TLS 和合规模式配置

此选项使 Citrix Receiver 能够识别安全连接并加密服务器内部的通信。

注意: Citrix 建议使用 TLS 类型的安全连接。

下面是 Citrix 支持在 Citrix Receiver 与 XA/XD 之间使用的 TLS 安全连接类型:
1. TLS 1.0
2. TLS 1.1
3. TLS 1.2
请为所有连接选择所需的 TLS，以确保 Citrix Receiver 为所有类型的连接使用 TLS。
"安全性合规模式"值如下:
- 无 - 不强制执行合规模式
- SP800-52 - 强制执行 NIST SP800-52r1 合规模式
从"安全性合规模式"下拉菜单中选择"SP800-52"时，将允许执行以下证书吊销检查策略(CRCP):
- 需要完全访问检查和 CRL。这是默认选项。
- 全部需要完全访问检查和 CRL

可以限制 Citrix Receiver 仅连接到在"允许的 TLS 服务器"选项中以逗号分隔的列表格式指定的服务器。可以在此处指定通配符和端口号，例如，*.citrix.com:4433 允许连接到端口 4433 上公用名结尾为 .citrix.com 的任何服务器。安全证书中的信息的准确性由证书的颁发者进行断言。如果 Citrix Receiver 无法识别和信任证书的颁发者，连接将被拒绝。
可以将 TLS 版本限制为以下各项的任意组合:

- TLS 1.0、TLS 1.1 或 TLS 1.2
- TLS 1.1 或 TLS 1.2
- 仅限 TLS 1.2

可以将 TLS 密码套件配置为以下选项之一:

- 任意: 设置为"任意"时，将取消配置此策略并允许使用以下密码套件:

> TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
> TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384
> TLS_RSA_WITH_AES_256_GCM_SHA384
> TLS_RSA_WITH_AES_128_GCM_SHA256
> TLS_RSA_WITH_AES_256_CBC_SHA256
> TLS_RSA_WITH_AES_256_CBC_SHA
> TLS_RSA_WITH_AES_128_CBC_SHA
> TLS_RSA_WITH_RC4_128_SHA
> TLS_RSA_WITH_RC4_128_MD5
> TLS_RSA_WITH_3DES_EDE_CBC_SHA

- 商用: 设置为"商用"时，仅允许使用以下密码套件:
> TLS_RSA_WITH_AES_128_GCM_SHA256
> TLS_RSA_WITH_AES_128_CBC_SHA
> TLS_RSA_WITH_RC4_128_SHA
> TLS_RSA_WITH_RC4_128_MD5

- 政府: 设置为"政府"时，仅允许使用以下密码套件:
> TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
> TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384
> TLS_RSA_WITH_AES_256_GCM_SHA384
> TLS_RSA_WITH_AES_128_GCM_SHA256
> TLS_RSA_WITH_AES_256_CBC_SHA256
> TLS_RSA_WITH_AES_256_CBC_SHA
> TLS_RSA_WITH_3DES_EDE_CBC_SHA

"证书吊销检查策略"用于改进 Citrix 服务器的加密身份验证以及提高客户端与服务器之间的 TLS 连接的整体安全性。

启用此设置时，客户端将检查是否已吊销服务器的证书。有多种证书吊销列表检查级别。例如，可以将客户端配置为仅检查其本地证书列表，或者检查本地和网络证书列表。此外，可以将证书检查配置为仅在验证了所有证书吊销列表时才允许用户登录。

"证书吊销检查策略"是某些证书颁发者支持的高级功能。此功能允许管理员在危及证书私钥安全时吊销安全证书(在过期日期之前失效)。

此设置适用的值包括:

- 不检查 - 不执行任何证书吊销列表检查。
- 在不访问网络的情况下检查 - 执行证书吊销列表检查。仅使用本地证书吊销列表存储。忽略所有分发点。查找证书吊销列表并非验证目标 SSL Relay/Secure Gateway 服务器提供的服务器证书的关键。
- 完全访问检查 - 执行证书吊销列表检查。使用本地证书吊销列表存储和所有分发点。如果找到证书的吊销信息，连接将被拒绝。查找证书吊销列表并非验证目标服务器提供的服务器证书的关键。
- 需要完全访问检查和 CRL - 执行证书吊销列表检查，但根 CA 除外。使用本地证书吊销列表存储和所有分发点。如果找到证书的吊销信息，连接将被拒绝。查找所需的所有证书吊销列表是验证的关键。
- 全部需要完全访问检查和 CRL - 执行证书吊销列表检查，包括根 CA。使用本地证书吊销列表存储和所有分发点。如果找到证书的吊销信息，连接将被拒绝。查找所需的所有证书吊销列表是验证的关键。

为一系列产品配置 TLS 的组织可以选择通过指定证书策略 OID 作为安全证书的一部分，来识别 Citrix Receiver 专用的服务器。如果在此处配置了策略 OID，Citrix Receiver 将仅接受声明了兼容策略的证书。

通过 TLS 连接时，服务器可能会被配置为要求 Citrix Receiver 提供用于识别自身的安全证书。使用"客户端身份验证"设置可配置是否自动提供标识，或者是否通知用户。选项如下:

- 已禁用 - 禁用客户端身份验证
- 显示证书选择器 - 始终提示用户选择证书
- 如果可能，则自动选择 - 仅当提供了证书选项时提示用户
从不提供标识
- 使用指定的证书 - 使用在下面的设置中指定的客户端证书

使用"客户端证书"设置可指定用于识别证书的指纹，以避免不必要地提示用户。

receiver.admx