Citrix ICA 与会话接入
1494 是 Citrix ICA（Independent Computing Architecture）的默认会话端口。客户端连接 XenApp/XenDesktop（现统一为 Citrix Virtual Apps and Desktops）的会话主机时，把键盘鼠标事件送上行、把屏幕画面带回本地，靠的就是这条通道。现代部署通常把入口收敛到 StoreFront 的 443 与 Citrix Gateway，1494 主要出现在内网直连场景。
基本信息
| 服务 | Citrix ICA 会话接入 |
|---|---|
| 协议 | TCP（HDX 实时音频等使用 UDP） |
| 关联端口 | 2598 会话可靠性、443 StoreFront/Gateway |
| 用途 | 虚拟桌面与应用发布接入 |
| 安全等级 | 仅限内部或经网关发布 |
典型使用场景
- 内网 VDI 环境里客户端直连会话主机发布桌面与应用
- 排查登录后桌面起不来、会话建立失败，先确认端口可达
- 规划网络策略时把 1494、2598 与 HDX 的 UDP 端口段一起放行
- 通过 Citrix Gateway 发布时逐步关闭内网直连，收窄暴露面
- 资产梳理时用 1494 判断网内存不存在 Citrix 会话主机
连通与入口核查
连通与入口核查
# 会话主机侧确认监听
ss -lntu | grep -E ':(1494|2598) '
# 客户端侧测端口可达性
Test-NetConnection -ComputerName vda01 -Port 1494
# Web 入口探测，确认 StoreFront 状态
curl -skI https://storefront.example.com/Citrix/StoreWeb | head -3Citrix 端口组
| 端口 | 组件 | 作用 |
|---|---|---|
| 1494 | ICA | 会话接入，即本条目 |
| 2598 | Session Reliability | 断线重连，会话可靠性协议 |
| 443 | StoreFront / Gateway | 现代统一入口，认证与发布都在这里 |
| UDP 段 | HDX 实时音频 | 语音与视频重定向，需按部署一并放行 |
多端口规划：把 1494、2598 与 HDX 的 UDP 端口段一起纳入策略。入口收敛到 Gateway 后，内网直连端口应限制到发布层，减少直连面，也便于审计谁访问了哪台桌面。
排障路径：客户端侧问题优先看 Citrix Workspace 应用日志，服务端看会话主机的事件日志。2598 未放行的典型现象是网络抖动后会话直接断开而不是自动重连，这一条能快速区分是网络问题还是会话可靠性未启用。
台账容易漏的一点：同一台会话主机上 ICA 与 RDP 常常并存，日常管理走 RDP、业务交付走 ICA。只按业务端口规划防火墙时，容易连管理通道一起放行，梳理时应把两类通道分开记录，各自限定来源。