系统要求
在等待 Citrix 预配 Citrix Endpoint Management 期间，请务必通过安装 Cloud Connector 为您的 Citrix Endpoint Management 部署做好准备。尽管 Citrix 托管并交付您的 Citrix Endpoint Management 解决方案，但仍需要进行一些通信和端口设置。此设置将 Citrix Endpoint Management 基础结构连接到企业服务，例如 Active Directory。
云连接器要求
Citrix 使用 Cloud Connector 将 Citrix Endpoint Management 体系结构集成到您现有的基础结构中。Cloud Connector 通过端口 443 安全地将以下资源位置集成到 Citrix Endpoint Management：LDAP、PKI 服务器、内部 DNS 查询和 Citrix Workspace 枚举。
-
至少两台已加入 Active Directory 域的专用 Windows Server 计算机。这些计算机可以是虚拟的，也可以是物理的。安装连接器的计算机必须与 UTC 时间同步，才能正常安装和运行。有关最新要求的完整列表，请参阅您的 Citrix 客户团队提供的部署材料。入门向导将指导您在这些计算机上安装 Cloud Connector。
-
有关更多平台系统要求，请参阅 Citrix Cloud Connector。
支持的 Active Directory 功能级别
Citrix Cloud Connector 支持 Active Directory 中的以下林和域功能级别，以便与 Citrix Endpoint Management 结合使用。
| 林功能级别 | 域功能级别 | 支持的域控制器 |
|---|---|---|
| Windows 服务器 2016 | Windows 服务器 2016 | Windows Server 2016、Windows Server 2019 |
| Windows 服务器 2016 | Windows 服务器 2019 | Windows 服务器 2019 |
| Windows 服务器 2019 | Windows 服务器 2019 | Windows 服务器 2019 |
注意：
Windows Server 2012 R2、2012 和 2008 R2 已达到生命周期终止，不再受支持。有关详细信息，请参阅 Microsoft 产品生命周期文档。
NetScaler Gateway 要求
Citrix Endpoint Management 需要在您的资源位置安装 NetScaler Gateway，以用于以下场景：
-
您需要微型 VPN 才能访问业务线应用程序的内部网络资源。这些应用程序采用 Citrix MDX 技术封装。微型 VPN 需要 NetScaler Gateway 连接到内部后端基础架构。
-
您计划使用 Citrix 移动生产力应用程序，例如 Citrix Secure Mail。
-
您计划将 Citrix Endpoint Management 与 Microsoft Endpoint Manager 集成。
要求如下：
-
域 (LDAP) 身份验证
-
NetScaler Gateway 12.1 或更高版本，具有平台/通用许可证
有关详细信息，请参阅许可。
-
公共 SSL 证书。
有关详细信息，请参阅在 Citrix ADC 设备上创建和使用 SSL 证书。
-
用于 NetScaler Gateway 虚拟服务器的未使用的公共 IP 地址
-
用于 NetScaler Gateway 虚拟服务器的可公开解析的完全限定域名 (FQDN)
-
云托管的 Citrix Endpoint Management 中间和根证书（在脚本捆绑包中提供）
-
用于代理负载均衡器 IP 的未使用的内部私有 IP 地址
-
有关端口要求，请参阅本文稍后介绍的NetScaler Gateway 端口要求。
-
在 Microsoft Azure 上部署 Citrix ADC VPX 实例(/zh-cn/citrix-adc/current-release/deploying-vpx/deploy-vpx-on-azure.html)
有关 NetScaler Gateway 要求的信息，请参阅您的 Citrix 客户团队提供的部署材料。
有关 Android Enterprise 要求的信息，请参阅 Android Enterprise 部分。
Citrix Files 要求
Citrix Files 文件同步和共享服务在 Citrix Endpoint Management Premium Service 产品中提供。存储区域控制器通过为您的 Citrix Files 帐户提供私有数据存储来扩展 Citrix Files 软件即服务 (SaaS) 云存储。
存储区域控制器要求：
-
专用物理或虚拟机
-
Windows Server 2012 R2（数据中心版、标准版或基础版）、Windows Server 2016、Windows Server 2019 或 Windows Server 2022
