Architecture de référence : améliorations des performances Citrix SD-WAN HDX pour les environnements locaux Citrix Virtual Apps and Desktops

Vue d’ensemble

Cette architecture de référence explique comment optimiser la mise à disposition de Citrix Virtual Apps and Desktops à partir de serveurs locaux vers les utilisateurs dans des emplacements avec une appliance Citrix SD-WAN, en minimisant la latence et en améliorant la réactivité des sessions pendant les problèmes réseau.

Citrix Virtual Apps and Desktops peut fournir des sessions d’applications virtuelles et de bureaux aux terminaux utilisateurs distants via Citrix Gateway. Lorsque les utilisateurs sélectionnent une application virtuelle ou un bureau dans leur application Workspace, leur point de terminaison est dirigé pour résoudre un nom de domaine complet. Avec l’adresse IP publique renvoyée, ils se connectent à la passerelle via Internet ou VPN.

Toutefois, les utilisateurs qui se connectent à partir d’une branche disposant d’une connexion haute vitesse au centre de données où la charge de travail virtuelle est hébergée disposent généralement d’un meilleur chemin d’accès avec moins de latence directement sur l’intranet Enterprise. Dans le même temps, pour offrir la meilleure expérience utilisateur, les sessions Citrix Virtual Apps and Desktops nécessitent l’application de la qualité de service. Selon les tâches effectuées par l’utilisateur, les sessions HDX (High Definition User Experience) peuvent être fournies à l’aide de flux distincts par classe de service.

Citrix SD-WAN est une approche logicielle de gestion des réseaux WAN d’entreprise afin de fournir une connectivité réseau optimale entre les succursales d’entreprise et les charges de travail hébergées sur site ou dans le Cloud. Citrix SD-WAN peut diffuser automatiquement une session HDX dans des flux selon la classe de service entre les chemins virtuels de l’appliance et les fournir en fonction de leurs exigences en matière de qualité de service (QOS).

然而,倒fournir这个fonctionnalite,莱斯ppliances Edge SD-WAN doivent pouvoir inspecter le flux HDX sans chiffrement. Le client Workspace se connecte à Citrix Gateway, chiffré avec HTTPS, pour la gestion des sessions, y compris l’authentification et l’énumération des ressources. Toutefois, pour la remise d’application, le client doit se connecter directement à StoreFront et au VDA (Virtual Delivery Agent) qu’il attribue, via le réseau de superposition SD-WAN.

Avec lespoints Citrix Beacons, les points de terminaison sont fournis avec un fichier de provisioning comprenant des liens pour tester l’accessibilité. Lorsque les liens « internes » sont accessibles, ils se connectent directement à StoreFront. Il fournit au client l’adresse interne du VDA cible, puis dirige la session HDX via le réseau de superposition SD-WAN.

Conseil

Concevez des environnements Citrix Virtual Apps and Desktops avec Beacon Points pour diriger les points de terminaison de branche, sur le réseau interne, directement vers StoreFront pour affectation à l’adresse interne d’un VDA pour la diffusion d’applications. Intégration avec Citrix SD-WAN afin que les sessions HDX envoyées sur le réseau interne soient automatiquement séparées en plusieurs flux ICA par classe de service, compte tenu de la balise QOS appropriée, et hiérarchisées en conséquence. Dans ce document, nous discutons de l’architecture conceptuelle et de la conception détaillée de cette recommandation.

Architecture conceptuelle

Composants

Citrix虚拟应用程序和桌面冬季苏尔une architecture modulaire qui lui permet d’évoluer et de prendre en charge l’accès sur n’importe quel appareil, à tout moment et depuis n’importe où. Pour mieux comprendre l’architecture conceptuellement, nous considérons 5 couches distinctes et leurs composantes pertinentes.

Composants de couche utilisateur

La couche utilisateur est l’endroit où les appareils pris en charge hébergent l’application Workspace et les utilisateurs s’authentifient pour obtenir leurs ressources Workspace.

