NetScaler 网关 针对 TCP/UDP 应用程序的配置

Last published : Oct 24, 2026
您可以使用 (/zh-cn/citrix-secure-private-access/2407/spa-onprem-netscaler-gateway-web-saas-config.html) 中概述的步骤来配置 TCP/UDP 应用程序。要为 TCP/UDP 应用程序配置网关，您必须通过在脚本中为 Enable TCP/UDP App type support 参数输入 Y 来启用 TCP/UDP 支持。
下图显示了为 TCP/UDP 支持而启用的“启用 TCP/UDP 应用程序类型支持”参数。
NetScaler 的配置界面示意图 1(/zh-cn/citrix-secure-private-access/media/spaop-configure-netscaler1.png)
NetScaler 的配置界面示意图 2(/zh-cn/citrix-secure-private-access/media/spaop-configure-netscaler2.png)
Related information
网思乐网关

更新现有 NetScaler 网关 的 TCP/UDP 应用程序配置

如果您正在将配置从早期版本更新到 2407，建议您手动更新配置。有关详细信息，请参阅 (/zh-cn/citrix-secure-private-access/2407/spa-onprem-netscaler-gateway-tcp-udp-config#example-commands-to-update-an-existing-netscaler-gateway-configuration)。此外，您必须更新 NetScaler Gateway 虚拟服务器和会话操作设置。

NetScaler Gateway virtual server settings

当您添加或更新现有 NetScaler Gateway 虚拟服务器时，请确保以下参数设置为定义的值。有关示例命令，请参阅 (/zh-cn/citrix-secure-private-access/2407/spa-onprem-netscaler-gateway-tcp-udp-config#example-commands-to-update-an-existing-netscaler-gateway-configuration)。此外，您必须更新 NetScaler Gateway 虚拟服务器和会话操作设置。
添加虚拟服务器：
  • tcpProfileName: nstcp_default_XA_XD_profile
  • deploymentType: ICA_STOREFRONT (available only with the add vpn vserver command)
  • 仅限 ICA: 关闭
更新虚拟服务器：
  • tcpProfileName: nstcp_default_XA_XD_profile
  • 仅限 ICA: 关闭
有关虚拟服务器参数的详细信息，请参阅 vpn-sessionAction。

NetScaler 网关会话策略设置

会话操作通过会话策略绑定到网关虚拟服务器。创建或更新会话操作时，请确保以下参数设置为定义的值。有关示例命令，请参阅 更新现有 NetScaler Gateway 配置的示例命令。此外，您必须更新 NetScaler Gateway 虚拟服务器和会话操作设置。
  • transparentInterception: ON
  • SSO: ON
  • ssoCredential: 主要
  • useMIP: NS
  • useIIP: 关闭
  • icaProxy: 关闭
  • ClientChoices: ON
  • ntDomain: mydomain.com - 用于单点登录（可选）
  • defaultAuthorizationAction: 允许
  • authorizationGroup: 安全访问组
  • clientlessVpnMode: 关闭
  • clientlessModeUrlEncoding: 透明
  • SecureBrowse: 已启用

