VDI: что это, как работает и как внедрить виртуальные рабочие столы в компании

VDI (Virtual Desktop Infrastructure) — инфраструктура виртуальных рабочих столов: рабочее место сотрудника живёт на сервере, а на его устройство приходит только изображение. Разбираем, из чего состоит VDI, чем отличается от терминального сервера и облачного DaaS, сколько стоит рабочее место и по каким шагам внедряется.

Что такое VDI

VDI — это способ организации рабочих мест, при котором операционная система, программы и данные каждого сотрудника работают в виртуальной машине на сервере компании, а сотрудник подключается к ней с любого устройства — ПК, ноутбука, тонкого клиента — и видит обычный рабочий стол Windows или Linux. По сети передаются только картинка, нажатия клавиш и движения мыши.

Виртуальный рабочий стол внешне ничем не отличается от обычного компьютера. Разница в том, где он находится: не под столом у сотрудника, а в дата-центре, под контролем администратора. Отсюда три следствия, ради которых VDI и внедряют:

• данные не покидают контур компании — на устройстве сотрудника их физически нет, потерять или унести ноутбук с базой невозможно;
• рабочие места создаются и обновляются централизованно — из одного золотого образа, а не на каждом компьютере по отдельности;
• на столе может стоять дешёвое устройство — вся вычислительная нагрузка на сервере.

Как устроен VDI: компоненты

Любая VDI-платформа состоит из одних и тех же частей. Ниже — как они реализованы в Inscale; у других платформ названия отличаются, роли те же.

Центральный сервер — оркестратор и брокер подключений

Единая точка управления: кластерами, хранилищами, сетями, виртуальными машинами, пользователями, ролями и пулами рабочих столов. Когда сотрудник подключается, именно центральный сервер проверяет, что ему разрешено, выбирает виртуальную машину и отдаёт клиенту адрес и параметры подключения. В передаче самой картинки он не участвует: сессия идёт напрямую к гипервизору, поэтому оркестратор не становится узким местом при масштабировании.

Gateway — шлюз на периметре

Точка входа для пользователей снаружи, разворачивается в DMZ. До успешной авторизации не открывает порты во внутреннюю сеть; второй фактор — RADIUS, OTP, смарт-карты, USB-токены. Потоки пользователей и администраторов разделены: администраторский вход возможен только из сети предприятия.

Золотой образ (Golden-реплика)

Администратор готовит одну эталонную виртуальную машину: ОС, программы, настройки. С неё делается снапшот, на его основе — золотая реплика; для Windows при этом можно выполнить генерализацию (Sysprep). Готовый образ из другого гипервизора можно импортировать: платформа конвертирует диск в свой формат.

Пул рабочих столов

Из золотой реплики платформа сама разворачивает нужное число машин. Выбираются тип клонирования (linked clone экономит место — машины делят диск реплики и пишут только свои изменения; full clone — полная копия) и способ выдачи: dedicated — машина закреплена за сотрудником, floating — машина используется в течение рабочего дня, после отключения возвращается в пул и выдаётся следующему. Для floating-пула задаётся политика: например, выключить машину через 10 минут после отключения и очистить диск, чтобы следующему она досталась чистой. Можно держать машины предвключёнными: как только одну забрал пользователь, система запускает следующую, вводит в домен и выполняет кастомизацию, и следующий сотрудник не ждёт.

Протокол доставки

То, что превращает виртуальную машину в картинку на экране и обратно. От протокола зависит, будет ли VDI работать в филиале на слабом канале. У Inscale протокол собственный, изначально разрабатывался под мобильные сети; администратору доступны 27 параметров — сжатие, количество цветов, разрешение, частота кадров — и готовые профили: спутник, мобильный, интернет, локальная сеть. По результатам тестов и пилотов: технический минимум около 50 кбит/с на рабочее место, комфортная работа в HD от 100–110 кбит/с, 4K-картинка — до 10 Мбит/с. В пилоте с крупным банком 15 сотрудников бэк-офиса в удалённом северном регионе работали на одном спутниковом канале в 1 Мбит/с. Для терминального доступа дополнительно поддерживается RDSH — пакет, лежащий в основе RDP, в том числе к Linux-машинам (Astra Linux, RED OS).

Клиент

Программа на устройстве сотрудника: Windows, Linux (Astra, RED OS, Альт, Debian, Ubuntu, ROSA), macOS. Пользователь видит только выданные ему пулы и рабочие столы. Для тонких клиентов есть Inscale Virtual OS — облегчённая система, в которой нет ничего, кроме протокола и подключения к рабочим станциям; платформа тестировалась на тонких клиентах HP с ThinPro и на Raspberry Pi 3.

VDI, терминальный сервер или DaaS

Терминальный доступ и VDI не исключают друг друга: на одной платформе часть сотрудников может работать в терминальных сессиях, часть — в персональных машинах. Подробнее о терминальном варианте — в статье Терминальный сервер, о разнице с обычным удалённым доступом — в статье Удалённый рабочий стол для бизнеса.

Безопасность VDI

Главный аргумент за VDI — не «удобно работать из дома», а то, что основные утечки последних лет происходят по вине человеческого фактора, а в VDI у сотрудника на руках нет ни данных, ни возможности их скопировать. Что для этого есть на платформе:

• Политики безопасности на машину или пул: разрешить или запретить USB (в том числе по типу устройства), звук, микрофон, камеру, буфер обмена и передачу файлов в обе стороны либо ограничить их размер. Если USB запрещён, в диспетчере устройств виртуальной машины USB-контроллера просто нет.
• Запрет скриншотов и водяной знак с данными сессии: если кто-то сфотографирует монитор, по снимку видно, откуда утечка.
• Учётные записи из каталога — Active Directory, LDAP, SSO. Пользователи из каталога доступны только для просмотра, роли и привилегии назначаются в платформе: один источник истины.
• Отключение за минуту: администратор снимает доступ, и у сотрудника остаётся клиент, которому некуда подключаться.