• ApplicationCitrix Workspace: est le portail des utilisateurs vers leurs ressources Workspace à partir de leur ou de leurs périphériques. Il présente à l’utilisateur des invites d’authentification, puis leurs ressources disponibles.
• Citrix SD-WAN (succursale)— Ici, le SD-WAN offre plusieurs avantages.
  • Priorité QoS multi-flux : l’appliance de branche identifie les sessions HDX à partir du point de terminaison et les identifie automatiquement et les décompose en flux par classe de service. Il met ensuite en file d’attente et achemine le trafic par priorité sur les chemins virtuels disponibles. Les chemins virtuels sont chiffrés de la branche vers le centre de données.
  • Latence réduite : les appliances Citrix SD-WAN créent automatiquement des chemins virtuels entre eux sur tous les chemins disponibles. Ils surveillent également les performances des chemins en temps réel et acheminent le trafic sur le chemin avec le moins de latence.
  • Résilience : Citrix SD-WAN s’intègre aux circuits MPLS ou à Internet sur différents supports, y compris le câble ou le DSL. En cas d’échec d’une liaison, grâce à la surveillance du trafic en temps réel, Citrix SD-WAN est capable de réacheminer le trafic, avec un impact minimal sur l’utilisateur et souvent sans délai d’expiration de la couche de session.
  • Maximisation de la bande passante : les routeurs traditionnels sont généralement limités au routage sur un seul « meilleur » chemin. Citrix SD-WAN peut tirer parti de tous les liens disponibles et simultanément. Il achemine le trafic sur eux, à condition que la qualité soit maintenue, basée sur des mesures de performance en temps réel.
  • Qualité de l’expérience utilisateur (QOE) : disponible viaCitrix Orchestrator, QOE surveille la qualité HDX et quantifie l’expérience par session, utilisateur ou site. Il attribue des scores et des rapports dans des fourchettes, y compris : Bon (71 à 100), Passable (51-70), Faible (0-50), ce qui permet aux administrateurs de prioriser l’accent.

Composants de couche d’accès

La couche d’accès est l’endroit où les composants de remise réseau sont hébergés pour coordonner et diriger la demande de sessions utilisateur vers les composants Contrôle et Resource.

• Citrix Gateway: Citrix Gateway, hébergée sur des appliances Citrix ADC, les proxy sécurisent l’accès HTTPS aux environnements Citrix Virtual Apps and Desktops. Il filtre les sondes Internet indésirables, décharge le trafic SSL et peut fournir une authentification multifactorielle pendant laconfiguration de l’espace de travail. Pour les utilisateurs distants, il fournit également des proxys de _remise de session_et fournit des stratégies pour façonner les caractéristiques de session.
• Citrix SD-WAN (datacenter)— Généralement, le nœud de contrôle principal (MCN) SD-WAN est déployé dans le centre de données principal. Il est utilisé pour coordonner le réseau de superposition et établit des tunnels sécurisés vers les appliances de branche. Les VDA peuvent être collocalisés avec des composants de distribution dans le centre de données ou être accessibles depuis le centre de données via un tunnel ou un circuit dédié. Pour plus d’informations sur l’utilisation du SD-WAN pour fournir un accès aux VDA hébergés sur Azure, consultez leguide Proof of Concept : Citrix SD-WAN Cloud-to-Data Center Connectivity.

• StoreFront— fournit un rôle unique coordonnant la diffusion d’applications virtuelles et de bureau sur site. Il agit comme un hub qui communique avec les couches d’accès, de contrôle et de ressources pour présenter et diffuser des sessions. Les utilisateurs distants, authentifiés par Citrix Gateway, sont transmis pour la remise de session. Les utilisateurs de branche s’authentifient initialement auprès de Citrix Gateway pour obtenir leurs ressources et le fichier de provisioning avec les détails Beacon Point. Lorsqu’ils lancent des ressources, ils sont dirigés vers un magasin StoreFront configuré pour un accès interne.

  Une fois que les utilisateurs de branche sélectionnent une ressource et que les points indicateurs internes sont accessibles, le client Workspace est dirigé vers StoreFront pour authentification. En règle générale, StoreFront est configuré pour authentifier de manière transparente les points de terminaison joints au domaine, de sorte que l’expérience utilisateur n’a aucun impact. Alternativement, pour les points de terminaison non joints à un domaine, les entreprises peuvent configurer l’authentification à facteur unique. Par la suite, les terminaux sont fournis avec un fichier ICA, avec l’adresse IP interne de leur VDA cible, accessible via le réseau de superposition SD-WAN.

