产品文档
Gateway
Current Release 13.1 13.0 12.1
查看 PDF

Citrix Gateway 上的完整 VPN 设置

February 1, 2024
投稿者: 
C

本节介绍如何在 Citrix Gateway 设备上配置完整的 VPN 设置。它包含网络考虑因素以及从网络角度解决问题的理想方法。

必备条件

当用户使用 Citrix Gateway 插件、Secure Hub 或 Citrix Workspace 应用程序进行连接时，客户端软件将通过端口 443（或 Citrix Gateway 上的任何已配置端口）建立安全通道并发送身份验证信息。建立通道后，Citrix Gateway 会将配置信息发送到 Citrix Gateway 插件、Citrix Secure Hub 或 Citrix Workspace 应用程序，描述要保护的网络。如果启用 Intranet IP，则该信息还包含 IP 地址。

您可以通过定义用户可以在内部网络中访问的资源来配置用户设备连接。配置用户设备连接包括以下内容：

  • 拆分通道
  • 用户的 IP 地址，包括地址池（内部网 IP）
  • 通过代理服务器的连接
  • 定义允许用户访问的域
  • 超时设置
  • 单点登录
  • 通过 Citrix Gateway 连接的用户软件
  • 移动设备的访问权限

您可以使用作为会话策略一部分的配置文件来配置大多数用户设备连接。您还可以使用按身份验证、流量和授权策略定义用户设备连接设置。它们也可以使用 Intranet 应用程序进行配置。

在 Citrix Gateway 设备上配置完整的 VPN 设置

要在 Citrix Gateway 设备上配置 VPN 设置，请完成以下过程：

  1. 导航到“流量管理”>“DNS”。

  2. 选择“名称服务器”节点，如以下屏幕截图所示。确保已列出 DNS 名称服务器。如果不可用，请添加 DNS 名称服务器。

    选择名称服务器

  3. 展开 Citrix Gateway > 策略。

  4. 选择“会 话”节点。

  5. 在 Citrix Gateway 会话策略和配置文件页面中，单击 配置文件 选项卡，单击 添加。 对于在“配置 Citrix Gateway 会话配置文件”对话框中配置的每个组件，请确保为相应组件选择“覆盖全局”选项。

  6. 单击“客户端体验”选项卡。

  7. 如果您想在用户登录 VPN 时显示任何 URL，请在主页字段中键入 Intranet 门户 URL。如果主页参数设置为“nohomepage.html”，则不会显示主页。插件启动时，浏览器实例启动并自动终止。

    输入内部网门户 URL

  8. 确保从拆分通道列表中选择所需的设置。

  9. 如果您想要 FullVPN，请从 无客户端访问 列表中选择 关 闭。

    将无客户端访问设置为 off

  10. 确保从 插件类型 列表中选择了 Windows/Mac OS X 。

  11. 如果需要，请选择 单点登录到 Web 应用程序 选项。

  12. 如有必要，请确保选择“客户端清理提示符”选项，如以下屏幕截图所示：

    客户端清理

  13. 单击安全选项卡。

  14. 确保从“默认授权操 作”列表中选择了“允许”，如以下屏幕截图所示：

    将默认授权操作设置为允许

  15. 单击 Published Applications（已发布的应用程序）选项卡。

  16. 确保从“已发布的应用程序”选项下的 ICA 代理 列表中选择 了 OFF。

    将 ICA 代理设置为关闭

  17. 单击创建。

  18. 单击关闭。

  19. 单击虚拟服务器中 Citrix Gateway 会话策略和配置文件页面的策略选项卡，或根据需要在组/用户级别激活会话策略。

  20. 使用必需的表达式或 ns_true 创建会话策略，如以下屏幕截图所示：

    创建会话策略

  21. 将会话策略绑定到 VPN 虚拟服务器。有关详情，请参阅 绑定会话策略。

    如果将拆分通道配置为开，则必须配置希望用户在连接到 VPN 时访问的 Intranet 应用程序。有关 Intranet 应用程序的详细信息，请参阅 为 Citrix Gateway 插件配置 Intranet 应用程序。

    内联网应用程序

    1. 转到 Citrix Gateway > 资源 > 内联网应用程序。

    2. 创建一个 Intranet 应用程序。为带 Windows 客户端的 FullVPN 选择“透明”。选择要允许的协议（TCP、UDP 或 ANY）、目标类型（IP 地址和掩码、IP 地址范围或主机名）。

