VDI для бухгалтерии: разворачиваем Citrix XenDesktop 7, пилот на 40 рабочих мест

Апрель - хорошее время, чтобы подвести первые итоги зимнего пилота. Три месяца назад мы начали разворачивать VDI для бухгалтерии одного из клиентов на сопровождении. Сорок рабочих мест, два офиса, один из которых подключён по каналу, который скромно называют «корпоративным» и который в час пик ведёт себя как что-то другое. Вот что получилось.

Почему вообще VDI

Запрос пришёл не от IT-службы клиента, а от финансового директора. Бухгалтерия работает с 1С, «КонсультантПлюс» и несколькими самодельными Excel-таблицами, которые жили на общем сетевом диске и время от времени открывались с конфликтами. Половина сотрудников сидит в головном офисе, половина - в филиале через сто километров. Удалённые сессии по RDP работали нестабильно. Главная боль - профили Windows: пользователи переходили с машины на машину, роуминг-профили набухали до неприличных размеров, грузились по десять минут, периодически «разъезжались».

Мы рассматривали несколько вариантов: Terminal Services / RDS на Windows Server 2012, VMware Horizon View и Citrix XenDesktop. В итоге остановились на XenDesktop 5.6 для пилота - у клиента уже были Citrix-лицензии из другого проекта, что упростило начало.

Профили: почему UPM, а не роуминг Windows

Первое, что мы убрали - роуминг-профили Windows. Это было принципиальным решением ещё до начала пилота.

Роуминг-профиль в Windows устроен по принципу «скачай всё при входе, загрузи всё при выходе». Для нормального офисного профиля это уже неприятно, а бухгалтерские профили умудрялись вырасти до нескольких гигабайт: Outlook кешировал почту прямо в профиль, «КонсультантПлюс» откладывал туда временные файлы, кто-то сохранял документы прямо на рабочий стол. По медленному каналу вход занимал по пятнадцать-двадцать минут. Люди приходили утром, включали компьютер и шли пить кофе - не от хорошей жизни.

Citrix UPM (User Profile Management) работает иначе: при входе грузятся только базовые параметры, остальное подтягивается по мере обращения к папкам. При выходе синхронизируется только то, что изменилось - по инкрементальному принципу. Размер профиля в UPM можно ограничить политикой, и туда не попадает кеш браузера, временные файлы и прочий мусор, который роуминг-профиль тащил за собой везде.

На практике - вход в сессию для большинства пользователей занял от тридцати секунд до двух минут. Для людей, которые привыкли ждать четверть часа, это воспринималось как что-то неприличное в хорошем смысле.

Несколько настроек UPM, которые реально повлияли на результат:

• Список исключений - это не опция, это обязательная работа. По умолчанию UPM синхронизирует слишком много. Прописали в исключения папки с кешем 1С, временные файлы «КонсультантПлюса», Outlook cache при настроенном кешированном режиме. Без этого прирост скорости был бы меньше.
• Папки для перенаправления - Documents, Desktop, AppData\Roaming - вынесли на отдельный файловый сервер через Folder Redirection. UPM управляет профильными параметрами, а реальные данные пользователей хранятся централизованно вне профиля.
• Профильный контейнер настроили с лимитом 200 МБ. Когда несколько человек превысили лимит из-за накопленного мусора в %AppData%, получили предупреждение - почистили и объяснили.

HDX-политики: когда канал не резиновый

Второй клубок проблем - филиал. Сотрудники там работают через канал, у которого в рабочее время полоса ощутимо падает. Ничего экзотического: просто много пользователей на недостаточном канале.

XenDesktop управляет трафиком через политики HDX. По умолчанию настройки оптимизированы под что-то среднее, а «среднее» для медленного канала - это либо слайд-шоу на экране, либо постоянные разрывы.

Что изменили в Citrix Studio для пользователей филиала:

• Visual quality выставили в «Build to lossless» вместо «Always lossless» - это позволяет передавать промежуточные кадры с потерями, пока пользователь активно работает, и восстанавливать качество в момент паузы. Для текстовых приложений разницу никто не замечает.
• Target frame rate снизили с тридцати до пятнадцати кадров в секунду. Для работы с 1С и Excel хватает с избытком.
• Adaptive transport включили - HDX умеет переключаться между EDT (DTLS поверх UDP) и TCP в зависимости от состояния канала. На нестабильном соединении это заметно.
• Аудио и видео для бухгалтерии отключили полностью. Это не наказание - просто у них нет задач, где это нужно. Зато экономия на трафике реальная.
• Принтеры - отдельная история. Citrix Universal Print Driver отображал локальные принтеры в сессии, но PDF-принтер периодически пропадал при переподключении. Лечится политикой «Retain printer properties retained by the client» - но нашли это не сразу.

Что пошло не по плану

Виртуальные машины пула подготовили по MCS (Machine Creation Services) - это Citrix-инструмент для создания пулов из мастер-образа. Быстро, удобно. Обнаружили нюанс уже в ходе пилота: при пересоздании машин из обновлённого мастер-образа на Storage Spaces-хранилище, которое мы описывали раньше, операция занимала заметно дольше ожидаемого. Оказалось, что thin-provisioned диски при MCS-обновлении сначала выделяются полностью, а потом лишнее не освобождается немедленно. Для тридцати-сорока машин это создавало ненадолго пиковую нагрузку на хранилище.

Решение нашли рабочее: обновление мастер-образа делаем в нерабочее время, машины пересоздаём партиями по десять штук.

Второй сюрприз - антивирус. Kaspersky Endpoint Security на каждой виртуальной машине пула давал «антивирусные штормы»: при входе первых пользователей утром несколько десятков машин одновременно начинали плановую проверку, и хранилище переставало справляться. Стандартное решение - Kaspersky Security for Virtualization с агентом на гипервизоре вместо отдельного продукта на каждой VM - в наших планах на следующий этап.

Итог на конец апреля

Пилот работает. Пользователи в головном офисе не жалуются - это уже результат, учитывая что «не жалуются» в контексте бухгалтерии означает «работает нормально». Филиал доволен больше, чем был с предыдущей схемой: сессии не обрываются, вход быстрее.

Открытые вопросы остаются. Антивирусную схему не перестроили - это следующий шаг. Несколько пользователей с нестандартными нуждами (большие Excel, много открытых окон) периодически замечают подтормаживания - там, возможно, нужно поднять ресурсы VM или пересмотреть политику HDX для их группы. Картина ещё не финальная, но направление понятное.