NetScaler Gateway konfigurieren

Last published : Oct 24, 2026
Wichtig:
Wir empfehlen Ihnen, NetScaler-Snapshots zu erstellen oder die NetScaler-Konfiguration zu speichern, bevor Sie diese Änderungen anwenden.
  1. Laden Sie das Skript von <https://www.citrix.com/downloads/citrix-early-access-release/> herunter.
    Um ein neues NetScaler Gateway zu erstellen, verwenden Sie ns_gateway_secure_access.sh. Um ein vorhandenes NetScaler Gateway zu aktualisieren, verwenden Sie ns_gateway_secure_access_update.sh.
  2. Laden Sie diese Skripte auf die NetScaler-Maschine hoch. Sie können die WinSCP-App oder den SCP-Befehl verwenden. Zum Beispiel: *scp ns_gateway_secure_access.sh nsroot@nsalfa.fabrikam.local:/var/tmp*.
    Hinweis:
    • Es wird empfohlen, den NetScaler-Ordner /var/tmp zum Speichern temporärer Daten zu verwenden.
    • Stellen Sie sicher, dass die Datei mit LF-Zeilenenden gespeichert wird. FreeBSD unterstützt CRLF nicht.
    • Wenn der Fehler -bash: /var/tmp/ns_gateway_secure_access.sh: /bin/sh\^M: bad interpreter: No such file or directory angezeigt wird, bedeutet dies, dass die Zeilenenden falsch sind. Sie können das Skript mit einem beliebigen Rich-Text-Editor, z. B. Notepad++, konvertieren.
  3. Stellen Sie eine SSH-Verbindung zu NetScaler her und wechseln Sie zur Shell (geben Sie 'shell' in der NetScaler CLI ein).
  4. Machen Sie das hochgeladene Skript ausführbar. Verwenden Sie dazu den Befehl chmod.
    chmod +x /var/tmp/ns_gateway_secure_access.sh
  5. Führen Sie das hochgeladene Skript in der NetScaler-Shell aus.
    NetScaler-Konfiguration 1
  6. Geben Sie die erforderlichen Parameter ein. Eine Liste der Parameter finden Sie unter Voraussetzungen.
    Für Authentifizierungsprofil und SSL-Zertifikat müssen Sie Namen auf NetScaler angeben.
    Eine neue Datei mit mehreren NetScaler-Befehlen (Standard ist var/tmp/ns_gateway_secure_access) wird generiert.
    NetScaler-Konfiguration 2
  7. Wechseln Sie zur NetScaler CLI und führen Sie die resultierenden NetScaler-Befehle aus der neuen Datei mit dem Batch-Befehl aus. Zum Beispiel, batch -fileName /var/tmp/ns_gateway_secure_access -outfile /var/tmp/ns_gateway_secure_access_output
    NetScaler führt die Befehle aus der Datei nacheinander aus. Wenn ein Befehl fehlschlägt, wird mit dem nächsten Befehl fortgefahren.
    Ein Befehl kann fehlschlagen, wenn eine Ressource bereits existiert oder einer der in Schritt 6 eingegebenen Parameter falsch ist.
  8. Stellen Sie sicher, dass alle Befehle erfolgreich abgeschlossen wurden.
Hinweis:
Wenn ein Fehler auftritt, führt NetScaler die verbleibenden Befehle weiterhin aus und erstellt/aktualisiert/bindet Ressourcen teilweise. Wenn Sie daher einen unerwarteten Fehler aufgrund eines falschen Parameters feststellen, wird empfohlen, die Konfiguration von Grund auf neu durchzuführen.

Secure Private Access auf einem NetScaler Gateway mit bestehender Konfiguration konfigurieren

Sie können die Skripte auch auf einem vorhandenen NetScaler Gateway verwenden, um Secure Private Access zu unterstützen. Das Skript aktualisiert jedoch Folgendes nicht:
  • Vorhandener NetScaler Gateway virtueller Server
  • Vorhandene Sitzungsaktionen und Sitzungsrichtlinien, die an NetScaler Gateway gebunden sind
Stellen Sie sicher, dass Sie jeden Befehl vor der Ausführung überprüfen und Sicherungen der Gateway-Konfiguration erstellen.

Einstellungen auf dem NetScaler Gateway Virtual Server

Wenn Sie den vorhandenen NetScaler Gateway Virtual Server hinzufügen oder aktualisieren, stellen Sie sicher, dass die folgenden Parameter auf die definierten Werte eingestellt sind.
tcpProfileName: nstcp_default_XA_XD_profile deploymentType: ICA_STOREFRONT icaOnly: OFF
Beispiele:
So fügen Sie einen virtuellen Server hinzu:
`add vpn vserver _SecureAccess_Gateway SSL 333.333.333.333 443 -Listenpolicy NONE -tcpProfileName nstcp_default_XA_XD_profile -deploymentType ICA_STOREFRONT -vserverFqdn gateway.mydomain.com -authnProfile auth_prof_name -icaOnly OFF`
So aktualisieren Sie einen virtuellen Server:
`set vpn vserver  _SecureAccess_Gateway -icaOnly OFF`
Details zu den Parametern des virtuellen Servers finden Sie unter vpn-sessionAction.

