Citrix-汽车制造业解决方案v1.docx

33解决方案Solution 思杰汽车制造业解决方案Version 1.0 目录1前言32虚拟化交付中心的概念32.1虚拟化提高系统高可用性52.2应用优化提高客户体验62.3应用安全降低系统风险83CITRIX 汽车制造行业解决方案一览93.14S店快速扩张和DMS部署解决方案93.2企业集中开发管理平台解决方案123.3图纸安全控制解决方案概述193.4图纸安全无盘技术解决方案213.5SAP集中部署解决方案223.6企业办公网统一对外访问解决方案254CITIRX交付中心关键技术介绍264.1Citrix Delivery CenterTM 将数据中心转变成交付中心264.2Citrix Workow Studio 强大的协作工具，实现真正的动态交付中心274.3应用虚拟化 Citrix XenAppTM 从数据中心交付Windows应用274.4桌面虚拟化 Citrix XenDesktopTM 从数据中心交付Windows桌面274.5服务器虚拟化 Citrix XenServerTM274.6桌面和服务器应用供应 Citrix Provisioning ServerTM284.7企业单点登录 Citrix Password ManagerTM284.8性能监测和负载测试 Citrix EdgeSightTM284.9远程访问和SSL VPN Citrix Access GatewayTM284.10WAN优化 Citrix Repeater TM284.11智能电话 Citrix EasyCallTM295CITRIX 公司介绍295.1思杰公司简介295.2用户实施集中化收益分析311 前言汽车制造业在我国国民经济中处于重要地位。 目前几乎所有的汽车制造业企业都已经或正在把企业信息化作为企业发展的战略之一。企业信息化规划则是实施这一战略的蓝图。信息化规划以整个企业的发展目标，发展战略，和各部门的目标与功能为基础，结合行业信息化方面的实践和对信息技术发展趋势的掌握，提出企业的信息化远景，目标，和战略，全面系统地指导企业信息化的进程，协调发展地进行信息技术的应用，及时地满足企业发展的需要，以及有效充分地利用企业的资源。 不断提升并完善企业信息化的价值是一项复杂的系统工程，它既需要软件和硬件设备的大量投资，又需要人力、物力、智力的投入。近年来，很多汽车制造企业都加快了信息化建设的步伐，通过互联网及企业内部网（专网），宣传企业或开展电子商务；使用办公OA 系统、DMS、ERP、CRM 等信息管理系统；建立自己的门户网站等，以此提高企业核心竞争力。 因此，在网络信息技术高速发展的今天，企业信息系统网络是否高效、畅通、安全在很大程度上影响企业的生产、销售、管理等各个环节。对于现代化的汽车制造企业来说，及时了解客户的需求和市场动态非常重要，建立一个高效、可靠、灵活的企业信息网络架构就显得尤为迫切。 借助思杰公司近20年的汽车制造行业合作经验，结合思杰公司为汽车制造行业提供的优秀高科技产品，能够共同帮助中国汽车制造行业实现成长企业战略，使得企业就能够在变化降临的各个阶段快速实现业务决策，化被动为主动。使得企业随市场而变，随用户而动，而企业核心业务系统随企业而动；帮助中国汽车制造业的创新模式就能够随时随地转化为满足用户需求的竞争力、满足市场变化的竞争力。使得业务系统不断创新，永续成长，成为动成长企业的卓越典范。 2 虚拟化交付中心的概念 虚拟化交付中心，首先的一个问题就是应用的发布问题。下面我们从一个典型的应用发布流程中间所经历的环节进行分析： 任何应用系统都离不开物理的数据存放。数据最终都是以二进制编码方式存放在物理设备上，通常，这些都是存放在存储设备上，比如常见的硬盘、磁盘阵列等存储系统上。通过服务器操作系统，可以将这些数据按照应用系统所要求的格式进行读取和写入。 服务器在这中间起到了一个桥梁性作用，一方面，服务器从物理存储设备上读取和写入数据，另一方面，服务器对外提供网络的接口，通过网络将数据进行发布。 应用系统则是安装在服务器上的软件应用，对数据进行进一步处理，应用系统包括常见的数据库系统、中间件系统等。应用系统主要完成商务逻辑运算、数据加工整理等功能。 最后，通过门户系统对外呈现一个统一的界面和接口，如Apache、IIS等Web服务器，对数据进行进一步格式化，转变成用户端可见的界面，并提供服务端口，供用户端进行访问。 所有的存储、服务器、应用系统和门户系统都部署在数据中心里。ISP则是连接用户端和数据中心的桥梁。最终用户通过ISP提供的链路资源访问到数据中心，并最终通过门户系统、应用系统和服务器系统来读取和写入应用数据。这样，就完成了整个应用的发布过程。 交付中心中所有中间环节就是让最终用户可以输入和使用位于数据中心的数据。应用则通过不同的展现手段，提供给终端用户不同的内容。 在应用发布的整个过程中，直接性的，信息主管面临以下问题： 应用整合 随着企业自身的发展，对IT信息化建提出了更高的要求，因此应用系统的整合度越来越高，所以对服务器的性能、高可用性方面的要求也随之提高。 