Citrix ADC Solution--------------2020.pdf
- 1. Citrix ADC Solution NOVEMBER 30, 2022 © 2016 Citrix | Confidential
- 2. 2 Agenda ➢ What is Citrix ADC Solution ➢ Citrix ADC ➢ Citrix App Firewall ➢ Citrix ADM ➢ Citrix ADC Licensing / Platforms
- 3. What is Citrix ADC Solution ?
- 4. 4 Citrix將應用服務以最安全(Security)、效能(Performance) 高可靠(Available)的方式傳遞給使用者 • 1989年成立，總部位於佛州羅德岱堡 • 上市公司，納斯達克100指數（NASDAQ: CTXS） • 2016年營收 3.3+ Billion • 服務全球客戶400K • 全球擁有9000多名員工 • 因應雲端運算、行動辦公室與虛擬化的趨勢， Citrix將應用交付服務帶入新的領域。 提供完整應用服務傳遞整合解決方案 Citrix ADC 市場領導者
- 5. 5 What is an ADC Solution? Performance Security Availability Application focus
- 6. 6 Availability Performance SSL Offload Security Analytics Availability, Security and Performance Citrix ADC自2002年以來一直為企業和電子商務提供強大的商務應用。 LLB/SLB負載平衡 應用加速 應用安全 應用優化 SSL SD-WAN 高可用性 高效能
- 9. 9 改善使用者體驗 效能最佳化 TCP 最佳化 啟用最新最佳化技術 大幅改善效能 新通訊協定支援 不需重新調整架構就能 採用SPDY 和 HTTP2.0 等新技術 壓縮 Compression 壓縮來至於應用程式伺服器的資 料以降低流量與減少延遲 物件緩存 Cache 卸載應用程式伺服器的重複物件 以改善效能與規模
- 10. 10 管理和預測資料中心使用情況 • Citrix ADC提供DNS服務和應用程式名稱查詢 • 可達成彈性資料中心 : Active/Active, Active/DR Only • 單一程式/伺服器或是整個資料中心故障都可復原 Local DNS Users Passive Active Citrix ADC SLB/LLB Citrix ADC SLB/LLB Citrix ADC SLB/LLB App Server App Server App Server Active 雙資料中心/異地備援方案 服務不中斷 台北 台中 高雄
- 11. 11 SSL Offload & Certificate Management • 專屬加解密硬體高速處 理 SSL 流量 • 減少部署 SSL 的複雜度 SSL & Certificate • 聰明管理持久 SSL Session • 加速 SSL 金鑰交換 和 資料加密 • Citrix提供超過他牌 SSL 效能 • 可使用不同金鑰強度 的SSL加密 Encrypted HTTPS HTTP • 免除伺服器加密負載，增加 處理效能。 • 免除額外憑證管理作業。 • 支援 FIPS 認證 SSL & Certificate SSL & Certificate SSL & Certificate
- 12. 12 SSL Weakness & Vulnerability
- 13. 13 Citrix ADC Enhance SSL
- 15. 15 Problem ? 7 6 5 4 3 2 1 應用層 表現層 會話層 傳輸層 網路層 連結層 實體層 Upper Layers Lower Layers OSI Model Apps Network Firewall No Apps protection 86% 的攻擊行為來自於應用層 傳輸層 網路層
- 16. 16 Solution Application Protection Web AppFirewall 7 6 5 4 3 2 1 Upper Layers Lower Layers OSI Model 應用層 表現層 會話層 傳輸層 網路層 連結層 實體層 Network Firewall 傳輸層 網路層 Apps
- 17. 17 修改網頁程式可以補強嗎? • 每1000行程式平均有15個嚴重性高的弱點 • 追查一個安全弱點要發費75分鐘，而修補一個弱點需花費6個小時 (Pentagon Study 5年的統計) • 每個網站程式平均約有150,000-250,000行程式碼(Software Magazine) 運算… 需費時 84 至562 週修改程式 (尚不包含新型攻擊)
- 18. 18 Citrix AppFirewall • 最靈活，可擴展的解決方案 • 防止多變的攻擊威脅 • 防護 OWASP Top 10 攻擊 • 可以全代理架構(Full Proxy)或透通代理架構 (Bridge mode) 進行部署 • WAF Policy政策檢查 • 特徵碼攻擊檢查 • SSL , TCP, HTTP DDoS 整 合 • 伺服器敏感資訊防護 • 個資防護 HTTP請求 HTTP回覆
- 19. 19 Citrix App Firewall: 混合安全性政策 白名單 學習應用程式 行為設定 Policy 黑名單 特徵碼檢測 保護 Negative Positive Hybrid 混合 保護已知與未知 的威脅
- 20. 20 弱點掃描與應用防禦整合，完整的網站防禦策略 Cenzic, IBM AppScan, Qualys, Splunk, Trend Micro, Whitehat, WebInspect Protected website Run periodic scans
- 21. 21 弱點掃描與應用防禦整合，完整的網站防禦策略 Cenzic, IBM AppScan, Qualys, Splunk, Trend Micro, Whitehat, HP WebInspect Before Protect After Protect
- 22. 22 攻擊特徵碼維護/更新 • 特徵碼源於Snort • 更新特徵碼不需更新設備韌體 • 客製化特徵碼 • 特徵碼版本
- 24. 24 Brute Force Protection Before Citrix ADC After Citrix ADC
