Citrix ADC和亚马逊Web服务验证参考设计

概述Citrix组网VPX

Citrix ADC是一个一体化的应用程序交付控制器，它使应用程序的运行性能提高了五倍，降低了应用程序拥有成本，优化了用户体验，并通过以下方式确保应用程序始终可用:

• 高级4-7层业务负载均衡和流量管理
• 经过验证的应用程序加速，如HTTP压缩和缓存
• 为应用程序安全提供集成的应用程序防火墙
• 服务器卸载可以显著降低成本并整合服务器

作为服务和应用程序交付的无可争议的领导者，Citrix ADC部署在世界各地的数千个网络中，以优化、安全和控制所有企业和云服务的交付。Citrix ADC直接部署在web和数据库服务器前面，将高速负载平衡和内容交换、HTTP压缩、内容缓存、SSL加速、应用程序流可见性和强大的应用程序防火墙结合到一个集成的、易于使用的平台中。通过将网络数据转换为可操作的业务智能的端到端监视，满足sla大大简化了。Citrix ADC允许使用简单的声明式策略引擎定义和管理策略，而不需要编程专业知识。

Citrix ADC在Amazon Web Services中的概述

从10.5-61.11版本开始，可以在Amazon Web Services (AWS)中提供对Citrix Networking VPX的支持。Citrix Networking VPX在AWS市场上作为Amazon Machine Image (AMI)提供。Citrix Networking VPX on AWS使客户能够利用AWS云计算能力，并根据业务需求使用Citrix ADC负载平衡和流量管理特性。AWS上的Citrix ADC支持物理Citrix ADC设备的所有流量管理特性。在AWS中运行的Citrix ADC实例可以部署为独立实例，也可以部署为HA对。

Citrix Networking VPX AMI被打包为一个EC2实例，在AWS VPC中启动。VPX AMI实例至少需要2个虚拟cpu和2 GB内存。在AWS VPC中启动的EC2实例也可以提供VPX配置所需的多个接口、每个接口有多个IP地址、公网IP地址和私有IP地址。目前，在AWS中，VPX只能在VPC内启动，因为每个VPX实例至少需要3个IP地址。(虽然AWS上的VPX可以通过一个或两个弹性网络接口实现，但Citrix建议AWS上的标准VPX安装需要三个网络接口。)AWS目前只对运行在AWS VPC中的实例提供多ip功能。VPC中的VPX实例可以用于负载均衡运行在EC2实例中的服务器。

通过使用Amazon VPC，用户可以创建和控制一个虚拟的网络环境，包括自己的IP地址范围、子网、路由表和网络网关。

注意:

默认情况下，每个AWS帐户在每个AWS区域内最多可创建5个VPC实例。用户可以通过提交的方式请求更高的VPC限制亚马逊的申请表．

在AWS VPC中启动了Citrix Networking VPX (AMI镜像)的EC2实例。

下图为典型的VPX在AWS部署场景。

以AWS VPC为例，以Citrix组网方式部署VPC为例，拓扑图简单。AWS VPC具有:

1. 一个Internet网关，用于VPC内外的路由。
2. Internet网关与Internet之间的网络连接。
3. 三个子网，分别用于管理、客户端和服务器。
4. Internet网关和两个子网(管理子网和客户端子网)之间的网络连通性。
5. 单个Citrix Networking VPX部署在VPC内。VPX实例有三个弹性网络接口(eni)，每个子网对应一个。

限制和使用指南

• VPX不支持集群特性。
• 为了使HA能够正常工作，需要将专用的NATing设备关联到管理接口或将EIP关联到NSIP。有关NAT的更多信息，请参见AWS文档中的NAT实例。
• 数据流量和管理流量应该通过属于不同子网的eni进行隔离。
• 只有NSIP地址应该出现在管理ENI上。
• 如果使用NAT实例进行安全保护，而不是将EIP分配给NSIP，则需要对VPC级别进行相应的路由调整。修改VPC级别路由的操作，请参考AWS的相关文档场景2:VPC中同时存在公私子网．
• VPX实例可以从一种EC2实例类型移动到另一种(例如，从m3。Large到m3.xlarge)。
• 对于在AWS上的VPX存储选项，Citrix推荐EBS，因为它是持久的，而且即使从实例分离数据也可以使用。
• 不支持动态添加eni到VPX。必须重新启动VPX实例才能应用更新。Citrix建议您停止独立实例或HA实例，附加新的ENI，然后重新启动实例。
• 您可以为一个ENI分配多个IP地址。每个ENI的最大IP地址数由EC2实例类型决定，参见EC2支持eni和IP地址．
• Citrix建议避免在Citrix Networking VPX接口上使用enable和disable interface命令。

由于AWS的限制，不支持以下特性:

第三层限制:

• 动态路由
• IPV6

2层限制:

• ARP (GARP)
• L2模式
• VLAN标记
• 虚拟MAC (VMAC)

支持EC2实例、ENI和IP地址容量

Citrix ADC AMI可以在以下任何EC2实例类型上启动。该表列出了每种支持的EC2实例类型及其对应的支持ENI的数量，以及每个ENI的私有IPv4地址的数量。

有关更多信息，请参见Amazon EC2实例

用例

与需要将每个服务作为单独的虚拟设备部署的替代解决方案相比，AWS上的Citrix ADC在单个VPX实例中结合了L4负载平衡、L7流量管理、服务器卸载、应用程序加速、应用程序安全性和其他基本应用程序交付功能，可通过AWS Marketplace方便地获得。此外，一切都由单一策略框架控制，并使用相同的、功能强大的工具集进行管理，这些工具集用于管理本地Citrix ADC部署。最终的结果是，AWS上的Citrix ADC支持几个引人注目的用例，这些用例不仅支持当今企业的即时需求，而且还支持从遗留计算基础设施到企业云数据中心的持续演进。

Web、虚拟应用程序和桌面应用程序的生产交付

积极采用AWS作为基础设施即服务(IaaS)的企业现在可以使用世界上最大的网站和云服务提供商使用的相同的云网络平台来为应用程序提供生产交付。可以利用广泛的卸载、加速和安全功能来提高性能和降低成本。

