Citrix Virtual Apps and Desktops Mimarisi

16 Ekim 2020 12:43

Deniz Pekdaş

Bu yazımda sizlere uçtan uca bir Citrix Virtual Apps and Desktops (CVAD) Mimarisinin nelerden oluştuğunu ve çalışma mantığının ne olduğunu açıklayacağım. Biraz kapsamlı, diyagramlarla desteklenmiş ve bileşenlere ait ekran görüntüleri kullandım. Citrix Virtual Apps and Desktops Mimarisi hakkında başucu makalesi olabilecek seviyede diyebilirim. Bu mimari hakkında hiçbir bilginiz yoksa dahi okuduktan sonra aklınızda bir şeyler canlanacağına inanıyorum.

Citrix Virtual Apps and Desktops Nedir?

BT’ye sanal makineler, sanallaştırılmış uygulamalar, lisanslama ve güvenlik kontrolü sağlar. Bunu yaparken herhangi bir yerden ve cihazdan erişim sağlayan bir sanallaştırma çözümüdür.

Citrix Virtual Apps and Desktops Neler Sağlar?

Son kullanıcılar, uygulamaları ve masaüstlerini, kullandıkları cihazın işletim sisteminden ve arayüzünden bağımsız olarak çalıştırabilir.

Yöneticilerin ağı yönetmesi, seçilen cihazlardan ve/veya tüm cihazlardan erişimleri kontrol edebilmesini sağlar.

Yöneticilerin tüm ağı tek bir merkezden yönetebilmesine olanak sağlar.

CVAD, FlexCast Yönetim Mimarisi (FMA)adı verilen birleşik bir mimariyi kullanır. FMA’in temel özelliği, Citrix Virtual Apps veya Citrix Virtual Desktop’ın birden çok sürümünü tek bir Site üzerinde çalıştırabilmesini sağlayan bir entegrasyondur.

Anahtar Bileşenler Nelerdir?

Alttaki çizim CVAD mimarisinde bulunan temel bileşenleri ve onların birbiriyle olan iletişimini göstermektedir. Bu bileşenlerin tümünün bulunduğu ortama Site adı verilir.

Şimdi bu bileşenleri açıklayarak başlayalım.

Delivery Controller

Bahsettiğimiz Site’ın merkezi yönetim bileşenidir. CVAD yapısının beyni diyebiliriz; bütün kararlar burada verilir; bir CVAD projesine başlangıçta ilk kurulan bileşendir. Veri merkezindeki herhangi bir sunucuya kurulur. Güvenliği ve kullanılabilirliği artırmak için birden fazla sunucuya kurulması tavsiye edilir (bkz. High Availability). Delivery Controller bir hypervisor ya da diğer servislerden birinin üzerinde kuruluysa, onunla iletişim kurar:

Uygulama ve masaüstleri dağıtımı,
Kullanıcı erişimi doğrulama (authentication) ve yönetimi,
Kullanıcılar ile masaüstleri ve uygulamaları arasındaki broker bağlantısı,
Kullanıcı erişim optimizasyonu,
Erişimlerin yük dengelemesi,

Broker Servisi, hangi kullanıcıların nerede oturum açtığını, hangi oturum kaynaklarına sahip olduğunu ve mevcut uygulamalara yeniden bağlanıp bağlanmaması gerektiği konusunda karar verir. Broker Servisi, PowerShell cmdletlerini çalıştırır ve bu sayede TCP 80 portu üzerinden VDA’ler üzerinde kurulu Agent ile iletişim kurar. TCP 443 portu üzerinden iletişim kuramaz.

Monitoring servisi, geçmiş verileri toplar ve bunları veritabanına işler. Bu servis, TCP 80 ya da 443 portunu kullanır. Controller servislerinden gelen veriler Site Database üzerinde tutulur.

Controller, masaüstlerinin durumunu administrative konfigürasyona uygun bir şekilde başlatıp durdurarak yönetir. Bazı sürümlerde sanallaştırılmış veya fiziksel Windows ortamlarında kullanıcı kişiselleştirme ayarlarını yönetmek için bir Profile Managementkurulmasına izin verir.

