VPN Horizon RDP: защищённый доступ к удалённым рабочим столам и приложениям

Что такое VMware Horizon и зачем он нужен

VMware Horizon (после выделения из Broadcom в 2024 году — Omnissa Horizon) — это платформа для виртуализации рабочих столов и приложений (VDI). Она позволяет запускать корпоративную среду на серверах в дата-центре, а пользователь получает изображение рабочего стола на своём устройстве и может удалённо выполнять все действия: кликать, вводить текст, открывать папки. Основные функции платформы включают поддержку различных клиентских устройств (Windows, macOS, Linux, iOS, Android, Chrome OS, тонкие клиенты), публикацию отдельных приложений без запуска полного рабочего стола, многофакторную аутентификацию, шифрование трафика и гибкое масштабирование.

Платформа может быть развёрнута локально (on-premises) или как облачная услуга. Существует два основных облачных подхода: VMware Horizon Cloud (нативное облачное предложение, работающее на инфраструктуре глобальных провайдеров, например Microsoft Azure) и управляемый VDI (Desktop as a Service), когда провайдер хостит и администрирует платформу в своей инфраструктуре. Для обеспечения работы VDI-инфраструктуры используются три ключевых компонента: Connection Server, Horizon Agent и Horizon Client.

Основные компоненты архитектуры Horizon

Connection Server — это брокер подключений, который принимает запросы от клиентов, аутентифицирует пользователей и направляет их на соответствующие виртуальные рабочие столы или RDS-хосты. Он также выполняет роль центра управления: через встроенную консоль администраторы могут мониторить систему, управлять пулами рабочих столов, настраивать политики доступа и права пользователей. Connection Server поддерживает кластеризацию для распределения нагрузки и отказоустойчивости, интеграцию с LDAP и Active Directory, а также фиксирует сведения о сессиях и состоянии виртуальных машин.

Horizon Agent устанавливается на виртуальные машины, RDS-серверы или физические устройства для удалённого доступа. Он обеспечивает связь между Connection Server и виртуальной машиной, управляет удалёнными сессиями, воспроизводит мультимедиа, поддерживает использование периферийных устройств (принтеры, сканеры, USB-накопители) и обеспечивает работу современных протоколов удалённого доступа. Основным и рекомендуемым протоколом является Blast Extreme, оптимизированный для качественной передачи графики, видео и работы с мультимедиа даже в условиях ограниченной полосы пропускания. Также для обратной совместимости поддерживаются PCoIP и RDP.

Horizon Client — это приложение, которое устанавливается на устройства пользователей. Оно транслирует изображение рабочего стола, автоматически выбирает оптимальный протокол (Blast Extreme, PCoIP или RDP) в зависимости от типа сети и контента, устанавливает защищённое соединение с Connection Server и связывается с Horizon Agent на виртуальной машине. Клиент поддерживает динамическое переключение между сетевыми профилями, интегрируется с периферийными устройствами и может использовать протокол RDP, если включена соответствующая групповая политика AllowDirectRDP.

Протоколы удалённого доступа: Blast Extreme, PCoIP и RDP

В VMware Horizon используются три основных протокола для передачи изображения рабочего стола и взаимодействия с пользователем. Blast Extreme — это современный протокол, разработанный VMware для обеспечения высокой производительности даже при низкой пропускной способности сети. Он адаптивно регулирует качество графики, поддерживает аппаратное ускорение видео и оптимизирован для работы с мультимедиа. Blast Extreme является протоколом по умолчанию и рекомендуется для большинства сценариев.

PCoIP (PC-over-IP) — это протокол, который также обеспечивает высокую производительность и безопасность, но требует больше ресурсов и менее гибок в условиях нестабильной сети. Он поддерживает шифрование трафика и может использоваться в средах, где требуется строгая совместимость с существующей инфраструктурой.

RDP (Remote Desktop Protocol) — это стандартный протокол Microsoft, который поддерживается в Horizon для обратной совместимости. Для его использования необходимо включить групповую политику AllowDirectRDP на стороне агента. RDP может быть полезен, если требуется интеграция с существующими решениями удалённого доступа или если пользователи привыкли к стандартному клиенту RDP. Однако RDP уступает Blast Extreme и PCoIP по качеству передачи графики и мультимедиа, особенно в условиях ограниченной пропускной способности.

Выбор протокола зависит от конкретных требований: для большинства пользователей оптимален Blast Extreme, для сред с высокими требованиями к графике — PCoIP, а для простых сценариев или интеграции с legacy-системами — RDP.

