Configure NetScaler Gateway

Last published : Oct 24, 2026
重要提示：
建议您在应用这些更改之前创建 NetScaler 快照或保存 NetScaler 配置。
  1. 从 <https://www.citrix.com/downloads/citrix-secure-private-access/Shell-Script/Shell-Script-for-Gateway-Configuration.html> 下载脚本。
    To create a new NetScaler Gateway, use ns_gateway_secure_access.sh. To update an existing NetScaler Gateway, use ns_gateway_secure_access_update.sh.
  2. 将这些脚本上传到 NetScaler 计算机。您可以使用 WinSCP 应用程序或 SCP 命令。例如，*scp ns_gateway_secure_access.sh nsroot@nsalfa.fabrikam.local:/var/tmp*。
    注意：
    • 建议使用 NetScaler /var/tmp 文件夹来存储临时数据。
    • 确保文件以 LF 行结尾保存。FreeBSD 不支持 CRLF。
    • 如果您看到错误 -bash: /var/tmp/ns_gateway_secure_access.sh: /bin/sh\^M: bad interpreter: No such file or directory，则表示行结尾不正确。您可以使用任何富文本编辑器（例如 Notepad++）转换脚本。
  3. 通过 SSH 协议连接到 NetScaler 设备并切换到命令行界面（在 NetScaler 命令行接口键入 'shell'）。
  4. 使上传的脚本可执行。使用 chmod 命令执行此操作。
    chmod +x /var/tmp/ns_gateway_secure_access.sh
  5. 在 NetScaler 命令行界面上运行已上传的脚本。
    NetScaler 配置的第一个图示(/zh-cn/citrix-secure-private-access/media/spaop-configure-netscaler1.png)
  6. 输入所需的参数。有关参数列表，请参阅 先决条件。
    对于身份验证配置文件和 SSL 证书，您必须在 NetScaler 上提供名称。
    系统将自动生成一个包含多个 NetScaler 命令的新文件，该文件的默认路径为 var/tmp/ns_gateway_secure_access。
    NetScaler 的系统配置示意图 2
  7. 切换到 NetScaler CLI，并使用批处理命令从新文件运行生成的 NetScaler 命令。例如， batch -fileName /var/tmp/ns_gateway_secure_access -outfile /var/tmp/ns_gateway_secure_access_output
    NetScaler 会逐个运行文件中的命令。如果某个命令失败，它会继续执行下一个命令。
    如果资源已存在或在步骤 6 中输入的参数之一不正确，则命令可能会失败。
  8. 确保所有命令都已成功完成。
注意：
如果出现错误，NetScaler 仍会运行其余命令并部分创建/更新/绑定资源。因此，如果您因某个参数不正确而看到意外错误，建议从头开始重新配置。
Related information
配置上下文标签

在具有现有配置的 NetScaler 网关上配置安全私有访问

您还可以在现有 NetScaler Gateway 上使用脚本来支持 Secure Private Access。但是，该脚本不会更新以下内容：
  • 现有 NetScaler 网关 虚拟服务器
  • 绑定到 NetScaler Gateway 的现有会话操作和会话策略
确保您在执行每个命令之前进行审查，并创建网关配置的备份。

NetScaler 网关虚拟服务器上的设置

添加或更新现有 NetScaler Gateway 虚拟服务器时，请确保以下参数设置为定义的值。
tcpProfileName: nstcp_default_XA_XD_profile deploymentType: ICA_STOREFRONT icaOnly: OFF
示例：
添加虚拟服务器：
`add vpn vserver _SecureAccess_Gateway SSL 333.333.333.333 443 -Listenpolicy NONE -tcpProfileName nstcp_default_XA_XD_profile -deploymentType ICA_STOREFRONT -vserverFqdn gateway.mydomain.com -authnProfile auth_prof_name -icaOnly OFF`
更新虚拟服务器：
`set vpn vserver  _SecureAccess_Gateway -icaOnly OFF`
有关虚拟服务器参数的详细信息，请参阅 vpn-sessionAction。

