Seleccione el cliente Citrix Secure Access™ para los usuarios

Last published : Oct 14, 2026
Al configurar NetScaler Gateway, puede elegir cómo inician sesión los usuarios. Los usuarios pueden iniciar sesión con uno de los siguientes plug-ins:
  • Cliente Citrix Secure Access para Windows
  • Cliente Citrix Secure Access para macOS
Complete la configuración creando una directiva de sesión y, a continuación, vinculando la directiva a usuarios, grupos o servidores virtuales. También puede habilitar plug-ins configurando los ajustes globales. Dentro del perfil global o de sesión, seleccione Windows o macOS X como tipo de plug-in. Cuando los usuarios inician sesión, reciben el plug-in tal como se define globalmente o en el perfil y la directiva de sesión. Cree perfiles separados para el tipo de plug-in.
Related information
Configuración de VPN en un dispositivo NetScaler Gateway
Implementar el cliente Citrix Secure Access™ desde Active DirectoryGestionar el cliente Citrix Secure Access™ mediante Active Directory

Configurar el plug-in globalmente

  1. Vaya a NetScaler Gateway > Configuración global.
  2. En el panel de detalles, en Configuración, haga clic en Cambiar configuración global.
  3. En la ficha Experiencia del cliente, junto a Tipo de plug-in, seleccione Windows/MAC OS X y, a continuación, haga clic en Aceptar.

Configure el tipo de plug-in para Windows o macOS en un perfil de sesión

  1. Vaya a NetScaler Gateway > Directivas > Sesión.
  2. Realice una de las siguientes acciones:
    • Si está creando una directiva de sesión, en el panel de detalles, haga clic en Agregar.
    • Si está cambiando una directiva existente, seleccione una directiva y, a continuación, haga clic en Abrir.
  3. Cree un perfil o modifique uno existente. Para ello, realice una de las siguientes acciones:
    • Junto a Perfil, haga clic en Agregar.
    • Junto a Perfil, haga clic en Modificar.
  4. En la ficha Experiencia del cliente, junto a Tipo de complemento, haga clic en Anular global y, a continuación, seleccione Windows/MAC OS X.
  5. Realice una de las siguientes acciones:
    • Si está creando un perfil, haga clic en Crear, establezca la expresión en el cuadro de diálogo de la directiva, haga clic en Crear y, a continuación, haga clic en Cerrar.
    • Si está modificando un perfil existente, después de realizar la selección, haga clic en Aceptar dos veces.

Cliente de Citrix Secure Access para Windows

Cuando los usuarios inician sesión en NetScaler Gateway, descargan e instalan el cliente de Citrix Secure Access en el dispositivo de usuario.
Para instalar el complemento, los usuarios deben ser administradores locales o miembros del grupo Administradores. Esta restricción se aplica solo a la primera instalación. Las actualizaciones de complementos no requieren acceso de nivel de administrador.
Para permitir que los usuarios se conecten y utilicen NetScaler Gateway, debe proporcionarles la siguiente información:
  • Dirección web de NetScaler Gateway, como <https://NetScalerGatewayFQDN/>
  • Cualquier requisito del sistema para ejecutar el cliente de Citrix Secure Access si configuró recursos y directivas de punto final
Según la configuración del dispositivo de usuario, es posible que también deba proporcionar la siguiente información:
  • Si los usuarios ejecutan un firewall en su equipo, deben cambiar la configuración del firewall para que este no bloquee el tráfico hacia o desde las direcciones IP correspondientes a los recursos a los que se les concedió acceso. El cliente de Citrix Secure Access gestiona automáticamente Internet Connection Firewall en Windows XP y Windows Firewall en Windows XP Service Pack 2, Windows Vista, Windows 7, Windows 8 o Windows 8.1.
  • Los usuarios que deseen enviar tráfico a FTP a través de una conexión de NetScaler Gateway deben configurar su aplicación FTP para realizar transferencias pasivas. Una transferencia pasiva significa que el equipo remoto establece la conexión de datos con su servidor FTP, en lugar de que el servidor FTP establezca la conexión de datos con el equipo remoto.
  • Los usuarios que quieran ejecutar aplicaciones cliente X a través de la conexión deben ejecutar un servidor X, como XManager, en sus equipos.
  • Los usuarios que instalen Receiver para Windows o Receiver para Mac pueden iniciar el cliente Citrix Secure Access desde Receiver o mediante un explorador web. Proporcione instrucciones a los usuarios sobre cómo iniciar sesión con el cliente Citrix Secure Access a través de Receiver o un explorador web.
Dado que los usuarios trabajan con archivos y aplicaciones como si fueran locales a la red de la organización, no es necesario volver a capacitarlos ni configurar las aplicaciones.
Para establecer una conexión segura por primera vez, inicie sesión en NetScaler Gateway mediante la página de inicio de sesión web. El formato típico de una dirección web es <https://companyname.com>. Cuando los usuarios inician sesión, pueden descargar e instalar el cliente Citrix Secure Access en su equipo.

