Windows 登录前始终开启

Last published : Oct 24, 2026
Secure Private Access 始终开启连接确保托管设备在 Windows 登录前（仅限计算机隧道）和登录后始终连接到企业网络。始终开启功能在用户登录 Windows 系统之前建立计算机级 VPN 隧道。用户登录后，计算机级 VPN 隧道将替换为用户级 VPN 隧道。应用程序访问基于为计算机级隧道分配给计算机的策略以及为用户级隧道分配给用户的策略。
Secure Private Access Windows 登录前始终开启（计算机隧道）功能支持以下计算机：
  • 已加入 Active Directory 域的 Windows 计算机
  • 已加入 Microsoft Entra ID 混合域的 Windows 计算机
Windows 登录前始终开启通过使用基于计算机设备证书的 Active Directory 身份验证进行身份验证。
设备证书由 Active Directory 企业证书颁发机构 (CA) 颁发。设备证书对于每台已加入域的 Windows 计算机都是唯一的。
注意：
  • 支持从单层到多层的 Microsoft 企业证书颁发机构。
  • Secure Private Access Windows 登录后始终开启（用户隧道）通过以下 Active Directory 自动登录身份验证方法之一实现：
  • Secure Private Access Windows 登录后始终开启（用户隧道）通过以下适用于 Microsoft Entra ID 混合加入计算机的自动登录身份验证方法实现：使用 Microsoft Entra ID 身份验证的主刷新令牌 (PRT) 进行 SSO。
    禁用 始终提示最终用户输入其凭据。
Related information
支持 TCP/UDP 应用程序

Always On 如何工作?

下图说明了 Windows 登录前 Always On 功能的工作流程。
始终在线工作流
  • Citrix Identity Broker 在设备启动后立即验证设备证书以对设备进行身份验证。以下是设备证书验证步骤：
    • 客户端根据上传到 Secure Private Access 管理控制台的 CA 证书提供设备证书。
    • Citrix 身份提供程序执行基于设备证书的身份验证。
    • Citrix 身份提供程序验证以下详细信息：
      • 设备证书签名
      • 基于 CRL 的设备证书吊销检查
      • 根据 Active Directory 计算机对象验证设备证书
  • 成功验证设备证书后，将根据访问策略在设备与公司内部资源之间建立安全的机器隧道。
  • 允许访问 Active Directory 后，Windows 登录会使用 Active Directory 验证用户凭据，并支持密码过期和密码更改。
  • 在 Windows 登录之后，机器级别的隧道会自动被具有自动登录功能的用户隧道取代。当用户隧道出现故障或断开连接时，连接会回退到机器隧道。
  • Active Directory 和混合 Microsoft Entra ID 环境支持自动登录功能。

活动目录和 Microsoft Entra ID 混合 AD 配置

Windows 计算机必须是 Active Directory 或 Microsoft Entra ID 混合加入的，这是 Always On 的先决条件。需要 Active Directory 企业证书颁发机构来颁发用于 Always On 计算机身份验证的设备证书。证书吊销是根据证书颁发机构中配置了 LDAP URL 的 CDP 扩展进行验证的。

设备证书注册配置

设备证书注册涉及以下步骤：
  1. Active Directory 企业证书颁发机构颁发用于计算机身份验证的设备证书。
  2. 证书颁发机构必须发布 CRL 分发点 (CDP) 扩展的 LDAP URL。
    始终在线 CRL CDP
  3. 必须在此证书颁发机构中创建证书模板，以注册具有以下详细信息的设备证书。
    1. 打开证书模板管理单元，并复制 计算机 或 工作站身份验证（首选）模板。
    2. 为证书提供一个新名称。
    3. 切换到使用者名称选项卡，将使用者名称格式设置更改为通用名称，并勾选用户主体名称 (UPN) 以包含在备用使用者名称中。
      始终在线使用者名称
    4. 切换到安全选项卡，并添加一个安全组（仅包含计算机帐户），您希望将新的证书模板自动注册到该组。选择添加的组，然后为自动注册选择允许。
      始终在线已验证用户
      注意：
      在上一张图片中，已验证用户（所有计算机对象）被允许注册/自动注册新的证书模板。
    5. (可选) 创建一个允许自动证书注册的组策略对象 (GPO)，并将其绑定到组织单位 (OU) 或域级别。
    始终开启自动注册证书(/en-us/citrix-secure-private-access/media/spa-ztna-always-on-autoenroll-certificate.png)

安全私有访问配置

以下部分提供了有关配置 Secure Private Access 的更多信息。

在 Windows 登录前配置始终开启 (计算机隧道)

