Che cosa è Omnissa Horizon #

Omnissa Horizon è una suite versatile di prodotti progettata per distribuire in modo sicuro desktop e applicazioni virtuali tramite un'architettura moderna e adattabile che supporta sia distribuzioni on-premise che cloud. Consente alle organizzazioni di ottimizzare la collaborazione, supportare una varietà di dispositivi client e garantire un'esperienza utente fluida indipendentemente dalla posizione o dalle condizioni di rete. Omnissa Horizon offre una gestione centralizzata di desktop e app, enfatizzando una sicurezza avanzata, patch semplificate e un controllo completo degli accessi, rendendolo ideale per ambienti di lavoro remoti e ibridi. Include anche soluzioni avanzate come Desktop as a Service (DaaS) e gestione cloud ibrida, con piattaforme principali come Horizon 8 e Horizon Cloud Service, di nuova generazione, tutte potenziabili con strumenti aggiuntivi come App Volumes e Workspace ONE.

Componenti Horizon #

Comprendere i componenti chiave coinvolti in una connessione Horizon è essenziale per gestire e configurare il sistema in modo efficace. Di seguito è riportata una panoramica dettagliata di questi componenti:

Client Horizon #

Horizon Client è l'applicazione installata sul dispositivo di un utente, che consente l'accesso ai sistemi gestiti da Horizon. Stabilisce una connessione con l'ambiente Horizon in cui è installato Horizon Agent. Per i dispositivi in ​​cui l'installazione di Horizon Client non è fattibile, gli utenti hanno la possibilità di utilizzare un browser Web come client HTML, fornendo un metodo di accesso flessibile.

Agente Horizon #

Installato sul sistema operativo guest delle macchine di destinazione, Horizon Agent è fondamentale per abilitare la comunicazione tra l'infrastruttura Horizon e i desktop virtuali o fisici. Questo agente consente ai Connection Server di gestire queste macchine e facilita la creazione di una sessione di protocollo tra Horizon Client e il sistema di destinazione. Horizon Agent può essere distribuito su vari tipi di macchine, tra cui desktop virtuali, Remote Desktop Session Host (RDS Host), PC desktop fisici e PC blade.

Server di connessione #

Horizon Connection Server funge da broker centrale, gestendo e indirizzando in modo sicuro le connessioni utente all'Horizon Agent installato su desktop e RDS Host. Gestisce l'autenticazione utente tramite Active Directory e garantisce che le richieste vengano instradate alle risorse appropriate in base ai diritti utente. Questo server svolge un ruolo fondamentale nello stabilire e mantenere la connessione tra gli utenti e i loro ambienti desktop virtuali o remoti.

Gateway di accesso unificato #

Unified Access Gateway (UAG) è un'appliance virtuale progettata per fornire un accesso remoto sicuro da reti esterne a risorse interne, comprese quelle gestite da Horizon. Può essere distribuito nella DMZ aziendale o nella rete interna e funziona come proxy per le connessioni alle risorse aziendali. L'UAG elabora le richieste autenticate, indirizzandole alle risorse appropriate e bloccando quelle non autenticate. Può anche eseguire l'autenticazione autonomamente, aggiungendo un ulteriore livello di sicurezza quando configurato per farlo.

Ciascuno di questi componenti svolge un ruolo fondamentale nel garantire un'esperienza Horizon fluida e sicura, dall'accesso degli utenti alla gestione del sistema e all'allocazione delle risorse.

Perché bilanciare il carico Omnissa Horizon #

Il bilanciamento del carico è fondamentale per Omnissa Horizon perché migliora significativamente sia la disponibilità del servizio che la scalabilità, garantendo un'esperienza utente solida e fluida. Implementando un bilanciatore del carico, puoi scalare orizzontalmente il tuo ambiente, aggiungendo ulteriori Connection Server (CS) o Unified Access Gateway (UAG), il che aumenta direttamente il numero di sessioni simultanee che il sistema può supportare. Questa scalabilità è essenziale per soddisfare le crescenti richieste degli utenti senza compromettere le prestazioni.