- 25. 25 Bot Management 35%+ Traffic on the Internet is Automation/Bots Defense against Bots, Scripts, and Toolkits Static Signature based defense PLUS device fingerprinting enables real-time dynamic threat mitigation Neutralize Automated Basic & Advanced Attacks App layer DDoS, Password Spraying, Password Stuffing, Price Scrapers, Content Scrapers, and more Protect Your APIs & Investments Protect APIs from unwarranted misuse, Protect infra investments from impacts of automated traffic © Citrix – CONFIDENTIAL – The development, release and timing of any features or functionality described for our products remains at our sole discretion and are subject to change without notice or consultation. The information provided is for informational purposes only and is not a commitment, promise or legal obligation to deliver any material, code or functionality and should not be relied upon in making purchasing decisions or incorporated into any contract.
- 26. 26 • Bad IPs are blocked. Very low risk, easy to turn on, and positive impact. Do it. • Webroot-provided – same functionality as IP Reputation in WAF – 6 categories collected • Webroot updates its Malicious IP DB every 5 minutes, with full DB release every 12 hours – Hosted on brightcloud.com – If ADC outbound traffic is blocked, the customer need to whitelist outbound traffic to brightcloud.com to receive updates IP Reputation 信譽評等 Actions Available Drop Redirect Log Stats (automatic)
- 27. 27 • 威脅指數 – 違規類型 – 攻擊類別 – 攻擊地理位址 – 攻擊者詳細資訊 • 安全指數 – Application firewall – NetScaler security Security Insight Measurable safety ratings for applications
- 28. 28 • Characteristics – Monitor user experiences in realtime – Monitor experiences in huge traffic flow – Centralized monitoring – Bundled monitoring tool (NS Insight Center) or integrated with 3rd party tool (Splunk， Solarwinds) • Threshold and alerting based on network conditions • SLA management with proactive notifications sent to admins when SLAs are breached 使用者效能監控
- 29. 29 Citrix ADC 完整安全整合方案 Citrix的ADC應用安全整合方案一切變得更簡單 1. LLB/SLB負載均衡 2. 應用程式優化 3. DDoS安全防護 4. 應用層應用過濾 5. 特徵碼分析 6. 正反向安全政策防護 只需整合弱點掃描, 即可達到快速且高標準防護 強化SSL加密傳輸
- 30. Citrix ADM
- 33. 33 Configuration Jobs – Record and Play
- 34. 34 Reporting
- 35. Citrix ADC Licensing and Platforms
- 36. 36 標準版 Standard Edition 單點負載平衡 • L4 負載平衡 • L7 內容交換負載平衡 • Outbound 鏈路負載平衡 • SSL VPN • 應用程式效能分析 進階版 Advanced Edition 廣域負載平衡與優化 • 雙資料中心/異地備援 (GSLB) • Inbound 鏈路負載平衡 • 叢集堆疊Cluster • Front end Optimization • AAA-TM / Unified Gateway 白金版 Premium Edition 完整安全性優化解決方案 • 網頁應用程式防火牆 • 動態物件緩存 • HDX Insight • L4-7 DDoS 防禦 Citrix ADC License
- 37. 37 MPX VPX Hypervisor SDX Physical 高性價比 Virtual 彈性運行 Platform Multi-Tenant = = Citrix ADC Performance & Platforms 160 80 20 120 15 150 80 Gbps CPX Docker
- 38. 38 60 Gbps 30 Gbps 15 Gbps 5 Gbps 1 Gbps 160 Gbps 100 Gbps 200 Gbps CPX High end VPX Low-end Mid-range VPX 100Gbps (PCI-P) 40Gbps (SR-IOV) 25Gbps (SR-IOV) 15Gbps 10Gbps 5Gbps 3Gbps 2Gbps 1Gbps 200Mbps 10Mbps MPX 5900 1G – 10Gbps MPX 8900 5G – 30Gbps SDX 8900 20G – 30Gbps MPX/SDX – 14000 20G – 100Gbps New MPX– 15000-50G 20G – 100Gbps MPX/SDX 22000/24000/25000 40G – 200Gbps New MPX– 26000-100G 100G – 200Gbps Citrix ADC 銷售硬體型號
