En las páginas de configuración del administrador puede configurar los protocolos de seguridad y los algoritmos criptográficos que se utilizan para cifrar las comunicaciones entre los clientes y el dispositivo Unified Access Gateway.
Requisitos
Revisar las propiedades de implementación de Unified Access Gateway. La siguiente información es necesaria:
- Dirección IP estática para el dispositivo Unified Access Gateway
- Direcciones IP de los servidores DNS
Nota: Se puede especificar un máximo de dos direcciones IP de servidor DNS. Unified Access Gateway usa las direcciones DNS públicas de reserva predeterminadas de la plataforma solo cuando no se proporciona ninguna dirección de servidor DNS a Unified Access Gateway como parte de las opciones de configuración o a través de DHCP. - Contraseña de la consola de administración
- URL de la instancia del servidor o el equilibrador de carga al que se dirige el dispositivo Unified Access Gateway
- URL del servidor syslog para guardar los archivos de registro de eventos
Procedimiento
- En la sección de configuración manual de la interfaz de usuario del administrador, haga clic en Seleccionar.
- En la sección Configuración avanzada, haga clic en el icono de engranaje de Configuración del sistema.
- Edite los siguientes valores de la configuración del dispositivo Unified Access Gateway.
| Opción | Descripción |
|---|---|
| Nombre de UAG | Nombre de dispositivo Unified Access Gateway único. Nota: El nombre del dispositivo es una cadena de texto que puede incluir un máximo de 24 caracteres, entre los que se incluyen letras (A-Z), dígitos (0-9), el punto (.) y el signo menos (-). Sin embargo, el nombre del dispositivo no puede contener espacios. |
| Configuración regional | Especifica la configuración regional que se va a utilizar al generar mensajes de error.en_US para inglés de Estados Unidos. Este es el valor predeterminado.ja_JP para japonésfr_FR para francésde_DE para alemánzh_CN para chino simplificadozh_TW para chino tradicionalko_KR para coreanoes para españolpt_BR para portugués de Brasilen_GB para inglés británico |
| Conjuntos de cifrado de servidor TLS | Introduzca una lista separada por comas de conjuntos de cifrado, que son algoritmos criptográficos utilizados para cifrar las conexiones TLS entrantes a Unified Access Gateway. Esta opción se utiliza con algunas otras opciones, como las versiones de TLS, los grupos con nombre, los esquemas de firma, etc., que se utilizan para habilitar varios protocolos de seguridad. Los conjuntos de cifrado del servidor TLS compatibles con el modo FIPS son los siguientes: Conjuntos de cifrado habilitados de forma predeterminada: - TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384- TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256Los conjuntos de cifrado del servidor TLS predeterminados que se admiten en el modo no FIPS son los siguientes: - TLS_AES_128_GCM_SHA256- TLS_AES_256_GCM_SHA384- TLS_CHACHA20_POLY1305_SHA256- TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256- TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384- TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256- TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384- TLS_ECDGE_RSA_WITH_CHACHA20_POLY1305_SHA256Esta opción se puede configurar durante la implementación de PowerShell agregando el parámetro cipherSuites en el archivo ini. Consulte Ejecutar un script de PowerShell para implementar. |
| Conjuntos de cifrado de cliente TLS | Introduzca una lista separada por comas de conjuntos de cifrado, que son algoritmos criptográficos utilizados para cifrar las conexiones TLS salientes a Unified Access Gateway. Esta opción se utiliza con algunas otras opciones, como las versiones de TLS, los grupos con nombre, los esquemas de firma, etc., que se utilizan para habilitar varios protocolos de seguridad. Los siguientes conjuntos de cifrado son compatibles con el modo FIPS: - TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384- TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256- TLS_DHE_RSA_WITH_AES_128_CBC_SHA256- TLS_DHE_RSA_WITH_AES_256_CBC_SHA256- TLS_DHE_RSA_WITH_AES_256_GCM_SHA384- TLS_DHE_RSA_WITH_AES_128_GCM_SHA256- TLS_AES_128_GCM_SHA256- TLS_AES_256_GCM_SHA384En el modo que no es FIPS, de forma predeterminada, se pueden utilizar todos los conjuntos de cifrado compatibles con la biblioteca SSL (Java/Open SSL). Esta opción se puede configurar durante la implementación de PowerShell agregando el parámetro outboundCipherSuites en el archivo ini. Consulte Ejecutar un script de PowerShell para implementar. |