Требования регулятора к средам виртуализации — в статье Приказ ФСТЭК № 117. Подробнее о защите — Безопасность VDI.

Сколько стоит рабочее место в VDI

Серверы, лицензии, хранилище — это реальные затраты, и их не стоит замалчивать. Но считать нужно совокупную стоимость владения на 3–4 года, а не только стартовые вложения. Две вещи меняют картину:

• Тонкий клиент вместо ПК. Одноплатный компьютер с корпусом обходится примерно в 7 тысяч рублей против нескольких десятков тысяч за ноутбук. В одном небольшом проекте полная окупаемость VDI с такими устройствами наступала через три с половиной года. Расчёт — в статье Тонкий клиент за 7000 рублей.
• Плотность на сервере. Балансировщик платформы раскладывает машины в двух режимах: максимальной производительности (без переподписки) и максимальной плотности, когда машины «утрамбовываются» на меньшее число серверов, а свободные можно выключать через IPMI и экономить электричество и охлаждение.

VDI перестал быть технологией только для тысяч рабочих мест: с дешёвыми тонкими клиентами он окупается уже на сотне.

Как внедрить VDI: 6 шагов

1. Посчитать рабочие места и профили. Кому нужна персональная машина (dedicated), кого можно посадить в floating-пул, кому хватит терминальной сессии; какие приложения и какой канал в каждом филиале.
2. Развернуть платформу. Гипервизор ставится на «голое железо» с ISO-образа; начать можно с одного сервера и добавлять узлы в кластер по мере роста — серверы могут быть разными по конфигурации.
3. Подключить хранилище и сеть. NFS, iSCSI или Fibre Channel; распределённый коммутатор, подсети, порт-группы.
4. Собрать золотой образ. Эталонная машина → снапшот → золотая реплика с генерализацией.
5. Создать пул и группу доставки. Размер, тип клонирования, dedicated или floating, политика безопасности, пользователи и группы из каталога.
6. Настроить доступ снаружи. Gateway в DMZ, второй фактор, профили протокола под каналы филиалов.

Пошаговые инструкции с экранами — в документации: Установка на сервер, Golden-реплика, Пулы ВМ, Рабочие столы и приложения, Gateway и доступ.

Как выбрать российскую платформу VDI

После ухода зарубежных вендоров на рынке несколько российских платформ, большинство в реестре отечественного ПО. На что смотреть:

1. Готовность «из коробки». Одни решения собраны из открытых компонентов и требуют инженерной работы перед запуском, другие — коробочные платформы с собственным управляющим стеком, которые разворачиваются за день. Разница в сроках внедрения — месяцы.
2. Протокол. Работает ли он на мобильном интернете и в плохом Wi-Fi, можно ли его настраивать под канал. Просите показать на вашем слабом канале, а не на стенде вендора.
3. Что реально готово. Пулы, золотые образы, политики безопасности, шлюз с MFA — проверяйте на демо, а не по презентации.
4. Статус у регулятора. Реестр Минцифры и статус сертификации ФСТЭК, если вы в госсекторе или КИИ.

Inscale — коробочная платформа на собственном коде: гипервизор первого типа, консоль управления, протокол доставки, шлюз. Разрабатывается с 2019 года, внесена в реестр российского ПО (№ 28671), подана на сертификацию ФСТЭК, получение сертификата ожидается. Обзор платформы — Российская система виртуализации.

Как получить VDI: своя платформа или услуга

Виртуальные рабочие столы можно получить двумя способами.

Развернуть платформу у себя. Компания ставит платформу VDI на свои серверы и сама управляет рабочими столами. Стоимость внедрения VDI в этом случае складывается из нескольких частей: лицензии платформы, серверы и хранилище, лицензии на операционные системы и приложения внутри рабочих столов, устройства сотрудников и работы по внедрению. Платформа виртуализации Inscale разворачивается на оборудовании компании или в приватном облаке.

Получить рабочие столы как услугу. Серверы покупать не нужно, оплата — за пользователя в месяц. У Inscale это пакет «Удалённый офис»: виртуальный рабочий стол или отдельные приложения, доступ к 1С, файлам и внутренним системам, поддержка и администрирование.

Состав, условия и стоимость обоих вариантов — на странице Услуги и пакеты. Чем аренда отличается от собственного облака рабочих столов — в статье Облачный рабочий стол.

Если задача шире VDI — организовать и защитить удалённый доступ сотрудников с домашних компьютеров и ноутбуков, — варианты и требования разобраны в статье Удалённые рабочие места: как организовать и защитить удалённый доступ.

Коротко

• VDI — виртуальные рабочие столы на сервере компании; на устройство сотрудника уходит только картинка.
• Состоит из брокера (центральный сервер), шлюза, золотого образа, пулов, протокола и клиента.
• Отличие от терминального сервера — у каждого сотрудника своя машина; от DaaS — инфраструктура у вас, а не у провайдера.
• Работает на канале от 100–110 кбит/с на человека; на столе может стоять тонкий клиент за ~7 тысяч рублей.

Хотите посмотреть VDI на ваших задачах — запросите демо, покажем и рассчитаем под ваше число сотрудников.