NetScaler Gateway 上的完整 VPN 设置
本节介绍如何在 NetScaler Gateway 设备上配置完整的 VPN 设置。它包含网络考虑因素以及从网络角度解决问题的理想方法。
必备条件
-
安装 SSL 证书并将其绑定到 VPN 虚拟服务器。
-
CTX109260- 如何在 NetScaler 设备上生成和安装公共 SSL 证书
-
CTX122521- 如何使用与设备主机名匹配的受信任 CA 证书替换 NetScaler 设备的默身份验证书
-
NetScaler 文档- 将证书密钥对绑定到基于 SSL 的虚拟服务器
-
-
为 NetScaler Gateway 创建身份验证配置文件。
-
有关其他信息，请参阅 NetScaler 文档- 配置外部用户身份验证
-
有关其他信息，请参阅清单：使用 AD FS 实施和管理单点登录
-
-
下载 VPN 客户端。
-
创建允许完整 VPN 连接的会话策略。
当用户连接到 Citrix Secure Access 客户端、Secure Hub 或 Citrix Workspace 应用程序时，客户端软件会在端口 443（或 NetScaler Gateway 上任何已配置的端口）上建立安全通道并发送身份验证信息。通道建立后，NetScaler Gateway 将配置信息发送到 Citrix Secure Access 客户端、Citrix Secure Hub 或 Citrix Workspace 应用程序，描述要保护的网络。如果启用 Intranet IP，则该信息还包含 IP 地址。
您可以通过定义用户可以在内部网络中访问的资源来配置用户设备连接。配置用户设备连接包括以下内容：
- 拆分通道
- 用户的 IP 地址，包括地址池（内部网 IP）
- 通过代理服务器的连接
- 定义允许用户访问的域
- 超时设置
- 单点登录
- 通过 NetScaler Gateway 连接的用户软件
- 移动设备的访问权限
您可以使用作为会话策略一部分的配置文件来配置大多数用户设备连接。您还可以使用按身份验证、流量和授权策略定义用户设备连接设置。它们也可以使用 Intranet 应用程序进行配置。
在 NetScaler Gateway 设备上配置完整的 VPN 设置
要在 NetScaler Gateway 设备上配置 VPN 设置，请完成以下过程：
-
导航到“流量管理”>“DNS”。
-
选择“名称服务器”节点，如以下屏幕截图所示。确保已列出 DNS 名称服务器。如果不可用，请添加 DNS 名称服务器。
-
展开 NetScaler Gateway > 策略。
-
选择“会 话”节点。
-
在 NetScaler Gateway 会话策略和配置文件页面中，单击 配置文件 选项卡，单击 添加。 对于在“配置 NetScaler Gateway 会话配置文件”对话框中配置的每个组件，请确保为相应组件选择“覆盖全局”选项。
-
单击“客户端体验”选项卡。
-
如果您想在用户登录 VPN 时显示任何 URL，请在主页字段中键入 Intranet 门户 URL。如果主页参数设置为“nohomepage.html”，则不会显示主页。插件启动时，浏览器实例启动并自动终止。
-
确保从拆分通道列表中选择所需的设置。
-
如果您想要 FullVPN，请从 无客户端访问 列表中选择 关 闭。
-
确保从 插件类型 列表中选择了 Windows/Mac OS X 。
-
如果需要，请选择 单点登录到 Web 应用程序 选项。
-
如有必要，请确保选择“客户端清理提示符”选项，如以下屏幕截图所示：
-
单击安全选项卡。
-
确保从“默认授权操作”列表中选择“允许”。
-
单击 Published Applications（已发布的应用程序）选项卡。
-
确保从“已发布的应用程序”选项下的 ICA 代理 列表中选择 了 OFF。
-
单击创建。
-
单击关闭。
-
单击虚拟服务器中 NetScaler Gateway 会话策略和配置文件页面的策略选项卡，或根据需要在组/用户级别激活会话策略。
-
使用必填表达式或 true 创建会话策略，如以下屏幕截图所示：
-
将会话策略绑定到 VPN 虚拟服务器。有关详细信息，请参阅绑定会话策略。
如果将拆分通道配置为开，则必须配置希望用户在连接到 VPN 时访问的 Intranet 应用程序。有关 Intranet 应用程序的详细信息，请参阅为 Citrix Secure Access 客户端配置 Intranet 应用程序。
-
转到 NetScaler Gateway > 资源 > Intranet应用程序。
-
创建一个 Intranet 应用程序。为带 Windows 客户端的 FullVPN 选择“透明”。选择要允许的协议（TCP、UDP 或 ANY）、目标类型（IP 地址和掩码、IP 地址范围或主机名）。
-
如有必要，请使用以下表达式在 iOS 和 Android 上为 VPN 设置新策略：
