Wie Benutzer sich mit dem Citrix Secure Access™ Client verbinden

Last published : Oct 14, 2026
NetScaler Gateway funktioniert wie folgt:
  • Wenn Benutzer versuchen, über den VPN-Tunnel auf Netzwerkressourcen zuzugreifen, verschlüsselt der Citrix Secure Access Client den gesamten Netzwerkverkehr, der für das interne Netzwerk der Organisation bestimmt ist, und leitet die Pakete an NetScaler Gateway weiter.
  • NetScaler Gateway beendet den SSL-Tunnel, akzeptiert jeglichen eingehenden Datenverkehr, der für das private Netzwerk bestimmt ist, und leitet den Datenverkehr an das private Netzwerk weiter. NetScaler Gateway sendet den Datenverkehr über einen sicheren Tunnel an den Remotecomputer zurück.
Wenn Benutzer die Webadresse eingeben, erhalten sie eine Anmeldeseite, auf der sie ihre Anmeldeinformationen eingeben und sich anmelden. Wenn die Anmeldeinformationen korrekt sind, schließt NetScaler Gateway den Handshake mit dem Benutzergerät ab.
Wenn sich der Benutzer hinter einem Proxyserver befindet, kann er den Proxyserver und die Authentifizierungsdaten angeben. Weitere Informationen finden Sie unter Proxy-Unterstützung für Benutzerverbindungen aktivieren.
Der Citrix Secure Access Client wird auf dem Benutzergerät installiert. Nach der ersten Verbindung können Benutzer, die sich über einen Windows-basierten Computer anmelden, das Symbol im Infobereich verwenden, um die Verbindung herzustellen.
Related information
VPN-Konfiguration auf einer NetScaler Gateway Appliance

Den sicheren Tunnel herstellen

Wenn Benutzer sich mit dem Citrix Secure Access Client, Secure Hub oder der Citrix Workspace-App verbinden, stellt die Clientsoftware einen sicheren Tunnel über Port 443 (oder einen beliebigen konfigurierten Port auf NetScaler Gateway) her und sendet Authentifizierungsinformationen. Wenn der Tunnel hergestellt ist, sendet NetScaler Gateway Konfigurationsinformationen an den Citrix Secure Access Client, Secure Hub oder die Citrix Workspace-App, die die zu sichernden Netzwerke beschreiben und eine IP-Adresse enthalten, wenn Sie Adresspools aktivieren.

Privaten Netzwerkverkehr über sichere Verbindungen tunneln

Wenn der Citrix Secure Access Client startet und der Benutzer authentifiziert ist, wird der gesamte Netzwerkverkehr, der für bestimmte private Netzwerke bestimmt ist, erfasst und über den sicheren Tunnel an NetScaler Gateway umgeleitet. Die Citrix Workspace-App muss den Citrix Secure Access Client unterstützen, um die Verbindung über den sicheren Tunnel herzustellen, wenn sich Benutzer anmelden.
Secure Hub, Secure Mail und WorxWeb verwenden Micro VPN, um den sicheren Tunnel für iOS- und Android-Mobilgeräte herzustellen.
NetScaler Gateway fängt alle Netzwerkverbindungen ab, die das Benutzergerät herstellt, und multiplexiert sie über Secure Sockets Layer (SSL) an NetScaler Gateway, wo der Datenverkehr demultiplexiert und die Verbindungen an die richtige Host- und Portkombination weitergeleitet werden.
Die Verbindungen unterliegen administrativen Sicherheitsrichtlinien, die für eine einzelne Anwendung, eine Untergruppe von Anwendungen oder ein gesamtes Intranet gelten. Sie geben die Ressourcen (Bereiche von IP-Adressen/Subnetz-Paaren) an, auf die Remote-Benutzer über die VPN-Verbindung zugreifen können.
Der Citrix Secure Access Client fängt die folgenden Protokolle für die definierten Intranet-Anwendungen ab und tunnelt sie:
  • TCP (alle Ports)
  • UDP (alle Ports)
  • ICMP (Typen 8 und 0 – Echo-Anforderung/Antwort)
Verbindungen von lokalen Anwendungen auf dem Benutzergerät werden sicher an NetScaler Gateway getunnelt, das die Verbindungen zum Zielserver wiederherstellt. Zielserver sehen Verbindungen so, als ob sie vom lokalen NetScaler Gateway im privaten Netzwerk stammen, wodurch das Benutzergerät verborgen wird. Dies wird auch als Reverse Network Address Translation (NAT) bezeichnet. Das Verbergen von IP-Adressen erhöht die Sicherheit der Quellstandorte.
Lokal auf dem Benutzergerät wird der gesamte verbindungsbezogene Datenverkehr, wie SYN-ACK-, PUSH-, ACK- und FIN-Pakete, vom Citrix Secure Access Client neu erstellt, um vom privaten Server zu stammen.

