灵活且具韧性的VDI部署

简介

虚拟桌面基础架构（VDI）可为企业IT带来诸多优势，包括简化软件许可证管理和桌面部署。对于小型组织，VDI可帮助其通过一个项目让整个公司实现移动办公；对于大型组织，则可在规划更大规模部署的同时，满足要求较高的用户群体的移动办公需求。VDI可减少企业维护设备所需的时间，并通过采购配置较低的客户端设备来节省更多成本。如果能够充分保障连接安全，向防火墙外的用户提供客户端，既可将数据保留在内部，又能让员工在外部办公。借助VDI，可以集中管理和跟踪各用户所运行的软件，因此软件许可证管理在审计时尤为有利。

随着VDI不断发展，IT组织在构建VDI部署所依托的架构时，必须考虑诸多因素。VDI本身不仅面临发展过程中的挑战，承载VDI客户端的目标设备也在快速变化。

VDI的采用速度与IT部门对最终交付给用户的性能、可用性和安全性水平的信心密切相关。因此，IT部门必须从战略层面推进VDI实施，并优先考虑这三项特性。借助适当的工具，IT组织可以构建能够适应企业需求变化的虚拟桌面基础设施。

VDI的优势与劣势

部署VDI具有诸多优势，包括集中管理；无需繁琐人工流程即可远程管理和修复桌面；缩短桌面设备发生故障时的恢复时间；简化软件升级和许可证管理；以及为新老员工配置计算机。这些都能为企业带来显著价值。

不过，部署VDI也会带来一些问题。与胖客户端解决方案相比，VDI给企业网络带来的负担要大得多，因为屏幕上的所有内容以及每次键盘输入或鼠标点击都必须传输到托管虚拟桌面映像的远程服务器。管理网络资源、优化通信，以及增加数据中心内用于托管VDI实例的服务器，意味着大量桌面管理负担会从技术支持团队转移到网络和服务器团队。这一负担不容忽视。

供应商锁定也是一个问题。VDI是一项仍在发展的技术，目前主流虚拟化供应商之间的互操作性尚处于起步阶段。组织从特定VDI供应商处购买基础设施后，供应商锁定程度会随之加深，因为这些基础设施经过专门调优，只能与该供应商的产品配合使用。

不过，通过单一镜像支持多种设备仍然颇具吸引力。无论客户偏好平板电脑、笔记本电脑还是台式机，都能满足其需求，而无需考虑应用程序在哪里运行，也不必操心如何将新应用程序部署到上述所有设备上。因此，VDI对IT组织而言是一个极具吸引力的选择。

另一个颇具吸引力的优势是，只需创建新的虚拟桌面实例并设置用户名和密码，即可轻松为新员工配置一台由公司提供、符合IT策略的个性化“计算机”。员工仍然需要硬件，但无需对其进行特殊配置，因为构成用户专属环境的软件将部署在服务器机房，而不是用户端或客户端设备上。

但从网络角度来看，VDI并不算新技术。企业不应将VDI视为又一个需要由一组专用网络设备适配的应用，而应采用经过实践验证的基础设施解决方案或平台，以便随时随地支持任何应用。F5 Application Delivery Controllers (ADC)可提升集中托管、但在高度分布式环境中交付的应用的性能和可用性。ADC可持续发挥战略作用，推动VDI的广泛部署。

与企业应用交互时，用户通常期望获得理想体验：在托管应用交付到各种尺寸的端点设备时，VDI在后台安静、无感地运行，为用户提供流畅体验。为保持这种体验，如今的VDI解决方案可以采用曾用于提升物理桌面应用交付性能的相同技术。

同样为VDI提供安全性、高可用性和网络性能优化的优质ADC，也可应用于各种联网应用，包括数据库、Exchange Server和服务器虚拟化等。

桌面虚拟化离不开服务器和网络

桌面虚拟化带来的各种潜在优势，可能会因服务器和网络利用率受到不利影响而减弱。对大量桌面进行虚拟化时，由于客户端与数据中心内的虚拟桌面之间需要传输数据，企业网络流量将显著增加。如果客户端有时必须通过WAN连接，或在外出时登录，这一问题会迅速加剧，因为WAN和互联网连接的性能明显不如LAN。

虚拟化大量桌面所需的服务器数量也是一个关键因素，因为服务器密度增加会增加服务器和网络管理员的工时。

最后，可移植性也是一个需要考虑的因素，因为很少有IT部门只使用一种虚拟化产品。例如，大多数IT部门使用VMware进行服务器虚拟化，同时使用另一种产品进行桌面虚拟化。即使某个IT部门目前的所有虚拟化项目都采用同一家供应商的产品，也可能因一次收购而转为异构环境，进而需要同样支持异构环境的加速和安全解决方案。

综合来看，在考虑部分或全面迁移到VDI时，必须解决由流量、服务器数量和可移植性水平这三个因素引发的一系列问题。基础设施能否可靠地支持多套虚拟化工具？与VDI提供商谈判时，是否应保留采用其他虚拟化方案的选择？如有需要，能否将VDI从一家供应商迁移到另一家？

