VPN 设备策略

Last published : Oct 21, 2026
VPN 设备策略配置虚拟专用网络 (VPN) 设置，使用户设备能够安全地连接到公司资源。您可以为以下平台配置 VPN 设备策略。每个平台都需要一组不同的值，本文将详细介绍这些值。
要添加或配置此策略，请转至配置 > 设备策略。有关详细信息，请参阅设备策略。
注意：
适用于 Android 和 iOS 的 Citrix SSO 现已更名为 Citrix Secure Access。我们正在更新文档以反映此名称更改。
Related information
设备策略

每应用 VPN 的要求

您可以通过 VPN 策略为以下平台配置每应用 VPN 功能：
  • iOS
  • macOS
  • Android（旧版 DA）
对于 Android Enterprise，请使用托管配置设备策略来配置 VPN 配置文件。
每应用 VPN 选项适用于某些连接类型。下表指示何时可以使用每应用 VPN 选项。
平台 连接类型 备注
iOS 思科旧版 AnyConnect、Juniper SSL、F5 SSL、SonicWALL Mobile Connect、Ariba VIA、Citrix SSO 或 自定义 SSL。
macOS 思科 AnyConnect、Juniper SSL、F5 SSL、SonicWALL Mobile Connect、Ariba VIA 或 自定义 SSL。
Android (旧版 DA) 思杰 单点登录
要使用 Citrix SSO 应用程序为 iOS 和 Android (旧版 DA) 设备创建每应用 VPN，除了 VPN 策略配置之外，您还需要执行额外的步骤。此外，您必须验证是否满足以下先决条件：
  • 本地 NetScaler Gateway
  • 设备上安装了以下应用程序：
    • 思杰 单点登录
    • 思杰 安全中心
使用 Citrix SSO 应用程序为 iOS 和 Android 设备配置每应用 VPN 的一般工作流程如下所示：
  1. 配置 VPN 设备策略，如本文所述。
  2. 配置 Citrix ADC 以接受来自每应用 VPN 的流量。有关详细信息，请参阅 在 NetScaler Gateway 上进行完整 VPN 设置。

iOS 设置

适用于 iOS 的 VPN 设备策略中的 Citrix VPN 连接类型不支持 iOS 12。请执行以下步骤删除现有 VPN 设备策略并创建使用 Citrix SSO 连接类型的 VPN 设备策略：
  1. 删除适用于 iOS 的 VPN 设备策略。
  2. 添加适用于 iOS 的 VPN 设备策略，并使用以下设置：
    • 连接类型： Citrix SSO
    • 启用每应用 VPN： 开
    • 提供程序类型： 数据包隧道
  3. 添加适用于 iOS 的应用程序属性设备策略。对于每应用 VPN 标识符，选择 iOS_VPN。
设备策略配置屏幕
  • 连接名称： 键入连接的名称。
  • 连接类型： 在列表中，选择此连接要使用的协议。默认值为 L2TP。
    • L2TP： 具有预共享密钥身份验证的第 2 层隧道协议。
    • PPTP： 点对点隧道协议。
    • IPSec： 您的企业 VPN 连接。
    • Cisco Legacy AnyConnect： 此连接类型要求用户设备上安装 Cisco Legacy AnyConnect VPN 客户端。Cisco 正在逐步淘汰基于已弃用 VPN 框架的 Cisco Legacy AnyConnect 客户端。
      要使用当前的 Cisco AnyConnect 客户端，请使用自定义 SSL 的连接类型。有关所需设置，请参阅本节中的“配置自定义 SSL 协议”。
    • Juniper SSL： 瞻博网络 SSL VPN 客户端。
    • F5 SSL： F5 Networks SSL VPN 客户端。
    • SonicWALL Mobile Connect： 适用于 iOS 的 Dell 统一 VPN 客户端。
    • Ariba VIA： Ariba Networks 虚拟互联网访问客户端。
    • IKEv2（仅限 iOS）： 仅适用于 iOS 的 Internet 密钥交换版本 2。
    • AlwaysOn IKEv2： 使用 IKEv2 的始终在线访问。
    • AlwaysOn IKEv2 Dual Configuration： 使用 IKEv2 双重配置的始终在线访问。
    • Citrix SSO： 适用于 iOS 12 及更高版本的 Citrix SSO 客户端。
    • Custom SSL： 自定义安全套接字层。此连接类型是 Cisco AnyConnect 客户端所必需的，该客户端的捆绑 ID 为 com.cisco.anyconnect。指定连接名称为 Cisco AnyConnect。您还可以部署 VPN 策略并为 iOS 设备启用网络访问控制 (NAC) 筛选器。该筛选器会阻止安装了不合规应用程序的设备的 VPN 连接。此配置需要 iOS VPN 策略的特定设置，如以下 iOS 部分所述。有关启用 NAC 筛选器所需的其他设置的更多信息，请参阅网络访问控制。
以下各节列出了上述每种连接类型的配置选项。

为 iOS 配置 L2TP 协议

  • 服务器名称或 IP 地址： 键入 VPN 服务器的服务器名称或 IP 地址。
  • 用户帐户： 键入可选的用户帐户。
  • 选择密码身份验证或 RSA SecurID 身份验证。
  • 共享密钥： 键入 IPsec 共享密钥。
  • **发送所有流量：**选择是否通过 VPN 发送所有流量。默认值为“关”。

配置适用于 iOS 的 PPTP 协议

  • **服务器名称或 IP 地址：**键入 VPN 服务器的服务器名称或 IP 地址。
  • **用户帐户：**键入可选的用户帐户。
  • 选择“密码身份验证”或“RSA SecurID 身份验证”。
  • **加密级别：**在列表中，选择一个加密级别。默认值为“无”。
    • **无：**不使用加密。
    • **自动：**使用服务器支持的最强加密级别。
    • **最大值 (128 位)：**始终使用 128 位加密。
  • **发送所有流量：**选择是否通过 VPN 发送所有流量。默认值为“关”。

配置适用于 iOS 的 IPsec 协议

  • **服务器名称或 IP 地址：**键入 VPN 服务器的服务器名称或 IP 地址。
  • **用户帐户：**键入可选的用户帐户。
  • **连接的身份验证类型：**在列表中，选择“共享密钥”或“证书”作为此连接的身份验证类型。默认值为“共享密钥”。
  • 如果启用“共享密钥”，请配置以下设置：
    • 组名称： 键入可选的组名称。
    • 共享密钥： 键入可选的共享密钥。
    • 使用混合身份验证： 选择是否使用混合身份验证。使用混合身份验证时，服务器首先向客户端进行身份验证，然后客户端向服务器进行身份验证。默认值为 关闭。
    • 提示输入密码： 选择是否在用户连接到网络时提示他们输入密码。默认值为 关闭。
  • 如果启用 证书，请配置以下设置：
    • 身份凭据： 在列表中，选择要使用的身份凭据。默认值为 无。
    • 连接时提示输入 PIN： 选择是否要求用户在连接到网络时输入其 PIN。默认值为 关闭。
    • 启用按需 VPN： 选择是否在用户连接到网络时触发 VPN 连接。默认值为 关闭。有关在 启用按需 VPN 为 开启 时配置设置的信息，请参阅 配置 iOS 的按需 VPN 设置。
  • 启用每应用 VPN： 选择是否启用每应用 VPN。默认值为 关闭。
  • 按需匹配应用已启用： 选择当链接到每应用 VPN 服务的应用发起网络通信时，每应用 VPN 连接是否自动触发。默认值为 关闭。
  • Safari 域： 单击 添加 以添加 Safari 域名。

