技术简报:Citrix Cloud 弹性

简介

数字化转型计划目前是大部分企业的首要任务。将应用程序和桌面交付基础架构迁移到云是 CIO 的主要考虑事项之一。云提供商正在带来仅有云的解决方案或基于云的资源,并附带极具吸引力的定价,还带来简化运营和降低管理成本的额外好处在考虑迁移到云时,IT 部门首先要评估的几件事是提议的基于云的解决方案的正常运行时间和容错能力。此考虑同样适用于希望将 Citrix Cloud 用作其工作区解决方案的潜在或现有 Citrix 客户。

本简介旨在解决以下问题:

  1. 这些可靠性考虑因素,并阐述了 Citrix 努力使 Citrix Cloud 和所提供的服务能够逐步更好地抵御故障的各种方式。
  2. Citrix Cloud 的部署方式在极少数情况下无法访问服务,最终用户可继续访问不受服务不可用影响的资源。
  3. Citrix Cloud 如何使用云提供商公开的技术、Citrix Cloud 服务在其上运行的技术来提高服务的可用性和容错能力。

需要注意的重要一点是,文档中涵盖的所有项目都作为一个组合解决方案协同工作,形成多层网络,以保护组织免受停机的影响,并允许在一次期间进行访问。

高可用性

让我们首先看看云服务和底层基础架构正在进行的改进,以确保服务不会失败。这种弹性是通过构建高度可用的服务来实现的,这些服务可以轻松扩展以满足客户需求。

Azure 可用区域的利用可确保代理和关联的数据库能够抵御云中断。

平台高可用性和地理节点部署模型

Citrix 提供的云服务构建在各种平台之上,这些平台协同工作,为用户提供对 Workspace 的访问权限以及由其提供的资源。这些平台的每一个体系结构都在不断改进,使其具有高可用性和容错能力。已做出设计决定,要基于 Azure geode 模式部署平台。每个平台都处于采用这种模式的旅程的不同阶段。

Citrix Cloud 弹性-基于地理节点的部署模型

在地理节点模式下,平台分布在不同节点的多个部署中,这些节点具有全球多样性,并在其他部署中利用存储复制。在每个 geode 中,完全自包含的平台服务部署在不同的 Azure 故障域中。大多数关键服务都可以在这些部署之间进

即使无法访问整个 Azure 区域,平台服务也能够为来自不同区域的另一个 Geode 的请求提供服务。对于对数据主权有监管要求的组织,部署这些平台是为了在所需的地理位置部署服务器。组织可以在不同的 Citrix Cloud 实例之间进行选择以保证其数据主权需求

Citrix Cloud 弹性-数据主权的部署选项

Citrix DaaS

对于 Citrix DaaS,实施了许多不同的功能来使其具有弹性和容错能力。其中一些功能是:

汇聚协议

为了确保 Citrix Cloud Connector 的更大可扩展性,在 CVAD 1912 版中修改了 HDX 协议。汇聚协议使 HDX 会话能够绕过 Citrix Cloud Connector 并直接安全地连接到 Citrix Gateway 服务。绕过 HDX 流量,释放 Cloud Connector 上的带宽和计算资源。使连接器能够处理更多的连接请求并增加 Cloud Connector 可以管理的资源数量。

此处详细了解汇聚协议以及如何通过策略启用它。

服务连续性

看到 Citrix 提高支持的规模限制以使您的云部署具有弹性的不同方式之后,让我们将注意力转移到 Citrix 如何确保在不太可能发生云服务故障或中断的情况下,用户能够继续从多个访问其资源资源位置。 为了即使在 Citrix Cloud 服务无法访问的情况下也能提供资源的目标,Citrix 的团队在服务连续性的框架下,从头开始实施了许多改进。

在服务连续性下实施的一组功能包括但不限于:

  1. 创建 Workspace 连接租约并将其分发给每个客户端端点的机制,该端点至少已通过一次身份验证到 Workspace。Workspace 连接租用文件告诉终端节点(每个用户)哪些应用程序和桌面资源可从哪些位置使用 Cloud Connector。基本上消除了单一资源位置限制。

  2. 在 Citrix Workspace 应用程序中实施渐进式 Web 应用程序 (PWA),该应用程序可以检测何时无法访问某些服务,并基于此向用户显示当前可访问的资源。它会显示一个横幅,让用户知道连接也已中断。

  3. 全球 Citrix Gateway 接入点 (PoP) 的占用空间不断增加,内置 HA 和多云存在,确保了用户始终能够访问 Citrix Gateway 服务。

