保姆级教程：手把手搞定VMware Horizon UAG网关配置（含防火墙映射与连接服务器注册）

保姆级教程：手把手搞定VMware Horizon UAG网关配置（含防火墙映射与连接服务器注册）

当你第一次接触VMware Horizon的UAG网关配置时，可能会被各种专业术语和复杂步骤搞得晕头转向。作为企业虚拟桌面架构的关键组件，UAG网关承担着安全连接内外网的重要职责。本文将用最通俗易懂的方式，带你一步步完成从零开始的完整配置过程。

1. 环境准备与基础配置

在开始配置前，确保你已经准备好以下材料：

• 从VMware官网下载的最新UAG OVF模板文件（如euc-unified-access-gateway-21.11.1.0-19072784_OVF10.ova）
• 有效的vCenter Server访问权限
• 预先规划好的网络地址分配方案

1.1 OVF模板导入

登录vCenter Server后，右键点击目标集群选择"部署OVF模板"。这个过程中有几个关键点需要注意：

1. 网络适配器选择：根据你的网络环境决定网卡数量

   • 单网卡：适用于简单网络拓扑
   • 多网卡：需要额外配置路由规则

2. 存储配置：建议选择"精简置备"以节省存储空间

3. 时区设置：虚拟机首次启动后务必正确配置时区

注意：导入过程中系统会要求设置管理员密码，建议使用复杂密码并记录在安全位置。

1.2 网络规划与防火墙配置

UAG网关需要特定的端口映射才能正常工作。以下是最小必需的端口配置：

实际配置示例：

# 内网防火墙规则示例 iptables -A FORWARD -p tcp --dport 8443 -j ACCEPT iptables -A FORWARD -p tcp --dport 9001 -j ACCEPT # 外网防火墙规则示例 iptables -A INPUT -p tcp --dport 443 -j ACCEPT iptables -A INPUT -p tcp --dport 9000 -j ACCEPT

2. UAG服务初始化配置

完成基础环境准备后，通过浏览器访问UAG管理界面（默认地址为https://[UAG-IP]:9443）。首次登录会看到初始化向导，建议选择"手动配置"以获得更灵活的控制。

2.1 Horizon连接设置

在Horizon设置部分，需要特别注意以下几个参数：

• 连接服务器地址：建议使用IP而非FQDN，避免DNS解析问题
• 指纹信息：从连接服务器获取的SHA256证书指纹
• 多服务器配置：如有多个连接服务器，用英文逗号分隔地址

获取指纹的详细步骤：

1. 在浏览器访问连接服务器管理界面
2. 点击地址栏的"不安全"提示
3. 查看证书详情并复制SHA256指纹值

典型指纹格式：

sha256=83:4F:C6:D8:07:1A:4E:92:E4:AE:85:B8:75:F8:32:A3:96:F1:F6:73:3D:14:F5:65:2D:D5:8E:3D:AF:50:F2:52

2.2 系统参数调优

在"系统配置"选项卡中，建议调整以下参数：

3. 连接服务器端配置

UAG配置完成后，还需要在Horizon连接服务器上进行相应调整。

3.1 创建locked.properties文件

在连接服务器上创建以下路径的文件：

C:\Program Files\VMware\VMware View\Server\sslgateway\conf\locked.properties

文件内容应为：

checkOrigin=false enableCORS=false

重要：修改后必须重启"VMware Horizon View安全网关组件"服务才能使更改生效。

3.2 服务注册与验证

通过连接服务器管理控制台完成UAG注册：

1. 导航至"服务器"→"网关"
2. 点击"注册"按钮
3. 输入UAG主机名或IP地址
4. 等待状态显示为"正常"

注册成功后，建议进行以下测试：

• 内网直接连接测试
• 外网通过UAG连接测试
• 不同协议（Blast/PCoIP）测试

4. 常见问题排查

即使按照步骤操作，仍可能遇到各种问题。以下是几个典型场景的解决方法：

4.1 服务状态异常

如果Horizon服务显示红色，请检查：

• 防火墙端口是否全部开放
• 网络连通性是否正常
• 指纹信息是否准确复制

日志文件位置：

/opt/vmware/gateway/logs/esmanager-std-out.log

4.2 连接超时问题

外网访问出现超时通常是因为：

1. 防火墙规则未正确配置
2. NAT转换设置错误
3. 路由不可达

快速检测方法：

telnet 外网IP 443 # 测试HTTPS端口 telnet 外网IP 9000 # 测试Blast端口

4.3 证书相关问题

证书错误是常见问题，解决方法包括：

• 确保证书链完整
• 检查证书有效期
• 验证主题备用名称(SAN)配置

对于测试环境，可以临时添加例外：

// Chrome浏览器跳过证书警告 chrome://flags/#allow-insecure-localhost

5. 性能优化与安全加固

基础配置完成后，可以考虑以下进阶优化：

5.1 负载均衡配置

对于高可用环境，建议：

• 部署多个UAG实例
• 配置负载均衡器
• 设置健康检查机制

5.2 安全增强措施

提升安全性的建议：

• 启用双因素认证
• 配置IP访问限制
• 定期轮换证书

5.3 监控与维护

建立日常维护流程：

• 监控服务状态
• 定期备份配置
• 计划性重启维护

在实际项目中，我发现UAG的日志分析特别重要。通过定期检查/opt/vmware/gateway/logs/下的日志文件，可以提前发现潜在问题。另外，保持UAG系统更新到最新版本也能避免许多已知问题的发生。