Implantação com o Horizon 8

O Unified Access Gateway (UAG) permite acesso remoto seguro a desktops e aplicativos virtuais no local em um centro de dados do cliente. Ele opera com uma implantação no local do Horizon 8 para o gerenciamento unificado. Fornecendo uma forte garantia da identidade do usuário, o Unified Access Gateway controla com precisão o acesso a desktops e aplicativos com base nos direitos do usuário.

Implantar o Unified Access Gateway na DMZ da sua rede

Quando implantado na DMZ, o Unified Access Gateway garante o seguinte:

• Todo o tráfego que entra no centro de dados para os recursos de desktop e de aplicativos vem de usuários autenticados.

• O tráfego de um usuário autenticado pode ser direcionado somente para recursos de desktop e de aplicativos aos quais o usuário tem direito. Esse nível de proteção envolve inspeção específica de protocolos de desktop e coordenação de políticas e endereços de rede que mudam rapidamente para controlar o acesso com precisão.

Arquitetura de implantação do UAG

A figura a seguir mostra um exemplo de uma configuração que inclui firewalls de front-end e back-end.

Antes de implantar

Verifique os requisitos a seguir para uma implantação perfeita com o Horizon 8.

• Por padrão, a porta 8443 deve estar disponível para Blast TCP/UDP. No entanto, a porta 443 também pode ser configurada para Blast TCP/UDP.

  Nota: se você configurar o Unified Access Gateway para usar o modo IPv4 e IPv6, o Blast TCP/UDP deverá ser definido como a porta 443. Consulte Suporte do Unified Access Gateway para o modo duplo IPv4 e IPv6 para a infraestrutura do Horizon.

• O gateway seguro Blast e o gateway seguro PCoIP deverão ser ativados quando o Unified Access Gateway for implantado com o Horizon 8. Isso garante que os protocolos de exibição possam servir como proxies automaticamente por meio do Unified Access Gateway. As configurações BlastExternalURL e pcoipExternalURL especificam endereços de conexão usados pelos Horizon Clients para rotear essas conexões de protocolo de exibição por meio dos gateways apropriados no Unified Access Gateway. Isso proporciona maior segurança, pois esses gateways garantem que o tráfego do protocolo de exibição seja controlado em nome de um usuário autenticado. O tráfego não autorizado do protocolo de exibição é desconsiderado pelo Unified Access Gateway.

• Desative os gateways seguros (gateway seguro Blast e gateway seguro PCoIP) nas instâncias do Horizon Connection Server e ative esses gateways nos appliances do Unified Access Gateway.

Autenticação

Os métodos compatíveis de autenticação do usuário no Unified Access Gateway incluem o seguinte:

• O nome de usuário e a senha do Active Directory.
• Modo quiosque. Para obter mais detalhes sobre o Modo quiosque, consulte a documentação do Horizon 8.
• Autenticação de dois fatores do RSA SecurID, formalmente certificada pela RSA para SecurID.
• RADIUS por meio de diversas soluções de fornecedores de segurança de dois fatores de terceiros.
• Cartão inteligente, certificados de usuário X.509
• SAML, X.509 e SAML, SAML e Não autenticado
• OIDC

Esses métodos de autenticação são compatíveis com o Horizon Connection Server. Não é necessário que o Unified Access Gateway se comunique diretamente com o Active Directory. Essa comunicação serve como um proxy por meio do Horizon Connection Server, que pode acessar diretamente o Active Directory. Após a sessão do usuário ser autenticada de acordo com a política de autenticação, o Unified Access Gateway pode encaminhar as solicitações para informações de qualificação, e a área de trabalho e o aplicativo iniciam solicitações para o Horizon Connection Server. O Unified Access Gateway também gerencia seus manipuladores de protocolo de aplicativos e área de trabalho para permitir que eles encaminhem somente o tráfego de protocolo autorizado.

O Unified Access Gateway identifica sozinho a autenticação de cartões inteligentes. Isso inclui opções para que o Unified Access Gateway se comunique com servidores do Protocolo de Status do Certificado Online (OCSP) para verificar a revogação de certificados X.509 e assim por diante.