HTTP.REQ.HEADER("User-Agent").CONTAINS("CitrixVPN")&&HTTP.REQ.HEADER("User-Agent").CONTAINS("NSGiOSplugin")&&HTTP.REQ.HEADER("User-Agent").CONTAINS("Android") -
根据需要绑定在 USER/GROUP/VSERVER 级别创建的 Intranet 应用程序。
-
配置拆分通道
-
导航到配置 > NetScaler Gateway > 策略 > 会话。
-
在详细信息窗格的配置文件选项卡上，选择一个配置文件，然后单击 编辑。
-
在“客户端体验”选项卡上的“拆分通道”旁边，选择“全局覆盖”，选择一个选项，然后单击“确定”。
配置拆分通道和授权
规划 NetScaler Gateway 部署时，请务必考虑拆分通道以及默认授权操作和授权策略。
例如，您有一个允许访问网络资源的授权策略。您已将拆分通道设置为开，并且未将 Intranet 应用程序配置为通过 NetScaler Gateway 发送网络流量。当 NetScaler Gateway 具有此类配置时，允许访问资源，但用户无法访问该资源。
如果授权策略拒绝访问网络资源，Citrix Secure Access 客户端会向 NetScaler Gateway 发送流量，但在以下情况下访问该资源会被拒绝。
- 您已将拆分通道设置为开。
- Intranet 应用程序配置为通过 NetScaler Gateway 路由网络流量
有关授权策略的详细信息，请查看以下内容：
配置对内部网络资源的网络访问
-
导航到 配置 > NetScaler Gateway > 资源 > Intranet 应用程序。
-
在详细信息窗格中，单击“添加”。
-
填写允许网络访问的参数，单击 创建，然后单击 关闭。
当我们没有为 VPN 用户设置内部网 IP 时，用户会将流量发送到 NetScaler Gateway VIP，然后 NetScaler 设备从那里构建一个新的数据包到内部局域网上的 Intranet 应用程序资源。这个新的数据包将从 SNIP 发送到 Intranet 应用程序。从这里，Intranet 应用程序获取数据包，对其进行处理，然后尝试回复该数据包的来源（本例中为 SNIP）。SNIP 获取数据包并将回复发送给发出请求的客户端。
使用 Intranet IP 地址时，用户会将流量发送到 NetScaler Gateway VIP，然后 NetScaler 设备将从那里将客户端 IP 映射到池中配置的内部网 IP 之一。请注意，NetScaler 设备将拥有 Intranet IP 池，因此不得在内部网络中使用这些范围。NetScaler 设备会像 DHCP 服务器一样为传入的 VPN 连接分配内部网 IP。NetScaler 设备为用户将要访问的局域网上的Intranet应用程序构建一个新数据包。这个新的数据包将从 Intranet IP 之一发往 Intranet 应用程序。从这里，Intranet 应用程序获取数据包，对其进行处理，然后尝试回复该数据包的来源（INTRANET IP）。在这种情况下，需要将回复数据包路由回内部网 IP 所在的 NetScaler 设备（请记住，NetScaler 设备拥有 Intranet IP 子网）。要完成此任务，网络管理员必须有指向 INTRANET IP 的路由，指向其中一个剪辑。建议将流量指向 SNIP，该 SNIP 保存数据包首次离开 NetScaler 设备的路由，以避免任何非对称流量。
分割通道选项
以下是各种分割通道选项。
拆分通道关闭
当分割通道设置为关闭时，Citrix Secure Access 客户端会捕获来自用户设备的所有网络流量，并将流量通过 VPN 通道发送到 NetScaler Gateway。换句话说，VPN 客户端会建立从客户端 PC 到 NetScaler Gateway VIP 的默认路由，这意味着所有流量都需要通过通道发送才能到达目的地。由于所有流量都将通过通道发送，因此授权策略必须确定是允许流量传递到内部网络资源还是被拒绝。
设置为“关闭”时，所有流量都将通过通道，包括到达网站的标准 Web 流量。如果目标是监视和控制此 Web 流量，则必须使用 NetScaler 设备将这些请求转发到外部代理。用户设备也可以通过代理服务器进行连接以访问内部网络。
NetScaler Gateway 支持 HTTP、SSL、FTP 和 SOCKS 协议。要为用户连接启用代理支持，必须在 NetScaler Gateway 上指定这些设置。您可以指定 NetScaler Gateway 上的代理服务器使用的 IP 地址和端口。代理服务器用作所有与内部网络的进一步连接的转发代理。
有关更多信息，请查看以下链接：
拆分通道打开
