Российский VDI (Termidesk, Basis Workplace, Space VDI) на парке корпоративных ноутбуков: нулевой след на диске при краже ноутбука и работа по 4G
Представьте ночной кошмар директора по информационной безопасности: региональный менеджер или аудитор забыл в такси корпоративный ноутбук с выгрузкой всей клиентской базы CRM, закупочными ценами и черновиками тендеров. Или внешний подрядчик из другого города подключается к вашей инфраструктуре со своего домашнего компьютера.
Переход на архитектуру VDI (Virtual Desktop Infrastructure) на базе зрелых реестровых российских платформ — Termidesk (ГК «Астра»), Basis Workplace («Базис») или Space VDI («Даком М») — решает обе эти задачи разом и экономит до 35 % капитального бюджета закупки ноутбуков!
Почему ноутбук в режиме «мобильного тонкого клиента VDI» меняет экономику и ИБ всей компании?
На самом выданном сотруднику лёгком ноутбуке (например, базовых линейках iRU, РИКОР, Fplus, Inferit с Astra Linux SE и шифрованием диска LUKS2) ВООБЩЕ НЕТ НИ ОДНОГО ФАЙЛА КОМПАНИИ И НИ ОДНОЙ БАЗЫ 1С:
- ноутбук передаёт на защищённый шлюз ЦОД только нажатия клавиш и движения мыши, а в ответ принимает зашифрованный видеопоток пикселей экрана виртуальной машины, крутящейся на мощных серверах внутри вашего охраняемого ЦОД рядом с базой данных
1С / PostgreSQLпо локальной сетке25/100 Гбит/с! - если ноутбук утопили, разбили или украли в аэропорту — служба ИБ одним кликом отзывает сертификат токена, а через 15 минут сотрудник берёт любой подменный ноутбук, вставляет свой Рутокен, входит в
Termidesk Clientи видит ровно те же открытые на той же строке вкладки1СиExcel, на которых прервался!
Сравнение 4 критических режимов настройки политик VDI для ноутбуков удалённых сотрудников
Подсистема в профиле политики Termidesk / Space VDI |
Как настроить для ИБ и комфорта сотрудника | Какую фатальную ошибку допускают при пилотном внедрении |
|---|---|---|
1. Буфер обмена (Clipboard) и проброс локальных дисков/флешек ноутбука (Drive Redirection) |
ОТКЛЮЧИТЬ проброс дисков и запретить копирование из VDI наружу (разрешить одностороннюю вставку текста только СНАРУЖИ ВНУТРЬ VDI либо полностью отключить!) + включить водяные знаки (Watermarks с ФИО/логином и датой полупрозрачной сеткой поверх экрана VDI!) |
Оставляют открытым двусторонний буфер обмена и RDP Drive Mapping — сотрудник одним Ctrl+C сливает базу на свой ноутбук! А полупрозрачный Watermark отбивает желание даже фотографировать экран смартфоном! |
2. Перенаправление смарт-карт / Рутокен ЭЦП 3.0 (PC/SC Smartcard Redirection vs USB-IP URB)! |
Включать ВЫСОКОУРОВНЕВОЕ перенаправление смарт-карты по протоколу PC/SC (RDP Smartcard / SPICE Smartcard), а НЕ «сырой» проброс USB-порта! |
При сыром USB-IP пробросе на мобильном 4G интернете с пингом 75 мс подписание PDF-документа УКЭП занимает 3 минуты из-за тысяч мелких USB URB пакетов туда-обратно, тогда как через PC/SC подпись ставится за 1,5 секунды! |
3. Оптимизация голоса и видеозвонков ВКС внутри VDI (Media Optimization / WebRTC Offload)! |
Разгружать медиапоток WebRTC и звук гарнитуры на локальный агент ноутбука либо запускать клиент ВКС нативно на ОС самого ноутбука! | Запуск неразгруженного видеозвонка на 25 человек внутри обычной RDP-сессии создаёт «эффект тромба (Hairpinning)»: 20 серверных CPU задыхаются от перекодирования видео, а голос у всех булькает! |
4. 3D-графика проектировщиков (САПР Компас-3D, nanoCAD, Renga) в VDI! |
Отдельный пул серверов VDI с аппаратными серверными ускорителями vGPU и протоколами доставки с аппаратным кодированием H.264 / H.265 с низкой задержкой (< 20 мс)! |
Запускают Компас-3D на серверном программном рендере LLVMpipe без vGPU — чертёж тормозит при каждом зуме колёсиком мыши! |
Какие ноутбуки закупать сотрудникам под VDI, чтобы сэкономить миллионы рублей без ущерба для комфорта глаз!
Вот главный секрет ИТ-директоров банков: НЕ экономьте на ЭКРАНЕ, КЛАВИАТУРЕ и WI-FI ноутбука, экономьте на избыточном CPU/ОЗУ/SSD!
- Для идеальной 10-часовой работы в тонком клиенте
Termidesk / Basis Workplaceсотруднику НЕ НУЖЕН дорогой горячийCore i7с32 ГБ ОЗУи1 ТБ SSD! - Ему нужен лёгкий холодный
15,6–16"ноутбук с базовым экономичнымCore i3 / Ryzen 3,8–16 ГБ ОЗУ, минимальным256 ГБ SSD, НО с качественной яркой матрицейIPS Full HD+ 300 нит(от которой не вытекают глаза за 8 часов!) и полноразмерной удобной клавиатурой сNumPad! Срок службы такого ноутбука в VDI достигает 7–8 лет вместо 3,5 лет, потому что вычисления растут в ЦОД, а декодировать1080p H.264поток экрана ноутбук будет мгновенно и в 2032 году!
Чек-лист перед переводом 200 ноутбуков в боевой VDI
- [ ] Настроен внешний отказоустойчивый шлюз безопасности подключений (
Connection Gateway TLS 443 / DTLS UDP) без необходимости вручную поднимать отдельный тяжёлый VPN-клиент перед входом в рабочий стол!
Частые вопросы
Сколько мегабит мобильного интернета съедает 1 рабочий час офисного бухгалтера в 1С и таблицах через Termidesk / RDP в поезде или на даче?
Современные адаптивные кодеки доставки рабочего стола (RDP GFX H.264 AVC444 / SPICE) передают только изменившиеся прямоугольники экрана: при обычной работе в 1С, почте и документах средний поток составляет всего 150–400 Кбит/с (около 120–200 МБ трафика за час!) — бухгалтер совершенно комфортно работает даже на раздаче обычного 4G LTE со смартфона!
Что лучше для временных сотрудников колл-центра с высокой текучкой: персональные машины (Persistent VDI) или обезличенный пул из золотого шаблона (Non-Persistent Linked Clones)?
Для операторов сменных линий и бухгалтеров расчётных центров на 200 % выгоднее Non-Persistent пул быстрых клонов из единого «золотого образа» (с сохранением пользовательских настроек в профильном контейнере на СХД): при каждом выходе оператора из ноутбука его временная ВМ мгновенно уничтожается со всем мусором и пересоздаётся девственно чистой за 5 секунд, а обновление 1С на 500 рабочих мест сисадмин делает обновлением ОДНОГО эталонного образа за 15 минут ночью!