1.1、Citrix NetScaler 技术简介
Citrix NetScaler 应用加速系统把传统意义上的数据中心的各种纷繁产品的功能，例如：负载均衡，缓存，压缩，SSL加速，攻击保护，SSL VPN等，融合进了单一的产品中，从底层出发极大的优化了数据中心各种应用的性能和数据安全性。
由于应用通常需要端到端的服务器与用户的连接，从而隐藏了特定应用的需求，所以实现智能化的应用基础设施是极其具有挑战性的技术。 这样的对于特定应用需求的“隐藏”性，通常使得应用层解决方案在做智能化应用决策时显得无能为力。
所有的NetScaler系统产品都是围绕着NetScaler专利技术 Request Switching™ 为基础的，这也是业界唯一的能够以线速处理所有用户自定义策略为基础的应用请求的技术。 NetScaler的应用感知策略引擎AppExpert™, 允许用户自定义详细的对于特定请求的策略，而与连接无关。 AppExpert™ 允许管理员设定复杂的处理各种应用请求的策略，从而实现强大而全面的基于应用的各种功能。
NetScaler 系统能带给你:
最大化的应用性能
端到端的应用安全
持续性的应用可靠性
降低运营成本
虽然有其他公司的解决方案声称能增加WEB应用的性能，但是只有NetScaler系统能最大化的提升WEB应用以及client/server应用的性能和安全性。 此外，NetScaler的单一的一元化设备取代了数量众多的单点解决方案，众多的网络设施被梦幻般的简单化，高额的运营建设费用业被相应的降低了。
NetScaler系统能提升Oracle, PeopleSoft, SAP, Siebel, Outlook Web Access, E-commerce系统的性能多达70%以上，同时增加了安全性并降低了运营成本。
2. 方案设计原则
实用性和先进性
采用先进成熟的技术满足当前的业务需求，兼顾其他相关的业务需求，尽可能采用先进的网络技术以适应更高的数据、多媒体信息的传输需要，使整个系统在一段时期内保持技术的先进，并具有良好的发展潜力，以适应未来业务的发展和技术升级的需要。
安全可靠性
为保证将来的业务应用，网络必须具有高可靠性。要对网络结构、网络设备、服务器设备等各个方面进行高可靠性的设计和建设。在采用硬件备份、冗余等可靠性技术的基础上，采用相关的软件技术提供较强的管理机制、控制手段和事故监控和网络安全保密等技术措施提高网络系统的安全可靠性。
灵活性与可扩展性
网络系统是一个不断发展的系统，所以它必须具有良好的扩展性。能够根据将来信息化的不断深入发展的需要，方便的扩展网络覆盖范围、扩大网络容量和提高网络各层次节点的功能。具备支持多种通信媒体、多种物理接口的能力，提供技术升级、设备更新的灵活性。
开放性/互连性
具备与多种协议计算机通信网络互连互通的特性，确保网络系统基础设施的作用可以充分发挥。在结构上真正实现开放，基于国际开放式标准，包括各种广域网、局域网、计算机及数据库协议，坚持全国统一规范的原则，从而为未来的业务发展奠定基础。
经济性/投资保护
应以较高的性能价格比构建网络系统，使资金的产出投入比达到最大值。能以较低的成本、较少的人员投入来维持系统运转，提供高效能与高效益。尽可能保留并延长已有系统的投资，充分利用以往在资金与技术方面的投入。
可管理性
由于系统本身具有一定复杂性，随着业务的不断发展，网络管理的任务必定会日益繁重。所以在网络的设计中，必须建立一个全面的网络管理解决方案。网络设备必须采用智能化，可管理的设备，同时采用先进的网络管理软件，实现先进的分布式管理。最终能够实现监控、监测整个网络的运行状况，合理分配网络资源、动态配置网络负载，可以迅速确定网络故障等。
3. 方案描述
通过部署高性能的负载均衡产品，及时发现所负载均衡的各服务器的健康状况，当某台服务器出现故障时，保证把后续用户的访问导向到正常运行的服务器上去。
Citrix Netscaler设备提供专用的硬件SSL卡，提供SSL的加密业务处理能力，越来越多的用户开始使用SSL对关键业务进行加密处理，传统的由服务器来处理SSL的效率较低，同时会降低其他业务的性能，采用专业的SSL处理卡可以大大提升系统的整体性能，能够在不降低网络性能的情况下为用户提供快速的SSL交易，以确保高效、连续和安全的完成应用交易。
l 以唯一的域名或IP地址作为所有提供相同服务的服务器的逻辑入口点。
l 在负载交换机内设定均衡负载策略，将服务器群规划成一个组。
l 具有灵活的流量分配算法与机制，以确保用户总能访问可以为其提供最优服务的服务器。
l 负载服务器处理用户的请求，再由负载交换机将处理结果返回用户。
l 具有很好的升级与可扩展性，能够适应特定的和不断变化的业务需求。
4. 技术细节
4.1、利用服务器负载均衡技术实现流量分担