为缓解VDI部署面临的一些紧迫问题，供应商已在其产品中集成了部分解决方案和工具集。例如：

• VDI供应商提供相关工具，帮助确定特定实施方案所需的带宽。
• VDI供应商提供应用交付工具，以优化部署环境的网络流量。
• VDI供应商以软件或硬件形式为客户提供压缩功能，帮助解决性能问题。

然而，供应商提供的应用交付和压缩工具会形成一整套严重的锁定机制，将企业束缚在特定的VDI实施方案中。更换VDI供应商从来都并非易事，如果还必须更换基础设施的关键部分，难度会更大。事实上，这可能会让组织无法做出最有利于长期发展的选择。此外，VDI供应商更注重应用交付，而不是提升网络性能。在大多数情况下，最终结果是VDI系统增加了更多功能，却没有进行相应优化来维持高性能。

事半功倍

F5 ADC（尤其是BIG-IP系统）专注于提升应用通过网络运行时的性能。BIG-IP Local Traffic Manager (LTM)运行在F5的TMOS操作系统上，可提升所有联网应用的性能。VDI部署使用的网络通信多于大多数联网应用，因此BIG-IP LTM对其性能的提升作用更为显著。BIG-IP LTM还可从VDI服务器卸载加密处理，减轻工作负载，从而释放更多处理能力，使单台服务器能够托管更多虚拟桌面。结合BIG-IP附加模块在安全、WAN优化和Web加速方面的高级功能，可显著减少对额外基础设施的需求。在某些情况下，F5产品可减少100多个额外基础设施组件的需求；在此场景中，这些组件是用于支持VDI应用的服务器。

BIG-IP系统的一项关键差异化优势是，可以减少组织为支持VDI应用所需的服务器数量。无需更改基础设施，因为BIG-IP系统提供了定制设置，可优化各大VDI供应商的远程桌面协议。这意味着，组织选择的服务器虚拟化供应商可以与桌面虚拟化供应商完全不同，同时服务器虚拟化和桌面虚拟化都能受益于高度优化的基础设施。

随着VDI市场日趋成熟，市场自然会发生变化：新厂商将进入市场，现有厂商将不断发展，新的操作系统甚至可能在操作系统层面集成目前仅由VDI厂商提供的部分功能。F5 ADC不受特定厂商限制，并将继续通过能够感知整个网络和应用生态系统的设备，为Microsoft、VMware和Citrix等主流VDI厂商提供支持。即使市场不断变化和发展，F5也将继续支持优化主流VDI厂商内容交付所需的关键特性和功能。

在VDI部署中采用F5 ADC后，可为IT组织带来诸多额外优势，包括可扩展性、安全性和可用性。

可扩展性

正如服务器虚拟化不可避免地导致虚拟化资源泛滥，桌面虚拟化也可能如此。员工离职时，不再需要理所当然地清除其计算机中的数据。虚拟桌面可以无限期保留，而且除非有充分理由将其删除，否则通常会一直保留。有些员工需要多个虚拟桌面，而这不会产生硬件费用，因此IT部门将面临很大压力，需要满足此类需求。最后，并购在现代商业环境中十分常见。IT部门如果能为横向扩展和整合被收购企业预留充足空间，就能为公司带来优势。

VDI具有可扩展性，但要成功扩展，必须克服从网络饱和到系统管理等一系列重大问题，同时还需评估投资回报率。扩展时，价格会下降，还是成本在整个项目生命周期内保持不变？成本是否足够低？

VDI部署所需的整体架构较为复杂，但F5 ADC可显著减少部分厂商所需的服务器数量，从而简化架构。服务器数量的减少可节省资本支出（CapEx），而网络优化可减少网络运维所需的工时，从而节省运营支出（OpEx）。

借助F5 ADC，可提高每台服务器的VM密度并优化网络通信。扩展不再是主要障碍；需要新增服务器或集群时，IT团队可通过BIG-IP系统轻松复制现有服务器上的重要ADC功能，并将其应用于新的VDI服务器，从而节省时间并尽可能减少错误。事实上，F5 ADC可将应用部署周期缩短至原来的1/10到1/100，并将配置错误减少95%。F5 ADC通过简化网络资源分配，并从应用视角审视网络，显著提高IT运维和部署效率。

在企业合并场景中，如果各公司使用不同的VDI供应商，F5可帮助IT团队创建用户池，将用户映射到适合的VDI解决方案，而不受用户网络接入位置或VDI服务器所在数据中心的影响。

这种灵活性让管理层在与现有供应商谈判时更具主动权。更换VDI供应商绝非易事，但如果现有架构不仅能优化当前基础设施，还能优化未来选用的基础设施，IT管理人员或采购人员就能更轻松地考虑改用新的VDI供应商。

