ロード バランサまたはリバース プロキシを使用した Omnissa Access への外部アクセスの有効化

Omnissa Access の展開時に、Omnissa Access インスタンスが内部ネットワーク内にセットアップされます。Unified Access Gateway、NSX® Advanced Load Balancer™、Apache、Nginx などのロード バランサまたはリバース プロキシは、すべての Omnissa Access 環境に必要なコンポーネントであり、展開を開始する前に DMZ にインストールする必要があります。

ロード バランサまたはリバース プロキシは、時間の経過とともに環境を拡張したり、冗長性を確保するためにインスタンスを追加したり、トラフィックを環境全体に分散する際に必要な単一のエントリ ポイントを提供します。高可用性にはロード バランサが必要です。単一ノードの展開はサポートされていません。

下記の図に、外部アクセスを有効するために使用できる、基本展開アーキテクチャを示します。

**注：**この展開では、内部アクセスと外部アクセスの両方に同じ Omnissa Access FQDN が使用されます。

展開時に指定する Omnissa Access FQDN

Omnissa Access アプライアンスの展開時に、単一の Omnissa Access FQDN とポート番号を入力する必要があります。これらの値は、エンド ユーザーがアクセスする FQDN を指定する必要があります。

Omnissa Access マシンは、常にポート 443 で実行されます。

構成するロード バランサ設定

X-Forwarded-For ヘッダーの有効化、ロード バランサのタイムアウトの正確な設定など、ロード バランサの設定を構成します。さらに、Omnissa Access マシンとロード バランサ間に SSL トラストを構成する必要があります。

• X-Forwarded-For ヘッダー

  ロード バランサで X-Forwarded-For ヘッダーを有効にする必要があります。これによって、認証方法が決定します。詳細については、ロード バランサのベンダーから提供されるドキュメントを参照してください。

• ロード バランサのタイムアウト

  Omnissa Access が正しく機能するように、ロード バランサの要求のタイムアウトをデフォルトの値から増やす必要がある場合があります。この値は、分単位で設定します。タイムアウト設定が短すぎると、「502 error: The service is unavailable.」というエラーが発生することがあります。

• セッション Cookie をブロックしない

  ロード バランサにルールを追加して、セッション Cookie をブロックしないようにします。このようなルールをロード バランサに追加すると、動作が一貫せず、要求が失敗する可能性があります。

• WebSocket サポート

  ロード バランサには、コネクタ インスタンスと Omnissa Access ノード間のセキュアな通信チャネルを有効にするための WebSocket サポートが必要です。

  ご利用の展開環境で Workspace ONE Hub Services が統合されている場合は、Hub Services の通知に WebSocket サポートが必要です。したがって、エンド ユーザーのブラウザとデバイスに Web ソケットのサポートを提供する必要があります。

• Forward Secrecy 付き暗号

  Apple iOS App Transport Security (ATS) の要件は、iOS の Workspace ONE アプリケーションに適用されます。ユーザーが iOS で Workspace ONE アプリケーションを使用できるようにするには、ロード バランサに Forward Secrecy 付き暗号が必要です。この要件を満たす暗号は次のとおりです。

  • GCM モードでの ECDHE_ECDSA_AES と ECDHE_RSA_AES（SHA-256/384 を使用する AES-GCM）
  • 任意の TLS 1.3 暗号スイート（すべての TLS 1.3 スイートは、設計上 Forward Secrecy を提供します）

  Apple のプラットフォーム セキュリティのドキュメントに従って、次の手順を実行します。

  「デフォルトでは、App Transport Security は暗号の選択を制限しています。特に Galois/Counter モード (GCM) での ECDHE_ECDSA_AES および ECDHE_RSA_AES など、Forward Secrecy を提供するスイートのみを含むようにしています... サーバは TLS 1.2 と Forward Secrecy をサポートする必要があります。証明書は有効で、最小 2,048 ビット RSA キーまたは 256 ビットの楕円曲線キーを持つ SHA-256 以上を使用して署名されている必要があります。」