流量策略

Last published : Oct 14, 2026
流量策略允许您为用户连接配置以下设置：
  • 对从不受信任网络访问的敏感应用程序强制执行更短的超时时间。
  • 将网络流量切换为对某些应用程序使用 TCP。如果选择 TCP，则必须为某些应用程序启用或禁用单点登录。
  • 识别您希望对 Citrix Secure Access™ 客户端流量使用其他 HTTP 功能的情况。
  • 定义与文件类型关联一起使用的文件扩展名。
Related information
NetScaler Gateway 设备上的 VPN 配置

创建流量策略

要配置流量策略，您需要创建一个配置文件并配置以下参数：
  • 协议（HTTP 或 TCP）
  • 应用程序超时
  • Web 应用程序的单点登录
  • 表单单点登录
  • 文件类型关联
  • 中继器插件
  • Kerberos 约束委派 (KCD) 帐户
创建流量策略后，您可以将该策略绑定到虚拟服务器、用户、组或全局。
例如，您在内部网络中的服务器上安装了 Web 应用程序 PeopleSoft Human Resources。您可以为此应用程序创建流量策略，该策略定义目标 IP 地址、目标端口，并且您可以设置用户可以保持登录到应用程序的时间量，例如 15 分钟。
如果要配置其他功能（例如对应用程序进行 HTTP 压缩），可以使用流量策略来配置设置。创建策略时，请对操作使用 HTTP 参数。在表达式中，创建运行该应用程序的服务器的目标地址。

流量策略表达式示例

以下是流量策略的表达式示例：
  • add vpn trafficPolicy trafPol1 "HTTP.REQ.URL.CONTAINS(\"/Citrix/\") || HTTP.REQ.URL.CONTAINS(\"10.102.\")")" trafAct1
  • add vpn trafficPolicy trafPol2 "HTTP.REQ.HOSTNAME.CONTAINS(\"portal-srv\") || HTTP.REQ.URL.CONTAINS(\"homePage\"))" trafAct2
  • add vpn trafficPolicy trafPol3 true trafAct3

使用 GUI 配置流量策略

  1. 展开 NetScaler Gateway > 策略，然后单击 流量。
  2. 在详细信息窗格中，在策略选项卡上，单击添加。
  3. 在创建流量策略对话框中，在名称中，键入策略的名称。
  4. 在请求配置文件旁边，单击新建。
  5. 在名称中，键入配置文件的名称。
  6. 在协议中，选择 HTTP 或 TCP。
    注意： 如果选择 TCP 作为协议，则无法配置单点登录，并且配置文件对话框中的设置将被禁用。
  7. 在 AppTimeout (分钟) 中，键入分钟数。此设置限制了用户可以登录到 Web 应用程序的时间。
  8. 要为 Web 应用程序启用单点登录，请在 Single Sign-On 中选择 ON。
    注意： 要使用基于表单的单点登录，可以在流量配置文件中配置设置。有关详细信息，请参阅 配置基于表单的单点登录。
    注意： SSO 设置仅适用于不使用 Citrix Secure Access 客户端的连接。
  9. 要指定文件类型关联，请在 File Type Association 中选择 ON。
  10. 要使用中继器插件优化网络流量，请在 Citrix SD-WAN™ 中选择 ON，单击 Create，然后单击 Close。
  11. 如果在设备上配置 KCD，请在 KCD Account 中选择帐户。
    有关在设备上配置 KCD 的详细信息，请参阅 如何为 Kerberos 约束委派配置 NetScaler Gateway。
  12. 在“创建流量策略”对话框中，创建或添加表达式，单击 Create，然后单击 Close。

配置基于表单的单点登录

基于表单的单点登录允许用户一次登录到网络中的所有受保护应用程序。在 NetScaler Gateway 中配置基于表单的单点登录后，用户可以访问需要基于 HTML 表单登录的 Web 应用程序，而无需再次键入密码。如果没有单点登录，用户需要单独登录才能访问每个应用程序。
创建表单单点登录配置文件后，您将创建一个包含该表单单点登录配置文件的流量配置文件和策略。有关详细信息，请参阅 创建流量策略。