XenDesktop 7.5和XenApp 7.5已经被重新设计为云解决方案，可以将任何Windows应用程序或桌面交付到跨任何网络、任何设备的云服务中。通过部署这个扩展的应用程序和桌面交付平台，您可以利用任何虚拟基础设施或云管理平台。这使您能够利用云计算的自动化和编排功能。

混合云的设计

遵循混合云策略的企业IT组织通过选择哪些应用程序和哪些使用场景最适合他们的私有云，哪些最适合公共云，从而使他们能够灵活、增长和转换，以满足现代工作场所的需求，从而获得两全其美的效果。

通过在AWS上使用Citrix ADC，跨越企业数据中心并扩展到AWS的混合云可以从相同的云网络平台获益。Citrix ADC极大地简化了应用程序和工作负载在私有数据中心和AWS之间的来回转换。从使用DataStream的智能数据库负载平衡到使用AppFlow®的前所未有的应用程序可见性，以及使用Action Analytics的实时监控和响应，所有功能都可以在AWS上使用Citrix ADC。

业务连续性

希望使用AWS作为其灾难恢复和业务连续性计划的一部分的企业可以依赖于同时在本地和AWS内运行的Citrix ADC全局服务器负载平衡，以持续监视企业数据中心和AWS环境的可用性和性能，确保用户总是被发送到最佳位置。

当您在Citrix ADC设备上配置GSLB并启用度量交换协议(MEP)时，这些设备将使用DNS基础结构将客户端连接到最符合您设置的标准的数据中心。这些标准可以指定负载最少的数据中心、最近的数据中心、对来自客户机位置的请求响应最快的数据中心、这些指标的组合以及SNMP指标。设备跟踪每个数据中心的位置、性能、负载和可用性，并使用这些因素选择向哪个数据中心发送客户机请求。GSLB配置由配置中每个设备上的一组GSLB实体组成。这些实体包括GSLB站点、GSLB服务、GSLB虚拟服务器、负载均衡和/或内容交换服务器和ADNS服务。

开发和测试

企业在现场运行产品交付，但是使用AWS进行开发和测试现在可以在AWS测试环境中包含Citrix ADC，由于在测试环境中更好地模拟了生产实现，因此加快了生产时间。

在每个用例中，网络架构师还可以利用Citrix CloudBridge(配置为独立实例或Citrix ADC白金版实例的特性)来保护和优化一个或多个企业数据中心与AWS Cloud之间的连接，从而加快数据传输/同步，并将网络成本降至最低。

网络架构- ENI和EIP

VPC中启动的Citrix ADC实例最多可以有8个eni (elastic network interface)。反过来，每个ENI可以分配一个或多个私有IP地址，其中每个地址都可以被映射到一个可公开路由的弹性IP地址。

在这种情况下，使网络接口和IP地址具有“弹性”的是能够以编程方式将它们重新映射到其他实例——这个特性可以从实例或可用区域故障中恢复，而不必等待硬件更换，或等待DNS更改完全传播到所有客户。

需要考虑的其他细节包括:

• 一个实例可以在不同的子网中具有不同的eni(但不在不同的可用分区中)。
• 每个ENI必须至少有一个分配给它的IP地址，并且必须分配给一个安全组(见下文)。
• 每个子网(即10.x.x.1-4)的地址1-4预留给Amazon使用。
• Citrix ADC只知道私有IP地址。任何分配的eip都不会显示在Citrix ADC CLI或任何相关管理工具中。

EC2和VPC

AWS包含多种不同的服务，如Amazon S3 (Simple Storage services)、Amazon EC2 (Elastic Compute Cloud)和Amazon VPC (Virtual Private Cloud)。在后两者之间的区别在本例中很重要。特别是，在EC2中，虚拟机实例被限制到单个网络接口和单个IP地址。此外，网络功能和控制也非常少。这就排除了对Citrix ADC使用EC2——这需要至少三个IP地址——这也是为什么Citrix ADC实例只能在AWS VPC内启动的原因。

vpc不仅支持具有多个接口、多个私有IP地址和公网IP地址的虚拟机，还可以创建和控制一个独立的虚拟网络环境，拥有自己的IP地址范围、子网、路由表和网络网关。

区域和可用性区域

在AWS云中，区域指的是特定的地理位置，如美国东部。在每个区域内至少有两个可用分区，每个可用分区都可以看作是一个独立的云数据中心，经过设计，可以与其他可用分区中的故障隔离，并向同一区域内的其他可用分区提供廉价、低延迟的网络连接。

通过在单独的可用分区中实现实例，可以保护应用程序不受影响单个位置的故障的影响。

网络架构师在这个级别需要注意的限制和依赖包括:

• 虽然一个虚拟私有云可以跨越多个可用分区，但它不能跨越多个区域。
• VPC内的单个子网不能跨越多个可用分区。
• 所有进出VPC的流量都必须经过对应的Internet默认网关

在AWS上配置VPX

在本练习中，您将创建VPC和子网，并在子网中启动一个面向公共的实例。您的实例将能够与Internet通信，并且您将能够使用SSH(如果它是一个Linux实例)或远程桌面(如果它是一个Windows实例)从本地计算机访问您的实例。在您的现实环境中，您可以使用此场景创建面向公共的web服务器;例如，托管一个博客。

注意:

本练习旨在帮助您快速创建属于自己的非默认VPC。如果您已经有一个默认VPC，并且您想开始在默认VPC中加载实例(而不是创建或配置新的VPC)，请参见在默认VPC中启动EC2实例．

要完成这个练习，您需要做以下操作:

• 创建单个公网子网的非默认VPC。子网使您能够根据安全性和操作需求对实例进行分组。公网子网是指通过Internet网关访问Internet的子网。
• 为您的实例创建一个只允许通过特定端口的流量的安全组。
• 在子网中启动一个Amazon EC2实例。
• 将弹性IP地址与实例关联。这允许您的实例访问Internet。

首次使用Amazon VPC时，需要先注册AWS服务。注册后，您的AWS帐户将自动注册AWS中的所有服务，包括Amazon VPC。如果您还没有创建AWS帐户，请转到http://aws.amazon.com，然后选择创建一个免费帐户．

步骤1:创建VPC

在此步骤中，您将使用Amazon VPC控制台中的Amazon VPC向导创建VPC。向导为您执行以下步骤:

• 创建CIDR类型为/16的VPC(即私有IP地址个数为65536的网络)。关于CIDR表示法和VPC规模的更多信息，请参见您的VPC。
• 为VPC挂载Internet网关。有关Internet网关的更多信息，请参见互联网网关．
• 在VPC中创建大小为/24的子网(256个私网IP地址)。
• 创建自定义路由表，并将其与您的子网关联，以便流量可以在子网和Internet网关之间流动。有关路由表的更多信息，请参见路由表．

完成此步骤后，VPC的架构如图所示。

使用Amazon VPC向导创建VPC

1. 打开Amazon VPC控制台https://console.aws.amazon.com/vpc/．

2. 在界面右上方的导航栏中，记录VPC所在的区域。在接下来的练习中，请确保您继续在同一个区域中工作，因为您不能从不同的区域向VPC中启动一个实例。有关区域的更多信息，请参见区域和可用分区．

3. 在导航窗格中，选择VPC仪表板，然后选择开始VPC向导．

   注意:

   请勿在导航栏中选择“您的vpc”;在该界面无法访问VPC的向导。

4. 选择第一个选项，单公网子网VPC，然后选择选择．

5. 在配置界面的“VPC名称”字段中输入VPC的名称;例如，输入“my-vpc”，并在子网名称字段。创建完成后，您可以在Amazon VPC控制台中快速识别VPC和子网。对于本练习，您可以将其余的配置设置保留在页面上，然后进行选择创建VPC．

   (可选)如果您愿意修改如下配置，您可以选择创建VPC．

   • IP CIDR块显示您将用于VPC的IP地址范围(10.0.0.0/16)，Public subnet字段显示您将用于子网的IP地址范围(10.0.0.0/24)。如果你不想使用默认的CIDR范围，你可以指定你自己的。有关更多信息，请参见VPC和子网扩容．

   • 通过使用“可用分区”列表，可以选择创建子网的可用分区。您可以保留“无首选项”，以让AWS为您选择可用性分区。有关更多信息，请参见区域和可用分区．

   • 在“为Amazon S3添加端点到子网”区域中，可以在子网中为Amazon S3创建VPC端点。有关更多信息，请参见VPC端点．

   • 的使DNS主机名选项设置为“Yes”时，保证在VPC中启动的实例收到DNS主机名。有关更多信息，请参见在VPC中使用DNS．

   • 使用“硬件租户”选项，您可以选择创建VPC的实例是运行在共享硬件上，还是运行在专用硬件上。选择专用租赁会产生额外的成本。有关硬件租赁的更多信息，请参见专用的实例．

6. 状态窗口显示正在进行的工作。当工作完成时，选择好吧关闭状态窗口。

7. 的vpc页面界面显示默认VPC和刚创建的VPC。创建的VPC为非默认VPC默认VPC列显示没有。

查看VPC信息

VPC创建完成后，可以查看子网、Internet网关、路由表等信息。创建的VPC中有两个路由表，一个是所有VPC默认存在的主路由表，另一个是根据向导创建的自定义路由表。自定义路由表与您的子网相关联，这意味着该表中的路由决定了子网的流量如何流动。在VPC中添加新子网时，默认使用主路由表。

查看VPC的信息

1. 打开Amazon VPC控制台https://console.aws.amazon.com/vpc/．
2. 在导航窗格中，选择你的vpc．记录所创建VPC的名称和ID(查看“名称”和“VPC ID”列)。您可以使用这些信息来识别与VPC相关联的组件。
3. 在导航窗格中，选择子网．控制台显示创建VPC时创建的子网。通过子网的名称来识别子网的名字列，或者使用上一步获取的VPC信息，在“VPC”列中查看。
4. 在导航窗格中，选择互联网网关．在“VPC”列中，显示VPC的ID和名称(如有)，可以找到与VPC挂载的Internet网关。
5. 在导航窗格中，选择路由表．与VPC关联的路由表有两个。选择自定义路由表(“Main”列显示“No”)，然后选择“Routes”页签，在详细信息窗格中显示路由信息:
   • 表中第一行为本地路由，用于VPC内的实例之间通信。该路由默认存在于每个路由表中，不能删除。
   • 第二行为Amazon VPC向导添加的路由，目的是使访问VPC外部IP地址(0.0.0.0/0)的流量从子网流向Internet网关。
6. 选择主路由表。主路由表中只有一条本地路由，没有其他路由。

步骤2:创建安全组12

安全组充当虚拟防火墙的角色，对其关联实例的流量进行控制。要使用安全组，需要添加入站规则来控制实例的传入流量，并添加出站规则来控制来自实例的传出流量。要将安全组与实例关联，需要在启动实例时指定安全组。如果您从安全组中添加和删除规则，我们将自动将这些更改应用于与安全组关联的实例。

VPC自带默认安全组。在启动期间没有与其他安全组关联的任何实例都与默认安全组关联。在本练习中，您将创建一个新的安全组WebServerSG，并在向VPC中启动实例时指定该安全组。

主题

• 创建WebServerSG安全组
• WebServerSG安全组规则

创建WebServerSG安全组

您可以通过Amazon VPC控制台创建安全组。

WebServerSG安全组规则

下表描述了WebServerSG安全组的入站和出站规则。您将自己添加入站规则。出站规则是一个默认规则，它允许所有出站通信到任何地方—您不需要自己添加此规则。

创建WebServerSG安全组并添加规则

1. 打开Amazon VPC控制台https://aws.amazon.com/console/．
2. 在导航窗格中，选择安全组．
3. 选择创建安全组．
4. 在Group name字段中，输入WebServerSG作为安全组的名称，并提供描述。您可以选择使用Name标记字段为安全组创建一个带有Name键和指定值的标记。
5. 选择VPC ID在VPC菜单中，单击是的，创建．
6. 选择WebServerSG安全组(您可以在Group name列中查看其名称)。
7. 在入站规则选项卡,选择编辑并按如下方式添加入站流量规则，然后选择保存当你完成:
   • 选择HTTP，然后输入0.0.0.0/0在源字段。
   • 选择添加另一个规则,然后选择HTTPS，然后输入0.0.0.0/0在源字段。
   • 选择添加另一个规则．如果要启动Linux实例，请选择SSH从Type列表中，或者如果您启动的是Windows实例，请选择RDP从类型列表中。中输入网络的公共IP地址范围源字段。如果您不知道这个地址范围，您可以使用0.0.0.0/0进行这个练习。

