この章で説明するデプロイのシナリオは、自社環境にデプロイされた Unified Access Gateway を識別して編成するのに役立ちます。Unified Access Gateway は、通常非武装地帯 (DMZ) にインストールされるアプライアンスで、企業のデータセンターに入るトラフィックが強力に認証されたリモート ユーザーのためのトラフィックのみになるようにするために使用されます。
Horizon 8、Horizon Cloud Service、Workspace ONE Access、および Workspace ONE UEM を使用して Unified Access Gateway をデプロイできます。
セキュア ゲートウェイとしての Unified Access Gateway
Unified Access Gateway は、認証要求を該当するサーバに送信し、本物であると証明されない要求はすべて破棄します。ユーザーはアクセスが許可されているリソースにのみアクセスできます。
また、Unified Access Gateway は、認証されたユーザーのトラフィックが、ユーザーに資格が実際に付与されたデスクトップやアプリケーション リソースのみに確実に向けられるようにします。この保護レベルでは、アクセスを正確に制御するために、デスクトップ プロトコルの独自の調査、頻繁に変更される可能性があるポリシーやネットワーク アドレスの調整が実行されます。
Unified Access Gateway は、企業の信頼されるネットワーク内部の接続のためのプロキシ ホストとして動作します。この設計では、仮想デスクトップ、アプリケーション ホスト、およびサーバを外部からアクセス可能なインターネットから保護することで、セキュリティ レイヤーがさらに追加されます。
Unified Access Gateway は特に DMZ のために設計されています。セキュリティを強化するため、次の設定が実装されています。
- 最新の Linux カーネルとソフトウェア パッチ
- インターネットとイントラネット トラフィックのために複数の NIC をサポート
- SSH を無効に設定
- FTP、Telnet、Rlogin、または Rsh サービスを無効に設定
- 不要なサービスを無効に設定
仮想プライベート ネットワークの代わりに Unified Access Gateway を使用する
Unified Access Gateway と一般的な VPN ソリューションは、確実な方法で認証されたユーザーのためだけに内部ネットワークに確実にトラフィックが転送されるようにする点で似ています。
一般的な VPN よりも Unified Access Gateway は、次の点で優れています。
- アクセス コントロール マネージャ。Unified Access Gateway は、アクセス ルールを自動的に適用します。Unified Access Gateway は、内部接続に必要なユーザーの資格とアドレスの設定について認識しています。大半の VPN では管理者が各ユーザーまたは各ユーザー グループにネットワーク接続ルールを設定できるので、VPN でも同じ処理が行われます。最初に、これは VPN では適切に動作しますが、必要なルールを維持するためには相当な管理労力が必要となります。
- ユーザー インターフェイス。Unified Access Gateway では、簡単な Horizon Client ユーザー インターフェイスをそのまま使用できます。Unified Access Gateway では、Horizon Client が起動されると、認証されたユーザーは Horizon Connection Server 環境に配置され、デスクトップとアプリケーションへのアクセスを制御できます。VPN では、VPN ソフトウェアを最初にセットアップして、Horizon Client を起動する前に別々に認証することが求められます。
- パフォーマンス。Unified Access Gateway は、セキュリティとパフォーマンスを最大化できるように設計されています。Unified Access Gateway を使用すると、追加のカプセル化を実行しなくても、PCoIP、HTML Access、および WebSocket プロトコルのセキュリティが確保されます。VPN は、SSL VPN として実装されます。この実装は、セキュリティ要件を満たしており、Transport Layer Security (TLS) が有効である場合、安全だと考えられていますが、SSL/TLS におけるバックエンドのプロトコルは、TCP ベースに過ぎません。コネクションレスの UDP ベースの転送を利用する最新のビデオ リモーティング プロトコルでは、TCP ベースの転送を強制すると、パフォーマンス上の利点が大幅に損なわれる場合があります。SSL/TLS の代わりに DTLS や IPsec を使用して、ネットワークを運用できる場合、Horizon Connection Server デスクトップ プロトコルを適切に稼動させることができるので、これはすべての VPN テクノロジーで起こるわけではありません。
