XXXX虚拟化访问平台解决方案.docx
- 文档编号:3852214
- 上传时间:2022-11-25
- 格式:DOCX
- 页数:27
- 大小:401.09KB
XXXX虚拟化访问平台解决方案.docx
《XXXX虚拟化访问平台解决方案.docx》由会员分享,可在线阅读,更多相关《XXXX虚拟化访问平台解决方案.docx(27页珍藏版)》请在冰豆网上搜索。
XXXX虚拟化访问平台解决方案
XXXX虚拟化
访问平台解决方案
2010年12月
思杰系统信息技术(北京)有限公司
CitrixSystems,Inc.
1.概述
1.1项目背景
XXXX随着业务项目的数量增加与规模扩大,与外部公司的合作日益密切,项目业务环境的管理更加复杂,安全管理的要求也日益提升。
为此,需要建立一个简单、易用、安全的统一接入平台,以有效进行业务环境的规范管理,为内部员工通过VPN接入后访问后台多个业务系统的统一的安全接口,同时保护重要数据与代码的安全,并能对重要系统操作进行跟踪和审计。
涉及的后台应用一共二十个左右,主要应用为13个,例如portal、oa、邮件等,都是B/S结构的应用。
思杰公司将结合自身在虚拟化技术和统一业务接入平台环境建设方面的经验,帮助XXXX采用虚拟化的技术实现业务系统VPN统一接入平台端的集中管理维护,实现维护简单、业务系统安全的同时节省更多的能源消耗。
2需求分析
2.1项目目标
通过将业务系统客户端部署到应用交付平台,通过应用交付平台实现安全访问控制,同时实现最为完整的集中管理,便于全方位了了解客户端人员的行为,保障了业务应用环境服务器高效、安全可靠地运行,最终达到如下效果:
Ø远程用户首先需要接入VPN;
Ø配置VPN访问策略,仅允许VPN用户访问虚拟访问;
Ø远程用户访问到虚拟访问平台;
Ø用户通过虚拟访问平台登录访问内部业务系统;
Ø在该过程中,虚拟访问平台和远程用户之间仅传递图片及键盘操作信息。
2.2虚拟访问平台功能要求
虚拟访问平台(以下简称平台)集中部署各类应用软件,用户可以通过发布平台以WEB的方式同时访问多个应用(应用类型包含B/S与C/S应用)。
平台提供性能监控工具。
用户可以方便地监控服务器、访问客户端、网络等全方面的使用情况。
具备事件报错、告警能力。
具备系统性能监控功能。
具备软硬件变更、硬件资源情况、软件使用情况、以及License管理等功能。
通过性能监控工具,管理人员不仅可以追踪用户对应用软件的使用情况,提前预知系统的性能问题,并且保存数据,提供分析报表。
平台要求具有良好的界面风格,可以通过灵活的系统平台进行资源管理、发布,包括对资源的添加、修改、删除等操作,以及基于资源属性(资源命名、连接方式(例如ldap))等的查询、检索。
同时资源应能够按部门、类型进行树状管理。
便于大量资源管理、维护时,快速检索,修改用户配置。
2.3虚拟访问平台技术要求
基本指标
Ø满足整体500用户的需求;
Ø满足访问用户100并发的性能要求
功能指标
满足对Iphone、Ipad、Android、WM、Symbian等手机系统的支持
应用虚拟化技术:
整合应用和数据,将虚拟化后的内容交付给用户,期间,只有屏幕显示,键盘输入和鼠标操作等数据经过网络传输,最大化IT控制能力。
集中化桌面应用管理,同时对应用进行隔离,以流技术交付给用户,不会造成不同用户之间的数据干扰及系统冲突。
支持虚拟IP,支持特定应用必须有独立IP地址的应用;
压缩管理:
只能压缩经网络传输的数据,以尽可能获取最好的性能;
会话可靠性:
在网络连接断开时保持工作项目的开放状态,重新连接后自动无缝恢复;
无缝Windows:
在windows终端侧,集成本地和远程应用,用户可以在任务栏上选择本地和远程应用,不必了解应用所在位置;
本地打印机访问:
可以选择配置仅允许使用远程打印机或配置实用本地打印机的访问能力
