通用打印服务器上的传输层安全 (TLS)

Last published : Nov 13, 2026
虚拟投递代理 (VDA) 和通用打印服务器之间的基于 TCP 的连接支持传输层安全 (TLS) 协议。
警告：
对于涉及 Windows 注册表操作的任务，不正确地编辑注册表可能会导致严重问题，甚至可能需要重新安装操作系统。Citrix® 无法保证能够解决因不正确使用注册表编辑器而导致的问题。请自行承担使用注册表编辑器的风险。在编辑注册表之前，请务必备份注册表。
Related information
传输层安全性 (TLS)

VDA 与通用打印服务器之间的打印连接类型

明文连接

以下与打印相关的连接源自 VDA 并连接到通用打印服务器上的端口。仅当 SSL enabled 策略设置为 Disabled（默认值）时，才会建立这些连接。
  • 明文打印 Web 服务连接（TCP 端口 8080）
  • 明文打印数据流 (CGP) 连接（TCP 端口 7229）
Microsoft 支持文章 Service overview and network port requirements for Windows 介绍了 Microsoft Windows 打印后台处理程序服务使用的端口。本文档中的 SSL/TLS 设置不适用于 Windows 打印后台处理程序服务建立的 NetBIOS 和 RPC 连接。如果 Universal Print Server enable 策略设置配置为 Enabled with fallback to Windows' native remote printing，则 VDA 会使用 Windows 网络打印提供程序 (win32spl.dll) 作为回退。
通用打印服务器安全

加密连接

这些与打印相关的 SSL/TLS 连接源自 VDA 并连接到通用打印服务器上的端口。仅当 SSL enabled 策略设置为 Enabled 时，才会建立这些连接。
  • 加密打印 Web 服务连接（TCP 端口 8443）
  • 加密打印数据流 (CGP) 连接（TCP 端口 443）
通用打印服务器安全 2

SSL/TLS 客户端配置

VDA 充当 SSL/TLS 客户端。
使用 Microsoft 组策略和注册表配置 Microsoft SCHANNEL SSP，以用于加密的打印 Web 服务连接（TCP 端口 8443）。Microsoft 支持文章 TLS 注册表设置 介绍了 Microsoft SCHANNEL SSP 的注册表设置。
在 VDA 上使用组策略编辑器，转到“计算机配置 > 管理模板 > 网络 > SSL 配置设置 > SSL 密码套件顺序”。当设置 TLS 1.3 时，选择以下顺序：
TLS_AES_256_GCM_SHA384 TLS_AES_128_GCM_SHA256
当设置 TLS 1.2 时，选择以下顺序：
TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384_P384 TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384_P256 TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384_P384 TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384_P256 TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA_P384 TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA_P256
注意：
配置此组策略设置后，VDA 仅当连接同时出现在以下两个 SSL 密码套件列表中时，才会为加密的打印 Web 服务连接（默认端口：8443）选择密码套件：
  • 组策略 SSL 密码套件顺序列表
  • 与所选 SSL 密码套件策略设置（COM、GOV 或 ALL）对应的列表
此组策略配置还会影响 VDA 上的其他 TLS 应用程序和服务。如果您的应用程序需要特定的密码套件，您可能需要将它们添加到此组策略密码套件顺序列表中。
重要提示：
TLS 配置的组策略更改仅在操作系统重新启动后生效。
使用 Citrix 策略配置加密打印数据流 (CGP) 连接（TCP 端口 443）的 SSL/TLS 设置。

SSL/TLS 服务器配置

Universal Print Server 充当 SSL/TLS 服务器。
使用 Enable-UpsSsl.ps1 PowerShell 脚本配置 SSL/TLS 设置。