服务器整合 在应用整合后，服务器的整合随即变得非常的重要，如何使位于数据中心的服务器资源得到合理的共享、动态调配，降低能源消耗，已经现实的将问题摆在了信息主管的面前。 安全攻击 从DDOS到SQL Injection，各种类型不同的攻击手段，都在影响着交付中心的顺畅，轻则导致应用变慢、不顺畅，重则导致业务中断、系统瘫痪。 用户分散加剧 目前大部分企业的业务系统都从最初仅面向一个分支机构或者一个小范围的客户群体，发展到面向全国甚至全球的使用者。用户分散加剧也导致了交付中心的环境变得越来越恶劣。 SOA建设 企业业务的复杂性，需要SOA架构来进行多应用，多协议的整合，信息主管需要有完善的架构设计理念和实施部署方案，实现这些不同种类的应用的最佳部署结构。 针对交付中心的各个环节中的薄弱点，Citrix 交付中心方案提供了端到端的解决方案。 应用整合：通过对应用系统的深层次识别和各种应用加速技术，提高应用系统的访问效率和响应速度。 服务器整合：通过使用本地负载均衡、应用优化设备，实现服务器的高可用性、高安全性和可扩充性。 安全攻击：通过网络层安全防护、应用层安全防护和传输通道加密技术，提高系统的整体安全性。 用户分散加剧：通过将数据，应用和桌面完全集中放到数据中心，然后通过高效显示传输协议交付给最终用户，最大程度地减少传统应用的客户端管理和本地操作系统依赖，真正实现应用发布的客户端独立性。另外一个层面，通过广域网用户引导、多链路用户引导等技术，引导用户选择最佳的数据中心，通过最佳的链路到达应用服务器。 SOA建设：通过多协议、多平台的支持，对应用中的各种协议流量进行分析，实现精确引导和应用发布。 传统的数据网络主要关注的是网络的互连互通，而各种新兴繁杂的网络应用，关注的则是业务逻辑和功能。应用虚拟化交付中心（ Delivery Center ）的理念则将重点放在了这两者之间的地带，在现有架构的基础上，实现应用交付的快速、安全和高可用。 Citrix通过对网络和应用之间存在的问题进行分析，提出了以持续，高效，安全、快速为核心的应用虚拟化交付中心概念，通过集中式管理模式，并从虚拟化、及应用加速优化，应用安全等几个方面入手，帮助企业构架交付中心，提高系统的高可用性、利用率和客户体验，并降低应用安全风险.2.1 虚拟化提高系统高可用性 企业现有应用系统中常用的OA系统，Mail系统，ERP，CRM等众多的应用已成为企业日常运作的重要组成部分，任何一个系统的访问失败都会影响企业运营的进行。目前的企业数据中心内都包含上千个内部/外部的业务应用系统，其关系错综复杂。 然而，用户在通过网络访问到企业所发布的应用所经过的处理环节中，造成应用访问失败的原因有很多，比如：单一的Internet或专线接入链路出现的单点故障，各网络设备或安全网关类设备的异常中断，后台服务器软硬件系统的失效或日常维护时的停机重启等操作，都无法有效保证企业关键应用系统可以7*24小时不间断运行。 处于业务系统的部署需求和成本管理控制，没有任何一个企业可以采用单一的操作系统和单一厂商硬件设备来构建整个的数据中心，用户接入端的种类越来越丰富，对交付中心需求的时间要求越来越高，也带来了对系统高可用性越来越高的要求。虚拟化技术（Virtualization）可以有效的提高系统的整体高可用性。虚拟化技术实际上在业界已经存在很长的时间，只是目前在开始逐渐清晰，并将其作为一个主流的技术进行展现。按照不同的用户接入和应用服务层面，虚拟化可以分为很多个层次。 服务器虚拟化 在目前主流的服务器硬件设备和操作系统级别上，均提供了不同程度的虚拟化功能。包括基于CPU的硬件虚拟化功能的系统如Citrix XenServer，Windows Hyper-V等技术，也包含了基于软件的服务器虚拟化系统如VMware。在主流的CPU如Intel、AMD、PowerPC和SPARC等CPU上，也实现了硬件的虚拟化技术，使单台服务器可以被切分为多台服务器系统。从而使操作系统认为其使用的是一个完整的硬件平台。然后在后台进行资源的统一调度和管理。 应用虚拟化 应用虚拟化可以简单描述为“以IT应用客户端集中部署平台为核心，以对最终用户透明的方式完全使用户的应用和数据在平台上统一计算和运行，并最终让用户获得与本地访问应用同样的应用感受和计算结果。” 虚拟化背后的主要推动力是基础设施各方面的猛烈增长，同时伴随着IT硬件和应用的大量增加。而且，IT系统正在变得越来越大，分布越来越广，并且更加复杂，因而难以管理，但要求加强IT控制的业务和监管压力却在继续增大。而应用虚拟化正在帮助解决当今机构所面临的很多推动力方面的问题提高业务效率、增强员工移动性、遵守安全与监管规定、向新兴市场拓展、业务外包、以及业务连续性等等。桌面虚拟化 桌面虚拟化是使用软件从用户的PC中抽象操作系统、应用程序和相关的数据。桌面须拟化使管理用户PC、配置新的桌面、使用补丁和强制执行安全政策更加方便。根据软件和硬件的选择，桌面虚拟化能够减少拥有总成本。一般说来，桌面虚拟化产品有两种类型：本地桌面虚拟化和托管的桌面虚拟化。