Remote PC Access 设计决策

概述

远程 PC Access 是允许用户访问基于办公室的物理 Windows PC 的简单而有效的方法。使用任何终端设备,用户无论其位置如何,都可以保持高效。但是,组织在实施 Remote PC Access 时希望考虑以下几点。

部署方案

将 PC 连接到用户有多种方法,每种方法都适用于不同的场景。

办公室人员

在许多部署中,Remote PC Access 部署在办公室工作人员场景中,即将一个用户永久分配到一台 PC。

办公室人员

这是最常见的部署场景。要实现此用例,管理员可以使用 Remote PC Access 计算机目录类型。

办公室人员

计算实验室

在某些情况下,用户需要共享一组计算资源,这些资源通常在学校、学院和大学的计算实验室中找到。用户被随机分配到可用的物理 PC。

计算实验室用户

此类配置使用非托管、随机分配的单会话操作系统,配置如下:

  • 在计算机目录设置向导中,使用 单会话操作系统

办公室人员

  • 选择 未进行电源管理的计算机
  • 选择 其他服务或技术

办公室人员

  • 选择 我希望用户每次登录时都能连接到新的(随机)桌面。

办公室人员

因为计算实验室中的用户通常比 PC 多,因此建议使用限制会话时间的策略

身份验证

用户继续使用其 Active Directory 凭据向基于办公室的 PC 进行身份验证。但是,由于组织从办公场所外部通过互联网访问,所以组织通常要求的身份验证级别不仅仅是用户名和密码。

Citrix Workspace 支持选择不同的身份验证选项,包括 Active Directory + 令牌和 Azure Active Directory。 当前支持的验证选项

如果将 Citrix Gateway 配置为 Citrix Workspace 的身份验证选项,或者客户选择使用 Citrix Gateway + Citrix StoreFront 作为 Citrix Workspace 的替代方案,则更广泛的选择 Citrix Gateway 验证选项 将变为可用。

其中一些选项(例如基于时间的一次性密码)要求用户初始注册新令牌。由于令牌注册要求用户访问其电子邮件以验证其身份,因此可能需要在用户尝试远程工作之前完成注册。

会话安全

用户可以使用不受信任的个人设备远程访问他们的工作电脑。组织可以使用集成的 Citrix Virtual Apps and Desktops 策略来防范:

  • 端点风险:秘密安装在终端设备上的键记录器可以轻松捕获用户名和密码。反键盘记录功能 通过混淆击键来保护组织免受盗窃的凭据。
  • 入站风险:不受信任的终端节点可能包含恶意软件、间谍软件和其他危险内容。拒绝访问终端设备的驱动器会阻止将危险内容传输到公司网络。
  • 出站风险:组织必须保持对内容的控制。允许用户将内容复制到本地、不受信任的终端设备会给组织带来额外的风险。通过阻止访问终端的驱动器、打印机、剪贴板和防屏幕捕获策略,可以拒绝这些功能。

基础架构调

注意: 以下尺寸建议是一个很好的起点,但每个环境都是独一无二的,结果独特。适当监控基础架构和规模。

随着用户正在访问现有办公室 PC,支持添加 Remote PC Access 所需的额外基础架构极少,但是,必须正确调整控制层和接入层基础架构的大小和监控,以确保它们不会成为瓶颈。

控制层

每台 Office PC 上的虚拟交付代理 (VDA) 必须向 Citrix Virtual Apps and Desktops 注册。对于本地部署,VDA 注册直接通过 Delivery Controller 进行,对于 Citrix Cloud 中的 Citrix Virtual Apps 程序和桌面服务,此注册通过 Citrix Cloud Connector 进行。

远程 PC 访问工作负载的交付控制器或云连接器的大小类似于 VDI 工作负载。Citrix 咨询建议至少提供 N+1 个可用性。此处提供 Cloud Connector 扩展指南,包括可能需要本地主机缓存的条件

访问层

当用户与办公室 PC 建立 HDX 会话时,ICA 流量需要代理到 VDA。ICA 代理可以通过 Citrix Gateway 设备或 CitCitrix Gateway 服务提供。

使用本地 Citrix ADC for Citrix Gateway 时,请参阅特定型号的数据表,并将 SSL VPN/ICA 代理并发用户行 项目作为起点。如果 ADC 正在处理其他工作负载,请验证当前吞吐量和 CPU 使用率是否未接近任何上限。