  1. 在 Secure Private Access 管理控制台中，导航到 设置 > 证书存储。
    注意：
    我们建议您使用 设置 > 证书存储 下的 基于计算机的身份验证 选项，而不是 设置 > 基于计算机的身份验证。设置 > 基于计算机的身份验证 选项计划在即将发布的版本中移除。
  2. 在证书页面中，单击计算机身份验证选项卡。
    对于 Windows 登录前始终开启功能，在用户登录前强制执行计算机级别隧道 切换开关默认处于启用状态。
  3. 上传 CA 证书：单击添加证书，选择证书，然后单击打开。
  4. 在名称中，输入证书的名称。
  5. 在证书文件中，浏览到本地驱动器并上传证书文件。
    • 支持根 CA 和中间 CA 证书。要上传的证书必须是 PEM 格式，并包含整个链。证书必须从中间证书一直到根 CA 生成。
    • 如果证书是 CER 格式，请在 Linux 或 Mac 终端上运行以下命令将其转换为 PEM 格式。将证书转换为 PEM 格式后，在 Secure Private Access 用户界面中上传证书。
      openssl x509 -in /Users/t_abhishes2/Downloads/cert12.crt out/Users/t_abhishes2/Downloads/cer_pem12_ao.pem
  6. 单击 保存。
    证书将添加到“计算机身份验证”选项卡中可用证书的列表中。
  7. 创建一个 TCP/UDP 应用程序以将 Active Directory 作为 TCP/UDP 服务器访问。例如，Active Directory 域、IP 地址和端口。这适用于使用 AD 凭据的 Windows 用户登录。有关创建 TCP/UDP 应用程序的详细信息，请参阅 管理员配置 – Citrix Secure Access 客户端对 TCP/UDP 应用程序的访问。
  8. 如果需要在 Windows 登录前和用户级隧道迁移前访问，请创建其他应用程序。
  9. 创建访问策略并为已加入域的计算机或其 AD 组提供访问权限。
    1. 在 Secure Private Access 管理控制台中，单击“访问策略”，然后单击“创建策略”。
    2. 输入策略名称和策略描述。
    3. 在“应用程序”中，选择必须强制执行此策略的应用程序或应用程序集。
    4. 单击“创建规则”为策略创建规则。
      • 输入规则名称和规则的简要说明，然后单击“下一步”。
      • 在“规则范围”中，选择“计算机”。
        注意：
        当您选择一台计算机时，访问权限会受到限制，因为计算机级隧道基于单因素身份验证。
      • 选择匹配条件和域，然后搜索必须应用策略的计算机/组。如果需要，添加更多条件。完成后，单击“下一步”。
        • 匹配其中任意一个 – 只有与字段中列出的任何名称匹配且属于所选域的计算机/组才允许访问。
        • 不匹配任何一个 – 除了字段中列出且属于所选域的计算机/组之外，所有计算机/组都允许访问。
          始终在线策略
  10. 选择以下操作之一，根据条件评估进行应用。
    • 允许访问
    • 拒绝访问
  11. 单击“下一步”，然后单击“完成”。
  12. （可选）为地理位置和网络位置等创建其他规则。有关详细信息，请参阅配置访问策略。
    该策略列在“访问策略”页面上。默认情况下，会为策略分配优先级顺序。值越低的优先级越高。优先级编号最低的策略会首先进行评估。如果策略不符合定义的条件，则会评估下一个策略。如果条件匹配，则会跳过其他策略。

连接器设备配置

连接器设备执行设备证书验证、证书吊销检查 (CRL) 和设备对象验证，以实现始终在线设备证书身份验证。连接器设备必须加入 Active Directory 域，才能支持设备证书身份验证。

客户端配置

  • 需要始终在线支持的 Windows 计算机必须加入 Active Directory 或 Entra ID 混合域。
  • Windows 计算机必须从企业证书颁发机构注册设备证书，以用于 Secure Private Access 始终在线。
  • 设备证书属性必须包含以下详细信息。
    • 设备证书中的颁发者名称必须与上传到 Secure Private Access 管理控制台的 CA 证书的通用名称匹配。
      始终在线 CA 颁发者名称(/en-us/citrix-secure-private-access/media/spna-ztna-always-on-issuer.png)
    • 主题必须包含计算机的通用名称。
      始终在线主题名称(/en-us/citrix-secure-private-access/media/spna-ztna-always-on-subject.png)
    • 主题备用名称 (SAN) 必须包含计算机的 UPN。
      始终在线 SAN(/en-us/citrix-secure-private-access/media/spna-ztna-always-on-san.png)
    • CRL 分发点必须包含相应的 LDAP URL。
      始终在线 CRL DP(/en-us/citrix-secure-private-access/media/spna-ztna-always-on-crl-cdp.png)
    • 认证路径必须与证书颁发机构链相符。
      始终在线 CRL DP(/en-us/citrix-secure-private-access/media/spna-ztna-always-on-cert-path.png)
  • 安装用于 Always On 的 Citrix Secure Access 客户端。
  • 必须在客户端上创建以下注册表项，才能在 Windows 登录前启用 Always On。
    • 在注册表路径 HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\Secure Access Client 中的 CloudAlwaysOnURL。
      注册表类型 - STRING
      注册表值 - <Customer store FQDN> (例如，company.cloud.com)
    • AlwaysOnService 位于 HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\Secure Access Client 中。
      注册表类型 - DWORD
      注册表值 - 0x00000002

在 Windows 登录后配置 Always On（计算机/用户隧道）

成功登录 Windows 后，计算机隧道将继续运行，直到用户使用 Citrix Secure Access 客户端成功登录。
  • 如果用户自动登录成功，计算机隧道将迁移到用户隧道。
  • 如果用户自动登录失败，计算机隧道将继续运行。
  • 如果用户隧道断开连接，连接将自动回退到计算机隧道。
StoreFront Cloud 身份验证配置中支持 Windows 登录后的用户自动登录，支持以下身份验证方法。
  • 使用 Active Directory 进行身份验证（无第二因素）- AD 凭据 SSO
  • 使用配置了 Kerberos SSO 的 Citrix Gateway/自适应身份验证进行身份验证
  • 使用 Azure Active Directory 进行身份验证（使用 Microsoft Entra ID 身份验证的主刷新令牌 (PRT) 进行 SSO）。
注意：
禁用 始终提示最终用户输入其凭据。

限制

  • 计算机 UPN 主机名不得超过 15 个字符。
  • 仅当计算机已加入域且设备证书存在时，才支持 Windows 自动登录（首次用户 (FTU)）情况。
  • 仅在 Windows 10 或更高版本上支持 Windows 登录前始终开启功能。
  • Windows Server 操作系统不支持 Windows 登录前始终开启功能。
  • Windows 登录前始终开启功能不支持云连接器。即使您未选择连接器设备作为首选连接器，计算机隧道流量也会通过连接器设备。

参考