Verbindung über Firewalls und Proxys

Benutzer des Citrix Secure Access Clients befinden sich manchmal innerhalb der Firewall einer anderen Organisation, wie in der folgenden Abbildung dargestellt:
Benutzerverbindung über zwei interne Firewalls
NAT-Firewalls führen eine Tabelle, die es ihnen ermöglicht, sichere Pakete vom NetScaler Gateway zurück an das Benutzergerät zu leiten. Für schaltungsorientierte Verbindungen verwaltet NetScaler Gateway eine Port-gemappte, Reverse-NAT-Übersetzungstabelle. Die Reverse-NAT-Übersetzungstabelle ermöglicht es NetScaler Gateway, Verbindungen abzugleichen und Pakete mit den korrekten Portnummern über den Tunnel an das Benutzergerät zurückzusenden, damit die Pakete zur richtigen Anwendung zurückkehren.

Steuerung des Upgrades von Citrix Secure Access Clients

Systemadministratoren steuern, wie das NetScaler-Plug-in funktioniert, wenn seine Version nicht mit der NetScaler Gateway-Revision übereinstimmt. Die neuen Optionen steuern das Upgrade-Verhalten des Plug-ins für Mac, Windows oder andere Betriebssysteme.
Für VPN-Plug-ins kann die Upgrade-Option an zwei Stellen in der Benutzeroberfläche der NetScaler Appliance festgelegt werden:
  • In den globalen Einstellungen
  • Auf Ebene des Sitzungsprofils

Anforderungen

  • Die Version des Windows EPA- und VPN-Plug-ins muss größer als 11.0.0.0 sein.
  • Die Version des Mac EPA-Plug-ins muss größer als 3.0.0.31 sein.
  • Die Version des Mac VPN-Plug-ins muss größer als 3.1.4 (357) sein.
Hinweis:
Wenn die NetScaler Appliance auf Version 11.0 aktualisiert wird, werden alle vorherigen VPN- (und EPA-) Plug-ins unabhängig von der Upgrade-Steuerungskonfiguration auf die neueste Version aktualisiert. Bei nachfolgenden Upgrades wird die vorherige Upgrade-Steuerungskonfiguration beibehalten.

Plug-in-Verhalten

Hinweis:
Ab der EPA-Client-Version 25.2.x.x für Windows verhindert der EPA-Client Aufforderungen zum Downgrade auf eine niedrigere Version, wenn eine höhere Version des EPA-Clients auf dem Endbenutzergerät erkannt wird. Diese Funktionalität ist unabhängig von der Konfiguration Windows EPA Plugin Upgrade (Immer, Essenziell oder Nie) in NetScaler Gateway anwendbar. Diese Verbesserung stellt sicher, dass das Endbenutzergerät immer die neueste Version des EPA-Clients ausführt, wodurch Sicherheit und Stabilität gewährleistet werden.
Für jeden Client-Typ bietet NetScaler Gateway die folgenden drei Optionen zur Steuerung des Plug-in-Upgrade-Verhaltens:
  • Immer
    Das Plug-in wird immer aktualisiert, wenn die Plug-in-Version des Endbenutzers nicht mit dem mit NetScaler gelieferten Plug-in übereinstimmt. Dies ist das Standardverhalten. Wählen Sie diese Option, wenn Sie nicht möchten, dass mehrere Plug-in-Versionen in Ihrem Unternehmen ausgeführt werden.
  • Essenziell
    Das Plug-in wird nur aktualisiert, wenn dies als notwendig erachtet wird. Upgrades werden in den folgenden zwei Fällen als notwendig erachtet:
    • Das installierte Plug-in ist mit der aktuellen NetScaler-Version inkompatibel.
    • Das installierte Plug-in muss für die notwendige Sicherheitskorrektur aktualisiert werden.
    Wählen Sie diese Option, wenn Sie die Anzahl der Plug-in-Upgrades minimieren, aber keine Plug-in-Sicherheitsupdates verpassen möchten.
    Hinweis:
    Die Plug-in-Upgrade-Option Essential wird im Citrix Secure Access Client für Linux nicht unterstützt.
    Um die korrekte Funktionalität der Option Essential des Parameters Windows Plugin Upgrade sicherzustellen, führen Sie die folgenden Schritte aus:
    1. Laden Sie die erforderliche Version von win-vpn.tgz von der Seite Citrix Downloads herunter.
    2. Extrahieren Sie die Datei win-vpn.tgz. Diese Extraktion umfasst drei Dateien: AGEE-setup.exe, nsepa_setup.exe und package.json.
    3. Bearbeiten Sie die Datei package.json, um die Parameter compatibleFrom und compatibleTill hinzuzufügen. Sie können die Werte compatibleFrom aus der Datei pluginList.xml unter „https://<vserv_url>/vpn/pluginList.xml“ abrufen.
      Das Folgende ist ein Beispiel für die geänderte Datei package.json:
      {
      "Description": "This zip file contains VPN and EPA Plugins for Windows",
      "packages": [
          {
          "metadata": {
              "version": "25.5.1.15"
                  "compatibleFrom": "25.5.1.15",
                  "compatibleTill": ""
          },
          "type": "WIN-VPN"
          },
          {
          "metadata": {
              "version": "25.5.1.15"
                  "compatibleFrom": "25.5.1.15",
                  "compatibleTill": ""
          },
          "type": "WIN-EPA"
          },
          {
          "metadata": {
              "version": "25.5.1.15"
                  "compatibleFrom": "25.5.1.15",
                  "compatibleTill": ""
          },
          "type": "WIN-EPA64"
          }
      ]
      }
    4. Komprimieren Sie alle drei Dateien wieder in das .tgz-Format und laden Sie diese neue .tgz-Datei dann auf NetScaler hoch. Weitere Informationen finden Sie unter Upgrade des Citrix Secure Access Clients und EPA Clients für Windows auf NetScaler Gateway.
      Client-Upgrade
    5. Überprüfen Sie nach dem Hochladen, ob die Datei pluginList.xml auf NetScaler mit den korrekten Werten compatibleFrom aktualisiert wurde.
      Plug-in-Validierung
    6. Stellen Sie über den Citrix Secure Access Client für Windows eine Verbindung zur URL des virtuellen Servers her. Der Benutzer wird aufgefordert, mit dem Plug-in-Upgrade fortzufahren.
      Upgrade-Aufforderung
  • Nie
    Das Plug-in wird nicht aktualisiert.
    Hinweis:
    Für eLux® und IGEL OS muss die Option Linux Plugin Upgrade auf der Registerkarte Client Experience immer auf Never gesetzt sein.

