Konfigurieren von Split-Tunneling
Sie können Split-Tunneling aktivieren, um zu verhindern, dass Citrix Secure Access Agent unnötigen Netzwerkverkehr an Citrix Gateway sendet.
Wenn Sie das Split-Tunneling nicht aktivieren, erfasst Citrix Secure Access Agent den gesamten Netzwerkverkehr, der von einem Benutzergerät stammt, und sendet den Datenverkehr durch den VPN-Tunnel an Citrix Gateway.
Wenn Sie das Split-Tunneling aktivieren, sendet Citrix Secure Access Agent nur Datenverkehr, der für Netzwerke bestimmt ist, die von Citrix Gateway geschützt sind, über den VPN Citrix Secure Access Agent sendet keinen Netzwerkverkehr, der für ungeschützte Netzwerke bestimmt ist, an Citrix Gateway.
Wenn Citrix Secure Access Agent gestartet wird, erhält er die Liste der Intranetanwendungen von Citrix Gateway. Citrix Secure Access Agent untersucht alle Pakete, die vom Benutzergerät im Netzwerk übertragen werden, und vergleicht die Adressen innerhalb der Pakete mit der Liste der Intranetanwendungen. Wenn sich die Zieladresse im Paket in einer der Intranetanwendungen befindet, sendet Citrix Secure Access Agent das Paket durch den VPN-Tunnel an Citrix Gateway. Wenn sich die Zieladresse nicht in einer definierten Intranet-Anwendung befindet, wird das Paket nicht verschlüsselt und das Benutzergerät leitet das Paket entsprechend weiter. Wenn Sie Split-Tunneling aktivieren, definieren Intranet-Anwendungen den abgefangenen Netzwerkverkehr.
Hinweis:
Wenn Benutzer mithilfe der Citrix Workspace-App eine Verbindung zu veröffentlichten Anwendungen in einer Serverfarm herstellen, müssen Sie kein Split-Tunneling konfigurieren.
Citrix Gateway unterstützt auch Reverse-Split-Tunneling, das den Netzwerkverkehr definiert, den Citrix Gateway nicht abfängt. Wenn Sie Split-Tunneling auf Rückwärtsgang einstellen, definieren Intranetanwendungen den Netzwerkverkehr, den Citrix Gateway nicht abfängt. Wenn Sie Reverse-Split-Tunneling aktivieren, umgeht der gesamte Netzwerkverkehr, der an interne IP-Adressen gerichtet ist, den VPN-Tunnel, während anderer Datenverkehr über Citrix Gateway fließt. Reverse-Split-Tunneling kann verwendet werden, um den gesamten nicht lokalen LAN-Verkehr zu protokollieren. Wenn Benutzer beispielsweise über ein drahtloses Heimnetzwerk verfügen und mit Citrix Secure Access Agent angemeldet sind, fängt Citrix Gateway den Netzwerkverkehr nicht ab, der für einen Drucker oder ein anderes Gerät innerhalb des drahtlosen Netzwerks bestimmt ist.
Weitere Informationen zu Intranet-Anwendungen finden Sie unter Configuring Client Interception.
Sie konfigurieren Split-Tunneling als Teil der Sitzungsrichtlinie.
So konfigurieren Sie Split-Tunneling
- Erweitern Sie im Konfigurationsdienstprogramm auf der Registerkarte Konfiguration im Navigationsbereich Citrix Gateway-Richtlinien, und klicken Sie dann auf Sitzung.
- Wählen Sie im Detailbereich auf der Registerkarte Profile ein Profil aus und klicken Sie dann auf Öffnen.
- Wählen Sie auf der Registerkarte Client Experience neben Split Tunneldie Option Global Overrideaus, wählen Sie eine Option aus und klicken Sie dann zweimal auf OK .
Konfigurieren von Split-Tunneling und Autorisierung
Bei der Planung Ihrer Citrix Gateway-Bereitstellung ist es wichtig, Split-Tunneling sowie die Standard-Autorisierungsaktion und Autorisierungsrichtlinien in Betracht zu ziehen.
Beispielsweise haben Sie eine Autorisierungsrichtlinie, die den Zugriff auf eine Netzwerkressource ermöglicht. Sie haben Split-Tunneling auf ON eingestellt und konfigurieren Intranet-Anwendungen nicht so, dass Netzwerkverkehr über Citrix Gateway gesendet wird. Wenn Citrix Gateway über diese Art von Konfiguration verfügt, ist der Zugriff auf die Ressource zulässig, Benutzer können jedoch nicht auf die Ressource zugreifen.
Wenn die Autorisierungsrichtlinie den Zugriff auf eine Netzwerkressource verweigert, haben Sie das Split-Tunneling auf ON eingestellt, und Intranetanwendungen sind so konfiguriert, dass sie den Netzwerkverkehr über Citrix Gateway weiterleiten. Citrix Secure Access Agent sendet Datenverkehr an Citrix Gateway, der Zugriff auf die Ressource wird jedoch verweigert.