當您一開始將 Horizon Cloud 網繭部署到 Azure 無閘道Microsoft或僅具有一個類型的閘道時，您可以稍後使用 [編輯網繭] 工作流程將閘道組態新增至網繭。您可以從網繭的詳細資料頁面啟動該工作流程。
提示： 主控台是動態的。它只會根據網繭目前的組態和您整體環境的組態，在工作流程和切換與欄位有意義且適當時在使用者介面中加以啟用。
如您在 Microsoft Azure 部署上的Horizon Cloud中所述，一個網繭可以有一個外部閘道組態或一個內部組態或兩者。您可以使用此工作流程來新增該網繭尚不具有的類型。在編輯網繭以新增閘道組態的同時，您也可以指定該閘道的雙因素驗證設定。
重要： 使用這些步驟修改網繭時，請注意下列幾點：
- 請記住，外部閘道的負載平衡器的 IP 設定，在最初設定外部閘道組態之後即無法變更。新增外部閘道組態時，您可以選擇讓它使用閘道負載平衡器的私人 IP 位址，而非公用 IP 位址。預設值是使用公用 IP。
- 如果將租用戶設定為使用 Universal Broker，且代理設定啟用了雙因素驗證，則必須在機群中所有網繭的外部閘道上設定相同的雙因素驗證類型。
- 在系統變更網繭組態期間，您在作業完成之前將受到下列限制：
- 您無法在網繭上執行管理工作。
- 若使用者並未將工作階段連線至由網繭所提供服務的桌面或遠端應用程式，則當他們嘗試進行連線時將無法連線。
- 若使用者已有由網繭所提供服務的已連線工作階段，則作用中的工作階段將會中斷連線。資料不會遺失。組態變更完成後，這些使用者可以重新連線。
先決條件
注： 當網繭已啟用高可用性，而其中一個網繭管理員虛擬機器已離線時，系統會禁止將閘道新增至網繭。按一下 儲存並結束後，將會顯示此訊息。您必須先使用 Microsoft Azure 入口網站讓離線的網繭管理員虛擬機器重新上線，然後才能新增閘道。
將閘道組態新增至 Microsoft Azure 中的現有網繭時，若要完成 [編輯網繭] 精靈中的欄位，您必須提供資訊，如 Unified Access Gateway組態的先決條件中所述。如果您要在新增閘道的同時指定雙因素驗證設定，則必須提供 使用雙因素驗證組態進行部署時的先決條件中所述的資訊。如果您要新增外部閘道組態，且要使其使用本身的訂閱，則您還需要該訂閱資訊，並確定您將用於該閘道的 VNet 符合 VNet 需求。如需這些 VNet 需求，請參閱 在 Microsoft Azure 中設定所需的虛擬網路。
重要： 憑證鏈結中的所有憑證皆必須具有有效的時間範圍。Unified Access Gateway虛擬機器需要鏈結中的所有憑證 （包括任何中繼憑證） 皆具有有效的時間範圍。如果鏈結中的任何憑證已到期，則稍後在將憑證上傳至 Unified Access Gateway 組態時可能會發生非預期的失敗。
程序
-
在主控台中，導覽至 設定 > 容量 ，然後按一下網繭的名稱以開啟其詳細資料頁面。
-
在網繭的詳細資料頁面中，按一下 編輯。
-
在訂閱步驟中，如果您要新增外部閘道組態，且要使其使用不同於網繭的訂閱，請啟用 對外部閘道使用不同的訂閱 ，並輸入訂閱資訊。
-
按 下一步 ，直到到達 閘道設定 步驟。
此步驟有針對外部閘道組態的區段，以及針對內部閘道組態的區段。使用者介面會反映網繭目前的組態及其已有的閘道設定。
- 若要新增外部閘道，請開啟 啟用外部 UAG？ 切換，並完成 外部 UAG 區段中的欄位。
| 選項 | 說明 |
|---|---|
