1、Citrix手机移动办公解决方案企业移动办公及手机办公Citrix建议方案思杰系统信息技术(北京有限公司二一三年三月1.概述 (22.总体方案 (32.1.方案概述 (32.2.软件部署架构 (42.3.技术原理 (42.4.访问场景 (63.详细设计 (83.1.拓扑结构 (83.2.用户认证 (93.3.加密方案 (93.4.应用部署 (103.5.客户端要求 (124.虚拟应用平台功能 (135.系统配置方案 (165.1.服务器角色分类 (165.2.服务器容量估算 (175.3.服务器配置示意 (175.4.软硬件配置列表 (186.附录 (19思杰公司简介 (191.概述移动办公系
2、统是众多企业管理层及时掌握企业信息、快速进行管理决策的必备系统,其对企业的重要性不言而喻。传统的移动办公系统(如笔记本电脑+VPN模式,或者WAP手机在使用中往往面临着如下问题:客户端差异化问题:办公系统往往是基于PC机Windows系统开发的,但是数量最大的移动终端往往是手机和PDA,将办公系统移植到手机上既费时费力,又带来了额外的开发、维护和重新用户培训等一系列问题。网络及性能问题:移动办公的网络千差万别,而办公软件的运行往往是基于局域网设计的,因此很多应用在移动办公使用时因网络而产生性能瓶颈,比如当邮件有比较大的附件时,局域网内可以马上打开,但是广域网上需要等很长时间才能下载后进行处理。
3、安全性问题:移动办公是将企业关键信息传递在公共网络上,因此面临着比在企业内部使用更高的安全性要求,移动办公不仅有数据被截获的危险,而且移动终端更加容易丢失,如果上面有信息敏感数据则对企业造成的无法估算的危害。同时如果外部终端接入企业内网,会对企业内部造成系统级的安全威胁。传统的技术方案所带来的这些问题,需要企业不断地投入人力物力进行解决,给企业带来了很大的管理和压力成本,因此企业提出了技术创新的要求。虚拟化技术的出现,使得企业得以从技术架构上根本解决如上问题。通过应用虚拟化使得传统应用直接升级为了面向服务的架构,因此企业的OA办公软件、业务系统和ERP系统等等,均不需要移植和安装在手机上,而通
4、过虚拟服务就可以被手机访问和使用。虚拟化应用的特点是只要在后台服务器安装一次,然后经过管理员的权限定义,就可以被用户通过任意终端设备和任意网络所使用,而所有的数据和维护管理工作全部在数据中心。虚拟化技术不仅为企业带来了很大的资源节省和降低成本,同时使得企业的IT响应能力大大提高,移动办公不再需要额外开发,而真正成为了企业IT架构的自然延伸,实现了用户随时随地地安全访问企业内部信息。2.总体方案由于Citrix虚拟应用技术,分离了应用的使用平台和运行平台,因此手机和移动终端从应用运行设备变成纯粹的输入输出设备,通过无线网络远程运行和操作Windows或Unix平台的各种应用和服务,从而实现了用户
5、的移动办公。2.1.方案概述在数据中心配置Citrix服务器集群为应用的运行平台,实现稳定的大并发支撑能力,满足大规模移动用户的同时使用。通过虚拟应用平台实现移动办公的总体架构如下图所示: 移动办公系统的部署,对于目前OA系统的架构没有改变,只是在OA门户服务器的局域网内,放置一组虚拟应用服务器集群,供移动用户访问,而固定办公用户仍直接访问OA 门户服务器,因此原办公模式不受影响。通过虚拟应用平台部署移动办公系统,一方面应用更加方便使用,用户无论在笔记本上还是手机上,实际上使用的都是运行在虚拟应用服务器上的同一个应用,没有适应多种界面的要求,而且可以实现同一个应用在不同的移动设备之间的漫游,实
6、现了业务连续性;另一方面,由于所有的应用都位于数据中心的机房,集中管理的同时,也大大提高了办公数据的安全性。而在手机和虚拟应用服务器之间只需20k左右的带宽,因为其间传递的并非实际的业务数据,而是虚拟化数据。这样既保证了OA系统可以在低带宽网络下使用,又避免了业务数据在公网传输的安全隐患。2.2.软件部署架构虚拟应用服务器上软件部署包括:在底层Windows2003操作系统之上安装Citrix XenApp虚拟应用服务器,然后在虚拟应用服务器之上安装各种办公软件如OFFICE软件、邮件系统以及浏览器阅读器等工具软件。手机上的软件部署包括:在手机操作系统上安装虚拟应用接收器。手机上不安装任何应用