      创建一个 Intranet 应用程序

    3. 如有必要，请使用以下表达式为 iOS 和 Android 上的 Citrix VPN 设置新策略： REQ.HTTP.HEADER("User-Agent").CONTAINS("CitrixVPN") && (REQ.HTTP.HEADER("User-Agent").CONTAINS("NSGiOSplugin") || REQ.HTTP.HEADER("User-Agent").CONTAINS("Android"))

      为 VPN 设置策略

    4. 根据需要绑定在 USER/GROUP/VSERVER 级别创建的 Intranet 应用程序。

其他参数

以下是您可以配置的一些参数以及每个参数的简要说明：

拆分通道配置

拆分通道关闭

当拆分通道设置为关闭时，Citrix Gateway 插件会捕获源自用户设备的所有网络流量，然后通过 VPN 通道将流量发送到 Citrix Gateway。换句话说，VPN 客户端会建立从客户端 PC 到 Citrix Gateway VIP 的默认路由，这意味着所有流量都需要通过通道发送才能到达目的地。由于所有流量都将通过通道发送，因此授权策略必须确定是允许流量传递到内部网络资源还是被拒绝。

设置为“关闭”时，所有流量都将通过通道，包括到达网站的标准 Web 流量。如果目标是监视和控制此 Web 流量，则必须使用 Citrix ADC 设备将这些请求转发到外部代理。用户设备也可以通过代理服务器进行连接以访问内部网络。
Citrix Gateway 支持 HTTP、SSL、FTP 和 SOCKS 协议。要为用户连接启用代理支持，必须在 Citrix Gateway 上指定这些设置。您可以指定 Citrix Gateway 上的代理服务器使用的 IP 地址和端口。代理服务器用作所有与内部网络的进一步连接的转发代理。

有关更多信息，请参阅为用户连接启用代理支持

拆分通道打开

您可以启用拆分通道以防止 Citrix Gateway 插件向 Citrix Gateway 发送不必要的网络流量。如果启用了拆分通道，Citrix Gateway 插件将仅通过 VPN 通道发送目的地为 Citrix Gateway 保护的网络（Intranet 应用程序）的流量。Citrix Gateway 插件不会将发往未受保护网络的网络流量发送到 Citrix Gateway。Citrix Gateway 插件启动时，它将从 Citrix Gateway 获取 Intranet 应用程序列表，并为客户端 PC 的 Intranet 应用程序选项卡上定义的每个子网建立路由。Citrix Gateway 插件会检查从用户设备传输的所有数据包，并将数据包中的地址与 Intranet 应用程序列表（启动 VPN 连接时创建的路由表）进行比较。如果数据包中的目标地址位于其中一个 Intranet 应用程序内，Citrix Gateway 插件会通过 VPN 通道将数据包发送到 Citrix Gateway。如果目标地址不在定义的 Intranet 应用程序中，则不会对数据包进行加密，然后用户设备会使用最初在客户端 PC 上定义的默认路由来适当地路由数据包。“启用拆分通道时，Intranet 应用程序将定义被拦截并通过通道发送的网络流量”。

反向拆分通道

Citrix Gateway 还支持反向拆分通道，该通道定义 Citrix Gateway 不会拦截的网络流量。如果将拆分通道设置为反向，则 Intranet 应用程序将定义 Citrix Gateway 不会拦截的网络流量。启用反向剥离通道时，定向到内部 IP 地址的所有网络流量都会绕过 VPN 通道，而其他流量则通过 Citrix Gateway。反向拆分通道可用于记录所有非本地 LAN 流量。例如，如果用户拥有家庭无线网络并使用 Citrix Gateway 插件登录，Citrix Gateway 不会拦截发往打印机或无线网络中其他设备的网络流量。

配置拆分通道

  1. 导航到 配置 > Citrix Gateway > 策略 > 会话。

  2. 在详细信息窗格的配置文件选项卡上，选择一个配置文件，然后单击 编辑。

  3. 在“客户端体验”选项卡上的“拆分通道”旁边，选择“全局覆盖”，选择一个选项，然后单击“确定”。

    配置拆分通道和授权

    规划 Citrix Gateway 部署时，请务必考虑拆分通道以及默认授权操作和授权策略。

    例如，您有一个允许访问网络资源的授权策略。您已将拆分通道设置为开，并且未将 Intranet 应用程序配置为通过 Citrix Gateway 发送网络流量。当 Citrix Gateway 具有此类配置时，允许访问资源，但用户无法访问该资源。