连接策略:
提供综合策略子系统,根据用户/用户组/服务器组/ip地址和客户端名称来控制对资源的访问,实现对带宽、打印等的细化控制。
目录支持:
可以支持微软活动目录、Novell电子目录。
负载均衡能力:
内建负载均衡能力,管理员根据用户负载、上下文切换,CPU利用率、IP地址等来配置负载均衡规则。
可扩展性:
在并发扩大的情况下,能够平滑的过渡并进行升级;
3
方案设计
业务应用系统虚拟化交付平台采用CitrixXenApp虚拟应用服务产品,实现业务应用系统客户端的集中发布。
通过应用交付平台实现各专业维护工具的集中发布和管控,合法授权的访问用户通过基于Web技术的浏览器(如InternetExploer,IE),登陆系统门户后,就可以对业务应用系统客户端进行方便、快速、安全的业务操作,实现对业务应用系统的统一使用。
3.1总体架构
通过CitrixXenApp集中部署和发布应用客户端软件,整个的后台应用服务器架构没有变化,客户端可以通过XenApp来访问集中发布的各种企业应用和业务工具。
其整体构架如下图所示:
业务应用系统客户端软件安装在Citrix服务器(XenApp)上,而所有访问用户使用终端设备均无需事先安装应用客户端软件。
客户端设备只需通过IE就可以运行应用系统(第一次访问时会自动提示下载安装一个几兆大小的CitrixICA插件),多用户同时访问时,由XenApp管理和运行应用客户端软件的多进程访问,并控制向不同用户发布的权限。
同时外网远程接入所有客户端经过SSLVPN接入,CitrixAccessGateway提供SSLVPN访问功能。
XenApp可整可现有的活动目录中的用户账户来进行用户身份认证。
图中的文件服务器,提供了用户的个人数据存储功能。
通过使用Windows的目录权限控制,及文件夹重定向功能,可以做到用户数据的安全保存及漫游访问。
通过Citrix服务器(XenApp)的SmartAuditor功能,客户端的操作不仅可以被管理员实时监控,还可以进行屏幕录像并长期保存,以实现行为审计。
应用虚拟化部分
序号
项目名称
数量
操作系统
说明
1
虚拟应用交付控制器(XenApp)
5
Windows2003
虚拟机
Ø虚拟应用程序交付服务器(ApplicationDeliveryController):
可以使用XenApp来体验应用程序流化处理和虚拟化所带来的工作效率提升。
XenApp为用户和管理员提供了比安装应用程序更好的体验。
应用程序启动速度更快、用户体验得到显著改进,并且应用程序管理成本显著降低。
基础管理架构设计(Web、数据库、文件、许可服务器)
序号
项目名称
数量
操作系统
说明
3
WebInterface
2
Windows2003
虚拟机
4
Citrix许可证服务器(CTXLS)
1
Windows2003
虚拟机
5
数据库服务器
2
Windows2003
虚拟机
ØWebInterface:
负责显示基于Web的界面,让用户看到自己的可用虚拟业务应用。
ØCitrix许可证服务器:
验证XenApp服务器许可证的组件。
Ø数据库服务器(SQLServer):
为虚拟应用程序发布服务器提供数据库支持。
3.1.1终端架构设计
序号
项目名称
数量
说明
1
终端设备(瘦客户端或PC)
100
Ø终端设备:
可选择瘦客户端或者PC,安装Citrix联机插件(以前称为“CitrixDesktopReceiver”),允许在用户设备和虚拟应用之间建立直接ICA连接。
AD域环境设计
序号
项目名称
数量
说明
1
AD域系统服务器
2
ØAD域系统服务器:
提供终端用户身份验证功能,可利旧已有AD域。
3.2功能要求的实现
应用发布
虚拟化业务应用访问平台将传统的应用程序管理由分布式部署改变成集中部署模式,因而带来了应用访问、性能及安全等各个方面的提升。