| 啟用外部閘道？ | 控制網繭是否具有外部閘道組態。外部組態可讓您為位在公司網路外部的使用者提供桌面和應用程式的存取。網繭包含Microsoft Azure 負載平衡器資源，以及提供此存取的 Unified Access Gateway 執行個體。 注意： 建議保留預設啟用的設置。 將此切換關閉時，用戶端必須透過其連接器應用裝置整合的 Omnissa Access 直接連線至網繭管理員，或直接連線至網繭管理員的負載平衡器，或者也可以透過內部閘道組態進行連線。在提到的前兩種案例中，如果用戶端透過與網繭整合的 Access 進行連線，或直接連線到負載平衡器，則需要執行一些部署後步驟。在這些案例中，在部署網繭後，請依照在網繭管理員虛擬機器上直接設定 SSL 憑證中的步驟，將 SSL 憑證上傳至網繭管理員虛擬機器。 |
| FQDN | 輸入必要的完整網域名稱 （FQDN），例如 ourOrg.example.com，網繭部署工具將在閘道的 Unified Access Gateway 執行個體的組態中指定。您必須擁有該網域名稱，並具有可驗證該 FQDN 的 PEM 格式憑證。
Horizon Cloud 預期為外部閘道組態指定的 FQDN 可公開解析。如果您關閉 啟用公用 IP？ 切換，以指定來自您的防火牆或 NAT 設定的 IP 位址，則您必須負責確保此 FQDN 已指派給防火牆或 NAT 設定中的該 IP 位址。此 FQDN 用於閘道的 PCoIP 連線。 重要： 此 FQDN 不能包含底線。在此版本中，當 FQDN 包含底線時，將無法連線至Unified Access Gateway 執行個體。 |
| DNS 位址 | 選擇性地輸入Unified Access Gateway可用於名稱解析的其他 DNS 伺服器的位址，並以逗號分隔。
在將此外部 Unified Access Gateway 組態設定為對雙因素驗證伺服器使用雙因素驗證時，如果該伺服器位於部署Unified Access Gateway 執行個體的 VNet 拓撲外部，則您將需要指定可解析該驗證伺服器主機名稱的 DNS 伺服器位址。例如，如果您的雙因素驗證位於內部部署，請輸入可解析該驗證伺服器名稱的 DNS 伺服器。 依預設，會使用執行個體部署所在 VNet 上所設定的 DNS 伺服器。 當您在 DNS 位址中指定位址時，所部署的 Unified Access Gateway 執行個體除了使用 VNet 組態中的 DNS 伺服器資訊之外，還會使用這些位址。 |
| 路線 | 選擇性地指定其他閘道的自訂路由，以便讓已部署的 Unified Access Gateway 執行個體用來為使用者存取解析網路路由。指定的路由會用來允許Unified Access Gateway解析網路路由，例如用來與雙因素驗證伺服器進行通訊的路由。
將此網繭設定為使用雙因素驗證搭配內部部署驗證伺服器時，您必須輸入 Unified Access Gateway 執行個體可用來連線該伺服器的正確路由。例如，如果您的內部部署驗證伺服器使用 10.10.60.20 作為其 IP 位址，則您可以輸入 10.10.60.0/24 和預設路由閘道位址作為自訂路由。您可以從 Express Route 或在 Azure 部署上用於此Horizon Cloud的 VPN 組態Microsoft取得預設路由閘道位址。 以 ipv4-network-address/bits ipv4-gateway-address 格式 |
| 繼承網繭 NTP 伺服器 | 依預設會啟用此切換，可讓Unified Access Gateway執行個體使用指定給網繭管理員執行個體的相同 NTP 伺服器。強烈建議將此切換保持啟用狀態。
最佳做法是對網繭管理員執行個體、Unified Access Gateway 執行個體以及您的 Active Directory 伺服器使用相同的 NTP 伺服器。當這些執行個體使用不同的 NTP 伺服器時，可能會導致時間誤差。之後當閘道嘗試驗證其桌面和應用程式的使用者工作階段時，此類時間誤差可能導致失敗。 如果啟用此切換，且您要將外部閘道部署至其本身的 VNet 中 （而非網繭的 VNet），請確定可以從您選給外部閘道部署的虛擬網路，來連線至指定給網繭管理員執行個體的 NTP 伺服器。 |