在通用打印服务器上安装 TLS 服务器证书

对于 HTTPS，您必须在通用打印服务器上安装一个受 VDA 信任的 SSL 服务器证书。使用 Microsoft Active Directory 证书服务或其他证书颁发机构为通用打印服务器请求证书。
使用微软活动目录证书服务注册/请求证书时，请记住以下注意事项：
  1. 将证书放置在本地计算机的 个人 证书存储中。
  2. 将证书主题可分辨名称 (Subject DN) 的 公用名 属性设置为通用打印服务器的完全限定域名 (FQDN)。在证书模板中指定此项。
  3. 将用于生成证书请求和私钥的加密服务提供程序 (CSP) 设置为 Microsoft 增强型 RSA 和 AES 加密提供程序 (加密)。在证书模板中指定此项。
  4. 将密钥大小设置为至少 2048 位。在证书模板中指定此项。
有关创建和安装证书的详细信息，请参阅 管理证书。

在通用打印服务器上配置 SSL

通用打印服务器上的 XTE 服务侦听传入连接。启用 SSL 后，它将充当 SSL 服务器。传入连接有两种类型：包含打印命令的打印 Web 服务连接，以及包含打印作业的打印数据流连接。可以在这些连接上启用 SSL。SSL 可保护这些连接的机密性和完整性。默认情况下，SSL 处于禁用状态。
用于配置 SSL 的 PowerShell 脚本位于安装介质上，文件名为：\Support\Tools\SslSupport\Enable-UpsSsl.ps1..

在通用打印服务器上配置侦听端口号

以下是 XTE 服务的默认端口：
  • 明文打印 Web 服务 (HTTP) TCP 端口：8080
  • 明文打印数据流 (CGP) TCP 端口: 7229
  • 加密打印 Web 服务 (HTTPS) TCP 端口: 8443
  • 加密打印数据流 (CGP) TCP 端口: 443
要更改通用打印服务器上 XTE 服务使用的端口，请以管理员身份在 PowerShell 中运行以下命令（有关 Enable-UpsSsl.ps1 PowerShell 脚本用法的说明，请参阅后面的部分）：
  1. Stop-Service CitrixXTEServer, UpSvc
  2. Enable-UpsSsl.ps1 -Enable -HTTPSPort <port> -CGPSSLPort <port> 或 Enable-UpsSsl.ps1 -Disable -HTTPPort <port> -CGPPort <port>
  3. Start-Service CitrixXTEServer

通用打印服务器上的 TLS 设置

如果您的负载平衡配置中有多个通用打印服务器，请确保所有通用打印服务器上的 TLS 设置配置一致。
在通用打印服务器上配置 TLS 时，将更改已安装 TLS 证书的权限，从而授予通用打印服务对证书私钥的读取访问权限，并通知通用打印服务以下信息：
  • 证书存储中用于 TLS 的证书。
  • 用于 TLS 连接的 TCP 端口号。
必须配置 Windows 防火墙（如果已启用）以允许这些 TCP 端口上的入站连接。当您使用 Enable-UpsSsl.ps1 PowerShell 脚本时，将为您完成此配置。
  • 允许的 TLS 协议版本。
通用打印服务器支持 TLS 协议版本 1.3 和 1.2。请指定允许的最低版本。
默认 TLS 协议版本为 1.2。
注意：
从 Citrix Virtual Apps and Desktops 2311 版本开始，不再支持 TLS 1.1 和 1.0。
  • 允许的 TLS 密码套件。
密码套件选择用于连接的加密算法。VDA 和通用打印服务器可以支持不同的密码套件集。当 VDA 连接并发送支持的 TLS 密码套件列表时，通用打印服务器会将客户端的密码套件之一与其自身配置的密码套件列表中的一个进行匹配，并接受连接。如果没有匹配的密码套件，通用打印服务器将拒绝连接。
通用打印服务器支持以下密码套件集，这些套件集命名为 GOV（政府）、COM（商业）和 ALL，适用于 OPEN、FIPS 和 SP800-52 本机加密工具包模式。可接受的密码套件还取决于 SSL FIPS 模式策略设置和 Windows FIPS 模式。有关 Windows FIPS 模式的信息，请参阅此Microsoft 支持文章。
密码套件（按优先级降序排列） OPEN ALL OPEN COM OPEN GOV FIPS ALL FIPS COM FIPS GOV SP800-52 ALL SP800-52 COM SP800-52 GOV
TLS_ECDHE_RSA_ AES256_GCM_SHA384 X X X X X X
TLS_ECDHE_RSA_ AES256_CBC_SHA384 X X X X X X
TLS_ECDHE_RSA_ AES256_CBC_SHA X X X X X X

