使用負載平衡器或反向 Proxy 來啟用 Omnissa Access 的外部存取

在 Omnissa Access 部署期間，Omnissa Access 執行個體會設定於內部網路中。負載平衡器或反向 Proxy (例如 Unified Access Gateway、NSX® Advanced Load Balancer™、Apache 或 Nginx) 是每個 Omnissa Access 部署的必要元件，且必須在開始部署之前安裝於 DMZ 中。

負載平衡器或反向 Proxy 可提供單一進入點，讓您能隨時間擴充環境、新增執行個體以提供備援，並在整個部署中分散流量。高可用性需要使用負載平衡器。不支援單一節點部署。

下圖說明可用來啟用外部存取的基本部署架構。

**附註：**此部署中的內部和外部存取使用相同的 Omnissa Access FQDN。

在部署期間指定 Omnissa Access FQDN

部署 Omnissa Access 應用裝置期間，您必須使用單一 Omnissa Access FQDN 和連接埠號碼。這些值必須指向您希望使用者存取的 FQDN。

Omnissa Access 機器一律在連接埠 443 上執行。

要設定的負載平衡器設定

要設定的負載平衡器設定包括啟用 X-Forwarded-For 標頭，以及正確設定負載平衡器逾時。此外，也必須在 Omnissa Access 機器與負載平衡器之間設定 SSL 信任。

• X-Forwarded-For 標頭

  您必須在負載平衡器上啟用 X-Forwarded-For 標頭。這會決定驗證方法。如需詳細資訊，請參閱您的負載平衡器廠商所提供的說明文件。

• 負載平衡器逾時

  若要讓 Omnissa Access 正常運作，您可能必須從預設值提高負載平衡器要求逾時。此值以分鐘為單位設定。如果逾時設定太低，您可能會看見「502 錯誤：服務無法使用」錯誤。

• 請勿封鎖工作階段 Cookie

  請勿透過將規則新增至負載平衡器來封鎖工作階段 Cookie。將此類規則新增至負載平衡器可能會導致不一致的行為和失敗的要求。

• WebSocket 支援

  負載平衡器必須支援 WebSocket，才能在連接器執行個體與 Omnissa Access 節點之間啟用安全通訊通道。

  對於您的部署，如果 Workspace ONE Hub Services 已整合，則 Hub Services 通知需要 WebSocket 支援。因此，必須為使用者瀏覽器和裝置提供 Web 通訊端支援。

• 使用轉寄密碼加密

  Apple iOS App Transport Security (ATS) 需求適用於 iOS 上的 Workspace ONE 應用程式。若要讓使用者能夠在 iOS 上使用 Workspace ONE 應用程式，負載平衡器必須使用可提供正向加密的加密套件。下列加密套件符合此需求：

  • ECDHE_ECDSA_AES 和 ECDHE_RSA_AES，採用 GCM 模式 (使用 SHA-256/384 的 AES-GCM)
  • 任何 TLS 1.3 加密套件 (所有 TLS 1.3 套件在設計上皆提供正向加密)

  如 Apple 的平台安全性說明文件所述：

  「依預設，App Transport Security 會將加密套件的選擇限制為僅包含提供正向加密的套件，具體包括採用 Galois/Counter 模式 (GCM) 的 ECDHE_ECDSA_AES 和 ECDHE_RSA_AES... 伺服器必須支援 TLS 1.2 和正向加密，且憑證必須有效，並使用 SHA-256 或更高強度的演算法簽署，同時至少使用 2048 位元 RSA 金鑰或 256 位元橢圓曲線金鑰。」