Configurar un servidor virtual VPN DTLS mediante un servidor virtual VPN SSL

Last published : Oct 14, 2026
Puede configurar un servidor virtual VPN DTLS para NetScaler Gateway utilizando la misma dirección IP y número de puerto de un servidor virtual VPN SSL configurado. La configuración de servidores virtuales VPN DTLS le permite vincular los cifrados y certificados DTLS avanzados al tráfico DTLS para una seguridad mejorada.
Importante:
  • De forma predeterminada, la funcionalidad DTLS está activada para el servidor virtual VPN SSL existente. Deshabilite la funcionalidad para el servidor antes de crear el servidor virtual VPN DTLS.
  • SNI para el servidor virtual de puerta de enlace DTLS es compatible con NetScaler Gateway versión 13.0 compilación 64.x y posteriores.
  • A partir de NetScaler versión 13.0 compilación 79.x, el parámetro helloverifyrequest está habilitado de forma predeterminada. Habilitar el parámetro helloverifyrequest en el perfil DTLS ayuda a mitigar el riesgo de que un atacante o bots saturen el rendimiento de la red, lo que podría provocar el agotamiento del ancho de banda de salida. Es decir, ayuda a mitigar el ataque de amplificación DDoS de DTLS. Para obtener más detalles sobre el parámetro helloverifyrequest, consulte Perfil DTLS.
  • Al manejar el tráfico UDP, el consumo de memoria del dispositivo NetScaler aumenta si los servidores back-end envían mucho tráfico. Como resultado, el dispositivo NetScaler no puede enviar este tráfico al cliente debido a la conexión TCP MUX en el lado del cliente. En tales casos, Citrix recomienda utilizar el protocolo DTLS.

Puntos a tener en cuenta

  • El servidor virtual VPN DTLS en un dispositivo NetScaler Gateway se puede configurar a partir de la versión 13.0 compilación 58.x.
  • Antes de configurar un servidor virtual VPN DTLS en un dispositivo NetScaler Gateway, debe haber configurado un servidor virtual VPN SSL en el dispositivo.
  • El servidor virtual VPN DTLS utiliza la dirección IP y el número de puerto del servidor virtual VPN SSL configurado.
  • Si el protocolo de enlace DTLS falla, la conexión vuelve a TLS.
  • Para usar solo DTLS, puede deshabilitar TLS vinculando solo los cifrados DTLS al tráfico DTLS.
  • La multiplexación DTLS no es compatible cuando el tráfico TCP se tuneliza a través de VPN.

Configurar un servidor virtual VPN DTLS mediante la GUI

  1. En la pestaña Configuración, vaya a NetScaler Gateway > Servidores virtuales.
  2. En la página Servidores virtuales de NetScaler Gateway, seleccione el servidor virtual SSL VPN existente y haga clic en Editar.
  3. En la página Servidor virtual VPN, haga clic en el icono de edición, desactive la casilla de verificación DTLS y haga clic en Aceptar.
  4. Vuelva a NetScaler Gateway > Servidores virtuales y haga clic en Agregar.
  5. En Configuración básica, introduzca los valores de los siguientes campos y haga clic en Aceptar.
    • Nombre: un nombre para el servidor virtual DTLS VPN
    • Protocolo: seleccione DTLS
    • Dirección IP: introduzca la dirección IP del servidor virtual SSL VPN
    • Puerto: introduzca el número de puerto del servidor virtual SSL VPN
  6. En la página Servidores virtuales de NetScaler® Gateway, seleccione el servidor virtual que agregó anteriormente y haga clic en Editar.
  7. En Certificados, haga clic en el icono de flecha para seleccionar la clave de certificado necesaria.
  8. En Enlace de certificado de servidor > Seleccionar certificado de servidor, seleccione una clave de certificado SSL existente o cree una.
  9. Haga clic en Enlazar en la página Enlace de certificado de servidor.
Nota:
  • Para usar DTLS 1.2, haga clic en el icono de edición en Parámetros SSL y seleccione la casilla de verificación DTLS 1.2.
  • La indicación de nombre de servidor (SNI) es compatible con el servidor virtual VPN de tipo DTLS.

