Clientless VPN-Zugriff mit NetScaler Gateway konfigurieren

Last published : Oct 14, 2026
Der clientlose Zugriff ermöglicht Benutzern den benötigten Zugriff, ohne dass sie Benutzersoftware wie den Citrix Secure Access™ Client oder Receiver installieren müssen. Benutzer können ihren Webbrowser verwenden, um eine Verbindung zu Webanwendungen wie Outlook Web Access herzustellen.
Gehen Sie wie folgt vor, um den clientlosen Zugriff zu konfigurieren:
  • Aktivieren des clientlosen Zugriffs entweder global oder mithilfe einer Sitzungsrichtlinie, die an einen Benutzer, eine Gruppe oder einen virtuellen Server gebunden ist.
  • Auswählen der Codierungsmethode für die Webadresse.
Um den clientlosen Zugriff nur für einen bestimmten virtuellen Server zu aktivieren, deaktivieren Sie den clientlosen Zugriff global und erstellen Sie dann eine Sitzungsrichtlinie, um ihn zu aktivieren.
Wenn Sie den NetScaler Gateway-Assistenten zum Konfigurieren der Appliance verwenden, haben Sie die Möglichkeit, den clientlosen Zugriff innerhalb des Assistenten zu konfigurieren. Die Einstellungen im Assistenten werden global angewendet. Innerhalb des NetScaler Gateway-Assistenten können Sie die folgenden Client-Verbindungsmethoden konfigurieren:
  • Citrix Secure Access Client. Benutzer dürfen sich nur mit dem Citrix Secure Access Client anmelden.
  • Verwenden Sie den Citrix Secure Access Client und erlauben Sie den Fallback für Zugriffsszenarien. Benutzer melden sich mit dem Citrix Secure Access Client bei NetScaler Gateway an. Wenn das Benutzergerät einen Endpunktanalyse-Scan nicht besteht, dürfen sich Benutzer über den clientlosen Zugriff anmelden. In diesem Fall haben Benutzer nur eingeschränkten Zugriff auf Netzwerkressourcen.
  • Benutzern erlauben, sich über einen Webbrowser und clientlosen Zugriff anzumelden. Benutzer können sich nur über den clientlosen Zugriff anmelden und erhalten eingeschränkten Zugriff auf Netzwerkressourcen.
Related information
VPN-Konfiguration auf einer NetScaler Gateway Appliance
Erweiterter Clientless VPN-Zugriff mit NetScaler GatewayDomänenzugriff für Benutzer konfigurierenClientloser VPN-Zugriff für SharePoint 2003, SharePoint 2007 und SharePoint 2013Persistente Cookies für den Clientless-VPN-Zugriff aktivieren