使用 PowerShell 脚本在 Universal Print Server 上配置 TLS

将 TLS 证书安装到证书存储的 本地计算机 > 个人 > 证书 区域。如果该位置存在多个证书，请向 Enable-UpsSsl.ps1 PowerShell 脚本提供证书的指纹。
注意：
PowerShell 脚本根据 Universal Print Server 的 FQDN 查找正确的证书。如果 Universal Print Server FQDN 只有一个证书，则无需提供证书指纹。
Enable-UpsSsl.ps1 脚本启用或禁用从 VDA 到 Universal Print Server 的 TLS 连接。此脚本位于安装介质的 Support > Tools > SslSupport 文件夹中。
启用 TLS 后，脚本会禁用 Universal Print Server TCP 端口的所有现有 Windows 防火墙规则。然后，它会添加新规则，允许 XTE Service 仅在 TLS TCP 和 UDP 端口上接受传入连接。它还会禁用以下 Windows 防火墙规则：
  • 明文打印 Web 服务连接（默认值：8080）
  • 明文打印数据流 (CGP) 连接（默认值：7229）
其效果是 VDA 只能在使用 TLS 时建立这些连接。
注意：
启用 TLS 不会影响从 VDA 发起到 Universal Print Server 的 Windows 打印后台处理程序 RPC/SMB 连接。
重要提示：
将 Enable 或 Disable 指定为第一个参数。如果本地计算机个人证书存储中只有一个证书具有 Universal Print Server 的 FQDN，则 CertificateThumbprint 参数是可选的。其他参数是可选的。

语法

Enable-UpsSSL.ps1 -Enable [-HTTPPort &lt;port>] [-CGPPort &lt;port>] [–HTTPSPort &lt;port>] [-CGPSSLPort &lt;port>] [-SSLMinVersion &lt;version>] [-SSLCipherSuite &lt;name>] [-CertificateThumbprint &lt;thumbprint>] [-FIPSMode &lt;Boolean>] [-ComplianceMode &lt;mode>]
Enable-UpsSSL.ps1 -Disable [-HTTPPort &lt;portnum>] [-CGPPort &lt;portnum>]
参数 描述
启用 在 XTE Server 上启用 SSL/TLS。此参数或 Disable 参数是必需的。
禁用 在 XTE Server 上禁用 SSL/TLS。此参数或 Enable 参数是必需的。
证书指纹 "<thumbprint>" 本地计算机个人证书存储中 TLS 证书的指纹，用引号引起来。脚本使用指定的指纹来选择要使用的证书。
HTTP 端口 <port> 明文打印 Web 服务 (HTTP/SOAP) 端口。默认值：8080
CGP 端口 <port> 明文打印数据流 (CGP) 端口。默认值：7229
HTTPS 端口 <port> 加密打印 Web 服务 (HTTPS/SOAP) 端口。默认值：8443
CGPSSL 端口 <port> 加密打印数据流 (CGP) 端口。默认值：443
SSL 最低版本 "<version>" 最低 TLS 协议版本，用引号引起来。有效值：“TLS_1.2”和“TLS_1.3”。默认值：TLS_1.2。
SSL 密码套件 "<name>" TLS 密码套件包的名称，用引号引起来。有效值：“GOV”、“COM”和“ALL”（默认）。
FIPS 模式 <Boolean> 在 XTE 服务器中启用或禁用 FIPS 140 模式。有效值：$true 启用 FIPS 140 模式，$false 禁用 FIPS 140 模式。

示例

以下脚本启用 TLS。指纹（在此示例中表示为“12345678987654321”）用于选择要使用的证书。
Enable-UpsSsl.ps1 –Enable -CertificateThumbprint "12345678987654321"
以下脚本禁用 TLS。
Enable-UpsSsl.ps1 –Disable

