MDX 应用程序的 SSO 和代理注意事项

Last published : Oct 21, 2026
XenMobile 与 Citrix ADC 集成，使您能够为用户提供对所有后端 HTTP/HTTPS 资源的单点登录 (SSO)。根据您的 SSO 身份验证要求，您可以将 MDX 应用程序的用户连接配置为使用以下任一选项：
  • 安全浏览，这是一种无客户端 VPN
  • 完整 VPN 隧道
如果 Citrix ADC 不是在您的环境中提供 SSO 的最佳方式，您可以设置一个 MDX 应用程序，并启用基于策略的本地密码缓存。本文探讨了各种 SSO 和代理选项，重点关注 Secure Web。这些概念也适用于其他 MDX 应用程序。
以下流程图总结了 SSO 和用户连接的决策流程。
SSO 和用户连接决策流程图(/en-us/xenmobile/server/media/sso-proxy-decision-flow.png)
Related information
XenMobile® 部署

Citrix ADC 身份验证方法

本节提供有关 Citrix ADC 支持的身份验证方法的常规信息。

SAML 身份验证

当您为安全断言标记语言 (SAML) 配置 Citrix ADC 时，用户可以连接到支持 SAML 协议的 Web 应用程序以实现单点登录。Citrix Gateway 支持 SAML Web 应用程序的身份提供程序 (IdP) 单点登录。
所需配置：
  • 在 Citrix ADC 流量配置文件中配置 SAML SSO。
  • 为请求的服务配置 SAML IdP。

NTLM 身份验证

如果在会话配置文件中启用了对 Web 应用程序的 SSO，Citrix ADC 会自动执行 NTLM 身份验证。
所需配置：
  • 在 Citrix ADC 会话或流量配置文件中启用 SSO。

Kerberos 模拟

XenMobile® 仅支持 Secure Web 的 Kerberos。当您为 Kerberos SSO 配置 Citrix ADC 时，如果 Citrix ADC 可以获取用户密码，则 Citrix ADC 会使用模拟。模拟意味着 Citrix ADC 使用用户凭据来获取访问服务（例如 Secure Web）所需的票证。
所需配置：
  • 配置 Citrix ADC 的“Worx”会话策略，使其能够从您的连接中识别 Kerberos 领域。
  • 在 Citrix ADC 上配置 Kerberos 约束委派 (KCD) 帐户。将该帐户配置为无密码，并将其绑定到 XenMobile 网关上的流量策略。
  • 有关这些和其他配置详细信息，请参阅 Citrix 博客：WorxWeb 和 Kerberos 模拟 SSO。

Kerberos 约束委派

XenMobile 仅支持 Secure Web 的 Kerberos。当您为 Kerberos SSO 配置 Citrix ADC 时，如果 Citrix ADC 无法获取用户密码，则 Citrix ADC 会使用约束委派。
通过约束委派，Citrix ADC 使用指定的管理员帐户代表用户和服务获取票证。
所需配置：
  • 在 Active Directory 中配置具有所需权限的 KCD 帐户，并在 Citrix ADC 上配置 KCD 帐户。
  • 在 Citrix ADC 流量配置文件中启用 SSO。
  • 配置后端网站以进行 Kerberos 身份验证。

表单填充身份验证

当您将 Citrix ADC 配置为基于表单的单点登录时，用户可以一次登录以访问网络中的所有受保护应用程序。此身份验证方法适用于使用安全浏览或完整 VPN 模式的应用程序。
所需配置：
  • 在 Citrix ADC 流量配置文件中配置基于表单的 SSO。

摘要式 HTTP 身份验证

如果您在会话配置文件中为 Web 应用程序启用 SSO，Citrix ADC 会自动执行摘要式 HTTP 身份验证。此身份验证方法适用于使用安全浏览或完整 VPN 模式的应用程序。
所需配置：
  • 在 Citrix ADC 会话或流量配置文件中启用 SSO。

基本 HTTP 身份验证

如果您在会话配置文件中为 Web 应用程序启用 SSO，Citrix ADC 会自动执行基本 HTTP 身份验证。此身份验证方法适用于使用安全浏览或完整 VPN 模式的应用程序。
所需配置：
  • 在 Citrix ADC 会话或流量配置文件中启用 SSO。