CLI-Parameter zur Steuerung des VPN-Plug-in-Upgrades

NetScaler Gateway unterstützt zwei Arten von Plug-ins (EPA und VPN) für Windows- und Mac-Betriebssysteme. Um die Steuerung des VPN-Plug-in-Upgrades auf Sitzungsebene zu unterstützen, unterstützt NetScaler Gateway zwei Sitzungsprofilparameter namens WindowsinPluginUpgrade und MacPluginUpgrade.
Diese Parameter sind auf globaler Ebene, auf Ebene des virtuellen Servers, der Gruppe und des Benutzers verfügbar. Jeder Parameter kann den Wert Always, Essential oder Never haben. Eine Beschreibung dieser Parameter finden Sie unter Plug-in-Verhalten.

CLI-Parameter zur Steuerung des EPA-Plug-in-Upgrades

NetScaler Gateway unterstützt EPA-Plug-ins für Windows- und Mac-Betriebssysteme. Um die Steuerung des EPA-Plug-in-Upgrades auf Ebene des virtuellen Servers zu unterstützen, unterstützt NetScaler Gateway zwei Parameter für virtuelle Server namens windowsEPAPluginUpgrade und macEPAPluginUpgrade.
Die Parameter sind auf Ebene des virtuellen Servers verfügbar. Jeder Parameter kann den Wert Always, Essential oder Never haben. Eine Beschreibung dieser Parameter finden Sie unter Plug-in-Verhalten

VPN-Konfiguration

Führen Sie die folgenden Schritte für die VPN-Konfiguration von Windows-, Linux- und Mac-Plug-ins aus.
  1. Gehen Sie zu NetScaler > Policies > Session.
  2. Wählen Sie die gewünschte Sitzungsrichtlinie aus und klicken Sie dann auf Bearbeiten.
  3. Wählen Sie die Registerkarte Client Experience aus.
  4. Diese Dialogfeldoptionen beeinflussen das Upgrade-Verhalten.
    • Immer
    • Wesentlich
    • Nie
    Die Standardeinstellung ist Immer.
  5. Aktivieren Sie das Kontrollkästchen rechts neben jeder Option. Wählen Sie die Häufigkeit aus, mit der das Upgrade-Verhalten angewendet werden soll.
    Upgrade-Option

EPA-Konfiguration

Führen Sie die folgenden Schritte für die EPA-Konfiguration von Windows-, Linux- und Apple-Plug-ins aus.
  1. Gehen Sie zu NetScaler Gateway > Virtuelle Server.
  2. Wählen Sie einen Server aus und klicken Sie auf die Schaltfläche Bearbeiten.
  3. Klicken Sie auf das Bleistift-Symbol.
    Bleistiftsymbol anklicken
  4. Klicken Sie auf Mehr
  5. Die angezeigten Dialogfelder beeinflussen das Upgrade-Verhalten. Die verfügbaren Optionen sind:
    • Immer
    • Erforderlich
    • Nie