为用户选择 Citrix Secure Access™ 客户端

Last published : Oct 14, 2026
配置 NetScaler Gateway 时，您可以选择用户登录方式。用户可以使用以下插件之一登录：
  • 适用于 Windows 的 Citrix Secure Access 客户端
  • 适用于 macOS 的 Citrix Secure Access 客户端
您可以通过创建会话策略，然后将策略绑定到用户、组或虚拟服务器来完成配置。您还可以通过配置全局设置来启用插件。在全局或会话配置文件中，您可以选择 Windows 或 macOS X 作为插件类型。用户登录时，他们会收到全局或会话配置文件和策略中定义的插件。为插件类型创建单独的配置文件。
Related information
NetScaler Gateway 设备上的 VPN 配置
通过 Active Directory 部署 Citrix Secure Access™ 客户端使用 Active Directory 管理 Citrix Secure Access™ 客户端

全局配置插件

  1. 导航到 NetScaler Gateway > 全局设置。
  2. 在详细信息窗格中，在 设置 下，单击 更改全局设置。
  3. 在 客户端体验 选项卡上，在 插件类型 旁边，选择 Windows/MAC OS X，然后单击 确定。

在会话配置文件中配置适用于 Windows 或 macOS 的插件类型

  1. 导航到 NetScaler Gateway > 策略 > 会话。
  2. 执行以下操作之一：
    • 如果要创建会话策略，请在详细信息窗格中单击 添加。
    • 如果要更改现有策略，请选择一个策略，然后单击 打开。
  3. 创建配置文件或修改现有配置文件。为此，请执行以下操作之一：
    • 在 配置文件 旁边，点击 添加。
    • 在 配置文件 旁边，点击 编辑。
  4. 在 客户端体验 选项卡中，在 插件类型 旁边，点击 覆盖全局，然后选择 Windows/MAC OS X。
  5. 执行以下操作之一：
    • 如果您正在创建配置文件，点击 创建，在策略对话框中设置表达式，点击 创建，然后点击 关闭。
    • 如果您正在修改现有配置文件，在做出选择后，点击两次 确定。

适用于 Windows 的 Citrix Secure Access 客户端

当用户登录到 NetScaler Gateway 时，他们会在用户设备上下载并安装 Citrix Secure Access 客户端。
要安装插件，用户必须是本地管理员或 Administrators 组的成员。此限制仅适用于首次安装。插件升级不需要管理员级别的访问权限。
要使用户能够连接和使用 NetScaler Gateway，您需要向他们提供以下信息：
  • NetScaler Gateway 网址，例如 <https://NetScalerGatewayFQDN/>
  • 如果您配置了端点资源和策略，则运行 Citrix Secure Access 客户端的任何系统要求
根据用户设备的配置，您可能还需要提供以下信息：
  • 如果用户在其计算机上运行防火墙，他们必须更改防火墙设置，以使防火墙不会阻止与您授予访问权限的资源对应的 IP 地址之间的流量。Citrix Secure Access 客户端会自动处理 Windows XP 中的 Internet 连接防火墙以及 Windows XP Service Pack 2、Windows Vista、Windows 7、Windows 8 或 Windows 8.1 中的 Windows 防火墙。
  • 希望通过 NetScaler Gateway 连接将流量发送到 FTP 的用户必须将其 FTP 应用程序设置为执行被动传输。被动传输意味着远程计算机建立与您的 FTP 服务器的数据连接，而不是由 FTP 服务器建立与远程计算机的数据连接。
  • 希望通过连接运行 X 客户端应用程序的用户必须在其计算机上运行 X 服务器，例如 XManager。
  • 安装适用于 Windows 的 Receiver 或适用于 Mac 的 Receiver 的用户可以从 Receiver 或通过使用 Web 浏览器启动 Citrix Secure Access 客户端。向用户提供有关如何通过 Receiver 或 Web 浏览器使用 Citrix Secure Access 客户端登录的说明。
由于用户处理文件和应用程序时就像它们在组织的本地网络中一样，因此您无需重新培训用户或配置应用程序。
首次建立安全连接时，请使用 Web 登录页面登录 NetScaler Gateway。Web 地址的典型格式为 <https://companyname.com>。用户登录后，可以在其计算机上下载并安装 Citrix Secure Access 客户端。

