ネットスケーラー ゲートウェイ

最終公開日 : Oct 24, 2026
重要:
これらの変更を適用する前に、NetScaler のスナップショットを作成するか、NetScaler の構成を保存することをお勧めします。
  1. スクリプトを <https://www.citrix.com/downloads/citrix-secure-private-access/Shell-Script/Shell-Script-for-Gateway-Configuration.html> からダウンロードします。
    新しいネットスケーラー ゲートウェイを作成するには、ns_gateway_secure_access.sh を使用します。
    既存のネットスケーラー ゲートウェイを更新するには、ns_gateway_secure_access_update.sh を使用します。
  2. これらのスクリプトをNetScalerマシンにアップロードします。WinSCPアプリまたはSCPコマンドを使用できます。例: scp ns_gateway_secure_access.sh nsroot@nsalfa.fabrikam.local:/var/tmp。
    例: scp ns_gateway_secure_access.sh nsroot@nsalfa.fabrikam.local:/var/tmp
    注:
    • 一時データを保存するには、NetScaler の /var/tmp フォルダーを使用することをお勧めします。
    • ファイルがLF改行で保存されていることを確認してください。FreeBSDはCRLFをサポートしていません。
    • エラー -bash: /var/tmp/ns_gateway_secure_access.sh: /bin/sh\^M: bad interpreter: No such file or directory が表示される場合、それは改行が正しくないことを意味します。Notepad++などのリッチテキストエディターを使用してスクリプトを変換できます。
  3. NetScalerにSSH接続し、シェルに切り替えます（NetScaler CLIで「shell」と入力します）。
  4. アップロードしたスクリプトを実行可能にします。これにはchmodコマンドを使用します。
    chmod +x /var/tmp/ns_gateway_secure_access.sh
  5. アップロードしたスクリプトをNetScalerシェルで実行します。
    ネットスケーラー構成1
  6. 必要なパラメータを入力します。パラメータのリストについては、前提条件を参照してください。
    認証プロファイルとSSL証明書については、NetScaler上の既存のリソース名を提供する必要があります。
    複数のNetScalerコマンドを含む新しいファイル（デフォルトはvar/tmp/ns_gateway_secure_access）が生成されます。
    注:
    スクリプトの実行中に、NetScalerとSecure Private Accessプラグインの互換性がチェックされます。NetScalerがSecure Private Accessプラグインをサポートしている場合、スクリプトはNetScalerの機能を有効にし、スマートアクセスタグの送信改善と、リソースへのアクセスが制限された場合の新しい拒否ページへのリダイレクトをサポートします。スマートタグの詳細については、スマートアクセスタグのサポートを参照してください。
    /nsconfig/rc.netscalerファイルに保持されているSecure Private Accessプラグインの機能により、NetScalerの再起動後もそれらを有効に保つことができます。
    ネットスケーラー構成2
  7. NetScaler CLIに切り替えて、新しいファイルから生成されたNetScalerコマンドをバッチコマンドで実行します。例:
    batch -fileName /var/tmp/ns_gateway_secure_access -outfile
    /var/tmp/ns_gateway_secure_access_output
    NetScalerはファイル内のコマンドを1つずつ実行します。コマンドが失敗した場合でも、次のコマンドの実行を続行します。
    リソースが存在する場合、または手順6で入力されたパラメータのいずれかが正しくない場合、コマンドは失敗する可能性があります。
  8. すべてのコマンドが正常に完了したことを確認してください。
注:
エラーが発生した場合でも、NetScaler は残りのコマンドを実行し、リソースを部分的に作成/更新/バインドします。したがって、パラメーターのいずれかが正しくないために予期しないエラーが発生した場合は、最初から構成をやり直すことをお勧めします。
Related information
コンポーネント
コンテキストタグを構成する

既存の構成を持つネットスケーラー ゲートウェイでセキュア プライベート アクセスを構成する

既存の NetScaler Gateway でスクリプトを使用して Secure Private Access をサポートすることもできます。ただし、スクリプトは以下を更新しません。
  • 既存のネットスケーラー ゲートウェイ仮想サーバー
  • NetScaler Gateway にバインドされている既存のセッションアクションとセッションポリシー
実行前に各コマンドを確認し、ゲートウェイ構成のバックアップを作成してください。