Inoltre, il bilanciamento del carico migliora la disponibilità del servizio reindirizzando automaticamente il traffico ai componenti disponibili se un CS o un UAG va offline. Ciò garantisce un accesso continuo e riduce al minimo i tempi di inattività, mantenendo un servizio coerente e affidabile per gli utenti. Inoltre, un bilanciatore del carico consente agli utenti di accedere al servizio tramite un singolo URL, semplificando l'esperienza ed eliminando la necessità per loro di conoscere URL specifici del server.

Oltre a questi vantaggi principali, alcuni bilanciatori di carico offrono funzionalità avanzate come offload SSL, sicurezza avanzata, analisi in tempo reale e altro ancora, che possono ulteriormente ottimizzare e proteggere l'ambiente Horizon. La comprensione di queste funzionalità è fondamentale, in quanto possono influenzare l'architettura complessiva e l'efficacia della distribuzione.

Ecco quindi i vantaggi di Omnissa Load Balancing:

• Prestazioni ottimizzate: Il bilanciamento del carico aiuta a impedire che un singolo server venga sopraffatto distribuendo i carichi di lavoro in modo uniforme. Ciò ottimizza le prestazioni di Omnissa Horizon, garantendo agli utenti un accesso rapido e affidabile a desktop e applicazioni virtuali, anche durante i periodi di picco di utilizzo.
• Alta disponibilità: Distribuendo il carico su più server, il bilanciamento del carico migliora la disponibilità dei servizi Omnissa Horizon. Se un server fallisce o riscontra problemi, il bilanciatore del carico può reindirizzare il traffico ad altri server funzionanti, riducendo al minimo i tempi di inattività e garantendo un accesso continuo per gli utenti.
• Scalabilità: Man mano che la domanda di desktop e applicazioni virtuali cresce, il bilanciamento del carico consente a Omnissa Horizon di scalare in modo efficace. Può adattarsi dinamicamente ai carichi di lavoro aumentati bilanciando il traffico su server aggiuntivi, assicurando che la piattaforma possa gestire basi di utenti in crescita e carichi di lavoro fluttuanti senza compromettere le prestazioni.
• Sicurezza avanzata: Il bilanciamento del carico può anche svolgere un ruolo nella sicurezza distribuendo il traffico in un modo che mitiga il rischio di attacchi DDoS (distributed denial-of-service). Distribuendo le richieste, riduce la probabilità che un singolo server diventi un punto di errore a causa di traffico dannoso.
• L'efficienza delle risorse: Un'efficiente distribuzione del carico assicura che le risorse all'interno di Omnissa Horizon siano utilizzate in modo ottimale. Ciò impedisce il sottoutilizzo di alcuni server mentre altri sono sovraccarichi, portando a una migliore efficienza complessiva del sistema e a un miglior rapporto costi-efficacia.

In sintesi, il bilanciamento del carico è essenziale per mantenere le prestazioni, la disponibilità, la scalabilità, la sicurezza e l'efficienza di Omnissa Horizon, garantendo che possa soddisfare le esigenze delle aziende moderne e fornire un'esperienza utente fluida.

Diversi modi di bilanciamento del carico di Horizon #

Horizon può sfruttare i bilanciatori di carico in tre aree chiave:

Bilanciamento del carico dei server di connessione Horizon 8 #

In una distribuzione Horizon, il bilanciamento del carico dei Connection Server (CS) è fondamentale per distribuire le richieste di sessione utente in modo uniforme su più server. Ciò non solo migliora la capacità dell'ambiente di gestire più sessioni simultanee, ma garantisce anche la disponibilità continua del servizio. Se un Connection Server va offline, il bilanciatore del carico reindirizza le nuove sessioni ai server attivi rimanenti, prevenendo i tempi di inattività e mantenendo un'esperienza utente fluida.