| Tamaño mínimo de hash SHA | Seleccione el Tamaño mínimo de hash SHA para los protocolos de Horizon y todas las conexiones que no sean de Horizon durante la comunicación y para la especificación de huella digital de certificado. SHA-256 es el valor predeterminado. Los valores de tamaño de hash SHA admitidos son: SHA-1, SHA-256, SHA-384 y SHA-512. No se recomienda SHA-1. |
| Habilitar TLS 1.1 | De forma predeterminada, esta opción está desactivada. Active esta opción para habilitar el protocolo de seguridad TLS 1.1. |
| Habilitar TLS 1.2 | De forma predeterminada, esta opción está activada. El protocolo de seguridad TLS 1.2 está habilitado. |
| Habilitar TLS 1.3 (solo no FIPS) | De forma predeterminada, esta opción está activada. Los protocolos de seguridad TLS 1.2 y TLS 1.3 están habilitados. |
| Proveedor SSL | Seleccione la implementación del proveedor de SSL utilizada para controlar las conexiones TLS. Para configurar TLS Named Groups y TLS Signature Schemes, el valor de esta opción debe ser JDK. De forma predeterminada, el valor de esta opción es OPENSSL. Nota: Cuando el valor de esta opción es JDK, no se admite la comprobación de revocación de certificados basada en OCSP. Sin embargo, se admite la comprobación de revocación de certificados basada en CRL. Cualquier cambio en esta opción provoca que se reinicien los servicios de Unified Access Gateway. Las sesiones de Unified Access Gateway en curso no se conservan durante el reinicio.Esta opción se puede configurar durante la implementación de PowerShell agregando el parámetro sslProvider en el archivo ini. Consulte Ejecutar un script de PowerShell para implementar. |
| Grupos con nombre TLS | Permite que el administrador configure los grupos con nombre deseados (curvas elípticas) a partir de una lista de grupos con nombre compatibles que se utilizan para el intercambio de claves durante el protocolo de enlace SSL. Esta opción permite valores separados por comas. Algunos de los grupos con nombre admitidos son los siguientes: secp256r1, secp384r1, secp521r1. Para configurar esta opción, asegúrese de que la opción SSL Provider esté establecida en JDK. De lo contrario, la opción Grupos con nombre TLS estará deshabilitada. Cualquier cambio en esta opción provoca que se reinicien los servicios de Unified Access Gateway. Las sesiones de Unified Access Gateway en curso no se conservan durante el reinicio.Nota: Esta opción se puede configurar durante la implementación de PowerShell agregando el parámetro tlsNamedGroups en el archivo ini. Consulte Ejecutar un script de PowerShell para implementar. |
| Esquemas de firma TLS | Permite al administrador configurar los algoritmos de firma TLS compatibles que se utilizan para la validación de claves durante el protocolo de enlace SSL. Esta opción permite valores separados por comas. Ejemplos de esquemas de firma admitidos: rsa_pkcs1_sha, rsa_pkcs1_sha256, rsa_pkcs1_sha384, rsa_pss_rsae_sha256, rsa_pss_rsae_sha384.Para configurar esta opción, asegúrese de que la opción SSL Provider esté establecida en JDK. De lo contrario, la opción Esquemas de firma TLS estará deshabilitada. Cualquier cambio en esta opción provoca que se reinicien los servicios de Unified Access Gateway. Las sesiones de Unified Access Gateway en curso no se conservan durante el reinicio.Nota: Esta opción se puede configurar durante la implementación de PowerShell agregando el parámetro tlsSignatureSchemes en el archivo ini. Consulte Ejecutar un script de PowerShell para implementar. |
| Encabezados de host permitidos | Introduzca la dirección IP y/o el nombre de host para permitir como valores de encabezado del host. Esta opción se aplica a Horizon, a casos prácticos de proxy inverso de web y al servicio de administración en Unified Access Gateway. La validación del encabezado de host (o X-Forwarded-Host) está habilitada de forma predeterminada en los valores configurados en este campo y en una lista permitida calculada automáticamente de forma dinámica en función de la configuración de red de UAG y la configuración del servicio perimetral. Todos los nombres de host utilizados para acceder a Unified Access Gateway directamente, a través del equilibrador de carga o el proxy inverso, y que no se incluyan en la lista de permitidos automáticamente deben configurarse en este campo. Para las implementaciones de Unified Access Gateway con Horizon, si la puerta de enlace segura de Blast (BSG) o Tunnel están habilitados y se configuran URL externas, estos valores se incluyen automáticamente en la lista de valores de host permitidos. No se requiere una configuración explícita de estos valores. Para las implementaciones de Unified Access Gateway con configuraciones de proxy inverso de web, los patrones de host de proxy y URL externos se incluyen en la lista de valores de host permitidos automáticamente. Cuando se implementa Unified Access Gateway con una IP virtual (VIP) N+1, la dirección IP virtual se incluye en la lista de permitidos automáticamente. Además, las direcciones IP que no son de bucle invertido de UAG y el nombre de host interno también se incluyen en esta lista y se permiten de forma predeterminada. |