更新现有 NetScaler Gateway 配置的示例命令

注意：
如果您正在手动更新现有配置，则除了以下命令之外，您还必须使用命令 nsapimgr_wr.sh -ys ns_vpn_enable_spa_tcp_udp_apps=3 更新 /nsconfig/rc.netscaler 文件。
  • 添加 VPN 会话操作以支持基于 Citrix Secure Access™ 的连接。
    add vpn sessionAction AC_AG_PLGspaonprem -splitDns BOTH -splitTunnel ON -transparentInterception ON -defaultAuthorizationAction ALLOW -authorizationGroup SecureAccessGroup -SSO ON -ssoCredential PRIMARY -useMIP NS -useIIP OFF -icaProxy OFF -ClientChoices ON -ntDomain example.corp -clientlessVpnMode OFF -clientlessModeUrlEncoding TRANSPARENT -SecureBrowse ENABLED
  • 添加 VPN 会话策略以支持基于 Citrix Secure Access 的连接。
    add vpn sessionPolicy PL_AG_PLUGINspaonprem "HTTP.REQ.HEADER(\"User-Agent\").CONTAINS(\"CitrixReceiver\").NOT && HTTP.REQ.HEADER(\"User-Agent\").CONTAINS(\"plugin\")" AC_AG_PLGspaonprem
  • 将会话策略绑定到 VPN 虚拟服务器以支持基于 Citrix Secure Access 的连接。
    bind vpn vserver spaonprem -policy PL_AG_PLUGINspaonprem -priority 115 -gotoPriorityExpression NEXT -type REQUEST
  • 添加 HTTP 回调策略以支持基于 TCP/UDP 的连接的授权验证。
    add policy httpCallout SecureAccess_httpCallout_TCP -IPAddress 192.0.2.24 -port 443 -returnType BOOL -httpMethod POST -hostExpr "\"spa.example.corp\"" -urlStemExpr "\"/secureAccess/authorize\"" -headers Content-Type("application/json") X-Citrix-SecureAccess-Cache("dstip="+HTTP.REQ.HEADER("CSIP").VALUE(0)+"&sessid="+aaa.user.sessionid) -bodyExpr q/"{"+"\"userName\":\""+aaa.USER.NAME.REGEX_REPLACE(re#\#,"\\\\",ALL)+"\","+"\"domain\":\""+aaa.USER.DOMAIN+"\","+"\"customTags\":\""+http.REQ.HEADER("X-Citrix-AccessSecurity").VALUE(0)+"\","+"\"gatewayAddress\":\"ns224158.example.corp\","+"\"userAgent\":\"CitrixSecureAccess\","+"\"applicationDomain\":\""+http.REQ.HEADER("CSHOST").VALUE(0)+"\","+"\"smartAccessTags\":\""+aaa.user.attribute("smartaccess_tags")+"\",\"applicationType\":\"ztna\",\"applicationDetails\":{\"destinationIp\":\""+HTTP.REQ.HEADER("CSIP").VALUE(0)+"\",\"destinationPort\":\""+HTTP.REQ.HEADER("PORT").VALUE(0)+"\",\"protocol\":\"TCP\"}}"/ -scheme https -resultExpr "http.RES.HEADER(\"X-Citrix-SecureAccess-Decision\").contains(\"ALLOW\")"
    其中
    • 192.0.2.24 是 安全私有访问 插件的 IP 地址
    • spa.example.corp 是 安全私有访问 插件的完全限定域名
    • ns224158.example.corp 是网关 VPN 虚拟服务器的完全限定域名。
  • 添加授权策略以支持基于 TCP/UDP 的连接。
    add authorization policy SECUREACCESS_AUTHORIZATION_TCP "HTTP.REQ.URL.EQ(\"/cs\") && HTTP.REQ.HEADER(\"PRTCL\").EQ(\"TCP\") && sys.HTTP_CALLOUT(SecureAccess_httpCallout_TCP)" ALLOW
  • 将授权策略绑定到身份验证和授权组，以支持基于 TCP/UDP 的应用程序。
    bind aaa group SecureAccessGroup -policy SECUREACCESS_AUTHORIZATION_TCP -priority 1010 -gotoPriorityExpression END
  • 将安全私有访问插件绑定到 VPN 虚拟服务器。
    bind vpn vserver spaonprem -appController "https://spa.example.corp"

有关更多信息

有关适用于安全私有访问的 NetScaler 网关的更多信息，请参阅以下主题：
  • 与 ICA 应用程序的兼容性
  • 支持智能访问标签
  • 在 NetScaler 上保留安全私有访问插件设置
  • 在 NetScaler Gateway 上启用安全私有访问插件
  • 上传公共网关证书
  • 已知限制