- 39. 39 伺服器內容安全檢查 … Interfaces L2 AV DLP L2 • 什麼是內容檢查? – 可將流量導至其他第三方內容檢查裝置， 例如：IPS、IDS、DLP…等 • 有什麼好處? – 消除資訊安全盲點 – 卸載SSL流量，減輕其他資安設備的負載 • 支援模式? – Reverse proxy – Forward proxy
- 40. 40 ICAP • For antimalware, DLP and content scrubbing system integration • Secure ICAP policy support • ICAP policy support (coming soon) Inline Device Integration (L2) • IPS, Next-Gen Firewall and ATP integration • SSL Offloading of single or multiple inline devices • Better solution than sandwich mode Port Mirroring • IDS, Monitoring and Analytics system integration • TLS 1.3, HTTP/2, ECC visibility • Target release Q2’19 Content Inspection Capabilities
- 41. 41 • What is SSL Orchestrator? – Ability to break outbound encrypted traffic (forward proxy) and do content inspection. • Is SSL Orchestrator supported in ADC license? – It will be supported in Premium Edition (Platinum Edition) of all VPX/MPX/SDX from Q2’19 (target). • Is it same as Citrix SWG? – While Citrix SWG is a standalone model, SSL Orchestrator is a module in ADC. Citrix SWG will be discontinued. – SSL Orchestrator is more focused on security service chaining. • What is sizing recommendation? – Sell bigger platform license for SSL Orchestrator use case. Example: 8930 instead of 8910. Customer N/w SSL Orchestrator for Outbound Traffic Security
- 42. 42 Customer N/w App1 App2 Citrix ADC Client to server traffic API traffic If API call is over web, then do forward proxy (SSL Orchestrator) App3 If API call is in same network, do reverse proxy • When servers make API calls in same network, traditional reverse proxy works because the private keys are available for decryption and inspection. • When servers make API calls over web, SSL Orchestrator capability is needed on ADC. Why is SSL Orchestrator Functionality Needed on ADC? For API Control
- 43. 43 • Dedicated research team of 3 people • Regular signature updates as needed for new CVEs • Signature update alert through Citrix support site – Customers have to subscribe WAF – Objections Addressed Signature Updates • Available in 12.1 onwards • Ability to log up to 6K bytes of request for violations • Configured using log expressions Extended Logging • Available in x.y onwards • Ability to disable dropping/blocking for RFC check violations • Applicable to traffic that applies to appfw profile or not RFC Check Issues
- 44. 44 擴展Citrix ADC產品形態的選擇– Virtual VPX, Container CPX, Physical MPX, Multi Tenant SDX Citrix ADC BLX: Bare Metal ADC BLX Citrix ADC 没有虚擬機或容器開銷 以軟體为中心，訂閱為基礎 為混合多雲構建 與其它ADC產品形態的操作一致性 VM ADC release 13已支持
- 45. 45 • 性能 – BLX透過軟體部署和自動化功能實現硬體級別的性能---（只能基於pool訂閱 所以和 MPX不衝突 ） – 不需要Hypervisor或容器 • 降低成本 – 沒有Hypervisor的成本 – 使用客户已有的Server • on-prem的私有雲不斷增長和自動化需求 – 為以軟體為中心，自動化的應用交付架構提供易用性和高性能 • 完成Citrix ADC產品形態的最後一塊拼圖 – 唯一涵蓋所有形態的廠商： 物理，虚擬，多租户，容器，公共雲，裸金属 Why Citrix ADC BLX WHY?