| Encabezados de host permitidos automáticamente | Los valores de esta configuración se incluyen en la lista de "Valores permitidos" para la validación del encabezado Host/X-Forwarded-Host. Los valores se calculan de forma dinámica en función de las configuraciones de red, la configuración de Edge, la alta disponibilidad, la configuración del sistema, etc. del dispositivo. Para obtener más información, consulte Validación de encabezados de host en Unified Access Gateway. |
| Certificado CA | Esta opción está habilitada cuando se agrega un servidor syslog. Seleccione un certificado de entidad de certificación de syslog válido. |
| URL de comprobación de estado | Introduzca una URL a la que se conecta el equilibrador de carga y comprueba el estado de Unified Access Gateway. |
| Monitor de estado HTTP | De forma predeterminada, esta opción está desactivada. La configuración predeterminada redirecciona las solicitudes de URL de comprobación de estado HTTP a HTTPS. Al activar esta opción, Unified Access Gateway responde a la solicitud de comprobación de estado incluso en HTTP. |
| Cookies que se deben almacenar en caché | Conjunto de cookies que Unified Access Gateway almacena en caché. El valor predeterminado es ninguno. |
| Tiempo de espera de la sesión | El valor predeterminado es 36000000 milisegundos. Nota: El valor de Session Timeout en Unified Access Gateway debe ser el mismo que el valor del ajuste Forcibly disconnect users de Horizon Connection Server. El ajuste Desconectar usuarios por la fuerza es una de las opciones globales generales de Horizon Console. Para obtener más información sobre esta opción, consulte Configurar ajustes de sesiones de Horizon Client y Horizon Console. |
| Modo inactivo | Al activar esta opción, se pone en pausa el dispositivo Unified Access Gateway para conseguir un estado coherente para realizar las tareas de mantenimiento. |
| Intervalo monitor | El valor predeterminado es 60. |
| Compatibilidad con la sustitución de certificados de firma SAML | Active esta opción para generar metadatos de SP de SAML con un certificado de firma. El identificador de entidad basado en certificados de firma permite una sustitución de certificados fluida con configuraciones de SP independientes en el IDP. Para cambiar este valor, debe volver a configurar el IDP. |
| Compatibilidad con la sustitución de certificados de cifrado SAML | Active esta opción para generar metadatos de SP de SAML con un certificado de cifrado y un certificado de firma. El uso de ambos certificados para calcular el identificador de entidad permite una sustitución de certificados fluida con configuraciones de SP independientes en el IDP. Para cambiar este valor, descargue los metadatos del SP desde Configuración de Horizon y configúrelos en el IDP. Si se habilita, el IDP deberá volver a configurarse cuando se actualice el cifrado y/o el certificado TLS en UAG. |
| Vigencia de la contraseña | Número de días que la contraseña es válida para el usuario con el rol de administrador. El valor predeterminado es 90 días. El valor máximo que se puede configurar es 999 días. Para que la contraseña nunca caduque, especifique el valor de este campo como 0. |
| Vigencia de la contraseña de los usuarios de supervisión | Número de días que la contraseña es válida para los usuarios con el rol de supervisión. El valor predeterminado es 90 días. El valor máximo que se puede configurar es 999 días. Para que la contraseña nunca caduque, especifique el valor de este campo como 0. |
| Tiempo de espera de solicitud | Indica el tiempo máximo que Unified Access Gateway espera para recibir una solicitud. El valor predeterminado es 3000. Este tiempo de espera debe especificarse en milisegundos. |
| Tiempo de espera de recepción de cuerpo | Indica el tiempo máximo que Unified Access Gateway espera para recibir el cuerpo de una solicitud. El valor predeterminado es 5000. Este tiempo de espera debe especificarse en milisegundos. |
| Máximo de conexiones por sesión | Número máximo de conexiones TCP permitidas por sesión TLS. El valor predeterminado es 16. Para que no haya límite en el número permitido de conexiones TCP, establezca el valor de este campo en 0.Nota: Un valor de 8 o inferior provoca errores en Horizon Client. |
| Supervisión de solicitud no reconocida | Active esta opción para supervisar las solicitudes no reconocidas dentro de una ventana deslizante de 60 minutos. A continuación, el recuento se comparte con el agente. |
