Ruta de datos híbrida para el servicio Secure Private Access

Last published : Nov 04, 2026
La ruta de datos híbrida para el servicio Secure Private Access aprovecha tanto las infraestructuras locales como las de la nube para proporcionar acceso seguro a las aplicaciones. Las organizaciones pueden usar la ruta de datos híbrida para enrutar todo el tráfico de datos a través de un NetScaler Gateway local. Esto garantiza que los datos confidenciales permanezcan dentro de la red de la empresa. Aunque el tráfico de datos se enruta a través del NetScaler Gateway local, Citrix Cloud™ aún se puede usar para supervisar y administrar las aplicaciones y los usuarios.
Related information
Funciones avanzadas de Secure Private Access

Ventajas clave de usar la ruta de datos híbrida

A continuación se presentan algunas de las ventajas clave de usar la ruta de datos híbrida:
  • Alcance extendido con gateway local:
    • Utilice un NetScaler® Gateway local para proporcionar acceso a aplicaciones locales en áreas donde un PoP de la nube está distante.
    • Garantice un rendimiento constante evitando enrutar el tráfico a través de PoP de la nube distantes.
  • Seguridad y control granulares:
    • Implemente un enrutamiento selectivo para dirigir aplicaciones confidenciales a través de rutas seguras y locales, y enrutar aplicaciones menos críticas a través de la nube.
    • Habilite el enrutamiento personalizado para las aplicaciones a fin de cumplir con los requisitos de seguridad de datos y cumplimiento según la sensibilidad de los datos de la aplicación
  • Conectividad directa para una experiencia de usuario mejorada:
    • Establezca conexiones directas entre usuarios remotos y las aplicaciones requeridas, evitando el PoP de la nube.

Cómo funciona la ruta de datos híbrida

La siguiente figura muestra el flujo de trabajo de la ruta de datos híbrida.
Híbrido verdadero
La siguiente lista explica el flujo de trabajo implicado en la ruta de datos híbrida:
  1. Un usuario inicia sesión en el cliente Citrix Secure Access™.
  2. Después de una autenticación correcta, se establece una sesión.
  3. El usuario final intenta iniciar una aplicación.
  4. Se evalúan las directivas de acceso asociadas a la aplicación y se inicia la aplicación.
    • Si la aplicación está configurada para enrutarse a través del servicio Secure Private Access, la solicitud se envía al Cloud Connector y, a continuación, se inicia la aplicación específica.
    • Si la aplicación está configurada para enrutarse a través de NetScaler Gateway local, la solicitud se envía a NetScaler Gateway local y se inicia la aplicación específica.

Clientes compatibles

La ruta de datos híbrida es compatible con los siguientes clientes de Citrix Secure Access:
  • Windows - 25.1.1.17 y posteriores
  • macOS - 25.02.1 y posteriores

Compilaciones de NetScaler Gateway compatibles

La ruta de datos híbrida es compatible a partir de la versión 14.1 compilación 47.46 de NetScaler Gateway.

Requisitos de conectividad

Las siguientes secciones proporcionan más información sobre los requisitos de conectividad.

Lista de URLs permitidas para conexiones salientes

Las siguientes URL deben permitirse para las conexiones salientes desde NetScaler Gateway:
  • https://trust.citrixnetworkapi.net: Para el registro de la puerta de enlace con Citrix Cloud.
  • https://trust.citrixworkspacesapi.net: Para el registro de la puerta de enlace con Citrix Cloud.
  • https://policy.netscalergateway.net: Para autorizar las solicitudes de inicio de aplicaciones a través de la puerta de enlace.
  • https://cacerts.digicert.com: Para la validación del certificado del motor del servicio de directivas.

Configurar la ruta de datos híbrida para las aplicaciones de Secure Private Access

Los siguientes pasos de alto nivel están implicados en la configuración de la ruta de datos híbrida:
  1. Conectarse a una puerta de enlace para establecer una conexión
  2. Registrar NetScaler Gateway con Citrix Cloud
  3. Habilitar el enrutamiento del tráfico de datos a través de NetScaler Gateway local

