對於 Android 憑證驗證，憑證 Proxy 服務會在 Omnissa Access 節點上以獨立服務的形式執行，用於在連接埠 5262 上接收連線，並將連線代理至 Omnissa Access 服務的連接埠 443 以進行驗證。
Omnissa Access 的 HTTPS 443 流量可設定為在負載平衡器/反向 Proxy 上進行第 7 層 SSL 卸載，或允許以第 4 層 TCP 方式傳遞 SSL 至後端伺服器。當使用 SSL 傳遞設定 443 流量時，Omnissa Access 服務 (連接埠 443) 和連接埠 5262 上的憑證 Proxy 服務會共用公開信任的憑證。無需額外組態。
如果 HTTPS 流量在負載平衡器/反向 Proxy 上進行 SSL 卸載，Omnissa Access 服務會使用在應用程式安裝過程中產生的自我簽署憑證來建立信任。由於 5262 必須設定為 SSL 第 4 層 TCP，且 SSL 傳遞需要公開信任的 SSL 憑證，這會導致主機上執行的兩個服務之間的憑證不相符。為了避免此問題，憑證 Proxy 服務需要在伺服器上設定次要連接埠 5263。連接埠 5263 與 Omnissa Access 服務使用相同的自我簽署憑證。設定其他連接埠 5263 以確保 Android 版行動 SSO 程序的通訊安全和信任，同時允許在負載平衡器上進行 HTTPS 流量解密。
決定 SSL 重新加密與 SSL 卸載之間的 HTTP 443 流量
以下為決策矩陣，可協助您設定憑證 Proxy 服務與 Omnissa Access 服務的整合。
在此矩陣中，SAN 憑證指的是同時包含 Omnissa Access VIP FQDN 與各節點機器 FQDN 的憑證。FQDN 使用非路由式網域/子網域的格式。根據您的 Workspace ONE 設計，請參考此矩陣以判斷是否需要設定連接埠 5263。
憑證 Proxy 組態決策矩陣
| 公用命名空間 | DMZ 命名空間 | 憑證類型 | 負載平衡器需求 | 需要憑證 Proxy 連接埠 5263 |
|---|---|---|---|---|
| 共用命名空間 (.com / .com) | ||||
| example.com | example.com | 萬用字元、SAN | 需要 SSL 重新加密 | 否 |
| example.com | example.com | 單一主機 CN | 需要 SSL 重新加密 | 是 |
| example.com | example.com | 萬用字元、SAN | 需要 SSL 傳遞 | 否 |
| 脫離的命名空間 (.com / .dmz) | ||||
| example.com | example.dmz | 萬用字元、單一主機 CN | 需要 SSL 重新加密 | 是 |
| example.com | example.dmz | SAN | 需要 SSL 重新加密 | 否 |
| example.com | example.dmz | SAN | 需要 SSL 傳遞 | 否 |
在僅設定連接埠 5262 的 DMZ 中進行 Omnissa Access Proxy 連接埠組態
在同時設定連接埠 5262 和 5263 的 DMZ 中進行 Omnissa Access Proxy 連接埠組態
此頁面對您有幫助嗎?