配置地址池

• IP 语音 (VoIP)
• 主动 FTP
• 即时消息
• 安全外壳 (SSH)
• 虚拟网络计算 (VNC) 连接到计算机桌面
• 远程桌面 (RDP) 连接到客户端桌面

• 分配的 IP 地址必须正确路由。为确保正确路由，请考虑以下事项：
  • 如果未启用拆分隧道，请确保 IP 地址可以通过网络地址转换 (NAT) 设备进行路由。
  • 通过使用内网 IP 地址的用户连接访问的任何服务器都必须配置正确的网关才能访问这些网络。
  • 在 NetScaler Gateway 上配置网关或静态路由，以便将来自用户软件的网络流量路由到内部网络。
• 分配 IP 地址范围时，只能使用连续的子网掩码。范围的子集可以分配给较低级别的实体。例如，如果 IP 地址范围绑定到虚拟服务器，则将该范围的子集绑定到组。
• IP 地址范围不能在绑定级别内绑定到多个实体。例如，绑定到组的地址范围的子集不能绑定到第二个组。
• NetScaler Gateway 不允许您在 IP 地址被用户会话主动使用时将其删除或解除绑定。
• 内部网络 IP 地址通过以下层次结构分配给用户：
  • 用户的直接绑定
  • 组分配的地址池
  • 虚拟服务器分配的地址池
  • 全局地址范围
• 分配地址范围时只能使用连续的子网掩码。但是，已分配范围的子集可以进一步分配给较低级别的实体。 绑定的全局地址范围可以绑定到以下各项：
  • 虚拟服务器
  • 组
  • 用户
• 绑定的虚拟服务器地址范围可以有子集绑定到以下各项：
  • 组
  • 用户

内部网 IP DNS 注册

• nsapimgr -ys enable_vpn_dns_override=1：此标志与其它配置参数一起发送到 NetScaler Gateway VPN 客户端。如果此标志未设置，并且当 VPN 客户端拦截到 DNS/WINS 请求时，它会通过隧道向 NetScaler Gateway 虚拟服务器发送相应的“GET /DNS”HTTP 请求以获取解析的 IP 地址。但是，如果设置了 'enable_vpn_dnstruncate_fix' 标志，VPN 客户端会将 DNS/WINS 请求透明地转发到 NetScaler Gateway 虚拟服务器。在这种情况下，DNS 数据包会原样通过 VPN 隧道发送到 NetScaler Gateway 虚拟服务器。这有助于解决从 NetScaler Gateway 中配置的名称服务器返回的 DNS 记录过大而无法容纳在 UPD 响应数据包中的情况。在这种情况下，当客户端回退到使用 TCP-DNS 时，此 TCP-DNS 数据包会原样到达 NetScaler Gateway 服务器，因此 NetScaler Gateway 服务器会向 DNS 服务器发出 TCP-DNS 查询。
• nsapimgr -ys enable_vpn_dnstruncate_fix=1：此标志由 NetScaler Gateway 服务器本身使用。如果设置了此标志，NetScaler Gateway 会将“DNS 端口上的 TCP 连接”的目标覆盖为 NetScaler Gateway 上配置的 DNS 服务器（而不是尝试将它们发送到传入 TCP-DNS 数据包中最初存在的 DNS 服务器 IP）。对于 UDP DNS 请求，默认是使用配置的 DNS 服务器进行 DNS 解析。适用于 Windows 的 NetScaler Gateway 插件支持安全和非安全 DNS 更新。安全 DNS 更新支持在 21.7.1.1 或更高版本中默认存在。
  Windows 插件上的安全 DNS 更新默认禁用。要启用它，请在 HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\Secure Access 中创建一个 REG_DWORD 类型的值并将其设置为 1。
  • 当您将值设置为 1 时，VPN 插件会首先尝试不安全的 DNS 更新。如果不安全的 DNS 更新失败，VPN 插件会尝试安全的 DNS 更新。
  • 要仅尝试安全的 DNS 更新，您可以将值设置为 2。