配置基于表单的单点登录

  1. 展开 NetScaler Gateway > Policies，然后单击 Traffic。
  2. 在详细信息窗格中，单击“表单 SSO 配置文件”选项卡，然后单击“添加”。
  3. 在“名称”中，键入配置文件的名称。
  4. 在“操作 URL”中，键入提交已完成表单的 URL。
    注意： URL 是根相对 URL。
  5. 在“用户名”中，键入用户名字段的属性名称。
  6. 在“密码”中，键入密码字段的属性名称。
  7. 在“SSO 成功规则”中，创建描述此配置文件在策略调用时所执行操作的表达式。您还可以使用此字段下的“前缀”、“添加”和“运算符”按钮来创建表达式。
    此规则检查单点登录是否成功。
  8. 在“名称值对”中，键入用户名字段值，后跟一个与号 (&)，然后是密码字段值。
    值名称用与号 (&) 分隔，例如 name1=value1&name2=value2。
  9. 在“响应大小”中，键入允许的完整响应大小的字节数。键入响应中要解析以提取表单的字节数。
  10. 在“提取”中，选择名称/值对是静态还是动态。默认设置为“动态”。
  11. 在“提交方法”中，选择单点登录表单用于将登录凭据发送到登录服务器的 HTTP 方法。默认值为 Get。
  12. 单击“创建”，然后单击“关闭”。

配置 SAML 单点登录

您可以为单点登录 (SSO) 创建 SAML 1.1 或 SAML 2.0 配置文件。用户可以连接到支持 SAML 协议的 Web 应用程序以进行单点登录。NetScaler Gateway 支持 SAML Web 应用程序的身份提供程序 (IdP) 单点登录。

配置 SAML 单点登录

  1. 在配置实用程序中，在“配置”选项卡上的导航窗格中，展开 NetScaler Gateway \ > 策略，然后单击“流量”。
  2. 在详细信息窗格中，单击“SAML SSO 配置文件”选项卡。
  3. 在详细信息窗格中，单击“添加”。
  4. 在“名称”中，键入配置文件的名称。
  5. 在“签名证书名称”中，输入 X.509 证书的名称。
  6. 在“ACS URL”中，输入身份提供程序或服务提供程序的断言消费者服务。AssertionConsumerServiceURL (ACS URL) 为用户提供 SSO 功能。
  7. 在“中继状态规则”中，从“已保存的策略表达式”和“常用表达式”构建策略表达式。从“运算符”列表中选择以定义如何评估表达式。要测试表达式，请单击“评估”。
  8. 在“发送密码”中选择“开”或“关”。
  9. 在“颁发者名称”中输入 SAML 应用程序的身份。
  10. 单击“创建”，然后单击“关闭”。

绑定流量策略

您可以将流量策略绑定到虚拟服务器、组、用户以及 NetScaler Gateway 全局。您可以使用配置实用程序绑定流量策略。

使用 GUI 全局绑定流量策略

  1. 在配置实用程序中，在“配置”选项卡上，在导航窗格中，展开 NetScaler Gateway > 策略，然后单击“流量”。
  2. 在详细信息窗格中，选择一个策略，然后在“操作”中，单击“全局绑定”。
  3. 在“绑定/取消绑定流量策略”对话框中，在“详细信息”下，单击“插入策略”。
  4. 在“策略名称”下，选择策略，然后单击“确定”。

删除流量策略

您可以使用配置实用程序从 NetScaler Gateway 中删除流量策略。如果您使用配置实用程序删除流量策略，并且该策略已绑定到用户、组或虚拟服务器级别，则必须首先取消绑定该策略。然后，您可以删除该策略。

使用 GUI 取消绑定流量策略

  1. 展开 NetScaler Gateway，然后单击 虚拟服务器。
    • 展开 NetScaler Gateway > 用户管理，然后单击 AAA 组。
    • 展开 NetScaler Gateway > 用户管理，然后单击 AAA 用户。
  2. 在详细信息窗格中，选择一个虚拟服务器、组或用户，然后单击 打开。
  3. 在“配置 NetScaler Gateway 虚拟服务器、配置 AAA 组”或“配置 AAA 用户”对话框中，单击“策略”选项卡。
  4. 单击 流量，选择策略，然后单击 取消绑定策略。
  5. 单击 确定，然后单击 关闭。
流量策略取消绑定后，您可以删除该策略。

使用 GUI 移除流量策略

  1. 展开 NetScaler Gateway > 策略，然后单击流量。
  2. 在详细信息窗格的“策略”选项卡上，选择流量策略，然后单击删除。