MDX 应用的 SSO 和代理注意事项
Citrix Endpoint Management 与 NetScaler Gateway 集成，使您能够为用户提供对所有后端 HTTP/HTTPS 资源的单点登录 (SSO)。根据您的 SSO 身份验证要求，将 MDX 应用的用户连接配置为使用安全浏览（隧道式 - Web SSO），这是一种无客户端 VPN。
重要提示：
Citrix 已弃用对 iOS 和 Android 设备上完整 VPN 隧道以及带有完整 VPN 隧道部署的代理自动配置 (PAC) 文件的支持。有关详细信息，请参阅弃用。
如果 NetScaler Gateway 不是在您的环境中提供 SSO 的最佳方式，您可以设置一个 MDX 应用，并使用基于策略的本地密码缓存。本文探讨了各种 SSO 和代理选项，重点关注 Citrix Secure Web。这些概念也适用于其他 MDX 应用。
以下流程图总结了 SSO 和用户连接的决策流程。
NetScaler Gateway 身份验证方法
本节提供有关 NetScaler Gateway 支持的身份验证方法的常规信息。
SAML 身份验证
当您为安全断言标记语言 (SAML) 配置 NetScaler Gateway 时，用户可以连接到支持 SAML 协议的 Web 应用以进行单点登录。NetScaler Gateway 支持 SAML Web 应用的身份提供程序 (IdP) 单点登录。
所需配置：
-
在 NetScaler Gateway 流量配置文件中配置 SAML SSO。
-
为请求的服务配置 SAML IdP。
NTLM 身份验证
如果会话配置文件中启用了对 Web 应用程序的 SSO，NetScaler Gateway 会自动执行 NTLM 身份验证。
所需配置：
-
在 NetScaler Gateway 会话或流量配置文件中启用 SSO。
Kerberos 模拟
Citrix Endpoint Management 仅支持 Citrix Secure Web 的 Kerberos。当您为 Kerberos SSO 配置 NetScaler Gateway 时，如果 NetScaler Gateway 可以获取用户密码，则 NetScaler Gateway 会使用模拟。模拟意味着 NetScaler Gateway 使用用户凭据来获取访问服务（例如 Citrix Secure Web）所需的票证。
所需配置：
-
配置 NetScaler Gateway
Worx会话策略，以允许其从您的连接中识别 Kerberos 领域。 -
在 NetScaler Gateway 上配置 Kerberos 约束委派 (KCD) 帐户。将该帐户配置为无密码，并将其绑定到 Citrix Endpoint Management 网关上的流量策略。
-
有关这些和其他配置详细信息，请参阅 Citrix 博客：WorxWeb 和 Kerberos 模拟 SSO。
Kerberos 约束委派
Citrix Endpoint Management 仅支持 Citrix Secure Web 的 Kerberos。当您为 Kerberos SSO 配置 NetScaler Gateway 时，如果 NetScaler Gateway 无法获取用户密码，则 NetScaler Gateway 会使用约束委派。
通过约束委派，NetScaler Gateway 使用指定的管理员帐户为用户和服务获取票证。
所需配置：
-
在 Active Directory 中配置具有所需权限的 KCD 帐户，并在 NetScaler Gateway 上配置 KDC 帐户。
-
在 NetScaler Gateway 流量配置文件中启用 SSO。
-
配置后端网站以进行 Kerberos 身份验证。
表单填充身份验证
当您将 NetScaler Gateway 配置为基于表单的单点登录时，用户可以一次登录以访问网络中的所有受保护应用程序。此身份验证方法适用于使用“隧道 - Web SSO”模式的应用程序。
所需配置：
-
在 NetScaler Gateway 流量配置文件中配置基于表单的 SSO。
摘要式 HTTP 身份验证
如果您在会话配置文件中为 Web 应用程序启用 SSO，NetScaler Gateway 会自动执行摘要式 HTTP 身份验证。此身份验证方法适用于使用“隧道 - Web SSO”模式的应用程序。
所需配置：
-
在 NetScaler Gateway 会话或流量配置文件中启用 SSO。
基本 HTTP 身份验证
如果您在会话配置文件中为 Web 应用程序启用 SSO，NetScaler Gateway 会自动执行基本 HTTP 身份验证。此身份验证方法适用于使用“隧道 - Web SSO”模式的应用程序。
所需配置：
-
在 NetScaler Gateway 会话或流量配置文件中启用 SSO。
安全隧道 - Web SSO
本节介绍 Citrix Secure Web 的 隧道 - Web SSO 用户连接类型。
隧道连接到内部网络的连接可以使用无客户端 VPN 的变体，称为“隧道 - Web SSO”。隧道 - Web SSO 是 Citrix Secure Web 首选 VPN 模式策略的默认配置。Citrix 建议对需要单点登录 (SSO) 的连接使用隧道 - Web SSO。
在隧道 - Web SSO 模式下，NetScaler Gateway 将 HTTPS 会话分为两部分：
-
从客户端到 NetScaler Gateway
-
从 NetScaler Gateway 到后端资源服务器。
通过这种方式，NetScaler Gateway 可以完全查看客户端和服务器之间的所有事务，从而能够提供 SSO。
在隧道 - Web SSO 模式下使用 Citrix Secure Web 时，您还可以为其配置代理服务器。有关详细信息，请参阅博客 Citrix Endpoint Management WorxWeb Traffic Through Proxy Server in Secure Browse Mode。
注意：
Citrix 宣布弃用带 PAC 的完整 VPN 隧道。请参阅 弃用。
Citrix Endpoint Management 支持 NetScaler Gateway 提供的代理身份验证。PAC 文件包含定义 Web 浏览器如何选择代理以访问给定 URL 的规则。PAC 文件规则可以指定内部和外部站点的处理方式。Citrix Secure Web 解析 PAC 文件规则并将代理服务器信息发送到 NetScaler Gateway。NetScaler Gateway 不知道 PAC 文件或代理服务器。
对于 HTTPS 网站的身份验证：Citrix Secure Web MDX 策略启用 Web 密码缓存使 Citrix Secure Web 能够通过 MDX 对代理服务器进行身份验证并提供 SSO。
NetScaler Gateway 分流
在规划 SSO 和代理配置时，您还必须决定是否使用 NetScaler Gateway 分流。Citrix 建议仅在需要时才使用 NetScaler Gateway 分流。本节概述了分流的工作原理：NetScaler Gateway 根据其路由表确定流量路径。当 NetScaler Gateway 分流开启时，Citrix Secure Hub 会区分内部（受保护）网络流量和 Internet 流量。Citrix Secure Hub 根据 DNS 后缀和 Intranet 应用程序进行此确定。然后，Citrix Secure Hub 仅通过 VPN 隧道传输内部网络流量。当 NetScaler Gateway 分流关闭时，所有流量都通过 VPN 隧道。
如果您出于安全考虑希望监控所有流量，请禁用 NetScaler Gateway 分流。这样，所有流量都将通过 VPN 隧道。
NetScaler Gateway 还具有微型 VPN 反向分流模式。此配置支持 IP 地址排除列表，这些 IP 地址不会通过隧道传输到 NetScaler Gateway。相反，这些地址是使用设备 Internet 连接发送的。有关反向分流的更多信息，请参阅 NetScaler Gateway 文档。
Citrix Endpoint Management 包含一个反向分流排除列表。要防止某些网站通过 NetScaler Gateway 隧道传输：添加一个逗号分隔的完全限定域名 (FQDN) 或 DNS 后缀列表，这些域名或后缀改为使用 LAN 连接。此列表仅适用于配置为反向分流的 NetScaler Gateway 的隧道 - Web SSO 模式。