安全浏览、完整 VPN 隧道或带 PAC 的完整 VPN 隧道

以下部分介绍了 Secure Web 的用户连接类型。有关更多信息，请参阅 Citrix 文档中的这篇 Secure Web 文章：配置用户连接。

完整 VPN 隧道

隧道连接到内部网络的连接可以使用完整 VPN 隧道。使用 Secure Web 首选 VPN 模式策略来配置完整 VPN 隧道。Citrix 建议对使用客户端证书或端到端 SSL 连接到内部网络中资源的连接使用完整 VPN 隧道。完整 VPN 隧道可处理任何基于 TCP 的协议。您可以将完整 VPN 隧道与 Windows、Mac、iOS 和 Android 设备配合使用。
在完整 VPN 隧道模式下，Citrix ADC 无法查看 HTTPS 会话内部。

安全浏览

隧道连接到内部网络的连接可以使用无客户端 VPN 的变体，称为安全浏览。安全浏览是 Secure Web 首选 VPN 模式策略指定的默认配置。Citrix 建议对需要单点登录 (SSO) 的连接使用安全浏览。
在安全浏览模式下，Citrix ADC 将 HTTPS 会话分解为两部分：
  • 从客户端到 Citrix ADC
  • 从 Citrix ADC 到后端资源服务器。
通过这种方式，Citrix ADC 可以完全查看客户端和服务器之间的所有事务，从而能够提供 SSO。
在安全浏览模式下使用 Secure Web 时，您还可以配置代理服务器。有关详细信息，请参阅博客 XenMobile WorxWeb Traffic Through Proxy Server in Secure Browse Mode。

带 PAC 的完整 VPN 隧道

您可以将代理自动配置 (PAC) 文件与 iOS 和 Android 设备上的 Secure Web 的完整 VPN 隧道部署配合使用。XenMobile 支持 Citrix ADC 提供的代理身份验证。PAC 文件包含定义 Web 浏览器如何选择代理以访问给定 URL 的规则。PAC 文件规则可以指定内部和外部站点的处理方式。Secure Web 解析 PAC 文件规则并将代理服务器信息发送到 Citrix Gateway。Citrix Gateway 不知道 PAC 文件或代理服务器。
对于 HTTPS 网站的身份验证：Secure Web MDX 策略启用 Web 密码缓存使 Secure Web 能够通过 MDX 对代理服务器进行身份验证并提供 SSO。

Citrix ADC 拆分隧道

在规划 SSO 和代理配置时，您还必须决定是否使用 Citrix ADC 拆分隧道。Citrix 建议仅在需要时使用 Citrix ADC 拆分隧道。本节高级概述了拆分隧道的工作原理：Citrix ADC 根据其路由表确定流量路径。当 Citrix ADC 拆分隧道开启时，Secure Hub 会区分内部（受保护）网络流量和 Internet 流量。Secure Hub 根据 DNS 后缀和 Intranet 应用程序做出该决定。然后，Secure Hub 仅通过 VPN 隧道传输内部网络流量。当 Citrix ADC 拆分隧道关闭时，所有流量都通过 VPN 隧道。
  • 如果您出于安全考虑更倾向于监控所有流量，请禁用 Citrix ADC 分流。因此，所有流量都将通过 VPN 隧道。
  • 如果您将完整 VPN 隧道与 PAC 结合使用，则必须禁用 Citrix Gateway 分流。如果分流已启用并且您配置了 PAC 文件，则 PAC 文件规则将覆盖 Citrix ADC 分流规则。在流量策略中配置的代理服务器不会覆盖 Citrix ADC 分流规则。
默认情况下，Secure Web 的网络访问策略设置为隧道连接到内部网络。通过此配置，MDX 应用程序将使用 Citrix ADC 分流设置。某些其他移动生产力应用程序的网络访问策略默认值有所不同。
Citrix Gateway 还具有微 VPN 反向分流模式。此配置支持 IP 地址排除列表，这些地址不会通过隧道连接到 Citrix ADC。相反，这些地址将通过设备互联网连接发送。有关反向分流的更多信息，请参阅 Citrix Gateway 文档。
XenMobile 包含一个反向分流排除列表。为防止某些网站通过 Citrix Gateway 进行隧道连接：添加一个逗号分隔的完全限定域名 (FQDN) 或 DNS 后缀列表，这些域名或后缀将改用 LAN 连接。此列表仅适用于配置了反向分流的 Citrix Gateway 的安全浏览模式。