配置适用于 iOS 的 Cisco 旧版 AnyConnect 协议

要从 Cisco 旧版 AnyConnect 客户端过渡到新的 Cisco AnyConnect 客户端，请使用自定义 SSL 协议。
  • 提供程序捆绑包标识符： 对于旧版 AnyConnect 客户端，捆绑包 ID 为 com.cisco.anyconnect.gui。
  • 服务器名称或 IP 地址： 键入 VPN 服务器的服务器名称或 IP 地址。
  • 用户帐户：键入可选的用户帐户。
  • 组：键入可选的组名。
  • 连接的身份验证类型：在列表中，选择此连接的身份验证类型为密码或证书。默认值为密码。
    • 如果启用密码，请在身份验证密码字段中键入可选的身份验证密码。
    • 如果启用证书，请配置以下设置：
      • 身份凭据：在列表中，选择要使用的身份凭据。默认值为无。
      • 连接时提示输入 PIN：选择在用户连接到网络时是否提示他们输入 PIN。默认值为关。
      • 启用按需 VPN：选择在用户连接到网络时是否启用触发 VPN 连接。默认值为关。有关在启用按需 VPN为开时配置设置的信息，请参阅配置 iOS 的按需 VPN 设置。
  • 包括所有网络：选择是否允许所有网络使用此连接。默认值为关。
  • 排除本地网络：选择是排除本地网络使用此连接，还是允许这些网络使用此连接。默认值为关。
  • 启用每应用 VPN：选择是否启用每应用 VPN。默认值为关。如果启用此选项，请配置以下设置：
    • 按需匹配应用已启用：选择当链接到每应用 VPN 服务的应用启动网络通信时，每应用 VPN 连接是否自动触发。默认值为关。
    • 提供程序类型：选择每应用 VPN 是作为应用代理还是作为数据包隧道提供。默认值为应用代理。
    • Safari 域：对于要包括的每个可触发每应用 VPN 连接的 Safari 域，请单击添加并执行以下操作：
      • 域：键入要添加的域。
      • 单击“保存”以保存域，或单击“取消”以不保存域。

配置适用于 iOS 的 Juniper SSL 协议

  • 提供程序捆绑包标识符： 如果您的每应用 VPN 配置文件具有具有多个相同类型 VPN 提供程序的应用程序的捆绑包标识符，请在此处指定要使用的提供程序。
  • 服务器名称或 IP 地址： 键入 VPN 服务器的服务器名称或 IP 地址。
  • 用户帐户： 键入可选的用户帐户。
  • 领域： 键入可选的领域名称。
  • 角色： 键入可选的角色名称。
  • 连接的身份验证类型： 在列表中，选择“密码”或“证书”作为此连接的身份验证类型。默认值为“密码”。
  • 如果启用“密码”，请在“身份验证密码”字段中键入可选的身份验证密码。
  • 如果启用“证书”，请配置以下设置：
    • 身份凭据： 在列表中，选择要使用的身份凭据。默认值为“无”。
    • 连接时提示输入 PIN： 选择是否在用户连接到网络时提示他们输入 PIN。默认值为“关”。
    • 启用按需 VPN： 选择是否在用户连接到网络时启用触发 VPN 连接。默认值为“关”。有关在“启用按需 VPN”为“开”时配置设置的信息，请参阅配置适用于 iOS 的按需 VPN 启用设置。
    • 启用每应用 VPN： 选择是否启用每应用 VPN。默认值为“关”。如果启用此选项，请配置以下设置：
    • 按需匹配应用已启用： 选择当链接到每应用 VPN 服务的应用启动网络通信时，每应用 VPN 连接是否自动触发。默认值为“关”。
    • 提供程序类型： 选择按应用 VPN 是作为应用代理还是数据包隧道提供。默认值为应用代理。
    • Safari 域： 对于要包含的每个可触发按应用 VPN 连接的 Safari 域，单击添加并执行以下操作：
    • 域： 键入要添加的域。
  • 单击保存以保存域，或单击取消以不保存域。

配置适用于 iOS 的 F5 SSL 协议

  • 提供程序捆绑包标识符： 如果您的按应用 VPN 配置文件具有具有多个相同类型 VPN 提供程序的应用程序的捆绑包标识符，请在此处指定要使用的提供程序。
  • 服务器名称或 IP 地址： 键入 VPN 服务器的服务器名称或 IP 地址。
  • 用户帐户： 键入可选的用户帐户。
  • 连接的身份验证类型： 在列表中，为该连接的身份验证类型选择密码或证书。默认值为密码。
    • 如果启用密码，请在身份验证密码字段中键入可选的身份验证密码。
    • 如果启用证书，请配置以下设置：
      • 身份凭据： 在列表中，选择要使用的身份凭据。默认值为无。
      • 连接时提示输入 PIN： 选择在用户连接到网络时是否提示他们输入 PIN。默认值为关闭。
      • 启用按需 VPN： 选择是否在用户连接到网络时启用触发 VPN 连接。默认值为关闭。有关在启用按需 VPN为开时配置设置的信息，请参阅配置适用于 iOS 的按需 VPN 设置。
  • 启用按应用 VPN： 选择是否启用按应用 VPN。默认值为关闭。如果启用此选项，请配置以下设置：
    • 按需匹配应用已启用： 选择当与按应用 VPN 服务关联的应用启动网络通信时，按应用 VPN 连接是否自动触发。
    • 提供程序类型： 选择按应用 VPN 是作为应用代理还是作为数据包隧道提供。默认值为应用代理。
    • Safari 域： 对于要包含的每个可触发按应用 VPN 连接的 Safari 域，请单击添加并执行以下操作：
      • 域： 键入要添加的域。
      • 单击保存以保存域，或单击取消以不保存域。

配置适用于 iOS 的 SonicWALL 协议

  • 提供程序捆绑包标识符： 如果您的按应用 VPN 配置文件具有具有多个相同类型 VPN 提供程序的应用的捆绑包标识符，请在此处指定要使用的提供程序。
  • 服务器名称或 IP 地址： 键入 VPN 服务器的服务器名称或 IP 地址。
  • 用户帐户： 键入可选的用户帐户。
  • 登录组或域： 键入可选的登录组或域。
  • 连接的身份验证类型： 在列表中，选择密码或证书作为此连接的身份验证类型。默认值为密码。
    • 如果启用密码，请在身份验证密码字段中键入可选的身份验证密码。
    • 如果启用证书，请配置以下设置：
      • 身份凭据： 在列表中，选择要使用的身份凭据。默认值为无。
      • 连接时提示输入 PIN： 选择当用户连接到网络时是否提示他们输入 PIN。默认值为关闭。
      • 启用按需 VPN： 选择是否在用户连接到网络时启用触发 VPN 连接。默认设置为“关”。有关在“启用按需 VPN”设置为“开”时配置设置的信息，请参阅配置 iOS 的按需 VPN 启用设置。
  • 启用每应用 VPN： 选择是否启用每应用 VPN。默认设置为“关”。如果将此选项设置为“开”，请配置以下设置：
    • 启用按需匹配应用： 选择当链接到每应用 VPN 服务的应用启动网络通信时，每应用 VPN 连接是否自动触发。
    • 提供程序类型： 选择每应用 VPN 是作为“应用代理”还是“数据包隧道”提供。默认值为“应用代理”。
    • Safari 域： 对于要包含的每个可以触发每应用 VPN 连接的 Safari 域，单击“添加”并执行以下操作：
      • 域： 键入要添加的域。
      • 单击“保存”以保存域，或单击“取消”以不保存域。

为 iOS 配置 Ariba VIA 协议

  • 提供程序捆绑包标识符： 如果您的每应用 VPN 配置文件具有具有多个相同类型 VPN 提供程序的应用的捆绑包标识符，请在此处指定要使用的提供程序。
  • 服务器名称或 IP 地址： 键入 VPN 服务器的服务器名称或 IP 地址。
  • 用户帐户： 键入可选的用户帐户。
  • 连接的身份验证类型： 在列表中，为该连接的身份验证类型选择“密码”或“证书”。默认值为“密码”。
    • 如果启用“密码”，请在“身份验证密码”字段中键入可选的身份验证密码。
    • 如果启用“证书”，请配置以下设置：
      • 身份凭据： 在列表中，选择要使用的身份凭据。默认值为“无”。
      • 连接时提示PIN： 选择用户连接到网络时是否提示输入PIN。默认值为 关闭。
      • 启用按需VPN： 选择用户连接到网络时是否启用触发VPN连接。默认值为 关闭。有关在 启用按需VPN 为 开 时配置设置的信息，请参阅 配置适用于iOS的按需VPN设置。
  • 启用每应用VPN： 选择是否启用每应用VPN。默认值为 关闭。如果启用此选项，请配置以下设置：
    • 启用按需匹配应用： 选择当链接到每应用VPN服务的应用发起网络通信时，每应用VPN连接是否自动触发。
    • Safari域： 对于要包含的每个可触发每应用VPN连接的Safari域，请单击 添加 并执行以下操作：
      • 域： 键入要添加的域。
      • 单击 保存 以保存域，或单击 取消 以不保存域。