Gateway di accesso unificato con bilanciamento del carico (UAG) #

Gli Unified Access Gateway sono essenziali per l'accesso remoto sicuro agli ambienti Horizon. Bilanciando il carico degli UAG, puoi distribuire le connessioni utente remote in arrivo su più gateway, assicurandoti che nessun singolo UAG venga sopraffatto. Questa configurazione aumenta il numero di utenti che possono connettersi simultaneamente, migliorando al contempo sicurezza e affidabilità. In caso di guasto di un UAG, il bilanciatore del carico reindirizza le connessioni ad altri gateway disponibili, mantenendo un accesso ininterrotto.

Gestori dei volumi delle applicazioni di bilanciamento del carico #

Gli App Volumes Manager sono responsabili della gestione e della distribuzione di applicazioni e profili utente in un ambiente Horizon. Il bilanciamento del carico di questi manager assicura che la distribuzione delle applicazioni rimanga efficiente e scalabile, anche quando la domanda degli utenti cresce. Sebbene questo post non approfondisca i dettagli del bilanciamento del carico degli App Volumes Manager, vale la pena notare che l'implementazione di questo può ottimizzare ulteriormente le prestazioni e l'affidabilità della distribuzione Horizon.

Ogni bilanciatore di carico o bilanciatore di carico come servizio funziona in modo diverso e l'architettura potrebbe dover essere personalizzata per ottenere i risultati desiderati nel tuo specifico ambiente Horizon. In questo articolo, ti guideremo attraverso il bilanciamento del carico di Horizon utilizzando RELIANOID Load Balancer, che soddisfa tutti i requisiti specifici di cui il tuo progetto potrebbe avere bisogno.

Comprensione dei protocolli di connettività Horizon #

Comprendere i protocolli coinvolti in una connessione Horizon è fondamentale per comprendere il funzionamento del sistema. Una connessione Horizon coinvolge più protocolli e si sviluppa in due fasi distinte:

Protocollo primario: XML-API su HTTPS #

La fase iniziale di una connessione Horizon impiega il protocollo XML-API su HTTPS. Questo protocollo primario è responsabile di:

• Autenticazione: Verifica delle credenziali utente.
• Autorizzazione: Assicurarsi che l'utente disponga delle autorizzazioni appropriate.
• Gestione della sessione: Gestire la configurazione e la manutenzione della sessione utente.

Una volta che l'utente è stato autenticato correttamente tramite questo protocollo primario, il sistema passa ai protocolli secondari per continuare la comunicazione.

Protocolli secondari: traffico del protocollo di sessione #

Dopo l'autenticazione riuscita, Horizon Client stabilisce una sessione utilizzando uno o più protocolli secondari per interagire con la risorsa. Questi protocolli includono:

• PCoIP (PC su IP): Ottimizzato per offrire esperienze desktop di alta qualità con latenza minima.
• Esplosione: Progettato per prestazioni efficienti e utilizzo della larghezza di banda.
• Tunnel HTTPS: Gestisce il traffico sui canali laterali, come il reindirizzamento delle unità client (CDR) e il reindirizzamento multimediale (MMR), facilitando funzionalità aggiuntive durante la sessione.

Collegamenti interni #

Negli scenari di rete interna, Horizon Client si connette direttamente al Connection Server e successivamente all'Horizon Agent sulla macchina di destinazione. Questa configurazione in genere prevede:

• Autenticazione iniziale: Horizon Client comunica con Connection Server per l'autenticazione dell'utente.
• Sessione del protocollo secondario: dopo l'autenticazione, Horizon Client stabilisce una sessione diretta con Horizon Agent sul desktop o sul server RDSH.

Panoramica del flusso di comunicazione #

1. Accesso e autenticazione dell'utente :

• Il client Horizon accede al Connection Server.
• Il Connection Server verifica i diritti degli utenti.
• L'utente seleziona un desktop o un'applicazione a cui accedere.

