您可以從管理員組態頁面設定用於加密用戶端與 Unified Access Gateway 應用裝置之間通訊的安全性通訊協定和密碼編譯演算法。
先決條件
檢閱 Unified Access Gateway 部署內容。需要下列設定資訊：
- Unified Access Gateway 應用裝置的靜態 IP 位址
- DNS 伺服器的 IP 位址
**附註：**最多可以指定兩個 DNS 伺服器 IP 位址。僅在未隨著組態設定或透過 DHCP 向 Unified Access Gateway 提供任何 DNS 伺服器位址時，Unified Access Gateway 才會使用平台預設的後援公用 DNS 位址。 - 管理主控台的密碼
- Unified Access Gateway 應用裝置所指向伺服器執行個體或負載平衡器的 URL
- 儲存事件記錄檔的 Syslog 伺服器 URL
程序
- 在管理員 UI 的 [手動設定] 區段中，按一下選取。
- 在 [進階設定] 區段中，按一下系統組態齒輪圖示。
- 編輯下列 Unified Access Gateway 應用裝置組態值。
| 選項 | 說明 |
|---|---|
| UAG 名稱 | 唯一的 Unified Access Gateway 應用裝置名稱。 **附註：**應用裝置名稱可包含最多 24 個字元的文字字串，其中包括字母 (A-Z)、數字 (0-9)、減號 (-) 和句號 (.)。但是，應用裝置名稱不可包含空格。 |
| 地區設定 | 指定在產生錯誤訊息時使用的語言設定。en_US 表示美式英文。這是預設值。ja_JP 表示日文fr_FR 表示法文de_DE 表示德文zh_CN 表示簡體中文zh_TW 表示繁體中文ko_KR 表示韓文es 表示西班牙文pt_BR 表示葡萄牙文 (巴西)en_GB 表示英式英文 |
| TLS 伺服器加密套件 | 輸入以逗號分隔的加密套件清單。加密套件是用於加密傳入 Unified Access Gateway 之 TLS 連線的密碼編譯演算法。此選項與在啟用各種安全性通訊協定時使用的其他幾個選項結合使用，例如，TLS 版本、具名群組、簽章配置等。FIPS 模式下支援的 TLS 伺服器加密套件如下所示： 預設啟用的加密套件： - TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384- TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256在非 FIPS 模式下支援的預設 TLS 伺服器加密套件如下所示： - TLS_AES_128_GCM_SHA256- TLS_AES_256_GCM_SHA384- TLS_CHACHA20_POLY1305_SHA256- TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256- TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384- TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256- TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384- TLS_ECDGE_RSA_WITH_CHACHA20_POLY1305_SHA256此選項可以在 PowerShell 部署過程中透過在 ini 檔案中新增 cipherSuites 參數來進行設定。請參閱執行 PowerShell 指令碼來部署。 |