配置适用于iOS的IKEv2协议

本节包含用于IKEv2、始终开启IKEv2和始终开启IKEv2双配置协议的设置。对于始终开启IKEv2双配置协议，请为蜂窝网络和Wi-Fi网络配置所有这些设置。
  • 允许用户禁用自动连接： 适用于始终开启协议。选择是否允许用户在其设备上禁用自动连接到网络。默认值为 关闭。
  • 服务器主机名或IP地址： 键入VPN服务器的服务器名称或IP地址。
  • 本地标识符： IKEv2客户端的FQDN或IP地址。此字段为必填项。
  • 远程标识符： VPN服务器的FQDN或IP地址。此字段为必填项。
  • 设备身份验证： 为此连接的身份验证类型选择 共享密钥、证书 或 基于设备标识符的设备证书。默认值为 共享密钥。
    • 如果选择 共享密钥，请键入可选的共享密钥。
    • 如果您选择证书，请选择要使用的身份凭据。默认值为无。
    • 如果您选择基于设备标识符的设备证书，请选择要使用的设备身份类型。默认值为IMEI。要使用此选项，请使用 REST API 批量导入证书。请参阅使用 REST API 批量上传证书。仅当您选择始终开启 IKEv2时可用。
  • 启用扩展身份验证： 选择是否启用扩展身份验证协议 (EAP)。如果为开，请键入用户帐户和身份验证密码。
  • 死对等体检测间隔： 选择联系对等设备以确保对等设备保持可达的频率。默认值为无。选项包括：
    • 无： 禁用死对等体检测。
    • 低： 每 30 分钟联系对等体一次。
    • 中： 每 10 分钟联系对等体一次。
    • 高： 每 1 分钟联系对等体一次。
  • 禁用移动性和多宿主： 选择是否禁用此功能。
  • 使用 IPv4/IPv6 内部子网属性： 选择是否启用此功能。
  • 禁用重定向： 选择是否禁用重定向。
  • 启用回退： 如果启用，此设置允许通过蜂窝数据建立隧道，以承载符合 Wi-Fi 辅助条件并需要 VPN 的流量。默认值为关。
  • 设备休眠时启用 NAT 保活： 适用于始终开启协议。保活数据包维护 IKEv2 连接的 NAT 映射。当设备处于唤醒状态时，芯片会定期发送这些数据包。如果此设置开启，即使设备处于休眠状态，芯片也会发送保活数据包。默认间隔在 Wi-Fi 上为 20 秒，在蜂窝网络上为 110 秒。您可以通过使用 NAT 保活间隔参数来更改间隔。
  • NAT 保活间隔（秒）： 默认为 20 秒。
  • 启用完全前向保密： 选择是否启用此功能。
  • DNS 服务器 IP 地址： 可选。DNS 服务器 IP 地址字符串列表。这些 IP 地址可以包含 IPv4 和 IPv6 地址的混合。单击“添加”以键入地址。
  • 域名： 可选。隧道的首要域。
  • 搜索域： 可选。用于完全限定单标签主机名的域字符串列表。
  • 将补充匹配域附加到解析器列表： 可选。确定是否将补充匹配域列表添加到解析器的搜索域列表。默认值为“开”。
  • 补充匹配域： 可选。用于确定哪些 DNS 查询使用 DNS 服务器地址中的 DNS 解析器设置的域字符串列表。此项创建拆分 DNS 配置，其中只有特定域中的主机通过使用隧道的 DNS 解析器进行解析。不在此列表中的域中的主机将通过使用系统的默认解析器进行解析。
如果此参数为空字符串，则该字符串是默认域。因此，拆分隧道配置可以在主 DNS 服务器之前将所有 DNS 查询定向到 VPN DNS 服务器。如果 VPN 隧道是网络的默认路由，则列出的 DNS 服务器将成为默认解析器。在这种情况下，将忽略补充匹配域列表。
  • IKE SA 参数和子 SA 参数： 为每个安全关联 (SA) 参数选项配置这些设置：
    • 加密算法： 在列表中，选择要使用的 IKE 加密算法。默认值为 3DES。
    • 完整性算法： 在列表中，选择要使用的完整性算法。默认值为 SHA-256。
    • Diffie Hellman 组： 在列表中，选择 Diffie Hellman 组号。默认值为 2。
    • IKE 生存期（分钟）： 键入一个介于 10 到 1440 之间的整数，表示 SA 生存期（重新生成密钥间隔）。默认值为 1440 分钟。
  • 服务例外： 适用于始终开启协议。服务例外是指免于始终开启 VPN 的系统服务。配置这些服务例外设置：
    • 语音邮件： 在列表中，选择如何处理语音邮件例外。默认值为“允许流量通过隧道”。
    • AirPrint： 在列表中，选择如何处理 AirPrint 例外。默认值为“允许流量通过隧道”。
    • 允许来自 VPN 隧道外部强制网络页面的流量： 选择是否允许用户连接到 VPN 隧道外部的公共热点。默认值为“关”。
    • 允许所有强制网络应用流量通过 VPN 隧道外部：选择是否允许所有热点网络应用通过 VPN 隧道外部。默认值为“关”。
    • 强制网络应用捆绑包标识符：对于用户被允许访问的每个热点网络应用捆绑包标识符，单击“添加”并键入热点网络应用“捆绑包标识符”。单击“保存”以保存应用捆绑包标识符。
  • 每应用 VPN：为 IKEv2 连接类型配置这些设置。
    • 启用每应用 VPN：选择是否启用每应用 VPN。默认值为“关”。
    • 按需匹配应用已启用：选择当链接到每应用 VPN 服务的应用发起网络通信时，每应用 VPN 连接是否自动触发。默认值为“关”。
    • Safari 域：单击“添加”以添加 Safari 域名。
  • 代理配置：选择 VPN 连接如何通过代理服务器路由。默认值为“无”。

配置适用于 iOS 的 Citrix SSO 协议

Citrix SSO 客户端可在 Apple Store 中获取。
  • 服务器名称或 IP 地址：键入 VPN 服务器的服务器名称或 IP 地址。
  • 用户帐户：键入可选的用户帐户。
  • 连接的身份验证类型：在列表中，为该连接的身份验证类型选择“密码”或“证书”。默认值为“密码”。
    • 如果启用“密码”，请在“身份验证密码”字段中键入可选的身份验证密码。
    • 如果启用“证书”，请配置以下设置：
      • 身份凭据：在列表中，选择要使用的身份凭据。默认值为“无”。
      • 连接时提示 PIN： 选择是否在用户连接到网络时提示其输入 PIN。默认值为“关闭”。
      • 启用按需 VPN： 选择是否在用户连接到网络时启用触发 VPN 连接。默认值为“关闭”。有关在“启用按需 VPN”为“开”时配置设置的信息，请参阅配置 iOS 的按需 VPN 设置。
  • 启用每应用 VPN： 选择是否启用每应用 VPN。默认值为“关闭”。如果将此选项设置为“开”，请配置以下设置：
    • 启用按需匹配应用： 选择当链接到每应用 VPN 服务的应用发起网络通信时，每应用 VPN 连接是否自动触发。
    • 提供程序类型： 选择每应用 VPN 是作为“应用代理”还是作为“数据包隧道”提供。默认值为“应用代理”。
    • 提供程序类型： 设置为“数据包隧道”。
    • Safari 域： 对于要包含的每个可触发每应用 VPN 连接的 Safari 域，单击“添加”并执行以下操作：
      • 域： 键入要添加的域。
      • 单击“保存”以保存域，或单击“取消”以不保存域。
  • 自定义 XML： 对于要添加的每个自定义 XML 参数，单击“添加”并指定键/值对。可用参数如下：
    • disableL3： 禁用系统级 VPN。仅允许每应用 VPN。不需要“值”。
    • user agent： 将此设备策略与面向 VPN 插件客户端的任何 NetScaler Gateway 策略关联。对于由插件启动的请求，此键的“值”会自动添加到 VPN 插件中。