ネットスケーラー ゲートウェイ仮想サーバーでの設定

既存の NetScaler Gateway 仮想サーバーを追加または更新する際は、次のパラメーターが定義された値に設定されていることを確認してください。
仮想サーバーを追加:
  • tcpProfileName: nstcp_default_XA_XD_profile
  • デプロイメントタイプ: ICA_STOREFRONT (add vpn vserver コマンドでのみ利用可能)
  • ICAのみ: オフ
  • ディーティーエルエス: オフ
仮想サーバーを更新:
  • tcpProfileName: nstcp_default_XA_XD_profile
  • icaOnly: 無効にする
例示:
仮想サーバーを追加するには:
add vpn vserver _SecureAccess_Gateway SSL 999.999.999.999 443 -Listenpolicy NONE -tcpProfileName nstcp_default_XA_XD_profile -deploymentType ICA_STOREFRONT -vserverFqdn gateway.mydomain.com -authnProfile auth_prof_name -icaOnly OFF - dtls: OFF
仮想サーバーを更新するには:
set vpn vserver _SecureAccess_Gateway -icaOnly OFF
仮想サーバーパラメーターの詳細については、vpn-sessionAction を参照してください。

ネットスケーラー ゲートウェイ セッションアクション

セッションアクションは、セッションポリシーを使用してゲートウェイ仮想サーバーにバインドされます。セッションアクションを作成する際は、以下のパラメーターが定義された値に設定されていることを確認してください。
  • transparentInterception: オフ
  • SSO: ON
  • ssoCredential: プライマリ
  • useMIP: NS
  • useIIP: オフ
  • icaProxy: オフ
  • wihome: "https://storefront.mydomain.com/Citrix/MyStoreWeb" - 実際のストアURLに置き換えてください。ストアへのパス /Citrix/MyStoreWeb はオプションです。
  • ClientChoices: オフ
  • ntDomain: mydomain.com - SSOに使用されます（オプション）
  • defaultAuthorizationAction: 許可
  • authorizationGroup: SecureAccessGroup (このグループが作成されていることを確認してください。これはSecure Private Access固有の承認ポリシーをバインドするために使用されます)
  • clientlessVpnMode: ON
  • clientlessModeUrlEncoding: 透過
  • SecureBrowse: 有効
  • Storefronturl: "https://storefront.mydomain.com"
  • sfGatewayAuthType: ドメイン
使用例:
セッションアクションを追加するには:
add vpn sessionAction AC_OS_SecureAccess_Gateway -transparentInterception OFF -SSO ON -ssoCredential PRIMARY -useMIP NS -useIIP OFF -icaProxy OFF -wihome "https://storefront.mydomain.com/Citrix/MyStoreWeb" -ClientChoices OFF -ntDomain mydomain.com -defaultAuthorizationAction ALLOW -authorizationGroup SecureAccessGroup -clientlessVpnMode ON -clientlessModeUrlEncoding TRANSPARENT -SecureBrowse ENABLED -storefronturl "https://storefront.mydomain.com" -sfGatewayAuthType domain
セッションアクションを更新するには:
set vpn sessionAction AC_OS_SecureAccess_Gateway -transparentInterception OFF -SSO ON
For details on session action parameters, see `<https://developer-docs.netscaler.com/en-us/adc-command-reference-int/13-1/vpn/vpn-sessionaction>`.
Secure Private AccessプラグインをVPN仮想サーバーにバインドするには。
bind vpn vserver spaonprem -appController "https://spa.example.corp"

ICA®アプリとの互換性

Secure Private Accessプラグインをサポートするために作成または更新されたNetScaler Gatewayは、ICAアプリを列挙して起動するためにも使用できます。この場合、Secure Ticket Authority (STA) を構成し、NetScaler Gatewayにバインドする必要があります。 注：STAサーバーは通常、Citrix Virtual Apps and Desktops™ DDC展開の一部です。
詳細については、以下のトピックを参照してください。

スマートアクセスタグのサポート

以下のバージョンでは、NetScaler Gatewayがタグを自動的に送信します。スマートアクセスタグを取得するためにゲートウェイコールバックアドレスを使用する必要はありません。
  • 13.1–48.47以降
  • 14.1–4.42以降
スマートアクセスタグは、Secure Private Accessプラグインリクエストのヘッダーとして追加されます。

