Stellen Sie sicher, dass die erforderlichen Ports, Protokolle und Ziel-URLs für Ihre Horizon Cloud on Amazon WorkSpaces Core-Bereitstellung die erforderliche Kommunikation ermöglichen. Verwenden Sie die nachstehenden Tabellen, um sicherzustellen, dass Ihre Netzwerkkonfiguration und Firewalls den Kommunikationsdatenverkehr zulassen, der für eine erfolgreiche Bereitstellung und den täglichen Betrieb erforderlich ist.
Die für Ihre Bereitstellung erforderlichen spezifischen Ports und Protokolle hängen teilweise von den ausgewählten Funktionen ab. Wenn Sie eine bestimmte Komponente oder ein bestimmtes Protokoll nicht verwenden möchten, ist der dafür erforderliche Kommunikationsdatenverkehr nicht notwendig, und Sie können die mit dieser Komponente verknüpften Ports ignorieren.
Wichtig: Um die entsprechenden URLs und Platzhalter-Unterdomänen zuzulassen, fügen Sie sie einer Positivliste für Ihre Firewall und Netzwerksicherheitsgruppe hinzu und umgehen Sie SSL-DPI (Deep Packet Inspection) sowohl in der Firewall als auch gegebenenfalls auf dem Proxyserver. Wenn das Horizon Edge Gateway über einen Proxyserver mit dem Horizon Agent verbunden ist, umgehen Sie SSL-DPI im Proxyserver für die folgenden URLs und Platzhalter-Unterdomänen. Informationen zu Situationen, in denen die Verwendung von URLs nicht möglich ist, finden Sie im KB-Artikel 6000374 – IP-Adressen für Dienstkomponenten.
Ports und Protokolle, die für Horizon Edge erforderlich sind
Wenn Sie Horizon-Infrastrukturüberwachung aktivieren, wird Horizon Edge im zugehörigen Abonnement bereitgestellt und konfiguriert. In der folgenden Tabelle sind neben den Ports und Protokollen, die während des Aktivierungsvorgangs (in dem die Appliance die Manager-VMs bereitstellt und konfiguriert, damit die Appliance Überwachungsdaten erfassen kann) benötigt werden, auch die Ports und Protokolle aufgeführt, die während Steady-State-Vorgängen benötigt werden.
| Quelle | Ziel | Ports | Protokolle | Zweck |
|---|---|---|---|---|
| Horizon Edge | Unified Access Gateway-VMs | 9443 | HTTPS | Dieser Port wird von der Edge-VM über das Verwaltungs-Subnetz verwendet, um Einstellungen in der Unified Access Gateway-Konfiguration des Edge zu konfigurieren. Diese Port-Anforderung gilt bei der erstmaligen Bereitstellung einer Unified Access Gateway-Konfiguration und bei der Bearbeitung eines Edge, um eine Unified Access Gateway-Konfiguration hinzuzufügen oder die Einstellungen für diese Unified Access Gateway-Konfiguration zu aktualisieren, sowie bei der Überwachung der Sitzungsstatistiken vom Unified Access Gateway. |
| Horizon Edge | Domänencontroller | Kerberos: 88 LDAP: 389, 3268 LDAPS: 636, 3269 | TCP, UDP | Registrieren Ihrer Horizon Cloud bei der Domäne und für die SSO-Anmeldung und regelmäßige Erkennung von Domänencontrollern. Diese Ports sind für LDAP- oder LDAPS-Dienste erforderlich, wenn LDAP/LDAPS in diesem Workflow angegeben wird. LDAP ist die Standardeinstellung für die meisten Mandanten. Ziel ist der Server, der eine Domänencontrollerrolle in der Active Directory-Konfiguration enthält. |
| Horizon Edge | AD-Zertifikatsdienste | 135 und ein Port im Bereich von 49152 bis 65535 | TCP (RPC) | Verbinden mit der Microsoft-Zertifizierungsstelle (AD CS), um kurzfristige Zertifikate für True SSO zu erhalten. Horizon Edge verwendet TCP-Port 135 für die anfängliche RPC-Kommunikation und anschließend einen Port im Bereich von 49152 bis 65535 für die Kommunikation mit AD CS. |
| Horizon Edge | DNS-Server | 53 und 853 | TCP, UDP | DNS-Dienste |
| Horizon Edge | - *.blob.core.windows.net- *.blob.storage.azure.net | 443 | TCP | Wird für den programmgesteuerten Zugriff auf den Azure Blob Storage und zum Hochladen der Horizon Edge-Protokolle bei Bedarf verwendet. Wird zum Herunterladen von Docker-Images für die Erstellung der erforderlichen Horizon Edge-Module verwendet, die für die Überwachung, SSO, UAG-Updates usw. geeignet sind. |
| Horizon Edge | horizonedgeprod.azurecr.io | 443 | TCP | Wird zur Authentifizierung während des Herunterladens von Docker-Images für die Erstellung der erforderlichen Horizon Edge-Module verwendet, die für die Überwachung, SSO, UAG-Updates usw. geeignet sind. |
| Horizon Edge | *.azure-devices.netRegionsspezifische Namen: Nordamerika: - edgehubprodna.azure-devices.netEuropa: - edgehubprodeu.azure-devices.netJapan: - edgehubprodjp.azure-devices.net | 443 | TCP | Appliance, die für die Kommunikation mit der Cloud-Steuerungsebene, zum Herunterladen von Konfigurationen für das Modul der Appliance und zum Aktualisieren des Laufzeitstatus des Appliance-Moduls verwendet wird. |
| Horizon Edge | *.data.workspaceone.comRegionsspezifische Namen: - eventproxy.na1.data.workspaceone.com- eventproxy.eu1.data.workspaceone.com- eventproxy.eu2.data.workspaceone.com- eventproxy.uk1.data.workspaceone.com- eventproxy.ca1.data.workspaceone.com- eventproxy.ap1.data.workspaceone.com- eventproxy.ap2.data.workspaceone.com- eventproxy.au1.data.workspaceone.com- eventproxy.in1.data.workspaceone.com | 443 | TCP | Zum Senden von Ereignissen oder Metriken an Workspace ONE Intelligence für die Überwachung von Daten. Weitere Informationen finden Sie unter Workspace ONE Intelligence. |
| Horizon Edge | login.microsoftonline.com | 443 | TCP | Wird in der Regel von Anwendungen zur Authentifizierung beim Microsoft Azure-Dienst verwendet. |
| Horizon Edge | *.horizon.omnissa.comRegionsspezifische Endpoints: US: - cloud-sg-us-r-westus2.horizon.omnissa.com- cloud-sg-us-r-eastus2.horizon.omnissa.com- cloud-sg-us.horizon.omnissa.comEU: - cloud-sg-eu-r-northeurope.horizon.omnissa.com- cloud-sg-eu-r-germanywestcentral.horizon.omnissa.com- cloud-sg-eu.horizon.omnissa.com- cloud-sg-eu-r-uksouth.horizon.omnissa.comJP: - cloud-sg-jp-r-japaneast.horizon.omnissa.com- cloud-sg-jp.horizon.omnissa.com- cloud-sg-jp-r-australiaeast.horizon.omnissa.com- cloud-sg-jp-r-centralindia.horizon.omnissa.com | 443 | TCP | Appliance, die für die Kommunikation mit der Cloud Control Plane und für Tag-2-Vorgänge verwendet wird. |
| Horizon Edge Gateway (Typ „Einzelne VM“) | NTP-Server | 123 | UDP | NTP-Dienste. |
VM-Ports und Protokollanforderungen für Unified Access Gateway
Zusätzlich zu den primären Ports und Protokollen, die in der obigen Tabelle aufgeführt sind, gelten die Ports und Protokolle in den folgenden Tabellen für die Gateways, die für laufende Vorgänge nach der Bereitstellung konfiguriert wurden. Für Verbindungen, die mit Unified Access Gateway-Instanzen konfiguriert sind, muss der Datenverkehr zu und von den Unified Access Gateway-Instanzen zu den im Folgenden aufgeführten Zielen zugelassen werden.
Hinweis:
- Für diese vom Dienst bereitgestellten Unified Access Gateway-Instanzen müssen die UDP-Ports sowohl Weiterleitungs- als auch Antwort-UDP-Datagramme zulassen. Unified Access Gateway-Dienste verwenden beispielsweise DNS, um Hostnamen aufzulösen. DNS-Anforderungen werden auf UDP-Port 53 durchgeführt. Daher ist es wichtig, dass eine externe Firewall diese Anforderungen oder Antworten nicht blockiert.
- Das Unified Access Gateway wird in einer Konfiguration mit mehreren Netzwerkkarten bereitgestellt. In der Spalte „Quellnetzwerk“ wird angegeben, aus welchem Netzwerk der Datenverkehr stammt.
- Umgehen Sie SSL-DPI (Deep Packet Inspection) im DMZ-Subnetz für alle unten aufgeführten URLs und Platzhalter-Unterdomänen – in der Firewall für Datenverkehr vom Unified Access Gateway zu
*.horizon.omnissa.com-Endpoints und auf jedem Proxyserver, der vom Unified Access Gateway zum Erreichen der Endpoints der Cloud Control Plane verwendet wird.
| Quelle | Ziel | Port | Quellnetzwerk | Protokolle | Zweck |
|---|---|---|---|---|---|
| Unified Access Gateway | *.horizon.omnissa.comRegionsspezifische Endpoints: US: - cloud-sg-us.horizon.omnissa.com- cloud-sg-us-r-westus2.horizon.omnissa.com- cloud-sg-us-r-eastus2.horizon.omnissa.comEU: - cloud-sg-eu.horizon.omnissa.com- cloud-sg-eu-r-northeurope.horizon.omnissa.com- cloud-sg-eu-r-germanywestcentral.horizon.omnissa.com- cloud-sg-eu-r-uksouth.horizon.omnissa.comJP: - cloud-sg-jp.horizon.omnissa.com- cloud-sg-jp-r-japaneast.horizon.omnissa.com- cloud-sg-jp-r-australiaeast.horizon.omnissa.com- cloud-sg-jp-r-centralindia.horizon.omnissa.com | 443 | DMZ-Netzwerk | TCP, UDP | Unified Access Gateway muss diese Adressen jederzeit auflösen können, sonst kann der Benutzer die Sitzung nicht starten, da Unified Access Gateway den JWK-Satz aus cloud-sg-<region>-r-<DC>.horizon.omnissa.com abruft. |
| Unified Access Gateway | DNS-Server | 53 und 853 | Beliebig | TCP, UDP | DNS-Dienste |
| Unified Access Gateway | Horizon Agent in den Desktop- oder Farm-RDSH-VMs | 22443 | Mandantennetzwerk | TCP, UDP | Blast Extreme-Anzeigeprotokoll. Der CDR-Datenverkehr (Client Drive Redirection) und der USB-Datenverkehr werden standardmäßig über diesen Port geleitet. Wenn Sie es vorziehen, kann der CDR-Datenverkehr auf TCP-Port 9427 und der USB-Umleitungsverkehr auf TCP-Port 32111 aufgeteilt werden. |
| Unified Access Gateway | Horizon Agent in den Desktop- oder Farm-RDSH-VMs | 9427 | Mandantennetzwerk | TCP | Optional für CDR- und MMR-Datenverkehr (Multimedia-Umleitung). |
| Unified Access Gateway | Horizon Agent in den Desktop- oder Farm-RDSH-VMs | 32111 | Mandantennetzwerk | TCP | Optional für USB-Umleitungsverkehr. |
| Unified Access Gateway | NTP-Server (Standardwert: time.google.com – Dieser Wert kann geändert werden) | 123 | DMZ-Netzwerk | UDP | NTP-Dienste. |
| Unified Access Gateway | - *.blob.core.windows.net- *.blob.storage.azure.net | 443 | DMZ-Netzwerk | TCP | Wird für den programmgesteuerten Zugriff auf den Azure Blob Storage für das Hochladen der Unified Access Gateway-Protokolle bei Bedarf verwendet. |
Ports und Protokolle für App Volumes
Um App Volumes-Funktionen für die Verwendung mit Horizon Cloud on Amazon WorkSpaces Core zu unterstützen, müssen Sie Port 445 für den TCP-Protokolldatenverkehr zum Subnetz des Mandanten (Desktops) konfigurieren. Port 445 ist der KMU-Standardport für den Zugriff auf eine KMU-Dateifreigabe unter Microsoft Windows. Die AppStacks werden in einer SMB-Dateifreigabe gespeichert, die sich in derselben Ressourcengruppe wie die Pod-Manager-VMs befindet.
Hinweis: Wenn Sie ein selbstverwaltetes Active Directory lokal oder in der Cloud verwenden, um Identitäten und Geräte zu verwalten, können Sie ein FSx-Dateisystem für Windows-Dateiserver zur Active Directory-Domäne hinzufügen. Informationen zur Verwendung einer selbstverwalteten Microsoft Active Directory finden Sie in der AWS-Dokumentation.
| Quelle | Ziel | Port | Protokoll | Zweck |
|---|---|---|---|---|
| App Volumes Agent in der Basis-Import-VM, die Golden Images, Desktop-VMs, Farm-RDSH-VMs | Die IP-Adresse von Amazon FSx für Windows-Dateiserver | 445 | TCP | Die App Volumes-Anwendungsvirtualisierung auf den VDI-Maschinen und die Erfassung von Anwendungspaketen auf den VDI-Maschinen hängen vom Zugriff auf die Dateifreigaben ab. |
Anforderungen an VDI-Ports und -Protokolle
Die folgende Tabelle enthält die Ports und Protokolle, die für die in Ihrer Umgebung konfigurierten Desktop-Subnetze (VDI oder Mandant) erforderlich sind.
Hinweis: Stellen Sie zusätzlich zu den unten aufgeführten Ports sicher, dass die für Horizon Edge erforderlichen URLs und Platzhalter-Unterdomänen auch von Ihrer Umgebung aus erreichbar sind. Weitere Informationen finden Sie im Folgenden unterZulassen von URLs für das Verwaltungs-Subnetz und Überprüfen des URL-Zugriffs.
| Quelle | Ziel | Port | Protokoll | Zweck |
|---|---|---|---|---|
| Desktop-Subnetz (Mandant) | *.horizon.omnissa.comRegionsspezifische Endpoints: US: - cloud-sg-us-r-westus2.horizon.omnissa.com- cloud-sg-us-r-westus2-mqtt.horizon.omnissa.com- cloud-sg-us-r-eastus2.horizon.omnissa.com- cloud-sg-us-r-eastus2-mqtt.horizon.omnissa.comEU: - cloud-sg-eu-r-northeurope.horizon.omnissa.com- cloud-sg-eu-r-northeurope-mqtt.horizon.omnissa.com- cloud-sg-eu-r-germanywestcentral.horizon.omnissa.com- cloud-sg-eu-r-germanywestcentral-mqtt.horizon.omnissa.com- cloud-sg-eu-r-uksouth.horizon.omnissa.com- cloud-sg-eu-r-uksouth-mqtt.horizon.omnissa.comJP: - cloud-sg-jp-r-japaneast.horizon.omnissa.com- cloud-sg-jp-r-japaneast-mqtt.horizon.omnissa.com- cloud-sg-jp-r-australiaeast.horizon.omnissa.com- cloud-sg-jp-r-australiaeast-mqtt.horizon.omnissa.com- cloud-sg-jp-r-centralindia.horizon.omnissa.com- cloud-sg-jp-r-centralindia-mqtt.horizon.omnissa.com | 443 | TCP, MQTT | Für Agent-bezogene Vorgänge, wie z. B. Zertifikatsignierung mit VM-Hub und Erneuerung. |
| Desktop-Subnetz (Mandant) | Domänencontroller | 88 | TCP, UDP | Kerberos Dienstleistungen. Das Ziel ist der Server, der eine Domänencontrollerrolle in einer Active Directory-Konfiguration enthält. Das Registrieren des Edge mit Active Directory ist eine Voraussetzung. |
| Desktop-Subnetz (Mandant) | Domänencontroller | Kerberos: 88 LDAP: 389, 3268 LDAPS: 636, 3269 | TCP, UDP | Diese Ports sind für LDAP- oder LDAPS-Dienste erforderlich, um eine Verbindung zwischen der VM und dem Domänencontroller herzustellen. Wenn die VDI keinen Domänencontroller erreichen kann, ist ein Sitzungsstart nicht möglich. |
| Desktop-Subnetz (Mandant) | DNS-Server | 53 und 853 | TCP, UDP | DNS-Dienste |
| Desktop-Subnetz (Mandant) | NTP-Server | 123 | UDP | NTP-Dienste. |
| Desktop-Subnetz (Mandant) | *.blob.core.windows.net | 443 | TCP | DCT-Protokollpaket-Upload. Wenn ein Kundenadministrator nach der Anforderungsverarbeitung auf die DCT-Protokollsammlung für eine beliebige VM klickt, wird das Paket aus dem VDI in den Blob hochgeladen, um das Paket zum Download über die Horizon Universal Console bereitzustellen. |
| Desktop-Subnetz (Mandant) | Horizon Edge | 31883 | TCP, MQTT, UDP | Horizon Agent, der auf VM zu MQTT ausgeführt wird, das auf Edge läuft. |
| Desktop-Subnetz (Mandant) | Horizon Edge | 32443 | TCP | Single Sign-On für Ihren Amazon WorkSpaces Core-Edge. |
| Desktop-Subnetz (Mandant) und Verwaltungs-Subnetz | softwareupdate.omnissa.com | 443 | TCP | Softwarepaketserver. Dient zum Herunterladen von Updates der Agent-bezogenen Software, die bei den Image-bezogenen Vorgängen des Systems und beim automatisierten Agent-Update verwendet wird. Hinweis: Das Verwaltungssubnetz ist für dieses Ziel nur erforderlich, wenn Sie das Verwaltungssubnetz für den Import und die Veröffentlichung von Images verwenden möchten. |
| Desktop-Subnetz (Mandant) | Private Link-Endpoint | 443 | TCP | Desktop-Konnektivität zum Verbindungsdienst in der Cloud-Steuerungsebene. |
| Desktop-Subnetz (Mandant) und Verwaltungs-Subnetz | AD-Zertifikatsdienste | 135, 445 und ein Port im Bereich von 49152 bis 65535 | TCP (RPC) | Zum Hinzufügen von Desktops zur Domäne. |
| Desktop-Subnetz (Mandant) | CRL-Verteilungspunkt (CRL Distribution Point, CDP) Beispiele: - http://*.digicert.com- http://crl3.digicert.com/DigiCertGlobalRootCA.crl- http://crl3.digicert.com/DigiCertTLSRSASHA2562020CA1-4.crl- http://crl4.digicert.com/DigiCertTLSRSASHA2562020CA1-4.crl- http://ocsp.digicert.com | 80 | TCP | Der Bootstrapping-Vorgang für die VM umfasst das Senden einer HTTP POST-Anfrage an den Horizon Cloud-Endpoint. Um eine sichere Verbindung herzustellen, wird eine Überprüfung der Zertifikatswiderrufsliste (Certificate Revocation List, CRL) durchgeführt. Wenn diese Überprüfung über das Internet nicht zulässig ist, schlägt die VM-Anpassung fehl. |
| Desktop-Subnetz (Mandant) | - eventproxy.na1.data.workspaceone.com- eventproxy.eu1.data.workspaceone.com- eventproxy.eu2.data.workspaceone.com- eventproxy.uk1.data.workspaceone.com- eventproxy.ca1.data.workspaceone.com- eventproxy.ap1.data.workspaceone.com- eventproxy.ap2.data.workspaceone.com- eventproxy.au1.data.workspaceone.com- eventproxy.in1.data.workspaceone.com | 443 | TCP | Wird vom DEX-Telemetrieagent (Digital Employee Experience) verwendet, um Daten an Omnissa Intelligence zu senden. Nur für DEX-fähige Desktops erforderlich. |
| Desktop-Subnetz (Mandant) | - auth.na1.data.workspaceone.com- auth.eu1.data.workspaceone.com- auth.eu2.data.workspaceone.com- auth.uk1.data.workspaceone.com- auth.ca1.data.workspaceone.com- auth.ap1.data.workspaceone.com- auth.ap2.data.workspaceone.com- auth.au1.data.workspaceone.com- auth.in1.data.workspaceone.com | 443 | TCP | Wird vom DEX-Telemetrieagent (Digital Employee Experience) zur Authentifizierung bei Omnissa Intelligence verwendet. Nur für DEX-fähige Desktops erforderlich. |
| Desktop-Subnetz (Mandant) | *.horizon.omnissa.com | 443 | TCP, UDP | Registriert erfolgreich WorkSpaces Core-Desktops bei Horizon Cloud. |
Port- und Protokollanforderungen für Datenverkehr über Endbenutzerverbindungen
Ausführliche Informationen über die verschiedenen Horizon Clients, die Ihre Endbenutzer mit Ihrer virtuellen Horizon Edge-Appliance verwenden können, finden Sie in der Produktdokumentation zu Horizon Client. Welche Ports geöffnet werden müssen, hängt von der ausgewählten Methode ab, über die Ihre Endbenutzer eine Verbindung herstellen.
| Quelle | Ziel | Port | Protokoll | Zweck |
|---|---|---|---|---|
| Horizon Client | AWS-Lastausgleichsdienst für Unified Access Gateway-Instanzen | 443 | TCP | Zur Übertragung von CDR, MMR, USB-Umleitung und getunneltem RDP-Datenverkehr. SSL (HTTPS-Zugang) ist standardmäßig für Clientverbindungen aktiviert. Port 80 (HTTP-Zugriff) kann in einigen Fällen verwendet werden. |
| Horizon Client | AWS-Lastausgleichsdienst für Unified Access Gateway-Instanzen | 8443 oder 443 | TCP | Blast Extreme über Blast Secure Gateway auf Unified Access Gateway für Datenverkehr aus Horizon Client. Der verwendete Port (8443 oder 443) wird definiert, wenn das Horizon Edge Gateway bereitgestellt wird. |
| Horizon Client | AWS-Lastausgleichsdienst für Unified Access Gateway-Instanzen | 443 | UDP | Blast Extreme über das Unified Access Gateway für den Datenverkehr. |
| Horizon Client | AWS-Lastausgleichsdienst für Unified Access Gateway-Instanzen | 8443 | UDP | Blast Extreme über Blast Secure Gateway auf Unified Access Gateway für den Datenverkehr (adaptiver Datenverkehr). |
| Browser | AWS-Lastausgleichsdienst für Unified Access Gateway-Instanzen | 443 | TCP | Zur Übertragung von CDR, MMR, USB-Umleitung und getunneltem RDP-Datenverkehr. SSL (HTTPS-Zugang) ist standardmäßig für Clientverbindungen aktiviert. Port 80 (HTTP-Zugriff) kann in einigen Fällen verwendet werden. |
| Browser | AWS-Lastausgleichsdienst für Unified Access Gateway-Instanzen | 8443 oder 443 | TCP | Blast Extreme über Blast Secure Gateway auf Unified Access Gateway für Datenverkehr aus dem Horizon Web Client. |
| Horizon Client/Browser | *.horizon.omnissa.com – Wenn ein Endbenutzer nach der Anmeldung auf einen Desktop klickt, um diesen zu starten, wird der Protokolldatenverkehr von der regionalen URL, die dem Speicherort der VM entspricht, an das Unified Access Gateway umgeleitet. Der Client benötigt Zugriff auf die Dienst-Gateway-URL für jede relevante Region, wie z. B. cloud-sg-us-r-westus2.horizon.omnissa.com. Setzen Sie die URLs aus der nachstehenden Tabelle „DNS-Hostnamen der regionalen VM-Hubs“ basierend auf den globalen Regionen, aus denen Sie Desktops und Anwendungen bereitstellen, auf die Positivliste. | 443 | TCP | Für die Umleitung des Protokolldatenverkehrs von Endbenutzern an Unified Access Gateway basierend auf der Region, in der sich die angegebene VM befindet. |
| Horizon Client/Browser | cloud.omnissahorizon.com | 443 | TCP | Wenn Sie über ein eingeschränktes Netzwerk verfügen, setzen Sie diese URL auf die Positivliste, damit Endbenutzer auf ihre Anwendungen und Desktops zugreifen können. Weitere Informationen finden Sie unter Starten eines Desktops mit Horizon Client. Wenn Sie die Client-Zugriffs-URL angepasst haben, stellen Sie sicher, dass Ihre benutzerdefinierte URL ebenfalls zur Positivliste hinzugefügt wird. Weitere Informationen finden Sie unter Konfigurieren der Clienteinstellungen. |
Zulassen von URLs für das Verwaltungs-Subnetz und Überprüfen des URL-Zugriffs
Führen Sie die folgenden Aufgaben aus, um die entsprechenden URLs und Wildcard-Unterdomänen entsprechend dem Standort Ihrer Website und Ihren Anforderungen zuzulassen:
- Zulassen der URLs und der Platzhalter-Unterdomänen in der folgenden Tabelle, indem sie zu einer Positivliste für die Firewall und Netzwerksicherheitsgruppe hinzugefügt werden.
- Umgehen von SSL-DPI (Deep Packet Inspection) in der Firewall für die unten aufgeführten URLs und Platzhalter-Unterdomänen.
- Umgehen von SSL-DPI auf dem Proxyserver (wenn möglich). Wenn das Horizon Edge Gateway über einen Proxyserver mit dem Horizon Agent verbunden ist, umgehen Sie SSL-DPI im Proxyserver für die URLs und Platzhalter-Unterdomänen in der folgenden Tabelle.
Wichtig: Die aufgeführten Zwecke gelten für eine Horizon Edge-Bereitstellung.
| Ziel (DNS-Name) | Port | Protokoll | Proxy-Datenverkehr (sofern konfiguriert) | Zweck |
|---|---|---|---|---|
registry.k8s.io | 443 | TCP | Ja | Wird für den programmgesteuerten Zugriff verwendet, damit Images nach Bedarf heruntergeladen werden können. Wird zum Herunterladen von Docker-Images für die Erstellung der erforderlichen Horizon Edge-Module verwendet, die für die Überwachung, SSO, UAG-Updates usw. geeignet sind. Hinweis: Gilt nur für die VM-basierte Horizon Edge Gateway-Bereitstellung 2412. |
*.blob.core.windows.net | 443 | TCP | Ja | Wird für den programmgesteuerten Zugriff auf den Azure Blob Storage und zum Hochladen der Horizon Edge-Protokolle bei Bedarf verwendet. Wird zum Herunterladen von Docker-Images für die Erstellung der erforderlichen Horizon Edge-Module verwendet, die für die Überwachung, SSO, UAG-Updates usw. geeignet sind. |
horizonedgeprod.azurecr.io | 443 | TCP | Ja | Wird zur Authentifizierung während des Herunterladens von Docker-Images für die Erstellung der erforderlichen Horizon Edge-Module verwendet, die für die Überwachung, SSO, UAG-Updates usw. geeignet sind. |
*.azure-devices.netRegionsspezifische Namen: Nordamerika: - edgehubprodna.azure-devices.netEuropa: - edgehubprodeu.azure-devices.netJapan: - edgehubprodjp.azure-devices.net | 443 | TCP | Ja | Wird zum Verbinden der Appliance mit der Horizon Cloud Control Plane, zum Herunterladen von Konfigurationen für das Appliance-Modul und zum Aktualisieren des Laufzeitstatus des Appliance-Moduls verwendet. |
*.data.workspaceone.comRegionsspezifische Namen: - eventproxy.na1.data.workspaceone.com- eventproxy.eu1.data.workspaceone.com- eventproxy.eu2.data.workspaceone.com- eventproxy.uk1.data.workspaceone.com- eventproxy.ca1.data.workspaceone.com- eventproxy.ap1.data.workspaceone.com- eventproxy.ap2.data.workspaceone.com- eventproxy.au1.data.workspaceone.com- eventproxy.in1.data.workspaceone.com | 443 | TCP | Ja | Wird zum Senden von Ereignissen oder Metriken an Workspace ONE Intelligence verwendet. Weitere Informationen finden Sie unter Workspace ONE Intelligence. |
monitor.horizon.omnissa.comWenn Ihre Firewall oder NSG Dienst-Tags unterstützt, wenden Sie das Azure-Dienst-Tag AzureCloud anstelle dieses Hostnamens an. | 1514 und 1515 | TCP | Nein | Wird für die Systemüberwachung verwendet. |
https://aka.ms/downloadazcopy-v10-linux | 443 | TCP | Ja | Wird verwendet, um Bereitstellungsprotokolle zu Fehlerbehebungszwecken in Azure Blob Storage hochzuladen. |
time.google.com | 123 | UDP | Ja | Wird für die Uhrzeitsynchronisierung verwendet. |
- security.ubuntu.com- azure.archive.ubuntu.com- changelogs.ubuntu.com- motd.ubuntu.com | 80 | HTTP | Ja | Wird zum Patchen von Ubuntu-Komponenten verwendet. |
softwareupdate.omnissa.com | 443 | TCP | Ja | Softwarepaketserver. Dient zum Herunterladen von Updates der Agent-bezogenen Software, die bei den Image-bezogenen Vorgängen des Systems und beim automatisierten Agent-Update verwendet wird. |
URL für das Mandantensubnetz (Desktop) zulassen
Verwenden Sie entweder eine globale VM-Hub-Instanz oder eine regionale VM-Hub-Instanz.