Database

Her Site’ın yapılandırma ve oturum bilgilerini depolaması için en az bir Microsoft SQL Server veritabanı gerekir. Bu veritabanı, Controller’ı oluşturan servisler tarafından yönetilen ve toplanan verileri depolar. Veritabanının veri merkezinde Controller ile aynı ortamda olmasına veya aralarında statik bir bağlantı olması gerekmektedir. Site konfigürasyonu ayrıca bir Logging ve Monitoring veritabanı kullanır. Varsayılanda Site veritabanıyla aynı konumdadır, lakin isteğe bağlı olarak değiştirebilir.

Virtual Delivery Agent (VDA)

Controller ile fiziksel/sanal makineler arasındaki iletişimi sağlar. Bu bir yazılımdır, kurulumu yapıldıktan sonra o makine Controller’a kaydolmuş olur. Bu sayede VDA’in kurulu olduğu makinenin kaynakları kullanıcılara açılır. Bu sayede kullanıcı ile erişmesi istenilen makine arasındaki bağlantıyı kurar. Son olarak Citrix lisansını kontrol eder ve Controller üzerindeki Policyleri uygular. Controller ile TCP 80 portu üzerinden haberleşir.

Akılda kalıcı bir tabir kullanmak gerekirse; VDA denildiği zaman akla bir Agent ve onun kurulu olduğu bir makine gelmesi yeterlidir. Geri kalan her şey aradaki iletişimle sağlanır. Bir makine üzerinde VDA kurulmadıysa veya VDA ile Broker Servisi arasındaki bağlantıda sorun yaşanırsa, o makine Unregistered konumuna düşer ve böyle bir durumda ilk izlenmesi gereken yol bu iletişimin kopup kopmadığına bakmaktır. Tabii buna benzer birçok senaryo vardır.

VDA’ler tek oturum ve çift oturum olarak ikiye ayrılır, Citrix bunu Session olarak adlandırır. Makineler Single-Session OSve Multi-Session OS olarak yapılandırılır. Çok oturumlu demek, tek bir işletim sistemi üzerinde birden fazla kullanıcın çalışabilmesi demektir; Windows Server üzerine kurulan RDS rolü ile çoklu oturum mümkün kılındığı için bu duruma en güzel örnektir. Tek oturumlu ise yalnızca tek kullanıcının bağlanıp kullanabildiği oturum türüdür; Windows 10, Ubuntu veya diğer Linux işletim sistemleri buna örnektir.

Citrix StoreFront

Citrix mağazası adını verdiğim bileşendir. Mobil aplikasyonları indirdiğiniz uygulama mağazası gibi düşünebilirsiniz. Tek farkı burada istediğiniz uygulamaları değil, kullanıcınıza atanmış uygulamaları veya masaüstlerini görebiliyor olmanızdır. Controller’dan sonra veya aynı anda kurulması gereken bileşendir. IIS Web Server olarak çalışır ve aslında bir web sitesidir. Kullanıcı web adresini tarayıcısına yazar, StoreFront ekranı gelir, domain bilgileri ile giriş yapar, o esnada StoreFront servisi Controller ile konuşur, Controller da SQL Server ile konuşur ve kullanıcıya atanmış olan hangi uygulama/masaüstü varsa onu sunar. Yazarken uzun sürüyor lakin bütün bunlar birkaç saniye içerisinde gerçekleşiyor.

Citrix Workspace App

Kullanıcı cihazlarına ve diğer uç nokta cihazlarına yüklenen uygulamadır. Kullanıcı, belgelerine, uygulamalarına ve masaüstlerine hızlı, güvenli ve self servis bir erişim sağlar. Citrix Workspace isteğe bağlı olarak Windows, Web ve SaaS uygulamalarına erişim sağlar. Kullanıcı cihazı Citrix Workspace uygulamasını kaldırmıyorsa veya bir sebepten yüklenemiyorsa, HTML5 Citrix Workspace arayüzü de olduğu için, herhangi bir tarayıcıdan erişimini sağlayabilir.

Citrix Studio

Studio, MMC tabanlı bir yönetim konsoludur. Controller üzerindeki bütün işlemler bu konsolda gerçekleştirilir. Virtual Apps and Desktops dağıtımı bu konsol üzerinde yapılır. Policy, Machine Catalogs, Delivery Group vd. bu konsolda oluşturulur ve yönetilir. Birden fazla konsolda yapılacak işi tek konsol üzerinde gerçekleştirmeye yarar. Bahsettiğimiz Site kurulumu, uygulamalar ve masaüstlerini barındırmak için iş yükleri oluşturabilir, sonrasında bunları kullanıcılara veya gruplara atayabilirsiniz. Aynı şekilde lisansı talep etme ve lisans durumunu görüntülemek için de yine bu konsola ihtiyaç vardır.

