预认证策略和配置文件

Last published : Oct 14, 2026
重要：
端点分析旨在根据预定义的合规性标准分析用户设备，不强制执行或验证最终用户设备的安全性。建议使用端点安全系统来保护设备免受本地管理员攻击。
您可以将 NetScaler Gateway 配置为在用户通过 NetScaler Gateway 进行身份验证之前检查其设备。如果用户设备不符合您组织的要求，这可用于限制访问。设备检查可以通过特定于虚拟服务器的单独策略或全局策略来实现，如下面两个过程所述。
预认证策略由配置文件和表达式组成。您可以配置配置文件以使用表达式来允许或拒绝进程在用户设备上运行。例如，文本文件 clienttext.txt 正在用户设备上运行。当用户登录到 NetScaler Gateway 时，您可以根据文本文件是否正在运行来允许或拒绝访问。如果您不希望在进程运行时允许用户登录，则可以配置预认证配置文件以在用户登录之前停止该进程。
您可以为预认证策略配置以下设置：
  • 表达式。包括以下设置以帮助您创建表达式：
    • 表达式。显示所有表达式。
    • 匹配任意表达式。配置策略以匹配所选表达式列表中存在的任意表达式。
    • 匹配所有表达式。配置策略以匹配所选表达式列表中存在的所有表达式。
    • 表格表达式。使用 OR (||) or AND (&&) 运算符创建包含现有表达式的复合表达式。
    • 高级自由格式。使用表达式名称和 OR (||) and AND (&&) 运算符创建自定义复合表达式。仅选择您需要的表达式，并从所选表达式列表中省略其他表达式。
    • 添加。创建表达式。
    • 修改。修改现有表达式。
    • 删除。从复合表达式列表中删除所选表达式。
    • 命名表达式。选择一个已配置的命名表达式。您可以从 NetScaler Gateway 上已有的表达式菜单中选择命名表达式。
    • 添加表达式。将选定的命名表达式添加到策略。
    • 替换表达式。将选定的命名表达式替换到策略。
    • 预览表达式。当您选择命名表达式时，显示在 NetScaler Gateway 上配置的详细字符串。
Related information
端点分析

配置预身份验证配置文件

使用 GUI 全局配置预身份验证配置文件

  1. 在“配置”选项卡上，单击 NetScaler Gateway，然后单击 全局设置。
  2. 在详细信息窗格中，在 设置 下，单击 更改预身份验证设置。
  3. 在 全局预身份验证设置 对话框中，配置以下设置：
    1. 在 操作 中，选择 允许或拒绝。
      在端点分析发生后，拒绝或允许用户登录。
    2. 在 要取消的进程 中，输入进程。
      这指定了端点分析插件必须停止的进程。
    3. 在 要删除的文件 中，输入文件名。
      这指定了端点分析插件必须删除的文件。当您删除或取消进程时，会向最终用户显示通知。
      已删除进程(/en-us/netscaler-gateway/media/epa-scan-cancel-delete.png)
  4. 在“表达式”中，您可以保留表达式 ns_true，或者为特定应用程序（例如防病毒或安全软件）构建表达式，然后单击 确定。

使用 GUI 配置预身份验证配置文件

  1. 导航到 NetScaler Gateway > 策略 > 身份验证/授权，然后单击 预身份验证 EPA。
  2. 在详细信息窗格的“配置文件”选项卡上，单击“添加”。
  3. 在“名称”中，键入要检查的应用程序的名称。
  4. 在“操作”中，选择“允许”或“拒绝”。
  5. 在“要取消的进程”中，键入要停止的进程的名称。
  6. 在“要删除的文件”中，键入要删除的文件的名称，例如 c:\clientext.txt，单击“创建”，然后单击“关闭”。
    这指定了端点分析插件必须删除的文件。当您删除或取消进程时，将向最终用户显示通知。
    已删除进程(/en-us/netscaler-gateway/media/epa-scan-cancel-delete.png)
如果您使用 GUI 配置预身份验证配置文件，则可以通过单击“策略”选项卡上的“添加”来创建预身份验证策略。在“创建预身份验证策略”对话框中，从“请求配置文件”菜单中选择配置文件。

将预配置表达式添加到预身份验证策略

NetScaler Gateway 附带预配置表达式，称为命名表达式。配置策略时，可以使用命名表达式。例如，您希望预身份验证策略检查具有更新病毒定义的赛门铁克防病毒 10。创建预身份验证策略并按照以下过程添加表达式。
创建预身份验证或会话策略时，可以在创建策略时创建表达式。然后，您可以将带有表达式的策略应用于虚拟服务器或全局。
以下步骤介绍了如何使用配置实用程序将预配置的防病毒表达式添加到策略。

将命名表达式添加到预身份验证策略

  1. 导航到 NetScaler Gateway > 策略 > 身份验证/授权，然后单击 预身份验证 EPA。
  2. 在详细信息窗格中，选择一个策略，然后单击 打开。
  3. 在 命名表达式 旁边，选择 防病毒，然后从列表中选择防病毒产品。
  4. 单击 添加表达式，单击 创建，然后单击 关闭。

配置自定义表达式

自定义表达式是您在策略中创建的表达式。创建表达式时，您需要配置表达式的参数。
您还可以创建自定义表达式来引用常用字符串。这简化了配置预身份验证策略的过程，也有助于维护已配置的表达式。
例如，您想为 Symantec 防病毒 10 创建一个自定义表达式，并确保病毒定义不超过三天。创建一个策略，然后配置表达式以指定病毒定义。
以下步骤展示了如何在预身份验证策略中创建表达式。您可以在会话策略中使用相同的步骤。