安装适用于 Windows 的 Citrix Secure Access 客户端

  1. 在 Web 浏览器中，键入 NetScaler Gateway 的 Web 地址。
  2. 键入用户名和密码，然后单击“登录”。
  3. 选择“网络访问”，然后单击“下载”。
  4. 按照说明安装插件。
下载完成后，Citrix Secure Access 客户端将连接并在基于 Windows 的计算机的通知区域中显示一条消息。
如果您希望用户在不使用 Web 浏览器的情况下连接 Citrix Secure Access 客户端，则可以配置插件，使其在用户右键单击基于 Windows 的计算机通知区域中的 NetScaler Gateway 图标或从“开始”菜单启动插件时显示登录对话框。

配置适用于 Windows 的 Citrix Secure Access 客户端的登录对话框

要将 Citrix Secure Access 客户端配置为使用登录对话框，用户必须登录才能完成此过程。
  1. 在基于 Windows 的计算机上，在通知区域中，右键单击 NetScaler Gateway 图标，然后单击“配置 NetScaler Gateway”。
  2. 单击“配置文件”选项卡，然后单击“更改配置文件”。
  3. 在“选项”选项卡上，单击“使用 Citrix Secure Access 客户端进行登录”。
    注意：
    如果用户从 Receiver 中打开“配置 NetScaler Gateway”对话框，则“选项”选项卡不可用。

为适用于 Windows 的 Citrix Secure Access 客户端设置拦截模式

如果您正在配置适用于 Windows 的 Citrix Secure Access 客户端，则还需要配置拦截模式并将其设置为透明。
  1. 在配置实用程序中，单击“配置”选项卡，展开“NetScaler Gateway > 资源”，然后单击“内部网应用程序”。
  2. 在详细信息窗格中，单击“添加”。
  3. 在“名称”中，键入策略的名称。
  4. 单击“透明”。
  5. 在“协议”中，选择“任意”。
  6. 在“目标类型”中，选择“IP 地址和网络掩码”。
  7. 在“IP 地址”中，键入 IP 地址。
  8. 在“网络掩码”中，键入子网掩码，单击“创建”，然后单击“关闭”。

适用于 Windows Citrix Secure Access 的 Microsoft Edge 网页视图支持

适用于 Windows Citrix Secure Access 的 Microsoft Edge WebView 支持可提供增强的最终用户体验。有关详细信息，请参阅 适用于 Windows Citrix Secure Access 的 Microsoft Edge WebView 支持

使用 Windows 筛选平台的 Windows Citrix Secure Access 客户端

Windows 筛选平台 (WFP) 是一组 API 和系统服务，提供了一个用于创建网络筛选应用程序的平台。WFP 旨在取代以前的数据包筛选技术，即与 DNE 驱动程序一起使用的网络驱动程序接口规范 (NDIS) 筛选器。Windows Citrix Secure Access 客户端的 22.6.1.5 版本支持 WFP 模式。

安装 WFP 版本

您可以使用以下方法之一安装 WFP 版本。
  • 安装同时包含 DNE 和 WFP 驱动程序的 VPN 插件（默认方法）
    当插件同时安装了 DNE 和 WFP 驱动程序时，管理员可以通过注册表项选择使用 WFP 或 DNE 驱动程序进行隧道连接。默认情况下，DNE 驱动程序用于隧道连接。
  • 仅安装 WFP 驱动程序的 VPN 插件（跳过 DNE 驱动程序安装）
    即使不使用，某些第三方应用程序也不支持 DNE 驱动程序。对于这些部署，管理员可以使用此安装类型。由于未安装 DNE 驱动程序，因此仅使用 WFP 驱动程序进行隧道连接。

选择 WFP 驱动程序而不是 DNE 驱动程序

执行以下步骤以选择 WFP 驱动程序而不是 DNE 驱动程序。
注意：
这仅适用于默认安装方法。
  1. 下载支持 WFP 的 VPN 插件版本并安装新的 VPN 插件。
  2. 默认情况下，DNE 驱动程序用于隧道传输流量。要使用 WFP 驱动程序进行隧道连接，管理员必须创建以下注册表项：
    • 注册表路径 - HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\Secure Access Client
      • REG_TYPE - REG_DWORD
      • REG_NAME - EnableWFP
      • REG_VALUE – 将值设置为 1 以使用 WFP，设置为 0 以使用 DNE（如果此注册表值不存在或设置为 0，则默认启用 DNE）
注意：
在将隧道模式从 DNE 切换到 WFP 或反向切换后，系统必须重新启动以使更改正确生效。

