Wenn Ihre Netzwerktopologie eine Back-End-Firewall zwischen Sicherheitsservern und Verbindungsserver-Instanzen enthält, müssen Sie die Firewall so konfigurieren, dass bestimmte Protokolle und Ports diese IPSec unterstützen. Ohne ordnungsgemäße Konfiguration lässt die Firewall Daten, die zwischen einem Sicherheitsserver und der Verbindungsserver-Instanz gesendet werden, nicht passieren.

Standardmäßig steuern IPSec-Regeln die Verbindungen zwischen Sicherheitsservern und Verbindungsserver-Instanzen. Zur Unterstützung von IPSec kann das Verbindungsserver-Installationsprogramm die Windows-Firewallregeln auf den Windows Server-Hosts konfigurieren, auf denen Horizon 7-Server installiert sind. Für eine Back-End-Firewall müssen Sie die Regeln selbst konfigurieren.

Hinweis: Es wird dringend empfohlen, IPsec zu verwenden. Alternativ dazu können Sie die globale Einstellung IPSec für Sicherheitsserver-Verbindungen verwenden von Horizon Administrator deaktivieren.

Die folgenden Regeln müssen bidirektionalen Datenverkehr zulassen. Möglicherweise müssen Sie separate Regeln für eingehenden und ausgehenden Datenverkehr auf Ihrer Firewall angeben.

Für Firewalls mit bzw. ohne Netzwerkadressübersetzung (Network Address Translation, NAT) gelten jeweils andere Regeln.

Tabelle 1. Unterstützung von IPsec-Regeln bei Firewall-Anforderungen ohne NAT
Quelle Protokoll Port Ziel Hinweise
Sicherheitsserver ISAKMP UDP 500 Horizon-Verbindungsserver Sicherheitsserver verwenden die UDP-Portnummer 500 zum Aushandeln der IPsec- Sicherheit.
Sicherheitsserver ESP – Horizon-Verbindungsserver Das ESP-Protokoll kapselt IPsec-verschlüsselten Datenverkehr ein.

Sie müssen als Teil der Regel keinen Port für ESP angeben. Falls nötig können Sie Quell- und Ziel-IP-Adressen angeben, um den Geltungsbereich der Regel zu verkleinern.

Die folgenden Regeln gelten für Firewalls, die NAT verwenden.

Tabelle 2. Anforderungen an NAT-Firewalls für die Unterstützung von IPsec-Regel
Quelle Protokoll Port Ziel Hinweise
Sicherheitsserver ISAKMP UDP 500 Horizon-Verbindungsserver Sicherheitsserver verwenden die UDP-Portnummer 500, um die Aushandlung der IPsec-Sicherheit zu initiieren.
Sicherheitsserver NAT-T ISAKMP UDP 4500 Horizon-Verbindungsserver Sicherheitsserver verwenden UDP-Port 4500 für NAT-Traversal und zum Aushandeln der IPsec-Sicherheit.