7、软件的客户端,通过虚拟应用接收器,可以使用所有虚拟应用服务器上的应用,整个软件架构如下图所示: 手机的网络访问只需要指定虚拟应用服务器的IP地址、用户登陆的用户名和口令,以及登录域名称等信息即可,用户打开虚拟应用接收器就可以获取服务器上授权使用的应用图标,打开应用图标即可使用。2.3.技术原理虚拟应用服务器和虚拟应用接收器之间,通过Citrix ICA协议建立通道,使得客户端设备可以远程操作服务器上的应用。ICA协议连接了运行在服务器上的应用进程和业务PC机的输入输出设备,通过ICA的32个虚拟通道(分别传递各种输入输出数据如鼠标、键盘、图像、声音、端口、打印等等,运行在服务器上的应用进程的输
8、入输出数据重新定向到远端客户端的输入输出设备上,因此业务用户使用服务器上的应用时感觉就像在使用本地应用一样。ICA协议如下图所示: 虚拟化应用实现了应用软件运行在服务器上,但是对该软件的操作(输入输出在客户端设备上,所有的输入如点击、键盘的操作被ICA协议同步到服务器上执行,所有的输出如屏幕的刷新也被ICA协议同步到客户端。虚拟化应用操作模式如下图所示:应用软件的用户界面在客户端显示(可以支持非W in d o w s客户端应用软件安装和运行都在服务器端网络只传递通过C itr ix的IC A技术处理后的屏幕刷新和键盘敲击和鼠标移动信息(带宽需求10-20k b s,甚至可以是低速的拨号连接I
9、CA协议是一种高效率的数据交换协议,采用了数据压缩、加密和连接优化技术,每一个用户的连接只占用10K-20K的网络带宽,而实际运行的客户端软件位于后台的局域网内,因此终端用户相当于用拨号线的链路就可以享受到局域网内的运行速度。同时ICA协议可以分别针对单独的虚拟通道进行控制,这样为用户的访问和使用带来了细粒度的控制。比如如果控制用户不许通过打印机把信息打印出来,只需要中断ICA连接中的打印机通道即可。2.4.访问场景用户在使用移动办公OA系统时的访问方式如下:笔记本用户打开浏览器,输入统一的访问网址,然后在出现的身份认证页面里输入自己的用户身份,通过后就会看到OA门户图标以及其他被授权使用的应
10、用图标。点击OA门户图标,界面显示建立服务的连接条,大约10秒钟后出现OA门户的界面,剩下的操作就和本地IE访问OA门户一样。手机用户可以预先设置好访问地址和用户名口令,这样直接打开OA图标就可以使用OA门户。面向服务的访问使用体现在:用户可以中断和重连服务(session disconnect and reconnect,当用户离开一段时间,但又不想结束业务操作,可以选择断开服务,这时用户屏幕上的OA应用消失,等用户回来后,重新输入身份认证,通过后刚才做了一半的业务就重新出现在屏幕上,可以继续工作。客户端和网络故障不会影响业务操作,如果业务用户的客户端设备死机或者网络中断,同上面一样只是服务
11、断开,工作是运行在服务器上,并没有受影响。用户只需要更换任意客户端或网络,就可以重新连接服务,继续刚才中断了一半的业务操作。会话超时(Session timeout,管理员可以在后台设置服务超时,当一个用户打开业务操作后长时间不用,系统可以自动释放该会话,业务界面暂时消失。当这个用户重新使用时,再做身份认证后,继续刚才的业务操作。会话监控(Session Shadow,系统有远程监控的功能和权限,如果某用户出现操作上的问题,有相关权限的管理人员,可以监控该用户的操作,两个人可以共享同一个会话服务,管理人员可以远程帮助用户操作或解决问题。其中访问服务超时设置可以针对不同的用户进行不同的设置,例如
12、对于VIP用户,可以设置永不超时,这样VIP用户即使不操作也会一直连接;对于一般用户,可以设置超时时间例如30分钟,这样如果这个用户30分钟不操作,该连接就会释放。3.详细设计3.1.拓扑结构虚拟应用服务器群组要求和OA门户服务器部署在同一局域网内,可以放置在用户数据中心机房内,用户数据中心需要和移动网络连接,一般有两种连接方式: 1,通过APN专线连接,企业用户向无线运营商申请APN专线,连接企业用户的数据中心和无线运营商,这样用户的手机访问可以直接进入数据中心;2,通过公网(internet连接,企业用户需要开通数据中心和internet的线路访问,用户通过手机访问和来自互联网的访问一样,
13、可以访问其数据中心。用户数据中心的网络拓扑图如下所示: 3.2.用户认证为了提高系统访问的安全性,移动用户在访问虚拟应用平台时需要进行身份认证,以确定该用户是否可以使用移动办公应用,防止非法用户或其他非授权人员的访问。由于企业办公软件以Windows平台为主,因此建议采用微软的活动目录AD作为统一的用户身份管理系统。AD域不仅统一定义用户身份,还定义了用户访问服务器的权限和行为控制等组策略等。移动办公系统会在公网上传递用户身份,因此建议提高用户认证强度。虚拟应用平台支持的身份认证模式包括:静态口令:目前的用户名加口令,属于低强度身份认证,建议只在内网使用数字证书:通过数字证书可以有效识别客户端
