Déploiements VDI adaptables et résilients

Introduction

L’infrastructure de postes de travail virtuels (VDI) offre aux services informatiques des entreprises de nombreux avantages, allant d’une gestion simplifiée des licences logicielles à un déploiement facilité des postes de travail. Pour les petites structures, la VDI est l’outil idéal pour permettre à toute l’entreprise de travailler en mobilité dans le cadre d’un projet unique ; pour les grandes organisations, elle offre cette mobilité aux groupes d’utilisateurs les plus exigeants, en attendant un déploiement à plus grande échelle. La VDI permet aux entreprises de réduire le nombre d’heures consacrées à la maintenance des machines et de réaliser un maximum d’économies en achetant des postes clients d’entrée de gamme. Mettre des postes clients à la disposition d’utilisateurs situés en dehors du pare-feu est un bon moyen de conserver les données en interne tout en permettant de travailler à distance, à condition toutefois de sécuriser correctement ces connexions. La gestion des licences logicielles constitue également un atout majeur en cas d’audit, puisque la VDI permet d’administrer et de suivre de manière centralisée les logiciels utilisés par chaque personne.

Alors que la VDI poursuit son essor, les services informatiques doivent prendre en compte de nombreux facteurs lors de la conception de l’architecture destinée à accueillir les déploiements VDI. Non seulement la VDI connaît ses propres difficultés de croissance, mais les appareils cibles qui hébergent les clients VDI évoluent eux aussi rapidement.

Le rythme d’adoption de la VDI est étroitement lié à la confiance des équipes informatiques dans le niveau de performances, de disponibilité et de sécurité dont bénéficient les utilisateurs. Il est donc essentiel qu’elles abordent les déploiements de VDI de manière stratégique, en accordant une priorité absolue à ces trois caractéristiques. Avec les outils appropriés, les services informatiques peuvent développer une infrastructure de postes de travail virtuels capable de s’adapter à l’évolution des besoins de l’entreprise.

Avantages et inconvénients de la VDI

Le déploiement d’une infrastructure de postes de travail virtuels (VDI) présente de nombreux avantages. La gestion centralisée, l’administration et le dépannage à distance des postes de travail sans processus nécessitant beaucoup de main-d’œuvre, la réduction du temps de restauration en cas de panne d’un poste de travail, la simplification des mises à niveau logicielles et de la gestion des licences, ainsi que la mise à disposition de machines pour les nouveaux employés comme pour ceux déjà en poste constituent autant d’avantages intéressants pour les entreprises.

Cependant, les déploiements de VDI présentent également des difficultés. Ils sollicitent bien davantage le réseau de l’entreprise que les solutions à client lourd, tout simplement parce que tout ce qui s’affiche à l’écran, ainsi que chaque frappe au clavier ou clic de souris, doit être transmis au serveur distant qui héberge l’image du poste de travail virtuel. La gestion des ressources réseau, l’optimisation des communications et l’ajout de serveurs dans le centre de données pour héberger les instances de VDI impliquent qu’une grande partie de la charge liée à la gestion des postes de travail est transférée du support technique aux équipes chargées du réseau et des serveurs. Cette charge est loin d’être négligeable.

La dépendance vis-à-vis d’un fournisseur constitue également un problème. La VDI est une technologie en plein essor et, à ce jour, l’interopérabilité entre les principaux fournisseurs de solutions de virtualisation n’en est, au mieux, qu’à ses balbutiements. Lorsque les entreprises achètent une infrastructure auprès d’un fournisseur de VDI donné, leur niveau de dépendance augmente, tout simplement parce que cette infrastructure est spécifiquement optimisée pour fonctionner uniquement avec les produits de ce fournisseur.

Pourtant, la possibilité de prendre en charge de nombreux appareils à partir d’une image unique est séduisante. Pouvoir répondre aux besoins des clients, qu’ils préfèrent les tablettes, les ordinateurs portables ou les ordinateurs de bureau, sans avoir à se soucier de savoir quelles applications s’exécutent sur quels appareils ni comment déployer une nouvelle application sur l’ensemble de ces appareils, fait du VDI une option très intéressante pour les services informatiques.