Настройка VPN для доступа к Horizon из внешней сети

Для безопасного подключения к виртуальным рабочим столам Horizon из-за пределов корпоративной сети часто требуется VPN-соединение. Если администратор настроил доступ через VPN, пользователь должен сначала установить VPN-подключение, а затем запустить Horizon Client и подключиться к серверу. В документации Omnissa указано, что если вы находитесь за пределами корпоративной сети и требуется VPN-соединение, необходимо убедиться, что клиентское устройство настроено на использование VPN, и включить это соединение перед запуском Horizon Client.

Альтернативой традиционному VPN является использование Unified Access Gateway (UAG) — компонента безопасности, который размещается в демилитаризованной зоне (DMZ) и выступает в роли защищённого обратного прокси. UAG обеспечивает доступ к виртуальным рабочим столам из интернета без прямого подключения к внутренним серверам, что повышает безопасность. Для доступа через UAG пользователю не требуется устанавливать VPN-клиент — достаточно запустить Horizon Client и указать адрес шлюза.

Также возможен доступ через GlobalProtect Clientless VPN от Palo Alto Networks. Этот подход позволяет подключаться к удалённым рабочим столам (RDP, VNC, SSH) через веб-браузер без установки дополнительного ПО на стороне клиента. Для этого необходимо, чтобы бэкенд-сервис (например, VMware Horizon с поддержкой HTML5, Apache Guacamole или Thinfinity) преобразовывал протоколы RDP/VNC/SSH в веб-технологии (HTML5, WebSockets), которые затем публикуются как приложение Clientless VPN.

Интеграция Horizon с GlobalProtect Clientless VPN

Palo Alto Networks GlobalProtect Clientless VPN позволяет предоставлять доступ к удалённым рабочим столам и приложениям через веб-браузер без установки VPN-клиента. Для работы с VMware Horizon необходимо, чтобы Horizon был настроен на поддержку HTML5-доступа. В документации Palo Alto указано, что VMware Horizon с поддержкой HTML5 может быть опубликован как приложение Clientless VPN, и пользователи смогут подключаться к своим виртуальным рабочим столам прямо из браузера.

Для настройки такой интеграции администратор должен:

• Убедиться, что Horizon Connection Server и Horizon Agent поддерживают HTML5-доступ (обычно это встроенная функция в последних версиях).
• Настроить GlobalProtect Clientless VPN на публикацию приложения, указывающего на URL Horizon HTML5-шлюза.
• Пользователи подключаются к порталу Clientless VPN, вводят свои учётные данные и получают доступ к виртуальному рабочему столу через браузер.

Этот подход особенно удобен для сценариев, когда на устройстве пользователя невозможно установить Horizon Client (например, на общедоступных компьютерах или устройствах с ограниченными правами). Однако следует учитывать, что HTML5-доступ может иметь ограничения по сравнению с полноценным клиентом, например, по поддержке периферийных устройств или производительности графики.

Альтернативные решения для RDP/VNC/SSH через Clientless VPN

Помимо VMware Horizon, для организации доступа к удалённым рабочим столам через Clientless VPN можно использовать другие решения. Palo Alto Networks рекомендует несколько вариантов:

• Apache Guacamole — это клиентский шлюз удалённых рабочих столов с открытым исходным кодом. Он поддерживает стандартные протоколы RDP, VNC и SSH и преобразует их в HTML5, что позволяет получить доступ через браузер. Guacamole можно развернуть на сервере Ubuntu, установив необходимые зависимости (libcairo2, libfreerdp-dev, tomcat7 и т.д.), скачав и настроив сервер и клиент. После настройки пользователи подключаются к Guacamole через веб-интерфейс и могут работать с удалёнными системами.

• Thinfinity Remote Desktop Server — коммерческое решение, которое также позволяет получить доступ к Windows-рабочим столам через HTML5-браузер. Оно может быть интегрировано с GlobalProtect Clientless VPN для безопасного удалённого доступа.

• Citrix XenDesktop/XenApp — если в организации используется Citrix, его можно настроить на поддержку HTML5-приёмника, который использует защищённые веб-сокеты для подключения к виртуальным агентам доставки (VDA). Это позволяет пользователям получать доступ к опубликованным рабочим столам и приложениям через браузер без установки дополнительного ПО.

Выбор конкретного решения зависит от существующей инфраструктуры, требований к безопасности и бюджета.

Безопасность и аутентификация при удалённом доступе

Безопасность является ключевым аспектом при организации удалённого доступа к VDI-инфраструктуре. VMware Horizon поддерживает несколько механизмов аутентификации:

• Многофакторная аутентификация (MFA) — может быть реализована через RSA SecurID, RADIUS-серверы или смарт-карты. Пользователь вводит не только имя и пароль, но и одноразовый код или PIN-код смарт-карты.
• Интеграция с Active Directory — позволяет использовать корпоративные учётные записи для аутентификации и назначения прав доступа.
• Сертификаты устройств — для аутентификации клиентских устройств могут использоваться сертификаты, что повышает уровень безопасности.