Composants de couche de contrôle

La couche de contrôle inclut des composants de gestion essentiels pour coordonner la mise à disposition des applications virtuelles et des postes de travail. Grâce à sa conception modulaire, cette couche essentielle n’est en grande partie pas affectée par les changements de livraison de couche utilisateur et d’accès.

• Delivery Controller: est l’intelligence qui sous-tend à transformer des applications et des postes de travail en sessions virtuelles.
• Database, Studio, License Server/s: tous fonctionnent conjointement pour surveiller et gérer la livraison de Citrix Virtual Apps and Desktops.

Composants de la couche Ressources

Les ressources Citrix Virtual Apps and Desktops se présentent sous différentes formes et tailles en fonction des exigences telles que le système d’exploitation et la capacité.

• Virtual Delivery Agent (VDA): tous les types de ressources dépendent du VDA pour diffuser leur contenu en tant que session. Grâce à l’architecture modulaire, les VDA peuvent être collocalisés avec des composants Control ou hébergés ailleurs comme un cloud public ou privé.
• Facultatif - Citrix SD-WAN (Resource Location)— SD-WAN offre un avantage maximal lorsqu’il est implémenté dans l’emplacement des ressources à proximité du VDA. Il est pris en charge sur différents hôtes.

Composants de la couche hôte

Les composants Access, Control et Resource peuvent être hébergés sur site, Cloud ou Hybrid Cloud. Le type d’hôte détermine la plate-forme matérielle-logicielle Citrix SD-WAN disponible. Pour plus d’informations sur ces composants, consultezArchitecture de Citrix Virtual Apps and Desktops.

Flux de cas d’utilisation

Nous discutons ici de la gestion des sessions et des flux de livraison pour deux cas d’utilisation :

1. Utilisateurs distants (externes) : le cas d’utilisation « de base » dans lequel nous considérons comment tous les utilisateurs distants, qui n’ont pas accès à l’intranet d’entreprise, peuvent accéder et utiliser leurs environnements Citrix Virtual Apps and Desktops.
2. Utilisateurs de succursale (interne) : le cas d’utilisation dans lequel nous considérons comment les utilisateurs de succursale, qui ont accès à l’intranet de l’entreprise, peuvent accéder à leurs environnements Citrix Virtual Apps and Desktops et les utiliser. Les utilisateurs de succursales peuvent être des travailleurs à domicile avec une appliance Citrix SD-WAN.

Authentification utilisateur et énumération des ressources

Les utilisateurs de branche sur le réseau interne ainsi que les utilisateurs distants externes s’authentifient et obtiennent leurs ressources via Citrix Gateway. Les passerelles se résolvent généralement en un nom de domaine complet commun pour tous les utilisateurs. Les entreprises hébergent souvent les passerelles dans une zone DMZ de centre de données qui se résout en une adresse IP publique accessible via Internet. Les entreprises peuvent choisir d’héberger une passerelle au sein du réseau du centre de données qui se résout en une adresse IP privée interne pour les clients internes.

Les utilisateurs peuvent être affectés au même « groupe de mise à disposition externe », dans Citrix Delivery Controller, indiquant qu’ils sont externes au centre de données, s’ils ont accès au réseau interne. Lorsque les utilisateurs travaillent en dehors de la branche, ils voient les mêmes ressources dans l’application Workspace. Sinon, les utilisateurs peuvent être affectés à un « groupe de mise à disposition de succursales » ou à un « groupe de mise à disposition à distance » en fonction de leur lieu de travail principal.

Utilisateurs distants (externes)

Les utilisateurs distants (pas sur le réseau interne) acheminent vers une Citrix Gateway, à partir de leur emplacement distant, pour s’authentifier et obtenir leurs ressources.

Utilisateurs de succursales (internes)

Les utilisateurs de succursales acheminent vers Citrix Gateway, via l’appliance Citrix SD-WAN locale via la sortie Internet directe, vers Citrix Gateway pour s’authentifier et obtenir leurs ressources.

Lancement de会话

Pendant le lancement de la session, les flux des utilisateurs distants et des utilisateurs de branche diffèrent en fonction de la configuration des points Beacon.

Utilisateurs distants (externes)

Les utilisateurs distants lancent des sessions de ressources d’applications virtuelles et de bureau via Citrix Gateway.