| TLS 用戶端加密套件 | 輸入以逗號分隔的加密套件清單。加密套件是用於加密傳出 Unified Access Gateway 之 TLS 連線的密碼編譯演算法。此選項與在啟用各種安全性通訊協定時使用的其他幾個選項結合使用，例如，TLS 版本、具名群組、簽章配置等。在 FIPS 模式下，支援以下加密套件： - TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384- TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256- TLS_DHE_RSA_WITH_AES_128_CBC_SHA256- TLS_DHE_RSA_WITH_AES_256_CBC_SHA256- TLS_DHE_RSA_WITH_AES_256_GCM_SHA384- TLS_DHE_RSA_WITH_AES_128_GCM_SHA256- TLS_AES_128_GCM_SHA256- TLS_AES_256_GCM_SHA384在非 FIPS 模式下，依預設可以使用 SSL 程式庫 (Java/Open SSL) 支援的所有加密套件。此選項可以在 PowerShell 部署過程中透過在 ini 檔案中新增 outboundCipherSuites 參數來進行設定。請參閱執行 PowerShell 指令碼來部署。 |
| SHA 雜湊大小下限 | 為通訊期間的 Horizon 通訊協定和所有非 Horizon 連線，以及為憑證指紋規格，選取 SHA 雜湊大小下限。預設值為 SHA-256。 支援的 SHA 雜湊大小值為：SHA-1、SHA-256、SHA-384 和 SHA-512。 不建議使用 SHA-1。 |
| 啟用 TLS 1.2 | 依預設，將開啟此切換。TLS 1.2 安全性通訊協定已啟用。 |
| 啟用 TLS 1.3 | 依預設，對於非 FIPS 應用裝置，此切換為開啟狀態。TLS 1.3 安全性通訊協定已啟用。 在 FIPS 應用裝置中，依預設不會啟用此通訊協定。但是，管理員可以在必要時啟用。 |
| SSL 提供者 | 選取用於處理 TLS 連線的 SSL 提供者實作。若要設定 TLS 具名群組和 TLS 簽章配置，此選項的值必須為 JDK。依預設，此選項的值為 OPENSSL。 **附註：**當此選項的值為 JDK 時，不支援 OCSP 式的憑證撤銷檢查。但是，支援 CRL 式的憑證撤銷檢查。對此選項進行任何變更都會導致 Unified Access Gateway 服務重新啟動。重新啟動期間不會保留正在進行的 Unified Access Gateway 工作階段。此選項可以在 PowerShell 部署過程中透過在 ini 檔案中新增 sslProvider 參數來進行設定。請參閱執行 PowerShell 指令碼來部署。 |
| TLS 具名群組 | 允許管理員從在 SSL 信號交換期間用於金鑰交換的受支援具名群組清單中設定所需的具名群組 (橢圓曲線)。此選項允許以逗號分隔的值。部分受支援的具名群組如下所示：secp256r1, secp384r1, secp521r1。 若要設定此選項，請確保將 [SSL 提供者] 選項設定為 JDK。否則，將停用 [TLS 具名群組] 選項。對此選項進行任何變更都會導致 Unified Access Gateway 服務重新啟動。重新啟動期間不會保留正在進行的 Unified Access Gateway 工作階段。**附註：**此選項可以在 PowerShell 部署過程中透過在 ini 檔案中新增 tlsNamedGroups 參數來進行設定。請參閱執行 PowerShell 指令碼來部署。 |
| TLS 簽章配置 | 允許管理員設定在 SSL 信號交換期間用於金鑰驗證的受支援 TLS 簽章演算法。此選項允許以逗號分隔的值。 支援的簽章配置範例： rsa_pkcs1_sha、rsa_pkcs1_sha256、rsa_pkcs1_sha384、rsa_pss_rsae_sha256、rsa_pss_rsae_sha384。若要設定此選項，請確保將 [SSL 提供者] 選項設定為 JDK。否則，將停用 [TLS 簽章配置] 選項。對此選項進行任何變更都會導致 Unified Access Gateway 服務重新啟動。重新啟動期間不會保留正在進行的 Unified Access Gateway 工作階段。**附註：**此選項可以在 PowerShell 部署過程中透過在 ini 檔案中新增 tlsSignatureSchemes 參數來進行設定。請參閱執行 PowerShell 指令碼來部署。 |
