Resumen técnico: Resiliencia de Citrix Cloud

Introducción

En la actualidad, las iniciativas de transformación digital son lo más importante para una gran parte de las empresas. Mover la infraestructura de entrega de aplicaciones y escritorios a la nube es una de las principales consideraciones de los directores de informática. Los proveedores de nube están trayendo soluciones solo en la nube o recursos basados en la nube combinados con precios atractivos, con el beneficio adicional de operaciones simplificadas y menores costes de administración. Algunas de las primeras cosas que deben evaluarse para los departamentos de TI, al considerar un cambio a la nube, son el tiempo de actividad y la tolerancia a fallos de la solución basada en la nube propuesta. Esta consideración se aplica igualmente a un cliente potencial o existente de Citrix, que desee utilizar Citrix Cloud como solución de Workspace.

Este resumen está diseñado para abordar:

1. Estas consideraciones de fiabilidad y exponen las diversas formas en que Citrix está trabajando para hacer que Citrix Cloud y los servicios ofrecidos sean cada vez más resistentes a los fallos.
2. Cómo se implementa Citrix Cloud de manera que, en el raro caso de un servicio (s) inaccesible (s), el usuario final sigue teniendo acceso a recursos que no se ven afectados por la falta de disponibilidad de los servicios.
3. Cómo utiliza Citrix Cloud las tecnologías expuestas por los proveedores de nube, en las que los servicios de Citrix Cloud se ejecutan para que los servicios estén altamente disponibles y sean tolerantes a fallos.

Lo importante a tener en cuenta es que todos los elementos cubiertos en el documento trabajan juntos como una solución combinada para formar varias capas de una red que protege a la organización de una interrupción y permite el acceso durante una.

Alta disponibilidad

En primer lugar, veamos las mejoras que se están realizando en los servicios en la nube y la infraestructura subyacente para garantizar que los servicios no fallen. Esta resiliencia se logra mediante la creación de servicios de alta disponibilidad, que se pueden ampliar fácilmente para satisfacer la demanda de los clientes.

La utilización de las zonas de disponibilidad de Azure garantiza que el agente y las bases de datos asociadas sean resistentes a una interrupción de la nube.

Modelo de implementación de nodos geográficos y alta disponibilidad de plataforma

Los servicios en la nube ofrecidos por Citrix se basan en varias plataformas que funcionan juntas para proporcionar a los usuarios acceso a Workspace y a los recursos disponibles desde él. La arquitectura de cada una de estas plataformas se está mejorando continuamente para ser altamente disponible y tolerante a fallos. Se ha tomado una decisión de diseño para que las plataformas se implementen en función del patrón de geoda de Azure. Cada una de las plataformas se encuentra en diferentes etapas del viaje para adoptar este patrón.

En un patrón de nodo geográfico, las plataformas se distribuyen en múltiples implementaciones en diferentes nodos que son globalmente diversos y utilizan la replicación del almacenamiento de información en otras implementaciones. Dentro de cada geoda, los servicios de plataforma totalmente autónomos se implementan en diferentes dominios de error de Azure. La mayoría de los servicios críticos pueden conmutar por error entre estas implementaciones.

Incluso si no se puede acceder a una región completa de Azure, los servicios de plataforma podrían atender solicitudes de otra geoda de una región diferente. Para las organizaciones que tienen requisitos normativos relativos a la soberanía de los datos, las plataformas se implementan de manera que los servidores se implementen dentro de la ubicación geográfica requerida. Las organizaciones pueden elegir entre diferentes instancias de Citrix Cloud para garantizar sus necesidades de soberanía de datos.

Citrix DaaS

Para Citrix DaaS, hay muchas funciones diferentes implementadas para que sea resistente y tolerante a fallas. Algunas de las funciones son:

Protocolo Rendezvous

Para garantizar una mayor escalabilidad de Citrix Cloud Connectors, el protocolo HDX se modificó en la versión 1912 de CVAD. El protocolo Rendezvous permite que las sesiones HDX omitan Citrix Cloud Connector y se conecten de forma directa y segura al servicio NetScaler Gateway. Al pasar por alto el tráfico HDX, libera ancho de banda y recursos informáticos en Cloud Connector. Habilitar Connector para gestionar más solicitudes de conexión y aumentar el número de recursos que un Cloud Connector puede administrar.

Obtenga más información sobre el Protocolo Rendezvous y cómo habilitarlo a través de directivas aquí.