您可以启用分割通道以防止 Citrix Secure Access 客户端向 NetScaler Gateway 发送不必要的网络流量。如果启用分割通道，Citrix Secure Access 客户端仅通过 VPN 通道发送发往受 NetScaler Gateway 保护的网络（Intranet应用程序）的流量。Citrix Secure Access 客户端不会将发往未受保护网络的网络流量发送到 NetScaler Gateway。当 Citrix Secure Access 客户端启动时，它会从 NetScaler Gateway 获取Intranet应用程序列表，并为客户端 PC 的Intranet应用程序选项卡上定义的每个子网建立路由。Citrix Secure Access 客户端检查从用户设备传输的所有数据包，并将数据包中的地址与 Intranet 应用程序列表（启动 VPN 连接时创建的路由表）进行比较。如果数据包中的目标地址在其中一个Intranet应用程序内，Citrix Secure Access 客户端将数据包通过 VPN 通道发送到 NetScaler Gateway。如果目标地址不在定义的 Intranet 应用程序中，则不会对数据包进行加密，然后用户设备会使用最初在客户端 PC 上定义的默认路由来适当地路由数据包。“启用拆分通道时，Intranet 应用程序将定义被拦截并通过通道发送的网络流量”。
反向拆分通道
NetScaler Gateway 还支持反向拆分通道，该通道定义 NetScaler Gateway 不会拦截的网络流量。如果将拆分通道设置为反向，则 Intranet 应用程序将定义 NetScaler Gateway 不会拦截的网络流量。启用反向剥离通道时，定向到内部 IP 地址的所有网络流量都会绕过 VPN 通道，而其他流量则通过 NetScaler Gateway。反向拆分通道可用于记录所有非本地 LAN 流量。例如，如果用户拥有家庭无线网络并使用 Citrix Secure Access 客户端登录，则 NetScaler Gateway 不会拦截发往打印机或无线网络中其他设备的网络流量。
注意：
适用于 Windows 的 Citrix Secure Access 客户端还支持来自 Citrix Secure Access 版本 22.6.1.5 及更高版本的基于 FQDN 的反向分割通道。
需要注意的事项
基于 IP 的反向分割通道：
- 基于 IP 地址的规则数量限制为 1024。
- DNE 和 WFP 司机均提供支持。
基于主机名的反向分割通道：
- 在 VPN 会话期间可以访问的主机名数量受到 FQDN 欺骗范围内指定的可用 IP 地址数量的限制。这是因为每个主机名都占用 FQDN 欺骗范围中的一个 IP 地址。IP 范围用尽后，将最近分配的最少的 IP 地址重新用于下一个新主机名。
-
必须配置 DNS 后缀。
注意：
对于 Windows 客户端，只有 WFP 驱动程序支持基于主机名的反向分割通道。将“EnableWFP”注册表值设置为
1，启用 WFP 驱动程序模式。有关更多信息，请参阅使用 Windows 筛选平台的 Windows Citrix Secure Access 客户端。
基于 IP 和基于主机名的反向分割通道：
- 仅支持 WFP 驱动程序。基于 IP 的反向拆分通道和基于主机名的反向拆分通道中提到的所有其他准则均适用。
配置名称服务解析
在安装 NetScaler Gateway 期间，您可以使用 NetScaler Gateway 向导配置其他设置，包括名称服务提供商。域名服务提供商会将完全限定的域名 (FQDN) 转换为 IP 地址。在 NetScaler Gateway 向导中，您还可以执行以下操作：
- 配置 DNS 或 WINS 服务器
- 设置 DNS 查找的优先级
- 设置重试连接到服务器的次数。
运行 NetScaler Gateway 向导时，可以添加 DNS 服务器。您可以使用会话配置文件将其他 DNS 服务器和 WINS 服务器添加到 NetScaler Gateway。然后，您可以指示用户和组连接到与最初使用向导配置的名称解析服务器不同的名称解析服务器。
在 NetScaler Gateway 上配置另一台 DNS 服务器之前，请创建一个虚拟服务器，用作 DNS 服务器以进行名称解析。
在会话配置文件中添加 DNS 或 WINS 服务器
-
在配置实用程序中，配置选项卡 > NetScaler Gateway > 策略 > 会话。
-
在详细信息窗格的 配置文件 选项卡上，选择一个配置文件，然后单击 打开。
-
在“网络配置”选项卡上，执行以下操作之一：
-
要配置 DNS 服务器，请在 DNS 虚拟服务器旁边，单击“覆盖全局”，选择服务器，然后单击“确定”。
-
要配置 WINS 服务器，请在 WINS 服务器 IP 旁边，单击“覆盖全局”，键入 IP 地址，然后单击“确定”。
-