确保网关设备所在的地方有足够的可用 Internet 带宽来支持预期的并发 ICA 会话。

使用 Citrix Cloud 的网关服务时,ICA 流量在资源位置(VDA 和云连接器所在的位置)之间直接流向网关服务。如果能够满足使用汇合协议的条件,流量可以由云连接器代理(默认),或者可以直接从 VDA 流动,绕过云连接器。

当使用云连接器将 ICA 流量代理到网关服务时,这可能是一个瓶颈,建议仔细监控 Cloud Connector 虚拟机上的 CPU 和内存。对于初步规划,估计 4 vCPU Citrix Cloud Connector 虚拟机最多可处理 1000 个并发 ICA 代理会话。 Rendezvous 协议(配置后)使安装在每台物理 PC 上的虚拟交付代理能够直接与网关服务通信,而不是通过 Cloud Connector 通过隧道进行会话。

使用网关服务时,Citrix 建议使用汇合协议来缓解云连接器成为 ICA 代理瓶颈的问题。

汇合协议策略

允许运行 会合协议 有某些先决条件,包括:

  • Citrix Virtual Apps and Desktops 服务
  • VDA 版本 1912 或更高版本
  • 启用的 HDX 策略
  • 所有 VDA 的 DNS PTR 记录
  • 特定的 SSL 密码套件顺序
  • 从 VDA 到网关服务的直接(非代理)互联网连接

可用性

如果办公室 PC 未在注册 VDA 的情况下打开电源,则无法中介用户的会话。Citrix 建议实施流程,以确保用户需要连接的计算机已打开电源。

如果可用,请将 PC 的 BIOS 设置修改为在电源故障时自动打开电源。管理员还可以配置 Active Directory 组策略对象,以从 Windows PC中删除 “关闭” 选项。这有助于防止用户关闭物理 PC 的电源。

Remote PC Access 还支持启用当前关闭电源的 Windows PC 的电源的 局域网唤醒 操作。此选项需要使用微软系统中心配置管理器 2012、2012 年 R2 或 2016 年。

注意: 在 Citrix Cloud* 中使用 Citrix Virtual Apps and Desktops 服务时,Microsoft 配置管理器 LAN 唤醒托管连接功能不可用

用户分配

重要的是,每个用户都经纪使用自己的办公室 PC。安装 VDA 并定义了目录和交付组后,用户下次在本地登录 PC 时会自动分配。这是分配成千上万个用户的有效方法。

默认情况下,如果多个用户都登录到同一个物理 PC,则可以将多个用户分配到桌面,但可以通过交付控制器上的注册表编辑来禁用此功能。

Citrix Virtual Apps and Desktops 管理员可以根据需要在 Citrix Studio 中或通过 PowerShell 修改分配。为了开始使用 PowerShell 将 Remote PC Access VDA 添加到站点并分配用户,Citrix 咨询制作了一个参考脚本,可在 Citrix GitHub 页面 中找到。

Virtual Delivery Agent

本节将回顾处理虚拟交付代理程序包的关键注意事项。

版本

Citrix Virtual Apps and Desktops 管理员可以使用带有 /RemotePC 标志的 VDAWorkstationCoreSetup.exe 软件包或 VDAWorkstationSetup.exe 软件包。VDAWorkstationCoreSetup.exe 软件包较小,仅包括 Remote PC Access 所需的核心组件,但值得注意的是,在 1912 及更早版本中,不包括内容重定向所需的组件(请参阅 Microsoft Teams 部分以获取进一步指导)。

Windows 7 和 8.1

尽管不再支持 Windows 7,但许多组织仍有旧版 Windows 7 桌面计算机。要在 Windows 7 和 Windows 8.1 上进行部署,客户应使用 XenDesktop 7.15 LTSR VDA。

Windows 10

要在 Windows 10 上进行部署,客户应使用 Citrix Virtual Apps and Desktops 1912 LTSR VDA 或受支持的当前版本 VDA。可在CTX224843中找到 Windows 10 版本的 Citrix 版本兼容性。

有用的命令行选项

部署 Remote PC Access 时,有几个 VDA 安装程序命令行选项需要考虑,这些选项可以启用有用的功能。

/remotePC

与完整的 VDA 软件包 VDAWorkstationSetup.exe 一起使用,仅安装远程 PC 访问所需的核心组件。

/enable_hdx_ports

如果检测到 Windows 防火墙服务,即使防火墙未启用,也会在 Windows 防火墙中打开 Cloud Connector 和启用的功能(Windows 远程协助除外)所需的端口。