1. Istituzione della sessione:
Horizon Client si connette quindi all'Horizon Agent in esecuzione sul desktop o sul server RDSH selezionato, utilizzando i protocolli secondari appropriati per la sessione.

Questo processo in due fasi garantisce un accesso sicuro, efficiente e senza interruzioni alle risorse gestite da Horizon, sia all'interno delle reti interne che tramite connessioni esterne.

Porte di rete per la connettività Horizon #

Una corretta configurazione delle porte di rete è fondamentale per garantire una comunicazione fluida tra i componenti in una distribuzione Horizon. La comprensione di questi requisiti delle porte aiuta a facilitare connessioni di successo e un trasferimento efficiente dei dati. Di seguito è riportata una panoramica dettagliata dei requisiti delle porte di rete per diversi tipi di connessione all'interno di un ambiente Horizon.

Requisiti delle porte di rete #

1. Porta dei server di connessione Horizon: TCP 443
2. Porte dell'agente Horizon (desktop o host RDS):

• Sessione del protocollo Blast Extreme: TCP 22443 e UDP 22443 opzionale
• Sessione del protocollo PCoIP: TCP e UDP 4172
• Sessione protocollo RDP: TCP 3389

Si prega di notare che Horizon utilizza protocolli UDP bidirezionali, il che significa che i firewall devono essere configurati per gestire il traffico in entrambe le direzioni.

Comprendendo e configurando correttamente questi requisiti delle porte di rete, puoi garantire una connettività affidabile ed efficiente in tutta la tua distribuzione Horizon.

Connessioni esterne #

Quando si ha a che fare con connessioni esterne, la comunicazione avviene in genere tramite un'appliance Unified Access Gateway (UAG). Questa configurazione garantisce un accesso remoto sicuro alle risorse gestite da Horizon. Ecco uno sguardo dettagliato al funzionamento del processo di connessione:

Processo di connessione #

1. Autenticazione iniziale:

• Da Horizon Client a Unified Access Gateway: La connessione inizia quando Horizon Client comunica con Unified Access Gateway. Questa fase comporta l'autenticazione dell'utente e la configurazione iniziale della sessione.
• Gateway di accesso unificato al server di connessione: Una volta autenticato, Unified Access Gateway inoltra la richiesta al Connection Server per verificare i diritti dell'utente e l'accesso alle risorse.

2. Connessione alla sessione del protocollo:

• Da Horizon Client a Unified Access Gateway: Dopo l'autenticazione iniziale, Horizon Client stabilisce una connessione di sessione di protocollo tramite Unified Access Gateway.
• Gateway di accesso unificato all'agente Horizon: La sessione prosegue quindi dall'Unified Access Gateway all'Horizon Agent sul desktop di destinazione o sull'host di sessione Desktop remoto (RDSH).

Servizi di passaggio #

Unified Access Gateway può supportare diversi servizi gateway, tra cui: Blast Secure Gateway, PCoIP Secure Gateway, HTTPS Secure Tunnel.

Quando distribuito in un ambiente Horizon, Unified Access Gateway (UAG) High Availability (HA) utilizza un approccio Round Robin combinato con Source IP Affinity per gestire la distribuzione del traffico tra UAG. Tuttavia, questo metodo garantisce solo un'elevata disponibilità per XML-API su traffico HTTPS. Non estende l'elevata disponibilità al traffico del protocollo di sessione, come Blast o PCoIP.

Sebbene sia valido posizionare un bilanciatore di carico tra UAG e Connection Server, impedisce all'UAG di rilevare guasti dei singoli Connection Server. Ciò può complicare la risoluzione dei problemi e influire sull'affidabilità della connessione.

