Gateway

配置 SmartControl

SmartControl 允许管理员定义精细策略,以在 Citrix Gateway 上为 Citrix Virtual Apps and Desktops 配置和强制实施用户环境属性。SmartControl 允许管理员从单个位置管理这些策略,而不是在这些服务器类型的每个实例上管理这些策略。

SmartControl 是通过 Citrix Gateway 上的 ICA 策略实施的。每个 ICA 策略都是表达式和访问配置文件的组合,可应用于用户、组、虚拟服务器和全局。ICA 策略在用户在会话建立时进行身份验证后进行评估。

下表列出了 SmartControl 可以强制执行的用户环境属性:

| | | | ———————————————————————————— | ————————————————————————————————————————————— | | ConnectClientDrives | 指定用户登录时与客户端驱动器的默认连接。 |ConnectClientLPTPorts|指定用户登录时从客户端自动连接 LPT 端口。LPT 端口是本地打印机端口。| |ClientAudioRedirection|指定服务器上托管的应用程序以通过安装在客户端计算机上的声音设备传输音频。| |ClientClipboardRedirection|指定和配置客户端设备上的剪贴板访问权限,并在服务器上映射剪贴板。| |ClientCOMPortRedirection|指定与客户端之间的 COM 端口重定向。COM 端口是通信端口。COM 端口是串行端口。| |ClientDriveRedirection|指定与客户端之间的驱动器重定向。| |Multistream|为指定用户指定多流要素。| |ClientUSBDeviceRedirection|指定 USB 设备与客户端之间的重定向(仅限工作站主机)。| |Localremotedata|为 Citrix Workspace 应用程序指定 HTML5 文件上载下载功能。| |ClientPrinterRedirection|指定用户登录会话时要映射到服务器的客户端打印机。| | 策略 | 操作 | 访问配置文件 | | 添加 | 编辑 | 删除 | | 显示绑定 | 策略管理器 | 操作 |

策略

ICA 策略指定操作、访问配置文件、表达式以及可选的日志操作。“策略”选项卡中提供了以下命令:

  • 添加
  • 编辑
  • Delete
  • 显示绑定
  • 策略经理
  • 操作

添加

  1. 转到 Citrix Gateway > 策略 ,然后单击 ICA

    选择 ICA

  2. 在详细信息窗格的“策略”选项卡上,单击“添加”。

  3. 在“名”对话框中,键入策略的名称。

    策略名称

  4. 在“操作”旁边,执行以下操作之一:

    • 单击 > 图标以选择现有操作。有关详细信息,请参阅 (#common-process) 下的 [选择操作]。
    • 单击 + 图标以创建操作。有关详细信息,请参阅 (#common-process) 下的 [创建新操作]。
    • 铅笔 图标已禁用。
  5. 创建一个表达式。

  6. 创建 日志操作。有关详细信息,请参阅 创建日志操作

  7. 在“备注”框中输入消息。注释会写入消息日志。此字段为可选字段。

  8. 单击“创建”。

编辑

  1. 转到 Citrix Gateway > 策略 ,然后单击 ICA

  2. 从列表中选择 ICA 策略。

  3. 在详细信息窗格的 策略 选项卡上,单击 编辑

  4. 验证策略名称。

    验证策略名称

  5. 要修改操作,请执行以下操作之一:

    • 单击 > 图标可修改现有操作。有关详细信息,请参阅 (#common-process) 下的 [选择操作]。
    • 单击 + 以图标创建操作。有关详细信息,请参阅 (#common-process) 下的 [创建新操作]。
    • 单击铅笔图标修改 [访问配置文件]。
  6. 根据需要修改表达式。有关详细信息,请参见 (#common-process) 下的 [表达式]。

  7. 要修改日志操作,请执行 以下操作之一:

    • 单击 + 以创建日志操作

    • 单击 铅笔 图标以配置审核消息。

  8. 根据需要修改注释。

  9. 单击“确定”。

Delete

  1. 转到 Citrix Gateway > 策略 ,然后单击 ICA

  2. 从列表中选择所需的 ICA 策略。

  3. 在详细信息窗格的 策略 选项卡上,单击 删除

  4. 单击是确认要除策略。

显示绑定

  1. 转到 Citrix Gateway > 策略 ,然后单击 ICA

  2. 从列表中选择 ICA 策略。

  3. 在详细信息窗格的 策略 选项卡上,单击 显示绑定

策略经理

  1. 转到 Citrix Gateway > 策略 ,然后单击 ICA

  2. 从列表中选择所需的 ICA 策略。

  3. 在详细信息窗格的策略选项卡上,单击 策略管理器

  4. 绑定点 对话框中,选择以下策略之一。

    • 覆盖全局
    • VPN 虚拟服务器
    • 缓存重定向虚拟服务器
    • 默认全局
  5. 在“连接类型”对话框中,从菜单中选择绑定策略。

  6. 如果选择 VPN 虚拟服务器或缓存重定向虚拟服务器,则可以使用菜单连接到服务器。

  7. 单击 继续

    ICA 策略配置页面

添加绑定

  1. 选择“继续”后,将显示此屏幕。

  2. 选择要附加绑定的策略。

  3. 选择 添加绑定。

    添加绑定页面

策略绑定

1. 选择完成后,将出现此屏幕。

取消绑定策略

  1. 选择要取消绑定的策略,然后单击取 消绑定 按钮。

    取消绑定策略

  2. 单击“完成

  3. 单击弹出屏幕上的“”按钮以确认要取消绑定所选实体。

绑定 NOPOLICY

  1. 选择需要 NOPOLICY 的策略,然后单击 绑定 NOPOLICY 按钮。

    绑定 `Nopolicy`

  2. 单击“完成

编辑

您可以从 ICA 策略管理器中进行编辑。

  1. 选择要编辑的策略,然后选择 编辑

    编辑 ICA 策略

  2. 您可以进行以下编辑:[**编辑绑定**、][编辑政策][编辑操作]

    策略编辑

编辑绑定

  1. 选择策略后,单击 编辑绑定。

  2. 确认您正在编辑所需的策略。此策略名称不可编辑。

    编辑策略绑定

  3. 根据需要设置优先级。

  4. 根据需要设置 Gto 表达式。

  5. 单击“绑定”按钮。

编辑策略

  1. 选择策略后,单击 编辑策略

  2. 验证策略名称以确保您正在编辑所需的策略。此字段不可编辑。

    编辑策略

  3. 要修改操作策略,请执行以下操作之一:

    • 单击 > 图标以选择现有操作。有关详细信息,请参阅 (#common-process) 下的 [选择操作]。
    • 单击 + 图标以创建操作。有关详细信息,请参阅 (#common-process) 下的 [创建新操作]。
    • 单击 铅笔 图标以修改访问配置文件。有关详细信息,请参阅 (#common-process) 下的 [选择现有访问配置文件]。
  4. 根据需要修改表达式。有关更多详细信息,请参见 (#common-process) 下的 [表达式]。

  5. 从菜单中选择所需的消息类型。要创建日志操作,请执行以下操作之一:

    • 单击 + 图标以创建操作。有关详情,请参阅 创建日志操作
    • 单击 铅笔 图标可修改“配置审核消息操作”。有关详细信息,请参阅 配置审核消息
  6. 输入有关 ICA 策略的注释。

  7. 编辑完成后单 击“确定”

编辑操作

  1. 选择策略后,单击编辑操作

  2. 验证操作名称以确认您正在编辑所需的操作。此字段不可编辑。

  3. 在访问配置文件旁边执行以下操作之一:

    • 单击 > 图标选择不同的访问配置文件。有关详情,请参阅配置操作
    • 单击+图标选择新的频道配置文件。创建访问配置文件
    • 单击 铅笔 图标以修改访问配置文件。有关详细信息,请参阅 (#common-processes) 下的 [选择现有的访问配置文件]。
  4. 单击确定

    编辑操作

操作

策略 > 操作 命令用于重命名操作。

  1. 从列表中选择所需的 ICA 操作。

  2. 在 ICA 策略选项卡上,单击 操作。从菜单中选择“重命名”。

    重命名操作页面

  3. 重命名操作。

  4. 单击 OK(确定)

操作

操作将策略与访问配置文件连接起来。“策略”选项卡中提供了以下命令:

  • 添加
  • 编辑
  • Delete
  • 操作

添加

  1. 转到 Citrix Gateway > 操作 ,然后单击 ICA

    ICA 页面

  2. 在详细信息窗格的操作选项卡上,单击 添加

    添加操作

    • 单击 > 图标选择现有的访问配置文件。有关详细信息,请参阅 (#common-process) 下的 [选择现有访问配置文件]。

    • 单击 + 图标以创建访问配置文件。有关详细信息,请参阅 创建访问配置文件。

    • 此屏幕的 铅笔 图标处于禁用状态。

  3. 单击创建

    创建操作

编辑

  1. 从列表中选择所需的 ICA 策略。

    选择 ICA 策略

  2. 在详细信息窗格的操作选项卡上,单击 编辑

配置操作

  1. 验证操作名称以确认您正在编辑所需的操作。此字段不可编辑。

  2. 在访问配置文件旁边执行以下操作之一:

    • 单击 > 选择现有的访问配置文件。有关详细信息,请参阅 (#common-process) 下的 [选择现有访问配置文件]。
    • 单击 + 以创建访问配置文件。有关详细信息,请参阅创建访问配置文件
    • 单击 铅笔 图标以 配置访问配置文件
  3. 单击确定

    配置操作

Delete

  1. 转到 Citrix Gateway > 操作 ,然后单击 ICA

  2. 从列表中选择所需的 ICA 操作。

  3. 在详细信息窗格中的“操作”选项卡上,单击“删除”。

    删除操作

  4. 单击是以确认要删除策略操作。

操作

ICA 操作 > 操作 命令用于重命名操作。

  1. 转到 Citrix Gateway > 操作 ,然后单击 ICA

  2. 从列表中选择所需的 ICA 操作。

  3. 在详细信息窗格的操作选项卡上,单击 操作

    操作页面

  4. 从菜单中选择 操作 > 重命名

  5. 重命名操作。

  6. 单击 OK(确定)

访问资料

ICA 配置文件定义用户连接的设置。

访问配置文件指定在用户设备满足策略表达式条件时应用到用户的 Citrix Virtual Apps and Desktops 环境 ICA 的操作。您可以使用 GUI 独立于 ICA 策略创建 ICA 配置文件,然后将该配置文件用于多个策略。一个策略只能使用一个配置文件。

您可以独立于 ICA 策略创建访问配置文件。创建策略时,您可以选择要附加到策略的访问配置文件。访问配置文件指定用户可用的资源。“策略”选项卡中提供了以下命令:

  • 添加
  • 编辑
  • Delete

使用 GUI 创建访问配置文件

  1. 转到 Citrix Gateway > 策略 ,然后单击 ICA

  2. 在详细信息窗格中,单击 访问配置文件 选项卡,然后单击 添加

  3. 配置配置文件的设置,单击“创建”,然后单击“关闭”。创建配置文件后,可以将其包含在 ICA 策略中。

使用 GUI 将访问配置文件添加到策略

  1. 转到 Citrix Gateway > 策略 ,然后单击 ICA

  2. 在“策略”选项卡上,执行以下操作之一:

    • 单击 添加 以创建 ICA 策略。

    • 选择一个策略,然后单击 打开

  3. 在“ 作”菜单中,从列表中选择一个访问配置文件。

  4. 完成 ICA 策略的配置,然后执行以下操作之一:

    1. 单击 创建 ,然后单击 关闭 以创建策略。

    1. 单击“确定”,然后单击“关闭”以修改策略。

添加

  1. 转到 Citrix Gateway > 策略 ,然后单击 ICA

    “添加 ICA”页面

  2. 在详细信息窗格的“访问配置文件”选项卡上,单击“添加”。**

    添加 ICA

  3. 在名称中,键入访问配置文件的名称。

    添加访问配置文件名

  4. 从显示的菜单中选择默认或禁用以创建访问配置文件。

  5. 单击创建

编辑

  1. 选择要编辑的访问配置文件。

  2. 在详细信息窗格中的访问配置文件选项卡上,单击 编辑

编辑访问资料

配置访问资料

  1. 验证名 是否是要修改的名称。

    配置访问资料

  2. 从菜单中选择 默认禁用 以根据需要进行配置。
  3. 单击确定

Delete

  1. 转到 Citrix Gateway > 操作,然后单击 ICA

  2. 从列表中选择所需的 ICA 操作。

  3. 在详细信息窗格的“操作”选项卡上,单击“删除”。

    删除 ICA

  4. 单击是确认要删除的访问配置文件。

常见流程

创建操作

  1. 键入操作的名称。

  2. 选择以下选项之一以提供访问配置文件:

    • 单击 > 选择现有的访问配置文件。有关详细信息,请参见 (#common-process) 下的 [选择现有访问配置文件]。

    • 单击 + 创建访问配置文件。有关详细信息,请参阅 创建访问配置

    • 铅笔 图标已禁用。

  3. 单击创建

    创建操作页面

选择一个操作

  1. 通过单击操作左侧的单选按钮来选择该操作。关联的访问配置文件指定允许的用户功能。

  2. 单击“选择”按钮。

    选择一个操作

创建访问配置文件

  1. 命名访问配置文件。

    访问配置文件名

  2. 您可以从此菜单配置访问配置文件。

  3. 单击创建

选择现有的访问配置文件

  1. 通过单击选择一个访问配置文件。

    选择访问资料

  2. 单击编辑。

  3. 配置访问配置文件。有关详细信息,请参阅 配置访问配

表达式

  1. 要创建或修订现有表达式,请选择“清除”。

    这些表达式是典型的 ICA 表达式。对于 HTTP 表达式,输入带有“”的名称,然后删除 ()。

       
    ICA.SERVER.PORT 此表达式检查指定的端口是否与用户尝试连接的 Citrix Virtual Apps and Desktops 上的端口号匹配。
    ICA.SERVER.IP 此表达式检查指定的 IP 是否与用户尝试连接的 Citrix Virtual Apps and Desktops 上的 IP 地址匹配。
    AAA.USER.IS_MEMBER_OF(“”).NOT 此表达式检查不是指定组名成员的用户是否访问了当前连接。
    AAA.USER.IS_MEMBER_OF(“group name”) 此表达式检查访问当前连接的用户是否是指定组的成员。
    AAA.USER.NAME.CONTAINS(“”).NOT 此表达式检查访问当前连接的用户是否不是指定组的成员。
    AAA.USER.NAME.CONTAINS(“enter user name”) 指定用户名的资源。 此表达式检查是否使用指定的名称访问当前连接。
    CLIENT.IP.DST.EQ(enter the IP address here).NOT 此表达式检查当前流量的目标 IP 是否不等于指定的 IP 地址。
    CLIENT.IP.DST.EQ(在此处输入 IP 地址) 此表达式检查当前流量的目标 IP 是否等于指定的 IP 地址。
    CLIENT.TCP.DSTPORT.EQ (enter port number).NOT 此表达式检查目标端口是否不等于指定的端口号。
    CLIENT.TCP.DSTPORT.EQ(输入端口号) 此表达式检查目标端口是否等于指定的端口号。
  2. 同时,选择“控制”和“空格 键”。然后您的选项就可见了。

    表情对话框

  3. 键入期间。做出选择,然后按空格键。
  4. 在上表中表达式的每个周期中,键入句点。进行选择,然后按空格键。
  5. 单击确定

表达式

组识别

预验证函数或会话函数使用组名变量定义表达式。

预身份验证

  1. 从配置窗格中选择预身份验证。

选择 `preauth` 策略

  1. 从预身份验证策略中选择一个名称。

  2. 从预身份验证策略选项卡中选择 编辑

    预验证策略选项卡

  3. 选择“请求操作”对话框旁边的 铅笔 图标或 +

    编辑

  4. 在默认 EPA 组对话框中定义 (“<groupname>”)。

    EPA 集团

会话

  1. 从配置窗格中选择 会话

会话选项

创建日志操作

  1. 在“配置策略”屏幕中,在“日志操作”对话框旁边,选择 + 图标

日志操作页

创建审核消息操作

  1. 此时将显示 创建审核消息操作 屏幕。为审核消息命名。审核消息只接受数字、字母或下划线字符。

  2. 从菜单中指定审核日志级别。

   
紧急 表示服务器立即出现危机的事件。
警报 可能需要采取措施的事件。
严重 表明即将发生服务器危机的事件。
错误 指示某种类型错误的事件。
警告 需要尽快采取行动的活动。
通知 管理员必须知道的事件。
参考信息 除了低级别的事件以外的所有
调试 所有事件,都非常详细。
  1. 输入表达式。表达式定义日志的格式和内容。