为 iOS 配置自定义 SSL 协议

要从 Cisco Legacy AnyConnect 客户端过渡到 Cisco AnyConnect 客户端，请执行以下操作：
  1. 使用自定义 SSL 协议配置 VPN 设备策略。将策略部署到 iOS 设备。
  2. 从 <https://apps.apple.com/us/app/cisco-secure-client/id1135064690> 上传 Cisco AnyConnect 客户端，将应用添加到 Citrix Endpoint Management，然后将应用部署到 iOS 设备。
  3. 从 iOS 设备中删除旧的 VPN 设备策略。
设置：
  • 自定义 SSL 标识符（反向 DNS 格式）： 设置为捆绑包标识符。对于 Cisco AnyConnect 客户端，请使用 com.cisco.anyconnect。
  • 提供程序捆绑包标识符： 如果在自定义 SSL 标识符中指定的应用程序具有多个相同类型（应用程序代理或数据包隧道）的 VPN 提供程序，则指定此捆绑包标识符。对于 Cisco AnyConnect 客户端，请使用 com.cisco.anyconnect。
  • 服务器名称或 IP 地址： 键入 VPN 服务器的服务器名称或 IP 地址。
  • 用户帐户： 键入一个可选的用户帐户。
  • 连接的身份验证类型： 在列表中，为该连接的身份验证类型选择密码或证书。默认值为密码。
    • 如果启用密码，请在身份验证密码字段中键入一个可选的身份验证密码。
    • 如果启用证书，请配置以下设置：
      • 身份凭据： 在列表中，选择要使用的身份凭据。默认值为无。
      • 连接时提示输入 PIN： 选择是否在用户连接到网络时提示其输入 PIN。默认值为关。
      • 启用按需 VPN： 选择是否在用户连接到网络时触发 VPN 连接。默认值为关。有关在启用按需 VPN 为开时配置设置的信息，请参阅配置 iOS 的按需 VPN 设置。
  • 包括所有网络： 选择是否允许所有网络使用此连接。默认值为关。
  • 排除本地网络： 选择是排除本地网络使用此连接还是允许这些网络。默认值为关。
  • 启用按应用VPN： 选择是否启用按应用VPN。默认值为关闭。如果将此选项设置为“开”，请配置以下设置：
    • 按需匹配应用已启用： 选择当链接到按应用VPN服务的应用发起网络通信时，按应用VPN连接是否自动触发。
    • 提供程序类型： 提供程序类型指示提供程序是VPN服务还是代理服务。对于VPN服务，请选择数据包隧道。对于代理服务，请选择应用代理。对于Cisco AnyConnect客户端，请选择数据包隧道。
    • Safari域： 对于要包含的每个可以触发按应用VPN连接的Safari域，请单击添加并执行以下操作：
      • 域： 键入要添加的域。
      • 单击保存以保存域，或单击取消以不保存域。
  • 自定义XML： 对于要添加的每个自定义XML参数，请单击添加并执行以下操作：
    • 参数名称： 键入要添加的参数的名称。
    • 值： 键入与参数名称关联的值。
    • 单击保存以保存参数，或单击取消以不保存参数。

配置VPN设备策略以支持NAC

  1. 配置NAC筛选器需要自定义SSL的连接类型。
  2. 指定VPN的连接名称。
  3. 对于自定义SSL标识符，键入com.citrix.NetScalerGateway.ios.app
  4. 对于提供程序捆绑包标识符，键入com.citrix.NetScalerGateway.ios.app.vpnplugin
步骤 3 和 4 中的值来自 NAC 筛选所需的 Citrix SSO 安装。您无需配置身份验证密码。有关使用 NAC 功能的更多信息，请参阅网络访问控制。

配置 iOS 的按需 VPN 启用选项

  • 按需域： 对于每个域以及用户连接时要执行的相关操作，单击“添加”并执行以下操作：
  • 域： 键入要添加的域。
  • 操作： 从列表中选择一个可能的操作：
    • 始终建立： 该域始终触发 VPN 连接。
    • 从不建立： 该域从不触发 VPN 连接。
    • 必要时建立： 如果域名解析失败，该域会触发 VPN 连接尝试。当 DNS 服务器无法解析域、重定向到其他服务器或超时时，就会发生失败。
    • 单击“保存”以保存域，或单击“取消”以不保存域。
  • 按需规则
    • 操作： 在列表中，选择要执行的操作。默认值为 EvaluateConnection。可能的操作包括：
      • 允许： 允许按需 VPN 在触发时连接。
      • 连接： 无条件启动 VPN 连接。
      • 断开连接： 删除 VPN 连接，并且只要规则匹配，就不要按需重新连接。
      • EvaluateConnection： 评估每个连接的 ActionParameters 数组。
      • 忽略：保持任何现有 VPN 连接处于活动状态，但只要规则匹配，就不要按需重新连接。
    • DNS域匹配：对于要添加的、设备搜索域列表可与之匹配的每个域，单击添加并执行以下操作：
      • DNS 域：键入域名。您可以使用通配符“*”前缀来匹配多个域。例如，*.example.com 匹配 mydomain.example.com、yourdomain.example.com 和 herdomain.example.com。
      • 单击保存以保存域，或单击取消以不保存域。
    • DNS服务器地址匹配：对于要添加的、网络中任何指定 DNS 服务器可与之匹配的每个 IP 地址，单击添加并执行以下操作：
      • DNS 服务器地址：键入要添加的 DNS 服务器地址。您可以使用通配符“*”后缀来匹配 DNS 服务器。例如，17.* 匹配 A 类子网中的任何 DNS 服务器。
      • 单击保存以保存 DNS 服务器地址，或单击取消以不保存 DNS 服务器地址。
    • 接口类型匹配：在列表中，选择正在使用的主要网络接口硬件类型。默认值为未指定。可能的值包括：
      • 未指定：匹配任何网络接口硬件。此选项为默认值。
      • 以太网：仅匹配以太网网络接口硬件。
      • Wi-Fi：仅匹配 Wi-Fi 网络接口硬件。
      • 蜂窝：仅匹配蜂窝网络接口硬件。
    • SSID匹配：对于要添加的、与当前网络匹配的每个 SSID，单击添加并执行以下操作。
      • SSID：键入要添加的 SSID。如果网络不是 Wi-Fi 网络，或者 SSID 未出现，则匹配失败。将此列表留空以匹配任何 SSID。
      • 单击保存以保存 SSID，或单击取消以不保存 SSID。
    • URLStringProbe: 键入要获取的 URL。如果此 URL 在没有重定向的情况下成功获取，则此规则匹配。
    • ActionParameters : Domains: 对于 EvaluateConnection 检查的每个要添加的域，单击“添加”并执行以下操作：
      • Domain: 键入要添加的域。
      • 单击“保存”以保存域，或单击“取消”以不保存域。
    • ActionParameters : DomainAction: 在列表中，为指定的 ActionParameters : Domains 域选择 VPN 行为。默认值为 ConnectIfNeeded。可能的动作包括：
      • ConnectIfNeeded: 如果域名解析失败，该域将触发 VPN 连接尝试。当 DNS 服务器无法解析域、重定向到其他服务器或超时时，就会发生失败。
      • NeverConnect: 该域从不触发 VPN 连接。
    • Action Parameters: RequiredDNSServers: 对于用于解析指定域的每个 DNS 服务器，单击“添加”并执行以下操作：
      • DNS Server: 仅当 ActionParameters : DomainAction = ConnectIfNeeded 时有效。键入 DNS 服务器 IP 地址。此服务器可以位于设备当前网络配置之外。如果 DNS 服务器不可达，则会建立 VPN 连接作为响应。确保 DNS 服务器是内部 DNS 服务器或受信任的外部 DNS 服务器。
      • 单击“保存”以保存 DNS 服务器，或单击“取消”以不保存 DNS 服务器。
    • ActionParameters : RequiredURLStringProbe: 可选地，键入一个 HTTP 或 HTTPS（首选）URL 以使用 GET 请求进行探测。如果 URL 的主机名无法解析、服务器不可达或服务器没有响应，则会建立 VPN 连接。仅当 ActionParameters : DomainAction = ConnectIfNeeded 时有效。
    • OnDemandRules : XML content: 键入或复制粘贴 XML 按需配置规则。
      • 单击“检查字典”以验证 XML 代码。如果 XML 有效，则“有效 XML”将显示在“XML 内容”文本框下方。如果无效，则会显示一条错误消息描述错误。
  • 代理
    • Proxy configuration: 在列表中，选择 VPN 连接如何通过代理服务器路由。默认值为 None。
      • 如果启用手动，请配置以下设置：
        • 代理服务器主机名或 IP 地址： 输入代理服务器的主机名或 IP 地址。此字段为必填项。
        • 代理服务器端口： 输入代理服务器端口号。此字段为必填项。
        • 用户名： 输入可选的代理服务器用户名。
        • 密码： 输入可选的代理服务器密码。
      • 如果配置自动，请配置以下设置：
        • 代理服务器 URL： 输入代理服务器的 URL。此字段为必填项。
  • 策略设置
    • 删除策略： 选择一种计划策略删除的方法。可用选项包括选择日期和删除前持续时间（小时）
      • 选择日期： 单击日历以选择具体的删除日期。
      • 删除前持续时间（小时）： 输入一个数字（以小时为单位），表示策略删除发生前的持续时间。仅适用于 iOS 6.0 及更高版本。