Funktionsweise von Richtlinien für den clientlosen VPN-Zugriff

Sie konfigurieren den clientlosen Zugriff auf Webanwendungen, indem Sie Richtlinien erstellen. Die Einstellungen für eine Richtlinie für den clientlosen Zugriff können Sie im Konfigurationsdienstprogramm konfigurieren. Eine Richtlinie für den clientlosen Zugriff besteht aus einer Regel und einem Profil. Sie können die vorkonfigurierten Richtlinien für den clientlosen Zugriff verwenden, die mit NetScaler Gateway geliefert werden. Sie können auch eigene benutzerdefinierte Richtlinien für den clientlosen Zugriff erstellen.
NetScaler Gateway bietet vorkonfigurierte Richtlinien für Folgendes:
  • Outlook Web Access und Outlook Web App
  • SharePoint 2007
  • Alle anderen Webanwendungen
Hinweis:
OWA 2016 und SharePoint 2016 werden nur mit erweitertem clientlosem Zugriff unterstützt.
Beachten Sie die folgenden Merkmale der vorkonfigurierten Richtlinien für den clientlosen Zugriff:
  • Sie werden automatisch konfiguriert und können nicht geändert werden.
  • Jede Richtlinie ist auf globaler Ebene gebunden.
  • Jede Richtlinie wird nur erzwungen, wenn Sie den clientlosen Zugriff entweder global oder durch Erstellen einer Sitzungsrichtlinie aktivieren.
  • Sie können globale Bindungen nicht entfernen oder ändern, selbst wenn Sie den clientlosen Zugriff nicht aktivieren.
Die Unterstützung für andere Webanwendungen hängt von den Rewrite-Richtlinien ab, die Sie auf NetScaler Gateway konfigurieren. Citrix empfiehlt, alle von Ihnen erstellten benutzerdefinierten Richtlinien zu testen, um sicherzustellen, dass alle Komponenten der Anwendung erfolgreich umgeschrieben werden.
Wenn Sie Verbindungen von Receiver für Android, Receiver für iOS oder Citrix Secure Hub™ zulassen, müssen Sie den clientlosen Zugriff aktivieren. Für Citrix Secure Hub, das auf einem iOS-Gerät ausgeführt wird, müssen Sie auch Secure Browse innerhalb des Sitzungsprofils aktivieren. Secure Browse und der clientlose Zugriff arbeiten zusammen, um Verbindungen von iOS-Geräten zu ermöglichen. Sie müssen Secure Browse nicht aktivieren, wenn Benutzer keine Verbindung mit iOS-Geräten herstellen.
Der Schnellkonfigurationsassistent konfiguriert die richtigen Richtlinien und Einstellungen für den clientlosen Zugriff für mobile Geräte. Citrix® empfiehlt, den Schnellkonfigurationsassistenten auszuführen, um die richtigen Richtlinien für Verbindungen zu StoreFront und Citrix Endpoint Management zu konfigurieren.
Sie können benutzerdefinierte Richtlinien für den clientlosen Zugriff entweder global oder an einen virtuellen Server binden. Wenn Sie Richtlinien für den clientlosen Zugriff an einen virtuellen Server binden möchten, müssen Sie eine benutzerdefinierte Richtlinie erstellen und diese dann binden. Um unterschiedliche Richtlinien für den clientlosen Zugriff entweder global oder für einen virtuellen Server zu erzwingen, ändern Sie die Prioritätsnummer der benutzerdefinierten Richtlinie so, dass sie eine niedrigere Nummer als die vorkonfigurierten Richtlinien hat, wodurch die benutzerdefinierte Richtlinie eine höhere Priorität erhält. Wenn keine anderen Richtlinien für den clientlosen Zugriff an den virtuellen Server gebunden sind, haben die vorkonfigurierten globalen Richtlinien Vorrang.
Hinweis:
Sie können die Prioritätsnummern der vorkonfigurierten Richtlinien für den clientlosen Zugriff nicht ändern.

Clientlosen VPN-Zugriff aktivieren

Wenn Sie den clientlosen Zugriff auf globaler Ebene aktivieren, erhalten alle Benutzer die Einstellungen für den clientlosen Zugriff. Sie können den NetScaler Gateway-Assistenten, eine globale Richtlinie oder eine Sitzungsrichtlinie verwenden, um den clientlosen Zugriff zu aktivieren.
In einer globalen Einstellung oder einem Sitzungsprofil hat der clientlose Zugriff die folgenden Einstellungen:
  • Ein. Aktiviert den clientlosen Zugriff. Wenn Sie die Client-Auswahl deaktivieren und StoreFront™ nicht konfigurieren oder deaktivieren, melden sich Benutzer über den clientlosen Zugriff an.
  • Aus. Der clientlose Zugriff ist standardmäßig nicht aktiviert. Der clientlose Zugriff wird aktiviert, nachdem sich Benutzer mit dem Citrix Secure Access Client angemeldet haben. Wenn Sie die Client-Auswahl deaktivieren und StoreFront nicht konfigurieren oder deaktivieren, melden sich Benutzer mit dem Citrix Secure Access Client an. Wenn die Endpunktanalyse bei der Benutzeranmeldung fehlschlägt, erhalten Benutzer die Auswahlseite mit verfügbarem clientlosem Zugriff.
  • Deaktiviert. Der clientlose Zugriff ist deaktiviert. Wenn Sie Deaktiviert auswählen, können sich Benutzer nicht über den clientlosen Zugriff anmelden, und das Symbol für den clientlosen Zugriff wird auf der Auswahlseite nicht angezeigt.
Wenn Sie den clientlosen Zugriff nicht über den NetScaler Gateway-Assistenten aktivieren, können Sie ihn global oder in einer Sitzungsrichtlinie mithilfe des Konfigurationsdienstprogramms aktivieren.

Clientlosen Zugriff global aktivieren

  1. Erweitern Sie im Konfigurationsdienstprogramm auf der Registerkarte „Konfiguration“ im Navigationsbereich erweitern NetScaler Gateway und klicken Sie dann auf Globale Einstellungen.
  2. Klicken Sie im Detailbereich unter Einstellungen auf Globale Einstellungen ändern.
  3. Wählen Sie auf der Registerkarte Client Experience neben Clientless Access die Option EIN aus und klicken Sie dann auf OK.

