参考架构：针对 Citrix Virtual Apps and Desktops 云环境的 Citrix SD-WAN HDX 性能改进
概述
此参考体系结构介绍了如何优化 Citrix Virtual Apps and Desktops 服务从云资源位置向位于使用 Citrix SD-WAN 设备的用户的交付。这可以最大限度地减少延迟，并提高网络问题期间的会话响应
Citrix Virtual Apps and Desktops 服务可以通过 Citrix Gateway 服务向远程用户终端节点交付虚拟应用程序和桌面会话。当用户在 Workspace 应用程序中选择虚拟应用程序或桌面时，他们的终端节点将被定向解析 FQDN。然后 Citrix Gateway 服务将使用公共 IP 地址进行响应，以便连接到以便通过互联网进行会话传送。
但是，从直接连接到托管虚拟工作负载的资源位置的分支机构连接的用户通常具有更好的路径，延迟更短。同时，为了提供最佳用户体验，Citrix Virtual Apps and Desktops 服务会话需要应用服务质量 (QOS)。根据用户正在执行的任务，高清用户体验 (HDX) 会话可以按服务类使用单独的流进行交付。
Citrix SD-WAN 是一种软件定义的管理企业 WAN 的方法，可在企业分支办公室和公共云、私有云或混合云资源位置托管的工作负载之间提供最佳网络连接。Citrix SD-WAN 可以根据设备虚拟路径之间的服务级别自动将 HDX 会话传播到流中，并根据服务质量要求确定其交付的优先级。
但是，要提供此功能，Edge SD-WAN 设备必须能够检查未加密的 HDX 流。Workspace 客户端连接到使用 HTTP 加密的 Citrix Gateway 服务，以进行会话管理，包括身份验证和资源枚举。但是，对于应用程序交付，客户端必须通过 SD-WAN 覆盖网络直接连接到 Citrix Virtual Apps and Desktops 服务分配的虚拟交付代理 (VDA)。
使用 Citrix 网络定位服务 (NLS) 终端节点可以通过直接工作负载连接优化与虚拟应用程序和桌面的连接。它维护了一个公有 IP 地址范围的数据库，这些地址范围在连接到 Internet 时通过网络地址转换 (NAT) 动态分配为内部网络上客户端的源 IP 地址。
具有 Citrix SD-WAN 环境的企业可以自动执行配置。Citrix Cloud 托管的 Orchestrator 服务用于管理和监视 Citrix SD-WAN 环境，它将其网络配置详细信息转发给 NLS。否则，管理员可以使用通过 Citrix Cloud API 填充 NLS 的 PowerShell 脚本手动配置 NLS。
然后，当 Workspace 客户端联系 Citrix Virtual Apps and Desktops 服务以启动虚拟应用程序或桌面时，它会查询 NLS 以确定终端节点在网络中的位置。当 Citrix Virtual Apps and Desktops 服务知道客户端托管在内部网络上时，客户端将在内部网络上使用目标 VDA 的 IP 地址进行回复。该地址包含在为虚拟应用程序和桌面启动请求提供的会话详细信息中，并通过 SD-WAN 覆盖网络指导 HDX 会话。
VDA 可以托管在数据中心整理的资源位置中。
或者，VDA 可以托管在公共云、私有云或混合云资源位置，并通过 Citrix SD-WAN 覆盖网络或其他网络路径访问数据中心。
建议
使用网络定位服务设计 Citrix Virtual Apps and Desktops 服务环境，通过直接工作负载连接优化与工作区的连接与 Citrix SD-WAN 集成，以便在给定适当的 QOS 标签的情况下，通过内部网络发送的 HDX 会话按服务级自动分发到多个 ICA 流中，并相应地排定优先级。在本文档中，我们将讨论概念体系结构以及此建议的详细设计。
概念体系结构
组件
Citrix Virtual Apps and Desktops 服务环境基于模块化体系结构构建，该体系结构允许其随时随地在任何设备上进行扩展和支持访问。为了从概念上最好地理解体系结构，我们考虑 5 个不同的层及其相关组件。
用户层组件
用户层是受支持的设备托管 Workspace 应用程序的地方，用户通过身份验证以获取其 Workspace 资源。
- Citrix Workspace 应用程序— 是用户通过其设备访问其工作区资源的门户。它向用户提供身份验证提示，然后向用户提供可用资源。
- Citrix SD-WAN（分支机构）— 这里 SD-WAN 提供了几个好处。
- 多流 QoS 优先级-分支设备从终端识别 HDX 会话，并按服务类自动识别并将其分解为流。然后，它会在可用虚拟路径之间按优先级排队和路由流量。虚拟路径从分支到资源位置进行加密。
- 减少延迟 — Citrix SD-WAN 设备在所有可用路径中自动构建彼此之间的虚拟路径。他们还实时监控路径性能，并以最短的延迟通过路径路由流量。
- 弹性 — Citrix SD-WAN 与 MPLS 电路或通过包括电缆或 DSL 在内的各种媒体进行互联网集成。如果链路出现故障，则使用实时流量监控，Citrix SD-WAN 能够以最小的用户影响重新路由流量，而且通常不会话层超时。
- 带宽最大化 — 传统路由器通常仅限于通过单个 “最佳” 路径进行路由。Citrix SD-WAN 可以同时利用所有可用链接。它根据实时绩效指标对其进行路由流量，前提是质量得到维护。
- 用户体验质量 — 通过Citrix Orchestrator提供，QOE 可监控 HDX 质量，并按会话、用户或站点量化体验。它分配的分数和报告范围包括良好 (71-100)、公平 (51-70)、差 (0-50)，这些范围允许管理员确定焦点的优先级。其他指标包括：
- 应用程序：应用程序或应用程序对象名称。
- 站点：站点的名称。
- 虚拟服务：使用的虚拟路径服务。
- 实时 QoE：适用于实时流量的 QoE 分数。
- 交互式 QoE：适用于交互流量的 QoE 分数。
- 实时延迟：实时流量的延迟（以毫秒为单位）。
- 实时丢失：实时流量的丢失百分比。
- 实时抖动：实时流量观察到的抖动以毫秒为单位。
- 交互式延迟：交互流量的延迟（以毫秒为单位）。
- 交互式丢失：交互流量的丢失百分比。
- 交互抖动：交互流量观察到的抖动（以毫秒为单位）。
接入层组件
接入层协调并将用户会话定向到控制组件和资源组件。
Citrix Gateway 服务— Citrix Gateway 服务代理对 Citrix Virtual Apps and Desktops 服务环境的安全 HTTPS 访问。它包括 DNS 定位服务，用于将用户引导到世界各地托管的数十个 POP 中最近的 POP。有关更多信息，请参阅Citrix Gateway 服务 - 接入点 (POP)Citrix Gateway 服务通过 Cloud Connector 在其资源位置建立从用户端点到 VDA 的 HDX 会话。运行版本 1912 或更高版本的更新 VDA 可以启用 Rendezvous 协议。它允许 HDX 会话绕过 Citrix Cloud Connector 并直接安全地连接到 Citrix Gateway 服务，以提高可扩展性。有关更多信息，请参阅Citrix Gateway 服务-集合协议
- 工作区服务— 这是访问 Citrix Cloud 服务的客户端的前门。它充当中心，与访问、控制层和资源层进行通信，以展示并帮助交付会话。分支用户和远程用户都由 Workspace 服务进行身份验证，并填充其可用资源。
- Citrix SD-WAN（资源位置）— 通常 SD-WAN
Master Control Node(m cn)部署在主资源位置。它用于协调叠加网络，并建立到分支设备的安全隧道。VDA可以与数据中心的交付组件配置，也可以通过隧道或专用电路从公共云、私有云或混合云访问 VDA。有关使用 SD-WAN 提供对 Azure 托管 VDA 的访问权限的更多信息，请参阅概念验证指南：Citrix SD-WAN 云到数据中心连接。
控制层组件
控制层包括用于协调虚拟应用程序和桌面交付的基本管理组件。
- 网络定位服务— 存储内部客户端访问 Internet 时这些客户端
natted到的公有 IP 地址范围。 - Orchestrator- - - - - -提供对整个SD-WAN网络的集中管理和监控。它还使用SD-WAN 设备公有 IP 地址填充 NLS。
- Citrix Virtual Apps and Desktops 服务— 提供独特的角色来协调虚拟应用程序和 Citrix Cloud 的桌面交付。当远程用户选择虚拟应用程序或桌面时，它将通过 Citrix Gateway 服务代理进行会话交付。当分支用户选择虚拟应用程序或桌面时，Citrix Virtual Apps and Desktops 服务将与 NLS 进行检查，以验证从 HTTP 标头中提取的源 IP 地址是否位于内部网络中。之后，端点将获得一个 ICA 文件，其中包含其目标 VDA 的内部 IP 地址，可通过 SD-WAN 覆盖网络访问该文件。
资源层组件
Citrix Virtual Apps and Desktops 服务资源具有各种形状和大小，具体取决于操作系统和容量等要求。
- 虚拟交付代理 (VDA)— 所有资源类型都依赖 VDA 将其内容作为会话提供。它们可能托管在公共、私有混合云资源位置。