配置每应用 VPN

适用于 iOS 的每应用 VPN 选项可用于以下连接类型：Cisco Legacy AnyConnect、Juniper SSL、F5 SSL、SonicWALL Mobile Connect、Ariba VIA、Citrix VPN、Citrix SSO 和 Custom SSL。
要配置每应用 VPN：
  1. 在配置 > 设备策略中，创建 VPN 策略。例如：
    设备策略配置屏幕设备策略配置屏幕
  2. 在 配置 > 设备策略 中，创建一个应用程序属性策略，以将应用程序与每应用 VPN 策略关联。对于 每应用 VPN 标识符，选择在步骤 1 中创建的 VPN 策略的名称。对于 托管应用程序捆绑包 ID，从应用程序列表中选择或键入应用程序捆绑包 ID。（如果您部署了 iOS 应用程序清单策略，则应用程序列表将包含应用程序。）
    设备策略配置屏幕

macOS 设置

设备策略配置屏幕
  • 连接名称： 键入连接的名称。
  • 连接类型： 在列表中，选择此连接要使用的协议。默认值为 L2TP。
    • L2TP： 具有预共享密钥身份验证的第 2 层隧道协议。
    • PPTP： 点对点隧道。
    • IPSec： 您的企业 VPN 连接。
    • Cisco AnyConnect： Cisco AnyConnect VPN 客户端。
    • Juniper SSL： 瞻博网络 SSL VPN 客户端。
    • F5 SSL： F5 Networks SSL VPN 客户端。
    • SonicWALL Mobile Connect： 适用于 iOS 的 Dell 统一 VPN 客户端。
    • Ariba VIA：Ariba Networks 虚拟互联网访问客户端。
    • Citrix VPN：Citrix VPN 客户端。
    • 自定义 SSL：自定义安全套接字层。
以下各节列出了上述每种连接类型的配置选项。

配置 macOS 的 L2TP 协议

  • 服务器名称或 IP 地址：键入 VPN 服务器的服务器名称或 IP 地址。
  • 用户帐户：键入可选的用户帐户。
  • 选择密码身份验证、RSA SecurID 身份验证、Kerberos 身份验证或CryptoCard 身份验证。默认值为密码身份验证。
  • 共享密钥：键入 IPsec 共享密钥。
  • 发送所有流量：选择是否通过 VPN 发送所有流量。默认值为关闭。

配置 macOS 的 PPTP 协议

  • 服务器名称或 IP 地址：键入 VPN 服务器的服务器名称或 IP 地址。
  • 用户帐户：键入可选的用户帐户。
  • 选择密码身份验证、RSA SecurID 身份验证、Kerberos 身份验证或CryptoCard 身份验证。默认值为密码身份验证。
  • 加密级别：选择所需的加密级别。默认值为无。
    • 无： 不使用加密。
    • 自动： 使用服务器支持的最强加密级别。
    • 最大 (128 位)：始终使用 128 位加密。
  • 发送所有流量： 选择是否通过 VPN 发送所有流量。默认值为 关。

配置 macOS 的 IPsec 协议

  • 服务器名称或 IP 地址： 键入 VPN 服务器的服务器名称或 IP 地址。
  • 用户帐户： 键入可选的用户帐户。
  • 连接的身份验证类型： 在列表中，为该连接的身份验证类型选择 共享密钥 或 证书。默认值为 共享密钥。
    • 如果启用 共享密钥 身份验证，请配置以下设置：
      • 组名称： 键入可选的组名称。
      • 共享密钥： 键入可选的共享密钥。
      • 使用混合身份验证： 选择是否使用混合身份验证。使用混合身份验证时，服务器首先向客户端进行身份验证，然后客户端向服务器进行身份验证。默认值为 关。
      • 提示输入密码： 选择是否在用户连接到网络时提示他们输入密码。默认值为 关。
    • 如果启用 证书 身份验证，请配置以下设置：
      • 身份凭据： 在列表中，选择要使用的身份凭据。默认值为 无。
      • 连接时提示输入 PIN： 选择是否要求用户在连接到网络时输入其 PIN。默认值为“关”。
      • 启用按需 VPN： 选择是否在用户连接到网络时触发 VPN 连接。默认值为“关”。有关在“启用按需 VPN”为“开”时配置设置的信息，请参阅配置按需 VPN 选项。

配置适用于 macOS 的 Cisco AnyConnect 协议

  • 服务器名称或 IP 地址： 键入 VPN 服务器的服务器名称或 IP 地址。
  • 用户帐户： 键入可选的用户帐户。
  • 组： 键入可选的组名称。
  • 连接的身份验证类型： 在列表中，选择此连接的身份验证类型为“密码”或“证书”。默认值为“密码”。
    • 如果启用“密码”，请在“身份验证密码”字段中键入可选的身份验证密码。
    • 如果启用“证书”，请配置以下设置：
      • 身份凭据： 在列表中，选择要使用的身份凭据。默认值为“无”。
      • 连接时提示输入 PIN： 选择是否在用户连接到网络时提示其输入 PIN。默认值为“关”。
      • 启用按需 VPN： 选择是否在用户连接到网络时触发 VPN 连接。默认值为“关”。有关在“启用按需 VPN”为“开”时配置设置的信息，请参阅配置按需 VPN 选项。
    • 启用每应用 VPN： 选择是否启用每应用 VPN。默认值为“关”。如果启用此选项，请配置以下设置：
      • 启用按需匹配应用： 选择当链接到每应用 VPN 服务的应用启动网络通信时，每应用 VPN 连接是否自动触发。默认值为“关”。
      • Safari 域： 对于要包含的每个可触发每应用 VPN 连接的 Safari 域，单击“添加”并执行以下操作：
        • **域：**键入要添加的域。
        • 单击“保存”以保存域，或单击“取消”以不保存域。

配置 Juniper SSL 协议（适用于 macOS）

  • **服务器名称或 IP 地址：**键入 VPN 服务器的服务器名称或 IP 地址。
  • **用户帐户：**键入可选的用户帐户。
  • **领域：**键入可选的领域名称。
  • **角色：**键入可选的角色名称。
  • **连接的身份验证类型：**在列表中，选择此连接的身份验证类型为“密码”或“证书”。默认值为“密码”。
    • 如果启用“密码”，请在“身份验证密码”字段中键入可选的身份验证密码。
    • 如果启用“证书”，请配置以下设置：
      • **身份凭据：**在列表中，选择要使用的身份凭据。默认值为“无”。
      • **连接时提示输入 PIN：**选择是否在用户连接到网络时提示他们输入 PIN。默认值为“关”。
      • **启用按需 VPN：**选择是否在用户连接到网络时触发 VPN 连接。默认值为“关”。有关在“启用按需 VPN”为“开”时配置设置的信息，请参阅配置按需 VPN 设置。
  • **启用每应用 VPN：**选择是否启用每应用 VPN。默认值为“关”。如果启用此选项，请配置以下设置：
    • **按需匹配应用已启用：**选择当链接到每应用 VPN 服务的应用启动网络通信时，是否自动触发每应用 VPN 连接。默认值为“关”。
    • Safari 域： 对于要包含的、可触发按应用 VPN 连接的每个 Safari 域，请单击“添加”并执行以下操作：
      • 域： 键入要添加的域。
      • 单击“保存”以保存域，或单击“取消”以不保存域。

为 macOS 配置 F5 SSL 协议

  • 服务器名称或 IP 地址： 键入 VPN 服务器的服务器名称或 IP 地址。
  • 用户帐户： 键入可选的用户帐户。
  • 连接的身份验证类型： 在列表中，为该连接的身份验证类型选择“密码”或“证书”。默认值为“密码”。
    • 如果启用“密码”，请在“身份验证密码”字段中键入可选的身份验证密码。
    • 如果启用“证书”，请配置以下设置：
      • 身份凭据： 在列表中，选择要使用的身份凭据。默认值为“无”。
      • 连接时提示输入 PIN： 选择用户连接到网络时是否提示输入 PIN。默认值为“关”。
      • 启用按需 VPN： 选择用户连接到网络时是否启用触发 VPN 连接。默认值为“关”。有关在“启用按需 VPN”为“开”时配置设置的信息，请参阅配置启用按需 VPN 设置。
  • 启用按应用 VPN： 选择是否启用按应用 VPN。默认值为“关”。如果启用此选项，请配置以下设置：
    • 启用按需匹配应用： 选择当链接到按应用 VPN 服务的应用开始网络通信时，按应用 VPN 连接是否自动触发。默认值为“关”。
    • Safari 域： 对于要包含的、可触发按应用 VPN 连接的每个 Safari 域，请单击“添加”并执行以下操作：
      • **域：**键入要添加的域。
      • 单击保存以保存域，或单击取消以不保存域。