安全

当组织部署包含外部客户端要素的VDI时，例如允许用户在家中或外出途中访问应用，安全机制就会暴露在公共互联网上。如果身份验证服务器成为DDoS攻击的目标，远程访问可能会受到严重影响。此外，这还会使VDI脱离常规安全策略和协议的管控范围，导致桌面映像和物理桌面不一定受到相应管控。

将大部分网络和应用安全功能迁移到ADC后，可以集中管理所有虚拟和物理系统的安全策略。F5产品可帮助组织卸载通过公共互联网传输的连接加密，从而提高VM密度。

BIG-IP LTM是抵御DDoS攻击的可靠平台；在2010年Anonymous发起的攻击中，它保护了一些遭受猛烈攻击的网站。

但最重要的是，VDI应纳入组织的集中访问和安全策略。F5 ADC通过集中处理安全问题来帮助实现这一目标。F5 ADC利用数据中心的AAA基础设施，支持从双因素身份验证到智能卡等一次性密码设备，从而增强VDI部署的安全性。BIG-IP Access Policy Manager（APM）可将安全控制细化到“此客户端设备上的此用户是否有权访问该资源”这一层级。这让IT部门能够以前所未有的灵活性满足用户需求和期望，同时抵御攻击者。

可用性

与传统桌面相比，大多数VDI解决方案都能更有效地从特定计算机故障中恢复。这是因为可以停用虚拟机（必要时可将其删除并替换为副本），然后重新启动。与派技术人员现场排查故障，或花费一小时通过电话尝试远程诊断相比，这种方式要快得多。

即使组织制定了灾难恢复（DR）计划，仅具备局部灾难恢复能力仍然不够。在VDI环境中，应对整个机架甚至整个数据中心断电的能力比在传统环境中更为重要。

在发生中断时，能够将用户从数据中心X无缝迁移到数据中心Y，或从服务器X快速迁移到服务器Y，对于保持工作效率至关重要。大多数VDI解决方案在这方面的能力都较为有限。

而F5 ADC几乎可以无缝地将用户即时从一台服务器切换到另一台服务器，或从一个数据中心切换到另一个数据中心。将BIG-IP LTM与BIG-IP Global Traffic Manager（GTM）结合使用时，无论是在数据中心之间还是跨越全球进行迁移，用户都只会感受到短暂的中断。对于VMware客户，F5与VMware通过合作提供了一套工具，可加速跨数据中心的实时迁移并保障其安全，使管理员能够在虚拟机仍在使用时进行迁移。

VDI即资源整合

从底层来看，VDI是一种应用层协议（或多种应用层协议），用于在用户与远程位置的桌面之间传输I/O。桌面处理集中化后，网络协议将承担I/O通信负载。F5在优化网络协议、提升其可靠性和效率方面拥有多年经验。由于所有VDI流量都会增加网络负载，应用仍需像以前一样发起所有网络调用，同时还要将结果传输到客户端，因此效率至关重要。

无论组织选择哪家VDI供应商，F5都能为虚拟桌面基础设施带来以下独特优势：

• 为各主流VDI解决方案提供定制应用模板，其中包含经过相应厂商测试的特定配置，并已预先配置，可帮助快速启动并运行VDI部署。
• 通过SSL卸载提高VDI部署的虚拟机密度。
• 异构支持，使组织能够使用同一套硬件支持不同供应商的桌面和服务器虚拟化方案。
• 支持其他应用，因为部署F5 Application Delivery Controller后，它可以优化网络上运行的任何应用，为其提供负载均衡并保障其安全。F5为从Exchange到Oracle DBMS的所有主流企业软件产品提供专用iApps，可从应用角度实现快速配置，因此BIG-IP系统的应用范围远不止VDI。
• 保护外部身份验证门户，避免VDI身份验证成为攻击途径
• F5 DevCentral（devcentral.f5.com）汇聚了超过80,000名同行用户。DevCentral提供工具、技术和协作支持，帮助F5用户社区创建解决方案并在此基础上持续完善
• 支持SSL VPN，基础产品中包含500个用户许可证，并内置对iPad、iPhone和Android设备的支持

结论

部署VDI有助于减少桌面基础设施占用、集中管理应用程序并解决许可问题，值得投入。但VDI是一个复杂的系统，与服务器虚拟化有许多共同特性。VDI会增加网络负担，而将用户定向到适当的服务器或数据中心，需要完成常规工作负载之外的配置。F5提供异构架构，可满足组织的各种虚拟化需求，同时帮助实现安全、快速且高可用的VDI部署。借助可简化部署和网络维护的工具、丰富的安全功能以及F5屡获认可的ADC功能，VDI部署可以更轻松、更灵活。

此外，F5提供不受特定厂商限制的基础设施，而非由某一家VDI厂商销售的基础设施，使IT组织能够更好地应对未来变化，包括企业合并、更换VDI厂商，或支持不同的VDI和服务器虚拟化厂商。

发布于2012年1月22日