在 Citrix Gateway 上配置完整的 VPN 设置
本节介绍如何在 Citrix Gateway 设备上配置完整的 VPN 设置。它包含网络考虑因素以及从网络角度解决问题的理想方法。
必备条件
-
安装 SSL 证书并将其绑定到 VPN 虚拟服务器。
-
CTX109260- 如何在 NetScaler 设备上生成和安装公共 SSL 证书
-
CTX122521- 如何使用与设备主机名匹配的受信任 CA 证书替换 NetScaler 设备的默身份验证书
-
Citrix 文档-将 证书密钥对绑定到基于 SSL 的虚拟服务器
-
-
为 Citrix Gateway 创建身份验证配置文件。
-
有关其他信息，请参阅 Citrix 文档- 配置外部用户身份验证
-
有关其他信息，请参阅清单：使用 AD FS 实施和管理单点登录
-
-
下载 Citrix VPN 客户端。
-
创建允许完整 VPN 连接的会话策略。
当用户连接到 Citrix Gateway 插件、Secure Hub 或 Citrix Receiver 时，客户端软件会通过端口 443（或 Citrix Gateway 上的任何配置端口）建立安全通道并发送身份验证信息。通道建立后，Citrix Gateway 会向 Citrix Gateway 插件、Secure Hub 或 Receiver 发送配置信息，描述需要保护的网络。如果启用 Intranet IP，则该信息还包含 IP 地址。
您可以通过定义用户可以在内部网络中访问的资源来配置用户设备连接。配置用户设备连接包括以下内容：
- 拆分通道
- 用户的 IP 地址，包括地址池（内部网 IP）
- 通过代理服务器的连接
- 定义允许用户访问的域
- 超时设置
- 单点登录
- 通过 Citrix Gateway 连接的用户软件
- 移动设备的访问权限
您可以使用作为会话策略一部分的配置文件来配置大多数用户设备连接。您还可以使用按身份验证、流量和授权策略定义用户设备连接设置。它们也可以使用 Intranet 应用程序进行配置。
在 Citrix Gateway 设备上配置完整的 VPN 设置
要在 Citrix Gateway 设备上配置 VPN 设置，请完成以下步骤：
-
导航到“流量管理”>“DNS”。
-
选择“名称服务器”节点，如以下屏幕截图所示。确保列出了 DNS 名称服务器。如果不可用，请添加 DNS 名称服务器。
-
展开 Citrix Gateway > 策略。
-
选择“会 话”节点。
-
在 Citrix Gateway 会话策略和配置文件页面中，单击 配置文件 选项卡，单击 添加。 对于在“配置 Citrix Gateway 会话配置文件”对话框中配置的每个组件，请确保为相应组件选择“覆盖全局”选项。
-
单击“客户端体验”选项卡。
-
如果您想在用户登录 VPN 时显示任何 URL，请在主页字段中键入 Intranet 门户 URL。如果主页参数设置为“nohomepage.html”，则不会显示主页。插件启动时，浏览器实例启动并自动终止。
-
确保从拆分通道列表中选择所需的设置。
-
如果您想要 FullVPN，请从 无客户端访问 列表中选择 关 闭。
-
确保从 插件类型 列表中选择了 Windows/Mac OS X 。
-
如果需要，请选择 单点登录到 Web 应用程序 选项。
-
如有必要，请确保选择“客户端清理提示符”选项，如以下屏幕截图所示：
-
单击安全选项卡。
-
确保从“默认授权操 作”列表中选择了“允许”，如以下屏幕截图所示：
-
单击 Published Applications（已发布的应用程序）选项卡。
-
确保从“已发布的应用程序”选项下的 ICA 代理 列表中选择 了 OFF。
-
单击创建。
-
单击关闭。
-
单击虚拟服务器中 Citrix Gateway 会话策略和配置文件页面的策略选项卡，或根据需要在组/用户级别激活会话策略。
-
使用必需的表达式或 ns_true 创建会话策略，如以下屏幕截图所示：
-
将会话策略绑定到 VPN 虚拟服务器。有关详情，请参阅 绑定会话策略。
如果将拆分通道配置为开，则必须配置希望用户在连接到 VPN 时访问的 Intranet 应用程序。有关 Intranet 应用程序的详细信息，请参阅 为 Citrix Gateway 插件配置 Intranet 应用程序。