| 虛擬機器型號 | 選取要用於Unified Access Gateway執行個體的型號。您必須確定為此網繭指定的 Microsoft Azure 訂閱，可提供所選型號的兩個虛擬機器所需的容量。
重要： 在目前的服務版本中，在您的訂閱中部署閘道組態後，無法輕鬆變更這些執行個體所使用的虛擬機器型號。部署後變更虛擬機器型號需要刪除該閘道組態並重新部署。如果您預期環境會擴充至每個網繭 2,000 個工作階段，請選取 |
| 憑證 | 上傳 PEM 格式的憑證以供Unified Access Gateway用來允許用戶端信任與 Microsoft Azure 中執行的Unified Access Gateway個體建立的連線。憑證必須以您輸入的 FQDN 為基礎，且由信任的 CA 簽署。PEM 檔案必須包含整個憑證鏈結和私密金鑰：SSL 憑證中繼憑證、根 CA 憑證、私密金鑰。 |
| Blast Extreme TCP 連接埠 | 選取要在Unified Access Gateway組態內的 Blast Extreme TCP 設定中使用的 TCP 連接埠。該設定會透過 Unified Access Gateway 上的 Blast 安全閘道，與 Blast Extreme 產生關聯，用於用戶端所傳送的資料流量。連接埠 8443 是首選，因為與 Unified Access Gateway 執行個體相比，它的效率更高，效能更佳，且耗用的資源更少。由於這些原因，精靈將以 8443 作為預設值。另一個選項是 443，但在執行個體中的效率較低，效能較差，且會導致 CPU 壅塞，從而導致使用者用戶端中出現明顯的流量延遲。只有在您的組織已設定用戶端限制 （例如，您的組織僅允許 443 輸出） 時，才應使用 443 選項。 附註： 用於 Blast Extreme 的 UDP 連接埠不受此設定影響，且一律為 UDP 8443。 |
| 加密套件 | 儘管在幾乎所有情況下都不需要變更預設設定，Unified Access Gateway 仍提供此功能，以供選擇性地指定密碼編譯演算法，以用來加密用戶端與Unified Access Gateway器之間的通訊。 必須從畫面上的清單中選取至少一個加密套件。畫面上的清單會顯示 Horizon Cloud Microsoft Azure 部署允許的加密套件。 |
指定此閘道的 Microsoft 負載平衡器的設定。
| 選項 | 說明 |
|---|---|
| 啟用公用 IP？ | 控制此閘道的負載平衡類型是設定為私人還是公用。如果切換為開啟，則部署Microsoft Azure 負載平衡器資源會設定為使用公用 IP 位址。如果切換為關閉，則Microsoft Azure 負載平衡器資源會設定為使用私人 IP 位址。
重要： 在此版本中，您無法之後將外部閘道的負載平衡類型從公用變更為私人，或從私人變更為公用。要進行此變更的唯一方式是從已部署的網繭中完全刪除閘道組態，然後編輯網繭以使用相反的設定將其新增回來。 如果將此切換設為關閉，則會出現 Horizon FQDN 的公用 IP 欄位。 |
| Horizon FQDN 的公用 IP | 如果您選擇不為已部署的 Microsoft Azure 負載平衡器設定公用 IP，則必須提供要為其指派您在 FQDN 欄位中指定的 FQDN 的 IP 位址。使用者的 Horizon 用戶端將使用此 FQDN 對閘道進行 PCoIP 連線。部署工具會在 Unified Access Gateway 組態設定中設定此 IP 位址。 |