Clientlosen Zugriff mithilfe einer Sitzungsrichtlinie aktivieren

Wenn Sie möchten, dass nur eine ausgewählte Gruppe von Benutzern, Gruppen oder virtuellen Servern den clientlosen Zugriff verwendet, deaktivieren oder löschen Sie den clientlosen Zugriff global. Aktivieren Sie dann mithilfe einer Sitzungsrichtlinie den clientlosen Zugriff und binden Sie ihn an Benutzer, Gruppen oder virtuelle Server.
  1. Erweitern Sie im Konfigurationsdienstprogramm auf der Registerkarte „Konfiguration“ im Navigationsbereich erweitern NetScaler Gateway > Richtlinien > Sitzung.
  2. Klicken Sie im Detailbereich auf der Registerkarte „Richtlinien“ auf Hinzufügen.
  3. Geben Sie unter Name einen Namen für die Richtlinie ein.
  4. Klicken Sie neben Anforderungsprofil auf Neu.
  5. Geben Sie unter Name einen Namen für das Profil ein.
  6. Klicken Sie auf der Registerkarte Client Experience neben Clientless Access auf Global überschreiben, wählen Sie Ein aus und klicken Sie dann auf Erstellen.
  7. Wählen Sie im Dialogfeld Sitzungsrichtlinie erstellen neben Benannte Ausdrücke die Option Allgemein aus, wählen Sie den Wert True aus, klicken Sie auf Ausdruck hinzufügen, klicken Sie auf Erstellen und dann auf Schließen.
  8. Klicken Sie auf Erstellen und dann auf Schließen.
Nachdem Sie die Sitzungsrichtlinie erstellt haben, die den clientlosen Zugriff ermöglicht, binden Sie sie an einen Benutzer, eine Gruppe oder einen virtuellen Server.

Webadresse kodieren

Wenn Sie den clientlosen Zugriff aktivieren, können Sie wählen, ob die Adressen interner Webanwendungen kodiert oder als Klartext belassen werden sollen. Die Einstellungen sind:
  • Verschleiern. Hierbei werden Standardkodierungsmechanismen verwendet, um den Domänen- und Protokollteil der Ressource zu verschleiern.
  • Klartext. Die Webadresse wird nicht kodiert und ist für Benutzer sichtbar.
  • Verschlüsseln. Die Domäne und das Protokoll werden mithilfe eines Sitzungsschlüssels verschlüsselt. Wenn die Webadresse verschlüsselt ist, ist die URL für jede Benutzersitzung für dieselbe Webressource unterschiedlich. Wenn Benutzer die kodierte Webadresse als Lesezeichen speichern, sie im Webbrowser speichern und sich dann abmelden, können sie sich nicht mit der Webadresse verbinden, wenn sie sich anmelden und versuchen, über das Lesezeichen erneut eine Verbindung zur Webadresse herzustellen. Hinweis: Wenn Benutzer das verschlüsselte Lesezeichen während ihrer Sitzung in der Zugriffsschnittstelle speichern, funktioniert das Lesezeichen jedes Mal, wenn sich der Benutzer anmeldet.
Sie können diese Einstellung entweder global oder als Teil einer Sitzungsrichtlinie konfigurieren. Wenn Sie die Kodierung als Teil der Sitzungsrichtlinie konfigurieren, können Sie sie an die Benutzer, Gruppen oder einen virtuellen Server binden.

Webadressenkodierung global konfigurieren

  1. Erweitern Sie in der Konfigurationsdienstprogramm auf der Registerkarte Konfiguration im Navigationsbereich erweitern NetScaler Gateway und klicken Sie dann auf Globale Einstellungen.
  2. Klicken Sie im Detailbereich unter Einstellungen auf Globale Einstellungen ändern.
  3. Wählen Sie auf der Registerkarte Client Experience neben Clientless Access URL Encoding die Kodierungsstufe aus und klicken Sie dann auf OK.

