Horizon UAG部署后连接服务器还是红叉？排查这5个常见配置问题（附日志查看位置）

Horizon UAG部署后连接服务器红叉问题深度排查指南

当你在Horizon环境中部署了Unified Access Gateway（UAG）后，发现管理界面中目标服务器显示红色告警状态，这种问题往往让运维人员感到头疼。本文将系统性地分析五个最常见的配置问题根源，并提供详细的排查路径和解决方案。

1. 防火墙端口配置检查

端口映射错误是UAG连接失败的常见原因之一。UAG需要特定的端口才能与连接服务器正常通信，以下是必须确认的关键端口：

• 外部访问端口：443（HTTPS）、8443（管理控制台）
• 内部通信端口：9000-9001（Blast协议）

典型配置错误场景：

1. 防火墙规则只映射了443端口而遗漏了其他必要端口
2. 目标端口填写错误（如将8443误写为9443）
3. 协议类型选择错误（如UDP代替TCP）

快速验证命令：

# 检查本地端口监听状态 netstat -tuln | grep -E '443|8443|9000|9001' # 测试远程端口连通性 telnet <连接服务器IP> 443 telnet <连接服务器IP> 9001

注意：某些云环境（如AWS、Azure）需要同时配置安全组和实例级防火墙规则

2. 连接服务器地址解析问题

UAG与连接服务器的通信依赖正确的地址解析，常见问题包括：

• 使用FQDN但DNS解析失败
• 内部DNS记录未正确配置
• hosts文件缺少必要条目

排查步骤：

1. 验证基础连接：

   ping <连接服务器FQDN> nslookup <连接服务器FQDN>

2. 对比测试：

   • 尝试用IP地址替代FQDN进行配置
   • 检查UAG服务器上的/etc/hosts文件

3. 网络路径检查：

   traceroute <连接服务器IP> mtr --report <连接服务器IP>

临时解决方案：

# 在UAG服务器上添加hosts记录 echo "<连接服务器IP> <FQDN>" >> /etc/hosts

3. 证书指纹验证问题

证书指纹不匹配会导致UAG无法验证连接服务器的身份。常见错误包括：

• 指纹复制时包含多余空格或换行符
• 使用了错误的哈希算法（如SHA1而非SHA256）
• 证书已更新但指纹未同步

正确获取指纹的方法：

1. 通过浏览器访问连接服务器管理界面
2. 点击地址栏的锁图标 → 查看证书
3. 切换到"详细信息"标签 → 选择"指纹"字段
4. 确保选择SHA256指纹（现代UAG版本的默认要求）

指纹配置示例：

sha256=12:34:56:78:90:AB:CD:EF:12:34:56:78:90:AB:CD:EF:12:34:56:78:90:AB:CD:EF:12:34:56:78:90:AB:CD:EF

提示：指纹中的所有字母必须为大写，冒号分隔符不可省略

4. 连接服务器locked.properties配置

连接服务器上的locked.properties文件控制着关键的安全网关参数，配置不当会导致UAG连接失败。

完整配置流程：

1. 定位配置文件路径：

   C:\Program Files\VMware\VMware View\Server\sslgateway\conf\

2. 文件内容要求：

   checkOrigin=false enableCORS=false proxyEnabled=true proxyHost=<UAG_IP> proxyPort=443

3. 服务重启命令：

   Restart-Service "VMware Horizon View Security Gateway"

验证配置生效：

# 检查服务状态 Get-Service "VMware Horizon View Security Gateway" # 查看最近日志 Get-Content "$env:ProgramFiles\VMware\VMware View\Server\sslgateway\logs\*.log" -Tail 50

5. 日志分析与深度诊断

当上述检查都通过但问题仍然存在时，需要深入分析日志文件。UAG生成多种日志，关键日志位置如下：

关键日志分析命令：

# 实时监控日志更新 tail -f /opt/vmware/gateway/logs/esmanager-std-out.log # 搜索特定错误模式 grep -i "error\|fail\|exception" /opt/vmware/gateway/logs/*.log # 按时间过滤日志 sed -n '/2023-08-15 14:00/,/2023-08-15 15:00/p' esmanager-std-out.log

常见日志错误与解决方案：

1. 证书验证失败：

   SSL handshake failed: no valid certificate chain

   解决方案：重新交换证书或确保证书链完整

2. 连接超时：

   Connection timed out to <IP>:9001

   解决方案：检查防火墙规则和网络路由

3. 协议不匹配：

   Unsupported protocol version: TLSv1.1

   解决方案：更新UAG和连接服务器到支持现代协议的版本

6. 高级网络配置检查

对于复杂网络环境，还需要检查以下高级配置：

网络拓扑验证表：

MTU问题诊断命令：

# 发现路径MTU ping -M do -s 1472 <连接服务器IP> # 测试不同包大小 for i in {1472..100..-8}; do ping -M do -s $i -c 1 <IP>; done

网络性能调优参数：

# 调整TCP缓冲区大小 sysctl -w net.core.rmem_max=4194304 sysctl -w net.core.wmem_max=4194304

7. UAG服务状态管理

掌握UAG服务管理命令对故障恢复至关重要：

服务控制命令集：

# 查看服务状态 systemctl status vmware-gateway # 重启核心服务 systemctl restart vmware-gateway # 启用调试模式（临时） /opt/vmware/gateway/bin/esmanager set-log-level TRACE # 收集支持包 /opt/vmware/gateway/bin/support-bundle-create

服务健康检查项：

1. 验证所有必需服务正在运行：

   ps aux | grep -E 'esmanager|proxy|nginx'

2. 检查资源使用情况：

   top -b -n 1 | grep -E 'gateway|java'

3. 验证网络连接状态：

   ss -tulnp | grep -E '443|8443|9000|9001'