警告:

如果您使用0.0.0.0/0，您将启用所有IP地址通过SSH或RDP访问您的实例。这对于短期练习是可以接受的，但对于生产环境是不安全的。在生产环境中，您将只授权特定的IP地址或地址范围来访问您的实例。

步骤3:在VPC中启动实例

在VPC中启动EC2实例时，需要指定启动EC2实例的子网。在这种情况下，您将在创建VPC的公共子网中启动一个实例。您将使用Amazon EC2控制台中的Amazon EC2启动向导来启动您的实例。

完成此步骤后，VPC的架构如图所示。

在VPC中启动EC2实例

1. 打开Amazon EC2控制台．
2. 在右上方的导航栏中，请确保选择的区域与创建VPC和安全组的区域一致。
3. 从仪表板中选择启动实例．
4. 在向导的第一页上，选择要使用的AMI。对于这个练习，我们建议您选择一个亚马逊Linux AMI或者一个Windows AMI．
5. 在选择实例类型页中，您可以选择要启动的实例的硬件配置和大小。默认情况下，向导根据所选择的AMI选择第一个可用实例类型。您可以保留默认选择，然后再进行选择下一步:配置实例详细信息．
6. 在配置实例细节页面,选择VPC从Network列表中创建的子网，以及从子网列表。保留其余的默认设置，浏览向导的下一页，直到进入Tag Instance页面。
7. 在标签实例页中，您可以使用Name标记标记您的实例;例如,Name = MyWebServer。这有助于您在启动Amazon EC2控制台后识别实例。选择下一步:配置安全组当你做完的时候。
8. 在配置安全组页后，向导自动定义launch-wizard-x安全组，以允许您连接到实例。相反，选择“选择一个现有的安全组”选项，选择您前面创建的WebServerSG组，然后选择审查和发布．
9. 在审查实例启动页，检查实例的详细信息，然后选择发射．
10. 在请选择已存在的密钥对或创建新的密钥对对话框中，您可以选择现有的密钥对，也可以创建一个新的密钥对。如果创建了新的密钥对，请确保下载了文件并将其存储在安全的位置。您需要私钥的内容在实例启动后连接到实例。要启动您的实例，请选择确认复选框，然后选择启动实例．
11. 在确认页面，选择视图实例来查看您的实例实例页面。选择您的实例，并在描述选项卡。Private IP '字段显示子网中分配给您实例的IP地址范围中的私有IP地址。

步骤4:为实例分配弹性IP地址

在前面的步骤中，您将实例启动到一个公共子网中——该子网具有到Internet网关的路由。但是，子网中的实例还需要一个公共IP地址才能与Internet通信。默认情况下，不为非默认VPC中的实例分配公网IP地址。在这一步中，您将为您的帐户分配一个弹性IP地址，然后将它与您的实例关联。了解弹性IP的更多信息，请参见弹性IP地址．

完成此步骤后，VPC的架构如图所示。

分配和分配弹性IP地址

1. 打开Amazon VPC控制台https://console.aws.amazon.com/vpc/．
2. 在导航窗格中，选择弹性ip．

3. 选择分配新地址,然后是的,分配。

   注意:

   如果您的帐户支持EC2-Classic，请优先选择EC2-VPC从网络平台列表。

4. 选择弹性IP地址从列表中选择行动，然后选择联系地址．
5. 在对话框中，选择实例从联系列表，然后从实例列表．选择是的完成后再联系。

您的实例现在可以从Internet访问。您可以使用SSH或远程桌面从您的家庭网络通过弹性IP地址连接到您的实例。有关如何连接到Linux实例的更多信息，请参见连接到Linux实例在亚马逊EC2用户指南Linux实例。有关如何连接到Windows实例的更多信息，请参见使用RDP连接到您的Windows实例在Amazon EC2用户指南的Windows实例。

这就完成了练习;您可以选择在VPC中继续使用该实例，也可以选择不再使用该实例时，终止该实例并释放其弹性IP地址，以避免使用弹性IP地址产生的费用。您也可以删除VPC，但在本演练中创建的VPC和VPC的组件(如子网、路由表等)是不收费的。

配置Citrix虚拟应用和桌面统一网关

导航到Citrix ADC的管理控制台。

使用nsroot和AWS在构建过程中分配的实例ID登录到Citrix ADC。

安装SSL证书:

1. 导航到流量管理—SSL．右键单击并启用此功能。
2. 使用密钥对导入SSL证书。

安装SSL证书:

1. 展开Citrix Gateway并选择虚拟服务器．

2. 点击添加．

   输入在Citrix ADC构建过程中分配的公共子网中的网关和IP地址的名称。

   注意:

   请将此IP地址写下来，以便后续分配弹性IP时使用。

3. 点击好吧,然后单击没有服务器证书，并选择您先前导入的证书。点击绑定．
4. 点击好吧而且完成，在这个阶段，您应该有一个显示为“Up”状态的Citrix Gateway。

统一网关的配置请参见https://support.citrix.com/article/CTX205485．

提供统一网关实例的外部接入:

1. 登录到AWS门户网站AWS .amazon.com，并导航到您的实例。

2. 右键单击Citrix ADC，选择网络然后管理私有IP地址．

3. 点击分配新的IP在你想要运行Citrix ADC网关的接口上。

4. 分配IP地址，确保使用分配给Citrix ADC网关的相同地址。

5. 点击是的更新．这将在AWS级别上将新IP地址分配给实例。您现在可以为这个私有IP分配一个新的弹性IP。
6. 选择“网络和安全”和“弹性IPs”。

7. 点击分配新地址，当提示时-选择是的获取新的IP地址。

8. 从列表中选择地址并选择联系地址．

9. 选择Citrix ADC您以前从实例列表中构建的实例。一旦选择了这个，就可以选择静态分配给实例的IP地址(与Citrix Gateway相同的地址)并进行选择联系．