针对各客户端软件不同类型的发布方法:
1)B/S应用,直接在XenApp管理控制台上发布IE浏览器,设置访问URL地址,可以对IE进行定制以增强其安全性(如隐藏地址栏,禁止用户访问其他地址等)。
2)C/S应用如果无须安装,直接拷贝到服务器,发布其可执行文件。
3)C/S应用如果需要安装,在服务器上安装后,发布其可执行文件。
4)C/S应用如果需要额外安装数据库中间件等,正常情况安装后可以运行,则发布可执行程序即可。
5)当多个客户端软件需要的环境冲突时,如需要数据库客户端的不同版本,集中平台提供了应用流技术,先将该软件和数据库使用Streaming技术在隔离环境中安装打包,再在管理控制台上发布,即可实现与其它应用程序隔离的目的,避免冲突的发生。
如果应用程序较多,为了简化部署和发布过程,建议采用Citrix提出的AppHUB技术,即将客户端软件打包,放在文件服务器上,采用流技术下载到Citrix服务器上运行。
这样的好处是,不用频繁地实施软件安装,简化了Citrix服务器环境,利于项目的快速实施部署、备份和恢复。
资源监控
XenApp的性能监控工具可以方便地监控服务器、访问客户端、网络等全方面的使用、错误、报警、性能、软硬件变更、硬件资源情况、软件使用情况、以及License管理等等。
通过性能监控工具,管理人员不仅可以追踪用户对应用软件的使用情况,提前预知系统的性能问题,并且保存数据,以供分析和产生报表。
平台管理
Citrix的应用交付平台和Windows的域控制器结合实现对用户权限的管理,访问应用交付平台的用户都在域控制器上增加、修改和删除,用户的操作系统权限是通过域控制器来实现,用户能够访问哪些应用程序通过XenApp来授权。
在部署应用交付平台时,要考虑各级用户对后台系统的访问权限,因此需要建立用户信任域关系,基于统一的域机构和信任关系,系统需要细化如下定义:
Ø域结构的细化
ØDC的定义和同步关系
Ø所有服务器的统一命名
ØDNS服务器的同步和域名解析
Ø用户名称和用户组的定义
Ø依据实际需要建设组织单元
对于已经建立域结构的组织,需要考虑其已有的域结构与新建域或子域的兼容和平滑迁移。
3.3技术要求的实现
终端设备支持
虚拟应用的客户端支持最新的的智能手机,以及其他客户端操作系统。
Citrix支持的智能手机/PDA如下:
–AppleiPhone/iPodTouch/iPad
–AndroidGPhone
–BlackBerry
–WindowMobile/PocketPC
–EPOS/Symbian
–Nokia9000系列/E61/E70/
–SES603RDS80
Citrix支持的其他客户端类型如下:
–Windows:
–32-bit:
95,98,NTand2000/XP/2003/Vista
–16-bit:
3.1,3.11,WFWG
–CE
–DOS:
32-bit,16-bitRealModeVersion
–Macintosh:
iMAC,68k&PowerPC
–Unix:
–HP-UX
–IBMAIX
–SolarisSparc
–Solarisx86
–SunOS
–SGIIRIX
–CompaqTru64
–SCO-UnixWare,OpenServer
–Linux:
RedHat,Caldera,SuSE,Slackware
应用虚拟化技术
XenApp为用户提供了基于服务器的计算模式(Server-basedComputing),实现了虚拟化应用发布。
其技术核心是ICA协议,ICA协议连接了运行在XENAPP服务器上的应用进程和远端客户端设备,通过ICA的32个虚拟通道(包括鼠标、键盘、图像、声音、端口、打印等等),运行在中心服务器上的应用进程的输入输出数据重新定向到远端客户端机器的输入输出设备上,因此虽然应用客户端软件并没有运行在客户端设备上,但是用户使用起来和在客户端安装运行客户端软件相比,没有感觉任何操作上的改变。