-
2 个 vCPU
-
4 GB RAM
-
50 GB 硬盘空间
-
Web 服务器 (IIS) 的服务器角色：
-
应用程序开发：ASP. NET 4.5.2
-
安全性：基本身份验证
-
安全性：Windows 身份验证
-
Citrix Files 平台要求：
-
Citrix Files 安装程序需要 Windows Server 上的管理权限
-
Citrix Files 管理员用户名
端口要求
为了使设备和应用程序能够与 Citrix Endpoint Management 通信，您需要在防火墙中打开特定端口。下图显示了 Citrix Endpoint Management 的流量流。
以下各节列出了您必须打开的端口。有关移动生产力应用程序使用的 URL 的信息，请参阅功能标志管理。
NetScaler Gateway 端口要求
打开端口以允许用户通过 NetScaler Gateway 从 Citrix Secure Hub 和 Citrix Workspace 连接到：
-
Citrix 端点管理
-
StoreFront
-
其他内部网络资源，例如 Intranet 网站
有关 NetScaler Gateway 的详细信息，请参阅 NetScaler Gateway 文档中的配置 Citrix Endpoint Management 环境的设置。有关 IP 地址的信息，请参阅 NetScaler Gateway 文档中的NetScaler Gateway 如何使用 IP 地址。
| TCP 端口 | 描述 | 源 | 目标 |
|---|---|---|---|
| 53（TCP 和 UDP） | 用于 DNS 连接。 | NetScaler 网关 SNIP | DNS 服务器 |
| 80/443 | NetScaler Gateway 通过第二个防火墙将微 VPN 连接传递到内部网络资源。 | NetScaler 网关 SNIP | 内网网站 |
| 123 (TCP 和 UDP) | 用于网络时间协议 (NTP) 服务。 | NetScaler 网关 SNIP | NTP 服务器 |
| 389 | 用于不安全的 LDAP 连接。 | NetScaler Gateway NSIP（如果使用负载平衡器，则为 SNIP） | LDAP 身份验证服务器或 Microsoft Active Directory |
| 443 | 用于从思杰工作区到思杰虚拟应用和桌面的思杰店面连接。 | 互联网 | NetScaler 网关 |
| 443 | 用于连接 Citrix Endpoint Management 以交付 Web、移动和 SaaS 应用程序。 | 互联网 | NetScaler 网关 |
| 443 | 用于 Cloud Connector 通信 – LDAP、DNS、PKI 和 Citrix Workspace 枚举 | Cloud Connector 服务器 | https://*.citrixworkspacesapi.net, https://*.cloud.com (commercial), https://*.blob.core.windows.net/, https://*.servicebus.windows.net |
| 443 | 如果启用，通过浏览器访问 Citrix Endpoint Management 自助服务门户时使用。 | 访问点（浏览器） | 思杰端点管理 (https://<sitename>/zdm/shp) |
| 636 | 用于安全的 LDAP 连接。 | NetScaler Gateway NSIP（如果使用负载平衡器，则为 SNIP） | LDAP 身份验证服务器或 Active Directory |
| 1494 | 用于内部网络中基于 Windows 的应用程序的 ICA 连接。Citrix 建议保持此端口打开。 | NetScaler 网关 SNIP | Citrix 虚拟应用和桌面 |
| 1812 | 用于 RADIUS 连接。 | 思杰 NetScaler Gateway NSIP | RADIUS 身份验证服务器 |
| 2598 | 用于通过会话可靠性连接到内部网络中的 Windows 应用程序。Citrix 建议保持此端口打开。 | 思杰 NetScaler Gateway SNIP | Citrix 虚拟应用和桌面 |
| 3269 | 用于 Microsoft 全局编录安全 LDAP 连接。 | NetScaler Gateway NSIP（如果使用负载均衡器，则为 SNIP） | LDAP 身份验证服务器或 Active Directory |
| 4443 | 供管理员通过浏览器访问 Citrix Endpoint Management 控制台。 | 访问点（浏览器） | 思杰端点管理 |
| 8443 | 用于注册、应用商店和移动应用管理 (MAM)。 | NetScaler 网关 SNIP | Citrix 端点管理 |
| 8443 | 用于 Citrix Secure Mail 身份验证令牌的安全票证颁发机构 (STA) 端口 | NetScaler 网关 SNIP | Citrix 端点管理 |
