Introducción
El artículo describe las capacidades y características arquitectónicas de la plataforma en la nube Citrix Cloud y el conjunto de servicios de Citrix Workspace. Estas soluciones son el elemento central y la base para la implementación del concepto de espacios de trabajo digitales (digital workspace) de Citrix.
En este artículo, intenté desglosar y formular las relaciones de causa y efecto entre las plataformas en la nube, los servicios y las suscripciones de Citrix, cuya descripción en las fuentes abiertas de la empresa (citrix.com y docs.citrix.com) es a veces bastante confusa. ¡Las tecnologías en la nube no parecen ser de otra manera! Vale la pena señalar que la arquitectura y las tecnologías se presentan de manera razonable en general. Las dificultades surgen al tratar de entender la interrelación jerárquica entre los servicios y las plataformas:
- ¿Cuál plataforma es primaria: Citrix Cloud o Citrix Workspace Platform?
- ¿En cuál de las plataformas mencionadas anteriormente se incluyen los numerosos servicios de Citrix necesarios para construir la infraestructura de los espacios de trabajo digitales?
- ¿Cuánto cuesta esta solución y en qué variantes está disponible?
- ¿Es posible implementar todas las características del espacio de trabajo digital de Citrix sin utilizar Citrix Cloud?
Las respuestas a estas preguntas y una introducción a las soluciones de Citrix para espacios de trabajo digitales, a continuación.
Citrix Cloud
Citrix Cloud es una plataforma en la nube donde se alojan todos los servicios necesarios para la organización de espacios de trabajo digitales. Esta nube es propiedad de Citrix, que también se encarga de su mantenimiento y asegura la (disponibilidad de los servicios: al menos el 99,5% al mes).
Los clientes de Citrix, dependiendo de la suscripción elegida (paquete de servicios), obtienen acceso a un conjunto específico de servicios bajo el modelo SaaS. Para ellos, Citrix Cloud actúa como un panel de control en la nube para los espacios de trabajo digitales de la empresa. Citrix Cloud tiene una arquitectura multi-tenant, donde los clientes y sus infraestructuras están aislados entre sí.
Citrix Cloud actúa como una capa de control, donde se encuentran numerosos servicios en la nube de Citrix, incluidos los servicios operativos y de gestión de la infraestructura del espacio de trabajo digital. La capa de datos, que incluye aplicaciones de usuario, escritorios y datos, está fuera de Citrix Cloud. La única excepción es el Servicio de Navegador Seguro, que se proporciona totalmente bajo un modelo en la nube. La capa de datos puede residir en el centro de datos del cliente, en un centro de datos de un proveedor de servicios, en nubes públicas (AWS, Azure, Google Cloud). También son posibles soluciones mixtas y distribuidas, donde los datos del cliente se encuentran en varias ubicaciones y nubes, mientras que su gestión se realiza de manera centralizada desde Citrix Cloud.
Este enfoque tiene varias ventajas claras para los clientes:
- libertad para elegir la ubicación para el almacenamiento de datos;
- posibilidad de construir una infraestructura híbrida y distribuida, que contemple múltiples localizaciones con diferentes proveedores, en varias nubes y en el lugar;
- la ausencia de acceso directo a los datos del usuario por parte de Citrix, ya que están fuera de Citrix Cloud;
- la posibilidad de determinar el nivel deseado de rendimiento, tolerancia a fallos, confiabilidad, privacidad, integridad y disponibilidad de los datos; después, elegir las ubicaciones adecuadas para el almacenamiento;
- no hay necesidad de alojar y mantener múltiples servicios de gestión de espacios de trabajo digitales, ya que todos están en Citrix Cloud y son responsabilidad de Citrix; como resultado, se reducen los costos.
Citrix Workspace
Citrix Workspace es un concepto trascendental, fundamental y abarcador. Vamos a profundizar en él para entender por qué.
En general, Citrix Workspace representa la concepción de espacios de trabajo digitales de Citrix. Es, al mismo tiempo, una solución, un servicio y un conjunto de servicios para crear espacios de trabajo integrados, seguros, cómodos y gestionables.
Los usuarios tienen la posibilidad de un SSO sin fisuras para acceder rápidamente a aplicaciones/servicios, escritorios y datos desde una única consola en cualquier dispositivo para un trabajo productivo. Pueden olvidar con gusto múltiples cuentas, contraseñas y las dificultades para encontrar aplicaciones (accesos directos, menú Inicio, navegadores: todo en diferentes lugares).
