后身份验证策略

Last published : Oct 14, 2026
重要提示：
端点分析旨在根据预定的合规性标准分析用户设备，而不是强制执行或验证最终用户设备的安全性。建议使用端点安全系统来保护设备免受本地管理员攻击。
后身份验证策略是一组通用规则，用户设备必须满足这些规则才能保持会话处于活动状态。如果策略失败，与 NetScaler Gateway 的连接将终止。配置后身份验证策略时，可以为可设置为条件的用户连接配置任何设置。
您可以使用会话策略来配置后身份验证策略。首先，创建策略适用的用户。然后，将用户添加到组中。接下来，将会话、流量策略和内部网应用程序绑定到该组。
您还可以指定组作为授权组。此类组允许您根据会话策略中的客户端设备检查表达式将用户分配到组。
如果用户设备不符合策略要求，您还可以配置后身份验证策略以将用户置于隔离组中。一个简单的策略包括客户端设备检查表达式和一条消息。当用户处于隔离组中时，用户可以登录 NetScaler Gateway；但是，他们对网络资源的访问权限受到限制。
您不能使用相同的会话配置文件和策略创建授权组和隔离组。创建后身份验证策略的步骤是相同的。创建会话策略时，您可以选择授权组或隔离组。您可以创建两个会话策略并将每个策略绑定到该组。
后身份验证策略也与 SmartAccess 结合使用。有关 SmartAccess 的更多信息，请参阅配置 SmartAccess。
注意：
此功能仅适用于 Citrix Secure Access 客户端。如果用户使用 Citrix Workspace 应用程序登录，则端点分析扫描仅在登录时运行。
Related information
端点分析

配置后身份验证策略

您可以使用会话策略来配置后身份验证策略。一个简单的策略包括客户端设备检查表达式和一条消息。

使用 GUI 配置后身份验证策略

  1. 展开 NetScaler Gateway > 策略，然后单击 会话。
  2. 在详细信息窗格中，在“策略”选项卡上，单击“添加”。
  3. 在“名称”中，键入策略的名称。
  4. 在“请求配置文件”旁边，单击“新建”。
  5. 在“名称”中，键入配置文件的名称。
  6. 在“安全”选项卡上，单击“高级设置”。
  7. 在“客户端安全”下，单击“覆盖全局”，然后单击“新建”。
  8. 配置客户端设备检查表达式，然后单击“创建”。
  9. 在“客户端安全”下，在“隔离组”中，选择一个组。
  10. 在“错误消息”中，键入当身份验证后扫描失败时您希望用户收到的消息。
  11. 在“授权组”下，单击“覆盖全局”，选择一个组，单击“添加”，单击“确定”，然后单击“创建”。
  12. 在“创建会话策略”对话框中，在“命名表达式”旁边，选择“常规”，选择“真值”，单击“添加表达式”，单击“创建”，然后单击“关闭”。

配置身份验证后扫描的频率

您可以将 NetScaler Gateway 配置为按指定间隔运行身份验证后策略。例如，您配置了一个客户端设备检查策略，并希望它每 10 分钟在用户设备上运行一次。您可以通过在策略中创建自定义表达式来配置此频率。
注意：
身份验证后策略的频率检查功能仅适用于 Citrix Secure Access 客户端。如果用户使用 Citrix Workspace 应用程序登录，则端点分析扫描仅在登录时运行。
配置客户端设备检查策略时，可以设置频率（以分钟为单位）。下图显示了可在“添加表达式”对话框中输入频率值的位置。

隔离组和授权组

当用户登录到 NetScaler Gateway 时，您可以将他们分配到在 NetScaler Gateway 或安全网络中的身份验证服务器上配置的组。如果用户未能通过身份验证后扫描，您可以将该用户分配到一个受限组（称为隔离组），该组限制对网络资源的访问。
您还可以使用授权组来限制用户对网络资源的访问。例如，您可能有一个合同人员组，他们只能访问您的电子邮件服务器和文件共享。当用户设备通过您在 NetScaler Gateway 上定义的设备检查要求时，用户可以动态地成为组的成员。
您可以使用全局设置或会话策略来配置绑定到用户、组或虚拟服务器的隔离组和授权组。您可以根据会话策略中的客户端设备检查表达式将用户分配到组。当用户是组的成员时，NetScaler Gateway 会根据组成员身份应用会话策略。