配置适用于 macOS 的 SonicWALL Mobile Connect 协议

  • **服务器名称或 IP 地址：**键入 VPN 服务器的服务器名称或 IP 地址。
  • **用户帐户：**键入可选的用户帐户。
  • **登录组或域：**键入可选的登录组或域。
  • 连接的身份验证类型：在列表中，选择密码或证书作为此连接的身份验证类型。默认值为密码。
    • 如果启用密码，请在身份验证密码字段中键入可选的身份验证密码。
    • 如果启用证书，请配置以下设置：
      • 身份凭据：在列表中，选择要使用的身份凭据。默认值为无。
      • 连接时提示输入 PIN：选择是否在用户连接到网络时提示他们输入 PIN。默认值为关。
      • 启用按需 VPN：选择是否在用户连接到网络时触发 VPN 连接。默认值为关。有关在启用按需 VPN为开时配置设置的信息，请参阅配置启用按需 VPN 设置。
  • 启用每应用 VPN：选择是否启用每应用 VPN。默认值为关。如果启用此选项，请配置以下设置：
    • 按需匹配应用已启用：选择当链接到每应用 VPN 服务的应用发起网络通信时，每应用 VPN 连接是否自动触发。默认值为关。
    • Safari 域：对于要包含的每个可触发每应用 VPN 连接的 Safari 域，请单击添加并执行以下操作：
      • 域： 键入要添加的域。
      • 单击“保存”以保存域，或单击“取消”以不保存域。

配置适用于 macOS 的 Ariba VIA 协议

  • 服务器名称或 IP 地址： 键入 VPN 服务器的服务器名称或 IP 地址。
  • 用户帐户： 键入可选的用户帐户。
  • 连接的身份验证类型： 在列表中，为该连接的身份验证类型选择“密码”或“证书”。默认值为“密码”。
    • 如果启用“密码”，请在“身份验证密码”字段中键入可选的身份验证密码。
    • 如果启用“证书”，请配置以下设置：
      • 身份凭据： 在列表中，选择要使用的身份凭据。默认值为“无”。
      • 连接时提示输入 PIN： 选择用户连接到网络时是否提示其输入 PIN。默认值为“关”。
      • 启用按需 VPN： 选择用户连接到网络时是否启用触发 VPN 连接。默认值为“关”。有关在“启用按需 VPN”为“开”时配置设置的信息，请参阅配置启用按需 VPN 设置。
  • 启用每应用 VPN： 选择是否启用每应用 VPN。默认值为“关”。如果启用此选项，请配置以下设置：
    • 启用按需匹配应用： 选择当链接到每应用 VPN 服务的应用启动网络通信时，每应用 VPN 连接是否自动触发。默认值为“关”。
    • Safari 域： 对于要包含的每个可触发每应用 VPN 连接的 Safari 域，单击“添加”并执行以下操作：
      • 域： 键入要添加的域。
      • 点击 保存 以保存域，或点击 取消 以不保存域。

配置 macOS 的自定义 SSL 协议

  • 自定义 SSL 标识符（反向 DNS 格式）： 以反向 DNS 格式键入 SSL 标识符。此字段为必填项。
  • 服务器名称或 IP 地址： 键入 VPN 服务器的服务器名称或 IP 地址。此字段为必填项。
  • 用户帐户： 键入可选的用户帐户。
    • 连接的身份验证类型： 在列表中，为该连接的身份验证类型选择 密码 或 证书。默认值为 密码。
    • 如果启用 密码，请在 身份验证密码 字段中键入可选的身份验证密码。
    • 如果启用 证书，请配置以下设置：
      • 身份凭据： 在列表中，选择要使用的身份凭据。默认值为 无。
      • 连接时提示输入 PIN： 选择在用户连接到网络时是否提示他们输入 PIN。默认值为 关。
      • 启用按需 VPN： 选择在用户连接到网络时是否启用触发 VPN 连接。默认值为 关。有关在 启用按需 VPN 为 开 时配置设置的信息，请参阅 配置按需 VPN 设置。
    • 每应用 VPN： 选择是否启用每应用 VPN。默认值为 关。如果启用此选项，请配置以下设置：
      • 按需匹配应用已启用： 选择当链接到每应用 VPN 服务的应用启动网络通信时，每应用 VPN 连接是否自动触发。
      • Safari 域： 对于要包含的每个可触发每应用 VPN 连接的 Safari 域，请单击 添加 并执行以下操作：
        • 域： 键入要添加的域。
        • 点击“保存”以保存域，或点击“取消”以不保存域。
  • 自定义 XML： 对于要添加的每个自定义 XML 参数，点击“添加”并执行以下操作：
    • 参数名称： 键入要添加的参数的名称。
    • 值： 键入与“参数名称”关联的值。
    • 点击“保存”以保存域，或点击“取消”以不保存域。

配置启用按需 VPN 选项

  • 按需域： 对于要添加的每个域以及用户连接到这些域时要执行的关联操作，点击“添加”并执行以下操作：
    • 域： 键入要添加的域。
    • 操作： 在列表中选择以下可能的操作之一：
      • 始终建立： 该域始终触发 VPN 连接。
      • 从不建立： 该域从不触发 VPN 连接。
      • 必要时建立： 如果域名解析失败，该域会触发 VPN 连接尝试。当 DNS 服务器无法解析域、重定向到其他服务器或超时时，就会发生失败。
    • 点击“保存”以保存域，或点击“取消”以不保存域。
  • 按需规则
    • 操作： 在列表中，选择要执行的操作。默认值为“EvaluateConnection”。可能的操作包括：
      • 允许：允许按需 VPN 在触发时连接。
      • 连接：无条件启动 VPN 连接。
      • 断开连接：删除 VPN 连接，并且只要规则匹配，就不要按需重新连接。
      • 评估连接：评估每个连接的 ActionParameters 数组。
      • 忽略：保持任何现有 VPN 连接处于活动状态，但只要规则匹配，就不要按需重新连接。
    • DNS 域匹配：对于设备搜索域列表可以匹配的域，单击“添加”并执行以下操作：
      • DNS 域：键入域名。您可以使用通配符“*”前缀来匹配多个域。例如，*.example.com 匹配 mydomain.example.com、yourdomain.example.com 和 herdomain.example.com。
      • 单击“保存”以保存域，或单击“取消”以不保存域。
    • DNS 服务器地址匹配：对于要添加的、网络中任何指定 DNS 服务器可以匹配的每个 IP 地址，单击“添加”并执行以下操作：
      • DNS 服务器地址：键入要添加的 DNS 服务器地址。您可以使用通配符“*”后缀来匹配 DNS 服务器。例如，17.* 匹配 A 类子网中的任何 DNS 服务器。
      • 单击“保存”以保存 DNS 服务器地址，或单击“取消”以不保存 DNS 服务器地址。
    • 接口类型匹配：在列表中，单击正在使用的主要网络接口硬件类型。默认值为“未指定”。可能的值包括：
      • 未指定：匹配任何网络接口硬件。此选项是默认值。
      • 以太网：仅匹配以太网网络接口硬件。
      • Wi-Fi：仅匹配 Wi-Fi 网络接口硬件。
      • 蜂窝网络： 仅匹配蜂窝网络接口硬件。
    • SSID 匹配： 对于要添加的每个与当前网络匹配的 SSID，单击 添加 并执行以下操作。
      • SSID： 键入要添加的 SSID。如果网络不是 Wi-Fi 网络，或者 SSID 未出现，则匹配失败。将此列表留空以匹配任何 SSID。
      • 单击 保存 以保存 SSID，或单击 取消 以不保存 SSID。
    • URL 字符串探测： 键入要获取的 URL。如果此 URL 成功获取且未重定向，则此规则匹配。
    • 操作参数：域： 对于要添加的每个由 EvaluateConnection 检查的域，单击 添加 并执行以下操作：
      • 域： 键入要添加的域。
      • 单击 保存 以保存域，或单击 取消 以不保存域。
    • 操作参数：域操作： 在列表中，为指定的 操作参数：域 选择 VPN 行为。默认值为 ConnectIfNeeded。可能的操作包括：
      • ConnectIfNeeded： 如果域名解析失败，该域将触发 VPN 连接尝试。当 DNS 服务器无法解析域、重定向到其他服务器或超时时，会发生失败。
      • NeverConnect： 该域从不触发 VPN 连接。
    • 操作参数：所需 DNS 服务器： 对于用于解析指定域的每个 DNS 服务器，单击 添加 并执行以下操作：
      • DNS 服务器： 仅当 操作参数 : 域操作 = ConnectIfNeeded 时有效。键入要添加的 DNS 服务器 IP 地址。此服务器可以位于设备当前网络配置之外。如果 DNS 服务器不可达，则会建立 VPN 连接作为响应。此 DNS 服务器必须是内部 DNS 服务器或受信任的外部 DNS 服务器。
      • 单击 保存 以保存 DNS 服务器，或单击 取消 以不保存 DNS 服务器。
    • 操作参数：所需 URL 字符串探测： （可选）键入要使用 GET 请求探测的 HTTP 或 HTTPS（首选）URL。如果 URL 的主机名无法解析、服务器不可达或服务器无响应，则会建立 VPN 连接。仅当 操作参数 : 域操作 = ConnectIfNeeded 时有效。
    • **按需规则：XML 内容：**键入或复制并粘贴 XML 按需配置规则。
      • 单击检查字典以验证 XML 代码。如果 XML 有效，则有效 XML将显示在XML 内容文本框下方。如果无效，则会显示一条错误消息描述该错误。
  • 代理
    • 代理配置：在列表中，选择 VPN 连接如何通过代理服务器路由。默认值为无。
      • 如果启用手动，请配置以下设置：
        • **代理服务器的主机名或 IP 地址：**键入代理服务器的主机名或 IP 地址。此字段为必填项。
        • **代理服务器端口：**键入代理服务器端口号。此字段为必填项。
        • **用户名：**键入可选的代理服务器用户名。
        • **密码：**键入可选的代理服务器密码。
      • 如果配置自动，请配置以下设置：
        • **代理服务器 URL：**键入代理服务器的 URL。此字段为必填项。
  • 策略设置
    • 删除策略：选择一种计划策略删除的方法。可用选项包括选择日期和删除前持续时间（小时）
      • **选择日期：**单击日历以选择具体的删除日期。
      • **删除前持续时间（小时）：**键入一个数字（以小时为单位），直到策略删除发生。
    • 允许用户删除策略： 您可以选择用户何时可以从其设备中删除策略。从菜单中选择“始终”、“需要密码”或“从不”。如果选择“需要密码”，请在“删除密码”字段中键入密码。
    • 配置文件范围： 选择此策略是应用于“用户”还是整个“系统”。默认值为“用户”。此选项仅适用于 macOS 10.7 及更高版本。

