安全私有访问服务

Last published : Oct 24, 2026
用于混合部署的 Secure Private Access™ 服务提供程序作为 Citrix Cloud Connector 的一部分安装。安装 Citrix Cloud Connector 后，可以在 Windows 服务中找到 Citrix Secure Private Access 服务。Secure Private Access 服务在网络服务帐户下运行。
重要提示：
  • Cloud Connector 更新后，Secure Private Access 服务将被禁用。要启用此功能，客户必须联系 Citrix 支持。
  • 启用后，服务状态将变为正在运行，Secure Private Access 服务将在连接器计算机上自动启动。

Citrix Secure Private Access 服务的端口配置

  • Citrix Secure Private Access 使用端口 8443 作为纯 HTTP 服务。
  • 确保添加端口 8443 的入站规则，以允许从数据中心网络进行访问。可以通过手动配置防火墙规则或运行 Citrix Secure Private Access 配置工具来打开端口 8443。
    • 导航到 Citrix Secure Private Access 安装文件夹（默认路径 - C:\Program Files\Citrix\AccessSecurityService）。
    • 运行命令 .\Citrix.AccessSecurityService.exe /ENABLE_SPA_PORTS 8443。
命令成功运行后，防火墙将自动配置。
  • Citrix Secure Private Access 的内部负载平衡器使用端口 8443 添加 Cloud Connector 后端服务。

Secure Private Access 负载平衡器

Secure Private Access 服务的负载平衡器必须配置为启用 TLS，使用以下两种方法之一：
  • 负载平衡器上的 SSL 卸载： Secure Private Access 负载平衡器通过端口 8443 上的 HTTP 与 Cloud Connector 上的 Secure Private Access 服务通信，TLS/SSL 证书安装在负载平衡器上。负载平衡器与 Secure Private Access 服务之间的流量是纯 HTTP 且未加密。有关详细信息，请参阅配置 SSL 卸载。
  • SSL 桥接： 负载均衡器将加密流量转发到 Cloud Connector 上的 Secure Private Access 服务。必须在每个 Cloud Connector 主机上为 Secure Private Access 服务安装 TLS/SSL 证书。有关详细信息，请参阅配置 SSL 桥接。

在 Cloud Connector 上为 Secure Private Access 服务配置 TLS/SSL 证书

  1. 在 Cloud Connector 的本地计算机个人证书存储中安装有效的 TLS/SSL 证书。确保证书受信任。如有必要，添加颁发 CA 证书。
    注意：
    确保 TLS/SSL 证书包含 Cloud Connector FQDN 作为主题备用名称 (SAN) 的一部分。
  2. 授予网络服务帐户访问已安装证书的权限。
    1. 打开 Microsoft 管理控制台并将证书管理单元添加到本地计算机帐户，按照向导操作，然后单击“确定”。
    2. 在 Microsoft 管理控制台中，转到“控制台根目录 > 证书 > 个人 > 证书”。
    3. 右键单击配置 Secure Private Access 所需的证书，然后选择“所有任务 > 管理私钥”。
    1. 在“权限”窗口中，单击“添加”，然后搜索“网络服务”帐户，并选择“只读权限”。
  3. 使用 TLS/SSL 证书指纹配置 Secure Private Access 服务。
    1. 从“TLS/SSL 证书详细信息”复制指纹。
    2. 导航到 Citrix Secure Private Access 安装文件夹（默认路径 - C:\Program Files\Citrix\AccessSecurityService）并运行 .\Citrix.AccessSecurityService.exe /CERTIFICATE_THUMBPRINT <ThumbprintValue>。
    3. 重新启动 Citrix Secure Private Access 服务。
  4. 确保 Secure Private Access 服务作为 TLS 服务运行（使用浏览器或 cURL）：https://<Cloud connector address>:<port>/secureAccess/health。
    预期结果：response 200 OK with status “Ok”。