| Tiempo de espera inactivo de la conexión del cliente | Especifique el tiempo (en segundos) que una conexión de cliente puede permanecer inactiva antes de que se cierre la conexión. El valor predeterminado es 360 segundos (6 minutos). Un valor de cero indica que no hay ningún tiempo de espera de inactividad. |
| Tiempo de espera de autenticación | El tiempo de espera máximo en milisegundos antes del cual debe producirse la autenticación. El valor predeterminado es 300000. Si se especifica 0, indica que no hay ningún límite de tiempo para la autenticación. |
| Tolerancia de sesgo del reloj | Introduzca la diferencia de tiempo permitida en segundos entre un reloj de Unified Access Gateway y los demás relojes de la misma red. El valor predeterminado es 600 segundos. |
| Máximo de CPU del sistema permitido | Indica el promedio máximo permitido de uso de la CPU del sistema en un minuto. Cuando se supera el límite de CPU configurado, no se permiten nuevas sesiones y el cliente recibe un error HTTP 503 para indicar que el dispositivo Unified Access Gateway está sobrecargado temporalmente. Además, el límite superado también permite a un equilibrador de carga marcar el dispositivo Unified Access Gateway en modo inactivo para que las nuevas solicitudes puedan dirigirse a otros dispositivos Unified Access Gateway. El valor es un porcentaje. El valor predeterminado es 100%. |
| Unirse a CEIP | Si está opción está habilitada, se enviará la información del Programa de mejora de la experiencia de cliente ("CEIP") a Omnissa. |
| Habilitar SNMP | Active esta opción para habilitar el servicio SNMP. SNMP (Protocolo simple de administración de redes) recopila estadísticas del sistema e información de memoria, estadísticas de uso de espacio en disco y MIB del servicio perimetral de Tunnel mediante Unified Access Gateway. La lista de la base de información de administración (MIB) disponible: - UCD-SNMP-MIB::systemStats - UCD-SNMP-MIB::memory - UCD-SNMP-MIB::dskTable |
| Versión de SNMP | Seleccione la versión de SNMP deseada. Si se selecciona SNMPv1+v2 como protocolo SNMP, puede agregar un nombre de comunidad de SNMP personalizado. Nota: Debe habilitar SNMP antes de configurar Tunnel. Si habilita SNMP después de configurar Tunnel, debe volver a guardar la configuración de Tunnel para que la configuración de SNMP entre en vigor. Si ha implementado Unified Access Gateway a través de PowerShell, ha habilitado SNMP, pero no ha configurado los ajustes de SNMPv3 a través de PowerShell o la interfaz de usuario del administrador de Unified Access Gateway, se utilizan las versiones de SNMPv1+SNMPv2c de forma predeterminada. Estos son los pasos adicionales para configurar los ajustes de SNMPv3 en la interfaz de usuario del administrador: 1. Introduzca el Usuario USM de SNMPv3. 2. Introduzca el Identificador de motor de SNMP. Este valor es único para cada dispositivo Unified Access Gateway. La longitud máxima del identificador del motor está limitada a 27 caracteres. 3. Seleccione el Nivel de seguridad de SNMPv3. 4. En función del nivel de seguridad seleccionado en el paso anterior, realice las siguientes acciones: Nivel de seguridad de SNMPv3 No Auth, No Priv (Sin autenticación, sin privacidad) Haga clic en Guardar. No es necesario realizar ninguna otra acción. Auth, No Priv (Autenticación, sin privacidad) 1. Seleccione el Algoritmo de autenticación de SNMPv3. 3. Introduzca la Contraseña de autenticación de SNMPv3. La contraseña debe tener al menos 8 caracteres. 4. Seleccione la opción Confirmar contraseña de autenticación para confirmar la introducida en el paso anterior. 5. Haga clic en Guardar. Auth, Priv (Autenticación, privacidad) 1. Seleccione el Algoritmo de autenticación de SNMPv3. Los valores admitidos son: MD5 (no recomendado), SHA (no recomendado), SHA-224, SHA-256, SHA-384, SHA-5122. Introduzca la Contraseña de autenticación de SNMPv3. La contraseña debe tener al menos 8 caracteres. 3. Seleccione la opción Confirmar contraseña de autenticación para confirmar la introducida en el paso anterior. 4. Seleccione el Algoritmo de privacidad de SNMPv3. Los valores admitidos son: DES, AES.5. Introduzca la Contraseña de privacidad de SNMPv3. La contraseña debe tener al menos 8 caracteres. 6. Seleccione la opción Confirmar contraseña de privacidad para confirmar la introducida en el paso anterior. 7. Haga clic en Guardar. |
| Comunidad de SNMP | Introduzca un nombre de compatibilidad de SNMP personalizado para utilizarlo. Si este campo se deja en blanco, se utiliza "public". |