Utilisateurs de succursales (internes)

Les utilisateurs de succursale, qui sont en mesure d’atteindre le point Beacon interne avec succès, sont dirigés vers Storefront. Il se résoudra à une adresse IP accessible via le réseau de superposition SD-WAN. Par la suite, l’application Workspace de l’utilisateur recevra l’adresse IP d’un VDA, pour établir sa session, également accessible via le réseau de superposition SD-WAN.

Conception détaillée

在这个部分中,常识discutons de des元素conception détaillés du réseau de superposition SD-WAN, de la qualité de service et des points de balise.

Réseau de superposition SD-WAN

Le réseau de superposition SD-WAN est construit sur les chemins d’accès disponibles entre chaque appliance. Un tunnel sécurisé est établi sur le port UDP 4980 et les routes LAN sont échangées. Les routes peuvent être directement attachées ou apprises, à partir du réseau sous-couche, via des protocoles de routage. Les routes SD-WAN correspondent à destypes de serviceset, en plus des routes de service « chemin virtuel », elles incluent généralement des routes de service « Internet Breakout » pour diriger le trafic identifié par les règles d’application métier vers les routes Internet par défaut apprises par le FAI.

Dans l’exemple suivant, les points de terminaison Branch contactent la passerelle directement via un service d’interconnexion Internet et sont dirigés vers les routes par défaut du fournisseur de services Internet par les appliances SD-WAN. Les points de terminaison de branche contactent l’infrastructure de virtualisation via des chemins virtuels routés sur Internet et sur le réseau MPLS qui sont utilisés en fonction de la surveillance des performances en temps réel.

Qualité du service

L’un des principaux facteurs de différenciation de l’utilisation de Citrix SD-WAN avec les environnements Citrix Virtual Apps and Desktops est sa capacité à appliquer automatiquement la qualité de service aux sessions HDX. Les appliances SD-WAN les identifient, les balisent, les classent par ordre de priorité et les diffusent par classe de service.

Les types de canaux virtuels ICA multi-flux sont attribués aux 4 classes ci-dessous par défaut. Dans les dernières versions de Citrix Virtual Apps and Desktops, les sessions par défaut sont établies à l’aide du protocole EDT (Enlightened Data Transport). EDT est un protocole de transport de session basé sur UDP qui adapte efficacement la transmission en fonction de la bande passante disponible. Il revient à TCP et utilise son contrôle de flux intégré, automatiquement selon les besoins.

Par défaut, les sessions HDX sont envoyées par le VDA sur le port UDP (EDT) 1494 ou 2598 ou TCP 1494 ou 2598 selon le protocole de session établi (2598 est utilisé lorsque la fiabilité de session est configurée. Les ports peuvent être personnalisés au besoin.). L’appliance SD-WAN sélectionne la session HDX unique et identifie le canal virtuel en inspectant le canal NSAP non compressé et le prépare à la transmission via un chemin virtuel. Il est pris en charge sur la plupart desplateformes Workspace App.

Les flux de paquets Chemin virtuel reçoivent une balise en fonction de la classe de service, puis sont envoyés à l’extrémité éloignée. La balise est utilisée par l’appliance SD-WAN pour prioriser l’utilisation des files d’attente de transmission sortantes et pour la sélection des chemins qui sont surveillés en temps réel pour les mesures de qualité. Lorsqu’elles sont envoyées via MPLS, les balises DSCP (Differentiated Services Code Point) peuvent être mappées auxfiles d’attentepertinentes afin de permettre la priorisation en transit sur le réseau à commutation par paquets. En général, le trafic en temps réel est affecté par une balise de transfert accéléré (EF), tandis que les autres trafics reçoivent des balises AF (Assured Forwarding) dans lechamp Type de service (TOS)de l’en-tête IP.

L 'utilisation de Citrix SD-WAN港口独特的非盟女士to QOS peut fournir une amélioration significative des performances pour les sessions HDX Citrix Virtual Apps and Desktops pendant la congestion. Les tests en laboratoire ont révélé une amélioration de plus de 500 % du temps aller-retour de l’ICA dans des conditions de congestion grave. Pour plus d’informations, consultezMesurer les améliorations de l’expérience utilisateur HDX à partir des améliorations des performances réseau Citrix SD-WAN.