指定外部閘道的網路設定。
| 選項 | 說明 |
|---|---|
| 使用不同的虛擬網路 | 此切換可控制外部閘道是否將部署至其本身的 VNet 中 （與網繭的 VNet 不同）。
下列資料列說明不同的案例。
附註： 如果您在精靈的第一個步驟中指定要對外部閘道使用不同的訂閱，則依預設會啟用此切換。在此情況下，您必須為閘道選擇 VNet。 開啟此切換並 開啟繼承網繭 NTP 伺服器 切換時，請確保可以從您選給外部閘道部署的虛擬網路，連線至指定給網繭管理員執行個體的 NTP 伺服器。 |
| 使用不同的虛擬網路 — 切換為關閉 | 當此切換設為關閉時，外部閘道將部署至網繭的 VNet 中。在此情況下，您必須指定 DMZ 子網路。
|
| 使用不同的虛擬網路 — 已啟用 | 此切換啟用時，外部閘道將部署至其本身的 VNet 中。在此情況下，您必須選取要使用的 VNet，然後指定三個所需的子網路。啟用使用現有的子網路切換，以從您在指定 VNet 上預先建立的子網路中進行選取。否則，請以 CIDR 標記法指定子網路。
重要： 選取空白的子網路，即沒有附加任何其他資源的子網路。如果子網路不是空白的，則部署程序或網繭作業期間可能會發生非預期的結果。 在此情況下，閘道的 VNet 和網繭的 VNet 為對等。最佳做法是預先建立子網路，而不在此處使用 CIDR 項目。請參閱 使用本身的 VNet 或訂閱 （與網繭的 VNet 或訂閱不同） 以外部 Unified Access Gateway 組態進行部署時的先決條件。
|
- 在 部署 區段中，使用切換選擇性地選取現有的資源群組，讓部署工具將外部閘道組態的資源部署到其中。
當您在精靈的第一個步驟中指定要對外部閘道使用不同的訂閱時，就會顯示此切換。當您啟用此切換時，系統會顯示一個欄位供您搜尋及選取資源群組。
- 若要新增內部閘道，請開啟 啟用內部 UAG？ 切換，並完成 內部 UAG 區段中的欄位。
| 選項 | 說明 |
|---|---|
| 啟用內部閘道？ | 控制網繭是否具有內部閘道組態。內部組態可為公司網路內部的使用者提供用於Horizon Web Client （Blast） 連線的桌面和應用程式信任存取。網繭包含一個 Azure 負載平衡器資源，以及提供此存取的 Unified Access Gateway 執行個體。依預設，此閘道的負載平衡類型為私人。負載平衡器已設定為使用私人 IP 位址。 |
| FQDN | 輸入必要的完整網域名稱 （FQDN），例如 ourOrg.example.com，供使用者用來存取服務。您必須擁有該網域名稱，並具有可驗證該 FQDN 的 PEM 格式憑證。
重要： 此 FQDN 不能包含底線。在此版本中，當 FQDN 包含底線時，將無法連線至Unified Access Gateway 執行個體。 |
| DNS 位址 | 選擇性地輸入Unified Access Gateway可用於名稱解析的其他 DNS 伺服器的位址，並以逗號分隔。 將此內部Unified Access Gateway態設定為對雙因素驗證伺服器使用雙因素驗證伺服器時，如果該伺服器位於部署Unified Access Gateway個體的 VNet 拓撲外部，則您將需要指定可解析該驗證伺服器主機名稱的 DNS 伺服器位址。例如，如果您的雙因素驗證位於內部部署，請輸入可解析該驗證伺服器名稱的 DNS 伺服器。 |
| 路線 | 選擇性地指定其他閘道的自訂路由，以便讓已部署的 Unified Access Gateway 執行個體用來為使用者存取解析網路路由。指定的路由會用來允許Unified Access Gateway解析網路路由，例如用來與雙因素驗證伺服器進行通訊的路由。
