Citrix 会话可靠性与 2598 端口
2598 是 Citrix 虚拟桌面与应用交付体系中会话可靠性功能的默认端口，历史上称为 CGP。它在 ICA 会话之外再建一条通道：网络抖动或短时中断时把会话挂起并在链路恢复后自动重连，用户不必重新登录。它配合 1494 的 ICA 主通道使用，接入网关部署中通常把它收敛到 443，直接放 2598 到公网的旧部署需要重点审计。
基本信息
| 服务 | Citrix Session Reliability，历史称 CGP |
|---|---|
| 端口/协议 | TCP 2598 |
| 配套端口 | 1494 为 ICA 主通道，443 为网关接入 |
| 适用平台 | Citrix Virtual Apps and Desktops 等交付环境 |
| 权限要求 | 终端用户凭客户端连接，配置在站点与网关侧 |
| 安全等级 | 仅内网接入层，或经网关收敛到 443 |
典型处置场景
- 移动办公：切换网络时保持会话不中断
- 弱网环境：丢包较高时依靠重连机制维持体验
- 网关接入：经 ADC 收敛后对外只暴露 443
- 排障对比：区分 ICA 主通道与会话可靠性通道的问题
- 安全审计：盘点仍直连 2598 的老部署
通道连通性核查
通道连通性核查
nc -zv vda01 2598 # 测试会话可靠性端口连通性
nc -zv vda01 1494 # 对比 ICA 主通道
sudo lsof -i :2598 # 反查本机监听进程
ss -lntp | grep -E ':(1494|2598) ' # 核对本机监听
# 网关部署下对外只暴露 443，内部再按需放行 1494 与 2598端口角色对照
| 端口 | 角色 | 说明 |
|---|---|---|
| 1494 | ICA 主通道 | 虚拟桌面与应用的传统通信端口 |
| 2598 | 会话可靠性 | 断线重连与挂起恢复 |
| 443 | 网关接入 | 经 ADC 收敛后的统一入口 |
| 内部端口 | 网关与站点通信 | 按实际拓扑规划 |
运维要点
- 弱网场景先确认会话可靠性是否启用，再评估网络改造
- 网关策略变更后抽样验证断线恢复行为，别只看能否登录
- 把老直连部署纳入替换计划，逐步收敛到统一入口
- 客户端版本差异会影响重连表现，升级前先在小组验证
- 会话质量指标纳入监控，重连频繁通常指向链路而非客户端
会话可靠性解决的是短时网络中断，不解决服务端故障。若承载主机的服务本身异常，重连同样会失败，排查时先看会话能否自动恢复，再看服务端记录。
老部署把 2598 直接映射到公网，等于把虚拟桌面协议暴露在互联网上。正确做法是经网关汇聚到 443 并做强认证，同时限制允许接入的客户端范围。