Шифрование трасса обеспечивается на уровне протоколов: Blast Extreme, PCoIP и RDP поддерживают шифрование данных, передаваемых между клиентом и сервером. При использовании VPN или UAG трафик дополнительно защищается туннелем.

Для предотвращения несанкционированного доступа администраторы могут настроить политики контроля доступа, ограничивающие, какие пользователи и с каких устройств могут подключаться к определённым пулам рабочих столов. Также можно настроить блокировку клавиатурных шпионов (keylogger blocking) и контроль буфера обмена.

При использовании Clientless VPN через GlobalProtect трафик также шифруется, и доступ к приложениям контролируется политиками безопасности Palo Alto Networks.

Практические рекомендации по выбору протокола и настройке подключения

При выборе протокола для подключения к Horizon следует учитывать несколько факторов:

• Тип контента: если пользователь работает преимущественно с офисными приложениями и статическими документами, подойдёт любой протокол. Для работы с видео, графикой или 3D-моделями лучше использовать Blast Extreme или PCoIP.
• Пропускная способность сети: Blast Extreme адаптивно регулирует качество изображения, что делает его оптимальным для нестабильных или медленных соединений. PCoIP требует более стабильной и высокой пропускной способности.
• Совместимость с периферией: если требуется поддержка USB-устройств, принтеров или сканеров, убедитесь, что выбранный протокол поддерживает редиректы. Blast Extreme и PCoIP имеют широкие возможности, RDP — более ограниченные.

Для настройки подключения пользователь должен:

1. Установить Horizon Client на своё устройство.
2. Получить от администратора полное доменное имя (FQDN) сервера Connection Server или URL шлюза UAG.
3. Если требуется VPN, включить VPN-соединение.
4. Запустить Horizon Client, нажать «Добавить сервер» и ввести адрес сервера.
5. Пройти аутентификацию (имя пользователя, пароль, возможно, дополнительный фактор).
6. Выбрать нужный рабочий стол или приложение из списка.

Администраторам рекомендуется предварительно протестировать подключение с использованием тех же учётных данных, которые будут использоваться конечными пользователями, чтобы убедиться в корректной работе всех компонентов.

Ограничения и особенности работы с RDP в Horizon

Хотя RDP поддерживается в Horizon, его использование имеет ряд ограничений. Во-первых, для включения RDP необходимо активировать групповую политику AllowDirectRDP на стороне агента. Во-вторых, RDP не поддерживает некоторые функции, доступные в Blast Extreme и PCoIP, такие как адаптивное регулирование качества графики, аппаратное ускорение видео и оптимизация для мультимедиа. Это может привести к снижению производительности при работе с графически насыщенными приложениями.

Кроме того, RDP может иметь ограничения по поддержке периферийных устройств. Например, редирект USB-устройств через RDP работает не со всеми типами устройств, а для некоторых требуется дополнительная настройка. Также RDP может быть менее эффективен при использовании на устройствах с сенсорными экранами или при работе с несколькими мониторами.

Если в организации уже используется RDP для удалённого доступа к физическим или виртуальным машинам, интеграция с Horizon может быть упрощена, но для достижения наилучшего пользовательского опыта рекомендуется использовать Blast Extreme или PCoIP. В документации Omnissa подчёркивается, что RDP следует применять только в тех случаях, когда это необходимо для совместимости с существующей инфраструктурой.

Масштабирование и отказоустойчивость инфраструктуры Horizon

Архитектура VMware Horizon является модульной и масштабируемой. Базовой единицей масштабирования является сайт (Horizon Pod), который включает все компоненты, необходимые для предоставления сервиса виртуальных рабочих столов и приложений группе пользователей. Ключевые компоненты сайта:

• Серверы соединений (Connection Servers) — объединены в кластер для отказоустойчивости и балансировки нагрузки.
• Вычислительный кластер vSphere — группа серверов, ресурсы которых (CPU, RAM) используются для запуска виртуальных машин с рабочими столами и RDS-хостов.
• Централизованное хранилище — для хранения образов виртуальных машин, шаблонов и пользовательских данных.
• Unified Access Gateway (UAG) — для безопасного доступа из внешних сетей.

Для географического распределения несколько сайтов (Pods) могут быть объединены в единую инфраструктуру с помощью Cloud Pod Architecture (CPA), что позволяет пользователям подключаться к рабочим столам в разных дата-центрах. Это обеспечивает высокую доступность и возможность балансировки нагрузки между сайтами.

При проектировании инфраструктуры важно учитывать требования к производительности и количеству пользователей. Для небольших организаций может быть достаточно одного Connection Server и нескольких хостов vSphere. Для крупных предприятий с тысячами пользователей требуется кластеризация серверов соединений, использование нескольких UAG и распределение нагрузки между несколькими сайтами.

Вопросы и ответы