El servicio de TI obtiene herramientas para la gestión centralizada de servicios y dispositivos de clientes, asegurando la seguridad, control de acceso, supervisión, actualizaciones, optimización de la interacción en red y análisis.
Citrix Workspace permite proporcionar acceso unificado a los siguientes recursos:
- Citrix Virtual Apps and Desktops – virtualización de aplicaciones y escritorios;
- Aplicaciones web;
- Aplicaciones SaaS en la nube;
- Aplicaciones móviles;
- Archivos en diversos almacenamientos, incluidos los en la nube.
El acceso a los recursos de Citrix Workspace se realiza a través de:
- Un navegador estándar — se admiten Chrome, Safari, MS IE y Edge, Firefox
- o la aplicación cliente 'nativa' — Citrix Workspace App.
El acceso es posible desde todos los dispositivos cliente populares:
- Computadores completos que operan con Windows, Linux, MacOS e incluso Chrome OS;
- Dispositivos móviles con iOS o Android.
Citrix Workspace Platform es parte de muchos servicios en la nube de Citrix Cloud, destinados a organizar el digital workspace. Cabe destacar que Workspace incluye la mayoría de los servicios presentes en Citrix Cloud, hablaremos de ellos en detalle más adelante.
De este modo, los usuarios finales obtienen la funcionalidad de espacios de trabajo digitales en sus dispositivos cliente favoritos a través de Workspace App o su sustituto en navegador (Workspace App para HTML5). Para lograr esta funcionalidad, Citrix ofrece la Workspace Platform en forma de un conjunto de servicios en la nube, que los administradores de la empresa gestionan a través de Citrix Cloud.
Citrix Workspace está disponible en : Standard, Premium, Premium Plus. Se diferencian en la cantidad de servicios incluidos en el paquete. Además, existe la opción de comprar algunos servicios por separado, fuera del paquete. Por ejemplo, el servicio fundamental Virtual Apps and Desktops solo está incluido en el paquete Premium Plus, y su costo por separado es superior al del paquete Standard y casi igual al de Premium.
Workspace es tanto la aplicación cliente – Workspace App, como la plataforma en la nube (una parte de ella) — Workspace Platform, y el nombre de las diversas tarifas, así como el concepto de espacios de trabajo digitales de Citrix en su conjunto. Esta es una entidad polifacética.
Arquitectura y requisitos del sistema
Condicionalmente, en la estructura del Digital Workspace de Citrix, se pueden distinguir 3 áreas:
- Varios dispositivos de clientes con la aplicación Workspace App o acceso por navegador a los espacios de trabajo digitales.
- La propia Workspace Platform en la nube Citrix Cloud, que vive en algún lugar de la red Internet en el dominio cloud.com.
- Ubicaciones de recursos (resource location) — instalaciones propias o alquiladas, nubes privadas o públicas, donde se alojan recursos con aplicaciones, escritorios virtuales y datos del cliente, publicados en Citrix Workspace. Este es el data-plane al que se hizo referencia anteriormente; hay que recordar que un cliente puede tener varias ubicaciones de recursos.
Ejemplos de recursos pueden incluir hipervisores, servidores, dispositivos de red, dominios AD y otros elementos necesarios para proporcionar a los usuarios los servicios correspondientes de espacios de trabajo digitales.
Un escenario de infraestructura distribuida podría incluir:
- varias ubicaciones de recursos en los propios centros de datos del cliente,
- ubicaciones en nubes públicas,
- pequeñas ubicaciones en sucursales remotas.
Al planificar las ubicaciones se deben considerar:
- la proximidad de los usuarios, los datos y las aplicaciones;
- la posibilidad de escalabilidad, incluyendo la rápida ampliación y reducción de capacidades;
- los requisitos de seguridad y regulaciones.
Las comunicaciones entre Citrix Cloud y las ubicaciones de recursos del cliente se llevan a cabo a través de componentes llamados Citrix Cloud Connector. Estos componentes permiten al cliente centrarse en el mantenimiento de los recursos proporcionados a los usuarios y olvidarse de las complicaciones con los servicios operativos y de gestión que ya están desplegados en la nube y son mantenidos por Citrix.
