创建访问场景回退策略

为了实现Citrix Gateway的接入场景回退功能，需要通过以下方式创建策略和组:

• 创建一个隔离组，如果端点分析扫描失败，用户将放置在该隔离组中。
• 创建在端点分析扫描失败时使用的全局Web Interface或StoreFront设置。
• 创建覆盖全局设置的会话策略，再将会话策略绑定到组。
• 创建全局客户端安全策略，在端点分析失败时应用该策略。

在配置接入场景回退时，请遵循以下原则:

• 使用客户机选择或访问场景回退需要为所有用户提供Endpoint Analysis插件。如果终端分析无法运行或者用户在扫描过程中选择了Skip Scan，则用户将被拒绝访问。注意:在Citrix Gateway 10.1, Build 120.1316.e中删除了跳过扫描的选项
• 启用客户端选择后，如果用户设备端点分析扫描失败，用户将被放入隔离组。用户可以使用Citrix Gateway插件或Citrix Receiver继续登录到Web界面或StoreFront。注意:Citrix建议，如果启用了客户端选项，则不要创建隔离组。终端分析扫描失败并被隔离的用户设备将以与通过终端扫描的用户设备相同的方式处理。
• 如果端点分析扫描失败，且用户被放入隔离组，则绑定到隔离组的策略只有在没有直接绑定到该用户的策略的优先级与绑定到隔离组的策略的优先级相等或更低的策略时才有效。
• 您可以使用不同的web地址访问接口和，web接口或StoreFront。配置首页时，Citrix Gateway插件优先配置“Access Interface”首页，Web Interface用户优先配置“Web Interface”首页。Receiver主页优先于StoreFront。

创建隔离组

1. 在配置实用程序的configuration选项卡中，在导航窗格中展开Citrix Gateway > User Administration，然后单击AAA组。
2. 在详细信息窗格中，单击Add。
3. 在“组名称”中，键入组名称，单击“创建”，然后单击“关闭”。重要提示:隔离组的名称必须与用户可能所属的任何域组的名称不匹配。如果隔离组与Active Directory组名称匹配，则即使用户设备通过端点分析安全扫描，用户也将被隔离。

创建组后，如果用户设备终端分析扫描失败，请配置Citrix Gateway回退到Web界面。

将设置配置为隔离用户连接

1. 在配置实用程序中，在configuration选项卡上，在导航窗格中，展开Citrix Gateway，然后单击Global Settings。
2. 在详细信息窗格的“设置”下，单击“更改全局设置”。
3. 在“全局Citrix网关设置”对话框的“发布的应用程序”选项卡上，在“ICA代理”旁边，选择“关闭”。
4. 在Web接口地址旁边，输入StoreFront或Web接口的Web地址。
5. 在“单点登录域”旁边，键入Active Directory域的名称，然后单击“确定”。

配置全局设置后，创建覆盖全局ICA代理设置的会话策略，然后将会话策略绑定到隔离组。

为“访问场景回退”创建会话策略

1. 在配置实用程序的configuration选项卡上，在导航窗格中展开Citrix Gateway > Policies，然后单击Session。
2. 在详细信息窗格中，单击Add。
3. 在“名称”中，键入策略的名称。
4. 在请求概要文件旁边，单击新建。
5. 在“已发布应用程序”选项卡上，在“ICA代理”旁边，单击“覆盖全局”，选择“启用”，然后单击“创建”。
6. 在“创建会话策略”对话框中，在“命名表达式”后面选择“常规”，选择“True值”，单击“添加表达式”，单击“创建”，然后单击“关闭”。

创建会话策略后，将该策略绑定到隔离组。

将会话策略绑定到隔离组

1. 在配置实用程序的configuration选项卡中，在导航窗格中展开Citrix Gateway > User Administration，然后单击AAA组。
2. 在详细信息窗格中，选择一个组，然后单击Open。
3. 点击会话。
4. 在Policies选项卡上，选择Session，然后单击Insert Policy。
5. 在“策略名称”下，选择策略，然后单击“确定”。

在Citrix Gateway上创建会话策略和启用Web Interface或StoreFront的配置文件后，再创建全局客户端安全策略。

创建全局客户端安全策略

1. 在配置实用程序中，在configuration选项卡上，在导航窗格中，展开Citrix Gateway，然后单击Global Settings。
2. 在详细信息窗格的“设置”下，单击“更改全局设置”。
3. 在“安全”页签中，单击“高级设置”。
4. 在“客户端安全”中，输入表达式。有关配置系统表达式的详细信息，请参见配置系统表达式而且配置复合客户端安全表达式
5. 在隔离组中，选择在组过程中配置的组，然后单击两次确定。