Configurer NetScaler Gateway

Dernière publication : Oct 24, 2026
Important :
Nous vous recommandons de créer des instantanés NetScaler ou d'enregistrer la configuration NetScaler avant d'appliquer ces modifications.
  1. Téléchargez le script depuis <https://www.citrix.com/downloads/citrix-secure-private-access/Shell-Script/Shell-Script-for-Gateway-Configuration.html>.
    Pour créer un nouveau NetScaler Gateway, utilisez ns_gateway_secure_access.sh. Pour mettre à jour un NetScaler Gateway existant, utilisez ns_gateway_secure_access_update.sh.
  2. Téléchargez ces scripts sur la machine NetScaler. Vous pouvez utiliser l'application WinSCP ou la commande SCP. Par exemple, *scp ns_gateway_secure_access.sh nsroot@nsalfa.fabrikam.local:/var/tmp*.
    Remarque :
    • Il est recommandé d'utiliser le dossier NetScaler /var/tmp pour stocker les données temporaires.
    • Assurez-vous que le fichier est enregistré avec des fins de ligne LF. FreeBSD ne prend pas en charge CRLF.
    • Si vous voyez l'erreur -bash: /var/tmp/ns_gateway_secure_access.sh: /bin/sh\^M: bad interpreter: No such file or directory, cela signifie que les fins de ligne sont incorrectes. Vous pouvez convertir le script à l'aide de n'importe quel éditeur de texte enrichi, tel que Notepad++.
  3. Connectez-vous en SSH à NetScaler et passez au shell (tapez 'shell' sur l'interface de ligne de commande NetScaler).
  4. Rendez le script téléchargé exécutable. Utilisez la commande chmod pour ce faire.
    chmod +x /var/tmp/ns_gateway_secure_access.sh
  5. Exécutez le script téléchargé sur le shell NetScaler.
    Configuration NetScaler 1
  6. Saisissez les paramètres requis. Pour la liste des paramètres, consultez Prérequis.
    Pour le profil d'authentification et le certificat SSL, vous devez fournir des noms sur NetScaler.
    Un nouveau fichier contenant plusieurs commandes NetScaler (par défaut var/tmp/ns_gateway_secure_access) est généré.
    Configuration NetScaler 2
  7. Basculez vers l'interface de ligne de commande (CLI) de NetScaler et exécutez les commandes NetScaler résultantes du nouveau fichier avec la commande batch. Par exemple, batch -fileName /var/tmp/ns_gateway_secure_access -outfile /var/tmp/ns_gateway_secure_access_output
    NetScaler exécute les commandes du fichier une par une. Si une commande échoue, il passe à la commande suivante.
    Une commande peut échouer si une ressource existe déjà ou si l'un des paramètres saisis à l'étape 6 est incorrect.
  8. Assurez-vous que toutes les commandes sont exécutées avec succès.
Remarque :
En cas d'erreur, NetScaler exécute tout de même les commandes restantes et crée/met à jour/lie partiellement les ressources. Par conséquent, si vous rencontrez une erreur inattendue due à un paramètre incorrect, il est recommandé de refaire la configuration depuis le début.
Related information
Configurer les balises contextuelles

Configurer Secure Private Access sur une passerelle NetScaler avec une configuration existante

Vous pouvez également utiliser les scripts sur une passerelle NetScaler existante pour prendre en charge Secure Private Access. Cependant, le script ne met pas à jour les éléments suivants :
  • Serveur virtuel NetScaler Gateway existant
  • Actions de session et stratégies de session existantes liées à NetScaler Gateway
Assurez-vous de vérifier chaque commande avant l'exécution et de créer des sauvegardes de la configuration de la passerelle.

Paramètres sur le serveur virtuel NetScaler Gateway

Lorsque vous ajoutez ou mettez à jour le serveur virtuel NetScaler Gateway existant, assurez-vous que les paramètres suivants sont définis sur les valeurs spécifiées.
tcpProfileName: nstcp_default_XA_XD_profile deploymentType: ICA_STOREFRONT icaOnly: OFF
Exemples :
Pour ajouter un serveur virtuel :
`add vpn vserver _SecureAccess_Gateway SSL 333.333.333.333 443 -Listenpolicy NONE -tcpProfileName nstcp_default_XA_XD_profile -deploymentType ICA_STOREFRONT -vserverFqdn gateway.mydomain.com -authnProfile auth_prof_name -icaOnly OFF`
Pour mettre à jour un serveur virtuel :
`set vpn vserver  _SecureAccess_Gateway -icaOnly OFF`
Pour plus de détails sur les paramètres du serveur virtuel, consultez vpn-sessionAction.

