会话策略

Last published : Oct 14, 2026
会话策略是应用于用户、组、虚拟服务器和全局的表达式和设置的集合。
您可以使用会话策略来配置用户连接的设置。您可以定义设置来配置用户登录所用的软件，例如适用于 Windows 的 Citrix Secure Access 客户端或适用于 Mac 的 Citrix Secure Access 客户端。您还可以配置设置以要求用户使用 Citrix Workspace 应用程序或 Secure Hub 登录。会话策略在用户通过身份验证后进行评估和应用。
会话策略根据以下规则应用：
  • 会话策略始终覆盖配置中的全局设置。
  • 任何未使用会话策略设置的属性或参数都将在为虚拟服务器建立的策略上设置。
  • 任何未由会话策略或虚拟服务器设置的其他属性都将由全局配置设置。
重要提示：
以下说明是创建会话策略的一般准则。对于不同配置（例如无客户端访问或访问已发布的应用程序）的会话策略配置，有特定的说明。这些说明可能包含配置特定设置的指导。但是，该设置可以是会话配置文件和策略中包含的众多设置之一。这些说明指导您在会话配置文件中创建设置，然后将该配置文件应用于会话策略。您可以在不创建会话策略的情况下更改配置文件和策略中的设置。此外，您可以在全局级别创建所有设置，然后创建会话策略来覆盖全局设置。
如果您在网络中部署 Citrix Endpoint Management 或 StoreFront，Citrix 建议使用快速配置向导来配置会话策略和配置文件。运行向导时，您将定义部署的设置。NetScaler Gateway 然后创建所需的身份验证、会话和无客户端访问策略。
Related information
NetScaler Gateway 设备上的 VPN 配置

创建会话策略

  1. 在配置实用程序中，在“Configuration”（配置）选项卡上的导航窗格中，展开“NetScaler Gateway”>“Policies”（策略），然后单击“Session”（会话）。
  2. 在详细信息窗格的“Policies”（策略）选项卡上，单击“Add”（添加）。
  3. 在“Name”（名称）中，键入策略的名称。
  4. 在“Request Profile”（请求配置文件）旁边，单击“New”（新建）。
  5. 在“名称”中，键入配置文件的名称。
  6. 完成会话配置文件的设置，然后单击“创建”。
  7. 在“创建会话配置文件”对话框中，为策略添加表达式，单击“创建”，然后单击“关闭”。 注意：在表达式中，选择 True 值，以便策略始终应用于其绑定的级别。

会话策略表达式示例

以下是会话策略的表达式示例：
  • add vpn sessionPolicy sessPol1 "HTTP.REQ.HEADER(\"User-Agent\").CONTAINS(\"CitrixReceiver\") || HTTP.REQ.HEADER(\"User-Agent\").CONTAINS(\"CitrixWorkspace\")" sessAct1
  • add vpn sessionPolicy sessPol2 "HTTP.REQ.HEADER(\"User-Agent\").CONTAINS(\"CitrixReceiver\").NOT" sessAct2
  • add vpn sessionPolicy sessPol3 true sessAct3

绑定会话策略

创建会话策略后，将其绑定到用户、组、虚拟服务器或全局。会话策略按以下顺序分层应用：
  • 用户
  • 组
  • 虚拟服务器
  • 全局

使用 GUI 将会话策略绑定到虚拟服务器

  1. 导航到 NetScaler Gateway > 虚拟服务器。
  2. 选择一个虚拟服务器，然后点击编辑。您也可以创建一个新的虚拟服务器。
  3. 向下滚动到策略部分，然后点击**+**图标。
  4. 在选择策略中，选择会话。
  5. 在选择类型中，选择请求，然后点击继续。
  6. 在选择策略中，选择要绑定到此虚拟服务器的策略。
  7. 在优先级中，输入策略的优先级编号。
  8. 点击绑定。

使用 GUI 将会话策略绑定到身份验证、授权和审计组

  1. 导航到 NetScaler Gateway > 用户管理 > AAA 组。
  2. 选择一个现有的身份验证、授权和审计组，然后点击编辑。您也可以创建一个身份验证、授权和审计组。
  3. 在高级设置中，点击策略，然后点击**+**图标。
  4. 在选择策略中，选择会话，然后点击继续。
  5. 在选择策略中，选择要绑定到此身份验证、授权和审计组的策略。
  6. 在优先级中，输入策略的优先级编号。
  7. 点击绑定。

使用 GUI 将会话策略绑定到身份验证、授权和审计用户

  1. 导航到 NetScaler Gateway > 用户管理 > AAA 用户。
  2. 选择一个现有的 NetScaler 用户，然后点击编辑。您还可以创建身份验证、授权和审计用户。
  3. 在高级设置中，点击策略，然后点击**+**图标。
  4. 在选择策略中，选择会话，然后点击继续。
  5. 在选择策略中，选择要绑定到此身份验证、授权和审计用户的策略。
  6. 在优先级中，输入策略的优先级编号。
  7. 点击绑定。
注意：有关优先级的详细信息，请参阅 <https://support.citrix.com/article/CTX214588>。