配置授权组

配置 Endpoint Analysis 扫描时，当用户设备通过扫描后，您可以将用户动态添加到授权组。例如，您可以创建一个 Endpoint Analysis 扫描来检查用户设备的域成员身份。在 NetScaler Gateway 上，创建一个名为 Domain-Joined Computers 的本地组，并将其添加为通过扫描的任何人的授权组。当用户加入该组时，用户将继承与该组关联的策略。
您无法全局绑定授权策略或将其绑定到虚拟服务器。当用户未配置为 NetScaler Gateway 上其他组的成员时，您可以使用授权组提供一组默认授权策略。

使用会话策略配置授权组

  1. 导航到“NetScaler Gateway > 策略”，然后单击“会话”。
  2. 在详细信息窗格的“策略”选项卡上，单击“添加”。
  3. 在“名称”中，键入策略的名称。
  4. 在“请求配置文件”旁边，单击“新建”。
  5. 在“名称”中，键入配置文件的名称。
  6. 在“安全”选项卡上，单击“高级设置”。
  7. 在“授权组”下，单击“覆盖全局”，并从下拉列表中选择一个组。
  8. 单击“添加”，单击“确定”，然后单击“创建”。
  9. 在“创建会话策略”对话框中，在“命名表达式”旁边，选择“常规”，选择“真值”，单击“添加表达式”，单击“创建”，然后单击“关闭”。
创建会话策略后，您可以将其绑定到用户、组或虚拟服务器。

配置全局授权组

  1. 展开“NetScaler Gateway”，然后单击“全局设置”。
  2. 在详细信息窗格中，在“设置”下，单击“更改全局设置”。
  3. 在“安全”选项卡上，单击“高级设置”。
  4. 在“授权组”下，从下拉列表中选择一个组。
  5. 单击“添加”，然后单击“确定”。
如果要从全局或会话策略中删除授权组，请在“安全设置 - 高级”对话框中，从列表中选择授权组，然后单击“删除”。

配置隔离组

配置隔离组时，您可以在会话配置文件中使用“安全设置 - 高级设置”对话框来配置客户端设备检查表达式。

配置隔离组的客户端设备检查表达式

  1. 导航到 NetScaler Gateway > Policies，然后单击 Session。
  2. 在详细信息窗格的“策略”选项卡上，单击 Add。
  3. 在 Name 中，键入策略的名称。
  4. 在 Request Profile 旁边，单击 New。
  5. 在 Name 中，键入配置文件的名称。
  6. 在“安全”选项卡上，单击 Advanced Settings。
  7. 在 Client Security 下，单击 Override Global，然后单击 New。
  8. 在 Client Expression 对话框中，配置客户端设备检查表达式，然后单击 Create。
  9. 在 Quarantine Group 中，选择组。
  10. 在“错误消息”中，键入描述用户问题的消息，然后单击 Create。
  11. 在 Create Session Policy 对话框中，在“命名表达式”旁边，选择 General，选择 True value，单击 Add Expression。
  12. 单击 Create，然后单击 Close。
创建会话策略后，将其绑定到用户、组或虚拟服务器。
注意：
如果端点分析扫描失败且用户被置于隔离组中，则只有在没有直接绑定到用户的策略且其优先级编号不高于或低于绑定到隔离组的策略时，绑定到隔离组的策略才有效。

配置全局隔离组

  1. 展开 NetScaler Gateway，然后单击 全局设置。
  2. 在详细信息窗格中，在“设置”下，单击 更改全局设置。
  3. 在 安全 选项卡上，单击 高级设置。
  4. 在 客户端安全 中，配置客户端设备检查表达式。
  5. 在 隔离组 中，选择该组。
  6. 在 错误消息 中，键入描述用户问题的消息，然后单击 确定。