前者在用户PC上的一个受保护的隔离环境中运行整个桌面环境。后者将用户的桌面存储在数据中心的服务器或者刀片式PC上，要求用户通过网络连接访问自己的桌面镜像。只有通过虚拟化、共享的系统建设，并通过完善的系统资源监控和自动化的调配体系，才能实现真正的系统高可用性。为此，在考虑新一代的企业信息系统建设时，还必须考虑以下几个方面： 系统的监控 除了传统的数据收集类的监控体系外，新的系统监控体系还必须加入快速反应系统。在事件发生的时候，监控系统还可以根据预先设置的条件进行快速反应，对资源进行动态调配，将可能发生的问题消于无形。 系统的智能化 在数据中心中，存在有各个厂家、各个层面上的网络设备、服务器、存储等，智能化的系统可以与其他的厂商相关联产品进行紧密配合，相互了解资源使用状况。并通过开放的应用开发接口，可以灵活的定制动态资源调配策略。 l虚拟化对应用系统的影响 在实现虚拟化以后，必然会涉及到应用运行环境的改变，严重的时候甚至将导致系统不能运行。通过两种手段可以化解这个问题:一是选用灵活度最大的产品，以增强相互之间的适应性；二是制订规范化的部署方案、开发方案，使开发和部署能无缝的在虚拟化环境中进行。 在一个完善的虚拟化应用系统中，所有的应用系统均要求有最大的通用性、跨平台性和各厂商的协作性。通过与相关厂商的紧密合作，实现不同系统之间的相互监控和相互操作，实现资源的动态调配从而实现真正的应用系统高可用性。 2.2 应用优化提高客户体验 随着技术的进步、产品标准化的加速推进，整个社会正在走向产品无差异时代，特别是在主流市场上，核心产品创新的难度越来越大，很多行业实际上成了加工或组装业,大家所使用的零部件大同小异甚至完全一样。在这种情况下，一些优秀的企业开始把目光转到另外一个地方，并深入研究、实施相关策略，即全面客户体验，也即消费者得到产品(或服务)的全过程。也就是说，一个基本事实是消费者在整个消费过程中所体验到的一切会使他得出某些结论，从而喜欢或不喜欢某个品牌，喜欢或不喜欢某个企业，而产品本身却成了次要的选择因素。这个趋势终将成为未来几年主流市场上企业之间竞争的焦点。 对于汽车制造业而言，除了产品创新外，完善、优化的IT架构也成为提高客户体验的一个最重要的环节。 作为企业的客户，可能通过各个渠道使用业务，在这些系统的后台，都是由企业的IT架构在进行支撑。IT系统建设的状态直接影响到前台的渠道客户体验。业务大集中后，所有关键应用都将以数据中心为中心，各分支机构、合作伙伴和客户通过Internet或专线访问的方式进行发布，然而： l数据中心Internet/Intranet链路接入的带宽不断扩大，但访问速度仍然很慢 大量非关键应用的流量在网络进行传播，使得无限扩充的链路带宽始终无法得到有效利用。 企业内部用户访问Internet资源时，或外部用户访问企业发布外部站点时，会受到ISP提供商网间互通的瓶颈，造成访问快慢不一的现像。例如：如果采用的ISP是通过网通接入的，在访问处于电信的资源时，会由于不同ISP之间互连互通的问题造成访问变慢，而访问网通资源时，就不会存在问题。 如何向遍布在全国范围的服务网络提供相同的快速访问途径 各分支机构或合作伙伴采用的网络接入方式，带宽的接入质量存在差异性，造成了访问企业总部应用时的快慢不一。大数量的应用数据传输时出现的延时或丢包等现象，严重影响了企业的关键信息数据发布或收集。 l如何加快WEB应用的访问速度 当前，许多企业在实施了价值数百万、千万的Web应用部署之后，却发现与原有的客户端服务器应用相比，新部署的性能不能让用户感到满意。同时，企业出于监管和数据安全性要求需要将服务器集中管理，而 Web应用的用户却作为远程分支办事处和移动用户而分布得更加分散。 与此同时，不幸的是，广域网延迟、错误和其它问题使得Web应用无法快速交付。在门户应用、CRM 应用、协作应用及其它企业应用情形中，Web应用架构师和管理员发现其交付性能难以满足用户的期望。通过交付中心建设，可以通过多种技术手段对应用进行优化，提高客户体验。在实际应用中，通常使用的优化手段有： TCP优化：对TCP堆栈进行优化处理，提高TCP传输效率 负载均衡：通过将用户请求分配到多台服务器，降低单台服务器的压力，提高服务器的响应速度 连接复用：将大量的用户端短连接进行聚合，变成长连接与服务器进行交互，减小服务器由于频繁建立和关闭TCP连接带来的消耗 SSL卸载：通过硬件处理SSL加解密流量，减轻服务器端压力 内存Cache:将大量的静态内容缓存在交付中心设备的内存里，减小服务器端压力 HTTP压缩：对HTTP传输中的可压缩内容进行压缩传输，减小广域网带宽占用，提高客户端打开页面的速度 动态静态分离：通过技术手段，将页面中的动态内容和静态内容进行分离，使变化不大的静态内容尽量留在客户端浏览器，以减少广域网数据传输量 应用优化技术与高可用性技术进行配合，就可以极大的提高客户体验，使企业得以留住并吸引更多的优质客户群体，提高自身的竞争力。 