NetScaler 网关会话操作

会话操作通过会话策略绑定到网关虚拟服务器。创建会话操作时，请确保以下参数设置为定义的值。
  • transparentInterception: 关闭
  • SSO: ON
  • ssoCredential: 主要
  • useMIP: NS
  • useIIP: 关闭
  • icaProxy: 关闭
  • wihome: "https://storefront.mydomain.com/Citrix/MyStoreWeb" - 替换为真实的商店 URL
  • ClientChoices: 关闭
  • ntDomain: mydomain.com - 此域名主要用于实现单点登录 (SSO) 功能。
  • defaultAuthorizationAction: 允许
  • authorizationGroup: SecureAccessGroup (请务必确保此组已成功创建，因为它将用于绑定与 Secure Private Access 相关的特定授权策略。)
  • clientlessVpnMode: 开启
  • clientlessModeUrlEncoding: 透明
  • SecureBrowse: 已启用
  • Storefronturl: "https://storefront.mydomain.com"
  • sfGatewayAuthType: 域
示例：
添加会话操作：
add vpn sessionAction AC_OS_SecureAccess_Gateway -transparentInterception OFF -SSO ON -ssoCredential PRIMARY -useMIP NS -useIIP OFF -icaProxy OFF -wihome "https://storefront.mydomain.com/Citrix/MyStoreWeb" -ClientChoices OFF -ntDomain mydomain.com -defaultAuthorizationAction ALLOW -authorizationGroup SecureAccessGroup -clientlessVpnMode ON -clientlessModeUrlEncoding TRANSPARENT -SecureBrowse ENABLED -storefronturl "https://storefront.mydomain.com" -sfGatewayAuthType domain
更新会话操作：
set vpn sessionAction AC_OS_SecureAccess_Gateway -transparentInterception OFF -SSO ON
有关会话操作参数的详细信息，请参阅 <https://developer-docs.netscaler.com/zh-cn/adc-command-reference-int/13-1/vpn/vpn-sessionaction>。

与 ICA® 应用程序的兼容性

为支持 Secure Private Access 插件而创建或更新的 NetScaler Gateway 也可用于枚举和启动 ICA 应用程序。在这种情况下，您必须配置安全票证颁发机构 (STA) 并将其绑定到 NetScaler Gateway。 注意：STA 服务器通常是 Citrix Virtual Apps and Desktops™ DDC 部署的一部分。
有关详细信息，请参阅以下主题：

支持智能访问标签

在以下版本中，NetScaler Gateway 会自动发送标签。您无需使用网关回调地址来检索智能访问标签。
  • 13.1.48.47 及更高版本
  • 14.1–4.42 及更高版本
智能访问标签作为标头添加到 Secure Private Access 插件请求中。
在这些 NetScaler 版本上，使用切换开关 ns_vpn_enable_spa_onprem 或 ns_vpn_disable_spa_onprem 启用/禁用此功能。
  • 您可以使用命令（FreeBSD shell）进行切换：
    nsapimgr_wr.sh -ys call=ns_vpn_enable_spa_onprem
  • 通过运行以下命令（FreeBSD shell）为 HTTP 回调配置启用 SecureBrowse 客户端模式。
    nsapimgr_wr.sh -ys call=toggle_vpn_enable_securebrowse_client_mode
  • 要禁用，请再次运行相同的命令。
  • 要验证开关是打开还是关闭，请运行 nsconmsg 命令。
  • 要在 NetScaler Gateway 上配置智能访问标签，请参阅《在 NetScaler Gateway 上配置自定义标签（智能访问标签）》。

已知的限制

  • 现有 NetScaler Gateway 可以通过脚本更新，但可能存在无数种 NetScaler 配置，无法通过单个脚本覆盖。
  • 请勿在 NetScaler 网关上使用 ICA 代理。配置 NetScaler 网关后，此功能将被禁用。
  • 如果您使用部署在云中的 NetScaler，则必须对网络进行一些更改。例如，允许 NetScaler 与其他组件在特定端口上进行通信。
  • If you enable SSO on NetScaler Gateway, make sure that NetScaler communicates to StoreFront™ using a private IP address. You might have to add a new StoreFront DNS record to NetScaler with a StoreFront private IP address.

上传公共网关证书文件

如果公共网关无法从 Secure Private Access 计算机访问，则必须将公共网关证书上传到 Secure Private Access 数据库。
执行以下步骤上传公共网关证书文件：
  1. 以管理员权限打开 PowerShell 或命令提示符窗口。
  2. Change the directory to the Admin\AdminConfigTool folder under the Secure Private Access installation folder (for example, cd "C:\Program Files\Citrix\Citrix Access Security\Admin\AdminConfigTool")
  3. 运行以下命令：
    \AdminConfigTool.exe /UPLOAD_PUBLIC_GATEWAY_CERTIFICATE <PublicGatewayUrl> <PublicGatewayCertificatePath>