Actions de session NetScaler Gateway

L'action de session est liée à un serveur virtuel de passerelle avec des stratégies de session. Lorsque vous créez une action de session, assurez-vous que les paramètres suivants sont définis sur les valeurs spécifiées.
  • transparentInterception: OFF
  • SSO: ON
  • ssoCredential: PRIMARY
  • useMIP: NS
  • useIIP: OFF
  • icaProxy: OFF
  • wihome: "https://storefront.mydomain.com/Citrix/MyStoreWeb" - remplacer par l'URL réelle du magasin
  • ClientChoices: DÉSACTIVÉ
  • ntDomain: mydomain.com - utilisé pour le SSO
  • defaultAuthorizationAction: AUTORISER
  • authorizationGroup: SecureAccessGroup (Assurez-vous que ce groupe est créé, il est utilisé pour lier les stratégies d'autorisation spécifiques à Secure Private Access)
  • clientlessVpnMode: ACTIVÉ
  • clientlessModeUrlEncoding: TRANSPARENT
  • SecureBrowse: ACTIVÉ
  • Storefronturl: "https://storefront.mydomain.com"
  • sfGatewayAuthType: domaine
Exemples :
Pour ajouter une action de session :
add vpn sessionAction AC_OS_SecureAccess_Gateway -transparentInterception OFF -SSO ON -ssoCredential PRIMARY -useMIP NS -useIIP OFF -icaProxy OFF -wihome "https://storefront.mydomain.com/Citrix/MyStoreWeb" -ClientChoices OFF -ntDomain mydomain.com -defaultAuthorizationAction ALLOW -authorizationGroup SecureAccessGroup -clientlessVpnMode ON -clientlessModeUrlEncoding TRANSPARENT -SecureBrowse ENABLED -storefronturl "https://storefront.mydomain.com" -sfGatewayAuthType domain
Pour mettre à jour une action de session :
set vpn sessionAction AC_OS_SecureAccess_Gateway -transparentInterception OFF -SSO ON
Pour plus de détails sur les paramètres d'action de session, consultez <https://developer-docs.netscaler.com/fr-fr/adc-command-reference-int/13-1/vpn/vpn-sessionaction>.

Compatibilité avec les applications ICA®

NetScaler Gateway créé ou mis à jour pour prendre en charge le plug-in Secure Private Access peut également être utilisé pour énumérer et lancer des applications ICA. Dans ce cas, vous devez configurer Secure Ticket Authority (STA) et le lier au NetScaler Gateway. Remarque : Le serveur STA fait généralement partie du déploiement DDC de Citrix Virtual Apps and Desktops™.
Pour plus de détails, consultez les rubriques suivantes :

Prise en charge des balises d'accès intelligent

Dans les versions suivantes, NetScaler Gateway envoie les balises automatiquement. Vous n'avez pas besoin d'utiliser l'adresse de rappel de la passerelle pour récupérer les balises d'accès intelligent.
  • 13.1.48.47 et versions ultérieures
  • 14.1–4.42 et versions ultérieures
Les balises d'accès intelligent sont ajoutées en tant qu'en-tête dans la requête du plug-in Secure Private Access.
Utilisez le commutateur ns_vpn_enable_spa_onprem ou ns_vpn_disable_spa_onprem pour activer/désactiver cette fonctionnalité sur ces versions de NetScaler.
  • Vous pouvez basculer avec la commande (shell FreeBSD) :
    nsapimgr_wr.sh -ys call=ns_vpn_enable_spa_onprem
  • Activez le mode client SecureBrowse pour la configuration d'appel HTTP en exécutant la commande suivante (shell FreeBSD).
    nsapimgr_wr.sh -ys call=toggle_vpn_enable_securebrowse_client_mode
  • Pour désactiver, exécutez la même commande à nouveau.
  • Pour vérifier si le commutateur est activé ou désactivé, exécutez la commande nsconmsg.
  • Pour configurer les balises d'accès intelligent sur NetScaler Gateway, consultez Configuration des balises personnalisées (balises SmartAccess) sur NetScaler Gateway.

Limitations connues

  • Les NetScaler Gateway existants peuvent être mis à jour avec un script, mais il peut y avoir un nombre infini de configurations NetScaler possibles qui ne peuvent pas être couvertes par un seul script.
  • N'utilisez pas le proxy ICA sur NetScaler Gateway. Cette fonctionnalité est désactivée lorsque NetScaler Gateway est configuré.
  • Si vous utilisez NetScaler déployé dans le cloud, vous devez apporter des modifications au réseau. Par exemple, autoriser les communications entre NetScaler et d'autres composants sur certains ports.
  • Si vous activez le SSO sur NetScaler Gateway, assurez-vous que NetScaler communique avec StoreFront™ à l'aide d'une adresse IP privée. Vous devrez peut-être ajouter un nouvel enregistrement DNS StoreFront à NetScaler avec une adresse IP privée StoreFront.

Charger le certificat de passerelle publique

Si la passerelle publique n'est pas accessible depuis la machine Secure Private Access, vous devez télécharger un certificat de passerelle publique vers la base de données Secure Private Access.
Effectuez les étapes suivantes pour télécharger un certificat de passerelle publique :
  1. Ouvrez PowerShell ou la fenêtre d'invite de commandes avec les privilèges d'administrateur.
  2. Changez le répertoire pour le dossier Admin\AdminConfigTool sous le dossier d'installation de Secure Private Access (par exemple, cd "C:\Program Files\Citrix\Citrix Access Security\Admin\AdminConfigTool")
  3. Exécutez la commande suivante :
    \AdminConfigTool.exe /UPLOAD_PUBLIC_GATEWAY_CERTIFICATE <PublicGatewayUrl> <PublicGatewayCertificatePath>