2.3 应用安全降低系统风险 变化多样的网络攻击及蠕虫病毒在企业的网络中大量泛滥，促使企业不得不想尽一切办法来提升“木桶”的高度，以此来抵挡各种类型的攻击。提到网络安全，以前人们想到的是防火墙、入侵检测、加密、认证、VPN等等一系列产品的名字。在现有的企业数据中心里，对传统的网络安全都进行了非常严密的部署，比如通过防火墙分割安全区域，使各个分区之间的相互访问都要通过防火墙进行，在防火墙上设置非常细化的安全策略，限定源和目的地IP和端口等。另外，在同一条数据通路的不同区域中，采用不同品牌，不同形式的防火墙进行安全防护。在对外的公共通路上，再部署IDS、IPS等进行进一步的安全审计和防护。以期望获得最大的安全性。 对于传统的网络安全概念，这些措施有效防地范了基于网络层面的攻击，但基本上在现在企业的安全体系中，都忽略了一个重点，就是应用层面的安全。 企业帐号，电子定单，财务数据等关键的应用数据通过基于WEB应用的方式进行传输时，默认都采用HTTP明文方式进行传输。现在的企业系统中存在越来越多的开放运行环境的系统，因此，数据的安全传输是一个非常重要的问题。尤其当应用部署在内网时，传输的安全问题是最容易被忽略的一个环节。一旦被非法人员获取，将使企业或合作伙伴造成重大的经济损失。 另外，据一个国外的安全组织调查分析结果，目前网络中的攻击手段，有85%都是在应用层面上的攻击手段。也就是说，在所有的攻击手段中，只有15%属于传统的网络层面攻击手段，比如常见的拒绝服务、碎片等攻击手段。余下85%均发生在应用层，如SQL Injection、跨站攻击、CC攻击等手段。目前企业的安全系统构建，基本上都是基于网络安全层面进行构建，实际上可以防护的攻击手段只占所有攻击手段的15%，可以说，现有大部分企业的开放运行环境系统是非常脆弱的。这还不包括基本没有防火墙防护的封闭运行环境中的系统。 为什么会造成这种情况，我们可以从目前产品的安全技术特色上进行分析，目前企业数据中心内主要有以下三类安全产品部署： 1、基础防火墙类，主要是可实现基本包过滤策略的防火墙，这类是有硬件处理、软件处理等，其主要功能实现是限制对IP:port的访问。基本上的实现都是默认情况下关闭所有的通过型访问，只开放允许访问的策略。 2、IDS类，此类产品基本上以旁路为主，特点是不阻断任何网络访问，主要以提供报告和事后监督为主，少量的类似产品还提供TCP阻断等功能，但少有使用。 3、IPS类，解决了IDS无法阻断的问题，基本上以在线模式为主，系统提供多个端口，以透明模式工作。在一些传统防火墙的新产品中也提供了类似功能，其特点是可以分析到数据包的内容，解决传统防火墙只能工作在4层以下的问题。和IDS一样，IPS也要像防病毒系统定义N种已知的攻击模式，并主要通过模式匹配去阻断非法访问。 在这几类产品中，通过如何定制控制策略，就可以分辨出什么是主动安全，什么是被动安全。从安全的最基本概念来说，首先是关闭所有的通路，然后再开放允许的访问。因此，传统防火墙可以说是主动安全的概念，因为默认情况下防火墙是关闭所有的访问，然后再通过定制策略去开放允许开放的访问。但由于其设计结构和特点，不能检测到数据包的内容级别，因此，当攻击手段到达应用层面的时候，传统的防火墙都是无能为力的。IDS的特点是不能阻断攻击流量，只能是一个事后监督机制，因此在其后出现的IPS，基本上所有的IPS系统都号称能检查到数据包的内容，但犯了一个致命的错误，就是把安全的原则反过来了，变成默认开放所有的访问，只有自己认识的访问，才进行阻断。从另外一个方面，由于在线式造成的性能问题，也不能像杀毒软件一样进行全面而细致的安全审计。因此大多数的IPS在实际运行环境中都形同虚设，通常只是当作一个防DDOS的设备存在。IPS尤其对于未知的，不在其安全知识库内的攻击手段，则无法进行有效的识别并进行阻断。并且，由于在线式造成的性能问题，在大多数的IPS部署方案中，很难对全部的流量开启所有的模式分析，因此，当企业面临真正的应用层攻击时，这些安全手段都无能为力了。 在交付中心中，通过应用层主动安全体系来解决现有的问题。在主动安全的体系中，彻底改变了IPS 的致命安全错误。其工作在协议层上，通过对协议的彻底分析和Proxy代理工作模式，同时，结合对应用的访问流程进行分析，只通过自己识别的访问，而对于不识别的访问，则全部进行阻断。比如在页面上的一个留言板，正常的用户登录都是填入一些留言，提问等，但黑客则可能填入一段代码，如果服务器端的页面存在漏洞，则当另外一个用户查看留言板的时候，则会在用户完全不知道的情况下执行这段代码，这叫做跨站攻击。当这段代码被执行后，用户的本地任何信息都有可能被发送到黑客的指定地址上。如果采用防火墙或者IPS，对此类攻击根本没有任何处理办法，因为攻击的手段、代码每次都在变化，没有特征而言。而在采用主动安全的系统中，则可以严格的限制在留言板中输入的内容，由此来防范此类跨站攻击。又如常见的认证漏洞，可能造成某些页面在没有进行用户登录的情况下可以直接访问，这些内容在防火墙或者IPS系统中更加无法处理了。