Gateway

用户如何连接 Citrix Secure Access 客户端

NetScaler Gateway 的运行方式如下:

  • 当用户尝试通过 VPN 通道访问网络资源时,Citrix Secure Access 客户端会加密所有发往组织内部网络的网络流量,并将数据包转发到 NetScaler Gateway。
  • NetScaler Gateway 终止 SSL 通道,接受任何目的地为专用网络的传入流量,然后将流量转发到专用网络。NetScaler Gateway 通过安全通道将流量发送回远程计算机。

当用户键入 Web 地址时,他们会收到一个登录页面,他们可以在其中输入凭据并登录。如果凭据正确,NetScaler Gateway 将完成与用户设备的握手。

如果用户在代理服务器后面,用户可以指定代理服务器和身份验证凭据。有关详细信息,请参阅 为用户连接启用代理支持

Citrix Secure Access 客户端安装在用户设备上。第一次连接后,如果用户使用基于 Windows 的计算机登录,则可以使用通知区域中的图标建立连接。

建立安全通道

当用户连接到 Citrix Secure Access 客户端、Secure Hub 或 Citrix Workspace 应用程序时,客户端软件会在端口 443(或 NetScaler Gateway 上任何已配置的端口)上建立安全通道并发送身份验证信息。建立通道后,NetScaler Gateway 会向 Citrix Secure Access 客户端、Secure Hub 或 Citrix Workspace 应用程序发送配置信息,描述需要保护的网络,并在启用地址池时包含 IP 地址。

通过安全连接建立通道专用网络流

当 Citrix Secure Access 客户端启动并对用户进行身份验证时,将捕获所有发往指定专用网络的网络流量,并通过安全通道重定向到 NetScaler Gateway。Citrix Workspace 应用程序必须支持 Citrix Secure Access 客户端,才能在用户登录时通过安全通道建立连接。

Secure Hub、Secure Mail 和 WorxWeb 使用 Micro VPN 为 iOS 和 Android 移动设备建立安全通道。

NetScaler Gateway 会拦截用户设备建立的所有网络连接,并通过安全套接字层 (SSL) 将这些连接复用到 NetScaler Gateway,在这里,流量将被解复用,并将连接转发到正确的主机和端口组合。

连接受适用于单个应用程序、应用程序子集或整个 Intranet 的管理安全策略的约束。您可以指定远程用户可以通过 VPN 连接访问的资源(IP 地址/子网对的范围)。

Citrix Secure Access 客户端为定义的Intranet应用程序拦截以下协议并通过通道传输这些协议:

  • TCP(所有端口)
  • UDP(所有端口)
  • ICMP(类型 8 和 0-回应请求/回复)

来自用户设备上本地应用程序的连接会安全地通过通道传输到 NetScaler Gateway,从而重新建立与目标服务器的连接。目标服务器将连接视为源自专用网络上的本地 NetScaler Gateway,因此隐藏了用户设备。这也称为反向网络地址转换 (NAT)。隐藏 IP 地址可以增加源位置的安全性。

在本地,在用户设备上,所有与连接相关的流量,例如 SYN-ACK、PUSH、ACK 和 FIN 数据包,都由 Citrix Secure Access 客户端重新创建,从私人服务器出现。

通过防火墙和代理进行连接

Citrix Secure Access 客户端的用户有时位于另一个组织的防火墙内,如下图所示:

用户通过两个内部防火墙进行连接

NAT 防火墙维护一个表,允许它们将安全数据包从 NetScaler Gateway 路由回用户设备。对于面向电路的连接,NetScaler Gateway 维护一个端口映射的反向 NAT 转换表。反向 NAT 转换表使 NetScaler Gateway 能够匹配连接并通过通道将数据包发回具有正确端口号的用户设备,以便数据包返回到正确的应用程序。

Citrix Secure Access 客户端的控制升级

当 NetScaler 插件的版本与 NetScaler Gateway 修订版本不匹配时,系统管理员控制其执行方式。新选项控制 Mac、Windows 或操作系统的插件升级行为。

对于 VPN 插件,可以在 NetScaler 设备用户界面的两个位置设置升级选项:

  • 在全局设置
  • 在会话配置文件级别

要求

  • Windows EPA 和 VPN 插件版本必须大于 11.0.0.0

  • Mac EPA 插件版本必须大于 3.0.0.31

  • Mac VPN 插件版本必须大于 3.1.4 (357)

注意:

如果 NetScaler 设备升级到 11.0 版本,则无论升级控制配置如何,所有以前的 VPN(和 EPA)插件都会升级到最新版本。对于后续升级,它们遵循以前的升级控制配置。

插件行为

对于每种客户端类型,NetScaler Gateway 允许使用以下三个选项来控制插件升级行为:

  • 总是

只要最终用户的插件版本与 NetScaler 设备随附的插件不匹配,插件就会始终升级。这是默认行为。如果您不想在企业中运行多个插件版本,请选择此选项。

  • 基本 (和安全性)

插件仅在认为必要时才进行升级。在以下两种情况下,必须进行升级

  • 已安装的插件与当前的 NetScaler 设备版本不兼容。

  • 必须更新已安装的插件才能进行必要的安全修复。

如果要尽量减少插件升级次数,但又不想错过任何插件安全更新,请选择此选项

  • 从不

插件没有升级。

用于控制 VPN 插件升级的 CLI 参数

NetScaler Gateway 支持适用于 Windows 和 Mac 操作系统的两种类型的插件(EPA 和 VPN)。为了在会话级别支持 VPN 插件升级控制,NetScaler Gateway 支持两个名为 WindowsInPluginUpgrade 和 MacPluginUpgrade 的会话配置文件参数。

这些参数可在全局、虚拟服务器、组和用户级别使用。每个参数的值可以为“始终”、“基本”或“从不”。有关这些参数的说明,请参阅 插件行为

用于控制 EPA 插件升级的 CLI 参数

NetScaler Gateway 支持适用于 Windows 和 Mac 操作系统的 EPA 插件。为了在虚拟服务器级别支持 EPA 插件升级控制,NetScaler Gateway 支持两个名为 WindowSEpaPluginUpgrade 和 macepaPluginUpgrade 的虚拟服务器参数。

这些参数在虚拟服务器级别可用。每个参数的值可以为“始终”、“基本”或“从不”。有关这些参数的说明,请参阅 插件行为

VPN 配置

按照以下步骤配置 Windows、Linux 和 Mac 插件的 VPN

  1. 转到 NetScaler > 策略 > 会话。

  2. 选择所需的会话策略,然后单击 编辑

  3. 选择“客户体验”选项卡。

  4. 这些对话框选项会影响升级行为。

    • 总是
    • 基本
    • 从不

    默认值为“始终”。

  5. 选中每个选项右侧的复选框。选择应用升级行为的频率。

升级选项

EPA 配置

对于 Windows、Linux 和 Apple 插件的 EPA 配置,请按照以下步骤操作。

  1. 转到 NetScaler Gateway > 虚拟服务器

  2. 选择一个服务器,然后单击 编辑 按钮。

  3. 单击 铅笔 图标。

    单击铅笔图标

  4. 单击 更多

  5. 出现的对话框会影响升级行为。可用选项如下:

    • 总是
    • 基本
    • 从不
用户如何连接 Citrix Secure Access 客户端