Continuidad del servicio

Después de haber visto las diferentes formas en que Citrix aumenta los límites de escala admitidos para hacer que su implementación en la nube sea resistente, permítanos centrarnos en cómo Citrix garantiza que, en un caso poco probable de una falla o interrupción del servicio en la nube, el usuario pueda seguir accediendo a sus recursos desde varios ubicaciones de recursos. Con el objetivo de poner los recursos disponibles incluso cuando los servicios de Citrix Cloud no son accesibles, los equipos de Citrix han implementado muchas mejoras, desde cero, bajo el paraguas de Continuidad del servicio.

El conjunto de funcionalidades implementadas en Continuidad del servicio incluye, entre otras, las siguientes:

1. Mecanismo para crear y distribuir concesiones de conexión de Workspace a cada extremo cliente, que al menos se ha autenticado una vez en el espacio de trabajo. Los archivos de concesión de conexión de Workspace indican a ese extremo (por usuario) qué aplicaciones y recursos de escritorio están disponibles desde qué ubicaciones administradas por el Cloud Connector. Esencialmente eliminando la limitación de ubicación de recursos únicos.

2. Implementación de la aplicación web progresiva (PWA) dentro de la aplicación Citrix Workspace que puede detectar cuándo no se puede acceder a ciertos servicios y en función de eso muestran al usuario qué recursos están disponibles actualmente. Muestra un banner para que el usuario sepa que también ha habido una pérdida en la conectividad.

3. La presencia cada vez mayor de puntos de presencia (PoP) globales de NetScaler Gateway, con alta disponibilidad integrada y presencia multinube, garantiza que el usuario siempre pueda llegar al servicio NetScaler Gateway.

Antes de profundizar en el funcionamiento de estas soluciones, veamos cómo afectan los diferentes escenarios a la disponibilidad del servicio de Citrix Cloud y qué recursos están disponibles o no, cuando se produzca dicho caso.

1. URL del espacio de trabajo/ Cloud.com almacenar

   Con Continuidad del servicio, cuando el usuario no puede llegar a la URL de Workspace, un banner situado encima de la aplicación Workspace informa al usuario de que un subconjunto de los recursos no está disponible. La aplicación Citrix Workspace modifica los iconos de recursos para distinguir fácilmente los recursos que aún están disponibles.

2. Solo Citrix DaaS/Broker Service

   En este escenario, solo el DaaS o Broker Service está sufriendo una interrupción, el usuario seguiría teniendo acceso a las aplicaciones web y SaaS, además de a los recursos de aplicaciones y escritorios virtuales. La interfaz de usuario de la aplicación Workspace (con la tecnología de PWA) agrega todos los recursos de las fuentes de servicio y se basa en las concesiones de conexión de Workspace solo para las aplicaciones Citrix DaaS (consulte el diagrama de caché dentro de la aplicación por fuente).

   

   Citrix Cloud Connectors ahora asume todas las responsabilidades de intermediación para la ubicación de recursos: se activan los nuevos registros de VDA en el Cloud Connector principal. Cloud Connector también gestiona la gestión de la carga y otras operaciones. Obtenga más información sobre la administración de energía de los VDA durante las interrupciones aquí.

3. Servicio de identidad

   En el caso en que no se pueda acceder al servicio de identidad, el usuario seguiría teniendo acceso a todos los recursos de Citrix DaaS a los que se puede acceder desde Cloud Connectors. Las concesiones de conexión (explicadas un poco más adelante) contienen los tokens de autorización para los recursos y el usuario. El VDA pedirá al usuario que se autentique e inicie sesión en el escritorio o la aplicación (a menos que la máquina esté compartiendo una sesión para el mismo usuario y ya esté autenticado desde un lanzamiento basado en la concesión de conexión anterior).

4. Internet: (Solo se puede acceder a los recursos internos si hay conectividad)

   En el caso en el que los extremos del cliente no pueden llegar a Internet, pero aún tienen conectividad de red con Cloud Connectors y VDA (en la red interna). Todas las aplicaciones virtuales y los recursos de escritorio accesibles en la red interna están disponibles durante la pérdida de acceso a Internet.

5. Servicio de puerta de enlace o acceso privado seguro: conmutación por error a un PoP diferente

   NetScaler Gateway Service está diseñado para estar altamente disponible con múltiples instancias del servicio, implementadas en múltiples puntos de presencia (PoP) en varias ubicaciones del mundo. Además, el servicio está alojado en diferentes proveedores de nube. Encuentre la lista de PoP aquí.