因为他们的请求和正常的请求完全一样，只是没有经过登录流程而已，因此不能进行防护，在主动安全体系里，可以对用户的访问进行流程限定，比如访问一些内容必须是在先通过了安全认证之后才能访问，并且必须按照一定的顺序才能执行。因此，工作在流程和代理层面的主动安全设备可以进一步实现应用系统的真正安全。 3 Citrix 汽车制造行业解决方案一览3.1 4S店快速扩张和DMS部署解决方案3.1.1 背景目前，很多汽车制造企业正致力于跨区域发展。随着4S网点的快速扩张，及各项业务的开展，业务需求对IT应用和IT基础构架的要求也越来越高。不但要求IT系统的各应用能够快速满足各种新业务的要求，对于网络安全、管理等基础构架也带来了更高的要求和更大的压力。而且，由于企业的快速扩张，IT部门的人手也严重不足，进一步加剧了矛盾。所以需要有一个系统的解决方案，帮助这些企业的IT部门来应对这一系列挑战。3.1.2 需求为了应对这些挑战，企业的IT构架需要解决以下几个关键的问题：支持4S快速扩张的基础构架 因为短期内分支机构的快速扩张，需要有一套IT构架，能够适应这样速度的扩张。能够在最短时间内，快速建立新的分支机构的IT环境的部署。同时系统要能够有良好的可扩展性来支持日益增长的系统容量。解决终端和应用的管理和安全问题 由于存在大量的分支机构，终端网点的客户端的安全和管理问题的矛盾也越来越突出。由于网点终端分散于各个网点，加上网点的IT管理力量薄弱，对于这些终端的维护和管理的挑战性十分大。采用传统的PC+本地安装客户端模式，初始安装和配置需要大量的工作量。日后的应用升级、维护，往往需要IT管理人员访问现场，其速度和成本也非常高。同时，如何保证这些分散的客户端的安全也是需要重点考虑的问题。在生产网络中，任何一台受到病毒或木马感染的客户端，都可能直接影响到整个网点，乃至整个生产网络的正常生产。同时，如何保护重要应用中的敏感信息的保密，也是需要着重考虑的问题。4S店访问应用的速度问题 对于分支机构，不但存在终端和应用的管理问题，应用的访问速度也是用户十分关注的指标。由于企业的应用绝大部分采用集中的后端，及越来越多使用B/S构架，其操作响应速度往往不够理想。这就要求新的解决方案能够很好地优化分支机构的用户对各种应用的访问和响应速度。跨安全分区访问业务应用 由于企业网络安全要求的特殊性，其网络往往划分为多个相互隔离的安全分区，如办公网，开发网，生产网等。多个安全分区之间用防火墙互相隔离。但是由于不少业务应用，需要跨安全分区进行访问，这就需要在防火墙上打开相应的端口。由于应用对通信和端口的要求千变万化，而且随着应用的构架变化和版本升级，往往防火墙规则也需要做相应修改。这样不但增加了管理负担，而且也带来了一定的安全隐患。安全的开发环境 企业的开发部门由于企业的业务特殊性，对开发环境和文档管理环境的安全性要求较高。而由于企业业务的飞速拓展，企业开发项目中，往往还会牵涉到很多第三方公司和外包项目。这对开发系统的安全构成了极大的挑战。需要有一套环境，能够让开发项目的员工及外包员工，能够在受控环境下，进行相关应用的开发和调试，同时能有效保护应用代码及企业数据的安全。要应对以上的这些挑战，采用传统的PC机加管理软件的方式，不能完全有效地解决这些矛盾。通过Citrix应用交付中心的解决方案，是客户端系统和应用管理方式的变革，能从另一种思路来解决这些安全和管理的问题，达到传统方式无法达到的理想效果。以此使企业的客户端和应用管理水平迈上一个新的台阶，能适应企业业务快速拓展的需要。3.1.3 问题分析企业终端和应用的安全和管理的挑战是使用传统计算模式情况下，非常普遍的问题。由于PC的特点，PC终端的安全和管理一直是业界困扰的问题。 传统模式的弊端下图是传统的计算模式构架图：从传统构架来看，有这样几个特点：1. 客户端需要在终端部署，初期安装以及后期维护工作量巨大。维护成本高。2. 由于应用客户端直接部署与终端，业务数据会直接在数据中心到网点的网络中进行传输。3. 由此，为了满足传输的安全，必须对传输的数据进行加密，以防被截获。加密一般通过应用本身的设计或者使用专门的网络层的加密设备，如VPN等来实现。4. 此外，大部分应用还会将数据缓存与客户端的本地。在本地的数据也需要加密和访问控制，才能保证数据的安全。5. 要实现从传输过程，到本地数据的安全和保密，对应用的要求很高。很多应用并没有对数据的安全性作很好的考量。改造应用，或者通过其他产品来实现加密等，实现非常困难，安全漏洞很多。6. 应用直接部署于客户端，也使应用客户端本身暴露于分析、扫描、反向工程、破解等等各种安全攻击的威胁下。7. 对于跨安全分区的应用，每个应用，都需要分别配置防火墙上的策略。打开过多的地址和端口，也对安全造成一定的影响。同时，一旦应用服务器的部署有所变化，也需要对策略作相应的调整，非常不灵活。8. 由于很多应用没有对远程网络访问进行优化，导致应用访问速度非常不理想。客户体验差，影响工作效率。综合起来看，传统模式由于其分散的本质，及客户端应用和数据直接存于远程的终端之上，管理复杂，要保证其安全十分困难。其面临的安全攻击面较高。