- Cloud Connector— 在资源位置和 Citrix Cloud 之间提供反向隧道，以便与 VDA（如果用作身份提供程序，则为 Active Directory）进行通信。
主机层组件
资源组件可以托管在公共云、私有云或混合云位置。 有关详细信息，请参阅Citrix Virtual Apps and Desktops 服务组件体系结构，请参阅
使用案例流
在这里，我们将讨论两个用例的 Citrix Virtual Apps and Desktops 服务流：
- 远程用户（外部）— 此组是 “基准” 使用案例，我们考虑无法访问公司内部网的所有远程用户如何需要访问和使用其 Citrix Virtual Apps and Desktops 服务环境。
- 分支机构用户（内部）— 此组是我们考虑有权访问公司内部网的分支机构用户需要如何访问和使用其 Citrix Virtual Apps and Desktops 服务环境的使用案例。分支机构用户可以是使用 Citrix SD-WAN 设备的在家工作人员。
远程用户（外部）
远程用户（不在内部网络上）从远程位置连接到 Workspace 服务进行身份验证并获取其资源列表。他们的会话通过 Citrix Gateway 服务进行。
分支机构用户（内部）
分支机构用户通过直接互联网突围通过本地 Citrix SD-WAN 设备连接到 Workspace 服务以进行身份验证并获取其 Workspace 资源列表。默认情况下，SD-WAN 设备具有互联网服务、DNS 转发器和业务应用程序规则，用于将连接到 Workspace，Citrix Gateway 服务 FQDN 通过互联网突破。有关更多信息，请参阅Citrix SD-WAN Citrix Gateway 优化。
选择虚拟应用程序或桌面后，Citrix Virtual Apps and Desktops 服务将验证从连接客户端 HTTP 标头中提取的源 IP 地址是否在 NLS IP 地址范围内。如果发送回客户端的 ICA 连接信息包含 VDA 的直接私有 IP 地址。当 Workspace 应用程序向该地址发送连接请求时，它将通过 SD-WAN 覆盖网络进行路由。MultiSteam QOS 将通过分支机构和资源位置 Citrix SD-WAN 设备之间的虚拟路径自动应用到已建立的 HDX 会话。
详细的设计
在本节中，我们将讨论 SD-WAN 覆盖网络、服务质量和网络定位服务的详细设计元素。
SD-WAN 覆盖网络
SD-WAN 覆盖网络是在每台设备之间的可用路径上构建的。UDP 端口 4980 上建立了安全隧道，并交换局域网路由。 可以通过路由协议直接连接或从底层网络获取路由。SD-WAN 路由对应于服务类型，除了 “虚拟路径” 服务路由外，它们通常还包括 “Internet breakout” 服务路由，用于将业务应用程序规则标识的流量定向到 ISP 学习的互联网默认路由。
在我们下面的示例中，Branch 终端节点通过 Internet 突围直接联系网关，并通过 SD-WAN 设备定向到 ISP 默认路由。分支端点通过通过 Internet 路由的虚拟路径和根据 实时性能使用的 MPLS 网络与虚拟环境联系。
Citrix SD-WAN 和 Citrix Virtual Apps and Desktops 服务提供服务质量
将 Citrix SD-WAN 与 Citrix Virtual Apps and Desktops 服务环境结合使用的一个关键区别在于它能够自动将服务质量应用于 HDX 会话。SD-WAN 设备可以按服务类识别、标记、优先级并对其进行流式传输。
默认情况下，多流 ICA 虚拟通道类型被分配给下面显示的 4 个类。在最新版本的 Citrix Virtual Apps and Desktops 服务中，默认情况下会话是使用 Enlightened Data Transport (EDT) 协议建立的。EDT 是一种基于 UDP 的会话传输协议，可根据可用带宽有效地调整传输。它回退到 TCP，并根据需要自动利用其内置的流量控制。
默认情况下，VDA 在 UDP (EDT) 端口 1494 或 2598 或 TCP 1494 或 2598 上发送 HDX 会话，具体取决于建立的会话协议。（配置会话可靠性时使用 2598。端口可以根据需要进行自定义。）。SD-WAN 设备选择单个 HDX 会话，然后通过检查未压缩的 NSAP 通道来识别虚拟通道，然后为通过虚拟路径进行传输做好准备。大多数Workspace 应用程序平台都支持该功能。