14、有效性。可以统一采用企业内部认可的证书体系,通过在虚拟应用平台和用户手机客户端加载数字证书,来确保用户身份的可靠性。如果用户手机丢失,则发证机构将该证书作废,则丢失手机无法使用移动办公系统。动态口令/双因素认证:虚拟应用平台经集成了大量的高强度身份认证技术,如RSA 令牌等等。认证令牌可以硬件、软件和智能卡等多种形式向用户提供。令牌在发售时已经使用唯一的128位种子初始化;内部芯片每分钟都会使用一种算法,组合该种子与当前时间,生成一个随机的数字作为动态密码,从而提高用户的密码强度。生物识别(如指纹及其他高强度认证:应用集中发布平台预留了集成其他身份认证的接口,如RADIUS认证等等,可以方便地
15、集成用户自由认证或第三方认证。3.3.加密方案从安全性角度考虑,移动办公和手机访问需要对链路传输信息进行加密,需要配置VPN 接入设备。移动办公的VPN设备需要支持各种手机终端,Citrix提供了支持智能手机的VPN 安全网关AGEE。AGEE支持对Citrix虚拟服务器的单点登录,SSL加密、智能手机的ICA转发以及对客户端的智能访问(SmartAccess等功能。其部署方案为放置在DMZ区域,如下图所示: 出于对后台系统保护的需要,管理者可以制定对后台系统更加严格的访问条件,比如用户访问来自PC机还是来自手机,如果是PC机是否安装了企业要求的防病毒软件等等,需要使用AGEE SmartAc
16、cess智能访问控制。针对用户访问的场景的智能分析,包括:接入角色分析,基于用户身份接入设备识别,用户使用的是什么机器,什么操作系统接入设备配置,用户的设备中是否有防病毒、软件、服务、外设等等网络位置分析,用户来自于办公室、楼层还是家中、网吧其他定制的安全扫描基于扫描结果可以决定哪些应用可以访问,控制范围包括集中应用发布平台上发布的所有应用,以及每个应用的操作权限如:是否可以访问应用在应用系统中否可以打印从文件中粘贴复制内容上传和下载文件,保存到本地或者文件服务器在线安全编辑(内存中进行3.4.应用部署移动办公系统的部署工作,主要是将应用客户端部署在虚拟应用服务器上。以Lotus Notes为
17、例说明如何在服务器上进行应用部署。部署基于Notes的虚拟应用时,对于原先部属的Lotus Notes办公系统、Domino服务器、数据库服务器等应用系统不变,通过在原来的Domino服务器前,增加了Citrix 虚拟服务器。原先安装在客户端的Notes客户端程序现在需要安装在Citrix服务器上。相应的客户端的配置文件,统一安装在一台单独的文件服务器之内,在客户端访问的时候,可以提取相应的客户端信息进行认证。在将要部署Citrix系统的服务器上先安装好win2003 server和Citrix之后,那么就需要发布Lotus Notes的客户端了。具体步骤如下:首先创建一个域管理员账号来安装N
18、otes(如,Notesadmin所有登陆系统的用户都有一个主目录,把此目录映射成一个盘符,如W,可运行Microsoft Application Compatibility Scripts目录下的chkroot.cmd。用新创建的Notesadmin账号登陆系统,在命令行提示符下打入change user /install,是系统处于安装模式,然后运行安装Lotus Notes,注意选择共享安装。安装完毕后,不要重启系统,再次运行Lotus Notes安装程序,此次不要选择共享安装,在程序文件夹目录下选c:lotusnotes,在数据文件夹下选w:lotusnotesdata 安装完毕后,不
19、要启动notes,不要重启系统。在c:lotusnotes下打开notes.ini文件,修改Directory=w:lotusnotesdata,并添加一条目,WinNTIconPath=w:lotusnotesdataw32。保存此文件并剪切到w:lotusnotesdata目录下,在Citrix里发布lotus notes应用程序时,指定工作目录为w:lotusnotes 制定登陆脚本,使每个登录的新用户都能拷贝Notesadmin的主目录到自己的w盘下将每个用户登录Lotus的ID文件拷贝到其相应中央共享目录中通过这样配置,每个用户通过Citrix来使用Lotus时,互相之间就不会产生影