Conectarse a una puerta de enlace para establecer una conexión

Para establecer una conexión con los recursos de Secure Private Access en una ubicación de recursos específica, primero debe conectarse a una puerta de enlace. Citrix Cloud le permite establecer una conexión con los recursos de DaaS y Secure Private Access en una ubicación de recursos específica. El tipo de puerta de enlace que seleccione determina los servicios a los que puede acceder. Para una mayor flexibilidad y para optimizar la utilización de los recursos, puede añadir una puerta de enlace DaaS y una puerta de enlace Secure Private Access dentro de la misma ubicación de recursos.
Conectarse a la puerta de enlace
  • Puerta de enlace para DaaS: La puerta de enlace administrada por Citrix sirve como punto de acceso externo para las aplicaciones y escritorios virtuales alojados en el entorno de Citrix DaaS™. Esta puerta de enlace actúa como un proxy seguro, mediando y gestionando las conexiones HDX entre los clientes (dispositivos de usuario) y los agentes de escritorio virtual (VDA) que residen en Citrix Cloud.
    Puede elegir cómo desea permitir el acceso a aplicaciones y escritorios virtuales en función de los diferentes requisitos empresariales.
  • Gateway para Secure Private Access: El gateway para Secure Private Access garantiza que las organizaciones mantengan el control sobre los datos confidenciales al enrutar todo el tráfico de datos a través de un NetScaler Gateway local, asegurando que permanezca dentro del perímetro de la red de la empresa.
    Mientras que el NetScaler Gateway local gestiona el tráfico de datos, Citrix Cloud se puede utilizar para capacidades de administración y supervisión centralizadas, lo que permite a los administradores supervisar y gestionar aplicaciones y usuarios sin problemas.
Realice los siguientes pasos para conectarse a un gateway:
  1. Inicie sesión en Citrix Cloud.
  2. Seleccione Ubicaciones de recursos > Información general y, a continuación, haga clic en Gateway.
  3. En Elegir tipo de Gateway, seleccione Gateway para Secure Private Access.
  4. Registre su gateway en Citrix Cloud. Para obtener más información, consulte Registrar su NetScaler Gateway en Citrix Cloud.

Registre su NetScaler Gateway en Citrix Cloud

Primero debe seleccionar el gateway para Secure Private Access y, a continuación, registrar el NetScaler Gateway local en Citrix Cloud. Este registro establece una conexión segura entre su NetScaler Gateway local y el entorno de Citrix Cloud para el servicio Secure Private Access.
Requisitos previos:
Asegúrese de que las siguientes configuraciones estén completas para la ejecución correcta del script de registro:
  • Se debe configurar una IP de subred (SNIP) en NetScaler.
  • Se debe configurar un servidor de nombres DNS, si aún no está presente.
  • Se requiere una dirección IP designada para el nuevo servidor virtual VPN.
  • Debe especificarse el nombre de clave del certificado SSL para vincularlo al nuevo servidor virtual VPN. Este nombre de clave del certificado SSL debe agregarse a NetScaler antes de la ejecución del script.
Realice los siguientes pasos para registrar su gateway con Citrix Cloud:
  1. Inicie sesión en Citrix Cloud.
  2. Seleccione Ubicaciones de recursos > Información general y, a continuación, haga clic en Gateway.
  3. En el tipo Elegir Gateway, seleccione Gateway para Secure Private Access.
Registrar gateway
  1. Introduzca el FQDN del gateway para registrarlo con Citrix Cloud.
  2. Haga clic en Generar metadatos. También puede regenerar los metadatos haciendo clic en Regenerar metadatos.
    • Copie los metadatos en un portapapeles.
    • Establezca una conexión de shell seguro (SSH) con el NetScaler Gateway ubicado en el entorno local. Esta conexión le permite ejecutar los comandos y scripts de forma remota en el dispositivo NetScaler.
    • Después de conectarse correctamente al NetScaler Gateway, ejecute el siguiente comando:
      python3 /var/spa/scripts/spa_registration.py <copied metadata>
    • Sustituya <copied metadata> por los metadatos reales que copió anteriormente.
      El script genera un código de registro de 8 dígitos. Este código es fundamental para el proceso de registro.
  3. Introduzca el código de 8 dígitos en la sección Registrar con Citrix Cloud.
  4. Haga clic en Validar.
    Aparece un mensaje de advertencia si el código no es válido. Si la validación es correcta, aparece el botón Registrar.
  5. Haga clic en Registrar.
  6. Vuelva a la ventana de ejecución del script. El sistema debe pasar al siguiente paso y solicitarle los siguientes detalles para completar la configuración.
    • Una dirección IP designada para el servidor virtual VPN.
    • El nombre de la clave del certificado SSL que se asociará con el servidor virtual VPN.
Ahora puede configurar el enrutamiento de aplicaciones a través de NetScaler local.