Studio, bütün bu bilgileri BrokerServisinden alır ve TCP Port 80 üzerinden iletişim kurar.

Citrix Director

Director, BT ekibinin bir ortamı izlemesine, sorunları sistem açısından kritik bir hale gelmeden önce tespit edebilmesine ve bu sayede son kullanıcılara destek vermesine olanak sağlayan bir web arayüzüdür. Birden çok Citrix Virtual Apps and Desktops Site‘ına bağlanmak ve izlemek için tek bir Director yeterlidir.

Broker Servisinin VDA üzerindeki Agent aracılığıyla gerçek zamanlı veriler elde eder. Bu da işin Monitoring kısmıdır.

Director, Citrix Gateway tarafından sunulan ICA (Independent Computing Architecture / Citrix Receiver) verilerini ve performans kayıtlarını toplar ve bunu sistem yöneticilerine sunar. Bu sayede olası bir sorun önceden tespit edilebilir. Kurulum esnasında Windows Remote Assistance‘ı kullanmak istiyor musunuz? Diye bir soru sorar, bu Feature aktif edildiğinde ise Director üzerinden direkt olarak o Session’ın oturumunu görüntüleyebilir ve etkileşime geçebilirsiniz.

Citrix License Server

Adından da anlaşılacağı üzere Citrix lisanslarının yönetildiği sunucudur. Genelde StoreFront ile aynı makinede kurulur, sistem üzerinde ekstra büyük bir yük oluşturmadığı için sorun olmaz. Lisanslamayı yönetmek için Controller ile, lisansları çekmek için de Studio ile iletişim kurar. Lisans dosyalarını depolamak ve yönetmek için en az bir lisans sunucusuna ihtiyaç vardır.

Hypervisor

Yapıdaki sanal makineler Hypervisor üzerinde barındırılır. Uygulamalar ve masaüstleri için kullanılan VM’ler ve CVAD bileşenlerini barındırmak için kullanılan VM’ler de olabilir. Bir hypervisor, tamamen kendi faaliyetlerini yürütmek ve sanal makineleri barındırmaya ayrılmış bir ana bilgisayara/sunucuya yüklenir. Burada önemli bir noktadan bahsetmek gerekir; CVAD bütün Hypervisor’lar üzerinde sorunsuz çalışabilmektedir.

Birçok Deployment alt katmanda bir Hypervisor’ı zorunlu kılsa da, uzaktan erişim sağlamak için Citrix PVS’in (Provisioning Services) bir Hypervisor’a ihtiyacı yoktur.

Citrix Ek Bileşenler

Citrix Provisioning

Citrix Provisioning (eski adıyla Provisioning Services), bazı Citrix sürümlerinde bulunan ve isteğe bağlı kurulan bir bileşendir. Sanal makine oluştururken MCS (Machine Creation Services)bileşenine bir alternatif olabilir. MCS bir Master Image’ın kopyasını oluştururken, PVS Master Image’ı kullanıcının makinesine aktarır. PVS Bunları yaparken bir Hypervisor’a ihtiyaç duymaz. Bu nedenle PVS’i fiziksel makineleri barındırmak için bir Host olarak kullanabilirsiniz. Kullanıcılar ile olan iletişimini Controller aracılığıyla sağlar. PVS network tabanlı çalışan bir servistir (bkz. Boot via Network). Bu yüzden tercihim her zaman MCS yönünde olmuştur.

Citrix Machine Creation Services (MSC)

PVS’in aksine, Hypervisor tabanlı bir servistir. Bir Master Image’ın Snapshot’ını alır, bunu bir Storage adresine kopyalar ve klonlar bu kopya üzerinden oluşturulur. Güncelleme Master Image üzerinde yapılır ve testler sonucunda yeni versiyona geçilmek istendiğinde bu Catalog Update edilir. Bütün makineler Maintenance moduna alınır, sonrasında Boot edilirler ve otomatik olarak güncel versiyonun kopyası ile yeni bir Session başlatmış olurlar ve kullanıcı bazlı konfigürasyonlar kaybolmadan devam eder. MCS candır.