將此網繭設定為使用雙因素驗證搭配內部部署驗證伺服器時，您必須輸入 Unified Access Gateway 執行個體可用來連線該伺服器的正確路由。例如，如果您的內部部署驗證伺服器使用 10.10.60.20 作為其 IP 位址，則您可以輸入 10.10.60.0/24 和預設路由閘道位址作為自訂路由。您可以從 Express Route 或用於此環境的 VPN 組態中取得預設路由閘道位址。
以 ipv4-network-address/bits ipv4-gateway-address 格式指定逗號分隔清單格式的自訂路由，例如： |
| 繼承網繭 NTP 伺服器 | 依預設會啟用此切換，可讓Unified Access Gateway執行個體使用指定給網繭管理員執行個體的相同 NTP 伺服器。強烈建議將此切換保持啟用狀態。 最佳做法是對網繭管理員執行個體、Unified Access Gateway 執行個體以及您的 Active Directory 伺服器使用相同的 NTP 伺服器。當這些執行個體使用不同的 NTP 伺服器時，可能會導致時間誤差。之後當閘道嘗試驗證其桌面和應用程式的使用者工作階段時，此類時間誤差可能導致失敗。 |
| 虛擬機器型號 | 選取要用於Unified Access Gateway執行個體的型號。您必須確定為此網繭指定的 Microsoft Azure 訂閱，可提供所選型號的兩個虛擬機器所需的容量。
重要： 在目前的服務版本中，在您的訂閱中部署閘道組態後，無法輕鬆變更這些執行個體所使用的虛擬機器型號。部署後變更虛擬機器型號需要刪除該閘道組態並重新部署。如果您預期環境會擴充至每個網繭 2,000 個工作階段，請選取 F8s_v2。如Microsoft Azure 服務限制中的Horizon Cloud所述，A4_v2虛擬機器型號僅足夠用於概念驗證 （PoC）、試驗，或您知道網繭上不會超過 1,000 個作用中工作階段的較小型環境。 |
| 憑證 | 上傳 PEM 格式的憑證以供Unified Access Gateway用來允許用戶端信任與 Microsoft Azure 中執行的Unified Access Gateway個體建立的連線。憑證必須以您輸入的 FQDN 為基礎，且由信任的 CA 簽署。PEM 檔案必須包含整個憑證鏈結和私密金鑰：SSL 憑證中繼憑證、根 CA 憑證、私密金鑰。 |
| Blast Extreme TCP 連接埠 | 選取要在Unified Access Gateway組態內的 Blast Extreme TCP 設定中使用的 TCP 連接埠。該設定會透過 Unified Access Gateway 上的 Blast 安全閘道，與 Blast Extreme 產生關聯，用於用戶端所傳送的資料流量。連接埠 8443 是首選，因為與 Unified Access Gateway 執行個體相比，它的效率更高，效能更佳，且耗用的資源更少。由於這些原因，精靈將以 8443 作為預設值。另一個選項是 443，但在執行個體中的效率較低，效能較差，且會導致 CPU 壅塞，從而導致使用者用戶端中出現明顯的流量延遲。只有在您的組織已設定用戶端限制 （例如，您的組織僅允許 443 輸出） 時，才應使用 443 選項。 附註： 用於 Blast Extreme 的 UDP 連接埠不受此設定影響，且一律為 UDP 8443。 |
| 加密套件 | 儘管幾乎在所有情況下預設設定已夠用，Unified Access Gateway 仍提供此功能，可用來指定密碼編譯演算法，以用來將用戶端與Unified Access Gateway器之間的通訊加密。 必須從畫面上的清單中選取至少一個加密套件。畫面上的清單會顯示 Horizon Cloud Microsoft Azure 部署允許的加密套件。 |