Para la gestión de carga y la resistencia a fallos, se recomienda desplegar al menos dos Cloud Connector en cada ubicación de recursos. Cloud Connector puede instalarse en una máquina física o virtual dedicada con Windows Server (2012 R2 o 2016). Es preferible ubicarlos en la red interna de la ubicación de recursos, no en la DMZ.
Cloud Connector autentica y cifra el tráfico entre Citrix Cloud y la ubicación de recursos a través de https, por defecto – puerto TCP 443. Solo se permiten sesiones salientes – desde Cloud Connector hacia la nube, se prohíben las conexiones entrantes.
Citrix Cloud requiere la existencia de un servicio de Active Directory (AD) en la infraestructura del cliente. El AD actúa como el principal proveedor de IdAM y es necesario para la autorización del acceso de los usuarios a los recursos de Workspace. Los Cloud Connector deben tener acceso al AD. Para garantizar la resistencia a fallos, es una buena práctica tener un par de controladores de dominio en cada ubicación de recursos, que interactuarán con los Cloud Connector de dicha ubicación.
Servicios de Citrix Cloud
Ahora vale la pena detenerse en los servicios principales de Citrix Cloud, que sustentan la plataforma Citrix Workspace y permiten a los clientes desplegar entornos de trabajo digitales completos.
Consideremos el propósito y la funcionalidad de estos servicios.
Aplicaciones y Escritorios Virtuales
Este es el servicio principal de Citrix Digital Workspace, que permite el acceso terminal a aplicaciones y un VDI completo. Soporta la virtualización de aplicaciones y escritorios de Windows y Linux.
Siendo un servicio en la nube, el servicio de Aplicaciones y Escritorios Virtuales contiene los mismos componentes que el Virtual Apps and Desktops tradicional (no en la nube), como se muestra en la figura a continuación. La diferencia radica en que todos los componentes de gestión (control plane) en el caso del servicio están alojados en la nube de Citrix Cloud. El cliente ya no necesita desplegar y mantener estos componentes, Citrix se encarga de ello.
En su lado, el cliente debe desplegar los siguientes componentes en las ubicaciones de recursos:
- Cloud Connector;
- Controladores de dominio de AD;
- Agentes de Entrega Virtual (VDAs);
- Hipervisores – por lo general, ya están presentes, pero hay situaciones donde se puede prescindir del hardware físico;
- Componentes opcionales – Citrix Gateway y StoreFront.
Todos los componentes mencionados, excepto los Cloud Connector, son gestionados por el cliente de forma independiente. Esto es lógico, ya que aquí se encuentra el data-plane, especialmente en lo que respecta a los nodos físicos y los hypervisores con VDA, donde se alojan directamente las aplicaciones y escritorios de los usuarios.
Los Cloud Connector deben ser instalados únicamente por el cliente, es un procedimiento muy sencillo que se realiza desde la consola de Citrix Cloud. Su mantenimiento posterior es realizado automáticamente.
Control de Acceso
Este servicio ofrece las siguientes capacidades:
- SSO (inicio de sesión único) para una amplia gama de aplicaciones SaaS populares;
- Filtrado de acceso a recursos de Internet;
- Monitoreo de la actividad de los usuarios en Internet.
El SSO para clientes a los servicios SaaS a través de Citrix Workspace es una alternativa más conveniente y segura, en comparación con el acceso habitual a través del navegador. La lista de aplicaciones SaaS compatibles es bastante extensa y se expande constantemente.
El filtrado de acceso a Internet se puede configurar en función de listas blancas o negras de sitios creadas manualmente. Además, se admite la restricción de acceso por categorías de sitios, basándose en amplias listas comerciales de URL actualizadas. Los usuarios pueden tener restringido el acceso a categorías de sitios tales como redes sociales, compras, contenido para adultos, malware, torrents, proxies, etc.
Además de permitir el acceso a sitios/SaaS directamente o bloquear su acceso, existe la opción de redirigir a los clientes a Secure Browser. Es decir, para reducir riesgos, el acceso a categorías o listas seleccionadas de recursos de Internet será posible únicamente a través de Secure Browser.
El servicio también ofrece un análisis detallado para monitorear la actividad de los usuarios en la red: sitios y aplicaciones visitadas, recursos peligrosos y ataques, accesos bloqueados, volúmenes de datos cargados/descargados.