20、响,每个用户将有自己的配置或模板文件,使用起来得心应手。3.5.客户端要求虚拟应用的客户端支持最新的的智能手机,以及其他客户端操作系统。Citrix支持的智能手机/PDA如下:Apple iPhone/iPod TouchAndroid GPhoneBlackBerryWindow Mobile/PocketPCEPOS/SymbianNokia 9000系列/E61/E70/SE S60 3RD S80Citrix支持的其他客户端类型如下:Windows:32-bit: 95, 98, NT and 2000/XP/2003/Vista16-bit: 3.1, 3.11, WFWGCEDOS
21、: 32-bit, 16-bit Real Mode VersionMacintosh: iMAC, 68k & PowerPCUnix:HP-UXIBM AIXSolaris SparcSolaris x86SunOSSGI IRIXCompaq Tru64SCO - UnixWare, OpenServerLinux: Red Hat, Caldera, SuSE, Slackware4.虚拟应用平台功能移动办公应用集中发布平台,不仅实现了应用的集中部署和远程使用,同时必须保证后台服务器的可靠性、可扩展性和可管理性,具体功能如下。集群能力无论是用户访问,还是后台管理员的管理对象,都不是单台
22、的服务器,而是一个单一的集群。否则随着应用的增多和用户数的增多,对服务器的资源调度和管理将成为瓶颈。平台的集群功能包括:在操作系统之上建立集群平台层,管理员应用发布的设置和管理只需针对平台,而不需一台一台服务器进行设置通过集群平台可以提高整体后台的可靠性和可扩展性通过集群平台可以有效地将工作负载进行分担,其负载算法应根据服务器的CPU、内存、磁盘交换等多种逻辑由管理员定义组合计算集群平台可以根据用户身份进行会话重连,以实现跨客户端设备和网络的工作漫游通过集群平台可以优化操作系统计算资源,如控制整体CPU计算能力按照用户均分,优化应用的内存消耗等,以提高后台支持并发访问的能力应用控制应用发布平台
23、能够实现应用粒度的控制,即各个应用可以在集群中独立发布,用户可以针对单个应用独立访问。例如集群中1至4号服务器发布应用OA门户,5、6号服务器发布OFFICE工具,7、8号服务器发布IE等工具,这样后台的管理更加灵活,1至4号服务器可以专门针对OA应用进行优化。另外可以控制应用运行的位置,如果用户使用PC机并在局域网内,可以允许OFFICE以应用流模式下载并运行在客户端,以节省服务器计算资源。平台的应用控制功能包括:可以独立发布和访问应用,而不依赖于桌面可以实现应用只安装一次,就可以部署到平台服务器上,无需在每台服务器上安装可以控制应用的运行位置,如运行在服务器上还是运行在客户端可以控制应用在
24、服务器上的进程数,以防止单个用户运行大量应用耗尽后台资源可以控制应用对外设的访问,如是否可以拷贝文件、是否可以打印、是否可以粘贴内容可以解决应用兼容性问题,如将互相冲突的应用安装在同一台服务器上,以节省服务器资源提供应用标准外设的支持以及非标准外设的集成接口带宽控制由于应用集中运行时,会话会持续消耗网络带宽,因此带宽控制能力,是后台支持并发能力的一个重要指标。平台的带宽控制能力包括:每用户消耗带宽应尽可能低,例如10K-20K控制带宽的消耗,如设定每用户消耗带宽的最大值能够细粒度控制传输数据对带宽的消耗,如分别控制打印数据、磁盘文件拷贝、声音数据等对带宽消耗的最大值提供网络硬件加速方案,实现诸
25、如压缩、缓存和TCP/CIFS等协议优化,以进一步节省带宽,从而提高用户在有限带宽下的应用体验终端访问控制由于用户的访问终端和环境各异,例如终端设备和PC机共存,而PC机的安全隐患较多,因此需要针对用户的访问进行识别和权限控制。平台的访问控制能力包括:能够识别用户访问的终端设备类型能够通过策略设置,即使相同的客户如果通过不同的终端设备访问到的应用不同,例如某些应用只有图形终端能用,PC机不能用等能够通过策略设置,即使相同的应用如果通过不同的终端设备或网络环境访问时使用的外设不同,例如在办公室可以打印,办公室外不许打印。能够设别终端设备是否满足安全条件,比如是否安装防病毒软件等,如果安装了才可以