创建预身份验证策略和自定义表达式

  1. 导航到 NetScaler Gateway > 策略 > 身份验证/授权，然后单击 预身份验证 EPA。
  2. 在详细信息窗格中，单击 添加。
  3. 在 名称 中，键入策略的名称。
  4. 在“请求配置文件”旁边，单击“新建”。
  5. 在“创建身份验证配置文件”对话框中，在“名称”中，键入配置文件的名称，在“操作”中，选择“允许”，然后单击“创建”。
  6. 在“创建预身份验证策略”对话框中，在“匹配任意表达式”旁边，单击“添加”。
  7. 在“表达式类型”中，选择“客户端安全”。
  8. 配置以下内容：
    1. 在“组件”中，选择“防病毒”。
    2. 在“名称”中，键入应用程序的名称。
    3. 在“限定符”中，选择“版本”。
    4. 在“运算符”中，选择“==”。
    5. 在“值”中，键入值。
    6. 在“新鲜度”中，键入 3，然后单击“确定”。
  9. 在“创建预身份验证策略”对话框中，单击“创建”，然后单击“关闭”。
配置自定义表达式后，它将添加到策略对话框中的“表达式”框中。

配置复合表达式

预身份验证策略可以有一个配置文件和多个表达式。如果配置复合表达式，则使用运算符来指定表达式的条件。例如，您可以配置复合表达式以要求用户设备运行以下防病毒应用程序之一：
  • 赛门铁克防病毒 10
  • 迈克菲防病毒 11
  • Sophos 防病毒 4
您可以使用 OR 运算符配置表达式，以检查上述三个应用程序。如果 NetScaler Gateway 在用户设备上检测到任何应用程序的正确版本，则允许用户登录。策略对话框中的表达式如下所示：
av_5_Symantec_10 || av_5_McAfeevirusscan_11 || av_5_sophos_4
有关复合表达式的更多信息，请参阅配置复合表达式。

绑定预身份验证策略

创建预身份验证策略后，将其绑定到适用的级别。您可以将预身份验证策略绑定到虚拟服务器或全局。

全局创建并绑定预身份验证策略

  1. 在“配置”选项卡上，单击 NetScaler Gateway，然后单击 全局设置。
  2. 在详细信息窗格中，单击 更改预身份验证设置。
  3. 在“全局预身份验证设置”对话框中，在 操作 中，选择 允许 或 拒绝。
  4. 在 名称 中，键入策略的名称。
  5. 在“全局预身份验证设置”对话框中，在 命名表达式 旁边，选择 常规，选择 True 值，单击 添加表达式，单击 创建，然后单击 关闭。

将预身份验证策略绑定到虚拟服务器

  1. 在“配置”选项卡上，单击“NetScaler Gateway”，然后单击“虚拟服务器”。
  2. 在详细信息窗格中，选择一个虚拟服务器，然后单击“打开”。
  3. 在“配置 NetScaler Gateway 虚拟服务器”对话框中，单击“策略”选项卡，然后单击“预身份验证”。
  4. 在“详细信息”下，单击“插入策略”，然后在“策略名称”下，选择预身份验证策略。
  5. 单击“确定”。

解除绑定并删除预身份验证策略

如有必要，您可以从 NetScaler Gateway 中删除预身份验证策略。在删除预身份验证策略之前，请将其从虚拟服务器或全局解除绑定。

解除绑定全局预身份验证策略

  1. 导航到“NetScaler Gateway > 策略 > 身份验证/授权”，然后单击“预身份验证 EPA”。
  2. 在详细信息窗格中，选择一个策略，然后在“操作”中，单击“全局绑定”。
  3. 在“将预身份验证策略绑定/解除绑定到全局”对话框中，选择一个策略，单击“解除绑定策略”，然后单击“确定”。

从虚拟服务器解除绑定预身份验证策略

  1. 在“配置”选项卡上，单击“NetScaler Gateway”，然后单击“虚拟服务器”。
  2. 在“配置 NetScaler Gateway 虚拟服务器”对话框中，单击“策略”选项卡，然后单击“预身份验证”。
  3. 选择策略，然后单击“解除绑定策略”。
当预身份验证策略解除绑定时，您可以从 NetScaler Gateway 中删除该策略。

删除预身份验证策略

  1. 导航到 NetScaler Gateway > 策略 > 身份验证/授权，然后单击 预身份验证 EPA。
  2. 在详细信息窗格中，选择一个策略，然后单击 删除。

设置预身份验证策略的优先级

您可以有多个绑定到不同级别的预身份验证策略。例如，您有一个全局绑定的策略，用于检查特定的防病毒应用程序，以及一个绑定到虚拟服务器的防火墙策略。当用户登录时，绑定到虚拟服务器的策略首先应用。全局绑定的策略其次应用。
您可以更改预身份验证扫描的发生顺序。要使 NetScaler Gateway 首先应用全局策略，请更改绑定到虚拟服务器的策略的优先级编号，使其优先级高于全局绑定的策略。例如，将全局策略的优先级编号设置为一，将虚拟服务器策略的优先级编号设置为二。当用户登录时，NetScaler Gateway 首先运行全局策略扫描，然后运行虚拟服务器策略扫描。

更改预身份验证策略的优先级

  1. 在“配置”选项卡上，单击 NetScaler Gateway，然后单击 虚拟服务器。
  2. 在详细信息窗格中，选择一个虚拟服务器，然后单击 打开。
  3. 在“策略”选项卡上，单击 预身份验证。
  4. 在“优先级”下，键入策略的优先级编号，然后单击 确定。