Secure Browser
Permite publicar para los usuarios de Citrix Workspace un navegador de Internet (Google Chrome) como una aplicación virtual. Secure Browser es un servicio SaaS, cuya gestión y mantenimiento está a cargo de la empresa Citrix. Se aloja completamente en Citrix Cloud (incluido el data-plane), por lo que el cliente no necesita desplegarlo ni gestionarlo en sus propios recursos.
Citrix se encarga de asignar recursos en su nube para el VDA, donde se alojan los navegadores publicados para los clientes, asegurando la seguridad y actualización del sistema operativo y de los propios navegadores.
El acceso de los clientes al Secure Browser se realiza a través de la aplicación Workspace o del navegador cliente. La sesión se cifra mediante TLS. Para utilizar el servicio, el cliente no necesita descargar ni instalar nada.
Los sitios y aplicaciones web lanzados a través del Secure Browser se ejecutan en la nube; el cliente solo recibe la imagen de la sesión del terminal, sin que se realice ningún procesamiento en el dispositivo final. Esto permite aumentar significativamente el nivel de seguridad y protegerse de ataques de navegador.
La conexión y gestión del servicio se lleva a cabo a través del panel de cliente de Citrix Cloud. La conexión se realiza en un par de clics:
La gestión también es bastante sencilla, ya que se limita a establecer políticas y listas blancas:
La política permite regular los siguientes parámetros:
- Clipboard – permite habilitar la función de copiar y pegar en la sesión del navegador;
- Printing – posibilidad de guardar páginas web en el dispositivo del cliente en formato PDF;
- Non-kiosk – habilitado por defecto, permite el uso completo del navegador (varias pestañas, barra de direcciones);
- Region failover – posibilidad de reiniciar el navegador en otra región de Citrix Cloud en caso de caída de la región principal;
- Client drive mapping – posibilidad de montar el disco del dispositivo cliente para descargar o cargar archivos desde la sesión del navegador.
Las listas blancas permiten establecer una lista de sitios a los que se concederá acceso a los clientes. El acceso a recursos fuera de esta lista será prohibido.
Colaboración de Contenidos
Este servicio proporciona acceso conjunto a los usuarios de Workspace a archivos y documentos alojados en recursos internos del cliente (on-premises) y soportados en servicios de nube públicos. Estos pueden ser carpetas personales del usuario, recursos compartidos en la red corporativa, documentos de SharePoint, o repositorios en la nube como OneDrive, DropBox o Google Drive.
El servicio proporciona SSO para el acceso a datos en todos los tipos de recursos de almacenamiento. Los usuarios de Citrix Workspace obtienen acceso seguro a archivos de trabajo desde sus dispositivos, no solo en la oficina, sino también de forma remota, sin complicaciones adicionales.
Content Collaboration ofrece las siguientes funcionalidades para trabajar con datos:
- intercambio de archivos entre recursos de Workspace y dispositivos del cliente (descarga y subida),
- sincronización de archivos del usuario en todos los dispositivos,
- compartición de archivos y su sincronización para múltiples usuarios de Workspace,
- configuración de permisos de acceso a archivos y carpetas para otros usuarios de Workspace,
- solicitudes de acceso a archivos, creación de enlaces para la descarga segura (upload) de archivos.
Además, se proporcionan mecanismos de protección adicionales:
- acceso a archivos mediante contraseñas temporales,
- cifrado de archivos,
- provisión de marcas de agua (watermark) en archivos compartidos.
Gestión de Dispositivos Finales
Este servicio proporciona la funcionalidad necesaria para gestionar dispositivos móviles (Mobile Device Management – MDM) y aplicaciones (Mobile Application Management – MAM) en entornos de trabajo digitales. Citrix lo posiciona como una solución SaaS-EMM – Gestión de Movilidad Empresarial como servicio.
La funcionalidad MDM permite:
- distribuir aplicaciones, políticas de dispositivos, certificados para la conexión a los recursos del cliente,
- llevar un registro de dispositivos,
- bloquear y realizar un borrado completo o parcial (wipe) de dispositivos.
La funcionalidad MAM permite:
- garantizar la seguridad de aplicaciones y datos en dispositivos móviles,
- proveer aplicaciones móviles corporativas.
Desde el punto de vista de la arquitectura y el principio de provisión del servicio al cliente, la Gestión de Dispositivos Finales es muy similar a la opción en la nube de Aplicaciones y Escritorios Virtuales descrita anteriormente. El Control Plane y los servicios que lo componen están en Citrix Cloud, y su mantenimiento está a cargo de Citrix, lo que permite considerar este servicio como SaaS.
