配置客户端拦截
您可以使用内网应用程序在 NetScaler Gateway 上为用户连接配置拦截规则。默认情况下，当您在设备上配置系统 IP 地址、映射 IP 地址或子网 IP 地址时，会根据这些 IP 地址创建子网路由。内网应用程序会根据这些路由自动创建，并可以绑定到虚拟服务器。如果启用分流隧道，则必须定义内网应用程序才能进行客户端拦截。
您可以使用 GUI 配置内网应用程序。您可以将内网应用程序绑定到用户、组或虚拟服务器。
如果启用分流隧道并且用户使用 WorxWeb 或 WorxMail 进行连接，则在配置客户端拦截时，必须添加 Citrix Endpoint Management™ 和 Exchange 服务器的 IP 地址。如果您未启用分流隧道，则无需在内网应用程序中配置 Endpoint Management 和 Exchange IP 地址。
有关分流隧道配置的信息，请参阅 (/zh-cn/netscaler-gateway/current-release/vpn-user-config/configure-full-vpn-setup.html#configure-split-tunneling)。
为 Citrix Secure Access™ 客户端配置内网应用程序
您可以通过定义以下内容来创建用于用户访问资源的内网应用程序：
-
一个 IP 地址
-
一个 IP 地址范围
-
一个主机名
当您在 NetScaler Gateway 上定义内网应用程序时，适用于 Windows 的 Citrix Secure Access 客户端会拦截目标为该资源的用户流量，并通过 NetScaler Gateway 发送该流量。
配置内网应用程序时，请考虑以下事项：
-
当分流隧道开启时，
-
配置内网应用程序。
-
将内网应用程序分配给每个身份验证、授权和审计组。
-
-
当分流隧道为“关闭”时，
-
所有流量都通过 VPN 隧道进行拦截。
-
无需配置内部网应用程序。
-
-
当分流隧道为“反向”时，
-
配置内部网应用程序。未由内部网应用程序指定的流量将通过 VPN 隧道。
-
将要从 VPN 中排除的内部网应用程序分配给每个身份验证、授权和审计组。
重要提示：无论分流隧道配置如何，拦截都必须设置为 TRANSPARENT。 -
注意：
-
配置内部网应用程序时，必须选择与用于建立连接的插件软件类型相对应的拦截模式。
-
您不能为代理拦截和透明拦截同时配置内部网应用程序。
为一个 IP 地址创建内部网应用程序
-
在“配置”选项卡上的导航窗格中，展开 NetScaler Gateway Resources，然后单击 Intranet Applications。
-
在详细信息窗格中，单击 Add。
-
在“名称”中，键入配置文件的名称。
-
在创建内网应用程序对话框中，选择透明。
-
在目标类型中，选择IP 地址和子网掩码。
-
在“协议”中，选择适用于网络资源的协议。
-
在IP 地址中，键入 IP 地址。
-
在子网掩码中，键入子网掩码，单击创建，然后单击关闭。
配置 IP 地址范围
如果您的网络中有多个服务器，例如 Web、电子邮件和文件共享服务器，您可以配置一个网络资源，其中包含网络资源的 IP 范围。此设置允许用户访问 IP 地址范围中包含的网络资源。
-
在配置选项卡上的导航窗格中，展开NetScaler Gateway 资源，然后单击内网应用程序。
-
在详细信息窗格中，单击添加。
-
在名称中，键入配置文件的名称。
-
在“协议”中，选择适用于网络资源的协议。
-
在创建内网应用程序对话框中，选择透明。
-
在目标类型中，选择IP 地址范围。
-
在起始 IP中，键入起始 IP 地址；在 IP 结束中，键入结束 IP 地址，单击创建，然后单击关闭。
为主机名创建内网应用程序
-
在“配置”选项卡上，在导航窗格中，展开“NetScaler Gateway 资源”，然后单击“内网应用程序”。
-
在详细信息窗格中，单击“添加”。
-
在“名称”中，键入配置文件的名称。
-
在“创建内网应用程序”对话框中，选择“透明”。
-
在“目标类型”中，选择“主机名”。
-
在“协议”中，选择“任意”，单击“创建”，然后单击“关闭”。
重要提示：
-
从版本 13.0 build 36.27 及更高版本开始，Windows VPN 插件支持基于主机名 (FQDN) 的拆分隧道规则。您必须将 NetScaler 设备和 Windows VPN 插件都升级到版本 13.0 build 36.27 或更高版本。
-
还支持通配符主机名。例如，如果配置了主机名为“*.example.com”的内网应用程序，则
a1.example.com、b2.example.com等将通过隧道传输。 -
仅当您将拆分隧道设置为“开”或“反向”时，基于主机名的内网应用程序才有效。
从客户端拦截中排除特定域流量
Citrix Secure Access 客户端拦截并隧道传输基于主机名的应用程序。例如，如果为基于主机名的应用程序
*.example.com 配置了客户端拦截，则 Citrix Secure Access 客户端会拦截所有以 example.com 结尾的基于主机名的应用程序访问。
从适用于 Windows 的 Citrix Secure Access 客户端版本 24.8.1.15 和适用于 macOS/iOS 的版本 24.10.1 开始，您可以从客户端拦截和隧道传输中排除某些子域。例如，要排除
rdp.example.com 和 ftp.example.com，请在排除参数中定义这些域。Citrix Secure Access 客户端会绕过这些域的 DNS 调用，并将其发送到本地 DNS 服务器，而不是远程 DNS 服务器。它不会拦截或隧道传输这些子域的流量。
下图说明了 Citrix Secure Access 客户端排除 DNS 解析和客户端拦截的过程。
重要：
-
对于适用于 Windows 的 Citrix Secure Access 客户端，您只能通过 NetScaler® Gateway 中的注册表来配置客户端拦截排除项，而在 Secure Private Access 中，则可以使用注册表和 UI 两种方式。
-
对于适用于 macOS/iOS 的 Citrix Secure Access 客户端，您只能使用 Secure Private Access UI 来配置客户端拦截排除项。
使用注册表配置客户端拦截排除项
-
在最终用户设备上配置
ExcludeDomainsFromRemoteDns注册表，以排除 Citrix Secure Access 客户端通过远程 DNS 服务器执行 DNS 解析。有关详细信息，请参阅 NetScaler Gateway Windows VPN 客户端注册表项。 -
在最终用户设备上配置
ExcludeDomainsFromTunnel注册表，以排除 Citrix Secure Access 客户端对流量进行隧道传输。有关详细信息，请参阅 NetScaler Gateway Windows VPN 客户端注册表项。
在 Secure Private Access 管理控制台中配置客户端拦截排除项
有关在 Secure Private Access 服务控制台中配置 TCP/UDP 应用程序的详细信息，请参阅 支持 TCP/UDP 应用程序。
注意：
对于客户端拦截排除项，路由类型必须为 External。