MotionPro 多租户虚拟门户：一套网关服务多个组织

什么是虚拟门户

Array AG 网关支持虚拟门户（Virtual Portal） 功能：一套物理或虚拟 AG 网关实例，可以同时为多个独立的组织（如不同部门、不同子公司、不同客户）提供各自独立的 VPN 接入入口。

每个虚拟门户相当于一个独立的 VPN 入口：

• 有独立的域名（如 vpn1.example.com、vpn2.example.com）或独立的 URL 路径（如 example.com/portal1、example.com/portal2）
• 有独立的认证后端（可以各用各的 AD / LDAP / 本地用户库）
• 有独立的门户资源配置（应用列表、远程桌面池、企业应用商店）
• 有独立的策略（会话时长、认证类型、Host Check）
• 有独立的审计日志

底层共享同一台 AG 网关的硬件资源，但上层完全隔离。

为什么需要虚拟门户

场景 1：大型集团的多子公司

集团总部部署了一套 AG 网关，通过虚拟门户为每个子公司分配独立入口：

• 每个子公司有自己的 VPN 域名
• 各子公司的员工用自己部门的账号体系登录
• 每个子公司的用户只能看到自己公司的门户资源
• 集团 IT 运维一套网关，不用部署多套

场景 2：ASP / 托管服务

某些 ASP（Application Service Provider）或云托管服务商，用一套 AG 网关的多个虚拟门户服务不同客户。类似"VPN 服务的 SaaS 化"。

场景 3：内部按职能隔离

同一个组织内部，按职能部门分配不同虚拟门户：

• vpn-dev.example.com → 研发部门门户
• vpn-fin.example.com → 财务部门门户
• vpn-hr.example.com → HR 部门门户

各门户的认证后端、策略、资源列表完全独立。

MotionPro 客户端与虚拟门户

对于 MotionPro 用户来说，虚拟门户是完全透明的：

• 你只需要知道组织 IT 给你的那个网关地址（vpn-dev.example.com），在 MotionPro 里填进去就行
• MotionPro 客户端本身不区分"这是哪个虚拟门户"——它只连接你填的那个地址
• 门户页面上看到的资源完全由后端策略引擎决定（见策略引擎章节）
• 不同虚拟门户之间互不干扰——一个用户同时属于两个门户的情况需要 IT 分别为每个门户配置独立的账号

多个虚拟门户 + 一个用户

如果一个用户同时被授权使用多个虚拟门户：

• 在 MotionPro 里为每个虚拟门户分别添加一个网关配置条目
• 同一时刻只能连接其中一个（MotionPro 不支持同时连接多个网关）
• 切换时需要先断开当前的，再连接另一个

虚拟门户的技术实现

根据 Array 官方规格表：

• AG 网关最多支持 256 个虚拟门户
• 标准版包含 5 个虚拟门户，超出部分需要单独购买授权
• 虚拟门户可以绑定独立的 SSL 证书（每个门户用自己域名的证书）
• 虚拟门户之间的路由表可以隔离，也可以配置为互通（视策略而定）

与 DNS 的关系

虚拟门户的域名需要 IT 部门在 DNS 服务器上正确解析：

• 每个虚拟门户域名（如 vpn-dev.example.com）都需要解析到 AG 网关的 IP
• AG 网关根据请求的 Host 头来识别这是哪个虚拟门户的请求，返回对应的门户页面和策略

这和"多租户"云服务的域名路由模式完全一致。

对普通用户意味着什么

• 你不需要关心"虚拟门户"这个概念——只要用 IT 给的域名和账号登录就行
• 如果换部门了，可能需要换一个网关地址（新部门的虚拟门户域名）
• 如果你有多个部门的 VPN 权限，在 MotionPro 里分别添加每个部门的网关配置，切换使用