  2. 复选框。

    • 检查登录 newnslog 以将消息发送到新的 ns 日志。
    • 选择“绕过安全检查”以绕过安全检查。这允许不安全的表达式。
  3. 单击创建

创建审核消息操作

修改日志操作

  1. 在“配置策略”屏幕中,单击“日志操作”对话框旁边的图标。

    配置策略

配置审核消息操作

以下是可编辑字段:

  1. 从菜单中指定审核日志级别。

  2. 输入表达式。表达式定义日志的格式和内容。

  3. 这些复选框:

    • 选中登录 newnslog 以将消息发送到新的 ns 日志。

    • 选择“绕过安全检查”以绕过安全检查。这允许不安全的表达式。

  4. 单击确定

    配置审核消息页面

选择现有策略

  1. 单击 > 图标选择现有策略。

    “策略”页

  2. 选择所需策略的单选按钮。

    选择一个策略

创建策略

  1. 名称中,键入策略的名称。
  2. 单击 + 创建策略。

    创建策略

  3. 创建一个操作。 有关详细信息,请参阅创建新操作

  4. 命名访问配置文件。

    访问配置文件名

  5. 从此菜单配置访问配置文件。
  6. 单击创建
  7. 单击绑定

    绑定页面

配置身份验证前和身份验证后端点分析

本节介绍如何配置身份验证后和身份验证前端点分析 (EPA)。

要使用 SmartControl 配置身份验证后 EPA,请使用 VPN 会话操作中的 Smartgroup 参数。在 VPN 会话策略上配置了 EPA 表达式。

您可以为智能组参数指定组名称。此组名可以是任意字符串。组名不必是活动目录中的现有组。

使用表达式 HTTP.REQ.IS_MEMBER_OF (“groupname”) 配置 ICA 策略。使用之前为智能组指定的组名称。

要使用 SmartControl 配置预身份验证 EPA,请使用预身份验证配置文件中的默认 EPA 组参数。EPA 表达式在预身份验证策略中配置。

您可以为默认 EPA 组参数指定组名称。此组名可以是任意字符串。组名不必是活动目录中的现有组。

使用表达式 HTTP.REQ.IS_MEMBER_OF (“groupname”) 配置 ICA 策略,使用之前为默认 EPA 组指定的组名称。

身份验证后配置

使用以下过程为身份验证后配置设置智能组。

  1. 转到 Citrix Gateway > 策略 > 会话

    会话页面

  2. 转到 会话配置文件 > 添加

    添加会话

创建 Citrix Gateway 会话配置文件

  1. 选择安全选项卡。

  2. 输入 Citrix Gateway 配置文件(操作)的 名称

  3. 选中菜单右侧的框,然后选择所需的 默认授权操作

    指定用户登录内部网络时有权访问的网络资源。授权的默认设置为拒绝对所有网络资源的访问。Citrix 建议使用默认的全局设置,然后创建授权策略来定义用户可以访问的网络资源。如果将默认授权策略设置为 DENY,则必须明确授权访问任何网络资源,这样可以提高安全性。

  4. 选择菜单右侧的框,然后选择所需的 Secure Browse。

    允许用户使用 Citrix Workspace 应用程序通过 Citrix Gateway 连接到来自 iOS 和 Android 移动设备的网络资源。用户无需建立完整的 VPN 通道即可访问安全网络中的资源。

  5. 选择菜单右侧的框并输入 Smartgroup 名称。

    这是与此会话操作关联的会话策略成功时用户所在的组。VPN 会话策略执行身份验证后 EPA 检查,如果检查成功,用户将被放置在由智能组指定的组中。然后可以将 is_member_of (aaa.user.is_member_of) 表达式与策略一起使用,以检查 EPA 是否已传递属于此智能组的用户。

