Configurar NetScaler Gateway

Last published : Oct 24, 2026
Importante:
Le recomendamos que cree instantáneas de NetScaler o que guarde la configuración de NetScaler antes de aplicar estos cambios.
  1. Descargue el script de <https://www.citrix.com/downloads/citrix-secure-private-access/Shell-Script/Shell-Script-for-Gateway-Configuration.html>.
    Para crear un nuevo NetScaler Gateway, utilice ns_gateway_secure_access.sh. Para actualizar un NetScaler Gateway existente, utilice ns_gateway_secure_access_update.sh.
  2. Cargue estos scripts en la máquina NetScaler. Puede utilizar la aplicación WinSCP o el comando SCP. Por ejemplo, *scp ns_gateway_secure_access.sh nsroot@nsalfa.fabrikam.local:/var/tmp*.
    Nota:
    • Se recomienda utilizar la carpeta /var/tmp de NetScaler para almacenar datos temporales.
    • Asegúrese de que el archivo se guarde con terminaciones de línea LF. FreeBSD no es compatible con CRLF.
    • Si ve el error -bash: /var/tmp/ns_gateway_secure_access.sh: /bin/sh\^M: bad interpreter: No such file or directory, significa que las terminaciones de línea son incorrectas. Puede convertir el script utilizando cualquier editor de texto enriquecido, como Notepad++.
  3. Conéctese a NetScaler por SSH y cambie a la shell (escriba 'shell' en la CLI de NetScaler).
  4. Haga que el script cargado sea ejecutable. Para ello, utilice el comando chmod.
    chmod +x /var/tmp/ns_gateway_secure_access.sh
  5. Ejecute el script cargado en la shell de NetScaler.
    Configuración de NetScaler 1
  6. Introduzca los parámetros requeridos. Para la lista de parámetros, consulte Requisitos previos.
    Para el perfil de autenticación y el certificado SSL, debe proporcionar nombres en NetScaler.
    Se genera un nuevo archivo con múltiples comandos de NetScaler (el predeterminado es var/tmp/ns_gateway_secure_access).
    Configuración de NetScaler 2
  7. Cambie a la CLI de NetScaler y ejecute los comandos de NetScaler resultantes del nuevo archivo con el comando por lotes. Por ejemplo, batch -fileName /var/tmp/ns_gateway_secure_access -outfile /var/tmp/ns_gateway_secure_access_output
    NetScaler ejecuta los comandos del archivo uno por uno. Si un comando falla, continúa con el siguiente comando.
    Un comando puede fallar si un recurso ya existe o si uno de los parámetros introducidos en el paso 6 es incorrecto.
  8. Asegúrese de que todos los comandos se completen correctamente.
Nota:
Si hay un error, NetScaler sigue ejecutando los comandos restantes y crea/actualiza/vincula recursos parcialmente. Por lo tanto, si ve un error inesperado debido a que uno de los parámetros es incorrecto, se recomienda rehacer la configuración desde el principio.
Related information
Configurar etiquetas contextuales

Configurar Secure Private Access en un NetScaler Gateway con configuración existente

También puede usar los scripts en un NetScaler Gateway existente para admitir Secure Private Access. Sin embargo, el script no actualiza lo siguiente:
  • Servidor virtual de NetScaler Gateway existente
  • Acciones de sesión y directivas de sesión existentes vinculadas a NetScaler Gateway
Asegúrese de revisar cada comando antes de la ejecución y cree copias de seguridad de la configuración del gateway.

Configuración en el servidor virtual de NetScaler Gateway

Cuando agregue o actualice el servidor virtual de NetScaler Gateway existente, asegúrese de que los siguientes parámetros estén configurados con los valores definidos.
tcpProfileName: nstcp_default_XA_XD_profile deploymentType: ICA_STOREFRONT icaOnly: OFF
Ejemplos:
Para agregar un servidor virtual:
`add vpn vserver _SecureAccess_Gateway SSL 333.333.333.333 443 -Listenpolicy NONE -tcpProfileName nstcp_default_XA_XD_profile -deploymentType ICA_STOREFRONT -vserverFqdn gateway.mydomain.com -authnProfile auth_prof_name -icaOnly OFF`
Para actualizar un servidor virtual:
`set vpn vserver  _SecureAccess_Gateway -icaOnly OFF`
Para obtener más información sobre los parámetros del servidor virtual, consulte vpn-sessionAction.

