Reglas del firewall para dispositivos Unified Access Gateway basados en DMZ

Los dispositivos Unified Access Gateway basados en DMZ requieren la configuración de ciertas reglas del firewall en los firewalls del front-end y el back-end. Durante la instalación, se configuran los servicios de Unified Access Gateway para la escucha en determinados puertos de la red predeterminados.

La implementación de un dispositivo Unified Access Gateway basado en DMZ incluye normalmente dos firewalls:

• Se necesita un firewall de front-end dirigido a la red externa, que protege tanto la DMZ como la red interna. Este firewall se configura para permitir que el tráfico de la red externa llegue a la DMZ.
• Se necesita un firewall de back-end entre la DMZ y la red interna, que proporciona un segundo nivel de seguridad. Este firewall se configura para aceptar solo el tráfico que se origina desde los servicios dentro de la DMZ.

La directiva del firewall controla estrictamente las comunicaciones entrantes desde el servicio de la DMZ, lo que reduce en gran medida los riesgos para la red interna.

En las siguientes tablas, se indican los requisitos de puertos para los distintos servicios dentro de Unified Access Gateway.

Nota: Todos los puertos UDP requieren que se permitan los datagramas de reenvío y de respuesta. Los servicios de Unified Access Gateway usan DNS para resolver los nombres de host. Las direcciones IP del servidor DNS se pueden configurar. Las solicitudes de DNS se realizan en el puerto UDP 53 y, por lo tanto, es importante que un firewall externo no bloquee estas solicitudes o respuestas.

Requisitos de puerto para Secure Email Gateway

Nota: Como el servicio de Secure Email Gateway (SEG) se ejecuta como un usuario no raíz en Unified Access Gateway, SEG no se puede ejecutar en los puertos del sistema. Por ello, los puertos personalizados deben ser mayores que el puerto 1024.

Requisitos de puertos para Horizon

Nota: Para permitir que los dispositivos de clientes externos se conecten a un dispositivo Unified Access Gateway dentro de la DMZ, el firewall de front-end debe permitir el tráfico en determinados puertos. De forma predeterminada, los dispositivos cliente externos y los clientes web externos (HTML Access) se conectan a un dispositivo Unified Access Gateway dentro de la DMZ en el puerto TCP 443. Si utiliza el protocolo Blast, el puerto 8443 debe estar abierto en el firewall. Si utiliza Blast a través del puerto TCP 443, no es necesario abrir TCP 8443 en el firewall.

Requisitos de puertos para la configuración de Workspace ONE Intelligence

Requisitos de puertos para el proxy inverso de web

Requisitos de puertos para la IU del administrador

Requisitos de puertos para la configuración básica de endpoints de Content Gateway

Requisitos de puertos para la configuración de endpoint de retransmisión de Content Gateway

Nota: Debido a que el servicio de Content Gateway se ejecuta como un usuario que no es raíz en Unified Access Gateway, Content Gateway no puede ejecutarse en los puertos del sistema y, por lo tanto, los puertos personalizados deben ser mayores a 1024.

Requisitos de puertos para Omnissa Workspace ONE Tunnel

Configuración básica de endpoints de Omnissa Workspace ONE Tunnel

HTTP 200 OK

Configuración en cascada de Omnissa Workspace ONE Tunnel

Configuración de front-end y back-end de Tunnel

Los siguientes puntos son válidos para los requisitos de Tunnel.

Nota: * - Este puerto puede modificarse si es necesario en función de las restricciones de su entorno.

1. Si se utiliza el puerto 443, Per-App Tunnel escuchará en el puerto 8443.

   Nota: Cuando los servicios de Tunnel y Content Gateway están habilitados en el mismo dispositivo y el uso compartido de puertos TLS está habilitado, los nombres DNS deben ser únicos para cada servicio. Cuando no se habilita TLS, solo puede usarse un nombre DNS para ambos servicios, ya que el puerto diferenciará el tráfico entrante. (Para Content Gateway, si se utiliza el puerto 443, Content Gateway escuchará en el puerto 10443).

2. Para que Tunnel consulte Workspace ONE UEM Console con fines de cumplimiento y seguimiento.

3. Para que las topologías de front-end de Tunnel reenvíen las solicitudes del dispositivo solo al back-end interno de Tunnel.

4. Para las aplicaciones que utilizan Tunnel para acceder a los recursos internos.

5. Omnissa Workspace ONE Tunnel debe comunicarse con la API d UEM para la inicialización. Asegúrese de que haya conectividad entre REST API y el servidor de Tunnel. Vaya a Grupos y configuración > Todos los ajustes > Sistema > Avanzado > URL del sitio para establecer la dirección URL del servidor de REST API. Esta página no está disponible para los clientes de SaaS. Por lo general, la dirección URL de REST API para los clientes de SaaS es la dirección URL del servidor de servicios de los dispositivos o la consola.