使用负载均衡器或反向代理启用对 Omnissa Access 的外部访问

在 Omnissa Access 部署期间，将在内部网络中设置 Omnissa Access 实例。负载均衡器或反向代理（如 Unified Access Gateway、NSX® Advanced Load Balancer™、Apache 或 Nginx）是每个 Omnissa Access 部署的必需组件；必须先在 DMZ 中安装该组件才能开始部署。

负载均衡器或反向代理提供了在一段时间内扩展环境、添加实例以实现冗余以及在部署中分配流量所需的单一入口点。实现高可用性需要负载均衡器。不支持单节点部署。

下图显示了可用于启用外部访问的基本部署架构。

**注意：**此部署中的内部和外部访问使用相同的 Omnissa Access FQDN。

在部署期间指定 Omnissa Access FQDN

在部署 Omnissa Access 设备期间，必须使用单个 Omnissa Access FQDN 和端口号。这些值必须指向您希望最终用户访问的 FQDN。

Omnissa Access 计算机始终在端口 443 上运行。

要配置的负载均衡器设置

要配置的负载均衡器设置包括启用 X-Forwarded-For 标头和正确设置负载均衡器超时。此外，还必须在 Omnissa Access 计算机和负载均衡器之间配置 SSL 信任关系。

• X-Forwarded-For 标头

  必须在负载均衡器上启用 X-Forwarded-For 标头。这决定了身份验证方法。请参阅负载均衡器供应商提供的文档以了解详细信息。

• 负载均衡器超时

  要让 Omnissa Access 正常工作，您可能需要延长负载均衡器的请求超时时间，而不采用默认值。该值以分钟为单位。如果超时设置太低，您可能会看到以下错误：“502 错误: 此服务不可用 (502 error: The service is unavailable)”。

• 请勿阻止会话 Cookie

  请勿通过向负载均衡器添加规则来阻止会话 Cookie。将此类规则添加到负载均衡器可能会导致行为不一致和请求失败。

• WebSocket 支持

  负载均衡器必须具备 WebSocket 支持，以便在连接器实例和 Omnissa Access 节点之间启用安全通信通道。

  对于您的部署，如果集成了 Workspace ONE Hub Services，则 Hub Services 通知需要 WebSocket 支持。因此，必须为最终用户浏览器和设备提供 Web Socket 支持。

• 采用向前保密的密码

  Apple iOS 应用程序传输安全性 (App Transport Security, ATS) 要求适用于 iOS 上的 Workspace ONE 应用程序。要允许用户使用 iOS 上的 Workspace ONE 应用程序，负载均衡器必须使用提供向前保密的密码。以下密码套件满足该要求：

  • GCM 模式下的 ECDHE_ECDSA_AES 和 ECDHE_RSA_AES（采用 SHA-256/384 的 AES-GCM）
  • 任何 TLS 1.3 密码套件（所有 TLS 1.3 套件在设计上均提供向前保密）

  如《Apple 平台安全保护》文档中所述：

  “默认情况下，App 传输安全性将密码选择范围限制为仅包括提供向前保密的密码套件，具体而言：伽罗瓦/计数器模式 (GCM) 下的 ECDHE_ECDSA_AES 和 ECDHE_RSA_AES... 服务器必须支持 TLS 1.2 和向前保密，且证书必须有效并使用 SHA-256 或更强的加密算法签名，以及包含至少 2048 位 RSA 密钥或 256 位椭圆曲线密钥。”