完全跳过 DNE 安装

执行以下步骤以跳过 DNE 安装。
  1. 执行 VPN 插件的干净卸载。
    1. 卸载计算机上当前存在的 VPN 插件并重新启动计算机。
    2. 使用以下任一选项检查 DNE 驱动程序是否已卸载。
      • 打开提升的命令提示符（或 PowerShell）。运行以下命令（示例输出显示基于 DNE 的驱动程序已安装在系统上）
      PS C:\Users\Administrator> sc qc cag
      [SC] QueryServiceConfig SUCCESS
      SERVICE_NAME: cag
      TYPE               : 1  KERNEL_DRIVER
      START_TYPE         : 2   AUTO_START
      ERROR_CONTROL      : 1   NORMAL
      BINARY_PATH_NAME   : \??\C:\Program Files\Common Files\Deterministic Networks\Common Files\cag.sys
      LOAD_ORDER_GROUP   :
      TAG                : 0
      DISPLAY_NAME       : Citrix cag plugin for Access Gateway
      DEPENDENCIES       :
      SERVICE_START_NAME :
      PS C:\Users\Administrator> sc qc dne
      [SC] QueryServiceConfig SUCCESS

      SERVICE_NAME: dne
      TYPE               : 1  KERNEL_DRIVER
      START_TYPE         : 1   SYSTEM_START
      ERROR_CONTROL      : 1   NORMAL
      BINARY_PATH_NAME   : \SystemRoot\system32\DRIVERS\dnelwf64.sys
      LOAD_ORDER_GROUP   : NDIS
      TAG                : 38
      DISPLAY_NAME       : DNE LightWeight Filter
      DEPENDENCIES       :
      SERVICE_START_NAME :
      如果驱动程序未安装，将显示以下输出：
      The specified service does not exist as an installed service..
    由于 DNE 驱动程序 (dnelwf64.sys) 也被其他供应商使用，因此即使系统上未安装 Citrix Secure Access 客户端，它也可能存在。另一方面，CAG 插件仅由 Citrix Secure Access 客户端使用。
    • 还可以通过尝试启动 CAG 和 DNE 驱动程序来检查 DNE 是否存在。使用管理员权限打开命令提示符并运行以下命令：
      net start cag
      net start dne
      • 如果输出消息指示无法找到服务（服务名称无效），则插件和驱动程序组件已成功卸载。在这种情况下，请转到步骤 2。
      • 如果插件和驱动程序组件未成功卸载，请按照以下说明在客户端计算机上运行清理实用程序 nsRmSac.exe：
        • 解压清理实用程序并将其复制到文件夹中。
        • 以管理员权限从命令提示符运行 nsRmSAC.exe。
        • 重启客户端计算机。
        清理实用程序 nsRmSac.exe 可在 思杰下载 页面上的“清理实用程序”部分下找到。
        下载 nsRmSac
        注意：
        从适用于 Windows 版本 24.10.1.5 的 Citrix Secure Access 客户端开始，清理实用程序 nsRmSac.exe 支持命令行参数 /quiet 和 /autoreboot。nsRmSac.exe /quiet /autoreboot 命令使清理实用程序无需手动干预即可运行。
        • /quiet 选项会删除 Citrix Secure Access 应用程序和关联的驱动程序。
        • /autoreboot 选项会在 nsRmSac.exe 实用程序完成清理功能后重新启动系统。/autoreboot 参数仅适用于 /quiet 选项。
  2. 创建以下注册表项。
    • 注册表路径 - HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\Secure Access Client
      • 注册表类型 - REG_DWORD
      • 注册表名称 - SkipDNE
      • REG_VALUE - 设置为 1 以确保 DNE 未安装在计算机上
    • 注册表路径 - HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\Secure Access Client
      • REG_TYPE - REG_DWORD
      • REG_NAME - EnableWFP
      • REG_VALUE - 设置为 1 以启用 WFP（如果跳过 DNE 安装，则必须创建此条目）
    注意：
    • 如果在安装前未创建注册表项，则默认安装 DNE。此外，您可以检查 VPN 日志文件以验证是使用 WFP 还是 DNE。
    • 如果跳过 DNE 安装，则必须将 EnableWFP 设置为 1。在这种情况下，如果不重新安装 Citrix Secure Access 客户端，则无法切换到基于 DNE 的插件。
  3. 安装新的 VPN 插件。
  4. 确认 WFP 驱动程序是否已安装在系统上。打开提升的命令提示符并运行以下命令。示例输出显示 WFP 驱动程序已安装在系统上。
    PS C:\Users\Administrator> sc qc ctxsgwcallout
    [SC] QueryServiceConfig SUCCESS

