ロード バランサまたはリバース プロキシを使用して、Omnissa Access への外部アクセスを有効にする

Omnissa Access の展開時に、Omnissa Access インスタンスが内部ネットワーク内にセットアップされます。外部ネットワークから接続するユーザーがサービスにアクセスできるようにする場合は、NSX® Advanced Load Balancer™、Apache、Nginx、F5 などのロード バランサまたはリバース プロキシを DMZ にインストールする必要があります。

将来的に、環境を柔軟に拡張するには、Omnissa Access を展開する前にロード バランサまたはリバース プロキシが必要です。これがないと、冗長性をサポートしたり、展開全体にトラフィックを分散したりするために、後からインスタンスを追加することができません。高可用性にはロード バランサが必要です。単一ノードの展開はサポートされていません。

下記の図に、外部アクセスを有効するために使用できる、基本展開アーキテクチャを示します。

**注：**この展開では、内部アクセスと外部アクセスの両方に同じ Omnissa Access FQDN が使用されます。

展開時に指定する Omnissa Access FQDN

Omnissa Access アプライアンスの展開時に、単一の Omnissa Access FQDN とポート番号を入力する必要があります。これらの値は、エンド ユーザーがアクセスする FQDN を指定する必要があります。

Omnissa Access マシンは、常にポート 443 で実行されます。ロード バランサには、異なるポート番号を使用できます。異なるポート番号を使用する場合は、展開時に指定する必要があります。ポート番号には 8443 を使用しないでください。このポート番号は Omnissa Access の管理ポートで、クラスタ内のマシンごとに一意です。

構成するロード バランサ設定

X-Forwarded-For ヘッダーの有効化、ロード バランサのタイムアウトの正確な設定など、ロード バランサの設定を構成します。さらに、Omnissa Access マシンとロード バランサ間に SSL トラストを構成する必要があります。

• X-Forwarded-For ヘッダー

  ロード バランサで X-Forwarded-For ヘッダーを有効にする必要があります。これによって、認証方法が決定します。詳細については、ロード バランサのベンダーから提供されるドキュメントを参照してください。

• ロード バランサのタイムアウト

  Omnissa Access が正しく機能するように、ロード バランサの要求のタイムアウトをデフォルトの値から増やす必要がある場合があります。この値は、分単位で設定します。タイムアウト設定が短すぎると、「502 error: The service is unavailable.」というエラーが発生することがあります。

• セッション Cookie をブロックしない

  ロード バランサにルールを追加して、セッション Cookie をブロックしないようにします。このようなルールをロード バランサに追加すると、動作が一貫せず、要求が失敗する可能性があります。

• WebSocket サポート

  ロード バランサには、コネクタ インスタンスと Omnissa Access ノード間のセキュアな通信チャネルを有効にするための WebSocket サポートが必要です。

  ご利用の展開環境で Workspace ONE Hub Services が統合されている場合は、Hub Services の通知に WebSocket サポートが必要です。したがって、エンド ユーザーのブラウザとデバイスに Web ソケットのサポートを提供する必要があります。

• Forward Secrecy 付き暗号

  Apple iOS App Transport Security 要件は iOS の Workspace ONE アプリケーションに適用されます。ユーザーが iOS で Workspace ONE アプリケーションを使用できるようにするには、ロード バランサに Forward Secrecy 付き暗号が必要です。次の暗号がこの要件を満たしています。

  GCM または CBC モードの ECDHE_ECDSA_AES および ECDHE_RSA_AES

  iOS 11 の『iOS セキュリティ』ドキュメントには次のように記載されています。

  「App Transport Security は、アプリケーションが NSURLConnection、CFURL、または NSURLSession API を使用する場合のセキュアな接続についてのベスト プラクティスを遵守するための、デフォルトの接続要件を提供します。デフォルトでは、App Transport Security は暗号の選択を制限し、特に GCM または CBC モードでの ECDHE_ECDSA_AES および ECDHE_RSA_AES など、Forward Secrecy を提供するスイートのみを含むようにしています。」