10. 将您的DNS名称记录指向Amazon分配给您的弹性IP地址。
11. 登录到您的Citrix网关。

StoreFront的高可用性负载平衡

请参阅Citrix配置步骤．

在两个AWS站点配置GSLB

在AWS上为Citrix ADC建立GSLB，主要是配置Citrix ADC在所属VPC外部的服务器上进行负载均衡，例如在不同可用性区域的另一个VPC内或在本地数据中心内等。

基于域名的服务(GSLB DBS)和云负载均衡器

GSLB和DBS概述

Citrix ADC GSLB支持为云负载平衡器使用DBS(基于域的服务)，允许使用云负载平衡器解决方案自动发现动态云服务。此配置允许Citrix ADC在双活(Active-Active)环境中实现全局服务器负载均衡域名基于服务(GSLB DBS)。DBS允许从DNS发现扩展AWS和Microsoft Azure环境中的后端资源。

本节将介绍Citrix ADC在AWS和Azure自动伸缩环境中的集成。文档的最后一节详细介绍了如何建立一个跨特定于AWS区域的两个不同可用分区(Availability zone, az)的Citrix adc HA对。

先决条件

Citrix ADC GSLB服务组的先决条件包括一个正常运行的AWS / Microsoft Azure环境，具备配置安全组、Linux Web服务器、AWS中的Citrix ADC、弹性ip和弹性负载均衡器的知识和能力。

GSLB DBS服务集成需要Citrix ADC版本12.0.57用于AWS ELB和Microsoft Azure ALB负载平衡器实例。

Citrix ADC GSLB服务组功能增强

GSLB服务组实体:Citrix ADC版本12.0.57

引入GSLB服务组，利用北斗动态发现支持自动伸缩。

DBS特性组件(基于域的服务)应与GSLB服务组绑定

例子:

> add server syney_server lb - sydney - xxxxxxxxxxxx .ap-southeast-2.elb.amazonaws > add gslb serviceGroup syney_sg HTTP -autoScale DNS -siteName sydney > bind gslb serviceGroup syney_sg syney_server 80 

基于域名的服务——AWS ELB

GLSB DBS利用弹性负载均衡器的FQDN动态更新GSLB服务组，以包括正在AWS中创建和删除的后端服务器。AWS中的后端服务器或实例可以根据网络需求或CPU利用率进行配置，以实现伸缩。为了配置这个特性，我们将Citrix ADC指向我们的弹性负载均衡器，以动态路由到AWS中的不同服务器，而不必在每次在AWS中创建和删除实例时手动更新Citrix ADC。Citrix ADC用于GSLB服务组的DBS特性使用DNS感知服务发现来确定在AutoScaler组中标识的DBS名称空间的成员服务资源。

图:

Citrix ADC GSLB DBA自动伸缩组件与云负载均衡器

在AWS中跨多个可用性分区使用Citrix ADC HA

在AWS中跨不同的可用性区域部署Citrix ADC是为Citrix ADC 12.1发布的一个新特性。这是通过将Citrix ADC附加到一个弹性网络IP地址(ENI)来实现的。

该解决方案的工作方式与其他解决方案略有不同，因为它需要您在VPX上设置HA和独立的网络配置。该解决方案为虚拟服务器使用IP集特性的新功能来维护故障转移。

要开始，您必须登录到Citrix ADC，并定义或设置一个服务器端网络地址、客户端地址以及到两者的路由。

在AWS控制台中，已经使用弹性IP设置了第一个VPX。

进入弹性接口，使解决方案工作的第一件事是将弹性IP与该接口上现有的私有地址关联起来。

建立关联之后，就可以继续进行故障转移了。

在底部，VPX上应该有第二个弹性IP。

所以到VPX启动故障转移，然后回到AWS控制台。这一次查看属于第一个Citrix ADC的弹性ip，注意到新的EIP不在那里，因为它现在已移动到第二个Citrix ADC。

要验证这一点，输入a显示节点命令在第一个和第二个Citrix ADC上，以查看第二个Citrix ADC现在设置在主要的它的状态和以前一样备用．

现在你可以看到实时的交通流量。

您可以在故障转移后向VIP发送请求。如果您在Citrix ADC上的LB虚拟服务器上执行第一个活动的统计，会注意到那里没有请求命中。如果在先前的备用、现在是活动的Citrix ADC上运行相同的命令，可以看到有一个虚拟服务器命中。显示在HA转换之后，流量流向新的Citrix ADC。

现在，如果您想进行一些调试或查看当前状态，可以切换到shell并查找记录，以显示HA故障转移发生的时间，以及AWS配置或API调用的时间，以便将所有eip从主要Citrix ADC切换到次要Citrix ADC。

配置AWS组件

安全组

注意:

建议为ELB、Citrix ADC GSLB实例和Linux实例创建不同的安全组，因为每个实体所需的规则集将是不同的。为了简洁起见，本示例使用了统一的Security Group配置。

看到VPC的安全组确保虚拟防火墙配置正确。

步骤1:

登录您的AWS资源组并导航到EC2．在EC2内导航到网络安全>安全组．

步骤2:

点击创建安全组并提供名字和描述。该安全组包含Citrix ADC和Linux后端web服务器。

步骤3:

从下面的截图中添加入站端口规则。

注意:

对于粒状加固，建议限制源IP访问。

https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/security-group-rules-reference.html#sg-rules-web-server

Amazon Linux后端Web服务

步骤4:

登录您的AWS资源组并导航到EC2．在EC2内导航到实例．

步骤5:

点击启动实例使用下面的详细信息配置亚马逊Linux实例。

填写关于在此实例上设置Web服务器或后端服务的详细信息。

Citrix ADC配置

步骤6:

登录您的AWS资源组并导航到EC2．在EC2内导航到实例．

第七步:

点击启动实例使用下面的详细信息配置亚马逊AMI实例。

弹性IP配置

注意:

如果需要降低成本，Citrix ADC也可以通过不为NSIP提供公共IP来运行单个弹性IP。相反，将弹性IP附加到SNIP，可以覆盖对盒子的管理访问，以及GSLB站点IP和ADNS IP。

第八步:

登录您的AWS资源组并导航到EC2．在EC2内导航到网络与安全然后配置弹性ip．

点击分配新地址创建新的弹性IP地址。

将弹性IP配置为指向AWS中正在运行的Citrix ADC实例。

配置第二个弹性IP并再次将其指向正在运行的Citrix ADC实例。

弹性负载平衡器

步骤9:

登录您的AWS资源组并导航到EC2．在EC2中导航到负载均衡，然后是负载均衡器。

第十步:

点击创建负载均衡器配置一个经典的负载均衡器

您的弹性负载均衡器允许您负载平衡后端Amazon Linux实例，同时也能够负载平衡根据需求旋转的其他实例。

配置全局服务器负载均衡基于域名的业务

交通管理配置

注意:

需要用名称服务器或DNS虚拟服务器配置Citrix ADC，通过该服务器为DBS服务组解析ELB/ALB域。

https://developer-docs.citrix.com/projects/netscaler-command-reference/en/12.0/dns/dns-nameserver/dns-nameserver/

步骤1:

导航到流量管理>负载均衡>服务器．

步骤2:

点击添加为弹性负载均衡器(ELB)提供AWS中a记录(域名)对应的名称和FQDN。

重复步骤2，从AWS中的第二个资源位置添加第二个ELB。

GSLB配置

步骤1:

导航到流量管理> GSLB >站点．

步骤3:

单击添加按钮，配置GSLB站点。

网站的名字。根据您在哪个Citrix ADC上配置站点，“类型”配置为“远程”或“本地”。“站点IP地址”为GSLB站点的IP地址。GSLB站点使用该IP地址与其他GSLB站点通信。当使用某个特定IP托管在外部防火墙或NAT设备上的云服务时，需要公网IP地址。站点应该配置为父站点。确保触发器监测器被设置为ALWAYS，并确保选中底部的度量交换、网络度量交换和持久会话条目交换三个框。

建议将触发器监控器设置设置为MEPDOWN。有关更多信息，请参见配置GSLB服务组．

步骤4:

下面是我们AWS配置的截图，显示了在哪里可以找到站点IP地址和公共IP地址。它们被发现于网络与安全>弹性IPs．

点击创建，重复步骤3和4，为Azure中的其他资源位置配置GSLB站点(这可以在同一个Citrix ADC上配置)

步骤5:

导航到流量管理> GSLB >服务组．

步骤6:

点击添加添加新的服务组。命名服务组，使用HTTP协议，然后在Site Name下选择在前面步骤中创建的各自的站点。一定要将自动缩放模式配置为DNS，并选中“状态和运行状况监视”的复选框。

点击好吧创建服务组。

第七步:

点击服务小组成员并选择基于服务器．选择在运行指南开始时配置的各自的弹性负载均衡服务。配置流量通过80端口。

点击创建．

第八步:

服务组成员绑定应该用它从弹性负载均衡器接收到的两个实例填充。

重复步骤为AWS中的第二个资源位置配置Service Group。(这可以在同一地点完成)。

步骤9:

导航到流量管理> GSLB >虚拟服务器．

点击添加创建虚拟服务器。命名服务器，“DNS记录类型”设置为“A”，“服务类型”设置为“HTTP”，勾选“创建”和“AppFlow日志记录”后的“启用”复选框。点击好吧命令，创建GSLB虚拟服务器。(Citrix ADC GUI)

第十步:

创建GSLB虚拟服务器后，单击无GSLB虚拟服务器服务组绑定．

点击添加创建虚拟服务器。命名服务器，“DNS记录类型”设置为“A”，“服务类型”设置为“HTTP”，勾选“创建”和“AppFlow日志记录”后的“启用”复选框。点击好吧命令，创建GSLB虚拟服务器。(Citrix ADC GUI)

步骤11:

在ServiceGroup绑定下使用选择服务组名称以选择并添加在前面步骤中创建的Service Groups。

步骤12:

接下来，通过单击配置GSLB虚拟服务器域绑定无GSLB虚拟服务器域绑定．配置FQDN和绑定后，其余配置均可使用默认值。

步骤13:

2 .单击，配置ADNS服务没有服务．添加服务名称，单击新服务器，输入ADNS服务器的IP地址。

另外，如果您的ADNS已经配置，您可以选择现有的服务器然后从菜单中选择您的ADNS。确保协议是ADNS，并且流量通过端口53。

配置方法为LEASTCONNECTION，备份方法为ROUNDROBIN

Citrix ADC后端使用AWS自动伸缩

AWS包含一个名为Auto Scaling的特性，该特性基于管理员设置的规则旋转AWS中运行的其他实例。这些规则是根据CPU利用率定义的，并围绕按需创建和删除实例。Citrix ADC直接集成AWS自动伸缩解决方案，使Citrix ADC意识到它可以负载平衡的所有可用后端服务器。该特性的局限性在于它目前只能在AWS中的一个AZ内工作。

配置AWS组件

步骤1:

登录您的AWS资源组并导航到EC2．在EC2内导航到自动伸缩>启动配置．点击创建启动配置．

步骤2:

从这一步开始，您可以选择您所选择的服务器类型。这是配置要自动扩展的虚拟机的地方。对于这个例子，我们必须做出选择亚马逊Linux AMI．

步骤3:

通过从后端资源的潜在差异中选择需要的实例类型。为运行指南的其余部分命名实例。实例的名称称为后端服务器。为实例配置存储并将其添加到安全组，或者创建包含本运行指南中创建的所有AWS组件的新安全组。

步骤4:

关于安全组的另一个注意事项。对于本运行指南，以下是打开的端口:

Citrix ADC后端自动伸缩组和策略

在AWS中配置Citrix ADC前端自动伸缩:

步骤1:

登录您的AWS资源组并导航到EC2．在EC2内导航到自动伸缩>自动伸缩组．

单击广播按钮，从现有的启动配置创建自动伸缩组。一定要选择我们在实验指南的上一步中创建的BackendServer。

下创建自动伸缩组添加组名，选择初始组大小，选择网络和子网，然后按下一个．

注意:

该子网必须与Citrix ADC的子网IP (SNIP)可达。

步骤2:

在创建自动伸缩组配置页面，配置您的伸缩策略。您可以通过单击使用伸缩策略的单选按钮来完成此操作，以调整此组的容量。接下来,单击自动缩放使用分步或简单伸缩策略进行分组。