Android（旧版设备管理员）设置

设备策略配置屏幕

配置适用于 Android 的 Cisco AnyConnect VPN 协议

  • 连接名称： 键入 Cisco AnyConnect VPN 连接的名称。此字段为必填项。
  • 服务器名称或 IP 地址： 键入 VPN 服务器的名称或 IP 地址。此字段为必填项。
  • 身份凭据： 在列表中，选择一个身份凭据。
  • 备份 VPN 服务器： 键入备份 VPN 服务器信息。
  • 用户组： 键入用户组信息。
  • 受信任的网络
    • 自动 VPN 策略： 启用或禁用此选项以设置 VPN 对受信任和不受信任网络的反应方式。如果启用，请配置以下设置：
      • 受信任网络策略： 在列表中，选择所需的策略。默认值为“断开连接”。可能的选项包括：
        • 断开连接： 客户端在受信任的网络中终止 VPN 连接。此设置为默认值。
        • 连接： 客户端在受信任的网络中启动 VPN 连接。
        • 不执行任何操作： 客户端不执行任何操作。
        • 暂停： 当用户在受信任网络外部建立 VPN 会话，然后进入配置为受信任的网络时，VPN 会话将暂停。当用户再次离开受信任网络时，会话将恢复。此设置消除了离开受信任网络后重新建立 VPN 会话的需要。
      • 不受信任的网络策略： 在列表中，选择所需的策略。默认值为 连接。可能的选项包括：
        • 连接： 客户端在不受信任的网络中启动 VPN 连接。
        • 不执行任何操作： 客户端在不受信任的网络中启动 VPN 连接。此选项禁用始终开启的 VPN。
    • 受信任的域： 对于客户端位于受信任网络中时网络接口拥有的每个域后缀，单击 添加 以执行以下操作：
      • 域： 键入要添加的域。
      • 单击 保存 以保存域，或单击 取消 以不保存域。
    • 受信任的服务器： 对于客户端位于受信任网络中时网络接口拥有的每个服务器地址，单击 添加 并执行以下操作：
      • 服务器： 键入要添加的服务器。
      • 单击 保存 以保存服务器，或单击 取消 以不保存服务器。

配置适用于 Android 的 Citrix SSO 协议

  • 连接名称： 键入 VPN 连接的名称。此字段为必填项。
  • 服务器名称或 IP 地址： 键入 NetScaler Gateway 的 FQDN 或 IP 地址。
  • 连接的身份验证类型： 选择身份验证类型并填写该类型出现的任何字段：
    • 用户名和密码：为身份验证类型为密码或密码和证书的 VPN 键入您的凭据。可选。如果您不提供 VPN 凭据，Citrix VPN 应用程序会提示输入用户名和密码。
    • 身份凭据：显示在身份验证类型为证书或密码和证书时。在列表中，选择一个身份凭据。
  • 启用每应用 VPN：选择是否启用每应用 VPN。如果您不启用每应用 VPN，所有流量都将通过 Citrix VPN 隧道。如果您启用每应用 VPN，请指定以下设置。默认值为关闭。
    • 允许列表或阻止列表：如果为允许列表，则允许列表中的所有应用程序都将通过此 VPN 隧道。如果为阻止列表，则除了阻止列表中的应用程序外，所有应用程序都将通过此 VPN 隧道。
    • 应用程序列表：允许列表或阻止列表中的应用程序。单击添加，然后键入以逗号分隔的应用程序包名称列表。
  • 自定义 XML：单击添加，然后键入自定义参数。Citrix Endpoint Management 支持 Citrix VPN 的以下参数：
    • DisableUserProfiles：可选。要启用此参数，请为值键入是。如果启用，Citrix Endpoint Management 不会显示用户添加的 VPN 连接，并且用户无法添加连接。此设置为全局限制，适用于所有 VPN 配置文件。
    • userAgent：一个字符串值。您可以指定一个自定义的用户代理字符串，以便在每个 HTTP 请求中发送。指定的自定义用户代理字符串将附加到现有的 Citrix VPN 用户代理。
    • IsAlwaysOnVpn：可选。此属性确定 VPN 配置文件是否为“始终开启 VPN”配置文件。设置为是表示 VPN 配置文件是“始终开启 VPN”配置文件，默认值为否。只有一个 VPN 配置文件可以将此属性设置为是，以确保“始终开启 VPN”可靠运行。

配置 VPN 以支持 NAC

  1. 使用连接类型为自定义 SSL来配置 NAC 筛选器。
  2. 指定连接名称为VPN。
  3. 对于自定义 XML，单击添加并执行以下操作：
    • 参数名称：键入 XenMobileDeviceId。此字段是用于基于 Citrix Endpoint Management 中的设备注册进行 NAC 检查的设备 ID。如果 Citrix Endpoint Management 注册并管理设备，则允许 VPN 连接。否则，在建立 VPN 时将拒绝身份验证。
    • 值：键入 DeviceID_${device.id}，这是参数 XenMobileDeviceId 的值。
    • 单击“保存”以保存参数。

配置适用于 Android Enterprise 的 VPN

要为 Android Enterprise 设备配置 VPN，请为 Citrix SSO 应用程序创建 Android Enterprise 托管配置设备策略。请参阅配置适用于 Android Enterprise 的 VPN 配置文件。

Android 企业版设置

设备策略配置屏幕
  • **启用始终开启的 VPN：**选择 VPN 是否始终开启。默认值为“关”。启用后，VPN 连接将保持开启状态，直到用户手动断开连接。
  • VPN 程序包 键入设备使用的 VPN 应用程序的程序包名称。
  • **启用锁定：**如果禁用，则在 VPN 连接不存在时，任何应用程序都无法访问网络。如果启用，则即使 VPN 连接不存在，您在以下设置中配置的应用程序也可以访问网络。适用于 Android 10 及更高版本的设备。
  • **从锁定中排除的应用程序：**单击“添加”以键入要绕过锁定设置的应用程序的程序包名称。