-
转到 Citrix Gateway > 资源 > Intranet 应用程序。
-
创建一个 Intranet 应用程序。为带 Windows 客户端的 FullVPN 选择“透明”。选择要允许的协议（TCP、UDP 或 ANY）、目标类型（IP 地址和掩码、IP 地址范围或主机名）。
-
如有必要，请使用以下表达式为 iOS 和 Android 上的 Citrix VPN 设置新策略：
REQ.HTTP.HEADER("User-Agent").CONTAINS("CitrixVPN") && (REQ.HTTP.HEADER("User-Agent").CONTAINS("NSGiOSplugin") || REQ.HTTP.HEADER("User-Agent").CONTAINS("Android"))
-
根据需要绑定在 USER/GROUP/VSERVER 级别创建的 Intranet 应用程序。
-
其他参数
以下是您可以配置的一些参数。
拆分通道关闭
当拆分通道设置为关闭时，Citrix Gateway 插件会捕获源自用户设备的所有网络流量，然后通过 VPN 通道将流量发送到 Citrix Gateway。换句话说，VPN 客户端会建立从客户端 PC 到 Citrix Gateway VIP 的默认路由，这意味着所有流量都需要通过通道发送才能到达目的地。由于所有流量都将通过通道发送，因此授权策略必须确定是允许流量传递到内部网络资源还是被拒绝。
设置为“关闭”时，所有流量都将通过通道，包括到达网站的标准 Web 流量。如果目标是监视和控制此网络流量，则必须使用 NetScaler 将这些请求转发到外部代理。用户设备也可以通过代理服务器进行连接以访问内部网络。
Citrix Gateway 支持 HTTP、SSL、FTP 和 SOCKS 协议。要为用户连接启用代理支持，必须在 Citrix Gateway 上指定这些设置。您可以指定 Citrix Gateway 上的代理服务器使用的 IP 地址和端口。代理服务器用作所有与内部网络的进一步连接的转发代理。
有关更多信息，请参阅为用户连接启用代理支持
开启拆分通道
您可以启用拆分通道以防止 Citrix Gateway 插件向 Citrix Gateway 发送不必要的网络流量。如果启用拆分通道，则 Citrix Gateway 插件仅通过 VPN 通道发送发往受 Citrix Gateway 保护的网络（Intranet应用程序）的流量。Citrix Gateway 插件不会将发往未受保护网络的网络流量发送到 Citrix Gateway。Citrix Gateway 插件启动时，它将从 Citrix Gateway 获取 Intranet 应用程序列表，并为客户端 PC 的 Intranet 应用程序选项卡上定义的每个子网建立路由。 Citrix Gateway 插件会检查从用户设备传输的所有数据包，并将数据包中的地址与 Intranet 应用程序列表（启动 VPN 连接时创建的路由表）进行比较。如果数据包中的目标地址位于其中一个 Intranet 应用程序内，Citrix Gateway 插件会通过 VPN 通道将数据包发送到 Citrix Gateway。如果目标地址不在定义的 Intranet 应用程序中，则不会对数据包进行加密，然后用户设备会使用最初在客户端 PC 上定义的默认路由来适当地路由数据包。“启用拆分通道时，Intranet 应用程序将定义被拦截并通过通道发送的网络流量”。
反向拆分通道
Citrix Gateway 还支持反向拆分通道，该通道定义 Citrix Gateway 不会拦截的网络流量。如果将拆分通道设置为反向，则 Intranet 应用程序将定义 Citrix Gateway 不会拦截的网络流量。启用反向剥离通道时，定向到内部 IP 地址的所有网络流量都会绕过 VPN 通道，而其他流量则通过 Citrix Gateway。反向拆分通道可用于记录所有非本地 LAN 流量。例如，如果用户拥有家庭无线网络并使用 Citrix Gateway 插件登录，Citrix Gateway 不会拦截发往打印机或无线网络中其他设备的网络流量。
配置拆分通道
-
导航到配置 > Citrix Gateway > 策略 > 会话。