| 允許的主機標頭 | 輸入可作為主機標頭值的 IP 位址和/或主機名稱。此設定適用於 Unified Access Gateway 上的 Horizon、Web 反向 Proxy 使用案例和管理服務。依預設，會根據在此欄位中設定的值，以及動態計算的自動允許清單 (以 UAG 的網路設定和 Edge 服務設定為基礎)，來啟用主機 (或 X-Forwarded-Host) 標頭的驗證。用來直接存取、透過負載平衡器存取或反向 Proxy 存取 Unified Access Gateway 的主機名稱，只要未包含在自動允許清單中，都應在此欄位中設定。 對於使用 Horizon 部署的 Unified Access Gateway，如果啟用了 Blast 安全閘道 (BSG) 和/或 Tunnel，並設定了外部 URL，則這些值會自動包含在允許的主機值清單中。不需要明確設定這些值。對於具有 Web 反向 Proxy 組態的 Unified Access Gateway 部署，外部 URL 和 Proxy 主機模式會包含在自動允許的主機值清單中。使用 N+1 虛擬 IP (VIP) 來部署 Unified Access Gateway 時，該虛擬 IP 會包含在自動允許清單中。此外，UAG 的非回送 IP 位址和內部主機名稱也會包含在此清單中，且依預設，允許這些位址和主機名稱。 |
| 自動允許的主機標頭 | 此設定中的值將包含在主機或 X-Forwarded-Host 標頭驗證的「允許值」清單中。這些值會根據應用裝置的網路組態、Edge 設定、HA、系統組態等動態計算。 如需詳細資訊，請參閱 Unified Access Gateway 上的主機標頭驗證。 |
| CA 憑證 | 新增了 Syslog 伺服器時，便會啟用此選項。請選取有效的 Syslog 憑證授權機構的憑證。 |
| 健全狀況檢查 URL | 輸入負載平衡器檢查 Unified Access Gateway 健全狀況時連線的 URL。 |
| HTTP 健全狀況監視器 | 依預設，會關閉此切換。預設組態會將 HTTP 健全狀況檢查 URL 要求重新導向到 HTTPS。當您開啟此切換時，Unified Access Gateway 即使在 HTTP 上也會對健全狀況檢查要求做出回應。 |
| 要快取的 Cookie | 要由 Unified Access Gateway 快取的 Cookie 集。預設值為 [無]。 |
| 工作階段逾時 | 預設值為 36000000 毫秒。 **附註：**Unified Access Gateway 上的 [工作階段逾時] 值必須與 Horizon Connection Server 上的 [強制中斷使用者連線] 設定的值相同。[強制中斷使用者連線] 設定是 Horizon Console 中的一項一般全域設定。如需有關此設定的詳細資訊，請參閱設定用戶端和主控台工作階段的設定。 |
| 靜止模式 | 開啟此切換開關以暫停 Unified Access Gateway 應用裝置，使其達到一致狀態以執行維護工作。 |
| 監控間隔 | 預設值為 60。 |
| SAML 簽章憑證變換支援 | 開啟此切換開關以使用簽章憑證產生 SAML SP 中繼資料。 簽章憑證式的 entity_ID 可透過在 IDP 上設定獨立的 SP 組態，支援順暢的憑證變換。若要變更此值，您必須重新設定 IDP。 |
| SAML 加密憑證變換支援 | 開啟此切換以產生包含加密憑證和簽章憑證的 SAML SP 中繼資料。 使用這兩個憑證來計算 entity_ID 支援順暢的憑證變換，並在 IDP 上使用單獨的 SP 組態。若要變更此值，請從 Horizon 設定下載 SP 中繼資料，並在 IDP 上進行設定。如果啟用，則在 UAG 中更新加密和/或 TLS 憑證時，需要重新設定 IDP。 |
| 密碼使用期限 | 管理員角色中使用者的密碼有效天數。預設值為 90 天。可設定的最大值為 999 天。若要讓密碼永不到期，請指定此欄位的值為 0。 |
| 監控使用者密碼使用期限 | 監控角色中使用者的密碼有效天數。預設值為 90 天。可設定的最大值為 999 天。若要讓密碼永不到期，請指定此欄位的值為 0。 |
| 要求逾時 | 指出 Unified Access Gateway 等待接收要求的時間上限。預設值為 3000。必須以毫秒為單位指定此逾時。 |
