双 DMZ 部署

本节介绍如何在具有单隔离区或双隔离区 (DMZ) 的环境中使用 Unified Access Gateway 3.9 及更高版本支持 Omnissa Horizon。

Unified Access Gateway 是一种虚拟设备，用于支持多种 Omnissa 终端用户计算企业产品的安全远程访问。例如，使用 Unified Access Gateway 支持远程访问 Horizon，以访问虚拟桌面和远程桌面托管应用程序。

单个 DMZ 部署

要在组织的数据中心内部部署 Horizon，通常会在单个 DMZ 中安装 Unified Access Gateway 设备，从而在 Internet 与客户数据中心之间提供一个网络隔离层。

Unified Access Gateway 具有一个适用于所有 Horizon 协议的内置安全机制，可确保进入数据中心的网络流量只有经过身份验证的用户产生的流量。在 DMZ 中丢弃任何未验证流量。

图 2-1 显示了这一场景。对于简单设置，它仅显示 DMZ 中的单个 Unified Access Gateway 设备，但在支持高可用性的大规模生产环境中，通常在负载均衡器前面部署多个 Unified Access Gateway 设备。有关配置 Unified Access Gateway 设备以在单个 DMZ 中使用的详细信息，请参阅标准文档*《部署和配置 Unified Access Gateway》*。

双 DMZ 部署

某些组织具有两个 DMZ。这通常称为双 DMZ 或双跃点 DMZ，有时用于在 Internet 和内部网络之间提供一层额外的安全保护。

在双 DMZ 中，流量必须通过每个 DMZ 层中的特定反向代理进行传递。流量不能简单地绕过 DMZ 层。

**注意：**在 Horizon 部署中，不需要使用双 DMZ，但对于要求使用双 DMZ 的环境，可以在外部 DMZ 中部署一个额外 Unified Access Gateway 设备来充当 Web 反向代理。

本节介绍了如何为双 DMZ 部署配置 Unified Access Gateway 设备。

上面的图 3-1 显示了具有双 DMZ 的网络。在此部署中，为 Horizon Edge 服务配置 DMZ 2 中 UAG 2 的方式与上一节中所述的单个 DMZ 的配置方式完全相同。面向防火墙 1 的 Internet 配置与单个 DMZ 的配置相同。应允许所需的 TCP 和 UDP 端口，并将防火墙 1 仅路由到 DMZ 1 中的 Unified Access Gateway 设备。对于防火墙 2 的 TCP 和 UDP 端口，这些端口与防火墙 1 相同，只是规则应仅允许使用 DMZ 1 中 Unified Access Gateway 设备的源 IP 地址，并且只应将此流量转发到 DMZ 2 中的 Unified Access Gateway 设备。这可确保进入 DMZ 2 的唯一网络流量是已经过 DMZ 1 Unified Access Gateway 设备筛选的流量。

DMZ 1 中的 UAG 1 被配置为 Horizon 协议的 Web 反向代理。它会终止来自客户端的 TLS 连接，并在 UAG 1 和 UAG 2 之间建立新 TLS 连接时，先对该流量进行特定的 Horizon URL 验证，然后再将其转发到 UAG 2。对于从 Internet 到 UAG 1 的任何网络流量，如果就 Horizon 的端口号、TLS 版本、密码和 HTTPS URL 模式而言，不符合 UAG 1 上配置的 Horizon 协议规范，则会在 DMZ 1 中被丢弃。系统会将有效的 Horizon 网络流量转发到 DMZ 2 中的 UAG 2，以提供下一层安全保护。

在此双 DMZ 配置中，UAG 2 配置为标准 Horizon Edge 服务器设备。客户端使用 Horizon 外部 URL（tunnelExternalUrl,blastExternalUrl 和可选的 pcoip ExternalUrl）将这些协议连接到 Unified Access Gateway 环境。它们必须设置为将这些连接路由到 UAG 1 的值。

**注意：**本文档没有介绍 UAG 2 所需的任何进一步配置，因为这是标准 Unified Access Gateway Horizon 配置，使用 Horizon 8 进行部署对此进行了介绍。