Die Authentifizierung beim VMware Horizon Client-Verbindungsserver ist fehlgeschlagen.

Ein Authentifizierungsfehler beim VMware Horizon Client unterbricht die Verbindungen - insbesondere beim Einloggen aus externen Netzwerken. In der Regel ist dies ein Zeichen dafür, dass die Überprüfung des SSL/TLS-Zertifikats fehlgeschlagen ist oder es zu Sicherheitskonflikten auf Netzwerkebene zwischen dem Client und dem Verbindungsserver kommt. In diesem Beitrag erfahren Sie, was zu tun ist, wenn die Authentifizierung am VMware Horizon Client-Verbindungsserver fehlgeschlagen ist.

Die Authentifizierung beim Verbindungsserver ist fehlgeschlagen. Der Tunnelserver hat ein Zertifikat vorgelegt, das nicht dem erwarteten Zertifikat entspricht. Kontaktieren Sie Ihren Administrator.

Die Authentifizierung am Verbindungsserver ist fehlgeschlagen. Der Tunnelserver hat ein Zertifikat vorgelegt, das nicht dem erwarteten Zertifikat entspricht.

Dieses Authentifizierungsproblem tritt auf, wenn es während des TLS-Handshakes zwischen Ihrem Horizon-Client und dem Verbindungsserver zu Problemen kommt. Der Hauptgrund dafür ist eine Unterbrechung der Vertrauenskette für SSL-Zertifikate. Dies geschieht häufig, wenn ein Netzwerk-Proxy, eine Firewall oder Sicherheitssoftware (wie z. B. ein Cloud SWG Agent) Ihren Datenverkehr abfängt und durch ein eigenes Zertifikat ersetzt. Dadurch lehnt der Client die Verbindung aufgrund seiner Funktion zur Zertifikatspinning ab. Weitere häufige Gründe sind ein Server-Zertifikat, dem das Betriebssystem des Clients nicht vertraut, eine veraltete oder nicht kompatible TLS-Protokollversion sowie das Nichtherunterladen der Zertifikatsperrliste (CRL). Dieses Problem kann dazu führen, dass der Authentifizierungsprozess hängen bleibt und letztendlich fehlschlägt.

Falls die Server-Authentifizierung des VMware Horizon Clients fehlgeschlagen ist, befolgen Sie die unten aufgeführten Lösungen.

1. Konfigurieren Sie eine SSL-Umgehung für die Horizon-Domain in Ihrem Proxy
2. Bypass-Proxy-Tools
3. Importieren Sie die Root-Zertifikate des Verbindungsservers als vertrauenswürdig.
4. Passen Sie das Sicherheitsprotokoll des Clients an den Server an.

Lassen Sie uns ausführlich über sie sprechen.

1. Konfigurieren Sie eine SSL-Umgehung für die Horizon-Domäne in Ihrem Proxy.

Der VMware Horizon Client verwendet eine strenge Sicherheitsmaßnahme namens Zertifikat-Pinning, bei der das exakte Zertifikat des Verbindungsservers erwartet wird. Wenn ein Proxy oder ein WSS-Agent den SSL-Datenverkehr abfängt und entschlüsselt, ersetzt er dieses Zertifikat durch sein eigenes Proxy-Zertifikat - wodurch der Client die Verbindung ablehnt. Durch das Hinzufügen der Horizon-Domain zur Liste der Ausnahmen für SSL-Verkehr verhindern Sie, dass der Proxy diesen Datenverkehr überprüft. Dadurch kann das ursprüngliche, unveränderte Zertifikat den Client erreichen und den vertrauenswürdigen Verbindungsaufbau ermöglichen.

Zuerst ermitteln Sie den vollqualifizierten Domänennamen (FQDN) oder die statische IP-Adresse Ihrer VMware Horizon-Umgebung (z. B. https://horizon.yourcompany.com).

Fügen Sie diese exakte Domain oder IP-Adresse zur Liste SSL-Bypass bzw. Ausschluss von Entschlüsselung in den Einstellungen Ihres Proxy-Servers oder WSS-Agents hinzu.

2. Bypass-Proxy-Tools

Falls es zu Konflikten aufgrund von lokalen Debugging-Tools kommt, behebt das Umgehen des Proxy-Tools das Problem. Es fungiert als Man-in-the-Middle (MITM), entschlüsselt den verschlüsselten Datenverkehr und verhindert dadurch, dass der TLS 1.2-Sicherheitsmechanismus des Clients aufgrund fehlender Client-Zertifikate funktioniert. Um dasselbe zu erreichen, befolgen Sie die unten aufgeführten Schritte.

1. Gehen Sie zu Fiddler und navigieren Sie zu Tools > Options > HTTPS.
2. Gehen Sie nun zu Entschlüsselung für die folgenden Hosts überspringen.
3. Fügen Sie anschließend &.vmware.com sowie die Adresse Ihres spezifischen Horizon-Servers zu dieser Liste hinzu.

Versuchen Sie abschließend, eine Verbindung zu Ihrer VDI herzustellen - und schauen Sie, ob das hilft.