Citrix Gateway

Kullanıcılar kurum dışından bağlanmak istedikleri zaman bir SSL VPN‘e ihtiyaç duyarlar. Citrix Gateway (Citrix ADC, eski adıyla NetScaler) hem SSL VPN hem de direkt olarak web arayüzüne erişim sağlar. Şöyle düşünürsek; Citrix Gateway olan bir yapıda bir SSL VPN yazılımı kullanmak biraz gereksiz olacaktır. Citrix Gateway genelde DMZ üzerinde konumlandırılır, lakin diğer türlü de konumlandırmak mümkündür. Bir VPX, Virtual Appliance ya da Physical Appliance servisidir. Güvenlik duvarı üzerinden tek bir güvenli erişim noktası sağlar. Gelen kullanıcılar Citrix StoreFront arayüzü yerine Gateway arayüzü ile karşılaşır. nFactor Authentication dahil olmak üzere birçok güvenlik özelliği vardır. Aslına bakarsanız, Citrix Networking kavramının sadece bir parçasını oluşturur Citrix Gateway.

Citrix SD-WAN

Şube ofisleri gibi uzak konumlardaki kullanıcıların sanal masaüstlerine erişim performansının optimize edilmesi gereken yerlerde, Citrix SD-WAN uygun bir teknolojidir. Repeaters (tekrarlayıcılar), WAN’ler arasındaki performansı artırır. Bu sayede ağdaki tekrarlayıcılarla, şubedeki kullanıcılar WAN üzerinden LAN benzeri bir performans alırlar. Bunu basit bir senaryo ile örneklendirelim; ağ üzerinden büyük boyutlu bir dosya transferi yapılması gerekiyor. Bunu yaparken şube konumundaki kullanıcıların performans sorunu yaşanması istenmiyor. Citrix SD-WAN ile birtakım öncelikler atanabilir ve bu sayede dosya transferi tamamlanırken, şubedeki kullanıcılar performans sorunu yaşamamış olur.

Citrix SD-WAN HDX WAN optimizasyonu, Tokenized Compression, Data Deduplication ve Bandwidth gereksinimlerini önemli ölçüde azaltarak performansı artırır.

Tipik Bir Deployment Nasıl Çalışır?

Bir Site oluşturdunuz; ölçeklenebilirlik, yüksek kullanılabilirlik (high availability), yük devretme (failover) ve tasarım gereği güvenli bir çözüm sağlayan özel rollere sahip makinelerden oluşur. Bir Site, üzerinde VDA kurulu sunuculardan ve masaüstlerden ve bunlar arasındaki erişimi yöneten Delivery Controller’dan oluşur. Aşağıdaki diyagram buna örnektir;

VDA, kullanıcıların masaüstlerine ve uygulamalarına erişmelerini sağlar. Genelde sanal makinelere kurulur, ancak uzaktan yönetim için fiziksel makinelere de kurulabilir.

Controller, kaynakları, uygulamaları ve masaüstlerini yöneten; kullanıcı bağlantılarını optimize eden ve dengeleyen bağımsız Windows servislerinden oluşur. Her Site bir veya birden fazla Controller’a sahiptir. Session’lar, gecikme, bant genişliği ve ağ güvenirliğinden etkilendiği için tüm Controller’ların aynı LAN’de olması daha uygun olur.

Kullanıcılar Controller’a hiçbir zaman doğrudan erişmez. VDA, kullanıcılar ve Controller arasında köprü görevi görür. Kullanıcılar StoreFront ya da Gateway arayüzü üzerinde oturum açtıklarında, kimlik bilgileri Controller üzerindeki Broker Servisine aktarılır. Sonrasında Broker Servisi, profilleri ve mevcut kaynakları belirlenmiş Policy’ler doğrultusunda alarak cevap verir. Bütün bu bilgiler SQL Database üzerinde tutulur.

Kullanıcıların Bağlantıları Nasıl İşlenir?

Bir Session başlatmak için, kullanıcının cihazına yüklenmiş bir Citrix Workspace App ya da StoreFront web arayüzüne erişebileceği bir browser yazılımı kurulması yeterlidir. Sonrasında karşısına bir Citrix Mağazası gelir ve kendisine atanmış olan uygulamaları veya masaüstlerini seçer.