  6. 单击创建

  7. 转到 Citrix Gateway > 策略 > 会话

  8. 转到 会话策略 > 添加

  9. 入用户登录 Citrix Gateway 后应用的新会话策略的名称。

  10. 使用菜单选择“配置文件”操作。

    如果满足规则条件,则新会话策略应用的操作。

    注意: 如果必须创建所需的配置文件,请选择 +。有关详细信息,请参阅创建 Citrix Gateway 会话配置

  11. 在此字段中输入 表达式

    此字段定义了指定与策略匹配的流量的命名表达式。表达式可以用默认语法或经典语法编写。表达式的文字字符串的最大长度为 255 个字符。较长的字符串可以拆分为最多 255 个字符的较小字符串,较小的字符串可以用 + 运算符串联起来。例如,您可以创建一个 500 个字符的字符串,如下所示:’”” + “”’

    以下要求仅适用于 Citrix ADC CLI:

    • 如果表达式包含一个或多个空格,请用双引号将整个表达式括起来。
    • 如果表达式本身包含双引号,请使用字符对引号进行转义。* 或者,可以使用单引号将规则括起来,在这种情况下,不必对双引号进行转义。
  12. 单击创建

  13. 转到 会话策略

  14. 选择会话策略的 名称

  15. 从“ 作”菜单中选择“全局绑定”。

  16. 选择 添加绑定

  17. 选择 > 以选择现有策略。

    注意: 选择 + 创建策略。有关详细信息,请参阅创建 Citrix Gateway 会话配置文件

  18. 从列表中选择一个名称, 然后按“选择”按钮。

  19. 输入 优先级 ,然后单击 绑定

  20. 单击“完成

  21. 该检查显示您的选择是全局绑定的。

    会话策略页

身份验证前配置

使用以下过程设置预身份验证配置。

  1. 转到 Citrix Gateway > 策略 > 预身份验证

    预身份验证页面

  2. 选择 预身份验证配置文件 选项卡并选择 添加

    添加预验证配置文件

  3. 输入预身份验证操作的 名称

    名称必须以字母、数字或下划线字符 (_) 开头,并且只能由字母、数字和连字符 (-)、句点 (.) 磅 (#)、空格 ()、at (@)、等于 (=)、冒号 (:) 和下划线字符组成。创建预身份验证操作后无法更改。

    注意: 以下要求仅适用于 Citrix ADC CLI: 如果名称包含一个或多个空格,请用双引号或单引号将名称括起来。

  4. 选择当连接与策略匹配时策略将调用的 请求操作

    注意: 如果要创建或创建预身份验证配置文件,请选择 +。有关详细信息,请参阅 创建预身份验

  5. 输入作为 Citrix ADC 命名规则名称的 表达式 ,或者输入用于定义与策略匹配的连接的默认语法表达式。

  6. 单击创建

  7. 转到“预身份验证策 略”选项卡,然后选择所需的策略。

  8. 从“ 作”菜单中选择 全局绑定

  9. 选择 添加绑定

  10. 选择 > 以选择现有策略。

    选择 + 创建策略。有关详细信息,请参阅创建 Citrix Gateway 会话配置文件

  11. 选择 政策。

  12. 输入 优先级 ,然后单击 绑定

  13. 单击 Done(完成)。

  14. 检查显示 预身份验证策略全局绑定

创建预验证配置文件

  1. 输入预身份验证操作的 名称

    名称必须以字母、数字或下划线字符 (_) 开头,并且只能由字母、数字和连字符 (-)、句点 (.) 磅 (#)、空格 ()、at (@)、等于 (=)、冒号 (:) 和下划线字符组成。创建预身份验证操作后无法更改。

    注意: 如果名称包含一个或多个空格,请用双引号或单引号将名称括起来。这仅适用于 Citrix ADC CLI。

  2. 从菜单中输入 操作

    在端点分析 (EPA) 结果之后,此选项将允许或拒绝登录。

  3. 要取消的进程

    此选项标识端点分析 (EPA) 工具必须终止的一系列流程。

  4. 要删除的文件

    此选项标识一个字符串,用于指定端点分析 (EPA) 工具必须删除的文件的路径和名称。

  5. 默认的 EPA 组

    默认的 EPA 组是 EPA 检查成功时选择的组。

  6. 单击创建