支持服务器到客户端连接 - 预览

Last published : Nov 04, 2026
在传统的客户端-服务器设置中，远程用户可以使用 HTTP、TCP 和 UDP 连接访问客户资源位置中的资源。然而，在某些场景中，服务器或后端系统需要与远程客户端设备（例如笔记本电脑、智能手机、平板电脑）发起连接，以执行推送配置、远程协助、应用程序访问或应用程序安装等任务，同时保护用户隐私和安全。Secure Private Access 支持服务器到客户端连接，其中客户资源位置中的服务器可以与远程客户端建立 TCP/UDP 连接。
  • 为了启用服务器到客户端连接，Secure Private Access 引入了服务器到客户端应用程序。此应用程序可以配置客户端详细信息（端口、协议）和后端服务器的 IP CIDR 范围。
  • 创建服务器到客户端应用程序类型后，必须为这些应用程序配置适当的访问策略，以启用服务器到客户端连接。
Related information
index

服务器到客户端连接的工作原理

下图显示了一个服务器到客户端连接架构示例。
服务器到客户端连接
以下步骤说明了服务器到客户端连接工作流：
  1. 当用户登录到 Citrix Secure Access™ 客户端时，用户会从指定的客户端内部 IP 地址池中分配到一个内部 IP 地址。此分配基于 IP 地址池配置中配置的资源位置、IP CIDR 和用户上下文。
  2. 然后，此分配的 IP 地址将与配置的资源位置和 IP 池中的特定连接器设备关联。此连接器设备拥有并管理与此 IP 地址相关的连接，用于后端客户资源位置。
  3. 后端服务器使用分配的客户端内部 IP 地址，通过服务器到客户端应用程序配置中指定的客户端应用程序端口，向远程客户端发起 TCP/UDP 连接。
  4. 连接器与 Secure Private Access 通信，以与客户端建立连接。
  5. Secure Private Access 验证后端服务器是否已在服务器到客户端应用程序中配置，然后评估相关的访问策略，以确定是允许还是阻止访问客户端计算机。
  6. 如果策略允许访问，则 Secure Private Access 连接到远程客户端计算机。如果客户端计算机已加入域，则该计算机的 FQDN 将注册到 IIP 地址。可以通过 FQDN 或内部 IP 地址访问该计算机。
  7. 当用户注销时，分配的内部 IP 地址将从连接器设备和活动会话中释放。如果同一用户在 15 天内再次登录，用户将获得相同的 IP 地址，否则该地址将被释放供其他用户使用。

创建服务器到客户端应用程序

以下部分提供了有关创建服务器到客户端应用程序的详细信息。

先决条件

  • 客户端内部 IP 地址池已创建。IP 地址池对于为用户及其关联设备分配唯一 IP 地址至关重要。有关详细信息，请参阅客户端内部 IP 地址池。
  • 客户管理员必须为资源位置网络分配一个空闲的内网 IP CIDR 子网。此 IP CIDR 不得与其他资源 IP 地址冲突。
  • 客户管理员必须确定哪些组/上下文用户从哪个资源位置分配内网 IP 地址。建议保持用户与 IP 地址的比例为 1:3。也就是说，如果登录用户数为 1000，建议在客户端 IP 池中分配 3000 个 IP 地址。
  • 空闲的 IIP 子网和连接器的主 IP 地址必须属于同一网络和子网。
  • 必须在资源位置之间保持互连，以允许其他位置（未在 IP 池中配置）的服务器连接到客户端。
  • 确保您使用的 Citrix Secure Access 客户端版本支持服务器到客户端应用程序。
    • Windows 24.11.1.17 及更高版本
    • macOS 25.01.1 及更高版本
    • Linux 25.2.2 及更高版本

执行以下步骤配置服务器到客户端 TCP/UDP 应用程序

  1. 登录 Citrix 云 并选择 安全私有访问。
  2. 单击 应用程序 > 应用配置，然后单击 添加应用。
  3. 在“选择模板”部分，单击“跳过”。模板仅适用于 SaaS 应用程序。
    创建客户端-服务器应用程序(/en-us/citrix-secure-private-access/media/spa-server-client-app-details1.png)
  4. 选择位置“在我的公司网络中”。
  5. 输入以下详细信息：
    • “应用程序类型” – 选择“TCP/UDP - 服务器到客户端”。
    • “应用程序名称” – 应用程序的名称。
    • “应用程序描述” – 您正在添加的应用程序的描述。此字段是可选的。
    • “服务器” - 可与客户端计算机建立连接的后端服务器的 IP 地址范围。这可确保只有 IP 地址在此范围内的服务器才能访问客户端的端口。
    • “端口” – 后端服务器可发起连接的客户端计算机的端口号。
    • “协议” – TCP 或 UDP。
  6. 单击“添加”以添加更多服务器和端口。
  7. 单击“保存”。应用程序将添加到“应用程序配置”页面。
配置应用程序后，您可以从“应用程序”页面编辑或删除应用程序。为此，请单击应用程序行中的省略号按钮并相应地选择操作。
创建服务器到客户端应用程序后，根据要求创建访问策略。
“注意：”:
所有现有的访问策略都支持服务器到客户端应用程序。服务器到客户端的访问权限仅授予那些其上下文在配置的访问策略中被评估为“允许”的用户。