在深入研究这些解决方案的工作原理之前,让我们看看不同的场景如何影响 Citrix Cloud 服务可用性,以及何种资源在发生此类情况时可用或不可用。

  1. Workspace URL / Cloud.com 应用商店

    使用服务连续性,当用户无法访问 Workspace URL 时,Workspace 应用程序顶部的横幅通知用户资源的子集不可用。Citrix Workspace 应用程序可修改资源图标,以轻松区分仍然可用的资源。

  2. 仅限 Citrix DaaS/代理服务

    在这种情况下,只有 DaaS 或 Broker Service 出现中断,用户除了可以访问虚拟应用程序和桌面资源外,还可以继续访问 Web 和 SaaS 应用程序。Workspace 应用程序 UI(由 PWA 授权)汇总服务源中的所有资源,仅依赖 Citrix DaaS 应用程序的 Workspace 连接租约(请参阅每个源应用程序内缓存图)。

    Citrix Cloud 弹性-工作区无法访问的横幅

    Citrix Cloud Connector 现在接管资源位置的所有代理职责 — 将触发 VDA 向主 Cloud Connector 的重新注册。负载管理和其他操作也由 Cloud Connector 处理。在此 详细了解停电期间的 VDA 电源管理。

  3. 身份服务

    在无法访问身份服务的情况下,用户可以继续访问可从云连接器访问的所有 Citrix DaaS 资源。连接租赁(稍后解释)包含资源和用户的授权令牌。VDA 将要求用户在桌面或应用程序上进行身份验证并登录(除非计算机正在为同一用户共享会话,并且他们已通过先前基于连接租约的启动进行身份验证)。

  4. 互联网 —(如果有连接,只有内部资源才能访问)

    在客户端端点无法访问互联网但仍能连接到 Cloud Connector 和 VDA(在内部网络上)的情况下。在断开 Internet 访问期间,可在内部网络上访问的所有虚拟应用程序和桌面资源都可用。

  5. Gateway 或 Secure Private Access 服务 — 故障转移到不同的 PoP

    Citrix Gateway 服务旨在与该服务的多个实例一起实现高可用性,这些实例部署在世界各个位置的多个接入点 (PoP) 上。此外,该服务托管在不同的云提供商上。在此处可以找到 PoP 列表。

渐进式 Web 应用

渐进式 Web 应用程序与普通 Web 应用程序的不同之处在于包括在无法访问 Web 服务器时将显示的缓存元素的后台处理,并使用缓存填充应用的 UI。对于服务连续性,在 Workspace 服务无法访问或无法返回分配给用户的资源列表时,渐进式 Web 应用程序的行为方式相同。

Citrix Cloud 弹性-每个源缓存的渐进式 Web 应用程序

Citrix Workspace 应用程序使用新的 CLXMTP(连接租赁交换和互信协议)与 Cloud Connector 或 Gateway 服务进行通信。对于内部用户,它在 Citrix 通用网关协议 (CGP) TCP 端口 2598 上运行,并在 CGS TCP 端口 443 上运行。这整个过程对用户是透明的。

用户体验的变化

启用服务连续性后,Citrix Workspace 应用程序尝试连接到 Workspace 但无法访问应用商店时。如果用户拥有有效的连接租赁,我们将在本机 Workspace 应用程序中推出对可取消的身份验证 UI 和回退到现金资产的支持。

Citrix Cloud 弹性-渐进式 Web 应用程序取消按钮

将显示一个横幅,让用户知道连接已中断。资源将从缓存中显示。根据影响(如上一节中所讨论的那样),它会动态地使当前无法访问的资源变灰。

Citrix Cloud 弹性-无法连接到资源 Workspace 应用程序视图

可访问的资源列表是从存储在终端节点上的连接租约(在下一节中讨论)中获得的。

重新建立连接后,Workspace 应用程序将为用户提供重新连接到工作区的能力。用户可以单击横幅中的 “重新连接到工作区” 链接,恢复对以前灰显的资源的访问权限。

Citrix Cloud 弹性-无法连接到资源横幅

为了使用户能够访问资源,当无法访问 Workspace 身份服务进行身份验证时,连接租用的行为类似于长期的授权令牌。启动时,用户需要使用其 AD 凭据或 SmartCard PIN 对应用程序或桌面进行身份验证,才能访问应用程序或桌面。

