Da farm on-premises a Citrix Cloud, su data center, AWS e sito di DR

Contesto

L’azienda pubblicava applicazioni e desktop con farm Citrix on-premises e voleva passare a un’infrastruttura gestita da Citrix Cloud, con le risorse nei propri data center e su AWS. Gli utenti sono dipendenti, operatori di call center e consulenti: oltre 350 sessioni contemporanee, da qualsiasi luogo connesso a Internet, con la stessa esperienza dentro e fuori dall’ufficio.

Ho scritto il documento di High Level Design, organizzato per livelli: utenti, accesso, risorse, controllo e infrastruttura.

La sfida

• Più posizioni, un solo ambiente. Due data center on-premises, un tenant AWS e un sito di DR, governati dallo stesso piano di controllo.
• Il percorso più breve per le sessioni. Il traffico HDX deve passare dal gateway vicino alla risorsa, non da un punto unico.
• Identità complesse. Una foresta Active Directory con domini figli, foreste esterne in trust e un dominio dedicato in AWS, più Azure Active Directory.
• Accesso sicuro senza perdere comodità. Utente, password e MFA per tutti, con single sign-on fino alla sessione.
• Profili leggeri e protetti. Profili di dimensioni controllate e disponibili anche se un data center si ferma.

L’architettura

Il piano di controllo e il portale Workspace sono servizi di Citrix Cloud. Nei siti del cliente ci sono solo le risorse e i Cloud Connector, almeno due per zona, che aprono un canale cifrato verso il tenant e autenticano gli utenti sul dominio aziendale.

Le risorse stanno in tre zone: la zona A con i due data center on-premises su VMware, la zona B con il tenant AWS e istanze EC2, la zona DR. Ogni zona ha una coppia di Citrix ADC in alta affidabilità con Citrix Gateway e un proprio indirizzo di optimal routing: quando l’utente avvia una risorsa, la sessione HDX passa dal gateway della zona in cui la risorsa si trova. Gli utenti esterni arrivano all’ADC attraverso la DMZ; quelli interni usano un VIP privato e restano in rete locale.

Decisioni chiave

• Autenticazione delegata ad Azure AD. Citrix Cloud si integra con Azure Active Directory e la sua MFA; Citrix FAS emette i certificati per il single sign-on nelle sessioni.
• Un DR che consuma poco. Nel sito di DR restano sempre accesi solo gli ADC; Cloud Connector, servizi e risorse sono una replica spenta, lato storage, dell’ambiente di produzione.
• Provisioning uniforme. MCS crea i Machine Catalog sia su VMware on-premises sia su AWS.
• Profili sotto controllo. Citrix Profile Management con esclusioni di cartelle e tipi di file e folder redirection per Desktop, Documenti e Download, per profili di circa 200 MB.
• Una share replicata e un percorso unico. La share SMB dei profili va replicata tra i data center, preferibilmente a livello di blocchi, e raggiunta con un namespace DFS, lo stesso in condizioni normali e in failover.
• Gestione centralizzata degli ADC. Citrix ADM service in modalità express, con un agente on-premises e uno in AWS: notifiche, firmware, certificati e configurazioni da un punto solo.