如何通过Citrix会话端口转发实现本地直连内网Web服务？

方案1：基于现有RDP连接的端口转发（无需管理员权限，优先推荐） #

你当前已经能通过Citrix连接到内网VM，直接用RDP原生的端口转发能力就能实现，不需要修改任何Citrix侧配置，落地成本最低：

• 打开本地开发PC的「远程桌面连接（mstsc）」，展开「显示选项」
• 切换到「本地资源」选项卡，点击本地设备和资源区域下方的「更多」按钮
• 展开「端口」分类，选择「添加」，按规则填写转发规则：
  • 本地端口：选择本地未被占用的端口，若要直接用域名无端口访问，Web是HTTP就填80，是HTTPS就填443（注意提前关闭本地PC占用这两个端口的服务，比如IIS、本地Nginx等）
  • 远程地址：填Web服务器的LAN地址10.10.13.3
  • 远程端口：填Web服务实际监听的端口，HTTP默认80、HTTPS默认443
• 保存RDP配置后正常连接VM，此时本地PC发往对应本地端口的流量，会自动通过RDP隧道经VM转发到内网Web服务器
• 若要保留原有域名some.webserver.local访问，把你之前hosts文件里的配置替换成下面的内容即可（之前直接指向10.10.13.3的配置无效，因为你的本地PC没有到这个私网段的路由，请求根本发不出去）：

127.0.0.1 some.webserver.local

如果习惯用命令行操作，也可以直接在PowerShell里执行命令启动带转发规则的RDP连接，不用手动点GUI配置：

# 示例为转发本地80端口到内网10.10.13.3的80端口，按实际端口替换即可
mstsc /v:"你连接VM的RDP地址" /redirect:TCP:80:10.10.13.3:80

方案2：Citrix网关原生内网应用发布（需要Citrix管理员权限） #

如果需要长期稳定访问，可以联系Citrix管理员配置原生的TCP应用转发，不需要依赖RDP中转：

• 管理员登录Citrix Gateway/ADC控制台，在内网资源配置中新增TCP类型的内网应用
• 配置目标地址为10.10.13.3，目标端口为Web服务对应的监听端口
• 将该应用授权给你的开发账号
• 本地PC安装Citrix Workspace客户端登录账号后，会自动下发到该内网段的路由，此时你最开始配置的hosts条目（域名指向10.10.13.3）可以直接生效，直接访问域名就能连通Web服务。

方案3：VM侧常驻端口转发（适合多人共用中转场景） #

如果有多个开发同事需要访问这个Web服务，可以在你有权限的内网VM上配置常驻端口转发：

• 若VM为Windows系统，以管理员身份打开PowerShell执行如下命令添加端口代理：

# 示例为监听VM所有网卡的8080端口，转发到10.10.13.3的80端口
netsh interface portproxy add v4tov4 listenaddress=0.0.0.0 listenport=8080 connectaddress=10.10.13.3 connectport=80

• 配置VM防火墙放开对应监听端口的入站规则
• 后续本地PC只需要通过RDP或者Citrix端口映射访问VM的8080端口，就能直达Web服务，不需要每次连接都单独配置转发规则。

注意：所有私网IP段（10.0.0.0/8、172.16.0.0/12、192.168.0.0/16）在公网侧默认不可路由，你之前直接在本地hosts把域名指向10.10.13.3的操作，会让本地PC直接向公网发送目标为私网地址的请求，运营商会直接丢弃这类流量，不可能连通，必须通过有内网访问权限的节点做流量中转才能实现直连效果。

内容的提问来源于stack exchange，提问作者Jaquarh