端点分析 v2

Last published : Oct 14, 2026
端点分析 (EPA) 对于零信任网络访问 (ZTNA) 至关重要，它在授予访问权限之前评估端点设备上下文和姿态。从版本 14.1 build 25.56 开始，EPA v2 提供了更强大、更可靠的策略评估，具有增强的功能，可提供更强的保障和更高的安全性，使其成为推荐选项。
Related information
端点分析

支持的平台和版本

下表列出了支持 EPA v2 的 EPA 客户端平台和版本：
EPA 客户端平台 版本
视窗 25.8.1.6 及更高版本
macOS 25.11.19 及更高版本
琳纳克斯 26.2.3 及更高版本

支持和不支持的扫描

EPA v2 支持大多数基于浏览器和 Citrix Workspace 应用程序启动的会话扫描，这些扫描也受 EPA v1 支持。有关详细信息，请参阅 端点分析。
EPA v2 不支持以下扫描：
  • Windows EPA 扫描缺失的补丁
  • Windows 上次更新扫描
  • 在“表达式编辑器”中的“Windows”和“Mac”下拉菜单下扫描“MAC 地址”
  • 使用运算符（<、>、==、!=、<=、>=）进行版本比较的注册表扫描。此限制仅适用于版本比较，而标准整数比较按预期工作。

先决条件

  • 在 NetScaler Gateway 中配置 nFactor 身份验证（高级身份验证）。
  • 使用 CLI 或 GUI 启用 HttpOnlyCookie 参数。
    • 要使用 CLI 启用 HttpOnlyCookie 参数，请在命令提示符下键入以下命令：
      set aaa parameter -httpOnlyCookie ENABLED
    • 要使用 GUI 启用 HttpOnlyCookie 参数，请导航到“NetScaler Gateway > 全局设置 > 更改身份验证 AAA 设置”。在“配置 AAA 参数”页面上，将“HttpOnly Cookie”设置为“已启用”。

在 NetScaler Gateway 上启用 EPA v2

使用 CLI 启用 EPA v2

在命令提示符下，键入：
set aaa parameter -enhancedEPA ENABLED

使用 GUI 启用 EPA v2

  1. 导航到“NetScaler Gateway > 全局设置 > 更改身份验证 AAA 设置”。
  2. 在“配置 AAA 参数”页面上，将“增强型 EPA”设置为“已启用”。
  3. 点击 确定。
  4. 重启主节点（之前是辅助节点），以确保 HA 设置中的两个节点具有相同的配置。
    注意：
    对于新的 NetScaler 配置，不需要重启。
启用 EPA v2

升级 NetScaler

从 Citrix 下载 页面下载，将您的 NetScaler 升级到相应的版本。有关如何升级 HA 对的详细说明，请参阅 升级高可用性对。

升级 NetScaler Gateway 上的客户端组件

在 NetScaler shell 中运行以下命令，检查与您的 NetScaler 关联的客户端版本：
cat /var/netscaler/gui/vpn/pluginlist.xml
如果关联的客户端版本不符合 支持的平台和版本，请按照以下部分所述更新客户端。

升级适用于 Windows 的 Citrix Secure Access™ 客户端和 EPA 客户端

按照 在 NetScaler Gateway 上升级适用于 Windows 的 Citrix Secure Access 客户端和 EPA 客户端 中所述的步骤，升级适用于 Windows 的 Citrix Secure Access 客户端和 EPA 客户端。

升级适用于 macOS 的 Citrix Secure Access 客户端和 EPA 客户端

从 App Store 将适用于 macOS 的 Citrix Secure Access 客户端升级到最新版本。
在 NetScaler Gateway 上执行以下步骤，以升级适用于 macOS 的 EPA 客户端：
  1. 从 <https://www.citrix.com/downloads/citrix-secure-access/plug-ins/citrix-secure-access-client-for-macOS.html> 下载适用于 macOS 的最新 EPA 客户端
  2. 导航到 NetScaler Gateway > 更新客户端组件。
  3. 在 更新客户端组件 下，单击 升级 EPA 库或 EPA/VPN 插件 链接。
    更新客户端组件
  4. 单击 选择文件 并选择已下载的 EPA 客户端文件。
  5. 单击 升级。
  6. 如下所示更新 pluginlist.xml 以反映新版本详细信息：
    1. 将下载的 Citrix_Endpoint_Analysis.dmg 复制到 NetScaler Gateway 上的 /var/netscaler/gui/epa/scripts/mac/directory。
    2. 将 /var/netscaler/gui/vpn/pluginlist.xml 中名称为 NetScaler Gateway EPA plug-in for Mac 的 plugin 标签的 version 和 compatibleFrom 属性修改为相应的值。
      version=“<version>”
      compatibleFrom=”<version>”
      新的 plugin 标签显示如下：
      <plugin
          name="NetScaler Gateway EPA plug-in for Mac" type="MAC-EPA"
          version="23.7.6" path="/epa/scripts/mac/Citrix_Endpoint_Analysis.dmg"
          compatibleFrom="23.7.6" compatibleTill=""
      />
    3. 要使更改生效，请在主节点和辅助节点上运行以下命令：
      rm -rf /netscaler/ns_gui
      ln -s /var/netscaler/gui /netscaler/ns_gui

升级最终用户计算机上的 Windows 和 macOS 版 EPA 客户端

将 NetScaler Gateway 中的 EPA 升级到 EPA v2 后，如果最终用户计算机上安装的 EPA 客户端版本不受 EPA v2 支持，则 EPA 客户端将无法启动。20 秒超时后，系统会提示用户下载新的 EPA 客户端。
EPA 客户端超时
使用以下步骤更新最终用户计算机上的 EPA 客户端：
  1. 点击“下载”按钮以下载之前已上传到 NetScaler Gateway 的新 EPA 客户端。
  2. 安装新 EPA 客户端后，单击同一页面上的“重试 EPA 启动”按钮以重新启动 EPA 客户端。
升级 EPA 客户端(/en-us/netscaler-gateway/media/epa-v2-launch.png)

EPA v2 故障排除

MAC 地址扫描

EPA v2 不支持“表达式编辑器”中“Windows”和“Mac”下拉菜单下的 MAC 地址扫描。以下是扫描配置示例：
Windows 操作系统： sys.client_expr("sys_0_MAC_1A2B3C4D5E6F,1D2B3E4D5F6E[COMMENT: MAC Address]")
macOS： sys.client_expr("sys_0_MAC-MAC_1A2B3C4D5E6F,1D2B3E4D5F6E[COMMENT: MAC Address]")
解决方法：
配置 EPA 扫描以允许特定的 MAC 地址。有关详细信息，请参阅MAC 地址的 EPA 扫描。

EPA 客户端下载失败

在最终用户计算机上升级 EPA 客户端期间，从 NetScaler Gateway 下载 EPA 客户端可能会失败。
解决方法：
使用 NOCACHE 参数可避免此问题：
add cache policy bypass_epa_plugin_cache -rule "HTTP.REQ.URL.ENDSWITH(\".dmg\") || HTTP.REQ.URL.ENDSWITH(\".exe\") || HTTP.REQ.URL.ENDSWITH(\".deb\")" -action NOCACHE

bind vpn vserver <vpn-vserver-name> -policy bypass_epa_plugin_cache -priority 5 -gotoPriorityExpression END -type REQUEST

bind authentication vserver <authvs-name> -policy bypass_epa_plugin_cache -priority 5 -gotoPriorityExpression END -type REQUEST