传统解决方案必须从传输，保存，端点及运行环境等各个环节都保证安全，所以有了防火墙，终端管理软件、终端防病毒软件、入侵检测、网络加密设备等等各种解决方案和产品。其实现安全的代价高，效果往往仍不理想。所以，一味地从传统方案入手，而不改变其构架，问题隐患并没有从根本上得到解决。 Citrix模式带来的变化我们来看一看Citrix的方式，如何通过改变整体的计算构架，来使整个问题的解决变得简单化。Citrix模式的核心是：1. 在数据中心集中部署应用客户端。2. 使用应用虚拟化技术，使集中部署的应用能在各网点的PC和瘦客户端上使用。下图是使用Citrix模式带来的变化从Citrix的模式，可以看到有以下几个变化及特点：1. 应用客户端集中部署于位于数据中心的Citrix服务器上。终端设备上无需部署应用。由此，可以实现应用管理的集中化，大大减轻分支机构终端和应用的维护压力。2. 由于应用客户端不在终端直接部署，在终端对应用客户端进行扫描、破解、反向工程等攻击基本不可能。3. 由于应用客户端在数据中心，所以原始业务数据的传输也只在数据中心的范围内。数据中心的网络安全性一般能有保障。4. 在数据中心到终端网点的网络中传输的是经过Citrix协议加密的屏幕刷新和键盘鼠标操作等信息。该数据很难被截获破解，即使被截获破解以后，其提供的信息也十分有限。能十分好的保护原始数据信息。5. 应用客户端的本地数据存储实际存于数据中心的服务器，其安全性也能得到保证。6. 由于客户端集中部署于数据中心，其与后台应用服务器之间的连接速度良好，从而，使应用的反应速度有所保证。而从Citrix服务器至用户客户端，使用的ICA协议，对于各种网络环境，特别是低带宽、高延时的网络有良好的优化。从而使远程的分支机构，访问应用的速度和用户体验大大增强。7. 对于需要跨安全分区访问的应用，以往，不同的应用需要开放不同的IP地址段和端口，现在，只需要配置从客户端至Citrix服务器的策略即可。即使应用改变，也无须改变防火墙策略。总结来说，由于传统模式客户端直接访问后台时，之间传输的数据是真实的企业应用数据，该数据会被缓存在用户本地或在传输中被截获，这些都是不安全因素；而用户访问XenApp服务器时，之间传输的是屏幕增量变化信息和鼠标键盘变化信息，用户端无任何应用数据缓存在本地，同时中途截获这些信息然后反推出用户真正的业务操作和数据比直接截获业务数据困难上千倍。因而可以说是用Citrix XenApp平台后，数据总是存放在最安全的地方。XenApp带来的最大益处是采用应用虚拟化方式阻止数据任何时候离开数据中心。由于其集中的构架，带来的安全的优势十分明显。3.1.4 解决方案整体构架 解决方案整体构架根据企业的需求，建议采用Citrix XenApp来构架一个集中的应用发布平台。通过使用集中计算的构架模式，来面对安全和管理等问题。下图所示为解决方案的整体构架示意图：其构架特点：1. 前端用户使用瘦客户端，或普通PC等设备，通过访问Citrix统一的应用发布平台，来运行特定生产应用如DMS、OA等 系统。2. 这些应用的客户端统一安装于Citrix XenApp平台，实现统一的安装和管理。3. 经发布的应用无需在前端客户端部署和维护。4. 数据中心到客户端的通信是加密的，敏感信息只存放在数据中心，不存与客户端上。5. 使用AD来实现统一的用户认证和授权。6. 后台的应用构架不变，无需对现有应用进行改变。3.1.5 Citrix 方案总结总结来说，通过Citrix应用交付中心解决方案，为企业建立了一个可以集中，安全发布各类应用的平台。通过该平台，建立起了一个安全、高效的应用交付基础构架。通过该构架，可以有效解决了企业以下几大类问题：l 一个可以有效支持分支机构快速扩张的应用交付基础构架l 大大提高分布式应用的数据和网络安全，特别是在分支机构的数据安全l 大大简化需跨安全分区访问的应用的部署复杂度，简化访问策略配置，提高安全性l 提高分支机构、远程用户对应用的访问速度和体验l 实现安全的开发环境3.2 企业集中开发管理平台解决方案随着很多企业产品开发部承接的IT开发项目的数量增加与规模扩大，与外部公司的合作日益密切，项目开发环境的管理更加复杂，安全管理的要求也日益提升。为此，需要建立一个简单、易用、安全的集中开发管理平台，以有效进行开发环境的规范管理，支持可控的外部合作公司的远程开发模式，同时保护重要数据与代码的安全，并能对重要系统操作进行跟踪和审计。功能需求1. 集中管理：可将开发环境中的应用软件进行集中管理，可以根据需要随时调整开发环境的应用部署，简化开发人员客户端的开发环境配置及部署要求。2. 应用发布：具有包括各类开发工具在内的应用软件发布功能和Web网页发布功能，要求支持发布的应用软件列表参见附录。3. 存储隔离：每个用户能建立各自的文件系统或存储空间，相互之间不能访问。但授权用户可以访问特定用户组的存储空间，可以通过FTP或者其它方式获取用户存储空间的数据。4. 数据保护：所有的代码及业务数据只在服务器端传递，提高系统数据访问的安全性。5. 