如果 Citrix Workspace 应用程序和 VDA 加入到同一域,并且在 Workspace 应用程序中配置了 SSO 直通插件,则实现 SSO。还支持会话共享,因此,如果通过 Workspace 连接租赁从同一 VDA 启动后续应用程序,用户还通过 Workspace 连接租赁启动了现有会话,则实现 SSO。

Citrix Cloud 弹性-服务连续性需要桌面身份验证

工作区连接租赁及其工作方式

当所有服务都可访问时,将生成一个 .ICA 文件,通过提供一次性短期访问票证,客户端可以连接到应用程序或桌面。此票证包含用户将连接到的资源的信息。.ICA 文件由 Workspace 生成,方法是检索分配给用户的资源列表(也称枚举),然后确定哪个 VDA 可以托管会话(又称解决方案)。

Citrix Cloud 恢复能力-.ICA 文件创建流程

如果任何所需服务无法访问,则无法生成 .ICA 文件。为了克服每次启动/重新连接的要求,设计了 Workspace 连接租约。

默认情况下,Workspace 连接租约的有效期为 7 天(可配置为 1 至 30 天)。这是用户分配给的所有资源的长期授权令牌。它包含可用于访问资源的 Cloud Connector 列表(直接或通过 Citrix Gateway 服务)。如果涉及 CGS,Workspace 连接租约还包含可用于连接到资源的全局 Citrix Gateway 服务 FQDN 地址。

Workspace 连接租用是每个用户、每个终端节点集的令牌集,其中包含用户有权获得的所有资源的缓存。它们包含 Citrix Gateway 服务的信息以及可为连接请求提供服务的所有 Cloud Connector 的信息。由于连接租约绑定到用户和终端节点,因此无法将其复制到另一台设备并用于启动会话。

要创建 Workspace 连接租约,用户必须使用 Citrix Workspace 应用程序(而不是通过浏览器)至少登录一次 Citrix Workspace。用户登录之一,Citrix Cloud 中的连接租约发放服务 (CLIS) 会收到为用户和终端节点组合生成租约的请求。连接租约发放服务将此请求排队并将其转发给云代理(以免使其过载)。由于连接租赁包含可为用户会话请求提供服务的 Cloud Connector 和资源的所有组合,此过程是异步完成的,租约生成后,它们将被推送到终端节点上。此过程最多可能需要 10 分钟,具体取决于经纪商的负荷。

Workspace 连接租约由三个连接文件组成,这些文件由 Citrix Cloud 加密和签名,并安全地存储在终端节点上。这三个文件是元数据、通用参数和资源位置。在 Windows 端点上,它们存储在每个用户的 AppData\ Local 文件夹中。路径是 %LOCALAPPDATA%\Citrix\SelfService\ConnectionLeases\<StoreName>\<SiteName>\<username>\leases

如下图所示,用户有权获得 6 个资源,因此文件夹中有 18 个文件。

Citrix Cloud 弹性-工作区连接租赁

连接租赁是防篡改的。坏演员将无法编辑租约,换句话说延长租约期限。一旦检测到任何篡改,连接租约哈希将失效。在用户帐户关闭或泄露、端点被盗或设备取消分配等情况下,IT 管理员可以使用 Citrix DaaS 远程 PowerShell SDK 阻止连接租约。 点击此处了解如何应用这些政策。

以下是用户首次从终点进行身份验证并启动会话时创建连接租约的过程图。

Citrix Cloud 恢复能力 - Citrix Cloud 可访问 - Workspace 连接租约创建流程

以下是无法从 Workspace 应用程序访问某些 Citrix Cloud 服务的情况下发生的过程。

Citrix Cloud 恢复能力 - 无法访问 Citrix Cloud - 基于 Workspace 连接租约的启动

为了启用当前客户群的更大子集,使用可追溯到 Citrix Virtual Apps and Desktops 7.15 LTSR 的 VDA 版本,在无法访问云代理时,将使用带本地主机缓存的 Cloud Connector (LHC)。否则,为启用服务连续性而进行的更改将需要对 VDA 进行升级。要了解更多信息,请阅读 LHC 技术简报

注意:在 Citrix Cloud Broker 服务可访问的情况下(无论 Workspace 存储是否可访问),Cloud Connector 始终依赖 Broker 服务进行代理服务。

将资源位置配置为 “仅限内部” 时,过程相同,但在这种情况下,Workspace 应用直接与托管所需应用程序的资源位置的 Cloud Connector 进行通信。