Instalar el cliente Citrix Secure Access para Windows

  1. En un explorador web, escriba la dirección web de NetScaler Gateway.
  2. Escriba el nombre de usuario y la contraseña y, a continuación, haga clic en Iniciar sesión.
  3. Seleccione Acceso a la red y, a continuación, haga clic en Descargar.
  4. Siga las instrucciones para instalar el plug-in.
Cuando la descarga se complete, el cliente Citrix Secure Access se conecta y muestra un mensaje en el área de notificación de un equipo basado en Windows.
Si quiere que los usuarios se conecten con el cliente Citrix Secure Access sin usar un explorador web, puede configurar el plug-in para que muestre el cuadro de diálogo de inicio de sesión cuando los usuarios hagan clic con el botón derecho en el icono de NetScaler Gateway en el área de notificación de un equipo basado en Windows o inicien el plug-in desde el menú Inicio.

Configurar el cuadro de diálogo de inicio de sesión para el cliente Citrix Secure Access para Windows

Para configurar el cliente Citrix Secure Access para que use el cuadro de diálogo de inicio de sesión, los usuarios deben haber iniciado sesión para completar este procedimiento.
  1. En un equipo basado en Windows, en el área de notificación, haga clic con el botón derecho en el icono de NetScaler Gateway y, a continuación, haga clic en Configurar NetScaler Gateway.
  2. Haga clic en la ficha Perfil y, a continuación, haga clic en Cambiar perfil.
  3. En la ficha Opciones, haga clic en Usar el cliente Citrix Secure Access para el inicio de sesión.
    Nota:
    Si los usuarios abren el cuadro de diálogo Configurar NetScaler Gateway desde Receiver, la ficha Opciones no está disponible.

Establecer el modo de intercepción para el cliente Citrix Secure Access para Windows

Si está configurando el cliente Citrix Secure Access para Windows, también debe configurar el modo de intercepción y establecerlo en transparente.
  1. En la utilidad de configuración, haga clic en la ficha Configuración, expanda NetScaler Gateway > Recursos y, a continuación, haga clic en Aplicaciones de intranet.
  2. En el panel de detalles, haga clic en Agregar.
  3. En Nombre, escriba un nombre para la directiva.
  4. Haga clic en Transparente.
  5. En Protocolo, seleccione CUALQUIERA.
  6. En Tipo de destino, seleccione Dirección IP y máscara de red.
  7. En Dirección IP, escriba la dirección IP.
  8. En Máscara de red, escriba la máscara de subred, haga clic en Crear y, a continuación, haga clic en Cerrar.

