超越补丁：保护您的 NetScaler 网关免受未来漏洞威胁
内容提要
文章以Citrix NetScaler高危漏洞为例，说明公网登录页是重要攻击面，建议在打补丁之外构建纵深防御：用Cloudflare Access在请求到达网关前实施零信任访问控制，通过Tunnel或专用出口IP限制源站直连，用WAF及机器学习评分拦截恶意请求，并将零信任扩展到桌面访问以减少暴露。
延伸解读
补丁之外，为何仍需纵深防御
文章指出，NetScaler漏洞的根源在于登录页必须公网可达，而打补丁需要逐一识别、更新和测试，可能造成业务中断。WAF规则虽能争取时间，但本质是反应式的，无法应对下一个未知漏洞。因此，在补丁之外构建独立于漏洞签名的访问控制层，才能避免单一软件缺陷直接导致入侵。
把访问决策前置到认证服务器之前
Cloudflare Access在请求到达NetScaler网关前强制执行零信任策略，攻击者只能看到Access登录页，无法触及网关本身。这不同于依赖漏洞签名的拦截，而是基于身份和策略判断“谁有权访问”。文章强调，这种逻辑分离不自动覆盖DTLS等非Web接口，这些接口仍需单独审查暴露面并更新。
源站连接必须同步收紧
仅修改DNS并启用Access策略并不足够：若攻击者能通过IP或备用主机名直连源站，前置控制即失效。文章建议用Cloudflare Tunnel关闭所有入站IP流量，或在必须保留公网IP时，通过专用出口IP和防火墙限制仅允许Cloudflare流量，并可结合双向TLS和JWT验证，确保请求确实经过Access认证。
分阶段落地，先验证再扩展
文章建议从一个受保护服务开始，将Web和非Web路径纳入其中，并在扩展前验证边界：未登录请求应停在Cloudflare、非授权账号无法访问、直连源站和备用主机名均被阻断、授权用户仍能正常启动桌面。同时提醒，消费者登录页等可能需保持公开，应避免引入循环认证依赖，让可达性成为设计决策而非默认继承。
Q&A
Citrix NetScaler 最近披露的漏洞具体是什么？攻击者能利用它做什么？
Citrix 在 2026 年 9 月 27 日的公告中报告了 CVE-2026-88771 和 CVE-2026-88772 的野外利用。第一个漏洞允许在受影响设备上（包括默认配置）进行未认证的命令执行；第二个影响使用数据报传输层安全（DTLS）的配置。10 月 3 日和 10 月 8 日的进一步公告还涉及 SAML 配置中的其他漏洞。这些漏洞允许攻击者在目标机器上执行任意脚本，并发起拒绝服务攻击。
为什么仅仅给 NetScaler 打补丁还不够？
因为打补丁需要识别、更新和测试每个实例，在生产环境中应用更新可能造成停机或中断员工使用。而且补丁可用并不保证安全，攻击者可能利用新变种绕过。WAF 规则虽然能争取时间，但它是被动的，无法应对下一个未知漏洞。AI 加速了攻击者发现新变种的速度，因此需要构建纵深防御，确保单一软件故障不会导致严重安全事件。
Cloudflare Access 如何帮助保护 NetScaler 网关？
Cloudflare Access 可以在请求到达现有网关服务器之前强制执行独立的访问策略。Citrix 环境继续决定用户可以启动哪个桌面并验证会话票据。这层额外边界确保攻击者永远无法接触到 Gateway 服务器来尝试运行特定漏洞利用，他们只会看到 Cloudflare Access 的登录页面。访问决策不再依赖于识别漏洞签名，而是基于零信任策略判断用户是否应该被允许访问。
如何防止攻击者绕过 Cloudflare Access 直接连接到源站？
仅更改 DNS 记录和强制执行 Access 策略是不够的，如果攻击者能连接到原始地址或备用主机名，就能绕过控制。Access 只对特定主机名生效，因此必须确保所有流量都经过 Access 验证。常用方法包括：使用 Cloudflare Tunnel 建立仅出站的隧道并关闭所有入站 IP 流量；当必须保留公共源站 IP 时，使用专用 CDN 出口 IP 并配置源站防火墙仅允许这些地址；还可以通过双向 TLS 的认证源站拉取（Authenticated Origin Pulls）以及验证 Access JSON Web Token 来增加深度。
Cloudflare 的 WAF 在保护 NetScaler 网关中扮演什么角色？
Cloudflare 的 WAF 检查发往同一受保护服务的 HTTP 请求，并在任何 Access 认证检查之前运行。它可以完全阻止已知恶意 IP、特定国家、ASN 或其他明确不应访问应用的属性。WAF 持续对所有请求运行，还能识别已通过认证但试图利用已知 CVE 签名运行漏洞的用户。除了托管 CVE 签名，WAF 攻击评分利用机器学习识别不完全匹配已知规则的潜在恶意请求，管理员可以使用该评分来阻止或挑战请求。
除了保护 Web 认证路径，如何将零信任扩展到桌面访问？
Cloudflare 的零信任架构也支持控制对桌面基础设施本身的访问。通过 Cloudflare One 客户端和私有网络连接，团队可以限制哪些用户和设备可以访问承载桌面流量的端点，包括现有的 ICA 路径。这需要单独的路由和策略设计，不是浏览器认证代理单独提供的功能。对于支持的 Windows 工作负载，Cloudflare 基于浏览器的远程桌面访问可以通过 Cloudflare Tunnel 将用户连接到 Windows 主机，无需本地远程桌面客户端。如果用户只需要桌面打开 Web 应用，Access 和浏览器隔离可以替代该用例。