远程接入：支持外部合作公司远程接入的项目开发模式，能有效控制用户的剪贴板、本地硬盘、打印机、端口等操作，做到合作公司人员未经授权无法从任何渠道获取项目的代码、文档和业务数据。6. 访问控制：对于合作公司的远程访问要求能有效控制，包括登录时间段、登录用户的监控。要求能穿越防火墙（能够NET转换）访问到服务器。7. 访问日志：用户登录及对开发工具和应用软件的访问，应该有日志记录。操作录像：对于应用软件的操作需要有屏幕录像功能。用户和应用可以分别控制是否需要录像，录像时间段范围可配置。能快速根据指定条件查询录像文件，录像文件可以自动清理，并能设置录像文件保留期限。技术需求8. 水平扩展：服务器端支持水平扩展，能通过水平增加服务器来适应业务需求的扩大。9. 负载均衡：可根据用户访问量和资源使用情况，动态分配到到负载量最低的服务器上。可支持手动负载均衡操作。10. 本地输入法：用户接入要求支持中文界面，可以使用本地输入法。资源监控：能监控系统应用、访问用户和对应资源的占用情况，并形成报表。解决方案及对应项目需求的实现 总体方案构架通过Citrix XenApp集中部署和发布应用客户端软件，整个的后台应用服务器架构没有变化，客户端可以通过XenApp来访问集中发布的各种企业应用和开发工具。其整体构架如下图所示：客户端软件安装在Citrix服务器（XenApp）上，而所有访问用户使用终端设备均无需事先安装应用客户端软件。客户端设备只需通过IE就可以运行应用系统（第一次访问时会自动提示下载安装一个几兆大小的Citrix ICA插件），多用户同时访问时，由XenApp管理和运行应用客户端软件的多进程访问，并控制向不同用户发布的权限。开发网段的客户端可以直接连接WebInterface和XenApp服务器。其他网段的用户，可以通过在防火墙打开相应的HTTP和ICA协议端口来访问XenApp服务器。同时外网远程接入所有客户端经过安全网关Access Gateway（可选）或者第三方VPN接入。使用Access Gateway可以实现SSL加密，对传输的数据进行加密保护，并且配合XenApp的智能访问，可以实现用户的访问场景识别，能够更加严格地限制用户对后台资源的访问。XenApp可整合现有的活动目录中的用户账户来进行用户身份认证。图中的文件服务器，提供了用户的个人数据存储功能。通过使用Windows的目录权限控制，及文件夹重定向功能，可以做到用户数据的安全保存及漫游访问。通过Citrix服务器（XenApp）的SmartAudit功能，客户端的操作不仅可以被管理员实时监控，还可以进行屏幕录像并长期保存，以实现行为审计。对于未来非开发网段的应用的部署，可以通过在相应的网段部署XenApp服务器来实现。 对应功能需求的实现集中管理Citrix的集中部署模式只将企业应用部署在数据中心，由于客户端和服务器位于同一局域网内，因而应用性能和安全性得到提升，用户可以通过任意终端和任意网络进行访问数据中心，非常方便；而企业只需对局域网内的数据中心进行管理，实现了管理维护的简化。应用软件的安装及配置变化，均可以在服务器端集中进行，大大简化了开发环境的配置和部署。应用发布XenApp为用户提供了基于服务器的计算模式（Server-based Computing），实现了虚拟化应用发布。其技术核心是ICA协议，ICA协议连接了运行在XENAPP服务器上的应用进程和远端客户端设备，通过ICA的32个虚拟通道（包括鼠标、键盘、图像、声音、端口、打印等等），运行在中心服务器上的应用进程的输入输出数据重新定向到远端客户端机器的输入输出设备上，因此虽然应用客户端软件并没有运行在客户端设备上，但是用户使用起来和在客户端安装运行客户端软件相比，没有感觉任何操作上的改变。XenApp虚拟化应用发布原理如下图所示：由于ICA协议是一种高效率的数据交换协议，同时在中心服务器和远端终端设备之间传递的是经过压缩和加密的屏幕刷新和鼠标键盘信息，因此每一个连接只占用十几K的网络带宽。这种模式使得企业应用部署架构上发生变化，从一种分布式部署变成了大集中的应用部署，因而带来了应用访问、性能及安全等各个方面的提升。存储隔离 通过选择NTFS文件系统和Windows Server的用户Profile机制，每个用户可以有自己的存储空间。利用NTFS的文件权限的管理机制，用户在服务器端的私有存储空间，工作目录，临时文件可以被安全的管理和限制。可限制用户的对其他用户数据的交叉访问。也可给予特定管理员访问、获取用户数据的权限。同时可以通过配置Windows Server 2003的文件夹重定向，将My Documents等目录集中重定向到集中的文件服务器，从而保证用户不管登录到哪台服务器，都能一致地访问其用户数据。数据保护 传统模式应用分布在企业的所有客户端上，其安全要考虑各个环节：服务器、客户机和端到端的网络；其维护和安全管理范围需要涵盖企业的每一台终端设备和跨广域网段。因为客户端直接访问后台时，之间传输的数据是真实的企业应用数据，该数据会被缓存在用户本地或在传输中被截获，这些都是不安全因素；而用户访问XenApp服务器时，之间传输的是屏幕增量变化信息和鼠标键盘变化信息，用户端无任何应用数据缓存在本地，同时中途截获这些信息然后反推出用户真正的业务操作和数据比直接截获业务数据困难上千倍。