El Data Plane en las ubicaciones de recursos del cliente incluye:
- Cloud Connectors necesarios para interactuar con la nube de Citrix,
- Citrix Gateways, que proporcionan acceso remoto seguro para que los usuarios accedan a recursos internos del cliente (aplicaciones, datos) y funcionalidad de micro-VPN,
- Active Directory, PKI
- Exchange, archivos, aplicaciones y escritorios virtuales.
Puerta de enlace
Citrix Gateway proporciona la siguiente funcionalidad:
- puerta de enlace de acceso remoto – conexión segura a recursos corporativos para usuarios móviles y remotos desde fuera del perímetro seguro,
- proveedor de IdAM (Gestión de Identidades y Accesos) para garantizar SSO a recursos corporativos.
Bajo los recursos corporativos en este contexto se debe entender no solo aplicaciones virtuales y escritorios, sino también numerosas aplicaciones SaaS.
Para optimizar el tráfico de red y obtener la funcionalidad de micro VPN, es necesario implementar Citrix Gateway en cada una de las ubicaciones de los recursos, generalmente en la DMZ. En este caso, la asignación de las capacidades necesarias y el soporte recaen en el cliente.
Una alternativa es utilizar Citrix Gateway como un servicio de Citrix Cloud, en este caso el cliente no necesita implementar ni mantener nada por su cuenta, ya que Citrix se encarga de ello en su nube.
Analytics
Este es el servicio de análisis de Citrix Cloud, integrado con todos los servicios en la nube mencionados anteriormente. Está diseñado para recopilar datos generados por los servicios de Citrix y analizarlos a través de mecanismos incorporados de aprendizaje automático. Se toman en cuenta métricas relacionadas con usuarios, aplicaciones, archivos, dispositivos y redes.
Como resultado, se generan informes sobre seguridad, rendimiento y operaciones de usuarios.
Además de generar informes estadísticos, Citrix Analytics puede actuar de manera proactiva. Esto implica la creación de perfiles de comportamiento normal de los usuarios y la detección de anomalías. Si un usuario comienza a utilizar una aplicación de manera no estándar o comparte datos de forma activa, él y su dispositivo pueden ser bloqueados automáticamente. Lo mismo sucederá en caso de acceso a recursos peligrosos en Internet.
La atención se centra no solo en la seguridad, sino también en el rendimiento. La analítica permite monitorear y resolver problemas relacionados con inicios de sesión prolongados de usuarios y retrasos en la red.
Conclusión
Hemos conocido la arquitectura de la nube de Citrix, la plataforma Workspace y sus principales servicios necesarios para organizar la infraestructura de espacios de trabajo digitales. Cabe señalar que no hemos revisado todos los servicios de Citrix Cloud; nos hemos limitado a un conjunto básico para la organización del digital workspace. de los servicios de la nube de Citrix también incluye herramientas de red, funciones adicionales para trabajar con aplicaciones y espacios de trabajo.
También es importante mencionar que la funcionalidad principal de los espacios de trabajo digitales se puede implementar sin Citrix Cloud, exclusivamente en las instalaciones. El producto básico Virtual Apps and Desktops sigue estando disponible en su versión clásica, donde no solo el VDA, sino también todos los servicios de gestión son desplegados y mantenidos por el cliente en su propia infraestructura, sin necesidad de Cloud Connector. Lo mismo aplica para Endpoint Management: su predecesor on-premises se llama XenMobile Server, aunque en la versión en la nube es un poco más funcional. Algunas capacidades de Access Control también pueden ser implementadas por el cliente en su propia infraestructura. La funcionalidad de Secure Browser puede ser implementada on-premises, y el cliente puede elegir el navegador.
El deseo de desplegar todo en su propia infraestructura es positivo en términos de seguridad, control y desconfianza hacia las nubes extranjeras. Sin embargo, sin Citrix Cloud, la funcionalidad de Content Collaboration y Analytics estará completamente ausente. Las capacidades de otras soluciones Citrix on-premises, como se mencionó anteriormente, pueden no ser tan completas como sus implementaciones en la nube. Y lo más importante, la superficie de gestión tendrá que ser mantenida internamente y administrada de forma independiente.
Enlaces útiles:
, incluyendo Citrix Cloud
– videos técnicos, artículos y diagramas
Fuente: habr.com