NetScaler Gateway-Sitzungsaktionen

Die Sitzungsaktion ist an einen Gateway Virtual Server mit Sitzungsrichtlinien gebunden. Wenn Sie eine Sitzungsaktion erstellen, stellen Sie sicher, dass die folgenden Parameter auf die definierten Werte eingestellt sind.
  • transparentInterception: OFF
  • SSO: ON
  • ssoCredential: PRIMARY
  • useMIP: NS
  • useIIP: OFF
  • icaProxy: OFF
  • wihome: "https://storefront.mydomain.com/Citrix/MyStoreWeb" – durch echte Store-URL ersetzen
  • ClientChoices: AUS
  • ntDomain: mydomain.com – für SSO verwendet
  • defaultAuthorizationAction: ZULASSEN
  • authorizationGroup: SecureAccessGroup (Stellen Sie sicher, dass diese Gruppe erstellt wurde; sie wird verwendet, um spezifische Autorisierungsrichtlinien für Secure Private Access zu binden)
  • clientlessVpnMode: EIN
  • clientlessModeUrlEncoding: TRANSPARENT
  • SecureBrowse: AKTIVIERT
  • Storefronturl: "https://storefront.mydomain.com"
  • sfGatewayAuthType: Domäne
Beispiele:
So fügen Sie eine Sitzungsaktion hinzu:
add vpn sessionAction AC_OS_SecureAccess_Gateway -transparentInterception OFF -SSO ON -ssoCredential PRIMARY -useMIP NS -useIIP OFF -icaProxy OFF -wihome "https://storefront.mydomain.com/Citrix/MyStoreWeb" -ClientChoices OFF -ntDomain mydomain.com -defaultAuthorizationAction ALLOW -authorizationGroup SecureAccessGroup -clientlessVpnMode ON -clientlessModeUrlEncoding TRANSPARENT -SecureBrowse ENABLED -storefronturl "https://storefront.mydomain.com" -sfGatewayAuthType domain
So aktualisieren Sie eine Sitzungsaktion:
set vpn sessionAction AC_OS_SecureAccess_Gateway -transparentInterception OFF -SSO ON
Details zu Sitzungsaktionsparametern finden Sie unter <https://developer-docs.netscaler.com/de-de/adc-command-reference-int/13-1/vpn/vpn-sessionaction>.

Kompatibilität mit den ICA®-Apps

NetScaler Gateway, das zur Unterstützung des Secure Private Access-Plug-Ins erstellt oder aktualisiert wurde, kann auch zum Auflisten und Starten von ICA-Apps verwendet werden. In diesem Fall müssen Sie die Secure Ticket Authority (STA) konfigurieren und an das NetScaler Gateway binden. Hinweis: Der STA-Server ist normalerweise Teil einer Citrix Virtual Apps and Desktops™ DDC-Bereitstellung.
Weitere Informationen finden Sie in den folgenden Themen:

Unterstützung für Smart Access-Tags

In den folgenden Versionen sendet NetScaler Gateway die Tags automatisch. Sie müssen die Gateway-Rückrufadresse nicht verwenden, um die Smart Access-Tags abzurufen.
  • 13.1.48.47 und höher
  • 14.1–4.42 und höher
Smart Access-Tags werden als Header in der Secure Private Access-Plug-In-Anforderung hinzugefügt.
Verwenden Sie den Schalter ns_vpn_enable_spa_onprem oder ns_vpn_disable_spa_onprem, um diese Funktion in diesen NetScaler-Versionen zu aktivieren/deaktivieren.
  • Sie können mit dem Befehl (FreeBSD-Shell) umschalten:
    nsapimgr_wr.sh -ys call=ns_vpn_enable_spa_onprem
  • Aktivieren Sie den SecureBrowse-Clientmodus für die HTTP-Callout-Konfiguration, indem Sie den folgenden Befehl (FreeBSD-Shell) ausführen.
    nsapimgr_wr.sh -ys call=toggle_vpn_enable_securebrowse_client_mode
  • Zum Deaktivieren führen Sie den gleichen Befehl erneut aus.
  • Um zu überprüfen, ob die Umschaltfunktion aktiviert oder deaktiviert ist, führen Sie den Befehl nsconmsg aus.
  • Informationen zum Konfigurieren von Smart Access-Tags auf NetScaler Gateway finden Sie unter Konfigurieren von benutzerdefinierten Tags (SmartAccess-Tags) auf NetScaler Gateway.

Bekannte Einschränkungen

  • Ein vorhandenes NetScaler Gateway kann mit einem Skript aktualisiert werden, aber es gibt eine unendliche Anzahl möglicher NetScaler-Konfigurationen, die nicht von einem einzigen Skript abgedeckt werden können.
  • Verwenden Sie keinen ICA-Proxy auf NetScaler Gateway. Diese Funktion ist deaktiviert, wenn NetScaler Gateway konfiguriert ist.
  • Wenn Sie NetScaler in der Cloud verwenden, müssen Sie einige Änderungen im Netzwerk vornehmen. Erlauben Sie beispielsweise die Kommunikation zwischen NetScaler und anderen Komponenten auf bestimmten Ports.
  • Wenn Sie SSO auf NetScaler Gateway aktivieren, stellen Sie sicher, dass NetScaler mit StoreFront™ über eine private IP-Adresse kommuniziert. Möglicherweise müssen Sie einen neuen StoreFront-DNS-Eintrag mit einer privaten StoreFront-IP-Adresse zu NetScaler hinzufügen.

Öffentliches Gateway-Zertifikat hochladen

Um ein öffentliches Gateway-Zertifikat in die Secure Private Access-Datenbank hochzuladen, führen Sie die folgenden Schritte aus:
  1. Öffnen Sie PowerShell oder das Eingabeaufforderungsfenster mit Administratorrechten.
  2. Wechseln Sie das Verzeichnis in den Ordner Admin\AdminConfigTool unter dem Installationsordner von Secure Private Access (z. B. cd "C:\Program Files\Citrix\Citrix Access Security\Admin\AdminConfigTool").
  3. Führen Sie den folgenden Befehl aus:
    \AdminConfigTool.exe /UPLOAD_PUBLIC_GATEWAY_CERTIFICATE <PublicGatewayUrl> <PublicGatewayCertificatePath>