| Texto de descargo de responsabilidad de administrador | Introduzca el texto de exención de responsabilidades en función de la directiva de acuerdo de usuario de su organización. Para que un administrador inicie sesión correctamente en la interfaz de usuario del administrador de Unified Access Gateway, el administrador debe aceptar la directiva de acuerdo. El texto de exención de responsabilidades se puede configurar a través de la implementación de PowerShell o a través de la interfaz de usuario del administrador de Unified Access Gateway. Para obtener más información sobre la configuración de PowerShell en el archivo INI, consulte Ejecutar un script de PowerShell para implementar. Mientras se usa la interfaz de usuario del administrador de Unified Access Gateway para configurar este cuadro de texto, el administrador primero debe iniciar sesión en la interfaz de usuario del administrador y, a continuación, configurar el texto de exención de responsabilidades. En los siguientes inicios de sesión del administrador, se muestra el texto para que lo acepte el administrador antes de acceder a la página de inicio de sesión. |
| DNS | Introduzca las direcciones de sistema de nombres de dominio que se agregan al archivo de configuración /run/systemd/resolve/resolv.conf. Debe contener una dirección de búsqueda de DNS válida. Haga clic en "+" para agregar una nueva dirección DNS. |
| Búsqueda de DNS | Introduzca la búsqueda de sistema de nombres de dominio que se agrega al archivo de configuración /run/systemd/resolve/resolv.conf. Debe contener una dirección de búsqueda de DNS válida. Haga clic en "+" para agregar una nueva entrada de búsqueda de DNS. |
| Sincronización de hora con el host | Active esta opción para sincronizar la hora en el dispositivo Unified Access Gateway con la hora del host ESXi. De forma predeterminada, esta opción está desactivada. Esta opción utiliza Open VM Tools para la sincronización de hora y solo se admite cuando se implementa Unified Access Gateway en el host ESXi. Si elige esta opción para la sincronización de hora, se deshabilitan las opciones NTP Servers y FallBack NTP Servers. Esta opción se puede configurar a través de PowerShell agregando el parámetro hostClockSyncEnabled en el archivo INI. Consulte Ejecutar un script de PowerShell para implementar. |
| Servidores NTP | Servidores NTP para la sincronización del protocolo de tiempo de redes. Puede introducir direcciones IP y nombres de host válidos. Cualquier servidor NTP por interfaz obtenido de la configuración systemd-networkd.service o a través de DHCP tendrá prioridad sobre estas configuraciones. Haga clic en "+" para agregar un nuevo servidor NTP. Si elige esta opción para la sincronización de hora, se deshabilitará Sincronización de hora con el host. |
| Servidores NTP de reserva | Servidores NTP de reserva para la sincronización del protocolo de tiempo de redes. Si no se encuentra la información del servidor NTP, se utilizarán las direcciones IP o los nombres de host del servidor NTP de reserva. Haga clic en "+" para agregar un nuevo servidor NTP de reserva. Si elige esta opción para la sincronización de hora, se deshabilitará Sincronización de hora con el host. |
| Validación de certificado de servidor extendida | Active esta opción para asegurarse de que Unified Access Gateway realice una validación extendida en el certificado de servidor SSL recibido para las conexiones TLS salientes a los servidores back-end. Las comprobaciones extendidas incluyen la validación de la caducidad del certificado, la falta de coincidencia en el nombre de host, el estado de revocación del certificado y los valores de uso de claves extendidos. De forma predeterminada, esta opción está deshabilitada. Esta opción se puede configurar a través de PowerShell agregando el parámetro extendedServerCertValidationEnabled en el archivo ini. Consulte Ejecutar un script de PowerShell para implementar. |
| Claves públicas SSH | Cargue claves públicas para habilitar el acceso de usuarios raíz a la máquina virtual de Unified Access Gateway al utilizar la opción par de claves pública-privada. Los administradores pueden cargar varias claves públicas únicas para Unified Access Gateway. Este campo se puede ver en la interfaz de usuario del administrador solo cuando las siguientes opciones de SSH están establecidas como true durante la implementación: Habilitar SSH y Permitir inicio de sesión root de SSH mediante par de claves. Para obtener información sobre estos métodos, consulte Implementar en vSphere mediante el asistente de plantillas de OVF. |
- Haga clic en Guardar.
Qué hacer a continuación
Configure las opciones del servicio perimetral de los componentes con los que Unified Access Gateway está implementado. Una vez configuradas las opciones del servicio perimetral, configure las de autenticación.
¿Le resultó útil esta página?