3. Importieren Sie das Root-Zertifikat des Verbindungsservers als vertrauenswürdig.

Der Horizon Client verwendet den Windows-Zertifikatspeicher, um das SSL-Zertifikat des Verbindungsservers zu überprüfen. Falls der Server ein Zertifikat einer internen oder privaten Zertifizierungsstelle besitzt, das nicht im Speicher Vertrauenswürdige Root-Zertifizierungsstellen des Clients vorhanden ist, kann der Client die Vertrauenswürdigkeit des Zertifikats nicht bestätigen. Dies führt zu einem Authentifizierungsfehler, da der Client eine potenzielle Man-in-the-Middle-Attacke befürchtet. Um dies zu beheben, können Sie das Root-Zertifikat der Zertifizierungsstelle manuell zum vertrauenswürdigen Speicher hinzufügen. Dadurch wird Windows sowie dem Horizon Client signalisiert, dass alle von dieser Zertifizierungsstelle ausgestellten Zertifikate vertrauenswürdig sind - wodurch der sichere TLS-Handshake erfolgreich abgeschlossen werden kann.

Folgen Sie den unten aufgeführten Schritten, um dasselbe zu tun.

• Erhalten Sie die Root-CA-Zertifikatdatei (.crt oder .pem) von Ihrem Horizon-Administrator.
• Drücken Sie Windows + R, geben Sie certlm.msc ein und drücken Sie Enter, um den Zertifikat-Manager für den lokalen Computer zu öffnen.
• Im linken Bereich erweitern Sie Vertrauenswürdige Root-Zertifizierungsstellen, klicken Sie anschließend mit der rechten Maustaste auf Zertifikate.
• Wählen Sie Alle Aufgaben > Importieren, um den Assistenten zum Importieren von Zertifikaten zu starten.
• Klicken Sie auf „Weiter“, navigieren Sie anschließend zum heruntergeladenen Root-CA-Zertifikat und wählen Sie es aus.
• Klicken Sie auf „Weiter“ und stellen Sie sicher, dass bei Alle Zertifikate in den folgenden Speicher platzieren die Option Vertrauenswürdige Root-Zertifizierungsstellen ausgewählt ist.
• Klicken Sie auf „Weiter“ und anschließend auf „Abschließen“.

Neustarten Sie den Horizon-Client und versuchen Sie, erneut eine Verbindung herzustellen.

4. Passen Sie das Sicherheitsprotokoll des Clients an den Server an.

Falls Ihr Horizon-Client versucht, ein modernes TLS-Protokoll (wie TLS 1.3) zu verwenden, das vom Verbindungsserver nicht unterstützt wird, schlägt der Handshake aufgrund einer Unstimmigkeit bezüglich der TLS/SSL-Protokollversion oder der Cipher-Suite fehl.

Im Gruppenrichtlinien-Editor navigieren Sie zu Computerkonfiguration > Richtlinien > Administrative Vorlagen > VMware Horizon Client-Konfiguration > Sicherheitseinstellungen. Öffnen Sie die Richtlinie SSL/TLS-Protokolle, setzen Sie sie auf Aktiviert und stellen Sie sicher, dass nur die von Ihrem Verbindungsserver unterstützten Protokolle (z. B. TLS 1.2) ausgewählt sind. Wenden Sie die Gruppenrichtlinie anschließend an.

Das war’s!

Wie behebt man Probleme mit dem Omnissa Horizon Client?

Zuerst löschen Sie den Client-Cache, indem Sie %AppData%\Omnissa\Horizon Client sowie %LocalAppData%\Omnissa\Horizon Client entfernen. Anschließend installieren Sie die neueste Version des Clients von der offiziellen Omnissa-Webseite erneut. Sollten Verbindungsprobleme weiterhin bestehen, deaktivieren Sie IPv6 an Ihrem Netzwerkadapter oder wechseln Sie zu einer kabelgebundenen Verbindung. Bei SSL-Fehlern importieren Sie das Root-CA-Zertifikat über certlm.msc in die „Vertrauenswürdigen Root-Zertifizierungsstellen“. Stellen Sie abschließend sicher, dass Ihre Firewall die Ports 443 und 8443 zum Verbindungsserver zulässt.

Was tun, wenn die Server-Authentifizierung fehlgeschlagen ist?

Fügen Sie den FQDN Ihres Verbindungsservers zur Liste der Ausnahmen für SSL-Prüfungen in Ihrem Proxy oder WSS-Agenten hinzu, um die Abfangung von Zertifikaten zu verhindern. Importieren Sie das Root-CA-Zertifikat des Servers als vertrauenswürdig auf Ihrem lokalen Rechner. Erzwingen Sie außerdem, dass der Client CRL-Prüfungen überspringt, indem Sie den Registry-Eintrag vmware.view.skip-crl-revocation-check setzen. Passen Sie die unterstützten TLS-Versionen in der Gruppenrichtlinie an: Aktivieren Sie nur TLS 1.2. Zur vorübergehenden Diagnose können Sie in den Client-Einstellungen die Zertifikatsüberprüfung auf „Keine Überprüfung“ herabsetzen.