TCP/UDP 应用的 NetScaler Gateway 配置
您可以使用适用于 Web/SaaS 应用的 NetScaler Gateway 配置中概述的过程来配置 TCP/UDP 应用程序。要为 TCP/UDP 应用程序配置网关,必须通过在脚本中为启用 TCP/UDP 应用程序类型支持参数输入 Y 来启用 TCP/UDP 支持。
下图显示了为支持 TCP/UDP 而启用的“启用 TCP/UDP 应用程序类型支持”参数。
更新 TCP/UDP 应用程序的现有 NetScaler Gateway 配置
如果您要将配置从早期版本更新到 2407,建议您手动更新配置。有关详细信息,请参阅更新现有 NetScaler Gateway 配置的示例命令。此外,您必须更新 NetScaler Gateway 虚拟服务器和会话操作设置。
NetScaler Gateway 虚拟服务器设置
添加或更新现有 NetScaler Gateway 虚拟服务器时,请确保将以下参数设置为定义值。有关示例命令,请参阅更新现有 NetScaler Gateway 配置的示例命令。此外,您必须更新 NetScaler Gateway 虚拟服务器和会话操作设置。
添加虚拟服务器:
- tcpProfileName:nstcp_default_XA_XD_profile
- deploymentType:ICA_STOREFRONT(仅在
add vpn vserver
命令中可用) - icaOnly:OFF
更新虚拟服务器:
- tcpProfileName:nstcp_default_XA_XD_profile
- icaOnly:OFF
有关虚拟服务器参数的详细信息,请参阅 vpn-sessionAction。
NetScaler Gateway 会话操作设置
会话操作绑定到具有会话策略的网关虚拟服务器。创建或更新会话操作时,请确保将以下参数设置为定义的值。有关示例命令,请参阅更新现有 NetScaler Gateway 配置的示例命令。此外,您必须更新 NetScaler Gateway 虚拟服务器和会话操作设置。
-
transparentInterception
:开 -
SSO
:开 -
ssoCredential
:PRIMARY -
useMIP
:NS -
useIIP
:关 -
icaProxy
:关 -
ClientChoices
:开 -
ntDomain
:mydomain.com - 用于 SSO(可选) -
defaultAuthorizationAction
:ALLOW -
authorizationGroup
:SecureAccessGroup -
clientlessVpnMode
:关 -
clientlessModeUrlEncoding
:TRANSPARENT -
SecureBrowse
:ENABLED
更新现有 NetScaler Gateway 配置的示例命令
注意:
如果您要手动更新现有配置,则除了以下命令外,还必须使用
nsapimgr_wr.sh -ys ns_vpn_enable_spa_tcp_udp_apps=3
命令更新 /nsconfig/rc.netscaler 文件。
-
添加 VPN 会话操作以支持基于 Citrix Secure Access 的连接。
add vpn sessionAction AC_AG_PLGspaonprem -splitDns BOTH -splitTunnel ON -transparentInterception ON -defaultAuthorizationAction ALLOW -authorizationGroup SecureAccessGroup -SSO ON -ssoCredential PRIMARY -useMIP NS -useIIP OFF -icaProxy OFF -ClientChoices ON -ntDomain gwonprem.corp -clientlessVpnMode OFF -clientlessModeUrlEncoding TRANSPARENT -SecureBrowse ENABLED
-
添加 VPN 会话策略以支持基于 Citrix Secure Access 的连接。
add vpn sessionPolicy PL_AG_PLUGINspaonprem "HTTP.REQ.HEADER(\"User-Agent\").CONTAINS(\"CitrixReceiver\").NOT && HTTP.REQ.HEADER(\"User-Agent\").CONTAINS(\"plugin\")" AC_AG_PLGspaonprem
-
将会话策略绑定到 VPN 虚拟服务器以支持基于 Citrix Secure Access 的连接。
bind vpn vserver spaonprem -policy PL_AG_PLUGINspaonprem -priority 115 -gotoPriorityExpression NEXT -type REQUEST
-
添加 HTTP 标注策略以支持对基于 TCP/UDP 的连接进行授权验证。
add policy httpCallout SecureAccess_httpCallout_TCP -IPAddress 10.109.224.159 -port 443 -returnType BOOL -httpMethod POST -hostExpr "\"spa.gwonprem.corp\"" -urlStemExpr "\"/secureAccess/authorize\"" -headers Content-Type("application/json") X-Citrix-SecureAccess-Cache("dstip="+HTTP.REQ.HEADER("CSIP").VALUE(0)+"&sessid="+aaa.user.sessionid) -bodyExpr q/"{"+"\"userName\":\""+aaa.USER.NAME.REGEX_REPLACE(re#\\#,"\\\\",ALL)+"\","+"\"domain\":\""+aaa.USER.DOMAIN+"\","+"\"customTags\":\""+http.REQ.HEADER("X-Citrix-AccessSecurity").VALUE(0)+"\","+"\"gatewayAddress\":\"ns224158.gwonprem.corp\","+"\"userAgent\":\"CitrixSecureAccess\","+"\"applicationDomain\":\""+http.REQ.HEADER("CSHOST").VALUE(0)+"\","+"\"smartAccessTags\":\""+aaa.user.attribute("smartaccess_tags")+"\",\"applicationType\":\"ztna\",\"applicationDetails\":{\"destinationIp\":\""+HTTP.REQ.HEADER("CSIP").VALUE(0)+"\",\"destinationPort\":\""+HTTP.REQ.HEADER("PORT").VALUE(0)+"\",\"protocol\":\"TCP\"}}"/ -scheme https -resultExpr "http.RES.HEADER(\"X-Citrix-SecureAccess-Decision\").contains(\"ALLOW\")"
-
添加授权策略以支持基于 TCP/UDP 的连接。
add authorization policy SECUREACCESS_AUTHORIZATION_TCP "HTTP.REQ.URL.EQ(\"/cs\") && HTTP.REQ.HEADER(\"PRTCL\").EQ(\"TCP\") && sys.HTTP_CALLOUT(SecureAccess_httpCallout_TCP)" ALLOW
-
将授权策略绑定到身份验证和授权组,以支持基于 TCP/UDP 的应用程序。
bind aaa group SecureAccessGroup -policy SECUREACCESS_AUTHORIZATION_TCP -priority 1010 -gotoPriorityExpression END
其他信息
有关用于 Secure Private Access 的 NetScaler Gateway 的更多信息,请参阅以下主题: