Wenn Sie anfänglich einen Horizon Cloud-Pod in Microsoft Azure ohne Gateway oder mit nur einem Gateway-Typ bereitgestellt haben, können Sie dem Pod später mithilfe des Workflows "Pod bearbeiten" eine Gateway-Konfiguration hinzufügen. Sie starten diesen Workflow über die Detailseite des Pods.
Tipp: Die Konsole ist dynamisch. In der Benutzeroberfläche werden nur solche Workflows, Schalter und Felder angezeigt, die sinnvoll und entsprechend der aktuellen Konfiguration des Pods und der Konfiguration Ihrer gesamten Umgebung geeignet sind.
Wie unter Ihre Horizon Cloud on Microsoft Azure-Bereitstellungen beschrieben, kann ein Pod eine externe Gateway-Konfiguration, eine interne oder beide haben. Sie können diesen Workflow verwenden, um den Typ hinzuzufügen, den der Pod noch nicht besitzt. Gleichzeitig mit der Bearbeitung des Pods zum Hinzufügen einer Gateway-Konfiguration können Sie auch Einstellungen für die Zwei-Faktor-Authentifizierung für dieses Gateway angeben.
Wichtig: Beachten Sie beim Ändern des Pods mithilfe dieser Schritte Folgendes:
- Beachten Sie, dass die IP-Einstellung für den Lastausgleichsdienst eines externen Gateways nicht geändert werden kann, nachdem die Konfiguration des externen Gateways ursprünglich festgelegt wurde. Wenn Sie eine externe Gateway-Konfiguration hinzufügen, haben Sie die Möglichkeit, eine private IP-Adresse für den Lastausgleich des Gateways anstelle einer öffentlichen zu verwenden. Standardmäßig wird eine öffentliche IP-Adresse verwendet.
- Wenn der Mandant für die Verwendung von Universal Broker konfiguriert ist und in den Broker-Einstellungen die Zwei-Faktor-Authentifizierung aktiviert ist, muss derselbe Zwei-Faktor-Authentifizierungstyp auf den externen Gateways aller Pods in der Flotte festgelegt werden.
- Während der Zeit, in der das System die Konfiguration des Pods ändert, gelten die folgenden Einschränkungen, bis dieser Vorgang abgeschlossen ist:
- Sie können keine Verwaltungsaufgaben auf dem Pod durchführen.
- Endbenutzer, die keine Verbindung zu ihren Desktops oder Remoteanwendungen haben, die vom Pod bereitgestellt werden, und versuchen, eine Verbindung herzustellen, können dies nicht tun.
- Endbenutzer mit vom Pod verbundenen Sitzungen werden von ihren aktiven Sitzungen getrennt. Es kommt zu keinem Datenverlust. Nachdem die Konfigurationsänderungen abgeschlossen sind, können diese Benutzer die Verbindung erneut herstellen.
Voraussetzungen
Hinweis: Wenn für den Pod Hochverfügbarkeit aktiviert ist und eine der Pod-Manager-VMs offline ist, verhindert das System das Hinzufügen eines Gateways zum Pod. Die Meldung wird angezeigt, nachdem Sie auf Speichern und Beenden geklickt haben. Sie müssen die offline geschaltete Pod-Manager-VM über das Microsoft Azure-Portal wieder online bringen, bevor Sie das Gateway hinzufügen können.
Wenn Sie eine Gateway-Konfiguration zu einem vorhandenen Pod in Microsoft Azure hinzufügen, müssen Sie zum Ausfüllen der Felder im Assistenten "Pod bearbeiten" die Informationen wie unter Voraussetzungen für die Unified Access Gateway-Konfigurationen beschrieben angeben. Wenn Sie gleichzeitig mit dem Hinzufügen des Gateways auch Einstellungen für die Zwei-Faktor-Authentifizierung angeben, müssen Sie die unter Voraussetzungen für die Bereitstellung mit einer Zwei-Faktor-Authentifizierungskonfiguration beschriebenen Informationen angeben. Wenn Sie eine Konfiguration für ein externes Gateway hinzufügen und dieses ein eigenes Abonnement verwenden soll, benötigen Sie auch diese Abonnementinformationen. Außerdem müssen Sie sicherstellen, dass das VNet, das Sie für dieses Gateway verwenden möchten, die VNet-Anforderungen erfüllt. Informationen zu diesen VNet-Anforderungen finden Sie unter Konfigurieren des erforderlichen virtuellen Netzwerks in Microsoft Azure.
Wichtig: Alle Zertifikate in der Zertifikatskette müssen gültige Zeiträume aufweisen. Für die Unified Access Gateway-VMs ist es erforderlich, dass alle Zertifikate in der Kette, einschließlich aller Zwischenzertifikate, über gültige Zeiträume verfügen. Wenn ein Zertifikat in der Kette abgelaufen ist, können beim Hochladen des Zertifikats in die Unified Access Gateway-Konfiguration später unerwartete Fehler auftreten.
Vorgehensweise
-
Navigieren Sie in der Konsole zu Einstellungen > Kapazität und klicken Sie auf den Namen des Pods, um dessen Detailseite zu öffnen.
-
Klicken Sie auf der Detailseite des Pods auf Bearbeiten.
-
Wenn Sie im Schritt Abonnement eine Konfiguration für ein externes Gateway hinzufügen und möchten, dass dieses ein anderes Abonnement als das des Pods verwendet, aktivieren Sie Anderes Abonnement für externes Gateway verwenden und geben Sie die Abonnementinformationen ein.
-
Klicken Sie auf Weiter , bis Sie zum Schritt Gateway-Einstellungen gelangen.
Dieser Schritt enthält einen Abschnitt für die Konfiguration des externen Gateways und einen Abschnitt für die Konfiguration des internen Gateways. Die Benutzeroberfläche spiegelt die aktuelle Konfiguration des Pods und die Gateway-Einstellungen wider, über die er bereits verfügt.
- Um ein externes Gateway hinzuzufügen, aktivieren Sie den Schalter Externes UAG aktivieren? und füllen Sie die Felder im Abschnitt Externes UAG aus.
| Option | Beschreibung |
|---|---|
| Externes Gateway aktivieren? | Steuert, ob der Pod über eine externe Gateway-Konfiguration verfügt. Die externe -Konfiguration ermöglicht den Zugriff auf Desktops und Anwendungen für Benutzer, die sich außerhalb Ihres Unternehmensnetzwerks befinden. Der Pod enthält eine Microsoft Azure-Lastausgleichsressource und Unified Access Gateway-Instanzen, um diesen Zugriff bereitzustellen. Hinweis: Es wird empfohlen, die standardmäßig aktivierte Einstellung beizubehalten. Wenn dieser Schalter ausgeschaltet ist, müssen Clients entweder über Omnissa Access mit der zugehörigen Connector-Appliance direkt mit den Pod-Managern verbunden werden, oder die Clients verbinden sich direkt mit dem Lastausgleichsdienst der Pod-Manager, oder sie verbinden sich über eine interne Gateway-Konfiguration. In den ersten beiden genannten Szenarien, d. h. bei Clients, die eine Verbindung über Access herstellen, das in den Pod integriert ist, oder bei der direkten Verbindung mit dem Lastausgleichsdienst, sind einige Schritte nach der Bereitstellung erforderlich. Laden Sie in diesen Szenarien nach der Bereitstellung des Pods SSL-Zertifikate auf die Pod-Manager-VMs hoch, indem Sie die Schritte unter Konfigurieren von SSL-Zertifikaten direkt auf den Pod-Manager-VMs ausführen. |
| FQDN | Geben Sie den erforderlichen vollqualifizierten Domänennamen (FQDN) ein, z. B . ourOrg.example.com, den der Pod-Bereitsteller in der Konfiguration für die Unified Access Gateway-Instanzen des Gateways angibt. Sie müssen der Eigentümer dieses Domänennamens sein und ein Zertifikat im PEM-Format besitzen, das diesen FQDN validieren kann.
Horizon Cloud erwartet, dass dieser FQDN, der für die externe Gateway-Konfiguration angegeben wurde, öffentlich aufgelöst werden kann. Wenn Sie den Schalter Öffentliche IP aktivieren? deaktivieren, um eine IP-Adresse aus Ihrer Firewall oder Ihrem NAT-Setup anzugeben, müssen Sie sicherstellen, dass dieser FQDN dieser IP-Adresse in Ihrer Firewall oder Ihrem NAT-Setup zugewiesen ist. Dieser FQDN wird für PCoIP-Verbindungen zum Gateway verwendet. Wichtig: Dieser FQDN darf keine Unterstriche enthalten. In dieser Version schlagen Verbindungen zu den Unified Access Gateway-Instanzen fehl, wenn der FQDN Unterstriche enthält. |
| DNS-Adressen | Geben Sie optional durch Kommas getrennte Adressen für zusätzliche DNS-Server ein, die Unified Access Gateway für die Namensauflösung verwenden kann.
Wenn Sie diese externe Unified Access Gateway-Konfiguration für die Verwendung der Zwei-Faktor-Authentifizierung mit einem Zwei-Faktor-Authentifizierungsserver konfigurieren, der sich außerhalb der VNet-Topologie befindet, in der die Unified Access Gateway-Instanzen bereitgestellt werden, geben Sie die Adresse eines DNS-Servers an, der den Hostnamen dieses Authentifizierungsservers auflösen kann. Beispiel: Wenn sich Ihre Zwei-Faktor-Authentifizierung lokal befindet, geben Sie einen DNS-Server ein, der den Namen dieses Authentifizierungsservers auflösen kann. Wie in den Bereitstellungsvoraussetzungen beschrieben, muss die VNet-Topologie, die für die Horizon Cloud on Microsoft Azure-Bereitstellung verwendet wird, in der Lage sein, mit Ihrem DNS-Server zu kommunizieren, der während der Bereitstellung der Unified Access Gateway-Instanzen und für deren laufenden Betrieb externe Namensauflösung bereitstellen soll. Standardmäßig wird der DNS-Server verwendet, der in dem VNet konfiguriert ist, in dem die -Instanzen bereitgestellt werden. Wenn Sie Adressen in DNS-Adressen angeben, verwenden die bereitgestellten Unified Access Gateway-Instanzen diese Adressen zusätzlich zu den DNS-Serverinformationen in der Konfiguration Ihres VNet. |
| Routen | Geben Sie optional benutzerdefinierte Routen zu zusätzlichen Gateways an, die von den bereitgestellten Unified Access Gateway-Instanzen zum Auflösen des Netzwerk-Routings für den Endbenutzerzugriff verwendet werden sollen. Die angegebenen Routen werden verwendet, damit Unified Access Gateway Netzwerk-Routen auflösen kann, z. B. für die Kommunikation mit Servern für die Zwei-Faktor-Authentifizierung.
Wenn Sie diesen Pod für die Verwendung der Zwei-Faktor-Authentifizierung mit einem lokalen Authentifizierungsserver konfigurieren, müssen Sie die korrekte Route eingeben, über die die Unified Access Gateway-Instanzen diesen Server erreichen können. Wenn Ihr lokaler Authentifizierungsserver beispielsweise 10.10.60.20 als IP-Adresse verwendet, würden Sie 10.10.60.0/24 und Ihre standardmäßige Route-Gateway-Adresse als benutzerdefinierte Route eingeben. Sie erhalten Ihre standardmäßige Route-Gateway-Adresse über die Express-Route oder VPN-Konfiguration, die Sie für diese Horizon Cloud on Microsoft Azure-Bereitstellung verwenden. Geben Sie die benutzerdefinierten Routen als kommagetrennte Liste im Format |
| NTP-Server des Pods erben: | Dieser Schalter ist standardmäßig aktiviert, damit die Unified Access Gateway-Instanzen denselben NTP-Server verwenden, der für die Pod-Manager-Instanzen angegeben ist. Es wird dringend empfohlen, diese Umschaltoption aktiviert zu lassen.
Es wird empfohlen, denselben NTP-Server für die Pod-Manager-Instanzen, Unified Access Gateway-Instanzen und Ihre Active Directory-Server zu verwenden. Wenn diese Instanzen verschiedene NTP-Server verwenden, kann es zu Zeitverzögerungen kommen. Solche Zeitverzögerungen können später zu Fehlern führen, wenn das Gateway versucht, Endbenutzersitzungen für ihre Desktops und Anwendungen zu authentifizieren. Wenn diese Umschaltoption aktiviert ist und Sie das externe Gateway in einem eigenen, vom VNet des Pods getrennten VNet bereitstellen, stellen Sie sicher, dass die NTP-Server, die für die Pod-Manager-Instanzen angegeben sind, von dem virtuellen Netzwerk aus erreichbar sind, das Sie für die Bereitstellung des externen Gateways auswählen. |
| VM-Modell | Wählen Sie ein Modell aus, das für die Unified Access Gateway-Instanzen verwendet werden soll. Sie müssen sicherstellen, dass das von Ihnen für diesen Pod angegebene Microsoft Azure-Abonnement die Kapazität für zwei VMs des ausgewählten Modells bereitstellen kann.
Wichtig: In der aktuellen Dienstversion kann das von diesen Instanzen verwendete VM-Modell nicht einfach geändert werden, nachdem die Gateway-Konfiguration in Ihrem Abonnement bereitgestellt wurde. Zum Ändern des VM-Modells nach der Bereitstellung muss die Gateway-Konfiguration gelöscht und erneut bereitgestellt werden. Wenn Sie erwarten, dass Ihre Umgebung auf 2.000 Sitzungen pro Pod skaliert wird, wählen Sie F8s_v2 aus |
| Zertifikat | Laden Sie das Zertifikat hoch, mit dem Unified Access Gateway den Clients die Herstellung vertrauenswürdiger Verbindungen mit Unified Access Gateway ermöglicht, die in Microsoft Azure ausgeführt werden. Das Zertifikat muss auf dem von Ihnen eingegebenen FQDN basieren und von einer vertrauenswürdigen Zertifizierungsstelle signiert sein. Die PEM-Datei muss die gesamte Zertifikatskette und den privaten Schlüssel enthalten: SSL-Zertifikat, Zwischenstellenzertifikate, Stamm-CA-Zertifikat, privater Schlüssel. |
| Blast Extreme-TCP-Port | Wählen Sie den TCP-Port aus, der in der Blast Extreme TCP-Einstellung innerhalb der Unified Access Gateway-Konfiguration verwendet werden soll. Diese Einstellung bezieht sich auf Blast Extreme über Blast Secure Gateway auf Unified Access Gateway für den vom Client gesendeten Datenverkehr. Port 8443 wird bevorzugt, da er effizienter ist, eine bessere Leistung bietet und weniger Ressourcen auf den Unified Access Gateway-Instanzen benötigt. Aus diesen Gründen hat der Assistent 8443 als Standardwert festgelegt. Die andere Option, 443, ist weniger effizient, weniger leistungsfähig und verursacht eine CPU-Überlastung in den Instanzen, was zu spürbaren Verzögerungen beim Datenverkehr bei den Endbenutzer-Clients führen kann. Die Option 443 sollte nur verwendet werden, wenn Ihre Organisation clientseitige Einschränkungen festgelegt hat, z. B. wenn Ihre Organisation nur 443 für ausgehende Verbindungen zulässt. Hinweis: Der für Blast Extreme verwendete UDP-Port ist von dieser Einstellung nicht betroffen und ist immer UDP 8443. |
| Verschlüsselungs-Suites | Obwohl die Standardeinstellungen in fast allen Fällen nicht geändert werden müssen, bietet Unified Access Gateway diese Funktion zur optionalen Angabe der kryptografischen Algorithmen, die zum Verschlüsseln der Kommunikation zwischen Clients und den Unified Access Gateway-Appliances verwendet werden. Mindestens eine Verschlüsselungs-Suite muss aus der Liste auf dem Bildschirm ausgewählt werden. In der Liste auf dem Bildschirm werden die Verschlüsselungs-Suites angezeigt, die für die Horizon Cloud on Microsoft Azure-Bereitstellung zulässig sind. |
Geben Sie die Einstellungen für den Microsoft-Lastausgleichsdienst dieses Gateways an.
| Option | Beschreibung |
|---|---|
| Öffentliche IP aktivieren? | Steuert, ob der Lastausgleichstyp dieses Gateways als privat oder öffentlich konfiguriert ist. Wenn diese Option aktiviert ist, wird die bereitgestellte Microsoft Azure-Lastausgleichsressource mit einer öffentlichen IP-Adresse konfiguriert. Wenn diese Option deaktiviert ist, wird die Microsoft Azure-Lastausgleichsressource mit einer privaten IP-Adresse konfiguriert.
Wichtig: In dieser Version können Sie den Lastausgleichstyp des externen Gateways später nicht von "Öffentlich" in "Privat" oder von "Privat" in "Öffentlich" ändern. Die einzige Möglichkeit, diese Änderung vorzunehmen, besteht darin, die Gateway-Konfiguration vollständig aus dem bereitgestellten Pod zu löschen und dann den Pod zu bearbeiten, um ihn mit der entgegengesetzten Einstellung wieder hinzuzufügen. Wenn Sie diese Umschaltoption deaktivieren, wird das Feld Öffentliche IP für Horizon-FQDN angezeigt. |
| Öffentliche IP-Adresse für Horizon-FQDN | Wenn Sie den bereitgestellten Microsoft Azure-Lastausgleichsdienst nicht mit einer öffentlichen IP konfigurieren möchten, müssen Sie die IP-Adresse angeben, der Sie dem FQDN zuweisen, den Sie im Feld FQDN angegeben haben. Die Horizon Clients Ihrer Endbenutzer verwenden diesen FQDN für PCoIP-Verbindungen mit dem Gateway. Der Bereitsteller konfiguriert diese IP-Adresse in den Unified Access Gateway-Konfigurationseinstellungen. |
Geben Sie die Netzwerkeinstellungen des externen Gateways an.
| Option | Beschreibung |
|---|---|
| Verwenden Sie ein anderes virtuelles Netzwerk | Dieser Schalter steuert, ob das externe Gateway in einem eigenen, vom VNet des Pods getrennten VNet bereitgestellt wird.
In den folgenden Zeilen werden die unterschiedlichen Fälle beschrieben.
Hinweis: Wenn Sie im ersten Schritt des Assistenten angegeben haben, dass ein anderes Abonnement für das externe Gateway verwendet werden soll, ist diese Umschaltoption standardmäßig aktiviert. In diesem Fall müssen Sie ein VNet für das Gateway auswählen. Wenn diese Umschaltoption aktiviert ist und die Umschaltoption NTP-Server des Pods erben aktiviert ist, stellen Sie sicher, dass die NTP-Server, die für die Pod-Manager-Instanzen angegeben sind, von dem virtuellen Netzwerk aus erreichbar sind, das Sie für die Bereitstellung des externen Gateways auswählen. |
| Anderes virtuelles Netzwerk verwenden – ausgeschaltet | Wenn die Umschaltoption deaktiviert ist, wird das externe Gateway im VNet des Pods bereitgestellt. In diesem Fall müssen Sie das DMZ-Subnetz angeben.
|
| Anderes virtuelles Netzwerk verwenden – aktiviert | Wenn der Schalter aktiviert ist, wird das externe Gateway in einem eigenen VNet bereitgestellt. In diesem Fall müssen Sie das zu verwendende VNet auswählen und dann die drei erforderlichen Subnetze angeben. Aktivieren Sie den Schalter Vorhandenes Subnetz verwenden, um aus Subnetzen auszuwählen, die Sie im Voraus auf dem angegebenen VNet erstellt haben. Geben Sie andernfalls die Subnetze in CIDR-Notation an.
Wichtig: Wählen Sie leere Subnetze aus, an die keine anderen Ressourcen angehängt sind. Wenn die Subnetze nicht leer sind, können unerwartete Ergebnisse während des Bereitstellungsvorgangs oder während Pod-Vorgängen auftreten. In diesem Fall werden das VNet des Gateways und das VNet des Pods als Peers miteinander verbunden. Es wird empfohlen, die Subnetze im Voraus zu erstellen und die CIDR-Einträge hier nicht zu verwenden. Weitere Informationen finden Sie unter Voraussetzungen für die Bereitstellung mit einer externen Unified Access Gateway-Konfiguration, die ein eigenes VNet oder ein vom VNet oder Abonnement des Pods getrenntes VNet oder Abonnement verwendet.
|
- Verwenden Sie im Abschnitt Bereitstellung den Schalter, um optional eine vorhandene Ressourcengruppe auszuwählen, in der der Bereitsteller die Ressourcen für die externe Gateway-Konfiguration bereitstellen soll.
Dieser Schalter wird angezeigt, wenn Sie im ersten Schritt des Assistenten angegeben haben, dass ein anderes Abonnement für das externe Gateway verwendet werden soll. Wenn Sie den Schalter aktivieren, wird ein Feld angezeigt, in dem Sie nach der Ressourcengruppe suchen und diese auswählen können.
- Um ein internes Gateway hinzuzufügen, aktivieren Sie den Schalter Internes UAG aktivieren? und füllen Sie die Felder im Abschnitt Internes UAG aus.
| Option | Beschreibung |
|---|---|
| Internes Gateway aktivieren? | Steuert, ob der Pod über eine interne Gateway-Konfiguration verfügt. Die interne -Konfiguration bietet vertrauenswürdigen Zugriff auf Desktops und Anwendungen für Horizon Web Client (Blast)-Verbindungen für Benutzer innerhalb Ihres Unternehmensnetzwerks. Der Pod enthält eine Azure-Lastausgleich-Ressource und Unified Access Gateway-Instanzen, um diesen Zugriff bereitzustellen. Standardmäßig ist der Lastausgleichstyp dieses Gateways privat. Der Lastausgleichsdienst ist mit einer privaten IP-Adresse konfiguriert. |
| FQDN | Geben Sie den erforderlichen vollqualifizierten Domänennamen (FQDN), z. B . ourOrg.example.com, ein, über den Ihre Endbenutzer auf den Dienst zugreifen werden. Sie müssen der Eigentümer dieses Domänennamens sein und ein Zertifikat im PEM-Format besitzen, das diesen FQDN validieren kann.
Wichtig: Dieser FQDN darf keine Unterstriche enthalten. In dieser Version schlagen Verbindungen zu den Unified Access Gateway-Instanzen fehl, wenn der FQDN Unterstriche enthält. |
| DNS-Adressen | Geben Sie optional durch Kommas getrennte Adressen für zusätzliche DNS-Server ein, die Unified Access Gateway für die Namensauflösung verwenden kann.
Wenn Sie diese interne Unified Access Gateway-Konfiguration für die Verwendung der Zwei-Faktor-Authentifizierung mit einem Zwei-Faktor-Authentifizierungsserver konfigurieren, der sich außerhalb der VNet-Topologie befindet, in der die Unified Access Gateway-Instanzen bereitgestellt werden, geben Sie die Adresse eines DNS-Servers an, der den Hostnamen dieses Authentifizierungsservers auflösen kann. Beispiel: Wenn sich Ihre Zwei-Faktor-Authentifizierung lokal befindet, geben Sie einen DNS-Server ein, der den Namen dieses Authentifizierungsservers auflösen kann.
Wie in den Bereitstellungsvoraussetzungen beschrieben, muss die VNet-Topologie, die für die Horizon Cloud on Microsoft Azure-Bereitstellung verwendet wird, in der Lage sein, mit Ihrem DNS-Server zu kommunizieren, der während der Bereitstellung der Unified Access Gateway-Instanzen und für deren laufenden Betrieb externe Namensauflösung bereitstellen soll. Standardmäßig wird der DNS-Server verwendet, der in dem VNet konfiguriert ist, in dem die -Instanzen bereitgestellt werden. Wenn Sie Adressen in DNS-Adressen angeben, verwenden die bereitgestellten Unified Access Gateway-Instanzen diese Adressen zusätzlich zu den DNS-Serverinformationen in der Konfiguration Ihres VNet. |
| Routen | Geben Sie optional benutzerdefinierte Routen zu zusätzlichen Gateways an, die von den bereitgestellten Unified Access Gateway-Instanzen zum Auflösen des Netzwerk-Routings für den Endbenutzerzugriff verwendet werden sollen. Die angegebenen Routen werden verwendet, damit Unified Access Gateway Netzwerk-Routen auflösen kann, z. B. für die Kommunikation mit Servern für die Zwei-Faktor-Authentifizierung.
Wenn Sie diesen Pod für die Verwendung der Zwei-Faktor-Authentifizierung mit einem lokalen Authentifizierungsserver konfigurieren, müssen Sie die korrekte Route eingeben, über die die Unified Access Gateway-Instanzen diesen Server erreichen können. Wenn Ihr lokaler Authentifizierungsserver beispielsweise 10.10.60.20 als IP-Adresse verwendet, würden Sie 10.10.60.0/24 und Ihre standardmäßige Route-Gateway-Adresse als benutzerdefinierte Route eingeben. Sie erhalten Ihre standardmäßige Route-Gateway-Adresse über die Express-Route oder VPN-Konfiguration, die Sie für diese Umgebung verwenden.
Geben Sie die benutzerdefinierten Routen als kommagetrennte Liste im Format ipv4-network-address/bits ipv4-gateway-address an, z. B. 192.168.1.0/24 192.168.0.1, 192.168.2.0/24 192.168.0.2. |
| NTP-Server des Pods erben: | Dieser Schalter ist standardmäßig aktiviert, damit die Unified Access Gateway-Instanzen denselben NTP-Server verwenden, der für die Pod-Manager-Instanzen angegeben ist. Es wird dringend empfohlen, diese Umschaltoption aktiviert zu lassen. Es wird empfohlen, denselben NTP-Server für die Pod-Manager-Instanzen, Unified Access Gateway-Instanzen und Ihre Active Directory-Server zu verwenden. Wenn diese Instanzen verschiedene NTP-Server verwenden, kann es zu Zeitverzögerungen kommen. Solche Zeitverzögerungen können später zu Fehlern führen, wenn das Gateway versucht, Endbenutzersitzungen für ihre Desktops und Anwendungen zu authentifizieren. |
| VM-Modell | Wählen Sie ein Modell aus, das für die Unified Access Gateway-Instanzen verwendet werden soll. Sie müssen sicherstellen, dass das von Ihnen für diesen Pod angegebene Microsoft Azure-Abonnement die Kapazität für zwei VMs des ausgewählten Modells bereitstellen kann.
Wichtig: In der aktuellen Dienstversion kann das von diesen Instanzen verwendete VM-Modell nicht einfach geändert werden, nachdem die Gateway-Konfiguration in Ihrem Abonnement bereitgestellt wurde. Zum Ändern des VM-Modells nach der Bereitstellung muss die Gateway-Konfiguration gelöscht und erneut bereitgestellt werden. Wenn Sie erwarten, dass Ihre Umgebung auf 2.000 Sitzungen pro Pod skaliert wird, wählen Sie F8s_v2 aus. Wie in Horizon Cloud zu Microsoft Azure-Dienstgrenzen angegeben, reicht das |
| Zertifikat | Laden Sie das Zertifikat hoch, mit dem Unified Access Gateway den Clients die Herstellung vertrauenswürdiger Verbindungen mit Unified Access Gateway ermöglicht, die in Microsoft Azure ausgeführt werden. Das Zertifikat muss auf dem von Ihnen eingegebenen FQDN basieren und von einer vertrauenswürdigen Zertifizierungsstelle signiert sein. Die PEM-Datei muss die gesamte Zertifikatskette und den privaten Schlüssel enthalten: SSL-Zertifikat, Zwischenstellenzertifikate, Stamm-CA-Zertifikat, privater Schlüssel. |
| Blast Extreme-TCP-Port | Wählen Sie den TCP-Port aus, der in der Blast Extreme TCP-Einstellung innerhalb der Unified Access Gateway-Konfiguration verwendet werden soll. Diese Einstellung bezieht sich auf Blast Extreme über Blast Secure Gateway auf Unified Access Gateway für den vom Client gesendeten Datenverkehr. Port 8443 wird bevorzugt, da er effizienter ist, eine bessere Leistung bietet und weniger Ressourcen auf den Unified Access Gateway-Instanzen benötigt. Aus diesen Gründen hat der Assistent 8443 als Standardwert festgelegt. Die andere Option, 443, ist weniger effizient, weniger leistungsfähig und verursacht eine CPU-Überlastung in den Instanzen, was zu spürbaren Verzögerungen beim Datenverkehr bei den Endbenutzer-Clients führen kann. Die Option 443 sollte nur verwendet werden, wenn Ihre Organisation clientseitige Einschränkungen festgelegt hat, z. B. wenn Ihre Organisation nur 443 für ausgehende Verbindungen zulässt. Hinweis: Der für Blast Extreme verwendete UDP-Port ist von dieser Einstellung nicht betroffen und ist immer UDP 8443. |
| Verschlüsselungs-Suites | Obwohl in fast allen Fällen die Standardeinstellungen ausreichen, bietet Unified Access Gateway diese Funktion zur Angabe der kryptografischen Algorithmen, die zum Verschlüsseln der Kommunikation zwischen Clients und den Unified Access Gateway-Appliances verwendet werden. Mindestens eine Verschlüsselungs-Suite muss aus der Liste auf dem Bildschirm ausgewählt werden. In der Liste auf dem Bildschirm werden die Verschlüsselungs-Suites angezeigt, die für die Horizon Cloud on Microsoft Azure-Bereitstellung zulässig sind. |
-
Wenn Sie im Abschnitt für das Gateway, das Sie hinzufügen, optional die Desktops der Endbenutzer für die Verwendung der Zwei-Faktor-Authentifizierung konfigurieren möchten, befolgen Sie die Schritte unter Aktivieren der Zwei-Faktor-Authentifizierung auf den Gateways eines Horizon Cloud-Pods.
-
Wenn Sie im Abschnitt Azure Resource-Tags Ressourcen-Tags für die Gateway-bezogenen Ressourcengruppen angeben möchten, die sich von denen unterscheiden, die für die anderen Ressourcengruppen des Pods angegeben wurden, deaktivieren Sie die Umschaltoption Pod-Tags erben und geben Sie die Tags in den angezeigten Feldern an.
Eine Beschreibung der Felder für Azure Resource-Tags finden Sie unter First-Gen-Mandanten – Angeben der Gateway-Konfiguration des Horizon Cloud-Pods. Derselbe Tag-Satz wird für beide Gateway-Typen auf dem Pod verwendet.
- Klicken Sie auf Speichern und Beenden.
Es wird eine Bestätigungsmeldung angezeigt, in der Sie aufgefordert werden, den Start des Workflows zu bestätigen.
- Klicken Sie auf Ja , um den Workflow zu starten.
Ergebnisse
Bis zum Abschluss der Bereitstellung der Elemente für das Gateway wird auf der Zusammenfassungsseite des Pods im Abschnitt für diesen Konfigurationstyp der Status Ausstehend angezeigt. Sie können auch keine zusätzlichen workflowbezogenen Aktivitäten im Zusammenhang mit "Pod bearbeiten" durchführen, bis das System seine Aktionen zum Bereitstellen des Gateways abgeschlossen hat.
Wenn der Workflow abgeschlossen ist, wird der Status als Bereit angezeigt, und der FQDN des Lastausgleichsdiensts wird auf der Seite angezeigt.