Aplicación web progresiva

Una aplicación web progresiva se diferencia de una aplicación web normal porque incluye el procesamiento en segundo plano de los elementos almacenados en caché que se mostrarán en caso de que un servidor web sea inaccesible, utilizando la memoria caché para rellenar la interfaz de usuario de la aplicación. Para la continuidad del servicio, la aplicación web progresiva se comporta de la misma manera cuando no se puede acceder al servicio Workspace o no puede devolver la lista de recursos asignados al usuario.

La aplicación Citrix Workspace utiliza el nuevo CLXMTP (Connection Lease Exchange & Mutual Trust Protocol) para comunicarse con Cloud Connector o Gateway Service. Para los usuarios internos, se ejecuta en el puerto TCP 2598 de Citrix Common Gateway Protocol (CGP) y para usuarios externos en el puerto CGS TCP 443. Todo este proceso es transparente para el usuario.

Cambios en la experiencia del usuario

Una vez habilitada la continuidad del servicio, cuando la aplicación Citrix Workspace intente conectarse a Workspace y no pueda acceder al almacén. Siempre que el usuario tenga concesiones de conexión válidas, presentamos compatibilidad con la interfaz de usuario de autenticación cancelable y recurrir a activos en la caché de la aplicación nativa Workspace.

Se muestra un banner para que el usuario sepa que ha habido una pérdida en la conectividad. Los recursos se muestran desde la caché. Dependiendo del impacto, (como se discutió en la sección anterior) de forma dinámica muestra en gris los recursos que actualmente no son accesibles.

La lista de recursos accesibles se obtiene de la concesión de conexión (discutida en la siguiente sección) almacenada en el dispositivo de punto final.

Una vez restablecida la conectividad, la aplicación Workspace ofrece al usuario la posibilidad de volver a conectarse al espacio de trabajo. El usuario puede hacer clic en el vínculo “Volver a conectar al espacio de trabajo” en el banner para restaurar el acceso a los recursos que anteriormente estaban atenuados.

Para que el usuario pueda tener acceso a los recursos, cuando el servicio de identidad de Workspace no es accesible para la autenticación, la concesión de conexión se comporta como un token de autorización de larga duración. El usuario debe autenticarse con el recurso cuando se inicie para obtener acceso a las aplicaciones o escritorios, mediante sus credenciales AD o su PIN de tarjeta inteligente.

Si la aplicación Citrix Workspace y el VDA se unen al mismo dominio y el complemento de paso a través de SSO está configurado en la aplicación Workspace, se logra el SSO. También se admite el uso compartido de sesiones, por lo que si una aplicación posterior se inicia a través de la concesión de conexión de Workspace desde el mismo VDA donde el usuario tiene una sesión existente también iniciada a través de Workspace Connection Lease, se logrará el inicio de sesión inicial.

Arrendamientos de conexión de espacio de trabajo y cómo funcionan

Cuando se puede acceder a todos los servicios, se genera un .ICA archivo que permite al cliente conectarse a la aplicación o al escritorio proporcionando un tíquet de acceso de corta duración única. Este tíquet contiene información del recurso al que se conectaría el usuario. Workspace genera el archivo .ICA, recuperando la lista de recursos asignados al usuario (también conocido como enumeración) y, a continuación, identificando qué VDA puede alojar la sesión (también conocido como resolución).

En el caso de que no se pueda acceder a cualquiera de los servicios requeridos, el archivo .ICA no se puede generar. Para superar este requisito por inicio/reconexión, se diseñó la concesión de conexión de Workspace.

Una concesión de conexión de Workspace de forma predeterminada es válida durante 7 días (configurable de 1 a 30 días). Es un token de autorización de larga duración para TODOS los recursos a los que está asignado el usuario. Contiene una lista de Cloud Connectors que se pueden utilizar para llegar a los recursos (ya sea directamente o a través de NetScaler Gateway Service). En caso de que CGS esté involucrado, la concesión de conexión de Workspace también contiene una dirección global de FQDN de NetScaler Gateway Service que se puede utilizar para conectarse a los recursos.

Una concesión de conexión de Workspace es un conjunto de tokens por usuario, por dispositivo de punto final que contiene una caché de todos los recursos a los que el usuario tiene derecho. Contienen información de NetScaler Gateway Service y todos los Cloud Connectors que pueden dar servicio a la solicitud de conexión. Dado que la concesión de conexión está vinculada al usuario y al extremo, no se puede copiar en otro dispositivo y utilizarse para iniciar sesiones.

