完全限定域名 (FQDN) 转换为 IP 地址。在 NetScaler Gateway 向导中，您还可以执行以下操作：
  • 配置 DNS 或 WINS 服务器
  • 设置 DNS 查找的优先级
  • 设置重试连接到服务器的次数。
运行 NetScaler Gateway 向导时，您可以添加一个 DNS 服务器。您可以使用会话配置文件向 NetScaler Gateway 添加其他 DNS 服务器和 WINS 服务器。然后，您可以将用户和组定向到连接到与您最初使用向导配置的服务器不同的名称解析服务器。
在 NetScaler Gateway 上配置另一个 DNS 服务器之前，请创建一个充当名称解析 DNS 服务器的虚拟服务器。
在会话配置文件中添加 DNS 或 WINS 服务器
  1. 在配置实用程序中，配置选项卡 > NetScaler Gateway > 策略 > 会话。
  2. 在详细信息窗格中，在“配置文件”选项卡上，选择一个配置文件，然后单击“打开”。
  3. 在“网络配置”选项卡上，执行以下操作之一：
    • 要配置 DNS 服务器，请在 DNS 虚拟服务器旁边，单击 覆盖全局，选择服务器，然后单击 确定。
    • 要配置 WINS 服务器，在 WINS Server IP 旁边，单击 Override Global，键入 IP 地址，然后单击 OK。

参考