我们根据系统的实际情况，定义了若干个虚拟服务器（也称为vserver 或者 VIP)， 其上包括了一个IP地址和端口。这个虚拟服务器被设置成与一组运行在真实服务器群上的真实服务所绑定。真实服务包含了后台真实服务器的IP地址以及端口。在这样的情况下，一个客户发送一个请求到虚拟服务器，然后虚拟服务器在真实服务器群中选择一个并将请求转发到该真实服务器。不同的虚拟服务器可以设置成与不同的真实服务绑定，例如TCP以及UDP服务。虚拟服务器支持的协议和应用包括： HTTP, FTP, SSL , SSL BRIDGE, SSL TCP ,NNTP 以及DNS等等。
同时对于某些特定的服务，我们在虚拟服务器上配置“保持粘性” ： 一旦一个服务器被选择了，后续的从该用户发出的请求都被转发到同一服务器上。“保持粘性”对于那些状态需要保存在服务器上的应用，例如：购物系统等是非常重要的。
NetScaler 系统也负责检查服务器群的服务的健康状况。一旦发现服务有问题， NetScaler 系统仍将继续依照负载均衡算法把服务转向到其他正常的服务上去。
负载均衡算法指定了负载均衡的标准，也就是说，负载均衡算法选择了一台真实服务器来传递用户的请求。如果这个被算法选定的最合适的服务器达到或者超过了其最大用户连接数（使用-maxClients 在CLI命令行中队服务进行设定），那么另外一个连接数比较合适的服务器将被代替。这个方法可以通过在均衡算法中将连接数作为权重设置来实现。
NetScaler 系统可以设置按照以下这些算法来实现负载均衡：
l 最少连接数
l 轮询
l 最少响应时间
l 最低带宽
l 最少包
l 令牌
l URL 散列法
l 域名称散列法
l 源IP地址散列法
l 目的IP地址散列法
l 源IP-目的IP散列法
4.2、利用优化功能提高了网站的整体性能
如前所述，对于 MAIL 、HTTP 流量， NetScaler 系统通过利用保持自己与用户端通过WAN的连接以及保持自己与服务器的常连接的技术来保证了快速的页面下载时间。
这个是通过在客户端以及服务器上的MAIL 、HTTP “连接保持” 技术来实现的。对于服务器来讲，它永远只感觉到自己在和一个一直保持连接的用户（就算实际上该用户不是一直保持连接的）进行交互。而对于客户端来讲，它永远感觉到自己在和一个保持连接的服务器在进行交互（就算实际上该服务器被设置成例如一个请求一个连接这样的非keep-alive方式).
这一常连接保持技术利用在客户系统上，可以显著提高用户客户端的页面下载时间。其原因在于用户不需要再通过WAN建立新的连接，而一般来讲这些新建连接过程在WAN上通常会带来50到500ms的延迟。
服务器端的常连接保持带来的服务器服务卸载。Netscaler保持与服务器的连接，并且所有来自客户端的连接被Netscaler终结。这样的情况下，服务器可以将更多的资源用在对于用户请求的响应上而不是去浪费在TCP连接的建立和拆除的管理上。
常连接保持使得服务器上只存在有较少的连接，服务器 CPU/内存 使用率被显著降低，其原因是服务器现在处理的连接建立和拆除进程减少很多了。
4.3、利用DDOS防范功能确保了网站的安全
在本项目中，我们使用NetScaler 系统的SYN cookies 原理来防范SYN FLOOD攻击。
Cookies被发送到发送请求的用户端，该初始会话状态没有被保留在NetScaler 系统上。正因如此，NetScaler没有为该会话分配内存，正常的由合法的用户发出的TCP连接并不会被终结。NetScaler 系统在收到非HTTP流量的最终ACK包或者收到HTTP流量的HTTP请求包时才为连接分配内存。 正因如此，在多次项目的实施过程中的若干次压力测试下，NetScaler系统可以达到非常高的SYN处理能力（达到2M SYN/SEC）。
NetScaler系统的SYN cookie 机制确保了以下几点：
l NetScaler 系统的内存不会浪费在非法的SYN包上，实际上，内存只被用来向合法用户提供服务。
l 合法用户的普通的TCP对话可以无终断的得到服务，就算系统在SYN FLOOD攻击下也是如此。
l 正由于内存只在收到HTTP请求后才予以分配给连接， NetScaler 系统使得客户系统的WEB站点避免受到了 “空闲连接” 攻击。
此外，NetScaler系统还能有效的防范7层 DOS 攻击。
一般来讲，有两种类型的7层 HTTP DOS攻击： GET攻击以及 IDLE攻击。 对于GET攻击,黑客在一个连接建立后发出非常多的GET请求。 对于IDLE攻击，攻击者在连接建立后恶意停止一切活动而空闲等待。
NetScaler系统在处理时，当连入的SESSION速率达到一个预先设定的门限值时，DOS防卫功能就自动触发。 NetScaler系统会抽样对一部分客户端请求发送带有SET-COOKIE的响应。 恶意攻击主机通常不会响应SET-COOKIE，所以这些攻击包就会被丢弃。 而普通正常的HTTP请求不会受到影响。 这个触发的门限值以及发送SET-COOKIE的比例值可以针对每个服务来精细微调。 并且，由上所述，连接不会在第一个GET请求到达前建立。所以NetScaler系统也可以有效的防止IDLE攻击。
