用户如何使用 Citrix Secure Access™ 客户端连接

Last published : Oct 14, 2026
NetScaler Gateway 的运行方式如下：
  • 当用户尝试通过 VPN 隧道访问网络资源时，Citrix Secure Access 客户端会加密所有目标为组织内部网络的网络流量，并将数据包转发到 NetScaler Gateway。
  • NetScaler Gateway 终止 SSL 隧道，接受所有目标为专用网络的传入流量，并将流量转发到专用网络。NetScaler Gateway 通过安全隧道将流量发送回远程计算机。
当用户输入网址时，他们会收到一个登录页面，可以在其中输入凭据并登录。如果凭据正确，NetScaler Gateway 会完成与用户设备的握手。
如果用户位于代理服务器后面，则可以指定代理服务器和身份验证凭据。有关详细信息，请参阅 为用户连接启用代理支持。
Citrix Secure Access 客户端安装在用户设备上。首次连接后，如果用户使用基于 Windows 的计算机登录，他们可以使用通知区域中的图标建立连接。
Related information
NetScaler Gateway 设备上的 VPN 配置

建立安全隧道

当用户使用 Citrix Secure Access 客户端、Secure Hub 或 Citrix Workspace 应用程序连接时，客户端软件会通过端口 443（或 NetScaler Gateway 上的任何已配置端口）建立安全隧道并发送身份验证信息。隧道建立后，NetScaler Gateway 会向 Citrix Secure Access 客户端、Secure Hub 或 Citrix Workspace 应用程序发送配置信息，描述要保护的网络，如果启用了地址池，则包含一个 IP 地址。

通过安全连接隧道传输专用网络流量

当 Citrix Secure Access 客户端启动且用户通过身份验证后，所有目标为指定专用网络的网络流量都会被捕获并通过安全隧道重定向到 NetScaler Gateway。Citrix Workspace 应用程序必须支持 Citrix Secure Access 客户端，以便用户登录时通过安全隧道建立连接。
Secure Hub、Secure Mail 和 WorxWeb 使用 Micro VPN 为 iOS 和 Android 移动设备建立安全隧道。
NetScaler Gateway 拦截用户设备发出的所有网络连接，并通过安全套接字层 (SSL) 将它们多路复用到 NetScaler Gateway，在那里流量被解复用，并将连接转发到正确的主机和端口组合。
这些连接受制于适用于单个应用程序、部分应用程序或整个内部网的管理安全策略。您可以指定远程用户可以通过 VPN 连接访问的资源（IP 地址/子网对的范围）。
Citrix Secure Access 客户端为已定义的内部网应用程序拦截并隧道传输以下协议：
  • TCP （所有端口）
  • UDP （所有端口）
  • ICMP （类型 8 和 0 - 回显请求/回复）
用户设备上的本地应用程序连接会安全地通过隧道传输到 NetScaler Gateway，NetScaler Gateway 会重新建立与目标服务器的连接。目标服务器将连接视为源自专用网络上的本地 NetScaler Gateway，从而隐藏了用户设备。这也被称为反向网络地址转换 (NAT)。隐藏 IP 地址可增加源位置的安全性。
在用户设备本地，所有与连接相关的流量（例如 SYN-ACK、PUSH、ACK 和 FIN 数据包）都由 Citrix Secure Access 客户端重新创建，使其看起来像是来自专用服务器。

通过防火墙和代理连接

Citrix Secure Access 客户端的用户有时位于其他组织的防火墙内部，如下图所示：
用户通过两个内部防火墙连接(/en-us/netscaler-gateway/media/ng-nat-firewall.png)
NAT 防火墙维护一个表，该表允许它们将来自 NetScaler Gateway 的安全数据包路由回用户设备。对于面向电路的连接，NetScaler Gateway 维护一个端口映射的反向 NAT 转换表。反向 NAT 转换表使 NetScaler Gateway 能够匹配连接，并通过隧道将数据包以正确的端口号发送回用户设备，从而使数据包返回到正确的应用程序。

控制 Citrix Secure Access 客户端的升级

系统管理员控制当 NetScaler 插件版本与 NetScaler Gateway 修订版不匹配时其行为方式。新选项控制 Mac 和 Windows 或其他操作系统的插件升级行为。
对于 VPN 插件，可以在 NetScaler 设备用户界面中的两个位置设置升级选项：
  • 在全局设置中
  • 在会话配置文件级别

要求

  • Windows EPA 和 VPN 插件版本必须高于 11.0.0.0
  • Mac EPA 插件版本必须高于 3.0.0.31
  • Mac VPN 插件版本必须高于 3.1.4 (357)
注意：
如果 NetScaler 设备升级到 11.0 版本，所有以前的 VPN（和 EPA）插件都会升级到最新版本，无论升级控制配置如何。对于后续升级，它们将遵循以前的升级控制配置。

