要在 Horizon Cloud 环境中创建 Horizon Edge 部署并安装或更新设备模块，您必须在相应的端口上允许相应的 URL。
**重要信息：**在以下各表中，所列用途在 Horizon Edge 部署的上下文中适用。
允许管理子网的 URL 并检查 URL 访问
要根据您的站点位置和需求允许相应的 URL 和通配符子域，请执行以下任务：
- 允许下表中的 URL 和通配符子域。例如，通过将这些 URL 和通配符子域添加到防火墙允许列表和网络安全组中。
- 绕过 SSL 深层数据包检查，如下所示。
- 在防火墙中，针对下表中的 URL 和通配符子域绕过这项检查。
- 在代理服务器中绕过这项检查（如果适用）。
如果 Horizon Edge Gateway 通过代理服务器连接到 Horizon Agent，请在代理服务器中针对下表中的 URL 和通配符子域绕过 SSL 深度数据包检查。
| 目标（DNS 名称） | 端口 | 协议 | 代理流量（如果在部署中配置） | 用途 |
|---|---|---|---|---|
| registry.k8s.io | 443 | TCP | 是 | 用于进行编程访问，以便在需要时下载映像。用于下载 Docker 映像以创建所需的 Horizon Edge 模块，这些模块对监控、SSO、UAG 更新等非常有用。 注意：仅适用于 Horizon Edge Gateway 基于虚拟机的部署 2412 |
| *.blob.core.windows.net | 443 | TCP | 是 | 用于对 Azure Blob 存储进行编程访问，并在需要时上载 Horizon Edge 日志。 用于下载 Docker 映像以创建所需的 Horizon Edge 模块，这些模块对监控、SSO、UAG 更新等非常有用。 |
| horizonedgeprod.azurecr.io | 443 | TCP | 是 | 在下载 Docker 映像以创建所需的 Horizon Edge 模块时用于进行身份验证，这些模块对监控、SSO、UAG 更新等非常有用。 |
|
*.azure-devices.net 或以下某个特定于区域的名称，具体取决于哪个区域控制平面适用于您的租户帐户： 北美地区：
| 443 | TCP | 是 | 用于将设备连接到 Horizon Cloud Control Plane、下载设备模块的配置，以及更新设备模块的运行时状态。 |
*.data.workspaceone.com 或以下某个特定于区域的名称，具体取决于哪个区域 Workspace ONE Intelligence 目标适用于您的租户帐户：
| 443 | TCP | 是 | 用于向 Workspace ONE Intelligence 发送事件或衡量指标。 请参阅 Workspace ONE Intelligence。 |
如果您的防火墙或网络安全组 (Network Security Group，NSG) 支持使用服务标记，请应用 Azure 服务标记 AzureCloud。如果您的防火墙或 NSG 不支持使用服务标记，请使用主机名：monitor.horizon.omnissa.com | 1514 和 1515 | TCP | 否 | 用于系统监控。 |
| azcopyvnext.azureedge.net | 443 | TCP | 是 | 用于将部署日志上载到 Azure Blob 存储以进行故障排除。 |
| 443 | HTTPS | 是 | 用于修补 Horizon Edge Gateway 的 Microsoft 组件。 |
| time.google.com | 123 | UDP | 是 | 用于时间同步。 |
| 80 | HTTP | 是 | 用于修补 Ubuntu 组件。 |
| *.file.core.windows.net | 445 | TCP | 否 | 访问为导入软件包并在文件共享之间复制软件包的 App Volumes 工作流置备的文件共享。 |
| softwareupdate.omnissa.com | 443 | TCP | 否 | 软件包服务器。用于下载系统的映像相关操作和自动代理更新过程中使用的代理相关软件的更新。 |
| download.falco.org | 443 | HTTPS | 否 | 由安全监控工具 Falco 用于检查和下载正常运行所需的最新资源。 |
| *.cloudfront.net | 443 | HTTPS | 否 | 由安全监控工具 Falco 用于检查和下载正常运行所需的最新资源。 |
允许租户（桌面）子网的 URL
您可以在全局虚拟机 Hub 级别或区域虚拟机 Hub 级别允许租户（桌面）子网的 URL。
要允许在 Horizon Cloud 中创建池并指定代理，请在部署到控制平面的租户子网中执行以下操作：
-
允许以下各表中的 URL 和通配符子域。例如，通过将这些 URL 和通配符子域添加到防火墙允许列表和网络安全组中。
-
绕过 SSL 深层数据包检查，如下所示。
- 在防火墙中，针对下表中的 URL 和通配符子域绕过这项检查。
- 在代理服务器中绕过这项检查（如果适用）。
如果 Horizon Edge Gateway 通过代理服务器连接到 Horizon Agent，请在代理服务器中针对下表中的 URL 和通配符子域绕过 SSL 深度数据包检查。
允许租户（桌面）子网的 URL - 全局虚拟机 Hub DNS 主机名
如果使用全局虚拟机 Hub 实例可满足您的站点需求，则在部署 Horizon Edge Gateway 时，请允许以下 URL 及其设置。
| 目标（DNS 名称） | 端口 | 协议 | 用途 |
|---|---|---|---|
| *.horizon.omnissa.com | 443 | TCP | 用于代理相关操作，例如使用虚拟机 Hub 进行的证书签名以及续订。 |
允许租户（桌面）子网的 URL - 区域虚拟机 Hub DNS 主机名
如果使用区域虚拟机 Hub 实例可满足您的站点需求，则在给定区域中部署 Horizon Edge Gateway 时，请使用所示的两个相应 URL。
每个区域虚拟机 Hub 实例的端口、协议和用途与全局虚拟机 Hub 实例的端口、协议和用途相匹配。
| 端口 | 443 |
| 协议 | TCP |
| 用途 | 用于代理相关操作，例如使用虚拟机 Hub 进行的证书签名以及续订。 |
| 对于以下 Azure 区域 | 允许以下目标（DNS 名称）URL |
|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
允许 URL 以启用代理
如果您计划使用代理服务器控制来自环境的流量流，请打开所需要的端口，以允许 Horizon Edge Gateway 访问代理服务器。如果 Microsoft Azure Edge 的格式为 Edge 网关 (AKS)，请参阅适用于 Azure Kubernetes 服务 (AKS) 集群的出站网络和 FQDN 规则。
使用 IP 地址而不是 URL
有关无法使用 URL 的情况，请参阅知识库文章 6000374 - 服务组件的 IP 地址。
此页面对您有帮助吗?