网络和防火墙要求
为了使设备和应用程序能够与 Citrix Endpoint Management 通信，您需要在防火墙中打开特定端口。下表列出了这些端口。
从内部网络到 Citrix Cloud 的开放端口：
| TCP 端口 | 源 IP | 描述 | 目标 | 目标 IP | |
|---|---|---|---|---|---|
| 443 | 云连接器 | https://*.citrixworkspacesapi.net, https://*.cloud.com (commercial), https://*.sharefile.com, https://cwsproduction.blob.core.wind ows.net/downloads, https://*.servicebus.windows.net |
|||
| 443 | 管理控制台 | https://*.citrixworkspacesapi.net, https://*.cloud.com (commercial), https://*.citrix.com, https://cwsproduction.blob.core.windows.net/downloads |
|||
| 443 | Citrix Endpoint Management 自助服务门户通过浏览器访问（如果门户已启用） | Citrix 端点管理 | |||
| 4443 | Citrix Endpoint Management 控制台通过浏览器访问 | Citrix 端点管理 |
从 Internet 到 DMZ 的开放端口：
| TCP 端口 | 描述 | 源 IP | 目标 | 目标 IP |
|---|---|---|---|---|
| 443 | Citrix Endpoint Management 客户端设备 | NetScaler 网关 IP | ||
| 443 | Citrix Endpoint Management 客户端设备 | NetScaler 网关 VIP | ||
| 443 | Citrix 文件 公共 IP | CTX208318 | NetScaler 网关 VIP |
从 DMZ 到内部网络开放的端口：
| TCP 端口 | 描述 | 源 IP | 目标 | 目标 IP |
|---|---|---|---|---|
| 389 或 636 | NetScaler 网关 NSIP | 活动目录 IP | ||
| 53 (UDP) | NetScaler 网关 NSIP | DNS 服务器 IP | ||
| 443 | NetScaler 网关 SNIP | Exchange (EAS) 服务器 IP | ||
| 443 | NetScaler 网关 SNIP | 内部 Web 应用程序/服务 | ||
| 443 | NetScaler 网关 SNIP | 存储区域控制器 IP |
从内部网络到 DMZ 开放的端口：
| TCP 端口 | 描述 | 源 IP | 目标 | 目标 IP |
|---|---|---|---|---|
| 443 | 管理客户端 | NetScaler 网关 NSIP |
从内部网络到 Internet 开放的端口：
| TCP 端口 | 描述 | 源 IP | 目标 | 目标 IP |
|---|---|---|---|---|
| 443 | Exchange (EAS) 服务器 IP | Citrix Endpoint Management 推送通知侦听器 (1) | ||
| 443 | 存储区域控制器 IP | Citrix Files 控制平面 | CTX208318 |
(1) us-east-1.mailboxlistener.xm.citrix.com, eu-west-1.mailboxlistener.xm.citrix.com, ap-southeast-1.mailboxlistener.xm.citrix.com
从公司 Wi-Fi 到 Internet 开放的端口：
| TCP 端口 | 描述 | 源 IP | 目标 | 目标 IP |
|---|---|---|---|---|
| 8443 / 443 | Citrix Endpoint Management 客户端设备 | 思杰端点管理 | ||
| 5223 | Citrix Endpoint Management 客户端设备 | Apple APNS 服务器 | 17.0.0.0/8 |
|
| 5228 | Citrix Endpoint Management 客户端设备 | Firebase 云消息传递 | android.apis.google.com, fcm.googleapis.com |
|
| 5229 | Citrix Endpoint Management 客户端设备 | Firebase 云消息传递 | android.apis.google.com, fcm.googleapis.com |
|
