Rede híbrida com Citrix Cloud e Azure

Este artigo descreve uma arquitetura de referência que demonstra as principais áreas de design e as práticas recomendadas de design para um ambiente do Azure e da Citrix Cloud com várias assinaturas.

Arquitetura

O diagrama de arquitetura a seguir mostra um ambiente do Azure e da Citrix Cloud com várias assinaturas.

Baixe o arquivo do Visio.

Componentes

Você pode implementar essa arquitetura com os seguintes componentes:

• Servidores dos Serviços de Domínio Active Directory (AD DS) e servidores DNS (sistema de nomes de domínio) personalizados
• Grupos de segurança de rede
• Observador de Rede do Azure
• Internet de saída por meio de um caminho de Rede Virtual do Azure padrão
• Azure ExpressRoute ou Gateway de VPN do Azure para conectividade híbrida com o local
• Pontos de extremidade privados do Azure
• Contas de armazenamento de Arquivos do Azure ou Arquivos do Azure NetApp Comparar opções de armazenamento de perfil
• Cofre de Chave do Azure

Esse cenário também inclui os seguintes componentes da Citrix na zona de aterrissagem do Azure:

• O Citrix Cloud Connector estabelece uma conexão entre o Citrix Cloud e seus locais de recursos.
• O Citrix Virtual Delivery Agent (VDA) é instalado em uma imagem mestra ou dispositivo de destino que hospeda seus aplicativos ou desktops. Esse agente permite a conectividade, o provisionamento e a orquestração desses recursos como máquinas persistentes ou não persistentes. O VDA é compatível com dispositivos físicos ou virtuais e Windows Server, Windows Client ou sistema operacional Linux.
• O Citrix Workspace é um serviço de nuvem que oferece acesso seguro às informações, aplicativos e outros conteúdos relevantes para as funções do usuário final. O Citrix Workspace integra o Azure e ativos locais, permitindo acesso unificado a todos os recursos dos usuários em um único local, de qualquer lugar, em qualquer dispositivo.

Componentes opcionais da Citrix

Os seguintes componentes da Citrix na zona de aterrissagem do Azure são opcionais. Considere esses componentes se precisar de funcionalidade avançada.

• O Serviço de Autenticação Federada da Citrix emite certificados dinamicamente para os usuários, permitindo que eles façam logon em um ambiente do Active Directory como se tivessem um cartão inteligente. Esse serviço habilita o logon único ao usar a autenticação baseada em SAML (Security Assertion Markup Language). Você pode usar uma ampla gama de opções de autenticação e provedores de identidade de terceiros, como Okta e Ping.
• O Citrix StoreFront é um ponto de acesso de usuário interno alternativo para o Citrix Workspace. O StoreFront é autogerenciado e agrega recursos perfeitamente em vários ambientes locais e do Azure. Os cenários de elevação e deslocamento geralmente usam o StoreFront para manter o acesso do usuário às implantações existentes da Citrix enquanto movem cargas de trabalho para o Azure.
• O Citrix ADC (NetScaler) é um ponto de acesso de usuário externo alternativo para o Citrix Workspace and Gateway Service. O Citrix ADC é um dispositivo virtual autogerenciado em seu locatário do Azure que fornece proxy seguro para conectividade e autenticação externas. Você pode integrar o Citrix ADC ao StoreFront ou ao Workspace. Os cenários de elevação e deslocamento geralmente usam o Citrix ADC para manter o acesso do usuário às implantações existentes da Citrix enquanto movem cargas de trabalho para o Azure.
• O Citrix Provisioning é uma solução de gerenciamento de imagem baseada em rede que você pode implantar em seu locatário do Azure para habilitar a implantação escalonável de até milhares de máquinas não persistentes. O Citrix Provisioning oferece suporte a atualizações rápidas e requisitos de armazenamento reduzidos por streaming de imagens centralizadas em uma rede virtual do Azure.
• O dispositivo Citrix App Layering é o componente central da tecnologia App Layering que hospeda o console de gerenciamento e permite a criação e o gerenciamento de camadas, atribuições de camada e modelos de imagem. O App Layering ajuda a gerenciar instâncias únicas de sistemas operacionais e aplicativos e compor imagens a partir de camadas, reduzindo consideravelmente o esforço em ambientes com muitas imagens douradas.