Compatibilidad con Microsoft Edge WebView para Citrix Secure Access para Windows

La compatibilidad con Microsoft Edge WebView para Citrix Secure Access para Windows ofrece una experiencia de usuario final mejorada. Para obtener más información, consulte Compatibilidad con Microsoft Edge WebView para Citrix Secure Access para Windows

Cliente Citrix Secure Access para Windows que utiliza la Plataforma de filtrado de Windows

La Plataforma de filtrado de Windows (WFP) es un conjunto de API y servicios del sistema que proporcionan una plataforma para crear aplicaciones de filtrado de red. WFP está diseñada para reemplazar las tecnologías anteriores de filtrado de paquetes, el filtro de la Especificación de interfaz de controlador de red (NDIS), que se utilizaba con el controlador DNE. El modo WFP es compatible con la compilación 22.6.1.5 del cliente Citrix Secure Access para Windows.

Instalar la compilación WFP

Puede instalar la compilación WFP mediante uno de los siguientes métodos.
  • Instale el complemento VPN con los controladores DNE y WFP (método predeterminado)
    Cuando el complemento se instala con los controladores DNE y WFP, los administradores pueden usar el controlador WFP o el controlador DNE para la tunelización mediante una opción de registro. De forma predeterminada, el controlador DNE se utiliza para la tunelización.
  • Instale el complemento VPN solo con el controlador WFP (omita la instalación del controlador DNE)
    Los controladores DNE no son compatibles con algunas de las aplicaciones de terceros, incluso cuando no están en uso. Para esas implementaciones, los administradores pueden usar este tipo de instalación. Como el controlador DNE no está instalado, solo se utiliza el controlador WFP para la tunelización.

Seleccionar un controlador WFP en lugar de un controlador DNE

Realice los siguientes pasos para seleccionar el controlador WFP en lugar del controlador DNE.
Nota:
Esto solo funciona con el método de instalación predeterminado.
  1. Descargue la compilación del complemento VPN compatible con WFP e instale el nuevo complemento VPN.
  2. De forma predeterminada, el controlador DNE se utiliza para tunelizar el tráfico. Para usar el controlador WFP para la tunelización, los administradores deben crear la siguiente entrada de registro:
    • REG_PATH - HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\Secure Access Client
      • REG_TYPE - REG_DWORD
      • REG_NAME - EnableWFP
      • REG_VALUE – Establezca el valor en 1 para usar WFP y en 0 para usar DNE (por defecto, DNE está habilitado si este valor de registro no está presente o está establecido en 0)
Nota:
Después de cambiar el modo de tunelización de DNE a WFP o viceversa, el sistema debe reiniciarse para que los cambios surtan efecto correctamente.

Omitir completamente la instalación de DNE

Realice los siguientes pasos para omitir la instalación de DNE.
  1. Realice una desinstalación limpia del complemento VPN.
    1. Desinstale el complemento VPN actual presente en la máquina y reinicie la máquina.
    2. Compruebe si el controlador DNE está desinstalado utilizando cualquiera de las siguientes opciones.
      • Abra un símbolo del sistema elevado (o PowerShell). Ejecute los siguientes comandos (la salida de ejemplo muestra que el controlador basado en DNE está instalado en el sistema)
      PS C:\Users\Administrator> sc qc cag
      [SC] QueryServiceConfig SUCCESS
      SERVICE_NAME: cag
      TYPE               : 1  KERNEL_DRIVER
      START_TYPE         : 2   AUTO_START
      ERROR_CONTROL      : 1   NORMAL
      BINARY_PATH_NAME   : \??\C:\Program Files\Common Files\Deterministic Networks\Common Files\cag.sys
      LOAD_ORDER_GROUP   :
      TAG                : 0
      DISPLAY_NAME       : Citrix cag plugin for Access Gateway
      DEPENDENCIES       :
      SERVICE_START_NAME :
      PS C:\Users\Administrator> sc qc dne
      [SC] QueryServiceConfig SUCCESS