创建会话配置文件

会话配置文件包含用户连接的设置。
如果用户设备满足策略表达式条件，会话配置文件会指定应用于用户会话的操作。配置文件与会话策略一起使用。您可以使用配置实用程序独立于会话策略创建会话配置文件，然后将该配置文件用于多个策略。一个策略只能使用一个配置文件。

在会话配置文件中配置用户连接的网络设置

您可以使用会话配置文件中的网络配置选项卡配置用户连接的以下网络设置：
  • DNS 服务器
  • WINS 服务器 IP 地址
  • 可用作内网 IP 地址的映射 IP 地址
  • 地址池（内网 IP 地址）的溢出设置
  • 内网 IP DNS 后缀
  • HTTP 端口
  • 强制超时设置

在会话配置文件中配置连接设置

您可以使用会话配置文件中的“客户端体验”选项卡来配置以下连接设置：
  • 访问界面或自定义主页
  • 基于 Web 的电子邮件的 Web 地址，例如 Outlook Web Access
  • 插件类型（适用于 Windows 的 Citrix Secure Access™ 客户端，或适用于 macOS X 的 Citrix Secure Access 客户端）
  • 拆分隧道
  • 会话和空闲超时设置
  • 无客户端访问
  • 无客户端访问 URL 编码
  • 插件类型（Windows 或 Mac）
  • Web 应用程序的单点登录
  • 用于身份验证的凭据索引
  • Windows 单点登录
  • 客户端清理行为
  • 登录脚本
  • 客户端调试设置
  • 分割 DNS
  • 访问专用网络 IP 地址和本地 LAN 访问
  • 客户端选择
  • 代理设置
注意：
  • Citrix Secure Access 客户端支持基于 TCP 和 UDP 的 DNS 请求的分割 DNS 解析。DNS 解析根据分割 DNS 设置工作，如下所示：
    • 远程： 所有 DNS 请求都在远程 DNS 服务器上解析。
    • 本地： 匹配 DNS 后缀或隧道应用程序的主机名的 DNS 请求将发送到远程 DNS 服务器。其他主机名的 DNS 请求将发送到本地 DNS 服务器。
    • 两者： 所有匹配 DNS 后缀或隧道应用程序的 DNS 请求都将发送到远程 DNS 服务器。其他主机名的 DNS 请求将发送到本地和远程服务器，并接受第一个成功的响应。
  • 从适用于 Windows 版本 24.8.1.15 的 Citrix Secure Access 客户端开始，拆分 DNS 功能除了适用于基于 UDP 的请求外，还适用于基于 TCP 的 DNS 请求。
  • 从适用于 Linux 版本 25.2.2 的 Citrix Secure Access 开始，拆分 DNS 功能（远程、本地和两者）适用于基于 TCP 和 UDP 的 DNS 请求。拆分 DNS 设置两者的功能与拆分 DNS 设置本地相同。
有关配置用户连接设置的更多信息，请参阅配置 Citrix Secure Access 客户端的连接。

在会话配置文件中配置安全设置

您可以使用会话配置文件中的“安全”选项卡来配置以下安全设置：
  • 默认授权操作（允许或拒绝）
  • 适用于 iOS 设备连接的安全浏览
  • 隔离组
  • 授权组
有关在 NetScaler Gateway 上配置授权的更多信息，请参阅配置授权。

在会话配置文件中配置 Citrix Virtual Apps and Desktops 设置

您可以使用会话配置文件中的“已发布的应用程序”选项卡来配置连接到运行 Citrix Virtual Apps and Desktops 的服务器的以下设置：
  • ICA 代理，即使用 Citrix Workspace 应用程序的客户端连接
  • Web 界面地址
  • Web Interface 门户模式
  • 单点登录到服务器场域
  • Citrix Workspace 应用程序主页
  • 帐户服务地址
有关配置连接到服务器场中已发布应用程序的设置的更多信息，请参阅 将 NetScaler Gateway 与 StoreFront 集成。
您可以独立于会话策略创建会话配置文件。创建策略时，可以选择要附加到策略的配置文件。

使用 GUI 创建会话配置文件

  1. 在配置实用程序中，在“配置”选项卡上的导航窗格中，展开 NetScaler Gateway > 策略，然后单击 会话。
  2. 在详细信息窗格中，单击“配置文件”选项卡，然后单击“添加”。
  3. 配置配置文件的设置，单击“创建”，然后单击“关闭”。
创建配置文件后，可以将其包含在会话策略中。

使用 GUI 将配置文件添加到会话策略

  1. 在配置实用程序中，在导航窗格中，展开 Access Gateway > 策略，然后单击 会话。
  2. 在“策略”选项卡上，执行以下操作之一：
    • 点击 添加 以创建会话策略。
    • 选择一个策略，然后点击 打开。
  3. 在 请求配置文件 中，从列表中选择一个配置文件。
  4. 完成会话策略的配置，然后执行以下操作之一：
    1. 点击 创建，然后点击 关闭 以创建策略。
    2. 点击 确定，然后点击 关闭 以修改策略。