26、使用某些应用,后者才可以使用某些外设等可视化监控对服务器和客户端用户的使用进行监控,并提供可视化监控界面和报表,是集中应用发布平台的必备功能,因为用户业务运行的压力全部在服务器上,用户的使用和后台服务器状态、操作系统报错、网络状况密切相关,能否全面监控和管理,是所有用户正常使用的保证。平台的访问控制能力包括:提供平台健康状况监控的可视化仪表盘自动收集所有服务器的系统事件报警和错误并统一通知管理员提供相关的数据钻取帮助管理员定位用户问题提供用户远程访问会话信息记录提供用户体验记录,包括会话内部的事件记录(如连接过程、加载驱动、加载配置文件的详细过程和时间记录提供系统管理的统计报表,如用户访问统计
27、、资源消耗情况、网络延时统计、系统出错统计等提供用户的远程工作监控和接管5.系统配置方案目前企业应用是以32位操作系统为主,而32位操作系统的内存访问瓶颈是2G内核空间,虽然操作系统可以扩展用户访问空间,但是无法扩展内核空间,因此只要2G内核空间用完,配再多的内存都是无效,服务器性能也无法提升。虚拟应用服务器的配置可以采用服务器虚拟化技术,因为服务器虚拟化可以有效解决32位系统的内存瓶颈问题,将一台物理服务器虚拟成多台逻辑服务器(4G-8G,然后在每台逻辑服务器中安装32位操作系统及软件。5.1.服务器角色分类虚拟应用平台所需逻辑服务器的角色包括:XenApp服务器(虚拟应用,运行各种办公软件
28、Windows 2003 Server + SP2(EnterpriseCitrix XenApp微软终端服务用户的办公软件WEB 服务器(访问门户Windows 2003 Standard Server + SP2IIS 6或Tomcat等Citrix Web Interface域控制器DC(用户管理及权限定义Windows 2003 Standard Server + SP2为避免单点故障,域控制器需要有备份数据库/文件服务器(记录配置参数存放配置文件Windows 2003 Server + SP2MS SQL Server5.2.服务器容量估算在整个架构设计中,辅助服务器压力不大,用户
29、访问使用OA系统的压力全部集中在XenApp服务器上。压力测试的基准数据来源于硬件厂商如IBM的实验室对服务器计算能力的实测数据,在模拟多个并发用户分别以简单、普通、高负载三种操作频率使用流行的MS Office 2000软件,Windows 2000/2003 Enterprise Server +Citrix XenApp 服务器+IBM刀片服务器HS20(配有2路至强DP 2.4G,4G RAM,一个40G的IDE硬盘,一个18G15000转scsi 硬盘,2块千兆网卡,可以最多支持320、215、170个并发用户。再根据Citrix以往的成功实施经验,如果使用2-4-2(2CPU,4G
30、内存,2个硬盘的配置建议,每台服务器将能顺畅支持约50-100个并发用户(根据每个用户同时使用应用多少而变化。当服务器并发处理任务时,性能主要取决于硬件,主要消耗指标为CPU和内存。根据大量用户的使用经验,当服务器CPU平均使用率和内存使用率高于80%时,服务器响应会明显下降,因此我们测试的依据是,在现有硬件条件下,以80%为极限,计算出现有服务器硬件能够在合理性能范围内支持的最大用户数。对于OA办公系统,一般为内存消耗型应用,消耗内存最小90M,最大时200M,保守估计平均每并发用户消耗150M内存。以一台XA服务器配置为8G为基准,为保证其最高效率内存消耗不超过80%为6.4G。而一个并发
31、访问平均消耗内存150M,6.4G/150M=43,因此从内存估算一个8G的32位XA 服务器支持43个并发。支持100个并发需要3台XA服务器5.3.服务器配置示意针对100并发的移动办公的典型配置,建议虚拟服务器服务器采用如下硬件配置: 服务器物理2台,每台分配的逻辑服务器5台,包括:DC域控服务器(2G 1台,WEB 服务器(4G 1台,XA(8G3台。服务器角色分配如下图所示: 5.4.软硬件配置列表针对100个并发访问规模的软硬件列表如下: 注1:存储根据用户的实际情况选配注2:如果使用SSL VPN及智能场景识别功能,需要配置此硬件。注3:采用虚拟化后,微软操作系统一套授权可以安装4套虚拟机,具体请查询微软。6.附录思杰公司简介Citrix系统有限公司是全球领先的应用交付解决方案供应商,为企业、政府、教育等机构提供服务。作为企业级应用交付领域和虚拟化技术最知名的品牌