Citrix Cloud 恢复能力 - 无法访问 Citrix Cloud - 基于 Workspace 连接租约的启动

注意:即使存在连接租约,启动资源的默认机制也是尝试获取 .ICA 文件。如果无法执行此操作,Citrix Workspace 应用程序将回退以依赖 Workspace 连接租赁,对用户以透明和静默的方式进行操作。

当用户注销 Workspace 应用程序时,将从系统中清除 Workspace 连接租约。如果用户退出 Citrix Workspace 应用程序,则工作区连接租约将保留。

IT 管理员可以通过针对云代理实例的远程 PowerShell 命令来修改此行为。

系统要求

有关当前要求的列表,请访问 文档页面

  • 客户正在使用 Citrix DaaS 和工作区体验。

  • Workspace UI 必须通过适用于 Windows 2106 和 Mac 2106 或更高版本的本机 Citrix Workspace 应用程序进行访问,而不能通过浏览器(又名适用于 Web 的 Workspace 应用程序)进行访问

  • Citrix Virtual Delivery Agent (VDA) 版本 7.15 及更高版本、LTSR 或当前 CR 之一

  • 最新的 Cloud Connector。由于服务连续性依赖于本地主机缓存功能(但不需要任何本地访问层),因此我们建议使用与 LHC 建议的相同大小来调整连接器的大小。查看 LHC 规模和尺寸注意事项以了解更多信息。

  • 工作区身份:AD(或 Azure AD Connect 同步);AD + 令牌 (OTP);AD + RADIUS、Azure AD;Citrix Gateway 本地,其中主要声明基于 AD 的身份验证。基于策略的身份验证与服务连续性不兼容,而且它们相互排斥。

  • 客户的 VDA 处于在线状态:不受 AWS /Azure/DC 中断的影响,也不会被 AutoScale 关闭。 警告:如果资源位置使用 Citrix Hypervisor 或 vSphere, 即使云代理处于脱机状态,Cloud Connector现在也可以执行电源管理操作

  • 支持的工作负载:托管共享应用程序或桌面、静态/专用桌面、随机/池桌面、Remote PC Access

  • 通过 CWA、Connector 和 VDA 运行资源的终端之间的第 3 层网络连接,可通过

    • 直接(局域网)(在这种情况下,必须通过 TCP 2598 访问连接器和 VDA)

    • Citrix Gateway 服务 (TCP 443)

可以在此 找到配置服务连续性的过程。

监控可扩展性改

Citrix DaaS 环境的第 2 天及以后的维护依赖于管理员轻松管理环境和快速有效地解决用户问题的能力。为了确保 Monitor 能够支持创建基于 Citrix DaaS 的解决方案以支持大型多租户部署的大型组织、合作伙伴和经销商,Monitor 包含了这些功能以提高弹性。

  1. 用于提高性能的只读副本

    Director 实施了一些机制,以便对数据库的大多数读取查询重新路由到数据库的只读副本。只读副本是数据库的只读副本。这使得在源数据库上更快地完成写入操作,从而提高了其规模和恢复能力。

  2. 遵循最佳实践部署数据库

    拆分站点数据库和配置日志记录和监控数据库支持更多的查询和数据库的自动扩展。

  3. 介绍会话管理员角色

    对于大型部署,Citrix DaaS 提供会话管理员角色。此角色在监视器中提供典型的级别 1 帮助台角色的权限。使用会话管理员角色时,同一 Citrix DaaS 实例可为技术支持管理员提供更高的并发率。

  4. 增加支持的管理员数

    大型组织和经销商还需要更多的管理员来管理其庞大的部署。这需要数据库扩展和处理更多的并发查询。为了支持这些客户,受支持的管理员的数量已增加。

Citrix Gateway 服务

Citrix Gateway 服务旨在与该服务的多个实例一起实现高可用性,这些实例部署在世界各个位置的多个接入点 (PoP) 上。此外,该服务托管在不同的云提供商上。在此处可以找到 PoP 列表。

在 Citrix Gateway 服务 PoP 中,微服务和租户部署在完全冗余的主动-主动模型中。如果出现故障,此功能允许任何组件切换到备用组件。只有在极少数情况下,如果 PoP 中某个组件的所有服务都失败,Gateway 服务才会将自己标记为关闭。

Citrix 使用智能流量管理器监控 PoP 运行状况,并在必要时自动使用 DNS 将流量切换到备用 PoP。

服务连续性与 Gateway 服务的弹性相结合,只要客户端能够访问 Gateway 服务和/或资源位置,服务连续性就可以访问虚拟应用程序和桌面资源。

技术简报:Citrix Cloud 弹性