Para crear concesiones de conexión de Workspace, el usuario debe iniciar sesión al menos una vez en Citrix Workspace mediante la aplicación Citrix Workspace de forma nativa (y no a través de exploradores). Uno en el que el usuario inicia sesión, el Servicio de emisión de arrendamiento de conexión (CLIS) de Citrix Cloud recibe una solicitud para generar las concesiones para la combinación de usuario y dispositivo de punto final. El servicio de emisión de arrendamiento de conexión pone en cola esta solicitud y la reenviará al agente de nube (para no sobrecargarla). Dado que la concesión de conexión contiene todas las combinaciones de Cloud Connectors y recursos que pueden dar servicio a la solicitud de sesión de un usuario, este proceso se realiza de forma asíncrona y una vez generadas las concesiones, se insertan en el extremo. Este proceso puede tardar hasta 10 minutos dependiendo de la carga en el intermediario.

La concesión de conexión de Workspace se compone de tres archivos concatenados cifrados y firmados por Citrix Cloud y almacenados de forma segura en el dispositivo de punto final. Los tres archivos son Metadatos, Parámetros comunes y Ubicación de recursos. En un extremo de Windows, se almacenan en la carpeta AppData\ Local de cada usuario. La ruta es %LOCALAPPDATA%\Citrix\SelfService\ConnectionLeases\<StoreName>\<SiteName>\<username>\leases

Como se ve en la siguiente imagen, el usuario tiene derecho a 6 recursos y por lo tanto hay 18 archivos, en la carpeta.

Los arrendamientos de conexión son a prueba de manipulaciones. Un mal actor sería incapaz de modificar el contrato de arrendamiento, por decir, extender la duración del contrato de arrendamiento. En cuanto se detecta cualquier alteración, se invalida el hash de concesión de conexión. El administrador de TI puede bloquear la concesión de conexión mediante el SDK de PowerShell remoto de Citrix DaaS, en situaciones como una cuenta de usuario cerrada o comprometida, un endpoint robado o una desasignación de dispositivos. Lea acerca de cómo aplicar estas directivas aquí.

El siguiente es el diagrama de proceso para la creación de las concesiones de conexión, cuando el usuario se autentica por primera vez desde un punto final e inicia una sesión.

El siguiente es el proceso que se produce en el caso en el que no se puede acceder a algunos de los servicios de Citrix Cloud desde la aplicación Workspace.

Para habilitar un subconjunto más grande de la base de clientes actual, con versiones de VDA tan atrás como Citrix Virtual Apps and Desktops 7.15 LTSR, Cloud Connector with Local Host Cache (LHC) se utiliza cuando no se puede acceder al agente de nube. De lo contrario, los cambios para habilitar la continuidad del servicio habrían requerido la actualización de los agentes VDA. Para obtener más información, lea el resumen técnico del LHC.

Nota: En el caso en el que se puede acceder al servicio Citrix Cloud Broker (independientemente de si el almacén de Workspace es accesible o no), Cloud Connector siempre confía en Broker Service para la intermediación.

El proceso es el mismo cuando la ubicación de recursos se configura como “Solo interno”, excepto en este caso, la aplicación Workspace habla directamente con el conector de nube en la ubicación de recursos donde está alojada la aplicación deseada.

Nota: Incluso con la presencia de concesiones de conexión, el mecanismo predeterminado para iniciar recursos es intentar obtener un .ICA archivo. Cuando esto no es posible, la aplicación Citrix Workspace vuelve a depender de la concesión de conexión de Workspace, de forma transparente y silenciosa para el usuario.

Las concesiones de conexión de Workspace se borran del sistema cuando un usuario cierra sesión en la aplicación Workspace. Las concesiones de conexión de Workspace se conservan si el usuario sale de la aplicación Citrix Workspace.

El administrador de TI puede modificar este comportamiento mediante comandos remotos de PowerShell contra su instancia de broker en la nube.

Requisitos del sistema

Para obtener una lista de los requisitos actuales, visita la página de documentos.

• El cliente usa Citrix DaaS y Workspace Experience.

• Se debe acceder a la interfaz de usuario de Workspace solo a través de la aplicación Citrix Workspace nativa para Windows 2106 y Mac 2106 o posterior, y no a través de exploradores (también conocida como aplicación Workspace para Web)

• Citrix Virtual Delivery Agent (VDA) versión 1912 y superior, LTSR o uno de los CRs actuales

• Cloud Connector actualizado. Dado que la continuidad del servicio se basa en la funcionalidad de caché de host local (pero sin necesidad de ninguna capa de acceso en las instalaciones), se recomienda dimensionar los conectores con el mismo tamaño que recomendamos para LHC. Consulte las consideraciones sobre la escala y el tamaño del LHC para obtener más información.

