Você não pode, a menos que seus servidores XenApp também tenham IP de Internet. Uma vez que a interface da web tenha lidado com a autenticação, ela não faz nenhum tunelamento, portanto, o cliente precisa ser capaz de se conectar diretamente ao servidor XenApp.
A alternativa é o Citrix Access Gateway ou o Citrix Secure Gateway. O último fica no topo da interface da Web e foi projetado para fazer exatamente o que você precisa.