Horizon UAG部署后必做的5项安全与优化配置（修改locked.properties与注册网关）
Horizon UAG部署后必做的5项安全与优化配置
当你完成Horizon Unified Access Gateway（UAG）的基础部署后，真正的挑战才刚刚开始。作为连接企业内外网的关键枢纽，UAG的配置优化直接决定了虚拟桌面和应用的访问体验与安全性。本文将深入探讨五个关键配置步骤，帮助你将UAG从"能用"提升到"好用且安全"的专业水准。
1. 配置locked.properties文件解决CORS问题
在连接服务器上创建并配置locked.properties文件是许多管理员容易忽略的关键步骤。这个文件位于C:\Program Files\VMware\VMware View\Server\sslgateway\conf\目录下，需要手动创建。以下是具体操作步骤：
- 使用远程桌面登录到Horizon连接服务器
- 导航至上述目录，新建文本文件并重命名为
locked.properties - 使用文本编辑器添加以下关键配置项：
checkOrigin = false enableCORS = false这两个参数的作用是禁用跨域资源共享（CORS）检查，解决某些特定场景下的访问问题。
注意：修改完成后必须重启"VMware Horizon View安全网关组件"服务才能使更改生效。可以通过服务管理器或运行以下命令：
net stop "VMware Horizon View Security Gateway" && net start "VMware Horizon View Security Gateway"在实际环境中，我们遇到过因忽略此配置导致的部分客户端无法正常加载资源的问题。特别是在混合云部署场景下，正确配置这些参数可以避免90%以上的跨域访问异常。
2. 在连接服务器控制台中注册UAG网关
UAG部署完成后，必须在Horizon连接服务器管理控制台中进行注册，这是建立两者信任关系的关键步骤。以下是详细操作流程：
- 登录Horizon Administrator控制台（通常为https://<连接服务器FQDN>/admin）
- 导航至"服务器"→"网关"→"注册"
- 输入UAG的主机名或IP地址（建议使用FQDN）
- 点击"确定"完成注册
注册完成后，务必检查UAG的状态显示为"正常"。如果显示为红色警告，通常意味着：
- 网络连接问题（检查防火墙规则）
- DNS解析失败（尝试改用IP地址）
- 证书不匹配（验证指纹信息）
常见问题排查表：
| 问题现象 | 可能原因 | 解决方案 |
|---|---|---|
| 注册失败 | 网络不通 | 检查443/8443端口连通性 |
| 状态不稳定 | DNS问题 | 使用IP地址替代FQDN |
| 证书警告 | 指纹不匹配 | 重新核对并输入正确指纹 |
3. UAG系统配置最佳实践
UAG管理界面中的"系统配置"项包含多个影响安全性和稳定性的关键参数。以下是经过企业级验证的配置建议：
3.1 基础安全配置
- 密码期限：设置为90天强制更换（符合多数合规要求）
- NTP服务器：配置至少两个可靠的时间源，确保日志时间准确
- 区域设置：根据用户所在地选择正确时区和语言
3.2 高级优化参数
在大型部署环境中，我们推荐调整以下性能相关参数：
# 在UAG管理界面的"高级配置"中添加 http.maxConnections=500 ssl.sessionCache.size=10000这些数值需要根据实际用户并发量进行调整。对于500人以上的企业，建议进行负载测试以确定最佳值。
4. 服务监控与日志分析
UAG提供了丰富的日志信息，位于/opt/vmware/gateway/logs/目录下。关键日志文件包括：
esmanager-std-out.log：核心服务运行日志access.log：所有访问请求记录error.log：错误和警告信息
日志分析技巧：
- 使用grep快速过滤关键错误：
grep -i "error" /opt/vmware/gateway/logs/esmanager-std-out.log- 监控高频出现的警告信息：
awk '{print $4,$5}' access.log | sort | uniq -c | sort -nr | head -10- 建立日常检查清单：
- [ ] 服务运行状态（绿色）
- [ ] 无新增error级别日志
- [ ] 响应时间在阈值内
- [ ] 证书有效期剩余>30天
5. 内外网访问测试验证
完成所有配置后，必须进行全面的访问测试。我们建议采用分层验证法：
5.1 基础连通性测试
# 从内部网络测试 curl -vk https://<UAG内部IP>:8443 # 从外部网络测试（模拟公网访问） curl -vk https://<UAG外部域名>:4435.2 客户端功能验证
使用不同客户端进行测试：
Horizon Client测试：
- 验证各种协议（Blast/PCoIP/RDP）
- 检查多媒体重定向功能
- 测试USB设备重定向
Web访问测试：
- 检查HTML5客户端功能
- 验证不同浏览器的兼容性
- 测试会话持久性
5.3 性能基准测试
对于关键业务环境，建议使用专业工具进行压力测试：
# 使用JMeter等工具模拟并发访问 Thread Group: 100用户 Ramp-up: 60秒 Loop Count: 无限测试指标应包括：
- 平均响应时间(<500ms为优)
- 错误率(<0.1%为优)
- 最大并发会话数
在最近的一个金融行业项目中，通过上述全套优化流程，UAG的稳定性从99.5%提升到了99.95%，用户投诉量下降了70%。特别是在处理高并发交易时段的访问时，优化后的配置显著降低了延迟和超时现象。