-
在要新增任何閘道的區段中，如果您想要選擇性地將使用者的桌面設定為使用雙因素驗證，請遵循在 Horizon Cloud 網繭的閘道上啟用雙因素驗證中的步驟。
-
在 Azure 資源標記 區段中，如果您想要為閘道相關資源群組指定與網繭其他資源群組上所指定不同的資源標記，請停用 繼承網繭標記 切換，並在出現的欄位中指定標記。
如需 Azure 資源標籤 欄位的說明，請參閱 第一代租用戶 - 指定Horizon Cloud網繭的閘道組態。相同的一組標記將用於網繭上這兩個類型的閘道。
- 按一下 儲存並結束。
此時會出現一則確認訊息，要求您確認是否要開始執行工作流程。
- 按一下 是 以啟動工作流程。
結果
在系統完成閘道元素的部署之前，該組態類型的網繭摘要頁面區段會顯示擱置中狀態。此外，在系統完成其部署閘道的動作之前，您無法執行其他與「編輯網繭」工作流程相關的活動。
工作流程完成時，狀態將會顯示為就緒，且負載平衡器 FQDN 將會顯示在頁面中。
注： 對 Azure China Microsoft中的網繭執行此工作流程時，此程序可能要一小時以上才能完成。此程序受限於可能導致下載速度緩慢的地理區域網路問題，因為二進位檔會從雲端控制平面下載。
後續步驟
重要： 您必須先完成下列工作，您的使用者才能開始使用新增的閘道。
-
針對新增的閘道組態，請確保您的 DNS 伺服器中有 CNAME 記錄，以將組態所部署的負載平衡器對應至您在部署精靈中輸入的 FQDN。如需詳細資料 ，請參閱如何取得要在您的 DNS 伺服器中對應的 Horizon Cloud 網繭閘道的負載平衡器資訊 。
-
如果您為新增的閘道指定了雙因素驗證，則必須執行下列工作：
-
如果網繭的外部閘道設定了雙因素驗證，且在部署了閘道Unified Access Gateway個體的同一 VNet 拓撲內無法連線到雙因素驗證伺服器，請將該雙因素驗證伺服器設定為允許來自外部閘道負載平衡器的 IP 位址的通訊。
在與閘道部署相同的 VNet 拓撲內無法連線到雙因素驗證伺服器的情況下，Unified Access Gateway 執行個體會嘗試使用該負載平衡器位址，與該伺服器聯繫。若要允許該通訊流量，請在雙因素驗證伺服器組態中，針對該外部閘道資源群組中的負載平衡器資源 IP 位址，確定其已指定為用戶端或已登錄的代理程式。如需如何允許該通訊的具體資訊，請參閱雙因素驗證伺服器的說明文件。
- 如果可以在同一 VNet 拓撲中連線至您的雙因素驗證伺服器，請將雙因素驗證伺服器設定成允許來自適當 NIC （亦即，在 Microsoft Azure 中建立給部署Unified Access Gateway個體） 的通訊。
您的網路管理員會判斷雙因素驗證伺服器的網路，對用於部署的 Azure VNet 拓撲及其子網路是否可見。雙因素驗證伺服器必須允許來自 Unified Access Gateway 執行個體 NIC IP 位址的通訊，這些 NIC 對應於您網路管理員為雙因素驗證伺服器提供網路可見度的子網路。
Microsoft Azure 中的閘道資源群組有四個 NIC 與該子網路對應：兩個 NIC 目前作用中，用於兩個 Unified Access Gateway 執行個體，以及兩個閒置的 NIC，在網繭和其閘道完成更新後將成為作用中的 NIC。
若要支援用於進行中網繭作業和每個網繭更新後的閘道與雙因素驗證伺服器之間的通訊流量，請確定在該伺服器的組態中已將這四個 NIC 的 IP 位址指定為用戶端或已登錄的代理程式。如需如何允許該通訊的具體資訊，請參閱雙因素驗證伺服器的說明文件。
如需如何取得這些 IP 位址的相關資訊，請參閱 使用所需的 Horizon Cloud 網繭閘道資訊更新您的雙因素驗證系統。
此頁面對您有幫助嗎?