• Identidad de espacio de trabajo: AD (o con sincronización de Azure AD Connect); token de AD + (OTP); AD + RADIUS, Azure AD; NetScaler Gateway en las instalaciones donde la notificación principal se basa en la autenticación basada en AD. La autenticación basada en directivas no es compatible con Continuidad del servicio y son mutuamente excluyentes.

• Los agentes VDA del cliente están en línea: no se ven afectados por una interrupción de AWS/Azure/DC o apagados por Autoscale. Advertencia: Si la ubicación de recursos utiliza Citrix Hypervisor o vSphere, Cloud Connector puede realizar acciones de administración de energía incluso si el agente de la nube está desconectado.

• Cargas de trabajo admitidas: aplicaciones o escritorios compartidos alojados, escritorios estáticos/dedicados, escritorios aleatorios/agrupados, acceso con Remote PC

• Conectividad de red de nivel 3 entre el dispositivo de punto final con CWA y Connector y VDA ejecutando el recurso, ya sea a través de

  • Directo (LAN) (en este caso, el conector y el VDA deben ser accesibles a través de TCP 2598)

  • NetScaler Gateway Service (TCP 443)

El procedimiento para configurar la continuidad del servicio se encuentra aquí.

Supervisar las mejoras de escalabilidad

El mantenimiento del día 2 y en adelante de un entorno Citrix DaaS depende de la capacidad de los administradores para administrar fácilmente el entorno y resolver los problemas de los usuarios de forma rápida y eficaz. Para garantizar que Supervisar ofrezca servicios a grandes organizaciones, socios y revendedores, que crean soluciones basadas en Citrix DaaS que admiten grandes implementaciones de varios arrendatarios, Monitor incluyó estas funciones para ser más resistente.

1. Réplicas de lectura que se utilizan para aumentar el rendimiento

   Director ha implementado mecanismos tales que la mayoría de las consultas de lectura a la base de datos se redirigen a réplicas de lectura de las bases de datos. Una réplica de lectura es una copia de solo lectura de la base de datos. Esto permite que las operaciones de escritura se completen mucho más rápido en la base de datos de origen, aumentando su escala y resiliencia.

2. Implementación de bases de datos siguiendo las

   Dividir la base de datos del sitio y el registro de configuraciones y bases de datos de Supervisar, admite un mayor número de consultas y escalado automático de la base de datos.

3. Rol de administrador de sesión presentado

   Para implementaciones más grandes, Citrix DaaS ofrece el rol de administrador de sesiones. Este rol proporciona permisos en Supervisar típicos de la función de asistencia técnica de nivel 1. Con el rol de administrador de sesión, la misma instancia de Citrix DaaS ofrece una tasa de simultaneidad más alta para los administradores de la asistencia técnica.

4. Aumento del número de administradores admitidos

   Las grandes organizaciones y distribuidores también requieren un mayor número de administradores que puedan administrar sus amplias implementaciones. Esto requiere que la base de datos escale y gestione un mayor número de consultas simultáneas. Se ha aumentado el número de administradores admitidos para dar soporte a estos clientes.

NetScaler Gateway Service

NetScaler Gateway Service está diseñado para estar altamente disponible con múltiples instancias del servicio, implementadas en múltiples puntos de presencia (PoP) en varias ubicaciones del mundo. Además, el servicio está alojado en diferentes proveedores de nube. Encuentre la lista de PoP aquí.

Dentro de un PoP de NetScaler Gateway Service, los microservicios y los arrendatarios se implementan en un modelo activo-activo totalmente redundante. Esta funcionalidad permite que cualquier componente cambie al modo de espera si hay una falla. Solo en casos raros, si fallan todos los servicios de un componente dentro de un PoP, Gateway Service se marca como inactivo.

Citrix utiliza Intelligent Traffic Manager para supervisar el estado de PoP y utiliza automáticamente DNS para cambiar el tráfico a un PoP alternativo si es necesario.

Combinado con la resistencia de Gateway Service, la continuidad del servicio permite el acceso a aplicaciones virtuales y recursos de escritorios, siempre y cuando los clientes puedan llegar al servicio Gateway y/o a la ubicación de recursos.