用户如何连接 Citrix Secure Access 客户端
NetScaler Gateway 的运行方式如下：
- 当用户尝试通过 VPN 通道访问网络资源时，Citrix Secure Access 客户端会加密所有发往组织内部网络的网络流量，并将数据包转发到 NetScaler Gateway。
- NetScaler Gateway 终止 SSL 通道，接受任何目的地为专用网络的传入流量，然后将流量转发到专用网络。NetScaler Gateway 通过安全通道将流量发送回远程计算机。
当用户键入 Web 地址时，他们会收到一个登录页面，他们可以在其中输入凭据并登录。如果凭据正确，NetScaler Gateway 将完成与用户设备的握手。
如果用户在代理服务器后面，用户可以指定代理服务器和身份验证凭据。有关详细信息，请参阅 为用户连接启用代理支持。
Citrix Secure Access 客户端安装在用户设备上。第一次连接后，如果用户使用基于 Windows 的计算机登录，则可以使用通知区域中的图标建立连接。
建立安全通道
当用户连接到 Citrix Secure Access 客户端、Secure Hub 或 Citrix Workspace 应用程序时，客户端软件会在端口 443（或 NetScaler Gateway 上任何已配置的端口）上建立安全通道并发送身份验证信息。建立通道后，NetScaler Gateway 会向 Citrix Secure Access 客户端、Secure Hub 或 Citrix Workspace 应用程序发送配置信息，描述需要保护的网络，并在启用地址池时包含 IP 地址。
通过安全连接建立通道专用网络流
当 Citrix Secure Access 客户端启动并对用户进行身份验证时，将捕获所有发往指定专用网络的网络流量，并通过安全通道重定向到 NetScaler Gateway。Citrix Workspace 应用程序必须支持 Citrix Secure Access 客户端，才能在用户登录时通过安全通道建立连接。
Secure Hub、Secure Mail 和 WorxWeb 使用 Micro VPN 为 iOS 和 Android 移动设备建立安全通道。
NetScaler Gateway 会拦截用户设备建立的所有网络连接，并通过安全套接字层 (SSL) 将这些连接复用到 NetScaler Gateway，在这里，流量将被解复用，并将连接转发到正确的主机和端口组合。
连接受适用于单个应用程序、应用程序子集或整个 Intranet 的管理安全策略的约束。您可以指定远程用户可以通过 VPN 连接访问的资源（IP 地址/子网对的范围）。
Citrix Secure Access 客户端为定义的Intranet应用程序拦截以下协议并通过通道传输这些协议：
- TCP（所有端口）
- UDP（所有端口）
- ICMP（类型 8 和 0-回应请求/回复）
来自用户设备上本地应用程序的连接会安全地通过通道传输到 NetScaler Gateway，从而重新建立与目标服务器的连接。目标服务器将连接视为源自专用网络上的本地 NetScaler Gateway，因此隐藏了用户设备。这也称为反向网络地址转换 (NAT)。隐藏 IP 地址可以增加源位置的安全性。
在本地，在用户设备上，所有与连接相关的流量，例如 SYN-ACK、PUSH、ACK 和 FIN 数据包，都由 Citrix Secure Access 客户端重新创建，从私人服务器出现。
通过防火墙和代理进行连接
Citrix Secure Access 客户端的用户有时位于另一个组织的防火墙内，如下图所示：
NAT 防火墙维护一个表，允许它们将安全数据包从 NetScaler Gateway 路由回用户设备。对于面向电路的连接，NetScaler Gateway 维护一个端口映射的反向 NAT 转换表。反向 NAT 转换表使 NetScaler Gateway 能够匹配连接并通过通道将数据包发回具有正确端口号的用户设备，以便数据包返回到正确的应用程序。
Citrix Secure Access 客户端的控制升级
当 NetScaler 插件的版本与 NetScaler Gateway 修订版本不匹配时，系统管理员控制其执行方式。新选项控制 Mac、Windows 或操作系统的插件升级行为。
对于 VPN 插件，可以在 NetScaler 设备用户界面的两个位置设置升级选项：
- 在全局设置
- 在会话配置文件级别
要求
-
Windows EPA 和 VPN 插件版本必须大于 11.0.0.0
-
Mac EPA 插件版本必须大于 3.0.0.31
-
Mac VPN 插件版本必须大于 3.1.4 (357)
注意：
如果 NetScaler 设备升级到 11.0 版本，则无论升级控制配置如何，所有以前的 VPN（和 EPA）插件都会升级到最新版本。对于后续升级，它们遵循以前的升级控制配置。
插件行为
对于每种客户端类型，NetScaler Gateway 允许使用以下三个选项来控制插件升级行为：
- 总是
只要最终用户的插件版本与 NetScaler 设备随附的插件不匹配，插件就会始终升级。这是默认行为。如果您不想在企业中运行多个插件版本，请选择此选项。
- 基本 （和安全性）
插件仅在认为必要时才进行升级。在以下两种情况下，必须进行升级
-
已安装的插件与当前的 NetScaler 设备版本不兼容。
-
必须更新已安装的插件才能进行必要的安全修复。
如果要尽量减少插件升级次数，但又不想错过任何插件安全更新，请选择此选项
- 从不
插件没有升级。
用于控制 VPN 插件升级的 CLI 参数
NetScaler Gateway 支持适用于 Windows 和 Mac 操作系统的两种类型的插件（EPA 和 VPN）。为了在会话级别支持 VPN 插件升级控制，NetScaler Gateway 支持两个名为 WindowsInPluginUpgrade 和 MacPluginUpgrade 的会话配置文件参数。
这些参数可在全局、虚拟服务器、组和用户级别使用。每个参数的值可以为“始终”、“基本”或“从不”。有关这些参数的说明，请参阅 插件行为。
用于控制 EPA 插件升级的 CLI 参数
NetScaler Gateway 支持适用于 Windows 和 Mac 操作系统的 EPA 插件。为了在虚拟服务器级别支持 EPA 插件升级控制，NetScaler Gateway 支持两个名为 WindowSEpaPluginUpgrade 和 macepaPluginUpgrade 的虚拟服务器参数。
这些参数在虚拟服务器级别可用。每个参数的值可以为“始终”、“基本”或“从不”。有关这些参数的说明，请参阅 插件行为。
VPN 配置
按照以下步骤配置 Windows、Linux 和 Mac 插件的 VPN。
-
转到 NetScaler > 策略 > 会话。
-
选择所需的会话策略，然后单击 编辑。
-
选择“客户体验”选项卡。
-
这些对话框选项会影响升级行为。
- 总是
- 基本
- 从不
默认值为“始终”。
-
选中每个选项右侧的复选框。选择应用升级行为的频率。
EPA 配置
对于 Windows、Linux 和 Apple 插件的 EPA 配置，请按照以下步骤操作。
-
转到 NetScaler Gateway > 虚拟服务器。
-
选择一个服务器，然后单击 编辑 按钮。
-
单击 铅笔 图标。
-
单击 更多
-
出现的对话框会影响升级行为。可用选项如下：
- 总是
- 基本
- 从不