- 46. 46 • 企業市場 • 本地私有雲部署 – 需要自動化和高性能 • 已有Citrix客户優先 – 考慮整合——pool licensing – 遷移到雲環境 Citrix BLX 目標市場
- 47. 47 • 注意傳達給客户的信息 • 選擇 – 客户選擇自有的Server – 2種性能可選 – 10 Gbps and 40 Gbps with DPDK (beta) • 一致性用户體驗 – 以軟體為中心 – 所有產品形態使用一套代碼 – 通過ADM統一管理 • 訂閱消費模式 – Pooled capacity and vCPU Citrix BLX定位 • 具備裸金屬產品的友商 – A10; NGINX; AVI; Kemp – other small vendors • Citrix ADC組合是最全面、功能最豐富的 – 不同部署場景的選擇 • 已經部署Citrix的客户更容易擴展到BLX – 特别是遷移到混合雲時 Where to focus?
- 48. 48 • BLX不作為 單獨的軟體出售 • 作為 pool licensing訂閱的一部分 • 作為 vCPU licensing訂閱的一部分的 • 標準版、高級版和豪華版 BLX packaging What you can sell
- 49. 49 Citrix ADC 池化授權模式（ Pooled Capacity Licensing ） 加速混合多雲環境的遷移 業界最全面的池化方案 40G License 10G License MPX 20G License 20G License SDX 20G License 10G License VPX 40G License 10G License CPX MPX SDX VPX CPX 固定授權 模式 池化授權模式 130 GB 40G License 10G License 20G License 20G License 10G License 9G License 1G License 20G License MPX SDX VPX CPX
- 50. 50 Pooled Capacity全球增長情况 0 5 10 15 20 25 30 35 40 45 Q2 2017 Q3 2017 Q4 2017 Q1 2018 Q2 2018 Q3 2018 Q4 2018 Pooled Capacity # of Wins # of Wins 2018 Bookings YoY: +63% 2018 Customer Count YoY: +350% $- $1,00 $2,00 $3,00 $4,00 $5,00 $6,00 $7,00 $8,00 $9,00 $10,00 Q2 2017 Q3 2017 Q4 2017 Q1 2018 Q2 2018 Q3 2018 Q4 2018 Pooled Capacity Bookings Bookings
- 51. 51 銷售場景1:靈活的按需容量分配 Site A Site B 10 Gbps 5 Gbps 20 Gbps 5 Gbps 40 Gbps Subscribe to a pool of capacity Buy Zero-Capacity hardware VPX
- 52. 52 Site B 銷售場景1:靈活的按需容量分配 Deduct from capacity pool based on site needs 10 Gbps 10 Gbps 10 Gbps 40 Gbps Site A 10 Gbps
- 53. 53 銷售場景2: 從本地部署遷移到雲部署 本地數據中心 Cloud 200 Gbps 100 Gbps 50 Gbps 150 Gbps 300 Gbps Pooled Capacity 100 Gbps 50 Gbps 遷移 Capacity Hardware 降低硬體投資 減少雲遷移成本
- 54. 54 銷售場景3: 跨平台部署 雲 本地數據中心 雲中開發環境 - 在容器中 複制到本地數據中心 CPX CPX VPX 虛擬機環境部署 MPX SDX 物理機環境部署 300 Gbps Single Pool of Capacity
- 55. 55 Pooled Capacity 組合 Support for Every Form Factor and 3rd Party Citrix Application Delivery Management(ADM) Zero-Capacity Hardware • 硬體 • 基於性能需求選擇 • 頻寬pool 被所有產品型態 所共享: MPX, SDX, VPX and CPX • 包括標準版，進階版，白 金版 • 虛擬產品形態所共享: VPX on SDX, stand-alone VPX and CPX Bandwidth Pool Software Instance Pool 軟硬體去耦合 bandwidth和instance pool 被所有 Citrix ADC 產品型態共享 + + =
- 56. 56 Packaging - MPX SDX Bandwidth Pool with Editions Instances 訂閱 Zero-Capacity Hardware 買斷 VPX CPX MPX Zero capacity hardware purchase required Subscribe to bandwidth pool
- 57. 57 Packaging - SDX SDX Bandwidth Pool with Editions Instances 訂閱 Zero-Capacity Hardware 買斷 VPX CPX MPX Zero capacity hardware purchase required Subscribe to bandwidth pool
- 58. 58 Packaging – VPX or CPX SDX Bandwidth Pool with Edition Software Instance Pool 訂閱 VPX CPX MPX Hardware Subscribe to a number of instances
- 59. 59 總結-配置方式 MPX SDX VPX CPX Zero Capacity硬體 硬體服务（gold/gold+ only） ● ● 起始Bandwidth和Instances pool訂閱 ● ● ● ● 追加 Bandwidth 訂閱 (可選 ) ● ● ● ● 追加Instance訂閱 (可選 ) ● ● ● • Pooled Capacity bandwidth和instance的訂閱可用1年，3年或5年期限 • 可以從 永久許可升級/轉換為 Pooled Capacity eg.Citrix ADC Pooled Capacity 3-year On Premise Subscription Premium Edition Upgrade from MPX 8905 Premium Editon （3021912） • 也可以把zero capacity的硬體轉為 perpetual eg. Citrix ADC 8900Z Hardware Transition to Perpetual ADC MPX 8905 Standard Edition(3022048) • 需要Citrix ADM作為 Pooled Capacity的許可Server（免费）
- 60. 60 MPX/SDX/VPX/CPX Pool 最低訂購量 MPX/SDX 2 units and 20 Gbps VPX/CPX 5 instances and 5Gbps
- 61. 61 VPX/CPX/BLX 基於vCPU的 Subscription Licensing …… • 40個 vCPU作為一个銷售單元按年訂閱 • 每個 VPX 最少分配2個 vCPU • 每個 BLX最少分配1個 vCPU • 每個 CPX最少分配1個 vCPU • vCPU訂閱許可是為習慣基於雲計算的定價的客户設 計的 • 定價與只有軟件的競爭對手有的一拼 (e.g., AVI, NGINX)
- 62. 62 Citrix F5 Radware A10 AVI/NGINX Pooled Capacity支 持的產品形態， 包括硬體和軟體 ADC F5 ELA 只支持虛 擬化產品. 硬體設備不支持 pool Radware Global Elastic License支 持硬體 和軟體 ADC A10 flexpool只支 持虛擬化產品 vThunder和裸金 屬產品.硬體設 備不支持 不支持 基於Bandwidth和 instance的pool 基於$$$的pool， 購買不同型號的 VEs 支持基於 Bandwidth和無限 instance的pool 支持基於 Bandwidth無限 instance的pool 不支持 Pooled Capacity競爭對比
- 63. 63 • 一個 集中的ADM將處理所有license請求。如果出於任何原因需要多個 License server ，最好 按bandwidth和instance劃分為多個訂單 • ADM license server支持本地局域網上的HA部署(不支持在遠程站點之間HA) • 當增加或减少容量時，不需要重啟設備，只有更換 license版本例如從標準版更換為進階版才需 要重啟 • ADC和ADM之間有心跳信息用於健康監測。兩種場景： – ADM/license server停止響應 • ADC可以再工作30天，30天後如果没有重新連接到ADM，ADC許可證將被吊銷 – ADC停止響應 • 10分鍾後，ADC的license將被ADM收回. ADC重啟後需要再次獲取license ADM License server注意要點