插件行为

注意：
从适用于 Windows 版本 25.2.x.x 的 EPA 客户端开始，当在最终用户设备上检测到更高版本的 EPA 客户端时，EPA 客户端会阻止降级到较低版本的提示。此功能适用于 NetScaler Gateway 中 Windows EPA 插件升级 配置（始终、必要 或 从不）的任何情况。此增强功能可确保最终用户设备始终运行最新版本的 EPA 客户端，从而维护安全性和稳定性。
对于每种客户端类型，NetScaler Gateway 允许以下三个选项来控制插件升级行为：
  • 始终
    当最终用户的插件版本与 NetScaler 附带的插件不匹配时，插件总是会升级。这是默认行为。如果您不希望企业中运行多个插件版本，请选择此选项。
  • 必要
    插件仅在必要时升级。在以下两种情况下，升级被认为是必要的：
    • 已安装的插件与当前的 NetScaler 版本不兼容。
    • 必须更新已安装的插件以获取必要的安全修复。
    如果您想最大限度地减少插件升级次数，但又不想错过任何插件安全更新，请选择此选项。
    注意：
    适用于 Linux 的 Citrix Secure Access 客户端不支持插件升级选项 Essential。
    为确保 Windows 插件升级 参数的 Essential 选项功能正常，请按照以下步骤操作：
    1. 从 Citrix 下载 页面下载所需版本的 win-vpn.tgz。
    2. 提取 win-vpn.tgz 文件。此提取包含三个文件：AGEE-setup.exe、nsepa_setup.exe 和 package.json。
    3. 编辑 package.json 文件以添加 compatibleFrom 和 compatibleTill 参数。您可以从“https://<vserv_url>/vpn/pluginList.xml”处的 pluginList.xml 文件中获取 compatibleFrom 值。
      以下是修改后的 package.json 文件的示例：
      {
      "Description": "This zip file contains VPN and EPA Plugins for Windows",
      "packages": [
          {
          "metadata": {
              "version": "25.5.1.15"
                  "compatibleFrom": "25.5.1.15",
                  "compatibleTill": ""
          },
          "type": "WIN-VPN"
          },
          {
          "metadata": {
              "version": "25.5.1.15"
                  "compatibleFrom": "25.5.1.15",
                  "compatibleTill": ""
          },
          "type": "WIN-EPA"
          },
          {
          "metadata": {
              "version": "25.5.1.15"
                  "compatibleFrom": "25.5.1.15",
                  "compatibleTill": ""
          },
          "type": "WIN-EPA64"
          }
      ]
      }
    4. 将所有三个文件重新压缩为 .tgz 格式，然后将此新的 .tgz 文件上传到 NetScaler。有关更多信息，请参阅 在 NetScaler Gateway 上升级适用于 Windows 的 Citrix Secure Access 客户端和 EPA 客户端。
      客户端升级
    5. 上传后，验证 NetScaler 上的 pluginList.xml 文件是否已使用正确的 compatibleFrom 值进行更新。
      插件验证
    6. 从适用于 Windows 的 Citrix Secure Access 客户端连接到虚拟服务器 URL。系统会提示用户继续进行插件升级。
      升级提示
  • 从不
    插件不会升级。
    注意：
    对于 eLux® 和 IGEL OS，客户端体验选项卡中的Linux 插件升级选项必须始终设置为从不。

用于控制 VPN 插件升级的 CLI 参数

NetScaler Gateway 支持 Windows 和 Mac 操作系统上的两种插件（EPA 和 VPN）。为了在会话级别支持 VPN 插件升级控制，NetScaler Gateway 支持两个名为 WindowsinPluginUpgrade 和 MacPluginUpgrade 的会话配置文件参数。
这些参数可在全局、虚拟服务器、组和用户级别使用。每个参数可以具有 Always、Essential 或 Never 值。有关这些参数的说明，请参阅插件行为。

用于控制 EPA 插件升级的 CLI 参数

NetScaler Gateway 支持 Windows 和 Mac 操作系统上的 EPA 插件。为了在虚拟服务器级别支持 EPA 插件升级控制，NetScaler Gateway 支持两个名为 windowsEPAPluginUpgrade 和 macEPAPluginUpgrade 的虚拟服务器参数。
这些参数可在虚拟服务器级别使用。每个参数可以具有 Always、Essential 或 Never 值。有关这些参数的说明，请参阅插件行为

VPN 配置

请按照以下步骤进行 Windows、Linux 和 Mac 插件的 VPN 配置。
  1. 转到 NetScaler > 策略 > 会话。
  2. 选择所需的会话策略，然后单击编辑。
  3. 选择客户端体验选项卡。
  4. 这些对话框选项会影响升级行为。
    • 始终
    • 必要
    • 从不
    默认值为“始终”。
  5. 选中每个选项右侧的复选框。选择应用升级行为的频率。
    升级选项(/en-us/netscaler-gateway/media/figure6-expandedpluginview.png)

EPA 配置

请按照以下步骤配置 Windows、Linux 和 Apple 插件的 EPA。
  1. 转到 NetScaler Gateway > 虚拟服务器。
  2. 选择一个服务器，然后单击“编辑”按钮。
  3. 单击“铅笔”图标。
    单击铅笔图标(/en-us/netscaler-gateway/media/figa_vpnserver.png)
  4. 单击“更多”
  5. 出现的对话框会影响升级行为。可用选项包括：
    • 始终
    • 必需
    • 从不