Webadressenkodierung durch Erstellen einer Sitzungsrichtlinie konfigurieren

  1. Erweitern Sie im Konfigurationsdienstprogramm auf der Registerkarte Konfiguration im Navigationsbereich erweitern NetScaler Gateway > Policies und klicken Sie dann auf Session.
  2. Klicken Sie im Detailbereich auf der Registerkarte Richtlinien auf Hinzufügen.
  3. Geben Sie unter Name einen Namen für die Richtlinie ein.
  4. Klicken Sie neben Anforderungsprofil auf Neu.
  5. Geben Sie unter Name einen Namen für das Profil ein.
  6. Klicken Sie auf der Registerkarte Client Experience neben Clientless Access URL Encoding auf Global überschreiben, wählen Sie die Kodierungsstufe aus und klicken Sie dann auf OK.
  7. Wählen Sie im Dialogfeld Sitzungsrichtlinie erstellen neben Benannte Ausdrücke Allgemein aus, wählen Sie Wahrer Wert aus, klicken Sie auf Ausdruck hinzufügen, klicken Sie auf Erstellen und klicken Sie dann auf Schließen.

Richtlinien für den clientlosen Zugriff erstellen

Wenn Sie dieselben Einstellungen wie für die Standardrichtlinien für den clientlosen Zugriff verwenden möchten, aber die Richtlinie an einen virtuellen Server binden möchten, können Sie die Standardrichtlinien kopieren, indem Sie der Richtlinie einen neuen Namen geben. Sie können das Konfigurationsdienstprogramm verwenden, um die Standardrichtlinien zu kopieren.
Nachdem Sie die neue Richtlinie an den virtuellen Server gebunden haben, können Sie die Priorität der Richtlinie festlegen, damit sie zuerst ausgeführt wird, wenn sich ein Benutzer anmeldet.

Eine Richtlinie für den clientlosen Zugriff mit Standardeinstellungen erstellen

  1. Erweitern Sie im Konfigurationsdienstprogramm im Navigationsbereich erweitern NetScaler Gateway > Policies und klicken Sie dann auf Clientless Access.
  2. Klicken Sie im Detailbereich auf der Registerkarte Richtlinien auf eine Standardrichtlinie und klicken Sie dann auf Hinzufügen.
  3. Geben Sie unter „Name“ einen neuen Namen für die Richtlinie ein, klicken Sie auf „Erstellen“ und dann auf „Schließen“.

Binden einer richtlinienbasierten Zugriffsrichtlinie an einen virtuellen Server

Nachdem Sie die Richtlinie erstellt haben, binden Sie sie an den virtuellen Server.
  1. Erweitern Sie in der Konfigurationsdienstprogramm auf der Registerkarte „Konfiguration“ im Navigationsbereich erweitern NetScaler Gateway und klicken Sie dann auf „Virtuelle Server“.
  2. Wählen Sie im Detailbereich einen virtuellen Server aus und klicken Sie dann auf „Öffnen“.
  3. Klicken Sie im Dialogfeld „NetScaler Gateway Virtual Server konfigurieren“ auf die Registerkarte „Richtlinien“ und dann auf „Clientless“.
  4. Klicken Sie auf „Richtlinie einfügen“, wählen Sie eine Richtlinie aus der Liste aus und klicken Sie dann auf „OK“.

Erstellen und Auswerten von Ausdrücken für richtlinienbasierten Zugriff

Wenn Sie eine Richtlinie für den richtlinienbasierten Zugriff erstellen, können Sie einen eigenen Ausdruck für die Richtlinie erstellen. Wenn Sie mit der Erstellung des Ausdrucks fertig sind, können Sie den Ausdruck auf Richtigkeit überprüfen.
  1. Im Konfigurationsdienstprogramm, im Navigationsbereich, erweitern Sie NetScaler Gateway > Policies und klicken Sie dann auf Clientless Access.
  2. Klicken Sie im Detailbereich auf der Registerkarte „Richtlinien“ auf eine Standardrichtlinie und dann auf „Hinzufügen“.
  3. Geben Sie unter „Name“ einen Namen für die Richtlinie ein.
  4. Klicken Sie neben „Profil“ auf „Neu“.
  5. Geben Sie unter „Name“ einen Namen für das Profil ein.
  6. Konfigurieren Sie die Rewrite-Einstellungen und klicken Sie dann auf „Erstellen“.
  7. Im Dialogfeld 'Clientloser Zugriffsrichtlinie erstellen' klicken Sie unter 'Ausdruck' auf 'Hinzufügen'.
  8. Im Dialogfeld 'Ausdruck hinzufügen' erstellen Sie den Ausdruck und klicken dann auf 'OK'.
  9. Im Dialogfeld 'Clientloser Zugriffsrichtlinie erstellen' klicken Sie auf 'Auswerten', und wenn der Ausdruck als korrekt bewertet wird, klicken Sie auf 'Erstellen'.