Configurar un servidor virtual VPN DTLS mediante la CLI

En el símbolo del sistema, escriba el siguiente conjunto de comandos:
set vpn vserver <ssl vpnvserver name> -dtls off
add vpn vserver <dtls vpnvserver name> dtls <ssl vpn vserver IP> <ssl vpn vserver port>
bind ssl vservser <dtls vpnvserver name> -certkeyName <existing ssl cert key or newly created cert key>
DTLS 1.0 funciona como de costumbre; para usar DTLS 1.2, escriba el siguiente comando:
set ssl vserver < dtls vpnvserver name > -dtls12 ENABLED
Ejemplo
set vpn vserver vpnvserver  -dtls off
add vpn vserver vpnvserver_dtls dtls 10.108.45.220 443
bind ssl vservser vpnvserver_dtls -certkeyName sslcertkey
set ssl vserver vpnvserver_dtls -dtls12 ENABLED
Para habilitar SNI para el servidor virtual VPN de tipo DTLS, escriba el siguiente comando:
set ssl vserver <vServerName>@ [-SNIEnable ( ENABLED | DISABLED )
bind ssl vservser <dtls vpnvserver name> -certkeyName <existing ssl cert key or newly created cert key> <-SNICert>
Ejemplo
set ssl vserver _XD_10.106.40.225_443_DTLS -sniEnable eNABLED
bind ssl vserver _XD_10.106.40.225_443_DTLS -certkeyName "Insight/*.insight.net.cer_CERT_" -snICert

Parámetros admitidos del servidor virtual VPN DTLS

Solo se admiten los siguientes parámetros para el servidor virtual VPN de tipo DTLS.
  • Ipaddress
  • Puerto
  • Estado
  • Salto doble
  • vaciado de estado inactivo
  • Comentario
  • Appflowlog
  • Icmpvsrresponse

Parámetros no admitidos del servidor virtual VPN DTLS

Los siguientes parámetros no son compatibles con el servidor virtual VPN de tipo DTLS.
  • LinuxEPAPluginUpgrade
  • WindowsEPAPluginUpgrade
  • maxAAAUsers
  • icaProxySessionMigration
  • loginOnce
  • cginfraHomePageRedirect
  • logoutOnSmartcardRemoval
  • l2Conn
  • MacEPAPluginUpgradeRHIstate
  • icaOnly
  • maxLoginAttempts
  • failedLoginTimeout
  • vserverFqdn
  • deviceCert
  • rdpServerProfileName
  • pcoipVserverProfileName
  • tcpProfileName
  • netProfile
  • authnProfile
  • Listenpriority
  • Listenpolicy
  • conjunto de IP
  • certkeyNames

Configure un servidor virtual DTLS mediante el asistente de XenApp y XenDesktop®

  1. Haga clic en XenApp® and XenDesktop en Integrar con productos Citrix®.
  2. En el asistente de configuración de XenApp and XenDesktop, seleccione StoreFront™ y haga clic en Continuar.
  3. En la página NetScaler Gateway Settings, marque la casilla Configure a DTLS Listener for this VPN VServer y haga clic en Continue.
    El agente de escucha DTLS ya está configurado.
  4. En Certificado de servidor, haga clic en Choose File para seleccionar el certificado de servidor y, a continuación, haga clic en Continue.
  5. Especifique el archivo de certificado y el nombre del archivo de clave, y haga clic en Continue.
  6. En la sección StoreFront, proporcione los valores para los parámetros obligatorios de la siguiente manera y haga clic en Continue.
  7. En la sección Authentication, proporcione los valores para los parámetros obligatorios de la siguiente manera y haga clic en Test Connection.
    Asegúrese de que el servidor sea accesible, proporcione el valor de Tiempo de espera y el Atributo de nombre de inicio de sesión del servidor, y haga clic en Continue.
    Especificar valores de configuración
  8. Haga clic en Done para completar la configuración.
    Configuración completa

Limitaciones

  • DTLS 1.2 solo es compatible con clientes de Windows, macOS e iOS.
  • El servidor virtual VPN con DTLS no admite direcciones IPv6.
  • La política SSL y el perfil SSL no son compatibles con un servidor virtual VPN DTLS. Además, no se admite la vinculación de la política del servidor virtual VPN.
  • El servidor virtual VPN DTLS de NetScaler Gateway no admite las siguientes funciones. Sin embargo, el servidor virtual VPN SSL de NetScaler Gateway sí admite estas funciones:
    • Unified Gateway con servidor virtual de conmutación de contenido
    • UDP MUX
    • Vídeo UDP
    • Audio UDP
    • PCOIP
  • El comando stat vpn vserver relacionado con las estadísticas del servidor virtual VPN DTLS no es compatible.
  • Las claves HSM no son compatibles con el servidor virtual DTLS.
  • La configuración de clúster no es compatible.