Implementación con Horizon 8

Unified Access Gateway (UAG) permite el acceso remoto seguro a aplicaciones y escritorios virtuales locales de un centro de datos del cliente. Funciona con una implementación local de Horizon 8 para tener administración unificada. Al garantizar de forma segura la identidad del usuario, Unified Access Gateway controla con precisión el acceso a los escritorios y las aplicaciones en función de las autorizaciones de los usuarios.

Implementar Unified Access Gateway en la DMZ de la red

Cuando se implementa en la DMZ, Unified Access Gateway garantiza que:

• Todo el tráfico que entra al centro de datos a los recursos de escritorios y aplicaciones proviene de usuarios autenticados.

• El tráfico de un usuario autenticado se pueda dirigir solo a los recursos de escritorios y aplicaciones para los que dicho usuario tenga autorización. Este nivel de protección implica la inspección específica de los protocolos de escritorio y la coordinación de directivas y direcciones de red que cambian rápidamente para controlar el acceso con precisión.

Arquitectura de la implementación de UAG

La figura siguiente muestra un ejemplo de configuración que incluye firewall de front-end y de back-end.

Antes de la implementación

Verifique los siguientes requisitos para que la implementación con Horizon 8 se realice sin problemas.

• De forma predeterminada, el puerto 8443 debe estar disponible para TCP/UDP de Blast. Sin embargo, el puerto 443 también debe estar configurado para TCP/UDP de Blast.

• La puerta de enlace segura de Blast y la puerta de enlace segura PCoIP deben estar habilitadas al implementar Unified Access Gateway con Horizon 8. Esto garantiza que los protocolos de visualización puedan utilizarse como proxy automáticamente mediante Unified Access Gateway. Las opciones BlastExternalURL y pcoipExternalURL especifican las direcciones de conexión utilizadas por los Horizon Client para dirigir estas conexiones de protocolo de visualización a través de las puertas de enlace correspondientes en Unified Access Gateway. Esto proporciona una mayor seguridad, ya que estas puertas de enlace garantizan que el tráfico de los protocolos de visualización esté controlado en nombre de un usuario autenticado. Unified Access Gateway omite el tráfico de los protocolos de visualización sin autorización.

• Deshabilite las puertas de enlace seguras (puertas de enlaces seguras de Blast y PCoIP) en instancias de Horizon Connection Server y habilite estas puertas de enlace en los dispositivos Unified Access Gateway.

Autenticación

Unified Access Gateway admite los siguientes métodos de autenticación de usuarios:

• Nombre de usuario y contraseña de Active Directory
• Modo de quiosco. Si desea obtener información sobre el modo de quiosco, consulte la documentación de Horizon 8
• Autenticación en dos fases RSA SecurID, certificada formalmente por RSA para SecurID
• RADIUS a través de varias soluciones externas de proveedores de seguridad en dos fases
• Certificados de usuario X.509 o tarjeta inteligente
• SAML, X.509 y SAML, SAML y sin autenticar
• OIDC

Estos métodos de autenticación son compatibles con Horizon Connection Server. Unified Access Gateway no necesita comunicarse directamente con Active Directory. Esta comunicación funciona como proxy a través de Horizon Connection Server, que puede acceder directamente a Active Directory. Una vez que la sesión de usuario se autentique de conformidad con la directiva de autenticación, Unified Access Gateway puede reenviar solicitudes a Horizon Connection Server para pedir información de autorización, así como solicitudes de inicio de aplicaciones y escritorios. Unified Access Gateway también administra los controladores de protocolos de aplicaciones y escritorios para permitirles reenviar solo el tráfico de protocolos autorizado.

Unified Access Gateway gestiona por sí mismo la autenticación con tarjeta inteligente. Esto incluye opciones para que Unified Access Gateway se comunique con los servidores del Protocolo de estado de certificados en línea (OCSP) con el fin de comprobar la revocación del certificado X.509, entre otras cuestiones.