ネットスケーラー ゲートウェイ の設定

最終公開日 : Oct 24, 2026
重要:
これらの変更を適用する前に、NetScaler のスナップショットを作成するか、NetScaler の構成を保存することをお勧めします。
  1. <https://www.citrix.com/downloads/citrix-secure-private-access/Shell-Script/Shell-Script-for-Gateway-Configuration.html> からスクリプトをダウンロードします。
    新しいネットスケーラー ゲートウェイ を作成するには、ns_gateway_secure_access.sh を使用します。 既存のネットスケーラー ゲートウェイ を更新するには、ns_gateway_secure_access_update.sh を使用します。
  2. これらのスクリプトをNetScalerマシンにアップロードします。WinSCPアプリまたはSCPコマンドを使用できます。例: *scp ns_gateway_secure_access.sh nsroot@nsalfa.fabrikam.local:/var/tmp*。
    注:
    • 一時データを保存するには、NetScaler の /var/tmp フォルダーを使用することをお勧めします。
    • ファイルがLF改行で保存されていることを確認してください。FreeBSDはCRLFをサポートしていません。
    • エラー -bash: /var/tmp/ns_gateway_secure_access.sh: /bin/sh\^M: bad interpreter: No such file or directory が表示される場合、それは改行が正しくないことを意味します。Notepad++などのリッチテキストエディターを使用してスクリプトを変換できます。
  3. NetScaler に SSH で接続し、シェルに切り替えます (NetScaler CLI で「shell」と入力します)。
  4. アップロードしたスクリプトを実行可能にします。これには chmod コマンドを使用します。
    chmod +x /var/tmp/ns_gateway_secure_access.sh
  5. アップロードしたスクリプトをNetScalerシェルで実行します。
    ネットスケーラー構成 1
  6. 必要なパラメータを入力します。パラメータのリストについては、前提条件を参照してください。
    認証プロファイルとSSL証明書については、NetScalerで名前を指定する必要があります。
    複数のNetScalerコマンドを含む新しいファイル (デフォルトは var/tmp/ns_gateway_secure_access) が生成されます。
    ネットスケーラー構成 2
  7. NetScaler CLIに切り替えて、新しいファイルから生成されたNetScalerコマンドをバッチコマンドで実行します。例えば、 batch -fileName /var/tmp/ns_gateway_secure_access -outfile /var/tmp/ns_gateway_secure_access_output
    NetScalerはファイル内のコマンドを1つずつ実行します。コマンドが失敗した場合でも、次のコマンドに進みます。
    リソースが存在する場合、またはステップ6で入力されたパラメータのいずれかが正しくない場合、コマンドは失敗する可能性があります。
  8. すべてのコマンドが正常に完了したことを確認してください。
注:
エラーが発生した場合でも、NetScalerは残りのコマンドを実行し、リソースを部分的に作成/更新/バインドします。したがって、パラメータのいずれかが正しくないために予期しないエラーが発生した場合は、最初から構成をやり直すことをお勧めします。
Related information
コンテキストタグを設定する

既存の構成を持つNetScaler Gatewayでセキュアプライベートアクセスを構成する

既存のNetScaler Gatewayでスクリプトを使用してSecure Private Accessをサポートすることもできます。ただし、スクリプトは以下を更新しません。
  • 既存のネットスケーラー ゲートウェイ仮想サーバー
  • NetScaler Gatewayにバインドされている既存のセッションアクションとセッションポリシー
実行前に各コマンドを確認し、ゲートウェイ構成のバックアップを作成してください。

ネットスケーラー ゲートウェイ仮想サーバーの設定

既存のNetScaler Gateway仮想サーバーを追加または更新する際は、以下のパラメーターが定義された値に設定されていることを確認してください。
tcpProfileName: nstcp_default_XA_XD_profile deploymentType: ICA_STOREFRONT icaOnly: OFF
例を挙げます:
仮想サーバーを追加するには:
`add vpn vserver _SecureAccess_Gateway SSL 333.333.333.333 443 -Listenpolicy NONE -tcpProfileName nstcp_default_XA_XD_profile -deploymentType ICA_STOREFRONT -vserverFqdn gateway.mydomain.com -authnProfile auth_prof_name -icaOnly OFF`
仮想サーバーを更新するには:
`set vpn vserver  _SecureAccess_Gateway -icaOnly OFF`
仮想サーバーパラメーターの詳細については、vpn-sessionActionを参照してください。