Nota importante : assicurarsi che Blast Secure Gateway e PCoIP Secure Gateway non siano abilitati anche sul Connection Server stesso. Se entrambi sono abilitati su UAG e Connection Server, si verificherebbe una situazione di doppio hop per il traffico di protocollo, che non è supportata e può causare errori di connessione.

1. Autenticazione utente:

• L'utente accede al Connection Server tramite Horizon Client, che si connette prima tramite Unified Access Gateway.
• Il Connection Server controlla i diritti e le risorse degli utenti.

2. Accesso alle risorse:

• Dopo l'autenticazione, l'utente seleziona un desktop o un'applicazione.
• Horizon Client stabilisce quindi una connessione all'Horizon Agent in esecuzione sul desktop o RDSH selezionato, instradandolo tramite Blast Secure Gateway sullo stesso Unified Access Gateway in cui è avvenuta l'autenticazione.

Architettura di bilanciamento del carico Horizon #

Quando si implementa il bilanciamento del carico per il traffico Horizon su più appliance Unified Access Gateway (UAG), è fondamentale gestire in modo efficace sia i protocolli primari che quelli secondari per garantire un'esperienza utente fluida. Ecco una panoramica completa delle considerazioni e delle strategie coinvolte:

Routing del protocollo primario e secondario #

1. Bilanciamento del carico del protocollo primario:
Il protocollo di connessione XML-API primario, che gestisce l'autenticazione, l'autorizzazione e la gestione delle sessioni, deve essere bilanciato per garantire che gli utenti vengano indirizzati al dispositivo UAG corretto.

2. Instradamento della sessione del protocollo secondario :

• Gestione coerente delle sessioni: Una volta autenticato, il traffico del protocollo secondario (ad esempio Blast o PCoIP) deve essere instradato allo stesso dispositivo UAG che ha gestito la connessione XML-API primaria. Questa coerenza consente all'UAG di gestire correttamente la sessione in base alle credenziali utente e allo stato della sessione.
• Problemi di routing errato: Se le sessioni di protocollo secondarie sono dirette a un'appliance UAG diversa, la sessione non verrà autorizzata. Questo instradamento errato può causare l'interruzione delle connessioni e il fallimento delle sessioni. Una corretta configurazione del bilanciatore di carico è essenziale per evitare questi problemi.

3. Affinità del bilanciatore del carico:
Il bilanciatore di carico deve garantire che tutto il traffico correlato a una sessione (che dura in genere fino a 10 ore) continui a essere indirizzato allo stesso dispositivo UAG. Ciò si ottiene tramite meccanismi di affinità di sessione come la persistenza dell'IP sorgente.

4. Protocolli secondari di routing:
Esistono due metodi principali per gestire il traffico del protocollo secondario:

• Attraverso il Load Balancer: Con bilanciatori di carico avanzati come VMware NSX Advanced Load Balancer (in precedenza Avi), sia il traffico di protocollo primario che quello secondario possono essere gestiti tramite gli stessi motori di servizio, utilizzando l'affinità IP sorgente per mantenere il routing corretto. Questo metodo richiede solo un singolo indirizzo IP pubblico.
• Instradamento diretto: Se il bilanciatore di carico non supporta questa funzionalità o se l'affinità IP sorgente non è fattibile, un'alternativa è quella di utilizzare indirizzi IP dedicati per ogni appliance UAG. Questo approccio, spesso definito metodo VIP N+1, prevede l'utilizzo di un VIP con bilanciamento del carico per il protocollo primario, mentre si instrada il traffico del protocollo secondario direttamente a IP UAG specifici.

Porte di rete per connessioni esterne #

Una corretta configurazione delle porte di rete è essenziale per connessioni esterne di successo in una distribuzione Horizon. La comprensione delle porte richieste assicura una corretta comunicazione tra i componenti:

1. Porte dei gateway di accesso unificato :

• Protocollo di autenticazione: TCP o UDP 443
• Protocollo di sessione: TCP e/o UDP 8443, o TCP 443

Configurazione del bilanciamento del carico Horizon con RELIANOID #

Configurazione della farm di Horizon Connection Servers e della farm di Unified Access Gateways in RELIANOID Load Balancer è semplice. Comporta semplicemente la creazione di due distinte farm layer 4 e la garanzia che i requisiti di rete della soluzione Horizon siano adeguatamente affrontati.