XenApp虚拟化应用发布原理如下图所示:
由于ICA协议是一种高效率的数据交换协议,同时在中心服务器和远端终端设备之间传递的是经过压缩和加密的屏幕刷新和鼠标键盘信息,因此每一个连接只占用十几K的网络带宽。
这种模式使得企业应用部署架构上发生变化,从一种分布式部署变成了大集中的应用部署,因而带来了应用访问、性能及安全等各个方面的提升。
应用交付平台对于用户访问进行了规范,即用户通过浏览器访问门户后,才可以看到并打开授权其访问的后台系统。
Citrix在应用交付平台中提供了一个简化门户WI(WebInterface),用户基于WI进行简单定制就可以使用。
同时Citrix平台提供了完整的SDK开发包,可以将集成接口定义为标准的WEB服务,以规范各种门户产品的调用。
集中化应用管理
传统模式应用分布在企业的所有客户端上,其安全要考虑各个环节:
服务器、客户机和端到端的网络;其维护和安全管理范围需要涵盖企业的每一台终端设备和跨广域网段。
因为客户端直接访问后台时,之间传输的数据是真实的企业应用数据,该数据会被缓存在用户本地或在传输中被截获,这些都是不安全因素;而用户访问XenApp服务器时,之间传输的是屏幕增量变化信息和鼠标键盘变化信息,用户端无任何应用数据缓存在本地,同时中途截获这些信息然后反推出用户真正的业务操作和数据比直接截获业务数据困难上千倍。
因而可以说数据总是存放在最安全的地方。
XenApp带来的最大益处是采用应用虚拟化方式阻止数据任何时候离开数据中心。
对于远程用户从公网访问内网,XenApp通过严格的用户认证进行安全权限控制。
由于网络上传输的只是客户端的键盘、鼠标动作以及显示界面的刷新部分,业务数据和代码的并不下载到客户端本地;数据、缓存、Cookie等等全部在中央受限的环境中控制;另外ICA协议还含有多种加密技术,保证显示界面和用户操作数据的安全传输;客户端的操作感觉虽然就像在本机操作一样,但未经权限许可,不得擅自修改、备份、拷盘、打印等。
通过应用发布的方式,内部员工和外部合作公司的员工只能使用本岗位的应用程序,而不能打开其他的应用软件或数据信息。
支持虚拟IP
一些应用程序(例如CRM和CTI)将IP地址用于寻址、许可、身份验证或其他目的,因此,这些应用程序在会话中需要使用唯一的IP地址或环回地址。
其他应用程序可能绑定到某个静态端口,但由于该端口已在使用中,因此会导致在多用户环境中多次尝试启动应用程序失败。
要使这些应用程序能够在XenApp环境中正常运行,需要为每个设备设置唯一的IP地址。
使用虚拟IP地址功能允许为每个会话动态分配IP地址,这样该会话中运行的已配置应用程序就看起来好象都具有唯一的地址。
在以下任一种情况下,进程需要使用虚拟IP:
Ø进程使用硬编码TCP端口号,或者
Ø进程执行以下两个操作:
o使用Windows套接字
o需要唯一的IP地址或指定的TCP端口号
此外,借助此功能还可以将依赖于与localhost(默认为127.0.0.1)通信的应用程序配置为:
使用localhost范围(127.*)之内的唯一虚拟环回地址。
在以下任一种情况下,进程需要使用虚拟环回:
Ø进程使用Windows套接字环回(localhost)地址(127.0.0.1),或者
Ø进程使用硬编码TCP端口号
如果应用程序需要IP地址的原因仅仅是为了身份验证,可将服务器配置为使用客户端IP地址。
压缩管理
通过交付中心建设,可以通过多种技术手段对应用进行优化,提高客户体验。
在实际应用中,通常使用的优化手段有:
ØTCP优化:
对TCP堆栈进行优化处理,提高TCP传输效率
Ø负载均衡:
通过将用户请求分配到多台服务器,降低单台服务器的压力,提高服务器的响应速度
Ø连接复用:
将大量的用户端短连接进行聚合,变成长连接与服务器进行交互,减小服务器由于频繁建立和关闭TCP连接带来的消耗
ØSSL卸载:
通过硬件处理SSL加解密流量,减轻服务器端压力
Ø内存Cache:
将大量的静态内容缓存在交付中心设备的内存里,减小服务器端压力
ØHTTP压缩:
对HTTP传输中的可压缩内容进行压缩传输,减小广域网带宽占用,提高客户端打开页面的速度
Ø动态静态分离:
通过技术手段,将页面中的动态内容和静态内容进行分离,使变化不大的静态内容尽量留在客户端浏览器,以减少广域网数据传输量
应用优化技术与高可用性技术进行配合,就可以极大的提高客户体验,使企业得以留住并吸引更多的优质客户群体,提高自身的竞争力。
会话可靠性
会话可靠性使会话在网络连接中断时保持活动状态并显示在用户的屏幕上。
用户仍然可以看到他们正在使用的应用程序,直至网络连接恢复。
此功能对于使用无线连接的移动用户尤为有用。
例如,使用无线连接的用户进入铁路隧道后将暂时失去连接。
通常,会话会断开连接并从用户屏幕上消失,然后该用户必须重新连接到已断开连接的会话。
会话可靠性可使会话在服务器上保持活动状态。
为指示连接已断开,用户的显示内容将冻结,且光标变成一个旋转的沙漏,直至用户到达隧道的另一端后恢复连接。
用户在连接中断期间可继续访问显示内容,在网络连接恢复后可继续与应用程序交互。
会话可靠性可重新连接用户而不提示进行重新身份验证。
会话可靠性超时设置的默认值为180秒(3分钟)。
您可以延长通过会话可靠性使会话保持打开状态的时间长度,此功能的主要目标是为用户提供方便,因此,它不会提示用户重新进行身份验证。
但是,如果您不加思索地延长会话保持打开状态的时间长度,则可能导致用户感到不耐烦而离开客户端设备,从而使XX的用户有机会访问该会话。
如果您不希望用户无需重新进行身份验证即可重新连接到已中断的会话,请使用客户端自动重新连接功能。
可以将Citrix计算机策略客户端自动重新连接身份验证设置配置为在用户重新连接到中断的会话时提示用户重新进行身份验证。
无缝Windows
发布应用程序时,该应用程序的配置信息将存储在服务器场的数据存储中。
配置信息包括与应用程序关联的文件类型、可连接到应用程序的用户、优先负载平衡的重要性级别以及客户端会话属性(包括窗口大小、颜色数量、加密级别和音频设置)。
交付给用户时,已发布应用程序与在客户端设备上本地运行的应用程序看起来非常相似。
用户启动应用程序的方式取决于在发布向导中选择的交付选项,在快捷方式显示页面上,选择应用程序的图标,并选择应用程序在用户设备上的放置位置,如桌面或者开始菜单。
本地打印机访问
在虚拟化业务系统的日常访问中,不可避免的需要实现客户端的打印,原有的架构中,打印通过客户端本地应用调用本地打印设备实现。
通过虚拟化业务系统的建设,应用客户端集中运行在数据中心的服务器中,而打印机还将部署在用户的客户端上,因此不可避免的需要通过网络实现远程的打印数据的传输和设备调用。
系统支持各种打印方式,包括客户端连接的打印机,服务器端打印机和网络打印机。
同时打印管理支持:
在服务器之间复制打印机驱动程序,指定所用打印机驱动程序,限制打印数据流占用带宽。
简化在整个服务器群内管理和复制打印驱动程序的任务。
确保打印任务不会阻塞网络。
通用打印机驱动程序:
将对不同打印机的驱动要求统一为一种通用的打印机驱动程序,降低了对打印机驱动程序管理。
连接策略
要控制用户访问或会话环境,请配置Citrix策略。
Citrix策略是控制连接、安全性和带宽设置最有效的方法。
可以针对特定用户组、设备或连接类型创建策略。
每个策略可以包含多个设置。
例如,您可以配置设置来执行以下操作:
Ø配置场设置(例如虚拟IP、运行状况监视与恢复以及多媒体加速)
Ø控制客户端设备的声音质量
Ø允许用户访问其本地客户端设备上的“文档”文件夹