4.4、利用SSL VPN来远程管理内部服务器
VPN技术可以扩展企业的内部网络，使在外工作的员工和合作伙伴通过标准、公用的因特网访问他们的内部网络。它相对传统的专线网络方案的主要优势是各项费用将大大降低。专线网络需要在合作伙伴或者远程员工与公司总部之间有一个物理封闭的网络连接，或者采用远程拨号访问方案，或者采用T1之类的数字专线连接。VPN是一个非常实用的技术，它允许客户（包括员工）和合作伙伴利用标准的因特网进行廉价连接，它允许采用IPSec安全协议方案。事实上，在VPN技术中包括许多加密和安全协议，SSL就是其中一个，同样主流VPN应用的IPSec也是其中的一种。所以总的来说IPSec VPN与SSL VPN是VPN技术在两种不同的安全协议下实现VPN通信的两种平等方案。
相对于传统的IPSec VPN，SSL能让公司实现更多远程用户在不同地点接入，实现更多网络资源访问，且对客户端设备要求低，因而降低了配置和运行支撑成本。很多企业用户采纳SSL VPN作为远程安全接入技术，主要看重的是其接入控制功能。
SSL VPN提供增强的远程安全接入功能。IPSec VPN通过在两站点间创建隧道提供直接（非代理方式）接入，实现对整个网络的透明访问；一旦隧道创建，用户PC就如同物理地处于企业LAN中。这带来很多安全风险，尤其是在接入用户权限过大的情况下。SSL VPN提供安全、可代理连接，只有经认证的用户才能对资源进行访问，这就安全多了。SSL VPN能对加密隧道进行细分，从而使得终端用户能够同时接入Internet和访问内部企业网资源，也就是说它具备可控功能。另外，SSL VPN还能细化接入控制功能，易于将不同访问权限赋予不同用户，实现伸缩性访问；这种精确的接入控制功能对远程接入IPSec VPN来说几乎是不可能实现的。
SSL VPN基本上不受接入位置限制，可以从众多Internet接入设备、任何远程位置访问网络资源。SSL VPN通信基于标准TCP/UDP协议传输，因而能遍历所有NAT设备、基于代理的防火墙和状态检测防火墙。这使得用户能够从任何地方接入，无论是处于其他公司网络中基于代理的防火墙之后，或是宽带连接中。
NetScaler SSL VPN 是一个安全的远程接入解决方案，它能提供远程用户，例如移动员工，远程工作，合作伙伴，分销商甚至一个企业网络的点到点的连接。这一方案首先在用户的标准浏览器以及NetScaler系统之间建立一条安全的基于SSL的隧道。 利用业界标准的SSL作为底层的隧道协议，NetScaler SSL VPN 不需要对于服务器以及局域网做任何配置上的变动。 此外，也不需要客户端软件的增加和管理。就象其他传统的IPSEC和VPN系统那样，NetScaler的SSL VPN 允许远程用户安全的访问公司的内部网络。它的主要作用在于提供对于企业内部网络资源的安全接入，例如，内部和外部的WEB站点，共享的WINDOWS文件系统，内部客户/服务器应用程序（如Outlook, Peoplesoft, Oracle等）。NetScaler的SSL VPN 解决方案提供远程用户在任何地点借助于公网的安全的对内部网络资源的接入。 NetScaler SSL VPN 当远端用户第一次进入并获得SSL VPN门户授权后，在该用户PC上自动安装的一个浏览器插件。一旦安装，这一浏览器插件与NetScaler 系统沟通，并建立了在INTERNET上的一个安全隧道。通过这一连接，远端用户能够象在公司内部局域网内部一样去访问内部网络的各种资源。
5. 总述
Citrix® NetScaler®应用交付系统率先引入了应用网络基础架构新概念，在架构中整合了性能、安全性、可用性，并节省了成本，而这些正是企业和电子商务公司在经IP网络放心部署关键应用过程中所需要的。Citrix NetScaler系统融合了传统负载均衡器、流量管理器和远程接入系统的所有特点，具有先进的应用功能。
由于单一的整合平台具备了应用交付和安全性特点，Citrix NetScaler应用交付系统可发挥出每项技术的优点，与前面谈到的单个解决方案是完全不同的。
Citrix NetScaler应用交付系统
NetScaler应用交付解决方案融合了Citrix® Request Switching®的三项重要功能，可将复杂的第7层技术融入高性能架构中。技术覆盖的范围包括：
• 优化——确保最好的应用性能和扩展性。
• 安全——确保应用内容的安全性，保证服务器不受DoS/DdoS攻击。
• 交换——确保可靠的应用性能以及应用的高度可用性。
Citrix NetScaler技术覆盖范围及其特点
NetScaler应用交付系统是业界第一个可弥合网络基础架构和应用鸿沟的解决方案，在提高总体性能的同时优化了应用通信。总之，单个平台上NetScaler多种先进功能的集成大大削减了操作成本，降低了网络复杂度。