Points de balise

Les points balises permettent aux clients Workspace de déterminer s’ils sont sur le réseau interne pour le réseau externe. Ce faisant, ils peuvent accéder à StoreFront et avoir des sessions HDX diffusées directement à partir de VDA. Cela permet au SD-WAN d’inspecter les flux de session non chiffrés et d’appliquer la QOS automatiquement pour optimiser les performances.

Les points de balise sont configurés dans l’interface d’administration StoreFront sousMagasins > Gérer les balises. Ils sont entrés sous la forme d’une URL.

Les fichiers de provisioning représentent les points balises au format XML. Dans notre exemple, ils sont livrés depuis StoreFront, via la passerelle, au point de terminaison et consommés par l’application Workspace pour utiliser les instructions Beacon Point.

Résumé

Citrix SD-WAN peut améliorer considérablement les performances réseau des sessions HDX Citrix Virtual Apps and Desktops, ce qui améliore l’expérience utilisateur. Pour obtenir le maximum d’avantages, configurez Beacons Points conformément à la topologie de réseau d’entreprise afin d’obtenir une connexion directe aux applications virtuelles et aux postes de travail. Router les sessions utilisateur de branche interne via le réseau de superposition Citrix SD-WAN. Cela permet à Citrix SD-WAN de minimiser la latence et d’appliquer des fonctionnalités, y compris la QoS automatique HDX Multi-Stream, afin d’optimiser la livraison de session en fonction de la classe de service.

Annexe

Considérations de déploiement

En se concentrant sur l’objectif du document de fournir des conseils sur l’utilisation optimale de Citrix SD-WAN, avec Citrix Gateway, dans un environnement Citrix Virtual Apps and Desktops, nous discutons du matériel, des logiciels et des éléments de configuration clés pertinents.

Citrix SD-WAN

Nous discutons ici des appliances SD-WAN et des considérations de déploiement pertinentes.

Appliances SD-WAN

Les appliances Citrix SD-WAN se présentent sous divers facteurs de forme pour étendre le réseau de superposition entre les clients et les VDA, qu’ils soient hébergés dans un cloud privé, un cloud public ou des centres de données locaux.

• Hyperviseur- Les appliances Citrix SD-WAN sont prises en charge sur les principales plates-formes d’hyperviseur équipées de processeurs Intel.
  • Citrix Hypervisor
  • VMware
  • HyperV
  • KVM
• Cloud public: les appliances Citrix SD-WAN sont prises en charge sur les principales plates-formes cloud avec des options de dimensionnement pour répondre aux exigences d’évolutivité.
  • AWS
  • Azure
  • GCP
• Matériel: les appliances Citrix SD-WAN sont disponibles dans différents modèles matériels avec prise en charge de divers débits et de la quantité de chemins virtuels en fonction des besoins. Pour plus d’informations, consultez lafiche technique Citrix SD-WAN.

Présentation de la configuration

Citrix SD-WAN peut être déployé dans diverses topologies pour différents cas d’utilisation. Pour s’assurer qu’il peut fournir et améliorer les performances des sessions d’applications et de bureaux virtuels, le réseau de superposition doit être conçu de manière à ce que les points indicateurs internes soient accessibles, par tous les clients de succursale. Pour obtenir des conseils complets sur la planification des implémentations, ainsi que des exemples d’utilisation et des recommandations, consultezArchitectures de référence Citrix SD-WAN.

Citrix Gateway

Nous discutons ici des appliances Citrix Gateway et des détails de configuration pertinents.

Appliances passerelles

Les appliances Citrix Gateway se présentent également sous divers facteurs de forme pour étendre le réseau de superposition entre les clients et les VDA, qu’ils soient hébergés dans un cloud privé, un cloud public ou des centres de données locaux. Pour plus d’informations, consultez lafiche technique du matériel Citrix ADC ou la fiche techniqueCitrix ADC VPX.

Présentation de la configuration

Citrix Gateway a été implémenté de manière optimale avec Citrix Virtual Apps and Desktops depuis plus d’une décennie et est bien documenté. Pour plus d’informations, voir :Intégrer Citrix Gateway à StoreFront

Citrix Virtual Apps and Desktops

Ici, nous discutons des détails pertinents de la configuration de l’environnement StoreFront et Citrix Virtual Apps and Desktops.

