网思乐网关

Last published : Oct 24, 2026
NetScaler 网关配置支持 Web/SaaS 和 TCP/UDP 应用程序。您可以创建 NetScaler 网关或更新现有 NetScaler 网关配置以用于安全专用访问。建议您在应用这些更改之前创建 NetScaler 快照或保存 NetScaler 配置。
重要提示：
有关适用于 Web/SaaS 和 TCP/UDP 应用程序的 NetScaler Gateway 配置的详细信息，请参阅以下部分：
  • 适用于网页/软件即服务应用程序的 NetScaler Gateway 配置(/zh-cn/citrix-secure-private-access/2407/spa-onprem-netscaler-gateway-web-saas-config.html)
  • 适用于传输控制协议/用户数据报协议应用程序的 NetScaler Gateway 配置(/zh-cn/citrix-secure-private-access/current-release/spa-onprem-netscaler-gateway-tcp-udp-config.html)
Related information
组成部分
NetScaler Gateway 配置，用于网页/软件即服务应用程序NetScaler 网关 针对 TCP/UDP 应用程序的配置上下文标签

与 ICA® 应用程序的兼容性

为支持安全私有访问插件而创建或更新的网思乐网关也可用于枚举和启动 ICA 应用程序。在这种情况下，您必须配置安全票证颁发机构 (STA) 并将其绑定到网思乐网关。
注意：
STA 服务器通常是 Citrix 虚拟应用和桌面™ 部署的一部分。
有关详细信息，请参阅以下主题：

支持智能访问标签

注意：
  • 本节提供的信息仅适用于您的 NetScaler Gateway 版本低于 14.1-25.56 的情况。
  • 如果您的 NetScaler 网关版本为 14.1–25.56 或更高版本，那么您可以通过使用命令行界面 (CLI) 或图形用户界面 (GUI) 的方式，在 NetScaler 网关上启用 Secure Private Access 插件。有关详细信息，请参阅在 NetScaler 网关上启用 Secure Private Access 插件。
在以下版本中，NetScaler Gateway 会自动发送标签。您无需使用网关回调地址来检索智能访问标签。
  • 13.1–48.47 及更高版本
  • 14.1–4.42 及更高版本
智能访问标签作为标头添加到 Secure Private Access 插件请求中。

配置安全专用访问切换开关

下表列出了在本地部署中支持智能访问标签所需使用的切换开关：
切换开关名称 详细说明
nsapimgr_wr.sh -ys call=ns_vpn_enable_spa_onprem 启用针对本地部署的安全私有访问功能
nsapimgr_wr.sh -ys call=ns_vpn_disable_spa_onprem 禁用针对本地部署的安全私有访问功能
nsapimgr_wr.sh -ys ns_vpn_enable_spa_tcp_udp_apps=3 启用 TCP/UDP 应用程序
nsapimgr_wr.sh -ys ns_vpn_enable_spa_tcp_udp_apps=0 禁用 TCP/UDP 应用程序
nsapimgr_wr.sh -ys call=toggle_vpn_enable_securebrowse_client_mode 为 HTTP 回调配置启用 SecureBrowse 客户端模式
nsapimgr -ys call=toggle_vpn_redirect_to_access_restricted_page_on_deny 如果访问被拒绝，则启用重定向到“访问受限”页面。
nsapimgr -ys call=toggle_vpn_use_cdn_for_access_restricted_page 使用 CDN 上托管的“访问受限”页面。
注意：
  • 要禁用没有单独禁用命令的切换开关，请再次运行相同的命令。这仅适用于命令中包含“toggle”的命令。
  • 要验证切换开关是打开还是关闭，请运行 nsconmsg 命令。
  • 要在 NetScaler Gateway 上配置智能访问标签，请参阅配置上下文标签。

在 NetScaler 上保留安全私有访问插件设置

要在 NetScaler 上保留安全私有访问插件设置，请执行以下操作：
  1. Create or update the file /nsconfig/rc.netscaler.
  2. 将以下命令添加到文件中。
    nsapimgr_wr.sh -ys call=ns_vpn_enable_spa_onprem
    nsapimgr_wr.sh -ys call=toggle_vpn_enable_securebrowse_client_mode
    nsapimgr_wr.sh -ys call=toggle_vpn_redirect_to_access_restricted_page_on_deny
    nsapimgr_wr.sh -ys call=toggle_vpn_use_cdn_for_access_restricted_page
  3. 保存文件。
NetScaler 重新启动后，安全专用访问插件设置将自动应用。

在 NetScaler Gateway 上启用安全私有访问插件

从 NetScaler Gateway 14.1–25.56 及更高版本开始，您可以使用 NetScaler Gateway 命令行界面或图形用户界面在 NetScaler Gateway 上启用安全私有访问插件。此配置取代了 2407 之前版本中使用的 nsapimgr_wr.sh -ys call=ns_vpn_enable_spa_onprem 旋钮。
CLI：
在命令提示符下，键入以下命令：
set vpn parameter -securePrivateAccess ENABLED
GUI：
  1. 导航到 NetScaler 网关 > 全局设置 > 更改全局 NetScaler 网关 设置。
  2. 单击安全选项卡。
  3. 在 安全私有访问 中，选择 已启用。
启用安全专用访问

将公共网关证书上传

如果公共网关无法从 Secure Private Access 计算机访问，则必须将公共网关证书上传到 Secure Private Access 数据库。
请执行以下步骤来上传公共网关证书：
  1. 以管理员权限打开 PowerShell 或命令提示符窗口。
  2. 将目录更改为 安全私有访问 安装文件夹下的 管理\配置工具 文件夹（例如，cd "C:\程序文件\Citrix\Citrix 访问安全\管理\配置工具"）
  3. 运行以下命令：
    \AdminConfigTool.exe /UPLOAD_PUBLIC_GATEWAY_CERTIFICATE <PublicGatewayUrl> <PublicGatewayCertificatePath>

已知的限制

  • 现有 NetScaler Gateway 可以通过脚本更新，但可能存在无限数量的 NetScaler 配置，这些配置无法通过单个脚本覆盖。
  • 我们建议您在启用 Secure Private Access 的 VPN 虚拟服务器中将 ICA 代理设置为 OFF。
  • 如果您使用部署在云中的 NetScaler，则必须对网络进行一些更改。例如，允许 NetScaler 和其他组件在某些端口上进行通信。有关端口的详细信息，请参阅通信端口。
  • If you enable SSO on NetScaler Gateway, make sure that NetScaler communicates to StoreFront™ using a private IP address. You might have to add a new StoreFront DNS record to NetScaler with a StoreFront private IP address.