ネットスケーラー ゲートウェイ セッションアクション

セッションアクションは、セッションポリシーを持つゲートウェイ仮想サーバーにバインドされます。セッションアクションを作成する際は、以下のパラメーターが定義された値に設定されていることを確認してください。
  • transparentInterception: オフ
  • SSO: ON
  • ssoCredential: プライマリ
  • useMIP: NS
  • useIIP: オフ
  • icaProxy: オフ
  • wihome: "https://storefront.mydomain.com/Citrix/MyStoreWeb" - 実際のストアURLに置き換える
  • ClientChoices: オフ
  • ntDomain: mydomain.com - シングルサインオンに使用されます
  • defaultAuthorizationAction: 許可
  • authorizationGroup: SecureAccessGroup (このグループが作成されていることを確認してください。これは、Secure Private Access固有の承認ポリシーをバインドするために使用されます)
  • clientlessVpnMode: ON
  • clientlessModeUrlEncoding: 透過
  • SecureBrowse: 有効
  • Storefronturl: "https://storefront.mydomain.com"
  • sfGatewayAuthType: ドメイン
例を挙げます:
セッションアクションを追加するには:
add vpn sessionAction AC_OS_SecureAccess_Gateway -transparentInterception OFF -SSO ON -ssoCredential PRIMARY -useMIP NS -useIIP OFF -icaProxy OFF -wihome "https://storefront.mydomain.com/Citrix/MyStoreWeb" -ClientChoices OFF -ntDomain mydomain.com -defaultAuthorizationAction ALLOW -authorizationGroup SecureAccessGroup -clientlessVpnMode ON -clientlessModeUrlEncoding TRANSPARENT -SecureBrowse ENABLED -storefronturl "https://storefront.mydomain.com" -sfGatewayAuthType domain
セッションアクションを更新するには:
set vpn sessionAction AC_OS_SecureAccess_Gateway -transparentInterception OFF -SSO ON
セッションアクションパラメータの詳細については、<https://developer-docs.netscaler.com/ja-jp/adc-command-reference-int/13-1/vpn/vpn-sessionaction>を参照してください。

ICA®アプリとの互換性

Secure Private Accessプラグインをサポートするために作成または更新されたNetScaler Gatewayは、ICAアプリを列挙して起動するためにも使用できます。この場合、Secure Ticket Authority (STA) を構成し、NetScaler Gatewayにバインドする必要があります。 注：STAサーバーは通常、Citrix Virtual Apps and Desktops™ DDC展開の一部です。
詳細については、以下のトピックを参照してください。

スマートアクセスタグのサポート

以下のバージョンでは、NetScaler Gatewayがタグを自動的に送信します。スマートアクセスタグを取得するためにゲートウェイコールバックアドレスを使用する必要はありません。
  • 13.1.48.47以降
  • 14.1–4.42以降
スマートアクセスタグは、Secure Private Accessプラグインリクエストのヘッダーとして追加されます。
これらのNetScalerバージョンでこの機能を有効/無効にするには、ns_vpn_enable_spa_onpremまたはns_vpn_disable_spa_onpremのトグルを使用します。
  • コマンド (FreeBSDシェル) で切り替えることができます。
    nsapimgr_wr.sh -ys call=ns_vpn_enable_spa_onprem
  • 次のコマンド (FreeBSDシェル) を実行して、HTTPコールアウト構成のSecureBrowseクライアントモードを有効にします。
    nsapimgr_wr.sh -ys call=toggle_vpn_enable_securebrowse_client_mode
  • 無効にするには、同じコマンドを再度実行します。
  • トグルがオンかオフかを確認するには、nsconmsg コマンドを実行します。
  • NetScaler Gateway でスマートアクセスタグを構成するには、「NetScaler Gateway でカスタムタグ (SmartAccess タグ) を構成する」を参照してください。

既知の制限事項

  • 既存のNetScaler Gatewayはスクリプトで更新できますが、単一のスクリプトではカバーできない無限のNetScaler構成が存在する可能性があります。
  • NetScaler Gateway で ICA プロキシを使用しないでください。この機能は、NetScaler Gateway が構成されている場合は無効になります。
  • クラウドに展開されたNetScalerを使用する場合、ネットワークにいくつかの変更を加える必要があります。たとえば、特定のポートでNetScalerと他のコンポーネント間の通信を許可します。
  • NetScaler Gateway で SSO を有効にする場合は、NetScaler がプライベート IP アドレスを使用して StoreFront™ と通信することを確認してください。StoreFront のプライベート IP アドレスを持つ新しい StoreFront DNS レコードを NetScaler に追加する必要がある場合があります。

パブリックゲートウェイ証明書のアップロード

パブリックゲートウェイがSecure Private Accessマシンから到達できない場合、パブリックゲートウェイ証明書をSecure Private Accessデータベースにアップロードする必要があります。
パブリックゲートウェイ証明書をアップロードするには、次の手順を実行します。
  1. PowerShell またはコマンドプロンプトウィンドウを管理者権限で開きます。
  2. Change the directory to the Admin\AdminConfigTool folder under the Secure Private Access installation folder (for example, cd "C:\Program Files\Citrix\Citrix Access Security\Admin\AdminConfigTool")
  3. 次のコマンドを実行します。
    \AdminConfigTool.exe /UPLOAD_PUBLIC_GATEWAY_CERTIFICATE <PublicGatewayUrl> <PublicGatewayCertificatePath>