| 本文接收逾時 | 指出 Unified Access Gateway 等待接收要求本文的時間上限。預設值為 5000。必須以毫秒為單位指定此逾時。 |
| 每個工作階段的連線數目上限 | 每個 TLS 工作階段允許的 TCP 連線數目上限。預設值為 16。若要讓允許的 TCP 連線數目沒有限制，請將此欄位的值設為 0。附註： 8 或更低的欄位值會導致 Horizon Client 發生錯誤。 |
| 無法辨識的要求監控 | 開啟此切換以在 60 分鐘的輪替時段內監控無法辨識的要求。計數資訊隨後會分享給代理。 |
| 用戶端連線閒置逾時 | 指定關閉連線之前，用戶端連線可以維持閒置的時間 (以秒為單位)。預設值為 360 秒 (6 分鐘)。零值表示無閒置逾時。 |
| 驗證逾時 | 等待時間上限 (以毫秒為單位)，在此之前必須進行驗證。預設值為 300000。如果指定 0，則表示驗證沒有時間限制。 |
| 時鐘誤差容錯 | 輸入 Unified Access Gateway 時鐘與相同網路上其他時鐘之間允許的時間差 (以秒為單位)。預設為 600 秒。 |
| 允許的系統 CPU 上限 | 指出一分鐘內允許的平均系統 CPU 使用率上限。當達到設定的 CPU 限制時，將不允許新的工作階段，並且用戶端將收到 HTTP 503 錯誤，指出 Unified Access Gateway 應用裝置暫時超載。此外，超過的限制還允許負載平衡器將 Unified Access Gateway 應用裝置標記為關閉，這樣新要求就可以導向至其他 Unified Access Gateway 應用裝置。值以百分比表示。預設值為 100%。 |
| 加入 CEIP | 如果開啟此切換，客戶經驗改進計劃 (「CEIP」) 的資訊將會傳送給 Omnissa。 |
| 啟用 SNMP | 開啟此切換以啟用 SNMP 服務。Unified Access Gateway 透過簡易網路管理通訊協定收集系統統計資料、磁碟空間使用量統計資料，以及 Tunnel Edge 服務的 MIB 資訊。 可用的管理資訊庫 (MIB) 清單如下： - UCD-SNMP-MIB::systemStats - UCD-SNMP-MIB::memory - UCD-SNMP-MIB::dskTable |
| SNMP 版本 | 選取所需的 SNMP 版本。如果選取 SNMPv1+v2 作為 SNMP 通訊協定，您可以新增自訂 SNMP 社群名稱。 附註：您必須先啟用 SNMP，才能設定 Tunnel。如果您在設定 Tunnel 之後才啟用 SNMP，則必須重新儲存 Tunnel 設定，SNMP 設定才能生效。如果您是透過 PowerShell 部署 Unified Access Gateway，且已啟用 SNMP，但未透過 PowerShell 或 Unified Access Gateway 管理員 UI 配置 SNMPv3 設定，則依預設會使用 SNMPv1+SNMPV2c 版本。 以下是在管理員 UI 中設定 SNMPv3 設定的其他步驟： 1. 輸入 SNMPv3 USM 使用者 2. 輸入 SNMP 引擎識別碼。此值對每個 Unified Access Gateway 應用裝置而言是唯一的。引擎識別碼的長度上限為 27 個字元。 3. 選取 SNMPv3 安全性層級。 4. 根據在上一個步驟中選取的安全性層級，執行下列動作： SNMPv3 安全性層級 No Auth、No Priv (無驗證、無隱私權) 按一下儲存。無需執行進一步動作。 Auth、No Priv (驗證、無隱私權) 1. 選取 SNMPv3 驗證演算法 3. 輸入 SNMPv3 驗證密碼。密碼的長度至少必須有 8 個字元。 4. 在上一個步驟中輸入的確認驗證密碼。 5. 按一下儲存。 Auth、Priv (驗證、隱私權) 1. 選取 SNMPv3 驗證演算法 支援的值如下： MD5 (不建議)、SHA (不建議)、SHA-224、SHA-256、SHA-384、SHA-5122. 輸入 SNMPv3 驗證密碼。密碼的長度至少必須有 8 個字元。 3. 在上一個步驟中輸入的確認驗證密碼。 4. 選取 SNMPv3 隱私權演算法。支援的值包括： DES、AES。5. 輸入 SNMPv3 隱私權密碼。密碼的長度至少必須有 8 個字元。 6. 在上一個步驟中輸入的確認隱私權密碼。 7. 按一下儲存。 |
