Durante la implementación de Omnissa Access, la instancia de Omnissa Access se configura dentro de la propia red interna. Si desea proporcionar acceso al servicio a aquellos usuarios que se conectan desde redes exteriores, debe instalar un equilibrador de carga o un proxy inverso, como NSX® Advanced Load Balancer™, Apache, Nginx o F5, en la red perimetral o DMZ.
Es necesario disponer de un equilibrador de carga o un proxy inverso antes de implementar Omnissa Access si desea tener flexibilidad para ampliar su entorno en el futuro. Sin él, no podrá agregar instancias más adelante para garantizar la redundancia o distribuir el tráfico en su implementación. La alta disponibilidad requiere un equilibrador de carga; no se admiten implementaciones de un solo nodo.
El diagrama siguiente muestra la arquitectura de implementación básica que puede usar para habilitar el acceso externo.
Nota: El mismo FQDN de Omnissa Access se utiliza para el acceso interno y externo en esta implementación.
Especificar el FQDN de Omnissa Access durante la implementación
Durante la implementación del dispositivo de Omnissa Access, debe usar un único FQDN de Omnissa Access y el número de puerto. Estos valores deben dirigir al FQDN al que desea que los usuarios finales obtengan acceso.
El equipo de Omnissa Access siempre se ejecuta a través del puerto 443. Puede usar un número de puerto diferente para el equilibrador de carga. Si usa un número de puerto diferente, debe especificarlo durante la implementación. No utilice 8443 como número de puerto, ya que este es el puerto administrativo de Omnissa Access y es único para cada equipo del clúster.
Opciones del equilibrador de carga para configurar
La configuración del equilibrador de carga incluye habilitar encabezados X-Forwarded-For y establecer correctamente el tiempo de espera del equilibrador de carga. Además, se debe configurar la confianza SSL entre el equilibrador de carga y la máquina de Omnissa Access.
-
Encabezados X-Forwarded-For
Debe habilitar encabezados X-Forwarded-For para su equilibrador de carga. Esto determina el método de autenticación. Consulte la documentación proporcionada por el proveedor de su equilibrador de carga para obtener más información.
-
Tiempo de espera del equilibrador de carga
Para que Omnissa Access funcione correctamente, es posible que necesite aumentar el valor predeterminado correspondiente al tiempo de espera para las solicitudes del equilibrador de carga. Este valor se expresa en minutos. Si el valor del tiempo de espera es demasiado bajo, puede que se muestre el mensaje "Error 502: El servicio no se encuentra disponible".
-
No bloquear cookies de sesión
No bloquee las cookies de sesión agregando reglas al equilibrador de carga. Si agrega reglas de este tipo al equilibrador de carga, puede producirse un comportamiento incoherente y solicitudes erróneas.
-
Compatibilidad con WebSocket
El equilibrador de carga debe admitir WebSocket para habilitar los canales de comunicación segura entre las instancias de conector y los nodos de Omnissa Access.
Para su implementación, si Workspace ONE Hub Services está integrado, se requiere la compatibilidad con WebSocket para las notificaciones de Hub Services. Por lo tanto, se debe proporcionar la compatibilidad de WebSocket para los navegadores y los dispositivos de los usuarios finales.
-
Cifrados con confidencialidad directa
Los requisitos de seguridad de transporte de la aplicación iOS de Apple se aplican a la aplicación Workspace ONE en iOS. Para permitir que los usuarios utilicen la aplicación Workspace ONE en iOS, el equilibrador de carga debe tener cifrados con confidencialidad directa. Estas son los cifrados que cumplen los requisitos:
ECDHE_ECDSA_AES y ECDHE_RSA_AES en el modo GCM o CBC
tal como se especifica en el documento Seguridad de iOS de iOS 11:
"La seguridad de transporte de las app proporciona unos requisitos de conexión por omisión, de manera que las apps cumplan las buenas prácticas para conexiones seguras al utilizar las API NSURLConnection, CFURL o NSURLSession. Por defecto, la seguridad de transporte de las apps limita la selección de cifrados para incluir solo conjuntos que proporcionen la confidencialidad directa, concretamente ECDHE_ ECDSA_ AES y ECDHE_ RSA_ AES en modo GCM o CBC".
¿Le resultó útil esta página?