视窗桌面/平板电脑设置

设备策略配置屏幕
  • **连接名称：**输入连接的名称。此字段为必填项。
  • **配置文件类型：**在列表中，选择“本机”或“插件”。默认值为“本机”。
  • **配置本机配置文件类型：**这些设置适用于用户 Windows 设备中内置的 VPN。
    • **服务器地址：**键入 VPN 服务器的 FQDN 或 IP 地址。此字段为必填项。
    • 记住凭据： 选择是否缓存凭据。默认值为“关”。启用后，凭据将尽可能缓存。
    • DNS 后缀： 键入 DNS 后缀。
    • 隧道类型： 在列表中，选择要使用的 VPN 隧道类型。默认值为“L2TP”。可能的选项包括：
      • L2TP： 带预共享密钥身份验证的第 2 层隧道协议。
      • PPTP： 点对点隧道协议。
      • IKEv2： Internet 密钥交换版本 2。
    • 身份验证方法： 在列表中，选择要使用的身份验证方法。默认值为“EAP”。可能的选项包括：
      • EAP： 可扩展身份验证协议。
      • MSChapV2： 使用 Microsoft 质询握手身份验证协议进行相互身份验证。当您为隧道类型选择“IKEv2”时，此选项不可用。
    • EAP 方法： 在列表中，选择要使用的 EAP 方法。默认值为“TLS”。启用 MSChapV2 身份验证时，此字段不可用。可能的选项包括：
      • TLS： 传输层安全性
      • PEAP： 受保护的可扩展身份验证协议
    • 受信任的网络： 键入以逗号分隔的网络列表，这些网络不需要 VPN 连接即可访问。例如，当用户位于公司无线网络上时，他们可以直接访问受保护的资源。
    • 需要智能卡证书： 选择是否需要智能卡证书。默认值为“关”。
    • 自动选择客户端证书： 选择是否自动选择用于身份验证的客户端证书。默认值为“关”。启用“需要智能卡证书”时，此选项不可用。
    • 始终开启 VPN： 选择 VPN 是否始终开启。默认值为“关闭”。启用后，VPN 连接将保持开启状态，直到用户手动断开连接。
    • 本地绕过： 键入地址和端口号以允许本地资源绕过代理服务器。
  • 配置插件配置文件类型： 这些设置适用于从 Windows 应用商店获取并安装在用户设备上的 VPN 插件。
    • 服务器地址： 键入 VPN 服务器的 FQDN 或 IP 地址。此字段为必填项。
    • 记住凭据： 选择是否缓存凭据。默认值为“关闭”。启用后，凭据将尽可能缓存。
    • DNS 后缀： 键入 DNS 后缀。
    • 客户端应用 ID： 键入 VPN 插件的程序包系列名称。
    • 插件配置文件 XML： 通过单击“浏览”并导航到文件位置来选择要使用的自定义 VPN 插件配置文件。有关格式和详细信息，请联系插件提供商。
    • 受信任的网络： 键入以逗号分隔的网络列表，这些网络无需 VPN 连接即可访问。例如，当用户位于公司无线网络中时，他们可以直接访问受保护的资源。
    • 始终开启 VPN： 选择 VPN 是否始终开启。默认值为“关闭”。启用后，VPN 连接将保持开启状态，直到用户手动断开连接。
    • 本地绕过： 键入地址和端口号以允许本地资源绕过代理服务器。

Amazon 设置

设备策略配置屏幕
  • 连接名称： 输入连接名称。
  • VPN 类型： 选择连接类型。可能的选项包括：
    • **L2TP PSK：**带预共享密钥身份验证的二层隧道协议。此设置为默认值。
    • **L2TP RSA：**带 RSA 身份验证的二层隧道协议。
    • **IPSEC XAUTH PSK：**带预共享密钥和扩展身份验证的互联网协议安全。
    • **IPSEC HYBRID RSA：**带混合 RSA 身份验证的互联网协议安全。
    • **PPTP：**点对点隧道协议。
以下各节列出了上述每种连接类型的配置选项。

配置 Amazon 的 L2TP PSK 设置

  • **服务器地址：**键入 VPN 服务器的 IP 地址。
  • **用户名：**键入可选的用户名。
  • **密码：**键入可选的密码。
  • **L2TP 密钥：**键入共享密钥。
  • **IPSec 标识符：**键入用户连接时在其设备上看到的 VPN 连接名称。
  • **IPSec 预共享密钥：**键入密钥。
  • **DNS 搜索域：**键入用户设备的搜索域列表可匹配的域。
  • **DNS 服务器：**键入用于解析指定域的 DNS 服务器的 IP 地址。
  • 转发路由：如果您的企业 VPN 服务器支持转发路由，对于要使用的每个转发路由，单击 添加 并执行以下操作：
    • 转发路由：键入转发路由的 IP 地址。
    • 单击 保存 以保存路由，或单击 取消 以不保存路由。

配置适用于 Amazon 的 L2TP RSA 设置

  • 服务器地址：键入 VPN 服务器的 IP 地址。
  • 用户名：键入可选的用户名。
  • 密码：键入可选的密码。
  • L2TP 密钥：键入共享密钥。
  • DNS 搜索域：键入用户设备的搜索域列表可以匹配的域。
  • DNS 服务器：键入用于解析指定域的 DNS 服务器的 IP 地址。
  • 服务器证书：在列表中，选择要使用的服务器证书。
  • CA 证书：在列表中，选择要使用的 CA 证书。
  • 身份凭据：在列表中，选择要使用的身份凭据。
  • 转发路由：如果您的企业 VPN 服务器支持转发路由，对于要使用的每个转发路由，单击 添加 并执行以下操作：
    • 转发路由：键入转发路由的 IP 地址。
    • 点击 保存 以保存路由，或点击 取消 以不保存路由。

为 Amazon 配置 IPSEC XAUTH PSK 设置

  • 服务器地址： 键入 VPN 服务器的 IP 地址。
  • 用户名： 键入可选的用户名。
  • 密码： 键入可选的密码。
  • IPSec 标识符： 键入用户在连接时在其设备上看到的 VPN 连接的名称。
  • IPSec 预共享密钥： 键入共享密钥。
  • DNS 搜索域： 键入用户设备的搜索域列表可以匹配的域。
  • DNS 服务器： 键入用于解析指定域的 DNS 服务器的 IP 地址。
  • 转发路由： 如果您的公司 VPN 服务器支持转发路由，则对于要使用的每个转发路由，请单击 添加 并执行以下操作：
    • 转发路由： 键入转发路由的 IP 地址。
    • 点击 保存 以保存路由，或点击 取消 以不保存路由。

为 Amazon 配置 IPSEC AUTH RSA 设置

  • 服务器地址： 键入 VPN 服务器的 IP 地址。
  • 用户名： 键入可选的用户名。
  • 密码： 输入可选密码。
  • DNS 搜索域： 输入用户设备的搜索域列表可以匹配的域。
  • DNS 服务器： 输入用于解析指定域的 DNS 服务器的 IP 地址。
  • 服务器证书： 在列表中，选择要使用的服务器证书。
  • CA 证书： 在列表中，选择要使用的 CA 证书。
  • 身份凭据： 在列表中，选择要使用的身份凭据。
  • 转发路由： 如果您的企业 VPN 服务器支持转发路由，则对于要使用的每个转发路由，请单击“添加”并执行以下操作：
    • 转发路由： 输入转发路由的 IP 地址。
    • 单击“保存”以保存路由，或单击“取消”以不保存路由。

配置 Amazon 的 IPSEC HYBRID RSA 设置

  • 服务器地址： 输入 VPN 服务器的 IP 地址。
  • 用户名： 输入可选用户名。
  • 密码： 输入可选密码。
  • DNS 搜索域： 输入用户设备的搜索域列表可以匹配的域。
  • DNS 服务器： 输入用于解析指定域的 DNS 服务器的 IP 地址。
  • 服务器证书： 在列表中，选择要使用的服务器证书。
  • CA 证书： 在列表中，选择要使用的 CA 证书。
  • 转发路由： 如果您的企业 VPN 服务器支持转发路由，则对于要使用的每个转发路由，请单击添加并执行以下操作：
    • 转发路由： 键入转发路由的 IP 地址。
    • 单击保存以保存路由，或单击取消以不保存路由。

配置 Amazon 的 PPTP 设置

  • 服务器地址： 键入 VPN 服务器的 IP 地址。
  • 用户名： 键入可选的用户名。
  • 密码： 键入可选的密码。
  • DNS 搜索域： 键入用户设备的搜索域列表可以匹配的域。
  • DNS 服务器： 键入用于解析指定域的 DNS 服务器的 IP 地址。
  • PPP 加密 (MPPE)： 选择是否使用 Microsoft 点对点加密 (MPPE) 启用数据加密。默认值为关。
  • 转发路由： 如果您的企业 VPN 服务器支持转发路由，则对于要使用的每个转发路由，请单击添加并执行以下操作：
    • 转发路由： 键入转发路由的 IP 地址。
    • 单击保存以保存路由，或单击取消以不保存路由。