Ø允许或禁止远程用户从会话保存到其硬盘驱动器
Ø允许或禁止用户访问Windows剪贴板
Ø设置Citrix插件所需的加密级别
设置会话重要性级别,该级别与应用程序重要性级别共同决定优先负载平衡的资源分配
将过滤器添加到策略时,该策略的设置将根据特定的条件或规则应用到连接。
如果未添加过滤器,策略将应用到所有连接。
可以根据条件的组合向策略添加任意数量的过滤器。
某些过滤器的可用性取决于您应用的是计算机策略还是用户策略。
下表列出了可用的过滤器:
过滤器名称
过滤器说明
策略范围
访问控制
基于访问控制条件(客户端借此进行连接)应用策略。
仅限用户策略
客户端IP地址
基于用于连接到会话的用户设备的IP地址(IPv4或IPv6)应用策略。
仅限用户策略
客户端名称
基于从中连接会话的用户设备的名称应用策略。
仅限用户策略
用户
基于连接到会话的用户的用户或组成员身份应用策略。
仅限用户策略
工作组
基于托管会话的服务器的工作组成员身份应用策略。
计算机策略
用户策略
用户登录时,XenApp会识别与连接过滤器相匹配的策略。
XenApp按优先级顺序对识别的策略进行排序,比较任意策略设置的多个实例,然后根据策略的优先级顺序来应用策略设置。
用户登录到场后,XenApp每隔90分钟会重新计算一次策略。
任何已禁用策略设置的优先级均高于等级较低的已启用设置。
未配置的策略设置会被忽略。
目录支持:
在发布业务应用过程中可以选择帐户授权机构。
下拉列表包含在场中的服务器上配置的所有受信任的帐户授权机构。
其中包括NovellDomainServicesforWindows(NDSfW)域、WindowsNT域、ActiveDirectory域以及本地服务器。
(NDSfW域仅在先前已配置的情况下才会显示。
)选择帐户授权机构时,属于所选授权机构的用户帐户会显示在下拉列表下面的窗口中。
默认情况下,仅显示用户组。
选择显示用户以显示所选域中的所有用户名。
此选项显示所选域中的每个用户。
对于NDS,也显示别名对象。
选择的用户帐户在已配置的用户中列出。
负载均衡能力
在XenApp的ServerFarm中,“DataCollector”负载均衡调度服务器负责收集每一台服务器里面的一些动态信息,如CPU,内存等使用情况,并与之进行交流;当有应用请求时,自动将请求转到负载最轻的服务器上运行。
ServerFarm同时提供了高可用性功能,当单点服务器出现故障时不影响用户使用,用户会重新连接到另外一台负载较轻的服务器上。
从而避免了单点故障。
可扩展性
虚拟化业务应用访问平台的架构设计要结合业务系统未来发展的需要,降低各功能模块和组件的耦合度,并充分考虑系统整体兼容性,使得系统能够进行横向和纵向的扩展。
基础架构的扩展:
主要涉及由于用户规模的增长和用户需求的增长,对文件存储的需求来进行容量扩展。
此外,系统可以借助服务器虚拟化资源池将多台虚拟化服务器作为单个实体进行管理。
所有的服务器共享通用的网络和存储框架,从而方便的实现资源的共享和扩展。
同时,也可添加相应的物理服务器、共享存储、网络等到资源池中,方便的实现扩展。
应用发布虚拟化服务器扩展:
当访问的业务人员增多而导致并发量增大时,系统的扩展可以整体架构不变的情况下进行,硬件方面,根据需要增加应用虚拟化发布服务器及存储空间,软件方面,根据实际需求,需要适当增加Citrix许可及微软终端许可。
3.4系统配置
通过在应用交付平台集中发布客户端,只是在用户客户端和原应用后台服务器之间增加了XenApp应用交付平台服务器,将原先需要
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- XXXX 虚拟 访问 平台 解决方案
![提示](https://static.bdocx.com/images/bang_tan.gif)