步骤3:

选择添加新的报警．

步骤4:

在创建警报时，将其配置为向Citrix ADC发送通知。将告警设置为“平均CPU利用率”至少连续一个5分钟的时间段为“>= 70”。应用该策略。

步骤5:

在自动伸缩组中配置，当策略被触发时添加一个实例。

步骤6:

配置相同的告警和策略，但这次是在5分钟内CPU平均值<=30时移除后端服务器。设置减容组大小为触发减容策略时删除1个实例。

注意:

对于删除服务器，我们通知Citrix ADC不要向标记为删除的后端服务器发送任何流量。

单击“配置通知”和“配置标签”，查看并创建自动伸缩组。

注意:

可以配置Min和Max变量，以设置将在自动伸缩组中创建和运行的实例的最少和最高数量。目前AWS只支持使用一个网络接口旋转附加实例。

在AWS中创建一个Citrix ADC

步骤1:

登录您的AWS资源组并导航到EC2．在EC2内导航到实例>实例．

步骤2:

导航到左侧的AWS市场，然后搜索Citrix ADC。选择Citrix Networking VPX -客户授权．确保你的版本号是12.0.51。x使用自动缩放。您可以选择以前的版本，以选择支持自动缩放的Citrix ADC版本。

步骤3:

导航到左侧的AWS市场，然后搜索Citrix ADC。选择Citrix Networking VPX -客户授权．确保你的版本号是12.0.51。x使用自动缩放。您可以选择以前的版本，以选择支持自动缩放的Citrix ADC版本。

选择实例类型，例如General Purpose m4。xlarge 4vCPU和16gb RAM。点击下一个．

步骤4:

在配置实例细节选项卡中,选择子网(NSIP、SNIP和VIP/Gateway最终需要配置三个子网)。另外，还需要添加IAM角色。单击，创建新的IAM Role。添加以下步骤中找到的IAM role。创建此角色后，需要将其添加到Citrix ADC上的云配置文件中。

步骤5:

云配置文件的配置如下:

默认情况下，CloudFormation模板创建并附加下面的IAM角色

"版本":"2012-10-17"，"语句":[{"Action": ["ec2:DescribeAddresses"， "ec2:AssociateAddress"， "ec2:DescribeNetworkInterfaces"， "ec2:DetachNetworkInterface"， "ec2:AttachNetworkInterface"， "ec2:StopInstances"， "ec2:StartInstances"， "ec2:RebootInstances"， "autoscaling:*"， "sns:*"， "sqs:*"， "iam:GetRole"， "iam:SimulatePrincipalPolicy"]资源:"*"效果:允许}]

IAM Role的权限还可以进行如下限制:

“行动”:[ec2: DescribeInstances, ec2: DescribeNetworkInterfaces, ec2: DetachNetworkInterface, ec2: AttachNetworkInterface, ec2: StartInstances, ec2: StopInstances, ec2: RebootInstances, ec2: DescribeAddresses, ec2: AssociateAddress, ec2: DisassociateAddress, ec2: AssignPrivateIpAddress, ec2: UnAssignPrivateIpAddress,自动定量:*,sns: CreateTopic, sns: DeleteTopic, sns: ListTopics, sns:订阅,sqs: CreateQueue, sqs: ListQueues, sqs: DeleteMessage, sqs: GetQueueAttributes, sqs: SetQueueAttributes,iam:SimulatePrincipalPolicy, iam:GetRole] 

步骤6:

单击添加存储选择。在添加标签选项卡，将Key值设置为Name，将value设置为Citrix ADC-Autoscale，以标记这些EC2资源。

第七步:

在配置安全组页签，按如下端口要求新建安全组:

检查并启动实例。

第八步:

导航到网络与安全>网络接口并点击创建网络接口．

先添加描述，再选择子网。这个子网用于您的SNIP，因此它应该放在内部网络的子网中。另外，选择上一步中创建的安全组。点击是的,创建．

添加一个额外的网络接口。这是一个面向您的网关/LB VIP的公共子网。创建描述并选择上面配置的安全组。

步骤9:

导航回实例并选择您的Citrix ADC。要将网络接口添加到Citrix ADC，必须停止实例。在行动列表中,选择实例的状态然后点击停止．

再次点击行动按钮并向下导航到组网和连接组网接口．

虚拟机已经绑定了NSIP接口，接下来需要添加LB-VIP接口，然后再添加SNIP的服务器/内部接口。连接了网络接口之后，就可以启动实例了。

配置新的弹性IP，并将其关联到您的NSIP接口。

配置Citrix ADC与AWS自动伸缩集成

步骤1:

导航到您在本实验指南的上一步中与NSIP关联的弹性IP，以访问Citrix ADC管理控制台。

配置Citrix ADC的第一步是附加一个云配置文件。点击AWS然后云计算简介．下一个点击添加创建云配置文件。

为云配置文件提供一个名称。虚拟服务器IP地址应该填充Citrix ADC上的一个内部IP并与之关联。自动缩放组是您在本实验指南的前面步骤中创建的。选择优雅的，这允许后端实例被删除的超时，允许任何包传输完成，会话在宽限期内不被终止。可以调整宽限期的延时时间。