      SERVICE_NAME: dne
      TYPE               : 1  KERNEL_DRIVER
      START_TYPE         : 1   SYSTEM_START
      ERROR_CONTROL      : 1   NORMAL
      BINARY_PATH_NAME   : \SystemRoot\system32\DRIVERS\dnelwf64.sys
      LOAD_ORDER_GROUP   : NDIS
      TAG                : 38
      DISPLAY_NAME       : DNE LightWeight Filter
      DEPENDENCIES       :
      SERVICE_START_NAME :
      Si el controlador no está instalado, se muestra la siguiente salida:
      The specified service does not exist as an installed service..
    Dado que el controlador DNE (dnelwf64.sys) también es utilizado por otros proveedores, puede estar presente incluso cuando el cliente Citrix Secure Access no está instalado en el sistema. Por otro lado, el complemento CAG solo es utilizado por el cliente Citrix Secure Access.
    • La presencia de DNE también se puede verificar intentando iniciar los controladores CAG y DNE. Abra el símbolo del sistema con derechos de administrador y ejecute los siguientes comandos:
      net start cag
      net start dne
      • Si el mensaje de salida indica que no se pueden localizar los servicios (El nombre del servicio no es válido.), entonces los componentes del complemento y del controlador se desinstalan correctamente. En este caso, vaya al paso 2.
      • Si los componentes del complemento y del controlador no se desinstalan correctamente, ejecute la utilidad de limpieza nsRmSac.exe en la máquina cliente siguiendo estas instrucciones:
        • Descomprima la utilidad de limpieza y cópiela en una carpeta.
        • Ejecute nsRmSAC.exe desde el símbolo del sistema con privilegios de administrador.
        • Reinicie la máquina cliente.
        La utilidad de limpieza nsRmSac.exe está disponible en la página Citrix Downloads en la sección Cleanup Utility.
        Descargar nsRmSac
        Nota:
        A partir de la versión 24.10.1.5 del cliente Citrix Secure Access para Windows, la utilidad de limpieza nsRmSac.exe admite los argumentos de línea de comandos /quiet y /autoreboot. El comando nsRmSac.exe /quiet /autoreboot permite que la utilidad de limpieza se ejecute sin intervención manual.
        • La opción /quiet elimina la aplicación Citrix Secure Access y el controlador asociado.
        • La opción /autoreboot reinicia el sistema una vez que la utilidad nsRmSac.exe finaliza la función de limpieza. El argumento /autoreboot solo funciona con la opción /quiet.
  2. Cree las siguientes entradas de registro.
    • REG_PATH - HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\Secure Access Client
      • REG_TYPE - REG_DWORD
      • REG_NAME - SkipDNE
      • REG_VALUE - Establezca en 1 para asegurarse de que DNE no esté instalado en la máquina
    • REG_PATH - HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\Secure Access Client
      • REG_TYPE - REG_DWORD
      • REG_NAME - EnableWFP
      • REG_VALUE - Establezca en 1 para habilitar WFP (esta entrada debe crearse si se omite la instalación de DNE)
    Nota:
    • Si las entradas del registro no se crean antes de la instalación, DNE se instala de forma predeterminada. Además, puede consultar los archivos de registro de VPN para validar si se utiliza WFP o DNE.
    • Si se omite la instalación de DNE, EnableWFP debe establecerse en 1. En este caso, no puede cambiar al complemento basado en DNE sin reinstalar el cliente de Citrix Secure Access.
  3. Instale el nuevo complemento VPN.
  4. Confirme si el controlador WFP está instalado en el sistema. Abra un símbolo del sistema con privilegios elevados y ejecute el siguiente comando. La salida de ejemplo muestra que el controlador WFP está instalado en el sistema.
    PS C:\Users\Administrator> sc qc ctxsgwcallout
    [SC] QueryServiceConfig SUCCESS

    SERVICE_NAME: ctxsgwcallout
        TYPE               : 1  KERNEL_DRIVER
        START_TYPE         : 1   SYSTEM_START
        ERROR_CONTROL      : 0   IGNORE
        BINARY_PATH_NAME   : \??\C:\Program Files\Citrix\Secure Access Client\ctxsgwcallout.sys
        LOAD_ORDER_GROUP   :
        TAG                : 0
        DISPLAY_NAME       : Citrix Secure Access Callout Driver
        DEPENDENCIES       :
        SERVICE_START_NAME :
    Si el controlador no está instalado, se muestra la siguiente salida:
    The specified service does not exist as an installed service..
  5. Reinicie la máquina cliente.