使用 GUI 为用户、组或虚拟服务器配置地址池

1. 导航到 Configuration > NetScaler® Gateway，然后执行以下操作之一：
   • 导航到 NetScaler Gateway > 用户管理，然后单击 AAA 用户。
   • 导航到 NetScaler Gateway > 用户管理，然后单击 AAA 组。
   • 展开 NetScaler Gateway，然后单击 虚拟服务器。
2. 在详细信息窗格中，单击用户、组或虚拟服务器，然后单击 打开。
3. 在 内网 IP 选项卡上的 IP 地址 和 子网掩码 文本框中，键入 IP 地址和子网掩码，然后单击 添加。
4. 对要添加到池中的每个 IP 地址重复步骤 3，然后单击 确定。

使用 GUI 全局配置地址池

1. 导航到 配置 > NetScaler Gateway > 全局设置。
2. 在详细信息窗格中，在 内网 IP 下，单击 要为所有客户端 NetScaler Gateway 会话分配唯一、静态的 IP 地址或 IP 地址池，请配置内网 IP。
3. 在 绑定内网 IP 对话框中，单击 操作，然后单击 插入。
4. 在 IP 地址 和 子网掩码 文本框中，键入 IP 地址和子网掩码，然后单击 添加。
5. 对要添加到池中的每个 IP 地址重复步骤 3 和 4，然后单击 确定。

使用 CLI 配置地址池

1. 运行以下命令之一来配置地址池：
   • 对于 AAA 用户： bind aaa user <username> -intranetIP <ip_address> <netmask>
   • 对于 AAA 组： bind aaa group <groupname> -intranetIP <ip_address> <netmask>
   • 对于 VPN 虚拟服务器： bind vpn vserver <vservername> -intranetIP <ip_address> -netmask <netmask>
   • 对于 VPN 全局： bind vpn global -intranetIP <ip_address> -netmask <netmask>
2. 运行以下命令以设置可分配给用户的内部网 IP 地址的最大数量限制：
   set vpn parameter -maxIIPperUser <number>
   注意：
   • maxIIPperUser 的最小值为 1，最大值为 10。
   • 如果未设置 maxIIPperUser 参数，则默认情况下分配给用户的内部网 IP 地址数量为 1。
   • maxIIPperUser 配置仅适用于在 AAA 组、VPN 虚拟服务器或 VPN 全局级别配置的内部网 IP 地址。在 AAA 用户级别配置的内部网 IP 地址不受此配置的影响。
   • 增加或减少 maxIIPPerUser 限制不会影响现有会话或已分配的内部网 IP 地址数量。现有会话将保持活动状态，直到会话/空闲超时或管理员干预。但是，此配置会立即对新会话生效。

定义地址池选项

• Nospillover - 当您为内部网 IP 地址配置地址池时，您将获得一个会话，其中包含池中可用的 IP。对于已用完所有可用内部网 IP 地址的用户，将显示“传输登录”页面。
• 溢出 - 当您配置地址池并将映射的 IP 用作内部网 IP 地址时，映射的 IP 地址将用于已用完所有可用内部网 IP 地址的用户。
• 关闭 - 地址池未配置。

定义地址池

1. 在配置实用程序中，在“配置”选项卡上，在导航窗格中，展开“NetScaler Gateway > 策略”，然后单击“会话”。
2. 在详细信息窗格中，在“策略”选项卡上，单击“添加”。
3. 在“名称”中，键入策略的名称。
4. 在“请求配置文件”旁边，单击“新建”。
5. 在“名称”中，键入配置文件的名称。
6. 在“网络配置”选项卡上，单击“高级”。
7. 在“内网 IP”旁边，单击“覆盖全局”，然后选择一个选项。
8. 如果在步骤 9 中选择“溢出”，请在“映射的 IP”旁边，单击“覆盖全局”，选择设备的主机名，单击“确定”，然后单击“创建”。
9. 在“创建会话策略”对话框中，创建表达式。单击“创建”，然后单击“关闭”。

配置传输登录页面

• 如果用户被分配了一个静态内网 IP 地址并拥有一个现有的 NetScaler Gateway 会话。如果用户尝试从不同的设备建立第二个会话，则会出现传输登录页面，用户可以将该会话传输到新设备。
• 如果用户被分配了五个内网 IP 地址并通过 NetScaler Gateway 拥有五个会话。如果用户尝试建立第六个会话，则会出现传输登录页面，用户可以选择用新会话替换现有会话。

配置 DNS 后缀