    配置完整的 VPN

如果授权策略拒绝访问网络资源，Citrix Gateway 插件会将流量发送到 Citrix Gateway，但在以下情况下，对资源的访问将被拒绝。

  • 您已将拆分通道设置为开。
  • Intranet 应用程序配置为通过 Citrix Gateway 路由网络流量

有关授权策略的详细信息，请查看以下内容：

配置对内部网络资源的网络访问

  1. 导航到 配置 > Citrix Gateway > 资源 > Intranet 应用程序。

  2. 在详细信息窗格中，单击“添加”。

  3. 填写允许网络访问的参数，单击 创建，然后单击 关闭。

当我们没有为 VPN 用户设置内部网 IP 时，用户会将流量发送到 Citrix Gateway VIP，然后 Citrix ADC 设备从那里构建一个新的数据包到内部局域网上的 Intranet 应用程序资源。这个新的数据包将从 SNIP 发送到 Intranet 应用程序。从这里，Intranet 应用程序获取数据包，对其进行处理，然后尝试回复该数据包的来源（本例中为 SNIP）。SNIP 获取数据包并将回复发送给发出请求的客户端。

使用 Intranet IP 地址时，用户会将流量发送到 Citrix Gateway VIP，然后 Citrix ADC 设备将从那里将客户端 IP 映射到池中配置的内部网 IP 之一。请注意，Citrix ADC 设备将拥有 Intranet IP 池，因此不得在内部网络中使用这些范围。Citrix ADC 设备会像 DHCP 服务器一样为传入的 VPN 连接分配内部网 IP。Citrix ADC 设备为用户将要访问的局域网上的内联网应用程序构建一个新数据包。这个新的数据包将从 Intranet IP 之一发往 Intranet 应用程序。从这里，Intranet 应用程序获取数据包，对其进行处理，然后尝试回复该数据包的来源（INTRANET IP）。在这种情况下，需要将回复数据包路由回内部网 IP 所在的 Citrix ADC 设备（请记住，Citrix ADC 设备拥有 Intranet IP 子网）。要完成此任务，网络管理员必须有指向 INTRANET IP 的路由，指向其中一个剪辑。建议将流量指向 SNIP，该 SNIP 保存数据包首次离开 Citrix ADC 设备的路由，以避免任何非对称流量。

分割通道选项

以下是各种分割通道选项。

拆分通道配置

拆分通道关闭

当拆分通道设置为关闭时，Citrix Secure Access 客户端捕获来自用户设备的所有网络流量，并将流量通过 VPN 通道发送到 Citrix Gateway。换句话说，VPN 客户端会建立从客户端 PC 到 Citrix Gateway VIP 的默认路由，这意味着所有流量都需要通过通道发送才能到达目的地。由于所有流量都将通过通道发送，因此授权策略必须确定是允许流量传递到内部网络资源还是被拒绝。

设置为“关闭”时，所有流量都将通过通道，包括到达网站的标准 Web 流量。如果目标是监视和控制这种网络流量，则必须使用 Citrix Gateway 设备将这些请求转发到外部代理。用户设备也可以通过代理服务器进行连接以访问内部网络。
Citrix Gateway 支持 HTTP、SSL、FTP 和 SOCKS 协议。要为用户连接启用代理支持，必须在 Citrix Gateway 上指定这些设置。您可以指定 Citrix Gateway 上的代理服务器使用的 IP 地址和端口。代理服务器用作所有与内部网络的进一步连接的转发代理。

有关更多信息，请查看以下链接：

拆分通道打开

您可以启用拆分通道以防止 Citrix Secure Access 客户端向 Citrix Gateway 发送不必要的网络流量。如果启用拆分通道，则 Citrix Secure Access 客户端仅通过 VPN 通道发送发往受 Citrix Gateway 保护的网络（内联网应用程序）的流量。Citrix Secure Access 客户端不会将发往未受保护网络的网络流量发送到 Citrix Gateway。当 Citrix Secure Access 客户端启动时，它会从 Citrix Gateway 获取内联网应用程序列表，并为客户端 PC 的内联网应用程序选项卡上定义的每个子网建立路由。Citrix Secure Access 客户端检查从用户设备传输的所有数据包，并将数据包中的地址与 Intranet 应用程序列表（启动 VPN 连接时创建的路由表）进行比较。如果数据包中的目标地址位于其中一个内联网应用程序中，Citrix Secure Access 客户端将通过 VPN 通道将数据包发送到 Citrix Gateway。如果目标地址不在定义的 Intranet 应用程序中，则不会对数据包进行加密，然后用户设备会使用最初在客户端 PC 上定义的默认路由来适当地路由数据包。“启用拆分通道时，Intranet 应用程序将定义被拦截并通过通道发送的网络流量”。