Ventajas de WFP

Las siguientes son algunas de las ventajas de WFP si la instalación del controlador WFP independiente se realiza en el cliente.
  • Compatibilidad con túnel dividido inverso basado en FQDN: El controlador WFP permite la compatibilidad con el túnel dividido INVERSO basado en FQDN. No es compatible con el controlador DNE. Para obtener más detalles, consulte Opciones de túnel dividido.
  • Compatibilidad con Wireshark: DNE no permite capturar tráfico bidireccional en una máquina cliente debido a su vinculación con el adaptador Ethernet/Wi-Fi. Esto no es un problema con el nuevo controlador WFP. Cualquier captura de tráfico (unidireccional o bidireccional) está cifrada y requiere claves SSL para descifrarla.
  • Compatibilidad con NMAP: El nuevo controlador WFP admite el escaneo NMAP mientras el complemento VPN se utiliza para tunelizar el tráfico, mientras que el DNE no permite el escaneo NMAP mientras el complemento VPN se utiliza para tunelizar el tráfico.
  • Velocidad de red: En algunos escenarios, si DNE está instalado en una máquina cliente, la velocidad de descarga y carga se ve afectada, lo que no ocurre con WFP.
  • Rendimiento mejorado de nslookup: A veces, con DNE, nslookup no responde con un menor número de intentos, y esto no se observa con WFP.
  • Rendimiento mejorado de iperf sobre UDP: Con DNE, se observó cierta pérdida de paquetes durante las pruebas de escalabilidad utilizando iperf sobre UDP. No se observa pérdida de paquetes con WFP.

Cliente Citrix Secure Access para macOS

  1. Descargue la aplicación Citrix Secure Access para macOS/iOS desde la App Store.
  2. Haga clic en Abrir una vez que se complete la descarga.
Para obtener detalles sobre cómo usar Citrix Secure Access para macOS, consulte Cómo usar la aplicación Citrix Secure Access desde su dispositivo macOS.

Aplicar el acceso a la LAN local a los usuarios finales según la configuración de ADC

Los administradores pueden restringir que los usuarios finales deshabiliten la opción de acceso a la LAN local en sus máquinas cliente. Se agrega una nueva opción, FORCED, a los valores de parámetro de acceso a la LAN local existentes. Cuando el valor de acceso a la LAN local se establece en FORCED, el acceso a la LAN local siempre está habilitado para los usuarios finales en las máquinas cliente. Los usuarios finales no pueden deshabilitar la configuración de la LAN local mediante la interfaz de usuario del cliente Citrix Secure Access.
Los administradores pueden permitir que los usuarios finales accedan a los recursos de la LAN local en su máquina cliente configurando el parámetro de acceso a la LAN local en ON. Para impedir que los usuarios finales accedan a los recursos de la LAN local en su máquina cliente, los administradores pueden configurar el parámetro de acceso a la LAN local en OFF. Para obtener detalles sobre las configuraciones de usuario final, consulte Acceso a la LAN local para macOS y Acceso a la LAN local para iOS.
Para habilitar la opción Forzado mediante la GUI:
  1. Vaya a NetScaler Gateway > Global Settings > Change Global Settings.
  2. Haga clic en la pestaña Client Experience y, a continuación, en Advanced Settings.
  3. En Local LAN Access, seleccione FORCED.
Habilitar el acceso a la LAN local
Para habilitar la opción Forzado mediante la CLI, ejecute el siguiente comando:
set vpn parameter -localLanAccess FORCED
Notas:
  • El cliente Citrix Secure Access para macOS/iOS y versiones posteriores admite la funcionalidad de acceso a la LAN local de NetScaler Gateway.
  • A partir del cliente Citrix Secure Access para Windows 23.10.1.7, el acceso a la LAN local es compatible con un túnel a nivel de máquina si el parámetro Local LAN Access está establecido en Forced en NetScaler Gateway.