| SNMP 社群 | 輸入要使用的自訂 SNMP 社群名稱。如果此欄位保留空白，則會使用 [公用]。 |
| 管理員免責聲明文字 | 根據貴組織的使用者合約原則輸入免責聲明文字。若要讓管理員成功登入 Unified Access Gateway 管理員 UI，管理員必須接受合約原則。您可以透過 PowerShell 部署或使用 Unified Access Gateway 管理員 UI 來設定免責聲明文字。如需有關 INI 檔案中 PowerShell 設定的詳細資訊，請參閱執行 PowerShell 指令碼來部署。使用 Unified Access Gateway 管理員 UI 來設定此文字方塊時，管理員必須先登入管理員 UI，然後再設定免責聲明文字。在後續的管理員登入時，系統會顯示該文字供管理員在存取登入頁面之前接受。 |
| DNS | 輸入新增至 /run/systemd/resolve/resolv.conf 組態檔的網域名稱系統位址。其中必須包含有效的 DNS 搜尋位址。按一下「+」可新增新的 DNS 位址。 |
| DNS 搜尋 | 輸入新增至 /run/systemd/resolve/resolv.conf 組態檔的網域名稱系統搜尋。其中必須包含有效的 DNS 搜尋位址。按一下「+」可新增新的 DNS 搜尋項目。 |
| 與主機同步時間 | 開啟此切換，以將 Unified Access Gateway 應用裝置的時間與 ESXi 主機的時間同步。依預設，會關閉此切換。此選項會使用 Open VM Tools 進行時間同步，僅在 Unified Access Gateway 部署於 ESXi 主機時才受支援。如果您選擇此選項進行時間同步，則會停用 [NTP 伺服器] 和 [後援 NTP 伺服器] 選項。此選項可透過 PowerShell 設定，於 INI 檔案中新增 hostClockSyncEnabled 參數來進行設定。請參閱執行 PowerShell 指令碼來部署。 |
| NTP 伺服器 | 網路時間通訊協定同步的 NTP 伺服器。您可以輸入有效的 IP 位址和主機名稱。從 systemd-networkd.service 組態或透過 DHCP 取得的任何每一介面 NTP 伺服器設定，將優先於此處的設定。按一下「+」可新增新的 NTP 伺服器。如果您選擇此選項進行時間同步，則 [與主機同步時間] 功能將會被停用。 |
| 後援 NTP 伺服器 | 用於網路時間通訊協定同步化的後援 NTP 伺服器。如果找不到 NTP 伺服器資訊，將會使用這些後援 NTP 伺服器的主機名稱或 IP 位址。按一下「+」可新增新的後援 NTP 伺服器。如果您選擇此選項進行時間同步，則 [與主機同步時間] 功能將會被停用。 |
| 延伸的伺服器憑證驗證 | 開啟此切換，可確保 Unified Access Gateway 在與後端伺服器建立輸出 TLS 連線時，對接收到的 SSL 伺服器憑證執行延伸驗證。延伸檢查包括驗證憑證到期、主機名稱不相符、憑證撤銷狀態和延伸金鑰使用值。依預設會停用此選項。此選項可透過 PowerShell 設定，於 ini 檔案中新增 extendedServerCertValidationEnabled 參數來進行設定。請參閱執行 PowerShell 指令碼來部署。 |
| SSH 公開金鑰 | 在使用公開-私密金鑰配對選項時，上傳公開金鑰以啟用對 Unified Access Gateway 虛擬機器的 root 使用者存取權。管理員可將多個唯一的公開金鑰上傳至 Unified Access Gateway。僅在部署期間將下列 SSH 選項設定為 true 時，此欄位才會在管理員 UI 中顯示：啟用 SSH 和允許使用金鑰配對的 SSH root 使用者登入。如需這些選項的相關資訊，請參閱使用 OVF 範本精靈部署到 vSphere。 |
- 按一下儲存。
下一步
針對 Unified Access Gateway 部署時所搭配的元件設定 Edge 服務設定。配置 Edge 設定之後，請配置驗證設定。
此頁面對您有幫助嗎?