-
在详细信息窗格的配置文件选项卡上，选择一个配置文件，然后单击 编辑。
-
在“客户端体验”选项卡上的“拆分通道”旁边，选择“全局覆盖”，选择一个选项，然后单击“确定”。
配置拆分通道和授权
规划 Citrix Gateway 部署时，请务必考虑拆分通道以及默认授权操作和授权策略。
例如，您有一个允许访问网络资源的授权策略。您已将拆分通道设置为开，并且未将 Intranet 应用程序配置为通过 Citrix Gateway 发送网络流量。当 Citrix Gateway 具有此类配置时，允许访问资源，但用户无法访问该资源。
如果授权策略拒绝访问网络资源，则已将拆分通道设置为开，并且 Intranet 应用程序配置为通过 Citrix Gateway 路由网络流量，Citrix Gateway 插件会将流量发送到 Citrix Gateway，但对资源的访问将被拒绝。
有关授权策略的详细信息，请查看以下内容：
配置对内部网络资源的网络访问
-
导航到 配置 > Citrix Gateway > 资源 > Intranet 应用程序。
-
在详细信息窗格中，单击“添加”。
-
填写允许网络访问的参数，单击 创建，然后单击 关闭。
当我们不为 VPN 用户设置Intranet IP 时，用户会将流量发送到 Citrix Gateway VIP，然后 NetScaler 会从那里向内部局域网上的Intranet应用资源生成一个新数据包。这个新的数据包将从 SNIP 发送到 Intranet 应用程序。从这里，Intranet 应用程序获取数据包，对其进行处理，然后尝试回复该数据包的来源（本例中为 SNIP）。SNIP 获取数据包并将回复发送给发出请求的客户端。
使用Intranet IP 地址时，用户将流量发送到 Citrix Gateway VIP，然后 NetScaler 将从那里将客户端 IP 映射到池中配置的Intranet IP 之一。请注意，NetScaler 将拥有Intranet IP 池，因此，这些范围不得用于内部网络。Citrix ADC 像 DHCP 服务器一样为传入的 VPN 连接分配Intranet IP。NetScaler 在用户将要访问的局域网上为Intranet应用生成一个新数据包。这个新的数据包将从 Intranet IP 之一发往 Intranet 应用程序。从这里，Intranet 应用程序获取数据包，对其进行处理，然后尝试回复该数据包的来源（INTRANET IP）。在这种情况下，需要将回复数据包路由回Intranet IP 所在的 NetScaler（请记住，NetScaler 拥有Intranet IP 子网）。要完成此任务，网络管理员必须有指向 INTRANET IP 的路由，指向其中一个剪辑。建议将流量指向保存数据包首次离开 NetScaler 的路由的 SNIP，以避免出现任何非对称流量。
配置名称服务解析
在安装 Citrix Gateway 期间，您可以使用 Citrix Gateway 向导配置其他设置，包括名称服务提供商。域名服务提供商会将完全限定的域名 (FQDN) 转换为 IP 地址。在 Citrix Gateway 向导中，您可以配置 DNS 或 WINS 服务器、设置 DNS 查找的优先级以及重试连接到服务器的次数。
运行 Citrix Gateway 向导时，可以添加 DNS 服务器。您可以使用会话配置文件将其他 DNS 服务器和 WINS 服务器添加到 Citrix Gateway。然后，您可以指示用户和组连接到与最初使用向导配置的名称解析服务器不同的名称解析服务器。
在 Citrix Gateway 上配置另一台 DNS 服务器之前，请创建一个虚拟服务器，用作 DNS 服务器以进行名称解析。
在会话配置文件中添加 DNS 或 WINS 服务器
-
在配置实用程序中，配置选项卡 > Citrix Gateway > 策略 > 会话。
-
在详细信息窗格的 配置文件 选项卡上，选择一个配置文件，然后单击 打开。
-
在“网络配置”选项卡上，执行以下操作之一：
-
要配置 DNS 服务器，请在 DNS 虚拟服务器旁边，单击“覆盖全局”，选择服务器，然后单击“确定”。
-
要配置 WINS 服务器，请在 WINS 服务器 IP 旁边，单击“覆盖全局”，键入 IP 地址，然后单击“确定”。
-