产品文档
Gateway
Current Release 13.1 13.0 12.1
查看 PDF

使用 Citrix Gateway 进行高级无客户端 VPN 访问

April 1, 2024
投稿者: 
C

无客户端 VPN 提供了一种通过 Citrix Gateway 提供对公司内部网资源的远程访问的方法，而无需在客户端计算机上安装 VPN 客户端应用程序。无客户端 VPN 使用客户端的 Web 浏览器提供对企业 Web 应用程序、门户和其他资源的远程访问。 高级无客户端 VPN 解决方案消除了与无客户端 VPN 相关的以下限制：

  • 有时无法识别相对 URL。

  • 无法识别动态生成的相对 URL。

Advanced Clientless VPN 识别绝对 URL 和主机名，并以一种全新且独特的方式对其进行重写，而不是尝试重写 HTTP 响应/网页中存在的相对 URL。SharePoint 不再需要使用默认文件夹来重写 URL，并且支持自定义 SharePoint 访问权限。

必备条件

以下是配置高级无客户端 VPN 的先决条件。

  • 通配符服务器证书 - 高级无客户端 VPN 以独特的方式重写 URL。每个用户的每个 URL 都会保持这种唯一性。例如，如果 Web 应用程序托管在上 https://webapp.customer.com，VPN 虚拟服务器托管在上 https://vpn.customer.com，则高级无客户端 VPN 会将其重写为 https://cvpneqwerty.vpn.customer.com。这意味着，每个 URL 都被重写为 VPN 虚拟服务器的子域。在这个新的 URL 中，cvpneqwerty 可以解密回 https://webapp.customer.com。字符串 cvpneqwerty 是动态的，因此对于 SSL，必须使用通配符证书绑定 VPN 虚拟服务器。

    如果服务器使用托管 https://vpn.customer.com，那么服务器证书现在必须包含（vpn.customer.com 和 .vpn.customer.com）的条目作为 CN 或 SAN 证书的一部分（其中 CN = 普通名称，SAN= 使用者备用名称）。在 Citrix Gateway 上，绑定此证书的过程保持不变。 注意： 通配符证书只支持一级证书（即 ..customer.com 是不允许的）。如果您已经在使用通配符证书（用于 *.customer.com）并进行托管 https://vpn.customer.com，则这不适用于高级无客户端 VPN。您必须使用获得新证书 *.vpn.customer.com。

  • 通配符 DNS 条目 -客户端（Web 浏览器）必须解析高级无客户端 VPN 应用程序的 FQDN。在设置 Citrix Gateway 服务器时，您必须已配置 DNS 条目才能解析 vpn.customer.com。这允许浏览器将 vpn.customer.com 解析为您的 VPN 虚拟服务器的 IP 地址。要将诸如 https://cvpnqwerty.vpn.customer.com 等的 URL 解析为相同 IP（VPN 虚拟服务器的 IP 地址），必须为 vpn.customer.com 的域添加新记录。在 DNS 服务器中找到域设置，然后为“*”添加与之前相同的 IP 地址的主机记录。添加主机记录后，您必须看到成功的 ping 响应 https://cpvnanything.vpn.customer.com。

配置高级无客户端 VPN 访问

要使用命令行界面配置高级无客户端 VPN 访问，请在命令提示符下键入：

set vpn parameter -clientlessVpnMode ON
set vpn parameter -advancedClientlessVpnMode ENABLED
<!--NeedCopy-->

如果会话操作绑定到虚拟服务器，则还必须为该会话操作启用高级无客户端 VPN 模式选项。

示例：

set vpn sessionaction SessionActionName -advancedclientlessvpn ENABLED
<!--NeedCopy-->

要使用 Citrix ADC GUI 配置高级无客户端 VPN 接入，请执行以下操作：

  1. 在 NetScaler GUI 中，导航到 配置 > Citrix NetScaler> 全局设置。

  2. 在“全局设置”页面上，单击“更改全局设置”，然后选择“客户体验”选项卡。

  3. 在“客户端体验”选项卡上的“无客户端访问”列表中，单 击“开”。

  4. 在“客户端体验”选项卡上的“高级无客户端 VPN 模式”列表中，单击“启用”。

    如果从“高级无客户端 VPN 模式”列表中选择“严格”，Citrix ADC 设备将仅响应经典无客户端 VPN 形式的 StoreFront URL，并阻止所有其他经典的无客户端 VPN 请求。此选项在设备上提供了更安全的配置，用于交付内部 Web 资源。

注意：

  • 如果会话操作绑定到虚拟服务器，则必须为该会话操作以及从 配置 Citrix Gateway 会话配置文件页面的“客 户端体验”选项卡启用“高级无客户端 VPN 模式”选项 卡。
  • 您可以选择 覆盖全局 选项来覆盖全局设置。
  • 您也可以在会话级别配置高级无客户端 VPN 功能。

注意事项

高级无客户端 VPN 旨在提供对企业 Web 应用程序的访问。此类应用对于所需的每种资源（JavaScript、css、图像等）只有一个 FQDN。由于我们将内部应用程序的完整 FQDN 编码为单八位字节（无客户端 VPN），因此我们失去了子域关系。因此，每当使用 CORS 配置企业 WebApp 时，有时您在通过高级无客户端 VPN 访问它时可能会注意到问题。

使用 Citrix Gateway 进行高级无客户端 VPN 访问
April 1, 2024
投稿者: 
C
April 1, 2024
投稿者: 
C

在本文中

站点反馈 | Your privacy choices footer link您的隐私选择 | 隐私和法律条款 | Cookie 首选项 | 同意设置 | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.