企业官网建设流程全解析

Horizon UAG部署后必做的5项安全检查与优化配置

当你完成VMware Horizon UAG网关的基础部署后，真正的挑战才刚刚开始。许多管理员误以为UAG只要能够正常转发连接请求就万事大吉，却忽略了隐藏在默认配置下的安全隐患和性能瓶颈。本文将带你深入UAG的后台配置，从系统级加固到连接服务器锁定，打造一个既安全又高效的远程访问门户。

1. 系统基础配置的精细化调整

UAG的初始安装向导只要求填写最基本的网络参数，但要让网关在生产环境中稳定运行，必须对系统配置进行深度优化。登录UAG管理界面(https://your_uag_ip:9443)，进入"系统配置"选项卡，这里有四个关键设置项常被忽视：

区域与时区设置直接影响日志时间戳的准确性。我曾遇到过因时区配置错误导致安全事件无法与AD日志对齐的案例。建议选择与连接服务器一致的时区，并启用NTP同步：

# 验证UAG当前时间状态 date && timedatectl status

密码策略部分需要特别关注：

• 监控用户密码期限：建议设置为90天
• 管理员密码期限：保持默认180天但需启用复杂度要求
• 会话超时：控制台闲置时间建议设为30分钟

NTP服务器配置是系统稳定性的基石。添加至少两个可靠的内部NTP源：

提示：在跨国部署中，确保所有UAG节点使用相同的NTP源，否则可能造成Kerberos票据时间偏差问题。

2. 证书与指纹的安全管理

UAG与连接服务器间的通信安全依赖于证书指纹验证。常见错误是直接复制粘贴指纹而忽略验证过程。正确的指纹获取方式应该是：

1. 在连接服务器上打开MMC控制台
2. 添加证书管理单元（选择计算机账户）
3. 定位到个人→证书，找到当前使用的SSL证书
4. 右键查看证书→详细信息→指纹

指纹验证的进阶技巧包括：

• 使用SHA-256指纹而非SHA-1
• 为每台连接服务器单独记录指纹
• 定期检查证书到期日并设置提醒

当需要更换证书时，按此流程操作：

# 在连接服务器上导出新证书 Export-PfxCertificate -Cert cert:\localMachine\my\<thumbprint> -FilePath newcert.pfx -Password (ConvertTo-SecureString -String "YourPassword" -Force -AsPlainText)

3. 连接服务器锁定配置实战

locked.properties文件是Horizon安全架构中的隐藏王牌。这个位于C:\Program Files\VMware\VMware View\Server\sslgateway\conf\下的配置文件，可以关闭多项潜在风险功能：

• CORS防护：设置enableCORS=false防止跨域资源滥用
• 来源检查：checkOrigin=false关闭时可配合网络层ACL使用
• 协议限制：添加secureProtocols=TLSv1.2,TLSv1.3

完整的locked.properties示例：

# 安全加固配置 checkOrigin=false enableCORS=false secureProtocols=TLSv1.2,TLSv1.3 httpOnly=true hstsEnabled=true

修改后必须重启服务：

# 在连接服务器上执行 Restart-Service -Name "VMware Horizon View Security Gateway"

4. 服务日志监控体系搭建

UAG生成的日志包含黄金级别的故障排查信息，但90%的管理员只在出问题时才查看。建议建立日常监控机制，重点关注：

关键日志文件路径：

• /opt/vmware/gateway/logs/esmanager-std-out.log- 核心服务日志
• /var/log/vmware/gateway/access.log- 访问日志
• /var/log/syslog- 系统级日志

使用这个命令可以实时监控错误：

tail -f /opt/vmware/gateway/logs/esmanager-std-out.log | grep -i error

对于大规模部署，建议配置日志转发到中央SIEM系统。以下是Splunk的日志提取示例：

[monitor:///opt/vmware/gateway/logs] sourcetype = vmware:uag index = vmware_logs

5. 网络层加固与性能调优

在防火墙配置基础上，还需要在UAG本身实施网络层控制：

TCP参数优化（通过SSH连接到UAG后调整）：

# 编辑sysctl.conf echo "net.ipv4.tcp_tw_reuse = 1" >> /etc/sysctl.conf echo "net.core.somaxconn = 4096" >> /etc/sysctl.conf sysctl -p

连接限制配置：

最后别忘了在连接服务器管理控制台中检查UAG注册状态，并禁用不必要的网关功能：

1. 打开Horizon控制台→服务器→网关
2. 选择已注册的UAG实例
3. 取消勾选"启用Blast Extreme网关"（如果不使用）
4. 禁用"启用PCOIP网关"（如果全用Blast协议）