Configurazione del bilanciamento del carico dei server di connessione Horizon #

Per impostare una farm di server di connessione Horizon in RELIANOID Load Balancer, dovresti creare una farm Layer 4 configurata sulla porta TCP 443. Le impostazioni del servizio dovrebbero includere Round Robin come metodo di pianificazione, con persistenza basata sull'IP di origine per garantire un routing coerente per le sessioni utente.

Configurazione del bilanciamento del carico dei server di connessione Horizon #

Per configurare una farm di server Unified Access Gateway in RELIANOID Load Balancer, dovresti creare un set di farm Layer 4 per utilizzare sia TCP che UDP sulla porta 443. Le impostazioni del servizio dovrebbero includere Round Robin come scheduler, con persistenza basata sull'IP sorgente per mantenere un routing di sessione coerente.

Funzionalità avanzate di bilanciamento del carico #

utilizzando RELIANOID Load Balancer per gli ambienti Horizon offre numerosi vantaggi aggiuntivi, in particolare in termini di elevata disponibilità (HA), sicurezza e gestione:

• Alta disponibilità con clustering: RELIANOID supporta il clustering, che consente a più bilanciatori di carico di lavorare insieme senza problemi. Ciò garantisce che se un bilanciatore di carico si blocca, gli altri nel cluster possono subentrare senza alcuna interruzione dei servizi Horizon. Questo clustering migliora l'affidabilità complessiva e l'uptime della distribuzione Horizon.
• Controlli sanitari avanzati: RELIANOID offre controlli sanitari avanzati che monitorano costantemente lo stato di Horizon Connection Server e Unified Access Gateway. Questi controlli vanno oltre la connettività di base, verificando che ogni server funzioni correttamente prima di indirizzare il traffico verso di esso. Se un server non supera un controllo sanitario, viene automaticamente escluso dalla rotazione finché non si ripristina, assicurando che gli utenti vengano indirizzati solo a server sani e funzionanti.
• Notifiche in tempo reale: Con RELIANOID, gli amministratori possono ricevere notifiche in tempo reale sullo stato del bilanciatore di carico e sui server che gestisce. Ciò consente una gestione proattiva, in cui i problemi possono essere affrontati prima che abbiano un impatto sugli utenti finali. Le notifiche possono essere personalizzate per avvisare di vari eventi, come guasti del server, carichi di traffico elevati o scadenze di certificati SSL.
• Gestione del traffico SSL: RELIANOID gestisce l'offload SSL, il che significa che può terminare le connessioni SSL per conto dei server Horizon. Ciò riduce il carico di elaborazione sull'infrastruttura Horizon, liberando risorse per gestire più sessioni utente. Inoltre, l'offload SSL semplifica la gestione dei certificati e migliora la sicurezza assicurando che tutto il traffico tra il bilanciatore del carico e gli utenti finali sia crittografato.
• Funzionalità di sicurezza avanzate: RELIANOID integra diverse funzionalità di sicurezza che proteggono l'ambiente Horizon da varie minacce. Può imporre rigidi controlli di accesso, fornire protezione DDoS e includere funzionalità Web Application Firewall (WAF) per proteggere i server Horizon dal traffico dannoso. Il bilanciatore di carico può anche gestire e rinnovare i certificati SSL, assicurando che tutte le connessioni rimangano sicure.

Queste capacità aggiuntive rendono RELIANOID una scelta eccellente per migliorare la scalabilità, l'affidabilità e la sicurezza delle distribuzioni Horizon. Prova il bilanciatore di carico Relianoid per le tue distribuzioni Horizon.