使用负载均衡器或反向代理启用对 Omnissa Access 的外部访问

在 Omnissa Access 部署期间，将在内部网络中设置 Omnissa Access 实例。如果要为从外部网络连接的用户提供对该服务的访问权限，您必须在 DMZ 中安装负载均衡器或反向代理，如 NSX® Advanced Load Balancer™、Apache、Nginx 或 F5。

如果不使用负载均衡器或反向代理，您以后无法扩充 Omnissa Access 实例数。您可能需要添加更多实例以提供冗余和负载均衡。下图显示了可用于启用外部访问的基本部署架构。

**注意：**此部署中的内部和外部访问使用相同的 Omnissa Access FQDN。

在部署期间指定 Omnissa Access FQDN

在部署 Omnissa Access 设备期间，您需要输入单个 Omnissa Access FQDN 和端口号。这些值必须指向您希望最终用户访问的主机名。

Omnissa Access 计算机始终在端口 443 上运行。您可以为负载均衡器使用其他端口号。如果使用其他端口号，您必须在部署过程中指定该端口号。不要将 8443 作为端口号，因为此端口号是 Omnissa Access 管理端口，并且对于集群中的每个计算机是唯一的。

要配置的负载均衡器设置

要配置的负载均衡器设置包括启用 X-Forwarded-For 标头和正确设置负载均衡器超时。此外，还必须在 Omnissa Access 计算机和负载均衡器之间配置 SSL 信任关系。

• X-Forwarded-For 标头

  必须在负载均衡器上启用 X-Forwarded-For 标头。这决定了身份验证方法。请参阅负载均衡器供应商提供的文档以了解详细信息。

• 负载均衡器超时

  要让 Omnissa Access 正常工作，您可能需要延长负载均衡器的请求超时时间，而不采用默认值。该值以分钟为单位。如果超时设置太低，您可能会看到以下错误：“502 错误：此服务不可用 (502 error: The service is unavailable)”。

• 请勿阻止会话 Cookie

  请勿通过向负载均衡器添加规则来阻止会话 Cookie。将此类规则添加到负载均衡器可能会导致行为不一致和请求失败。

• WebSocket 支持

  负载均衡器必须具备 WebSocket 支持，以便在连接器实例和 Omnissa Access 节点之间启用安全通信通道。

  对于您的部署，如果集成了 Workspace ONE Hub Services，则 Hub Services 通知需要 WebSocket 支持。因此，必须为最终用户浏览器和设备提供 Web Socket 支持。

• 采用向前保密的密码

  Apple iOS 应用程序传输安全要求适用于 iOS 上的 Workspace ONE 应用程序。要允许用户使用 iOS 上的 Workspace ONE 应用程序，负载均衡器必须具有采用向前保密的密码。以下密码满足该要求：

  采用 GCM 或 CBC 模式的 ECDHE_ECDSA_AES 和 ECDHE_RSA_AES

  如 iOS 11 的*《iOS 安全指南》*文档中所述：

  “应用程序传输安全提供默认连接要求，以便应用程序在使用 NSURLConnection、CFURL 或 NSURLSession API 时遵守安全连接最佳做法。默认情况下，应用程序传输安全将密码选择限制为仅包括提供向前保密的套件，具体来说是采用 GCM 或 CBC 模式的 ECDHE_ECDSA_AES 和 ECDHE_RSA_AES。”