Omnissa Unified Access Gateway 應用裝置相較於 VPN 的優點

Unified Access Gateway 應用裝置是用於從公司防火牆外部安全存取遠端桌面平台和應用程式的預設閘道。

請參閱 Unified Access Gateway 說明文件中的*《Unified Access Gateway 部署和組態指南》*。

Unified Access Gateway 應用裝置位於網路非軍事區 (DMZ) 內，可用作受信任網路內連線的 Proxy 主機，透過防護虛擬桌面平台、應用程式主機和伺服器不受面向公眾的網際網路所危害，以提供一層額外的安全性。

設定 Unified Access Gateway 應用裝置

Unified Access Gateway 與通用 VPN 解決方案很類似，因為它們都可確保僅在代表經過嚴格驗證的使用者時，才會將流量轉送至內部網路。

Unified Access Gateway 優於通用 VPN 的方面包括下列項目。

• Access Control Manager。Unified Access Gateway 會自動套用存取規則。Unified Access Gateway 能辨識使用者的權利，以及連線至內部資源所需的位址資訊。VPN 也具備相同功能，因為大多數 VPN 都允許管理員為每位使用者或使用者群組個別設定網路連線規則。剛開始，使用 VPN 可以順利運作，但需要投入大量的管理工作來維護必要規則。

• 使用者介面。Unified Access Gateway 不會變更 Omnissa Horizon Client 原本簡潔明確的使用者介面。使用 Unified Access Gateway 時，當 Horizon Client 啟動後，通過驗證的使用者會進入其 View 環境，並可受控地存取其桌面平台與應用程式。使用 VPN 時，您必須先設定 VPN 軟體並完成獨立驗證，才能啟動 Horizon Client。

• 效能。Unified Access Gateway 的設計目的是為了最大化安全性與效能。使用 Unified Access Gateway 時，PCoIP、Omnissa Horizon Web Client 和 WebSocket 通訊協定皆可在無需額外封裝的情況下實現安全性保護。VPN 一般採用 SSL VPN 的方式實作。此類實作可滿足安全性需求，且啟用傳輸層安全性 (TLS) 後被視為安全，但其基礎通訊協定為僅以 TCP 為基礎的 SSL/TLS。現代的視訊遠端傳輸通訊協定利用無連線的 UDP 為基礎的傳輸方式，若被強制改為使用以 TCP 為基礎的傳輸方式，將大幅削弱其效能優勢。此情況並不適用於所有 VPN 技術，因為某些 VPN 可改用 DTLS 或 IPsec 而非 SSL/TLS，在這種情況下，可與 Omnissa Horizon 8 的桌面平台通訊協定良好搭配運作。

**附註：**Horizon Web Client 可在 Horizon 8 版本 2412 及更新版本中使用。在 Horizon 8 版本 2406 及更早版本中，Horizon Web Client 稱為「HTML Access」。本說明文件頁面中「Horizon Web Client」一詞同時指稱 Horizon Web Client 與 HTML Access。

透過 Unified Access Gateway 提升 Horizon 8 安全性

Unified Access Gateway 應用裝置利用將裝置憑證驗證分層放置在使用者驗證之上，讓您可以將存取限制為僅來自已知的良好裝置，並在虛擬桌面平台基礎結構上新增另一層的安全性，藉此增強安全性。

**附註：**此功能僅支援 Windows 版 Horizon Client。

• 請參閱 Unified Access Gateway 說明文件中的*《Unified Access Gateway 部署和組態指南》*內的〈在 Unified Access Gateway 應用裝置上設定憑證或智慧卡驗證〉章節。

• 端點符合性檢查功能可為桌面平台存取提供額外一層的安全保護，補強 Unified Access Gateway 所支援的其他使用者驗證服務。請參閱 Unified Access Gateway 說明文件中的*《Unified Access Gateway 部署和組態指南》*內的〈Horizon 的端點符合性檢查〉章節。

**重要：**當 Unified Access Gateway 應用裝置已設定為使用雙因素驗證 (RSA SecurID 和 RADIUS)，並啟用了 Windows 使用者名稱比對功能，且環境中存在多個使用者網域時，建議啟用 Omnissa Horizon Connection Server 傳送網域清單，讓使用者在使用 Windows 使用者名稱與密碼進行驗證時，能選取正確的網域。

雙躍點 DMZ

若需在網際網路與內部網路之間建立雙躍點 DMZ，可在外部 DMZ 部署一部 Unified Access Gateway 應用裝置作為 Web 反向 Proxy，並在內部 DMZ 部署另一部 Unified Access Gateway，以建立雙躍點 DMZ 組態。流量會通過每一層 DMZ 中指定的反向 Proxy，且無法繞過任一 DMZ 層級。如需組態詳細資料，請參閱*《部署及設定 Unified Access Gateway》*文件。