数据流虚拟路径数据包会根据服务类别分配一个标签，然后发送到远端。SD-WAN 设备使用该标签来优先使用出站传输队列，并用于实时监控质量的路径选择。当通过 MPLS 发送时，差分服务代码点 (DSCP) 标记可以映射到相关队列，从而在分组交换网络中传输时实现优先级。通常，实时流量分配加急转发 (EF) 标记，而其他流量则分配给 IP 报头服务类型 (TOS) 字段中的保证转发 (AF)标记。
使用 Citrix SD-WAN 单端口 MS Auto QOS 可以在拥塞期间为 Citrix Virtual Apps and Desktops 服务 HDX 会话提供显著的性能改善。实验室测试发现，在严重拥堵的情况下，ICA 往返时间提高了 500％ 以上。有关更多信息，请参阅衡量 Citrix SD-WAN 网络性能增强的 HDX 用户体验改进
网络定位服务
NLS 使 Citrix Virtual Apps and Desktops 服务能够确定客户端是在内部网络还是外部网络上。通过这样做，他们可以通过 SD-WAN 覆盖网络访问资源位置，并直接从 VDA 传输 HDX 会话。这允许 SD-WAN 检查未加密的会话流，并自动应用 QOS 以优化性能。
摘要
Citrix SD-WAN 可以显著提高 Citrix Virtual Apps and Desktops 服务 HDX 会话的网络性能，从而提供更好的用户体验。 要实现最大益处，请根据企业网络拓扑配置网络定位服务，以实现与虚拟应用程序和桌面的直接工作负载连接。通过 Citrix SD-WAN 覆盖网络路由内部分支机构用户会话。这使 Citrix SD-WAN 能够最大限度地减少延迟，并应用包括多流 HDX Auto QoS 在内的功能来根据服务类优化会话交付
附录
部署注意事项
我们重点介绍了本文档旨在提供有关在 Citrix Virtual Apps 程序和桌面服务环境中最佳使用 Citrix SD-WAN 的指导的目标，我们讨论了相关的硬件、软件和关键配置元素。
环境设置包括 3 个不同区域的组件。
- 分支机构（家庭办公室）— 家庭办公室或分支机构有 1 个或多个安装了 Workspace 应用程序的终端节点。它与 Citrix Cloud 进行通信，数据中心通过 SD-WAN 设备最有可能在网关模式下通过 SD-WAN 设备进行通信，其中包括一个专用的公有 IP 地址，可通过 ISP 直接访问互联网。
- 资源位置— 资源位置包含交付虚拟应用程序和桌面所需的组件。它托管 SD-WAN 设备以与内部终端节点进行通信，并通过 Cloud ConnectOR/S 与 Citrix Cloud 进行通信。设备可以处于网关模式或其他部署方案。
- Citrix Cloud— Citrix Cloud 服务组件工作区、Citrix Virtual Apps 程序和桌面以及 Citrix Gateway 协同工作来管理虚拟应用程序和桌面设置。Citrix Orchestrator 管理 SD-WAN 覆盖网络，并将网络定位服务配置为将会话直接路由到 VDA。
分支机构（家庭办公室）
分支办公室是受支持的设备托管工作区应用程序的地方:
- 通过 Citrix SD-WAN 与 Citrix Cloud 通信以进行身份验证并获取其 Citrix Virtual Apps and Desktops 资源。
- 通过 Citrix SD-WAN 与数据中心通信，联系其 VDA，以建立应用多流自动 QOS 的直接虚拟高清用户体验 (HDX) 会话。
Citrix Workspace 应用程序
- 从 m.giftsix.com/下载
- 有关 Windows 10 客户端的设置和配置的更多信息，请参阅适用于 Windows 的Citrix Workspace 应用程序 — 快速入门指南
- 注意：通过登录 Citrix Cloud 并从汉堡菜单导航到工作区配置来查找/指定要从 Workspace 应用程序连接到的 WorkspaceFQDN。
Citrix SD-WAN（分支机构）
- 从 m.giftsix.com/downloads _下载_虚拟机管理程序托管的 VPX 版本
- 有关 Citrix SD-WAN 设备的更多信息，请参阅Citrix SD-WAN 数据表
- 有关家庭办公室的 100 系列设备的设置和配置的更多信息，请参阅概念验证指南：适用于家庭办公室的 Citrix SD-WAN
- 注意：考虑实施高级版或 Secure Internet Access (SIA) 以实现全堆栈 Internet 安全。
资源位置
资源位置是托管虚拟应用程序和桌面工作负载资源的位置。
- Citrix SD-WAN（资源位置）
- 从 m.giftsix.com/downloads _下载_虚拟机管理程序托管的 VPX 版本
- 有关 Citrix SD-WAN 设备的更多信息，请参阅Citrix SD-WAN 数据表