反向拆分通道

Citrix Gateway 还支持反向拆分通道，该通道定义 Citrix Gateway 不会拦截的网络流量。如果将拆分通道设置为反向，则 Intranet 应用程序将定义 Citrix Gateway 不会拦截的网络流量。启用反向剥离通道时，定向到内部 IP 地址的所有网络流量都会绕过 VPN 通道，而其他流量则通过 Citrix Gateway。反向拆分通道可用于记录所有非本地 LAN 流量。例如，如果用户拥有家庭无线网络并使用 Citrix Secure Access 客户端登录，则 Citrix Gateway 不会拦截发往无线网络内打印机或其他设备的网络流量。

注意：

适用于 Windows 的 Citrix Secure Access 客户端还支持来自 Citrix Secure Access 版本 22.6.1.5 及更高版本的基于 FQDN 的反向分割通道。

注意事项

基于 IP 的反向分割通道：

  • 基于 IP 地址的规则数量限制为 1024。
  • DNE 和 WFP 司机均提供支持。

基于主机名的反向分割通道：

  • 在 VPN 会话期间可以访问的主机名数量受到 FQDN 欺骗范围内指定的可用 IP 地址数量的限制。这是因为每个主机名都占用 FQDN 欺骗范围中的一个 IP 地址。IP 范围用尽后，将最近分配的最少的 IP 地址重新用于下一个新主机名。

  • 必须配置 DNS 后缀。

    注意：

    对于 Windows 客户端，只有 WFP 驱动程序支持基于主机名的反向分割通道。启用 WFP 驱动程序模式并将“EnableWFP”设置为注册表值。有关更多信息，请参阅使用 Windows 筛选平台的 Windows Citrix Secure Access 客户端。

基于 IP 和基于主机名的反向分割通道：

  • 仅支持 WFP 驱动程序。基于 IP 的反向拆分通道和基于主机名的反向拆分通道中提到的所有其他准则均适用。

配置名称服务解析

在安装 Citrix Gateway 期间，您可以使用 Citrix Gateway 向导配置其他设置，包括名称服务提供商。域名服务提供商会将完全限定的域名 (FQDN) 转换为 IP 地址。在 Citrix Gateway 向导中，您还可以执行以下操作：

  • 配置 DNS 或 WINS 服务器
  • 设置 DNS 查找的优先级
  • 设置重试连接到服务器的次数。

运行 Citrix Gateway 向导时，可以添加 DNS 服务器。您可以使用会话配置文件将其他 DNS 服务器和 WINS 服务器添加到 Citrix Gateway。然后，您可以指示用户和组连接到与最初使用向导配置的名称解析服务器不同的名称解析服务器。

在 Citrix Gateway 上配置另一台 DNS 服务器之前，请创建一个虚拟服务器，用作 DNS 服务器以进行名称解析。

在会话配置文件中添加 DNS 或 WINS 服务器

  1. 在配置实用程序中，配置选项卡 > Citrix Gateway > 策略 > 会话。

  2. 在详细信息窗格的 配置文件 选项卡上，选择一个配置文件，然后单击 打开。

  3. 在“网络配置”选项卡上，执行以下操作之一：

    • 要配置 DNS 服务器，请在 DNS 虚拟服务器旁边，单击“覆盖全局”，选择服务器，然后单击“确定”。

    • 要配置 WINS 服务器，请在 WINS 服务器 IP旁边，单击“覆盖全局”，键入 IP 地址，然后单击“确定”。

引用

Citrix Gateway 上的完整 VPN 设置
February 1, 2024
投稿者: 
C
February 1, 2024
投稿者: 
C

在本文中

站点反馈 | 隐私和法律条款 | Cookie 首选项 | 同意设置 | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.