/enable_hdx_udp_ports

如果检测到 Windows 防火墙服务,即使未启用防火墙,也请在 Windows 防火墙中打开 HDX 自适应传输功能所需的 UDP 端口。

要打开 VDA 用于与控制器和启用功能进行通信的端口,请指定 /enable_hdx_ports 选项以及 /enable_hdx_udp_ports 选项。

/enable_real_time_transport

为音频数据包(实时音频传输)启用或禁用 UDP。启用该功能可提高音频性能。

要打开 VDA 用于与控制器和启用功能通信的端口,请指定 /enable_hdx_ports 选项以及 /enable_real_time_运输选项。

/包含其他 “Citrix 用户配置文件管理器”,“Citrix 用户配置文件管理器 WMI 插件”

在 Remote PC Access 部署中,大多数实施不需要配置文件管理。但是,Citrix 用户配置文件管理器还捕获性能指标,这些指标对于管理员识别和修复性能相关问题非常有用。用户配置文件管理器不必进行配置,只需部署用户配置文件管理器来捕获指标。

安装 Citrix 用户配置文件管理器后,管理员可以在 Citrix Director 和 Citrix Analytics 中运行有关用户体验、会话响应能力和登录性能洞察的报告。

登录性能图表

/logpath path

日志文件位置。指定的文件夹必须存在,因为安装程序不会创建它。默认路径为 “%TEMP%\ Citrix\ XenDesktop Installer”,但如果安装是通过 SCCM 进行的,则根据上下文,日志文件可以在系统临时文件夹中改为。

/optimize

不要使用此标志,因为它主要用于 MCS 部署的计算机。

部署

要将虚拟交付代理部署到数千台物理 PC,需要自动化流程。

通过脚本编写

Citrix Virtual Apps and Desktops 的安装介质包括可通过 Active Directory 组策略对象使用的部署脚本 (%InstallMedia%\Support\ADDeploy\InstallVDA.bat)。

该脚本可用作 PowerShell 脚本和企业软件部署 (ESD) 工具的基准。这些方法使组织能够将代理快速部署到数千个物理终端。

通过 SCCM

如果要使用 ESD 工具(如 SCCM 或 Altiris)自动执行 VDA 安装,则为先决条件和 VDA 创建单独的软件包往往效果最佳。您可以在产品文档中找到有关使用 ESD 工具进行 VDA 部署的更多信息。

Microsoft Teams

如果用户访问 Microsoft Teams 进行语音和视频通话,则需要内容重定向功能才能创造良好的用户体验。

要使用 VDA 1912 或更早版本时内容重定向可用,需要使用带 /remotepc 命令行选项的单会话完整 VDA 安装程序(独立 VDAWorkstationSetup.exe)在物理 PC 上部署 VDA。

例如: VDAWorkstationSetup.exe /quiet /remotepc /controllers “control.domain.com” /enable_hdx_ports /noresume /noreboot

如果部署 VDA 2003 或更新版本,则可以改用单会话核心 VDA 安装程序(独立 VDAWorkstationCoreSetup.exe)。

例如: VDAWorkstationCoreSetup.exe /quiet /controllers “control.domain.com” /enable_hdx_ports /noresume /noreboot

常见的网络端口

与任何其他 Citrix VDA 类似,有少数关键网络端口需要注意打开系统才能正常运行。提醒一下,ICA 流量需要从托管外部 Citrix Gateway 的 Citrix ADC 到达远程 PC 访问。可在Citrix 技术使用的通信端口中找到端口的完整列表。

VDA 注册

根据网络拓扑的不同,包含 Virtual Apps and Desktops 交付控制器的子网可能不允许与物理 PC 之间的通信。要在 Delivery Controller 中正确注册,PC 上的 VDA 必须能够使用以下协议在两个方向上与 Delivery Controller 进行通信:

  • VDA 到控制器:Kerberos
  • VDA 的控制器:Kerberos

如果 VDA 无法向控制器注册,请查看文章 VDA 注册。如果您使用的是 Citrix Cloud,则云连接器将取代 Delivery Controller。

进一步指导

可在 远程 PC 访问产品文档 中找到更多设计指南,包括注意事项和故障排除步骤。

Remote PC Access 设计决策