Habilitar el enrutamiento del tráfico de datos a través de NetScaler Gateway local

Realice los siguientes pasos para habilitar el enrutamiento del tráfico de datos a través de NetScaler Gateway local.
  1. Configure la aplicación. Para obtener más información, consulte los siguientes temas:
    • Compatibilidad con aplicaciones web empresariales
    • Acceso sin agente a aplicaciones web empresariales
    • Compatibilidad con aplicaciones de software como servicio
    • Compatibilidad con aplicaciones cliente-servidor
  2. En la sección Conectividad de aplicaciones, se definen las preferencias de enrutamiento para los dominios de aplicación, especificando si el tráfico debe enrutarse externamente o internamente a través de Citrix Connector™ Appliance o a través de NetScaler Gateway local.
    Configurar enrutamiento
  3. En Tipo de enrutamiento, seleccione Interno a través de NetScaler Gateway. Esto garantiza que el tráfico de datos se enrute a través de NetScaler Gateway local. También puede actualizar el tipo de enrutamiento a Interno a través de NetScaler Gateway para los dominios relacionados.
    • Haga clic en el icono de edición en la columna Acciones de la tabla Dominios relacionados.
    • En Tipo de enrutamiento, seleccione Interno a través de NetScaler Gateway.
    • Haga clic en Guardar.

Modificar los detalles de enrutamiento desde las directivas de acceso

Puede anular el comportamiento de enrutamiento para que varíe en función de un contexto específico. Estos contextos pueden incluir factores como grupos de usuarios, ubicación geográfica, plataforma y otros criterios relevantes. Al modificar el comportamiento de enrutamiento en función del contexto, puede proporcionar una experiencia de usuario optimizada.
Realice los siguientes pasos para modificar el enrutamiento del tráfico de datos a través de NetScaler Gateway local desde la directiva de acceso.
  1. Cree o edite una directiva de acceso. Para obtener más información, consulte Crear directivas de acceso.
    Configurar el enrutamiento desde las directivas
  2. En la página Paso 3: Acción, active el conmutador Excepciones de enrutamiento. El conmutador Excepciones de enrutamiento le permite editar las ubicaciones de los recursos y la información de enrutamiento para los dominios de las aplicaciones agregadas en la directiva de acceso.
  3. Haga clic en el icono de edición junto al dominio para el que quiere modificar el tipo de enrutamiento.
  4. En Tipo de enrutamiento, seleccione Interno a través de NetScaler Gateway.
  5. Haga clic en Guardar.

Limitaciones

  • Tipos de implementación de NetScaler Gateway compatibles: la ruta de datos híbrida actualmente solo es compatible con entornos con una configuración de alta disponibilidad.
  • Mecanismo de reserva: en la versión actual, no existe un mecanismo de conmutación por error o de reserva que redirija automáticamente el tráfico a la infraestructura de la nube en caso de que el gateway local experimente una interrupción o deje de estar disponible.
  • Las siguientes funciones no son compatibles con la ruta de datos híbrida en la versión actual:
    • Detección de aplicaciones
    • Modelado de políticas
    • Directivas de sesión
    • Observabilidad
  • La carpeta /var/spa/scripts/ se crea al ejecutar el script installns para instalar una compilación de NetScaler. Esta carpeta no está presente en las instancias de NetScaler VPX recién implementadas y debe crearse durante el proceso de instalación. Para obtener más información, consulte los siguientes temas:

Problema con el script de registro de Secure Private Access

El script de registro de Secure Private Access no se ejecuta directamente en una instancia VPX recién implementada en Azure debido a un problema de configuración con algunos comandos integrados. Para resolver este problema, siga estos pasos:
  • Aprovisione una nueva instancia VPX en Azure.
  • No agregue ninguna configuración nueva.
  • Establezca una nueva contraseña para el usuario nsroot mediante el comando set system user nsroot <your-password>. Este paso es importante, ya que el usuario personalizado creado durante el aprovisionamiento se elimina después de ejecutar el comando clear config. Puede acceder a NetScaler mediante nsroot y esta nueva contraseña.
  • Guarde la configuración mediante el comando save config.
  • Compruebe la salida de show cache policylabel. Debe estar vacía.
  • Ejecute el comando clear config basic y escriba Y.
  • Compruebe de nuevo la salida de show cache policylabel. Debe mostrar _reqBuiltinDefaults como etiqueta.
    show cache policylabel

    Label Name: _reqBuiltinDefaults
    Evaluates: REQ
    Number of bound policies: 3
    Number of times invoked: 02)  Label Name: _resBuiltinDefaults
    Evaluates: RES
    Number of bound policies: 8
    Number of times invoked: 03)  Label Name: _httpquicReqBuiltinDefaults
    Evaluates: HTTPQUIC_REQ
    Number of bound policies: 3
    Number of times invoked: 04)  Label Name: _httpquicResBuiltinDefaults
    Evaluates: HTTPQUIC_RES
    Number of bound policies: 8
    Number of times invoked: 0Warning: Feature(s) not enabled [IC]
  • Si no ve _reqBuiltinDefaults en la salida del comando, póngase en contacto con el soporte de Citrix.
  • Configure el SNIP, la clave de certificado SSL y el servidor de nombres DNS.
  • Guarde la configuración mediante el comando save config.
  • Ejecute de nuevo el script de registro de Secure Private Access.