TCP/UDP 应用的 NetScaler Gateway 配置

您可以使用适用于 Web/SaaS 应用的 NetScaler Gateway 配置中概述的过程来配置 TCP/UDP 应用程序。要为 TCP/UDP 应用程序配置网关,必须通过在脚本中为启用 TCP/UDP 应用程序类型支持参数输入 Y 来启用 TCP/UDP 支持。

下图显示了为支持 TCP/UDP 而启用的“启用 TCP/UDP 应用程序类型支持”参数。

NetScaler 配置 1

NetScaler 配置 2

更新 TCP/UDP 应用程序的现有 NetScaler Gateway 配置

如果您要将配置从早期版本更新到 2407,建议您手动更新配置。有关详细信息,请参阅更新现有 NetScaler Gateway 配置的示例命令。此外,您必须更新 NetScaler Gateway 虚拟服务器和会话操作设置。

NetScaler Gateway 虚拟服务器设置

添加或更新现有 NetScaler Gateway 虚拟服务器时,请确保将以下参数设置为定义值。有关示例命令,请参阅更新现有 NetScaler Gateway 配置的示例命令。此外,您必须更新 NetScaler Gateway 虚拟服务器和会话操作设置。

添加虚拟服务器:

  • tcpProfileName:nstcp_default_XA_XD_profile
  • deploymentType:ICA_STOREFRONT(仅在 add vpn vserver 命令中可用)
  • icaOnly:OFF

更新虚拟服务器:

  • tcpProfileName:nstcp_default_XA_XD_profile
  • icaOnly:OFF

有关虚拟服务器参数的详细信息,请参阅 vpn-sessionAction

NetScaler Gateway 会话操作设置

会话操作绑定到具有会话策略的网关虚拟服务器。创建或更新会话操作时,请确保将以下参数设置为定义的值。有关示例命令,请参阅更新现有 NetScaler Gateway 配置的示例命令。此外,您必须更新 NetScaler Gateway 虚拟服务器和会话操作设置。

  • transparentInterception:开
  • SSO:开
  • ssoCredential:PRIMARY
  • useMIP:NS
  • useIIP:关
  • icaProxy:关
  • ClientChoices:开
  • ntDomain:mydomain.com - 用于 SSO(可选)
  • defaultAuthorizationAction:ALLOW
  • authorizationGroup:SecureAccessGroup
  • clientlessVpnMode:关
  • clientlessModeUrlEncoding:TRANSPARENT
  • SecureBrowse:ENABLED

更新现有 NetScaler Gateway 配置的示例命令

注意:

如果您要手动更新现有配置,则除了以下命令外,还必须使用 nsapimgr_wr.sh -ys ns_vpn_enable_spa_tcp_udp_apps=3 命令更新 /nsconfig/rc.netscaler 文件。

  • 添加 VPN 会话操作以支持基于 Citrix Secure Access 的连接。

    add vpn sessionAction AC_AG_PLGspaonprem -splitDns BOTH -splitTunnel ON -transparentInterception ON -defaultAuthorizationAction ALLOW -authorizationGroup SecureAccessGroup -SSO ON -ssoCredential PRIMARY -useMIP NS -useIIP OFF -icaProxy OFF -ClientChoices ON -ntDomain gwonprem.corp -clientlessVpnMode OFF -clientlessModeUrlEncoding TRANSPARENT -SecureBrowse ENABLED

  • 添加 VPN 会话策略以支持基于 Citrix Secure Access 的连接。

    add vpn sessionPolicy PL_AG_PLUGINspaonprem "HTTP.REQ.HEADER(\"User-Agent\").CONTAINS(\"CitrixReceiver\").NOT && HTTP.REQ.HEADER(\"User-Agent\").CONTAINS(\"plugin\")" AC_AG_PLGspaonprem

  • 将会话策略绑定到 VPN 虚拟服务器以支持基于 Citrix Secure Access 的连接。

    bind vpn vserver spaonprem -policy PL_AG_PLUGINspaonprem -priority 115 -gotoPriorityExpression NEXT -type REQUEST

  • 添加 HTTP 标注策略以支持对基于 TCP/UDP 的连接进行授权验证。

    add policy httpCallout SecureAccess_httpCallout_TCP -IPAddress 10.109.224.159 -port 443 -returnType BOOL -httpMethod POST -hostExpr "\"spa.gwonprem.corp\"" -urlStemExpr "\"/secureAccess/authorize\"" -headers Content-Type("application/json") X-Citrix-SecureAccess-Cache("dstip="+HTTP.REQ.HEADER("CSIP").VALUE(0)+"&sessid="+aaa.user.sessionid) -bodyExpr q/"{"+"\"userName\":\""+aaa.USER.NAME.REGEX_REPLACE(re#\\#,"\\\\",ALL)+"\","+"\"domain\":\""+aaa.USER.DOMAIN+"\","+"\"customTags\":\""+http.REQ.HEADER("X-Citrix-AccessSecurity").VALUE(0)+"\","+"\"gatewayAddress\":\"ns224158.gwonprem.corp\","+"\"userAgent\":\"CitrixSecureAccess\","+"\"applicationDomain\":\""+http.REQ.HEADER("CSHOST").VALUE(0)+"\","+"\"smartAccessTags\":\""+aaa.user.attribute("smartaccess_tags")+"\",\"applicationType\":\"ztna\",\"applicationDetails\":{\"destinationIp\":\""+HTTP.REQ.HEADER("CSIP").VALUE(0)+"\",\"destinationPort\":\""+HTTP.REQ.HEADER("PORT").VALUE(0)+"\",\"protocol\":\"TCP\"}}"/ -scheme https -resultExpr "http.RES.HEADER(\"X-Citrix-SecureAccess-Decision\").contains(\"ALLOW\")"

  • 添加授权策略以支持基于 TCP/UDP 的连接。

    add authorization policy SECUREACCESS_AUTHORIZATION_TCP "HTTP.REQ.URL.EQ(\"/cs\") && HTTP.REQ.HEADER(\"PRTCL\").EQ(\"TCP\") && sys.HTTP_CALLOUT(SecureAccess_httpCallout_TCP)" ALLOW

  • 将授权策略绑定到身份验证和授权组,以支持基于 TCP/UDP 的应用程序。

    bind aaa group SecureAccessGroup -policy SECUREACCESS_AUTHORIZATION_TCP -priority 1010 -gotoPriorityExpression END

其他信息

有关用于 Secure Private Access 的 NetScaler Gateway 的更多信息,请参阅以下主题:

TCP/UDP 应用的 NetScaler Gateway 配置