Citrix客户希望可以限制外网用户登录使用云桌面的时间，让用户只能在特定时间段登录云桌面。

今天分享一个比较有意思的安全接入场景设置，客户希望可以限制外网用户登录使用云桌面的时间，让用户只能在特定时间段登录云桌面。目的也很明确，罗列如下：

1、不希望用户晚上接入进来做违规的事情

2、明确每天有固定的时间作为运维窗口

3、限制使用时间，让云桌面的运维时间固定在IT正常工作时间

根据分析我们计划从安全网关上去寻找突破，来实现智能化的时间限制。

实现原理

Citrix安全网关可以通过表达式的方式来实现如上的需求，表达式可以用在认证策略或者session policy上，实现的效果不一样，前者是用户认证都无法通过，后者是用户可以认证通过但访问不到StoreFront（因为hit 不了session policy）。结合实际环境而言，我们认为配置在认证策略上更符合限制要求，因此本次操作配置只针对认证策略做讲解。

1、使用经典表达式：

BETWEEN '01:00:00GMT-10:00:00GMT'

但这个表达式是针对classic policy的表达式（比如ns_true就属于classic表达式，true就属于高级表达式）。

2、如果是高级表达式，可以尝试几种格式：

比如每天的9点到18点：

1. TIME.GE(GMT1h)&&SYS.TIME.LE(GMT 10h)

2. TIME.HOURS.BETWEEN(9,18)

注：以上表达式注意为GMT时区，中国时区为GMT+8，因此需要在实际时间的基础上-8。

操作步骤

1、登录ADC管理界面，进入此路径Citrix Gateway》Policies-Authentication》LDAP（请自行判断使用的认证策略，本文使用的是LDAP认证策略），选择Policies。

2、在现有LDAP策略的Expressiom项中写入以下表达式

TIMEBETWEEN 01:00:00GMT-11:00:00GMT

（此表达式为仅允许每天9点到19点登录）

 3、不在规定时间内登录会显示以下报错