Considerações de design da Citrix

As diretrizes de design para Citrix DaaS no Microsoft Azure estão disponíveis no Citrix TechZone - Diretrizes de design para Citrix DaaS no Microsoft Azure. Essa orientação destaca as considerações de sistema, carga de trabalho, usuário e rede para as tecnologias Citrix em alinhamento com os princípios de design do Cloud Adoption Framework.

A solução Citrix no Azure requer uma certa quantidade de taxa de transferência para cada usuário, vários protocolos e portas e outras considerações de rede. Todos os dispositivos de rede, como Citrix ADC e firewalls, devem ser dimensionados adequadamente para lidar com aumentos de carga durante cenários de recuperação de desastres. Para obter mais informações, consulte Decisão de design: considerações específicas do Azure.

Segmentação de rede

A Citrix também fornece orientação para segmentação de rede do Azure e sub-redes segmentadas logicamente. Ao revisar as diretrizes sobre segmentação de rede para cargas de trabalho da Citrix, use as seguintes diretrizes para ajudar no planejamento inicial:

Segmentar por tipos de carga de trabalho

Crie redes virtuais ou sub-redes separadas de sessão única e várias sessões para permitir o crescimento de cada tipo de rede sem afetar a escalabilidade do outro tipo.

Por exemplo, se você preencher uma sub-rede compartilhada de várias sessões e de sessão única com a infraestrutura de área de trabalho virtual (VDI), talvez seja necessário criar uma nova unidade de hospedagem para oferecer suporte a aplicativos. Uma nova unidade de hospedagem requer a criação de vários catálogos de máquina para oferecer suporte a aplicativos de dimensionamento ou a migração dos catálogos de aplicativos existentes para uma nova sub-rede.

Se você usar assinaturas de carga de trabalho como parte de uma arquitetura de várias assinaturas, entenda os limites do MCS (Serviço de Criação de Máquina) da Citrix no número de máquinas virtuais (VMs) por assinatura do Azure. Considere esses limites em seu design de rede virtual e quando você planeja o endereçamento IP.

Segmentar por locatário, unidade de negócios ou zona de segurança

Se você estiver executando uma implantação multilocatário, como uma arquitetura de provedor de serviços Citrix, é recomendável isolar locatários entre redes ou sub-redes. Se os padrões de segurança existentes precisarem de requisitos específicos de isolamento em nível de rede, considere isolar unidades de negócios ou zonas de segurança separadas dentro da organização.

Pondere a segmentação de unidades de negócios além das redes específicas de carga de trabalho contra o efeito do aumento da complexidade no ambiente geral. Essa metodologia deve ser a exceção e não a regra, e ser aplicada com a justificativa correta e a escala projetada. Por exemplo, você pode criar uma rede para 1.000 contratados que dão suporte financeiro para acomodar necessidades de segurança além da rede VDI de sessão única padrão.

Você pode usar grupos de segurança de aplicativos para permitir que apenas VMs específicas acessem back-ends de aplicativos de unidade de negócios em uma rede virtual compartilhada. Por exemplo, você pode limitar o acesso de back-end do CRM (gerenciamento de relações com o cliente) às VMs do catálogo de máquinas do CRM que o Marketing usa na rede VDA de várias sessões.

Próximas etapas

Para saber mais sobre as práticas recomendadas de rede do Azure e como planejar redes virtuais com base em requisitos de isolamento, conectividade e localização, consulte Planejar redes virtuais.

Revise as considerações críticas de design e as recomendações para gerenciamento e monitoramento específicos para a implantação do Citrix no Azure.

• Gerenciamento e monitoramento