因而可以说数据总是存放在最安全的地方。XenApp带来的最大益处是采用应用虚拟化方式阻止数据任何时候离开数据中心。对于远程用户从公网访问内网，XenApp通过严格的用户认证进行安全权限控制。由于网络上传输的只是客户端的键盘、鼠标动作以及显示界面的刷新部分，业务数据和代码的并不下载到客户端本地；数据、缓存、Cookie等等全部在中央受限的环境中控制；另外ICA协议还含有多种加密技术，保证显示界面和用户操作数据的安全传输；客户端的操作感觉虽然就像在本机操作一样，但未经权限许可，不得擅自修改、备份、拷盘、打印等。通过应用发布的方式，内部员工和外部合作公司的员工只能使用本岗位的应用程序，而不能打开其他的应用软件或数据信息。远程接入 本地用户可以直接从内网访问，外部用户需要经过防火墙，可在两道防火墙之间的DMZ隔离区内放置SSL加密的网关设备Access Gateway。Citrix为用户提供了统一的安全接入手段，一个典型的接入过程如下图所示：首先用户需要进行身份认证，XenApp集成了各种身份认证手段，包括双因素认证等，访问用户提供用户名、口令和passcode：当用户通过认证后，会通过加密链路进入其个人访问门户，看到其所能访问的各个应用软件：当用户使用某一软件，或访问某一系统，通过Citrix的虚拟化服务器和口令管理，在几秒内自动完成应用调用和登陆，然后用户就可以如在本地一样使用所需软件和应用。而管理员不仅可以方便地设置每个应用允许哪些用户的访问，并且可以详细地记录用户对各应用的使用情况。通过Citrix 应用交付平台可以严格控制用户对应用的访问，根据不同用户接入时的不同场景，将有相应的接入策略与之对应，并控制用户使用企业资源的过程和操作。可控制的操作和资源访问包括Copy/Paste、打印、保存到本地，端口的访问等。访问控制 XenApp不仅对访问用户的身份进行认证（和AD集成的身份认证），还可以对用户使用的访问设备进行检测（需AccessGateway支持），以提供更高级别的安全访问控制。而管理员不仅可以方便地设置每个应用允许哪些用户的访问，并且可以详细地记录用户对各应用的使用情况。通过Citrix 应用交付平台可以严格控制用户对应用的访问，根据不同用户接入时的不同场景，将有相应的接入策略与之对应，并控制用户使用企业资源的过程和操作。可控制的操作和资源访问包括Copy/Paste、打印、保存到本地，端口的访问等。访问日志 管理员不仅可以方便地设置每个应用允许哪些用户的访问，并且可以使用SQL数据库的方式，详细地记录用户对各应用的使用情况，可以生成各种报表，如用户登录时间，运行的应用等。（报表功能需要XenApp企业版或白金版支持，高级版不含此功能。）操作录像 操作录像可以通过XenApp的智能审计（SmartAudit）来实现。（该功能需要XenApp白金版支持）通过XenApp服务器使用的任何应用都可以被全程监控：用户的操作行为及显示器上的内容变化可以通过ICA协议存放到磁盘上，然后在需要的时候像看电影一样回放。为有效利用资源和保护隐私，Citrix解决方案也允许灵活定制以时间、角色、应用名称、位置为参数的录像策略来控制录像的开始和停止。而由于ICA协议的高效，操作的屏幕录像记录下来并存储到文件的大小一般为：10M/天/人。其工作原理如下图所示：从上图可以看出集中化应用部署使得审计变得简单：在数据中心的Citrix服务器上进行软件应用安装和管理，而不是在用户自己的电脑上。用户可通过网络连接集中化应用，并实时运行和操作，如同本地运行一样。集中化服务将所有应用处理过程和数据都集中在服务器上， 并把数据的管理严格控制在数据中心。该解决方案是以安全为出发点设计的，只有用户界面、键盘敲击和鼠标操作等小量交互信息通过网络传输，但都是经过加密处理的。如果管理策略（Policy Manager）要求对用户的操作进行录像，用户界面、键盘敲击和鼠标操作信息被多复制一份电子拷贝，即软件录像。经过数字签名的不会被恶意破坏的完整的录像数据安全存储在独立的审计部门的文件(存储)服务器上，只有数字电子证书配对成功的控制台才可以查阅、浏览。实时监控、审计和报告功能保证了IT对整个业务过程的端到端透明度。用户使用软件的完整过程被录像后，即可方便的检索和审计。备注：某些功能，如SmartAudit需要XenApp白金版。具体功能和版本要求可参见附录。 技术需求的实现水平扩展 Citrix XenApp内置实现了群集功能，在Citrix服务器配置中集群称之为一个Farm， 当用业务系统规模扩大时，可以方便地通过在Server Farm中添加服务器来进行水平扩展。负载均衡 在XenApp的Server Farm中， “Data Collector”负载均衡调度服务器负责收集每一台服务器里面的一些动态信息，如CPU，内存等使用情况，并与之进行交流；当有应用请求时，自动将请求转到负载最轻的服务