在AWS中配置Citrix ADC前端自动伸缩

1. 要创建自动伸缩组，请登录到Citrix ADM。

2. 导航到网络>自动伸缩组,然后单击添加命令，创建组名。

3. 在网站设置,点击添加．

创建云访问配置文件

1. 创建站点时，在云访问配置文件,添加AWS．

2. 命名配置文件并登录到AWS门户。搜索身份与访问管理(IAM)管理用户访问和加密密钥的服务。

3. 在我的仪表板中,选择角色，并搜索相应的Citrix ADM角色。

4. 复制的角色是到剪贴板。

5. 复制名称之后，返回到Citrix ADM控制台并将名称粘贴到的角色是文本字段。

6. 要获取外部ID，请返回AWS角色仪表板，导航到信任关系选项卡，并从条件．

7. 在Citrix ADM控制台中，将值粘贴到外部ID字段并单击创建．

8. 选择区域后，再选择相应的VPC网络。

9. 将代理从可用来配置．

10. 选择相应的云访问配置文件．

11. 加载后，将可用性区域从可用来配置并将相应的标记添加到自动定量组．选择下一个要开始设置自动定量参数。

设置自动缩放参数

1. 设置“自动缩放”参数时，请调整阈值而且参数到所需的设置。然后单击下一个要开始配置提供参数设置。

2. 在提供参数部分中选择角色我的角色字段。

3. 选择适当的Citrix ADC产品和版本。

4. 从AWS中的特定实例中收集Amazon Machine Image (AMI) ID。中输入该IDAWS AMI ID字段。

5. 后添加AMI ID,更新安全组和适当的小组一起。

6. 如果要开始配置分区1、分区2和分区3，需要分配对应的管理子网、客户端子网和服务器子网。

7. 点击完成创建此自动伸缩组的配置。创建过程可能需要10-20分钟。

在AWS中初始化实例

1. 在创建自动伸缩组时，打开AWS控制台并导航到服务选项卡。选择Amazon弹性计算云(EC2)服务。

2. 在EC2仪表板上，选择实例选项卡中设置的标记进行筛选自动定量组部分。

3. 经过筛选后，您可以看到仍在初始化的挂起实例。

4. 实例应该在创建后完成初始化。

监视自动伸缩组事件

1. 创建自动伸缩组之后，选择您的组并继续到自动定量组仪表板。

2. 过滤特定时间段来监视自动伸缩组。要获得实时洞察，请将监视周期更改为生活．

3. 单击图中显示的以下数据点可以查看任何组事件。

4. 在查看特定的实时事件时，可以监控对应的自动伸缩组的特定事件。

使用Citrix ADM Service提供Citrix ADC VPX实例

Citrix ADM Service是一个基于云的解决方案，它能够监视Citrix ADC实例，并获得应用程序的运行状况、性能和安全性的可见性。此外，通过利用供应工具在公共云(如AWS)中自动创建实例，它还简化了对多个位置ADC实例的管理，无论它们是在本地还是在云中。

先决条件

使用Citrix ADM Service在AWS上发放Citrix ADC实例需要采取一些步骤，这些步骤在先决条件文档中有总结。有关更多信息，请参见在AWS上发放Citrix ADC VPX实例．

这些步骤包括在Citrix ADM中提供Citrix ADC VPX实例之前在AWS上执行以下任务:

• 创建子网
• 创建安全组
• 创建IAM角色并定义策略

IAM角色需要配置允许Citrix ADM Service访问AWS帐号的权限。在设置好一切之后，您可以利用Citrix ADM服务在AWS上提供VPX实例。

使用Citrix ADM Service提供Citrix ADC VPX实例

登录到Citrix云ADM服务并导航到网络>实例> Citrix ADC．然后下选择行动选项卡上,单击提供在云．

这将提示您定义关于要提供的实例的信息。

具体来说，你必须定义以下内容:

• 类型的实例:这里选择独立实例。
• 名称:您希望实例在提供时采用的名称。
• 网站:站点定义您将在哪个区域或区域进行部署。
• 代理:代理决定在站点内使用哪个ADM代理。这必须在执行自动配置之前进行设置。在开始本练习之前，您需要创建属于该站点的站点和代理。
• 设备简介:具有“nsroot”作为用户名和所需密码的设备配置文件。一旦Citrix ADM提供了Citrix ADC, ADC的nsroot用户密码将设置为配置文件中提到的密码。此外，当Citrix ADM需要登录到实例时，它将使用该配置文件。
• 标签:实例或实例组的可选标记。

然后选择云访问配置文件下载您的AWS帐户。Citrix ADM使用这个概要文件登录您的AWS帐户，以获取实体并执行配置和取消配置等操作。使用该配置文件，Citrix ADM Service用与您的帐户相关的对象填充其余字段。

在这个场景中，已经预定义了一个IAM角色，由Citrix ADM服务用来发放VPX实例，但您也可以创建其他角色。

然后，您必须根据所需的吞吐量选择您想要部署的VPX实例的产品版本。

注意:

使用VPX Express部署VPX实例，无需使用license。

版本

确定您想要运行的软件版本，选择主要版本和次要版本。

安全组

对于不同的vpc，安全组需要具有预先定义的访问权限。因为每个实例需要三个网络接口或vnic，所以需要为部署的服务应用三个不同的安全组，包括:

• 一个用于远程管理(角色NSIP)
• 一个用于客户端访问(角色VIP)
• 一个用于服务器端通信(角色SNIP)

此外，您应该选择此解决方案的可伸缩性所需的必要数量的ip。

最后，选择部署在可用分区中，并为每个可用分区定义对应的VPC子网信息。

• 一个用于管理接口(NSIP)
• 一个供客户访问(VIP)
• 一个用于snippet访问后端服务器(SNIP)

你点击后完成，部署开始。当部署成功完成时，您将收到VPX已部署的通知。

部署完成后，您可以在Citrix ADM中看到Citrix ADC VPX实例，用于所有管理和部署目的。

然后，您可以导航到EC2控制台，以查看使用我们在Citrix ADM设置中建立的名称创建的新实例。在Citrix ADM中进行同步管理，并准备将应用程序部署到Citrix ADC。

AWS部署

要取消这些实例，请导航回Citrix Cloud ADM Service并转到网络>实例> Citrix ADC．下选择行动选项卡上,单击去除．

AWS资源供应

系统会提示您确认操作。继续,选择是的然后所有的准备都颠倒过来。

在您收到确认取消VPX实例后，您将不再在Citrix ADM控制台中看到该设备。

更多的信息

• 实现指南:Citrix XenDesktop in AWS
• 企业常见应用如何配置统一网关
• 通过在亚马逊网络服务(AWS)上运行Citrix解决方案来加速您的业务
• AWS的云网络和桌面虚拟化解决方案
• Citrix ADC在AWS中部署VPX的快速入门指南
• 在AWS中跨多个可用分区使用Citrix ADC HA
• 使用AWS CloudFormation模板在AWS中部署Citrix ADC HA
• Citrix ADC VPX和AWS后端自动伸缩组集成
• 使用Citrix ADM Service在AWS中实现带VPX的前端自动伸缩(集群)