Hinweis: Wenn dieser Workflow für einen Pod in Microsoft Azure China ausgeführt wird, kann der Vorgang länger als eine Stunde dauern. Der Prozess unterliegt geografischen Netzwerkproblemen, die langsame Download-Geschwindigkeiten verursachen können, wenn die Binärdateien aus der Cloud-Steuerungsebene heruntergeladen werden.
Nächster Schritt
Wichtig: Bevor Ihre Endbenutzer das neu hinzugefügte Gateway verwenden können, müssen Sie die folgenden Aufgaben ausführen.
-
Stellen Sie für die neu hinzugefügte Gateway-Konfiguration sicher, dass Sie über einen CNAME-Eintrag in Ihrem DNS-Server verfügen, um den von der Konfiguration bereitgestellten Lastausgleich dem FQDN zuzuordnen, den Sie im Bereitstellungsassistenten eingegeben haben. Weitere Informationen finden Sie unter Abrufen der Lastausgleichsdienst-Informationen des Horizon Cloud-Pod-Gateways für die Zuordnung im DNS-Server .
-
Wenn Sie die Zwei-Faktor-Authentifizierung für das hinzugefügte Gateway angegeben haben, müssen Sie die folgenden Aufgaben ausführen:
-
Wenn für das externe Gateway des Pods die Zwei-Faktor-Authentifizierung konfiguriert ist und der Zwei-Faktor-Authentifizierungsserver nicht innerhalb derselben VNet-Topologie erreichbar ist, in der die Unified Access Gateway-Instanzen des Gateways bereitgestellt werden, konfigurieren Sie diesen Zwei-Faktor-Authentifizierungsserver so, dass er die Kommunikation von der IP-Adresse des Lastausgleichsdiensts des externen Gateways zulässt.
In diesem Szenario, in dem der Zwei-Faktor-Authentifizierungsserver innerhalb derselben VNet-Topologie wie die Gateway-Bereitstellung nicht erreichbar ist, versuchen die Unified Access Gateway-Instanzen, über diese Lastausgleichsadresse Kontakt mit diesem Server herzustellen. Um diesen Kommunikationsdatenverkehr zuzulassen, stellen Sie sicher, dass die IP-Adresse der Lastausgleichsdienstressource, die sich in der Ressourcengruppe des externen Gateways befindet, in der Konfiguration Ihres Zwei-Faktor-Authentifizierungsservers als Client oder registrierter Agent angegeben ist. In der Dokumentation Ihres Zwei-Faktor-Authentifizierungsservers finden Sie Einzelheiten dazu, wie Sie diese Kommunikation zulassen.
- Wenn Ihr Zwei-Faktor-Authentifizierungsserver innerhalb derselben VNet-Topologie erreichbar ist, konfigurieren Sie den Zwei-Faktor-Authentifizierungsserver so, dass er die Kommunikation von den entsprechenden Netzwerkkarten zulässt, die für die Unified Access Gateway-Instanzen der Bereitstellung in Microsoft Azure erstellt wurden.
Ihr Netzwerkadministrator bestimmt die Netzwerksichtbarkeit des Zwei-Faktor-Authentifizierungsservers für die Azure-VNet-Topologie und die für die Bereitstellung verwendeten Subnetze. Der Zwei-Faktor-Authentifizierungsserver muss die Kommunikation von den IP-Adressen der Netzwerkkarten der Unified Access Gateway-Instanzen zulassen, die dem Subnetz entsprechen, für das Ihr Netzwerkadministrator dem Zwei-Faktor-Authentifizierungsserver Netzwerksichtbarkeit gewährt hat.
Die Ressourcengruppe des Gateways in Microsoft Azure verfügt über vier Netzwerkkarten, die diesem Subnetz entsprechen: zwei, die derzeit für die beiden Unified Access Gateway-Instanzen aktiv sind, und zwei, die sich im Leerlauf befinden und aktiv werden, nachdem der Pod und seine Gateways eine Aktualisierung durchlaufen haben.
Um den Kommunikationsdatenverkehr zwischen dem Gateway und dem Zwei-Faktor-Authentifizierungsserver sowohl für laufende Pod-Vorgänge als auch nach jeder Pod-Aktualisierung zu unterstützen, stellen Sie sicher, dass die IP-Adressen dieser vier Netzwerkkarten in der Konfiguration dieses Servers als Clients oder als registrierte Agenten angegeben sind. In der Dokumentation Ihres Zwei-Faktor-Authentifizierungsservers finden Sie Einzelheiten dazu, wie Sie diese Kommunikation zulassen.
Informationen zum Abrufen dieser IP-Adressen finden Sie unter Aktualisieren des Zwei-Faktor-Authentifizierungssystems mit den erforderlichen Informationen zum Horizon Cloud-Pod-Gateway.
War diese Seite hilfreich?