Kullanıcı kimlik bilgilerinden söz ettik. Citrix, Workspace uygulamasından gelen kullanıcıların kimlik bilgilerinin şifrelenmesi için StoreFront’a bir SSL sertifikası yerleştirilmesini önerir.

Controller, kullanıcının kimlik bilgileriyle birlikte VDA’e bir mesaj gönderir; bu mesajdan aldığı cevap doğrultusunda kullanıcı ve bağlantı hakkındaki tüm verileri VDA’e verir. VDA, bağlantıyı kabul eder ve bilgileri aynı yollardan Citrix Workspace uygulamasına geri gönderir. StoreFront’ta bir dizi gerekli parametre toplanır. Bu parametreler daha sonra Citrix-Workspace-app-StoreFront protokol iletişiminin bir parçası olarak Citrix Workspace uygulamasına gönderilir veya bir ICA dosyasına dönüştürülür ve kullanıcının cihazına indirilir. Site düzgün bir şekilde yapılandırıldığı sürece, kimlik bilgileri bu işlem boyunca şifrelenmiş olarak kalır.

ICA dosyası kullanıcının cihazına kopyalanır ve cihaz ile VDA üzerinde çalışan ICA arasında doğrudan bir bağlantı kurar. Bu bağlantı, yönetim altyapısını (Citrix Workspace uygulaması, StoreFront ve Controller) bypass ederek kullanıcıyı sahip olduğu kaynaklara yönlendirir.

Citrix Workspace uygulaması ile VDA arasındaki bağlantı, Citrix Gateway Protokolünü (CGP) kullanır. Bir bağlantı kesilirse, Session Reliability özelliği, kullanıcının yönetim altyapısı üzerinden yeniden başlatmak zorunda kalmadan VDA’e yeniden bağlanmasını sağlar. Session Reliability, Citrix Policy’lerinde etkinleştirilebilir veya devre dışı bırakılabilir.

Client VDA’e bağlandıktan sonra, VDA Controller’a kullanıcının oturum açtığını bildirir. Controller daha sonra bu bilgileri Site veritabanına gönderir ve Monitoring veritabanındaki verileri loglamaya başlar.

Veri Erişimi Nasıl Çalışır?

Her Citrix Virtual Apps and Desktops Session, BT’nin Studio veya Director aracılığıyla erişebileceği veriler üretir. Sistem yöneticileri, Studio’yu kullanarak Site’ları yönetmek için Broker Agent’tan gelen gerçek zamanlı verilere erişebilir. Director, aynı verilere ek olarak Monitoring veritabanında depolanan eski verilere de erişir. Ayrıca yardım masası desteği ve sorun giderme için NetScaler Gateway’den de HDX verilerine erişebilir.

Studio, yalnızca Broker Servisi ile iletişim kurar. Yalnızca gerçek zamanlı verilere erişir. Director, Site veritabanına erişmek için (Broker Agent’taki bir eklenti aracılığıyla) Broker Servisi ile iletişim kurar.

Masaüstü ve Uygulama Teslimi

Machine Catalogs aracılığıyla teslim etmek üzere uygulama ve masaüstü makineleri kurulur. Ardından, kullanılabilecek uygulamaları ve masaüstlerini (kataloglardaki makineleri kullanarak) ve hangi kullanıcıların bunlara erişebileceğini belirten Delivery Groups oluşturulur. İsteğe bağlı olarak, uygulama koleksiyonlarını yönetmek için Application Groups da oluşturulabilir.

Machine Catalogs (Makine Kataloğu)

Makine katalogları, tek bir bölüm olarak yönetilen sanal veya fiziksel makinelerin toplamıdır. Bu makineler ve üzerindeki uygulama veya sanal masaüstleri, kullanıcılara sağlanan kaynaklardır. Katalogdaki tüm makineler aynı işletim sistemine ve aynı VDA’e; aynı uygulamalara veya sanal masaüstlerine sahiptir.