- 有关设置和配置的更多信息，请参阅概念验证指南：Citrix SD-WAN 云到数据中心连接
- 注意：遵循产品手册指南以确保设备满足吞吐量和环境的虚拟路径要求。
- Cloud Connector
- 登录您的Citrix Cloud 帐户下载Cloud Connector 安装程序，然后从汉堡包菜单导航到资源位置。
- 有关更多信息，请参阅Citrix Cloud Connector
- 注意：Cloud Connector 在 Windows 服务器上运行。从该服务器登录 Citrix Cloud 以下载安装程序。它必须能够在互联网上访问文档中指定的一组域名。
- Virtual Delivery Agent (VDA)
- 在_下载_> Citrix Virtual Apps and Desktops 下载下载到 m.giftsix.com/下载 ISO 安装程序
- 有关更多信息，请参阅Citrix Virtual Apps and Desktops 服务 入门概念验证指南 - 安装 Citrix Virtual Delivery Agent
- 注意：安装遵循直观的提示。 对于 POC 环境，您可以选择 “启用到服务器的中介连接” 以将同一台服务器用于传输的虚拟桌面，而不是创建用于预配桌面以在生产环境中扩展的主映像。
- Active Directory (AD)
- 从 m.giftsix.com/downloads _下载_虚拟机管理程序托管的 VPX 版本
- 有关更多信息，请参阅Active Directory 域服务
- 注意：按照提示可以通过 Windows 服务器菜单安装 AD。在设置之前，必须将 Cloud Connector 和 VDA 服务器加入域。右键单击计算机，然后在 Windows 资源管理器中选择属性以将每台服务器加入域。
Citrix Cloud
Citrix Cloud 托管 Workspace 服务、Citrix Virtual Apps and Desktops 服务、Citrix Gateway 服务、网络位置（微型）服务以及 Orchestrator 服务。
- 工作区服务
- 通过创建 Citrix Cloud 帐户创建工作区服务。
- 有关更多信息，请参阅Citrix Virtual Apps and Desktops 服务入门概念验证指南-创建 Citrix Cloud 帐户
- 注意：创建 Citrix Cloud 帐户后，请在目标服务器/虚拟机上登录该帐户以安装 Cloud Connector，并与 Citrix Cloud 建立通信。汉堡菜单下提供了工作区配置选项。在那里，您可以启用与 Citrix Virtual Apps and Desktops 服务的服务集成，然后配置 “站点”（资源位置）。
- Citrix Virtual Apps and Desktops 服务
- 从 Citrix Cloud 帐户的 Citrix Virtual Apps and Desktops 下，选择 “请求试用” 以与 Citrix 销售代表沟通关于启用试用服务的问题。
- 有关更多信息，请参阅Citrix Virtual Apps and Desktops 服务入门概念验证指南-获取 Citrix Virtual Apps and Desktops 试用帐户
- 注意：安装 Cloud Connector 服务器 /VM/S 后，请安装 VDA/S 以完成资源位置设置。然后，从 Citrix Cloud 控制台中选择 Citrix Virtual Apps and Desktops 服务窗格中的 “管理” 以访问管理工作室。您输入 “计算机目录”，其中包括资源位置中 VDA/S 的 FQDN/ 秒。您还可以指定一个 “交付组”，其中列出了虚拟桌面或这些 VDA/S 中要发布到用户组的虚拟应用程序。
- Citrix Gateway 服务
- 从 Citrix Cloud 帐户中，选择 “请求试用”（如果尚未提供），然后自动预配 60 天的 Gateway 服务试用版。
- 有关详细信息，请参阅Citrix Gateway 对 Citrix Virtual Apps and Desktops 的支持
- 注意：从 Citrix Cloud 控制台中选择网关服务窗格下的 “管理”，然后按照提示进行操作。它会将您引导到 Workspace 配置（也可在汉堡包菜单下找到）以启用 Gateway 服务。
- Orchestrator
- 从您的 Citrix Cloud 帐户中，选择 “请求试用”（如果尚未提供），然后自动预配 60 天 Orchestrator 服务试用版。