- 64. 64 • VPX實體隔離, 不是Admin Partitions • 完整CPU隔離 • 完整Memory隔離 • 版本各自獨立 • High availability各自獨立 • 整合Paloalto, Trendmicro, Websense, Bluecat, SECUREMATRIX, CA. Citrix ADC SDX
- 65. 65 Scale up Scale out Scale in Citrix TriScale Scale up, Scale in and Scale out 簡易管理多合一虛擬化平台 依實際需求付費 強大的叢集擴展性 最大成長 5x. 不需更換硬體平台. “ ” 最大支援115:1 ” “ ” 叢集擴展最高 32x “ Learn More About TriScale: http://www.citrix.com/content/dam/citrix/en_us/documents/pro ducts-solutions/a-revolution-in-cloud-networking-citrix-triscale- technology.pdf
- 66. 66 F5 競爭分析 Citrix ADC F5 BIG-IP 功能授權方式 分成標準，進階，白金 各版本皆可適用不同硬體型號 多採模組方式計價，使用越多功能越貴，另外雖然 也提供good，better，best方案，但其實4000系 列以下硬體不適用該方案 按需求原機升級方案 提供Tri-Scale升級方案 彈性應對各種升級需求 只能升級SSL效能，不能升級總流量，而且只能升 級一次 Policy設定方式 採用AppExpert系統 可透過WebGUI下拉式表單輕鬆完成 採用iRule系統 許多辨識L7內容的policy需要寫程式才能設定 韌體升級 網頁介面，一鍵升級，可跨大版本 跨大版本升級時常有問題，config會掉，需要一個 一個版本慢慢升，並且每升級一次都需檢查 效能 採用n-Core技術，每顆CPU運行相同工作，同樣級別的型號， SSL及HTTP效能高於其他廠牌 同階型號SSL及HTTP效能不如Citrix
- 67. 67 Secure Reverse Proxy Citrix ADC IAAS VIP SAAS gateway S1 S2 S3 NetScaler CG CB FTP SQL HTTP HTTPS DNS TCP UDP AD Es PwO A1 A2 A3 NetScaler Optimization SSL Offload SSL Protection TCP Offload TCP Buffering TCP Multiplexing Surge Protection Compression Caching Web 2.0 Push Security Web Application Firewall L4-7 ACL (stateful & Dynamic) DoS Protections DNS SEC Rewrite + Responder SSL VPN AAA for App Traffic and EPA Cloud Gateway App Controller XenMobile SAML IDP & SP and ADFS IP Reputation Switching L4 Request Switching (Load Balance) L7 Content Switching GSLB VLAN, SR-IOV, PBR Dynamic Routing AppExpert Callout Cloud Connector DataStream ACI Integration, CGNAT, VXLAN Management CLI/GUI/RESTful API/SNMP AppFlow Syslog Citrix ADM NSWL AppExpert Insight for Web Insight for HDX Insight for Security Insight for Gateway Access Platforms & Tri-Scale VPX 5XXX 8XXX 9XXX (FIPS) 10XXX(FIPS) 11XXX 12XXX (FIPS) 14XXX (FIPS) 15XXX (FIPS) 22XXX 24XXX 25XXXT/TA MPX SDX KMS XenServer VMWare Hyper V 10, 200, 1G, 3G 5G, 8G, 10G, 15G, 25G, 40G, 100G 8XXX 11XXX 14XXX (FIPS) 22XXX 24XXX 25XXX/A 完整應用交付解決方案 ADC Solutions CPX Docker
- 68. 68 68 © 2017 Citrix | Confidential – Content in this presentation is under NDA Thank you!
- 69. 69