    SERVICE_NAME: ctxsgwcallout
        TYPE               : 1  KERNEL_DRIVER
        START_TYPE         : 1   SYSTEM_START
        ERROR_CONTROL      : 0   IGNORE
        BINARY_PATH_NAME   : \??\C:\Program Files\Citrix\Secure Access Client\ctxsgwcallout.sys
        LOAD_ORDER_GROUP   :
        TAG                : 0
        DISPLAY_NAME       : Citrix Secure Access Callout Driver
        DEPENDENCIES       :
        SERVICE_START_NAME :
    如果未安装驱动程序，则显示以下输出：
    The specified service does not exist as an installed service..
  5. 重新启动客户端计算机。

WFP 的优势

如果客户端上进行了独立的 WFP 驱动程序安装，以下是 WFP 的一些优势。
  • 基于 FQDN 的反向拆分隧道支持： WFP 驱动程序支持基于 FQDN 的反向拆分隧道。DNE 驱动程序不支持此功能。有关更多详细信息，请参阅拆分隧道选项。
  • Wireshark 支持： DNE 不允许在客户端计算机上捕获双向流量，因为它与以太网/Wi-Fi 适配器相关联。新 WFP 驱动程序不存在此问题。任何流量捕获（单向或双向）都经过加密，需要 SSL 密钥才能解密。
  • NMAP 支持： 新的 WFP 驱动程序支持在 VPN 插件用于隧道传输流量时进行 NMAP 扫描，而 DNE 不允许在 VPN 插件用于隧道传输流量时进行 NMAP 扫描。
  • 网络速度： 在某些情况下，如果在客户端计算机上安装了 DNE，下载和上传速度会受到影响，而 WFP 则不会出现这种情况。
  • 改进的 nslookup 性能： 有时使用 DNE 时，nslookup 尝试次数较少时无法响应，而 WFP 则未观察到相同情况。
  • 改进的 UDP iperf 性能： 使用 DNE 时，在使用 iperf 进行 UDP 可扩展性测试期间观察到一些数据包丢失。使用 WFP 时未观察到数据包丢失。

适用于 macOS 的 Citrix Secure Access 客户端

  1. 从 App Store 下载适用于 macOS/iOS 的 Citrix Secure Access 应用程序。
  2. 下载完成后，单击“打开”。
有关如何使用适用于 macOS 的 Citrix Secure Access 的详细信息，请参阅如何从 macOS 设备使用 Citrix Secure Access 应用程序。

根据 ADC 配置强制执行最终用户的本地 LAN 访问

管理员可以限制最终用户在其客户端计算机上禁用本地 LAN 访问选项。现有本地 LAN 访问参数值中添加了一个新选项“FORCED”。当本地 LAN 访问值设置为 FORCED 时，客户端计算机上的最终用户始终启用本地 LAN 访问。最终用户无法使用 Citrix Secure Access 客户端 UI 禁用本地 LAN 设置。
管理员可以通过将本地 LAN 访问参数设置为 ON 来使最终用户能够访问其客户端计算机上的本地 LAN 资源。要阻止最终用户访问其客户端计算机上的本地 LAN 资源，管理员可以将本地 LAN 访问参数设置为 OFF。有关最终用户配置的详细信息，请参阅适用于 macOS 的本地 LAN 访问 和适用于 iOS 的本地 LAN 访问。
要使用 GUI 启用强制选项：
  1. 导航到 NetScaler Gateway > 全局设置 > 更改全局设置。
  2. 点击“客户端体验”选项卡，然后点击“高级设置”。
  3. 在“本地 LAN 访问”中，选择“强制”。
启用本地 LAN 访问
要使用 CLI 启用强制选项，请运行以下命令：
set vpn parameter -localLanAccess FORCED
注意：
  • 适用于 macOS/iOS 的 Citrix Secure Access 客户端及更高版本支持 NetScaler Gateway 的本地 LAN 访问功能。
  • 从适用于 Windows 23.10.1.7 的 Citrix Secure Access 客户端开始，如果 NetScaler Gateway 上的“本地 LAN 访问”参数设置为“强制”，则在计算机级隧道上支持本地 LAN 访问。