Acciones de sesión de NetScaler Gateway

La acción de sesión está vinculada a un servidor virtual de puerta de enlace con directivas de sesión. Al crear una acción de sesión, asegúrese de que los siguientes parámetros estén configurados con los valores definidos.
  • transparentInterception: OFF
  • SSO: ON
  • ssoCredential: PRIMARY
  • useMIP: NS
  • useIIP: OFF
  • icaProxy: OFF
  • wihome: "https://storefront.mydomain.com/Citrix/MyStoreWeb" - sustituir por la URL real de la tienda
  • ClientChoices: DESACTIVADO
  • ntDomain: mydomain.com - utilizado para SSO
  • defaultAuthorizationAction: PERMITIR
  • authorizationGroup: SecureAccessGroup (Asegúrese de que este grupo esté creado, se utiliza para vincular directivas de autorización específicas de Secure Private Access)
  • clientlessVpnMode: ACTIVADO
  • clientlessModeUrlEncoding: TRANSPARENTE
  • SecureBrowse: HABILITADO
  • Storefronturl: "https://storefront.mydomain.com"
  • sfGatewayAuthType: dominio
Ejemplos:
Para agregar una acción de sesión:
add vpn sessionAction AC_OS_SecureAccess_Gateway -transparentInterception OFF -SSO ON -ssoCredential PRIMARY -useMIP NS -useIIP OFF -icaProxy OFF -wihome "https://storefront.mydomain.com/Citrix/MyStoreWeb" -ClientChoices OFF -ntDomain mydomain.com -defaultAuthorizationAction ALLOW -authorizationGroup SecureAccessGroup -clientlessVpnMode ON -clientlessModeUrlEncoding TRANSPARENT -SecureBrowse ENABLED -storefronturl "https://storefront.mydomain.com" -sfGatewayAuthType domain
Para actualizar una acción de sesión:
set vpn sessionAction AC_OS_SecureAccess_Gateway -transparentInterception OFF -SSO ON
Para obtener detalles sobre los parámetros de acción de sesión, consulte <https://developer-docs.netscaler.com/es-es/adc-command-reference-int/13-1/vpn/vpn-sessionaction>.

Compatibilidad con las aplicaciones ICA®

NetScaler Gateway creado o actualizado para admitir el complemento Secure Private Access también se puede usar para enumerar e iniciar aplicaciones ICA. En este caso, debe configurar Secure Ticket Authority (STA) y vincularlo a NetScaler Gateway. Nota: El servidor STA suele formar parte de la implementación de DDC de Citrix Virtual Apps and Desktops™.
Para obtener más detalles, consulte los siguientes temas:

Compatibilidad con etiquetas de acceso inteligente

En las siguientes versiones, NetScaler Gateway envía las etiquetas automáticamente. No es necesario utilizar la dirección de devolución de llamada de la puerta de enlace para recuperar las etiquetas de acceso inteligente.
  • 13.1.48.47 y posteriores
  • 14.1–4.42 y posteriores
Las etiquetas de acceso inteligente se añaden como encabezado en la solicitud del complemento Secure Private Access.
Utilice el conmutador ns_vpn_enable_spa_onprem o ns_vpn_disable_spa_onprem para habilitar/deshabilitar esta función en estas versiones de NetScaler.
  • Puede alternar con el comando (shell de FreeBSD):
    nsapimgr_wr.sh -ys call=ns_vpn_enable_spa_onprem
  • Habilite el modo cliente SecureBrowse para la configuración de llamada HTTP ejecutando el siguiente comando (shell de FreeBSD).
    nsapimgr_wr.sh -ys call=toggle_vpn_enable_securebrowse_client_mode
  • Para deshabilitar, ejecute el mismo comando de nuevo.
  • Para verificar si el conmutador está activado o desactivado, ejecute el comando nsconmsg.
  • Para configurar etiquetas de acceso inteligente en NetScaler Gateway, consulte Configuración de etiquetas personalizadas (etiquetas SmartAccess) en NetScaler Gateway.

Limitaciones conocidas

  • NetScaler Gateway existente se puede actualizar con un script, pero puede haber un número infinito de posibles configuraciones de NetScaler que no pueden ser cubiertas por un solo script.
  • No utilice ICA Proxy en NetScaler Gateway. Esta función se deshabilita cuando se configura NetScaler Gateway.
  • Si utiliza NetScaler implementado en la nube, debe realizar algunos cambios en la red. Por ejemplo, permitir las comunicaciones entre NetScaler y otros componentes en ciertos puertos.
  • Si habilita SSO en NetScaler Gateway, asegúrese de que NetScaler se comunica con StoreFront™ utilizando una dirección IP privada. Es posible que tenga que agregar un nuevo registro DNS de StoreFront a NetScaler con una dirección IP privada de StoreFront.

Cargar certificado de puerta de enlace pública

Si la puerta de enlace pública no es accesible desde la máquina de Secure Private Access, debe cargar un certificado de puerta de enlace pública en la base de datos de Secure Private Access.
Realice los siguientes pasos para cargar un certificado de puerta de enlace pública:
  1. Abra PowerShell o la ventana del símbolo del sistema con privilegios de administrador.
  2. Cambie el directorio a la carpeta Admin\AdminConfigTool dentro de la carpeta de instalación de Secure Private Access (por ejemplo, cd "C:\Program Files\Citrix\Citrix Access Security\Admin\AdminConfigTool")
  3. Ejecute el siguiente comando:
    \AdminConfigTool.exe /UPLOAD_PUBLIC_GATEWAY_CERTIFICATE <PublicGatewayUrl> <PublicGatewayCertificatePath>