使用負載平衡器或反向 Proxy 來啟用 Omnissa Access 的外部存取

在 Omnissa Access 部署期間，Omnissa Access 執行個體會設定於內部網路中。如果您想要為從外部網路連線的使用者提供服務的存取，您必須在 DMZ 中安裝負載平衡器或反向 Proxy，例如 NSX® Advanced Load Balancer™、Apache、Nginx 或 F5。

如果您希望日後能靈活擴充環境，則必須先部署負載平衡器或反向 Proxy，再部署 Omnissa Access。若未部署負載平衡器，日後將無法新增執行個體來支援備援，或在整個部署中分散流量。高可用性需要使用負載平衡器，不支援單一節點部署。

下圖說明可用來啟用外部存取的基本部署架構。

**附註：**此部署中的內部和外部存取使用相同的 Omnissa Access FQDN。

的外部負載平衡器 Proxy

在部署期間指定 Omnissa Access FQDN

部署 Omnissa Access 應用裝置期間，您必須使用單一 Omnissa Access FQDN 和連接埠號碼。這些值必須指向您希望使用者存取的 FQDN。

Omnissa Access 機器一律在連接埠 443 上執行。您可以將不同的連接埠號碼用於負載平衡器。如果使用不同的連接埠號碼，您必須在部署期間加以指定。請勿使用 8443 作為連接埠號碼，因為此連接埠號碼為 Omnissa Access 管理連接埠，且對於叢集中的每部機器都是唯一的。

要設定的負載平衡器設定

要設定的負載平衡器設定包括啟用 X-Forwarded-For 標頭，以及正確設定負載平衡器逾時。此外，也必須在 Omnissa Access 機器與負載平衡器之間設定 SSL 信任。

• X-Forwarded-For 標頭

  您必須在負載平衡器上啟用 X-Forwarded-For 標頭。這會決定驗證方法。如需詳細資訊，請參閱您的負載平衡器廠商所提供的說明文件。

• 負載平衡器逾時

  若要讓 Omnissa Access 正常運作，您可能必須從預設值提高負載平衡器要求逾時。此值以分鐘為單位設定。如果逾時設定太低，您可能會看見「502 錯誤：服務無法使用」錯誤。

• 請勿封鎖工作階段 Cookie

  請勿透過將規則新增至負載平衡器來封鎖工作階段 Cookie。將此類規則新增至負載平衡器可能會導致不一致的行為和失敗的要求。

• WebSocket 支援

  負載平衡器必須支援 WebSocket，才能在連接器執行個體與 Omnissa Access 節點之間啟用安全通訊通道。

  對於您的部署，如果 Workspace ONE Hub Services 已整合，則 Hub Services 通知需要 WebSocket 支援。因此，必須為使用者瀏覽器和裝置提供 Web 通訊端支援。

• 使用轉寄密碼加密

  Apple iOS App Transport Security 需求適用於 iOS 上的 Workspace ONE 應用程式。若要讓使用者能夠在 iOS 中使用 Workspace ONE 應用程式，負載平衡器必須具有使用轉寄密碼的加密。下列加密方式符合此需求：

  GCM 或 CBC 模式的 ECDHE_ECDSA_AES 和 ECDHE_RSA_AES

  如 iOS 11 iOS 安全性文件中所述：

  「App Transport Security 提供預設連線需求，以便在您使用 NSURLConnection、CFURL 或 NSURLSession API 時，讓應用程式遵循安全連線的最佳做法。依預設，App Transport Security 會將加密選取項目限制為僅包含提供轉寄密碼，特別是 GCM 或 CBC 模式的 ECDHE_ECDSA_AES 和 ECDHE_RSA_AES。」