セキュアプライベートアクセス トグルの構成

次の表に、オンプレミス展開でスマートアクセスタグをサポートするために使用する必要があるトグルを示します。
トグル名 説明文
nsapimgr_wr.sh -ys call=ns_vpn_enable_spa_onprem オンプレミス展開向けにSecure Private Accessを有効にする
nsapimgr_wr.sh -ys call=ns_vpn_disable_spa_onprem オンプレミス展開向けにSecure Private Accessを無効にする
nsapimgr_wr.sh -ys ns_vpn_enable_spa_tcp_udp_apps=3 TCP/UDPアプリを有効にする
nsapimgr_wr.sh -ys ns_vpn_enable_spa_tcp_udp_apps=0 TCP/UDPアプリを無効にする
nsapimgr_wr.sh -ys call=toggle_vpn_enable_securebrowse_client_mode HTTPコールアウト構成でSecureBrowseクライアントモードを有効にする
nsapimgr -ys call=toggle_vpn_redirect_to_access_restricted_page_on_deny アクセスが拒否された場合に「アクセス制限」ページへのリダイレクトを有効にする。
nsapimgr -ys call=toggle_vpn_use_cdn_for_access_restricted_page CDNでホストされている「アクセス制限」ページを使用します。
注:
  • 個別の無効化コマンドがないトグルを無効にするには、同じコマンドを再度実行します。これは、コマンドに「toggle」が含まれるコマンドにのみ適用されます。
  • トグルがオンかオフかを確認するには、nsconmsg コマンドを実行します。
  • NetScaler Gateway でスマートアクセスタグを設定するには、「コンテキストタグの設定」を参照してください。

NetScaler 上で Secure Private Access プラグインの設定を永続的に保持するようにする

NetScaler で Secure Private Access プラグイン設定を永続化するには、次の手順を実行します。
  1. /nsconfig/rc.netscaler ファイルを作成または更新します。
  2. ファイルに次のコマンドを追加します。
    nsapimgr -ys call=ns_vpn_enable_spa_onprem
    nsapimgr -ys call=toggle_vpn_enable_securebrowse_client_mode
    nsapimgr -ys call=toggle_vpn_redirect_to_access_restricted_page_on_deny
    nsapimgr -ys call=toggle_vpn_use_cdn_for_access_restricted_page
  3. ファイルを保存します。
NetScaler の再起動時に、Secure Private Access プラグイン設定が自動的に適用されます。

公開ゲートウェイ証明書をアップロードする

公開ゲートウェイがSecure Private Accessマシンから到達できない場合、公開ゲートウェイ証明書をSecure Private Accessデータベースにアップロードする必要があります。
公開ゲートウェイ証明書をアップロードするには、次の手順を実行します。
  1. PowerShellまたはコマンドプロンプトウィンドウを管理者権限で開きます。
  2. Change the directory to the Admin\AdminConfigTool folder under the Secure Private Access installation folder (for example, cd "C:\Program Files\Citrix\Citrix Access Security\Admin\AdminConfigTool")
  3. 次のコマンドを実行します。
    \AdminConfigTool.exe /UPLOAD_PUBLIC_GATEWAY_CERTIFICATE <PublicGatewayUrl> <PublicGatewayCertificatePath>

既知の制限事項

  • 既存のNetScaler Gatewayはスクリプトで更新できますが、単一のスクリプトではカバーできない無限の数のNetScaler構成が存在する可能性があります。
  • Secure Private Accessが有効なVPN仮想サーバーで、ICAプロキシをOFFに設定することをお勧めします。
  • クラウドに展開されたNetScalerを使用する場合、ネットワークにいくつかの変更を加える必要があります。たとえば、特定のポートでNetScalerと他のコンポーネント間の通信を許可します。ポートの詳細については、通信ポートを参照してください。
  • NetScaler GatewayでSSOを有効にする場合、NetScalerがプライベートIPアドレスを使用してStoreFront™と通信することを確認してください。StoreFrontのプライベートIPアドレスを持つ新しいStoreFront DNSレコードをNetScalerに追加する必要がある場合があります。