配置 FIPS 模式

启用美国联邦信息处理标准 (FIPS) 模式可确保通用打印服务器加密连接仅使用符合 FIPS 140 的加密技术。
在客户端上配置 FIPS 模式之前，请先在服务器上配置 FIPS 模式。
有关启用/禁用 Windows FIPS 模式的信息，请查阅 Microsoft 的文档站点。

在客户端上启用 FIPS 模式

在 Delivery Controller™ 上，运行 Web Studio 并将 UPS FIPS 模式 Citrix 策略设置设为已启用。启用 Citrix 策略。
在每个 VDA 上执行以下操作：
  1. 启用 Windows FIPS 模式。
  2. 重新启动 VDA。

在服务器上启用 FIPS 模式

在每个通用打印服务器上执行以下操作：
  1. 启用 Windows FIPS 模式。
  2. 以管理员身份运行此 PowerShell 命令: stop-service CitrixXTEServer, UpSvc
  3. 使用 -Enable -FIPSMode $true 参数运行 Enable-UpsSsl.ps1 脚本。
  4. 重新启动 Universal Print Server。

在客户端禁用 FIPS 模式

在 Web Studio 中，将 UPS FIPS Mode Citrix 策略设置设为 Disabled。启用 Citrix 策略。您还可以删除 UPS FIPS Mode Citrix 策略设置。
在每个 VDA 上执行此操作：
  1. 禁用 Windows FIPS 模式。
  2. 重新启动 VDA。

在服务器上禁用 FIPS 模式

在每个 Universal Print Server 上执行此操作：
  1. 禁用 Windows FIPS 模式。
  2. 以管理员身份运行此 PowerShell 命令: stop-service CitrixXTEServer, UpSvc
  3. 使用 -Enable -FIPSMode $false 参数运行 Enable-UpsSsl.ps1 脚本。
  4. 重新启动 Universal Print Server。
注意：
当 SSL 协议版本设置为 TLS 1.3 时，不支持 FIPS 模式。

配置 SSL/TLS 协议版本

默认的 SSL/TLS 协议版本是 TLS 1.2。TLS 1.2 和 TLS 1.3 是生产环境中推荐的 SSL/TLS 协议版本。为了进行故障排除，可能需要在非生产环境中临时更改 SSL/TLS 协议版本。
通用打印服务器不支持 SSL 2.0 和 SSL 3.0。

在服务器上设置 SSL/TLS 协议版本

在 Studio 中，将SSL 协议版本策略设置设为所需的协议版本并启用该策略。
确保 VDA 的操作系统支持所选的 TLS 版本。有关 Windows 上支持的 TLS 版本，请参阅 Microsoft Learn - TLS 协议版本支持。要配置注册表以覆盖默认值，请参阅 Microsoft Learn - TLS、DTLS 和 SSL 协议版本设置。

在客户端上设置 SSL/TLS 协议版本

在每个 VDA 上执行以下操作：
  1. 在 Delivery Controller 上，将SSL 协议版本策略设置设为所需的协议版本并启用该策略。
  2. Microsoft 支持文章 TLS 注册表设置 介绍了 Microsoft SCHANNEL SSP 的注册表设置。使用注册表设置启用客户端 TLS 1.2 或 TLS 1.3。
    重要提示：
    请记住，测试完成后，将注册表设置恢复为原始值。
  3. 重新启动 VDA。

故障排除

如果发生连接错误，请检查通用打印服务器上的 C:\Program Files (x86)\Citrix\XTE\logs\error.log 文件。
如果 SSL/TLS 握手失败，此日志文件中将显示错误消息 SSL handshake from client failed。如果 VDA 和通用打印服务器上的 SSL/TLS 协议版本不匹配，则可能会发生此类故障。
在包含通用打印服务器主机名的以下策略设置中使用通用打印服务器 FQDN：
  • 会话打印机
  • 打印机分配
  • 用于负载平衡的通用打印服务器
确保通用打印服务器和 VDA 上的系统时钟（日期、时间、时区）正确。