- Umgehen von SSL-DPI (Deep Packet Inspection) in der Firewall für die unten aufgeführten URLs und Platzhalter-Unterdomänen.
- Umgehen von SSL-DPI auf dem Proxyserver (wenn möglich). Wenn das Horizon Edge Gateway über einen Proxyserver mit dem Horizon Agent verbunden ist, umgehen Sie SSL-DPI im Proxyserver für die folgenden URLs und Platzhalter-Unterdomänen.
DNS-Hostname des globalen VM-Hubs
Wenn die Verwendung einer globalen VM-Hub-Instanz den Anforderungen Ihrer Website entspricht, lassen Sie folgende URL zu:
| Ziel (DNS-Name) | Port | Protokoll | Zweck |
|---|---|---|---|
*.horizon.omnissa.com | 443 | TCP, HTTP | Für Agent-bezogene Vorgänge, wie z. B. Zertifikatsignierung mit VM-Hub und Erneuerung. |
DNS-Hostnamen des regionalen VM-Hubs
Wenn die Verwendung von regionalen VM-Hub-Instanzen den Anforderungen Ihrer Site entspricht, verwenden Sie die beiden entsprechenden URLs für die Region, in der Ihr Horizon Edge Gateway bereitgestellt wird. Alle regionalen VM-Hub-Instanzen verwenden Port 443 und das TCP-Protokoll für Agent-bezogene Vorgänge, wie z. B. Zertifikatsignierung mit VM-Hub und Erneuerung.
| Amazon WorkSpaces Core-Regionen | URL des Dienst-Gateways | MQTT-URL |
|---|---|---|
- us-west-2 | cloud-sg-us-r-westus2.horizon.omnissa.com | cloud-sg-us-r-westus2-mqtt.horizon.omnissa.com |
- us-east-1- sa-east-1- ca-central-1 | cloud-sg-us-r-eastus2.horizon.omnissa.com | cloud-sg-us-r-eastus2-mqtt.horizon.omnissa.com |
- eu-west-1 | cloud-sg-eu-r-northeurope.horizon.omnissa.com | cloud-sg-eu-r-northeurope-mqtt.horizon.omnissa.com |
- eu-central-1- eu-west-3- il-central-1 | cloud-sg-eu-r-germanywestcentral.horizon.omnissa.com | cloud-sg-eu-r-germanywestcentral-mqtt.horizon.omnissa.com |
- eu-west-2 | cloud-sg-eu-r-uksouth.horizon.omnissa.com | cloud-sg-eu-r-uksouth-mqtt.horizon.omnissa.com |
- ap-south-1- ap-northeast-1- ap-northeast-2 | cloud-sg-jp-r-japaneast.horizon.omnissa.com | cloud-sg-jp-r-japaneast-mqtt.horizon.omnissa.com |
- ap-southeast-1 | cloud-sg-jp-r-centralindia.horizon.omnissa.com | cloud-sg-jp-r-centralindia-mqtt.horizon.omnissa.com |
- ap-southeast-2 | cloud-sg-jp-r-australiaeast.horizon.omnissa.com | cloud-sg-jp-r-australiaeast-mqtt.horizon.omnissa.com |
Hinweis: Horizon Cloud verfügt in Japan über eine lokalisierte Aktiv/Aktiv-Bereitstellung, um sicherzustellen, dass die Ausfallsicherheit der Infrastruktur vollständig innerhalb der Region erhalten bleibt und die lokalen Konformitätsrichtlinien eingehalten werden. Der Datenverkehr wird basierend auf der geografischen Nähe dynamisch zwischen der Horizon Cloud 1-Instanz (Japan, Osten) und der Horizon Cloud 2-Instanz (Japan, Westen) weitergeleitet. Wenn Ihre Organisation IP-basierte Positivlisten verwendet, stellen Sie sicher, dass Ihre Firewallregeln Einträge für beide Horizon Cloud-Instanzen in Japan enthalten (siehe KB-Artikel 6000374 – IP-Adressen für Dienstkomponenten).
Zulassen von URLs für Proxy-Aktivierung
Wenn Sie einen Proxyserver zum Steuern des Datenverkehrs in Ihrer Umgebung verwenden möchten, öffnen Sie die benötigten Ports, damit das Horizon Edge Gateway den Proxyserver erreichen kann.
War diese Seite hilfreich?