 《分享》SSL VPN (五) 行動平台的後繼方案MotionPro |       |
Array SSL VPN的行動裝置APP - DesktopDirect 因某些因素於2014/7/1下架；
2014/7/1後，使用者無法於APP市集下載DD，只能透過自行架站的方式來下載安裝DD。
Array提出的後繼行動方案為MotionPro，一個不同於以往DD的行動平台。
MotionPro是一個Vitual Site，跟屬於“資源”的DD大不相同。
MotionPro在遠端桌面的配置上，跟一般Virutal Site一樣，可以堆疊資源，當然也包括了DD。
正因為MotionPro是一個Virtul Site，不是執行遠端桌面的APP，
所以在MotionPro上執行遠端桌面資源時，還要再安裝微軟的RD Client APP才行。
透過VPN tunnel的建立後，行動裝置使用者的RD Client才可以透過此通道連線到遠端主機。
在硬體資源上，MotionPro已經不再支援 Array SPX 了。
而Array AG用戶，必需把韌體版升級到 9.3.0.79 以上才支援MotionPro。
此外行動用戶的OS版本也有對應要求，
Andorid平台要 4.0 以上，iOS平台則是 6.0 以上都可安裝使用MotionPro。
而除了設定的連接埠要開放以外，
對應iOS行動裝置時，還要再加開UDP 500，4500這兩個port才能讓VPN Tunnel順利建起來！
這是順子在慘痛的測試兩天後才找到的問題點...
MotionPro平台的發佈設定
因為MotionPro是一種Virtual Site，所以在建置上一樣是到 Base System / VIRUTAL SITE / Virtual Site / Virtual Site 中建立。
要注意的是 Virtual Site Type 要選 MotionPro 喔！
建立完成，進入MotionPro的Virtual Site首頁，可以看到連到 MotionPro Pilot 的連結。
MotionPro Pilot就跟DD Pilot一樣，有著相似的獨立設定頁面；
但又跟DD在內容上完全不同，是兩種不同的東西。
MotionPro Pilot
進入MotionPro Pilot後，第一個功能頁籤是System Monitor，用來管理行動裝置。
使用者的設定、資源配置等是在第二個頁籤Site Settings中進行。
我們先在 AAA 中進行使用者與群組的設定。
使用者的來源，順子以常用的AD為例，選擇驗證方式為 LDAP，然後按下 + 號，新增一個AD組態。
接著在ADVANCED LDAP CONFIGURATIONS中，設定 LDAP Attribute Group 為 memberOf，
Search Filter 為 sAMAccountName=<USER>。
這部份很重要喔！
因為它決定了AD中群組的判斷依據，所以一定要打正確。
在 DEVICEID 中，可勾選 Auto Approve，讓行動裝置可以自動被approve。
當然若您不希望行動裝置自動被approve，希望透過管理員的查核後再予以放行的話，
就不要勾這個選項。
Authorization與Group Mapping
驗證的來源指定好並設定完成後，接著就要對認證過的帳號進行授權。
這邊看到的User指的是本地User，
而我們的使用者來源是AD，所以就不用設定User了。
但MotionPro資源的配發是依據User或Group，
且外部使用者來源只能以Group Mapping的方式來進行，
所以我們建立一個本機的Group，其用途是給AD上的Group來做Mapping，以配置對應資源。
本機Group建立後，按下Group Mapping來做AD的群組對應。
本機群組無疑的就是我們剛才建立的那一個，
但AD群組又是參考自AD中的什麼呢？
答案就是我們剛才建AD組態時，所填的 memberOf。
我們連進AD中的ADSI編輯器，任選一個使用者帳號，查看其內容。
顯示“反向連結”屬性，
我們可以看到使用者所屬的群組就在這裏。
在做Group Mapping時，只要是出現在 memberOf 中的群組名稱就可以拿來做為Mapping的Group名稱。
例如順子建立的AD群組 VPN。
這邊提醒大家一個順子發現的狀況，
那就是AD預設的群組 Domain Users 不在 memberOf 清單之中，
所以 Domain Users 無法用來做為Group Mapping！
資源配置
MotionPro可配置的資源包括網頁及L7的applications。
這裏僅以簡單的網頁資源做個示範。
設定好的資源記得要配置給Group。
其它
MotionPro設定到這邊基本上就算完成囉。
等等！？
那遠端桌面呢？遠端桌面的資源配置還沒分享啊！
嘿，不要忘了MotionPro是一個Virtual Site，
而Virtual Site的遠端桌面資源是透過DD中的帳號/群組來比對的。
只要您登入MotionPro的帳號在DD的帳號/群組清單中，就會主動配置DD中的遠端面資源。
跟一般Virtual Site的差別在於一般Virtual Site需要在 SITE CONFIGURATION / Portal / DesktopDirect 啟用DD的整合功能；
而MotionPro做為DD的後繼行動方案，DD的整合已內建在其中，使用者並不需要特別去整合它。
↑一般Virtual Site需要手動啟用DD的整合。
此外在預設的情況下，它會自己建立一個0.0.0.0/0的VPN tunnel，供使用者連線使用資源。
這部份是自動建立的，不用特別管它。
另外它跟DD不同，執行遠端桌面時，不是由DD來執行；
而是由RD Client來執行，所以無法跟DD一樣進行SSO。
頂多是在RD Clien被呼叫執行時，使用者可以手動勾選“記錄密碼”來達成下次登入時，免輸入密碼的功能。
最後，若是沒有勾選行動裝置自動Approve的話，
請記得到 System Monitor 頁籤中進行管理。
沒有Approve過的行動裝置可是無法正常使用的喔！
 |
 |
♥順子老婆的網拍，請多關照∼
If you don't like something, change it.
If you can't change it, change your attitude.
Don't complain!
|
2014-11-25, 18:18
《分享》iPhone如何使用MotionPro
《分享》開放MotionPro虛擬平台給Windows使用