Instance StoreFront

StoreFront est également un composant bien documenté des environnements Citrix Virtual Apps and Desktops. Il est généralement hébergé sur un hyperviseur, dans le centre de données, sur le réseau interne. La plupart des environnements disposent d’un magasin configuré pour les utilisateurs internes et externes intégré à Citrix Gateway. Nous faisons cette hypothèse, par conséquent, il y a peu de modifications de configuration à envisager d’intégrer au réseau Citrix SD-WAN.

• Points de balise— Sous Gérer lespoints de balises, spécifiez le point de balise interne sous la forme d’une URL accessible depuis toutes les succursales. Cette URL peut utiliser le nom de domaine complet du serveur StoreFront ou un autre service hautement disponible hébergé dans le même réseau local du centre de données.
• Authentification— SousGérer les méthodes d’authentification, indiquez les méthodes d’authentification souhaitées. Les utilisateurs distants s’appuient sur « Pass-through from Citrix Gateway ». Alors que les utilisateurs de branche jointes au domaine s’appuient sur « Domain pass-through » ou non-domaine joint peuvent être authentifiés à nouveau en utilisant une autre méthode telle queUsername and Password. Pour plus d’informations, voir :Planifier votre déploiement StoreFrontIntégrer avec Citrix Gateway et Citrix ADC.

Présentation de la configuration

Les fonctionnalités et fonctionnalités de Citrix Virtual Apps and Desktops se sont étendues sur plusieurs décennies et sont bien documentées.

Les guides Citrix Design Decisions peuvent vous aider à prendre des décisions optimales concernant la configuration, l’optimisation et le déploiement de votre solution. Pour plus d’informations, consultez la sectionDécisions de conception Citrix Virtual Apps and Desktops.

Les architectures de référence Citrix sont des guides complets qui aident les organisations à planifier leurs implémentations avec des cas d’utilisation, des recommandations et bien plus encore. Reportez-vous àArchitectures de référence Citrix Virtual Apps and Desktops.

Considérations relatives au

Nous discutons ici des considérations relatives à la bande passante et des ports pertinents utilisés par Citrix SD-WAN, Citrix Gateway et Citrix Virtual Apps and Desktops.

Bande passante

Les appliances Citrix SD-WAN déployées en mode passerelle, dans une branche, gèrent l’intranet interne et l’allocation de bande passante Internet externe pour tous les liens disponibles. Les nouveaux déploiements doivent prévoir l’allocation de bande passante, et les déploiements existants doivent la réaffecter en conséquence.

La bande passante Citrix SD-WAN est allouée par les services de remise en fonction des groupes de type de liaison. Pour plus d’informations, voirServices de livraison.

L’utilisation de la bande passante de session Citrix Virtual App and Desktop varie considérablement selon les scénarios d’utilisation. Pour plus d’informations, consultez la sectionBande passante Citrix Virtual Apps and Desktops.

Ports

Citrix Virtual Apps and Desktops utilise des ports bien définis pour communiquer entre les composants modulaires. Citrix SD-WAN étend l’accès LAN aux composants User Layer. (Pour plus d’informations, voir le diagramme suivant.)

Citrix SD-WAN tunnels en toute sécurité le trafic entre les chemins virtuels entre les appliances, configuré sur le port UDP 4980, à l’aide de chiffrements AES 128/256 bits. Pour plus d’informations sur la sectionConfigurer le service Virtual WAN.

Citrix SD-WAN peut être déployé dans différentes topologies en fonction de l’emplacement du réseau Enterprise. Par exemple, il peut être utilisé en mode Passerelle dans une branche pour acheminer tout le trafic LAN, ou il peut être déployé en mode Virtual Inline dans un centre de données pour que les routeurs de périphérie acheminent le trafic souhaité. Pour plus d’informations, consultezTopologies de déploiement Citrix SD-WAN.

Citrix SD-WAN peut autoriser tout le trafic LAN ou filtrer en fonction de la stratégie de sécurité d’entreprise avec un pare-feu intégré. Il peut également être utilisé pour effectuer une inspection complète de la pile. Pour plus d’informations, consultez la section安全炸药Citrix SD-WAN.