Implantação com o Horizon 8

Você pode implantar o Unified Access Gateway com o Horizon 8.

Cenário de implantação

O Unified Access Gateway fornece acesso remoto seguro a áreas de trabalho e aplicativos virtuais no local em um centro de dados do cliente. Isso funciona com uma implantação no local do Horizon 8 para o gerenciamento unificado.

O Unified Access Gateway também gerencia a área de trabalho e os manipuladores de protocolo de aplicação para permitir que encaminhem somente tráfego de protocolo autorizado.

Os dispositivos virtuais do Unified Access Gateway são normalmente implantados em uma zona desmilitarizada de rede (DMZ). A implantação na DMZ assegura que todo o tráfego entrando no centro de dados para os recursos da área de trabalho e do aplicativo é tráfego em nome de um usuário fortemente autenticado. Os dispositivos virtuais do Unified Access Gateway também garantem que o tráfego de um usuário autenticado possa ser direcionado apenas para os recursos de área de trabalho e aplicativos aos quais o usuário tem direito. Esse nível de proteção envolve a inspeção específica de protocolos de área de trabalho e a coordenação de potenciais endereços de rede e políticas de mudança rápida para controlar o acesso de maneira precisa.

A figura a seguir mostra um exemplo de uma configuração que inclui firewalls de front-end e back-end.


Você deve verificar os requisitos para implantação contínua do Unified Access Gateway com o Horizon 8.

• Por padrão, a porta 8443 deve estar disponível para Blast TCP/UDP. No entanto, a porta 443 também pode ser configurada para Blast TCP/UDP.

  Nota: se você configurar o Unified Access Gateway para usar o modo IPv4 e IPv6, o Blast TCP/UDP deverá ser definido como a porta 443. Consulte Suporte do Unified Access Gateway para o modo duplo IPv4 e IPv6 para a infraestrutura do Horizon.

• O gateway seguro Blast e o gateway seguro PCoIP deverão ser ativados quando o Unified Access Gateway for implantado com o Horizon 8. Isso garante que os protocolos de exibição possam servir como proxies automaticamente por meio do Unified Access Gateway. As configurações BlastExternalURL e pcoipExternalURL especificam endereços de conexão usados pelos Horizon Clients para rotear essas conexões de protocolo de exibição por meio dos gateways apropriados no Unified Access Gateway. Isso proporciona maior segurança, pois esses gateways garantem que o tráfego do protocolo de exibição seja controlado em nome de um usuário autenticado. O tráfego não autorizado do protocolo de exibição é desconsiderado pelo Unified Access Gateway.

• Desative os gateways seguros (gateway seguro Blast e gateway seguro PCoIP) nas instâncias do Horizon Connection Server e ative esses gateways nos appliances do Unified Access Gateway.

Nota: O Horizon Connection Server não funciona com um proxy reverso da web ativado quando há uma sobreposição no padrão de proxy. Portanto, se o Horizon e uma instância de proxy reverso da Web estiverem configurados e ativados com os padrões de proxy na mesma instância do Unified Access Gateway, remova o padrão de proxy '/' das configurações do Horizon e mantenha o padrão no proxy reverso da Web para evitar a sobreposição. Manter o padrão de proxy '/' na instância do proxy reverso da Web garante que, quando um usuário clicar na URL do Unified Access Gateway, a página correta do proxy reverso da Web seja exibida. Se apenas o Horizon estiver configurado, a alteração acima não será necessária.

Autenticação

Os métodos compatíveis de autenticação do usuário no Unified Access Gateway incluem o seguinte:

• O nome de usuário e a senha do Active Directory.
• Modo quiosque. Para obter mais detalhes sobre o Modo quiosque, consulte a documentação do Horizon.
• Autenticação de dois fatores do RSA SecurID, formalmente certificada pela RSA para SecurID.
• RADIUS por meio de diversas soluções de dois fatores de fornecedores de segurança terceirizados.
• Cartão inteligente, CAC ou certificados de usuário PIV X.509.
• SAML.

Esses métodos de autenticação são compatíveis com o Horizon Connection Server. Não é necessário que o Unified Access Gateway se comunique diretamente com o Active Directory. Essa comunicação serve como um proxy por meio do Horizon Connection Server, que pode acessar diretamente o Active Directory. Após a sessão do usuário ser autenticada de acordo com a política de autenticação, o Unified Access Gateway pode encaminhar as solicitações para informações de qualificação, e a área de trabalho e o aplicativo iniciam solicitações para o Horizon Connection Server. O Unified Access Gateway também gerencia seus manipuladores de protocolo de aplicativos e área de trabalho para permitir que eles encaminhem somente o tráfego de protocolo autorizado.

O Unified Access Gateway identifica sozinho a autenticação de cartões inteligentes. Isso inclui opções para que o Unified Access Gateway se comunique com servidores do Protocolo de Status do Certificado Online (OCSP) para verificar a revogação de certificados X.509 e assim por diante.