- 有关更多信息，请参阅Citrix Virtual Apps and Desktops 服务入门概念验证指南-创建 Citrix Cloud 帐户
- 注意：从 Citrix Cloud 控制台中选择 Orchestrator 服务窗格下的 “管理”。选择 “添加站点”，然后按照分支机构和数据中心/资源位置站点的提示进行操作。输入站点详细信息后，您可以在设备详细信息中输入装置序列号。然后，在按照配置提示后，如果设备正在通过 HTTPS/TCP 443 出站与配置服务进行通信，则 “可用性” 列将显示绿色。然后，一旦设备能够通过 UDP 4980 入站和出站设置虚拟路径，云连接将显示为绿色。
- 网络定位服务—
Citrix Cloud 帐户中包含网络定位服务。Orchestrator 服务可以自动执行 Citrix SD-WAN 环境的配置，也可以通过 PowerShell 脚本手动配置。
自动化-启用 NLS 的 Orchestrator 站点将其所有互联网 WAN 链接的公共 IP 地址以及其他站点详细信息（例如地理位置、时区与 NLS 数据库）共享。通过这些详细信息，NLS 确定连接到 Citrix Virtual Apps and Desktops 的用户是否位于 Citrix SD-WAN 的前端网络上。有关更多信息，请参阅Citrix SD-WAN Orchestrator — 网络定位服务
手动— 使用 Citrix 提供的 PowerShell 脚本，使用内部用户连接到 VDA 的网络的公有 IP 范围配置 NLS，从使用直接工作负载连接优化到工作区的连接
备注：要在 Citrix Orchestrator 服务中启用 NLS，请在网络级别导航到配置 > 交付服务 > 网络定位服务。
The NLS PowerShell script submits public IP address ranges used in dynamic NAT, at Edge devices, when Enterprise clients access the Internet. For example, when a user enters “what is my IP address” in their web browser there are various sites that extract, and report the public IP carried in their HTTP request header. That public IP is typically from the range that would be configured in the PowerShell script. Enter a Client ID, and Secret from your Citrix Cloud instance to give the script access to it through an API.
网络考虑
这里很好地讨论带宽注意事项以及 Citrix SD-WAN、Citrix Gateway 和 Citrix Virtual Apps and Desktops 服务使用的相关端口。
Bandwidth（带宽）
以网关模式部署在分支机构中的 Citrix SD-WAN 设备，管理内部网和所有可用链路的外部互联网带宽分配。新部署需要计划分配，现有部署需要相应地重新分配。
Citrix SD-WAN 带宽由交付服务根据链接类型组分配。有关更多信息，请参阅配送服务
Citrix Virtual Apps and Desktops 会话带宽使用情况因使用情况而异很 有关详细信息，请参阅Citrix Virtual Apps and Desktops 服务带宽。
端口
Citrix Virtual Apps and Desktops 服务使用定义明确的端口在模块化组件之间进行通信Citrix SD-WAN 像访问用户层组件一样扩展 LAN。（有关更多信息，请参阅下图。）
Citrix SD-WAN 使用 AES 128/256 位密码，在 UDP 端口 4980 上设置，在设备之间安全地通过虚拟路径隧道流量。有关详细信息，请参阅配置虚拟 WAN 服务
Citrix SD-WAN 可以在各种拓扑中部署，以适应企业网络中的位置。例如，它可以在分支机构的网关模式下使用来路由所有 LAN 流量，也可以在数据中心的虚拟内联模式下部署它以让边缘路由器转发所需的流量。有关更多信息，请参阅Citrix SD-WAN 部署拓扑
Citrix SD-WAN 可以允许所有 LAN 流量，或者使用板载防火墙根据企业安全策略进行过滤。如果需要，它也可以用来进行全栈检查。有关更多信息，请参阅Citrix SD-WAN安全