Bir Master Image oluşturulur ve bu katalogda benzer VM’ler oluşturmak için kullanılır. Sanal makineler için, o katalogdaki makinelerin Provisioning yöntemini belirleyebilirsiniz: Citrix Tools (Citrix Provisioning veya MCS) veya diğer araçlar. Buna alternatif olarak, mevcut Image’larınızı da kullanabilirsiniz. Bu durumda, hedef cihazları tek tek veya toplu olarak third-party electronic software distribution (ESD) araçları kullanılarak yönetilmesi gerekir.

Mevcut makine tipleri şunlardır;

Multi-session OS (Çok oturumlu işletim sistemi): Çok oturum desteği olan bir işletim sistemine sahip sanal veya fiziksel makineler. CVAD tarafından oluşturulan uygulamaları ve masaüstlerini sunmak için kullanılır. Bu makineler, aynı anda birden fazla kullanıcının bağlanmasına olanak sağlar.
Single-session OS (Tek oturumlu işletim sistemi): Tek oturum desteği olan bir işletim sistemine sahip sanal veya fiziksel makineler. VDI masaüstleri (isteğe bağlı olarak kişiselleştirilebilen tek oturumlu işletim sistemleri çalıştıran masaüstleri), VM barındırılan uygulamalar (tek oturumlu işletim sistemleri üzerinde kurulu uygulamalar) ve barındırılan fiziksel masaüstleri sunmak için kullanılır. Bu masaüstlerinin her birine aynı anda yalnızca bir kullanıcı bağlanabilir.
Remote PC Access (Uzaktan bilgisayar erişimi): Uzak kullanıcıların, Citrix Workspace uygulamasını çalıştıran herhangi bir cihazdan fiziksel ofis bilgisayarlarına erişmelerini sağlar. Ofis bilgisayarları, Citrix Virtual Desktops aracılığıyla yönetilir ve kullanıcı cihazlarının bir izin listesinde olması gerekir.

Delivery Groups

Delivery Groups, hangi kullanıcıların hangi makinelerde hangi uygulamalara, masaüstlerine veya her ikisine birden erişebileceğini belirtir. Delivery Groups, makine kataloglarınızdaki makineleri ve Site’ınıza erişimi olan Active Directory kullanıcılarını içerir. Active Directory Groups ve Delivery Groups, benzer gereksinimleri olan kullanıcıları gruplamanın yolları olduğundan, kullanıcıları Active Directory gruplarına göre Delivery Group’lara atayabilirsiniz. Her Delivery Group, birden fazla katalogdan makineler içerebilir ve her katalog, makinelerini birden fazla Delivery Groups arasında dağıtabilir. Ancak, her bir makine aynı anda yalnızca bir Delivery Group’a ait olabilir.

Delivery Group’daki kullanıcıların hangi kaynaklara erişebileceğini siz belirlersiniz. Örneğin, farklı kullanıcılara farklı uygulamalar sunmak için, bir katalog içerisinde oluşturulan Master Image’a tüm uygulamaları yükleyebilir ve bu katalogdaki makineleri farklı Delivery Group’lar arasında dağıtabilirsiniz. Daha sonra, her bir Delivery Group’u, makinelerde kurulu olan farklı bir uygulama alt kümesini sunacak şekilde yapılandırabilirsiniz.

Application Groups

Application Groups, Delivery Groups karşısında uygulama yönetimi ve kaynak kontrolü avantajları sağlar. Etiket kısıtlama özelliğini kullanarak mevcut makinelerinizi birden fazla görev için kullanabilir, böylece dağıtım ve makinelerin yönetilmesiyle ilgili oluşabilecek kaynak maliyetlerinden tasarruf edebilirsiniz. Etiket kısıtlaması, bir Delivery Group’daki makineleri alt bölümlere ayırmak (veya bölümlemek) olarak düşünülebilir. Application Groups, bir Delivery Group’daki makine alt kümesini izole ederken ve sorun giderirken de yardımcı olabilir. Örneğin; birden fazla Delivery Groups oluşturdunuz, katalogda birçok makine var ve bu makinelerin hepsi aynı uygulamaları kullanıyor. Her bir Delivery Group için ayrı ayrı uygulama sanallaştırma yapmak yerine, tek bir Application Group oluşturularak dağıtılabilir. Bir çeşit merkezileştirilmiş uygulama sanallaştırma olarak düşünülebilir veya kategorize edilmiş uygulama sanallaştırma da denilebilir.

Okuduğunuz için teşekkürler,

İyi çalışmalar,