| 5230 | Citrix Endpoint Management 客户端设备 | Firebase 云消息传递 | android.apis.google.com, fcm.googleapis.com |
|
| 443 | Citrix Endpoint Management 客户端设备 | Firebase 云消息传递 | fcm.googleapis.com |
|
| 443 | Citrix Endpoint Management 客户端设备 | Windows 推送通知服务 | *.notify.windows.com |
|
| 443 / 80 | Citrix Endpoint Management 客户端设备 | Apple iTunes 应用商店 | ax.apps.apple.com, *.mzstatic.com, vpp.itunes.apple.com |
|
| 443 / 80 | Citrix Endpoint Management 客户端设备 | 谷歌应用商店 | play.google.com, android.clients.google.com, android.l.google.com, android.com, google-analytics.com |
|
| 443 / 80 | Citrix Endpoint Management 客户端设备 | Microsoft 应用商店 | login.live.com, *.notify.windows.com |
|
| 443 | Citrix Endpoint Management 客户端设备 | 适用于 iOS 和 Android 的 Citrix Endpoint Management AutoDiscovery 服务 | discovery.cem.cloud.us |
|
| 443 | Citrix Endpoint Management 客户端设备 | 适用于 Windows 的 Citrix Endpoint Management AutoDiscovery 服务 | enterpriseenrollment.mycompany.com, discovery.cem.cloud.us |
|
| 443 | 存储区域控制器 IP | Citrix Files 控制平面 | CTX208318 | |
| 443 | Citrix Endpoint Management 客户端设备 | Google 移动管理、Google API、Google Play 商店 API | *.googleapis.com |
|
| 443 | Citrix Endpoint Management 客户端设备 | 早于 v470 版本的 CloudDPC 的连接性检查。从 N MR1 开始的 Android 连接性检查要求 https://www.google.com/generate_204 可访问，或者给定的 Wi-Fi 网络指向可访问的 PAC 文件) |
connectivitycheck.android.com, www.google.com |
AutoDiscovery 服务连接的端口要求
此端口配置可确保从适用于 Android 的 Citrix Secure Hub 连接的 Android 设备可以从内部网络访问 Citrix Endpoint Management AutoDiscovery 服务 (ADS)。在下载通过 ADS 提供的任何安全更新时，访问 ADS 的能力非常重要。
注意：
ADS 连接可能不支持您的代理服务器。在这种情况下，请允许 ADS 连接绕过代理服务器。
如果要启用证书锁定，请完成以下先决条件：
-
收集 Citrix Endpoint Management 服务器和 NetScaler Gateway 证书： 证书必须是 PEM 格式的公共证书，而不是私钥。
-
联系 Citrix 支持并提交启用证书锁定的请求： 在此过程中，系统会要求您提供证书。
证书锁定要求设备在注册之前连接到 ADS。此要求可确保 Citrix Secure Hub 获得最新的安全信息。要使 Citrix Secure Hub 注册设备，设备必须能够访问 ADS。因此，在内部网络中开放 ADS 访问对于启用设备注册至关重要。
要允许适用于 Android/iOS 的 Citrix Secure Hub 访问 ADS，请为以下 FQDN 打开端口 443：
| FQDN | 端口 | IP 和端口使用情况 |
|---|---|---|
discovery.cem.cloud.us |
443 | Citrix Secure Hub - 通过 CloudFront 进行 ADS 通信 |
有关支持的 IP 地址的信息，请参阅 来自 AWS 的基于云的存储中心。
Android Enterprise 网络要求
有关为 Android Enterprise 设置网络环境时要考虑的出站连接的信息，请参阅 Google 支持文章 Android Enterprise 网络要求。
应用程序要求
Citrix Endpoint Management 支持添加和维护最多 300 个应用程序。超过此限制会导致系统变得不稳定。