Un autre avantage intéressant réside dans la facilité avec laquelle il est possible d’équiper un nouvel employé d’une « machine » personnalisée, fournie par l’entreprise et conforme aux politiques informatiques, en créant une nouvelle instance de bureau virtuel et en définissant un nom d’utilisateur et un mot de passe. L’employé aura toujours besoin de matériel, mais celui-ci ne devra pas être spécialement configuré, puisque les logiciels propres à chaque utilisateur seront déployés dans la salle des serveurs, et non sur l’équipement de l’utilisateur ou du client.

Mais du point de vue du réseau, la VDI n’est pas vraiment une nouveauté. Plutôt que de considérer la VDI comme une application supplémentaire nécessitant un ensemble d’équipements réseau spécialisés, les entreprises devraient se tourner vers une solution ou une plateforme d’infrastructure éprouvée, capable de prendre en charge n’importe quelle application, où qu’elle se trouve et à tout moment. Les contrôleurs de mise à disposition d’applications (ADC) de F5 améliorent à la fois les performances et la disponibilité des applications hébergées de manière centralisée, mais fournies dans un environnement fortement distribué. Les ADC peuvent jouer un rôle stratégique durable dans l’accélération du déploiement à grande échelle de la VDI.

Lorsqu’ils interagissent avec des applications d’entreprise, les utilisateurs s’attendent généralement au meilleur scénario possible : que la VDI fonctionne silencieusement et de manière invisible en arrière-plan, tandis que les applications hébergées sont mises à disposition sur des terminaux de toutes tailles, offrant ainsi une expérience utilisateur fluide. Pour préserver cette expérience, les solutions VDI actuelles peuvent s’appuyer sur les mêmes technologies que celles qui ont permis d’améliorer les performances de la mise à disposition des applications sur les postes de travail physiques.

Les mêmes contrôleurs de mise à disposition d’applications (ADC) de pointe qui assurent la sécurité, la haute disponibilité et l’optimisation des performances réseau pour la VDI peuvent être utilisés pour les applications en réseau, des bases de données à Exchange Server, en passant par la virtualisation des serveurs et bien plus encore.

La virtualisation des postes de travail repose sur les serveurs et le réseau

Tous les avantages potentiels de la virtualisation des postes de travail peuvent être amoindris par ses effets négatifs sur l’utilisation des serveurs et du réseau. Lorsqu’un grand nombre de postes de travail sont virtualisés, le trafic sur le réseau d’entreprise augmente considérablement en raison des transferts de données entre le client et le poste de travail virtualisé dans le centre de données. Si les clients doivent parfois passer par un réseau étendu (WAN) ou se connecter en déplacement, le problème s’accentue rapidement, car les performances des connexions WAN et Internet sont nettement moins intéressantes que celles du réseau local (LAN).

Le nombre de serveurs nécessaires pour virtualiser un nombre important de postes de travail constitue également un facteur critique, car l’augmentation de la densité des serveurs accroît la charge de travail des administrateurs de serveurs et de réseaux.

Enfin, la portabilité est un facteur à prendre en compte, car rares sont les services informatiques qui utilisent un seul et unique produit de virtualisation. Par exemple, la plupart utilisent VMware pour la virtualisation des serveurs et un autre produit pour celle des postes de travail. Même si un service informatique fait aujourd’hui appel à un seul fournisseur pour tous ses projets de virtualisation, une simple acquisition peut suffire à rendre son environnement hétérogène et à nécessiter une solution d’accélération et de sécurité elle aussi hétérogène.

Ensemble, ces trois facteurs — le volume de trafic, le nombre de serveurs et le niveau de portabilité — soulèvent une série de questions auxquelles il faut répondre lorsque l’on envisage une migration partielle ou complète vers une infrastructure de postes de travail virtuels (VDI). L’infrastructure peut-elle prendre en charge de manière fiable plusieurs ensembles d’outils de virtualisation ? Faut-il maintenir la concurrence entre les solutions de virtualisation lors des négociations avec un fournisseur de VDI ? Et, si nécessaire, peut-on migrer la VDI d’un fournisseur à un autre ?

Afin de résoudre certains des problèmes les plus urgents liés au déploiement de la VDI, les fournisseurs ont intégré à leurs produits des solutions partielles et des ensembles d’outils. Par exemple :

• Les fournisseurs de solutions VDI proposent des outils permettant de déterminer la bande passante nécessaire à une mise en œuvre donnée.
• Les fournisseurs de solutions VDI proposent des outils de mise à disposition d’applications afin d’optimiser le trafic réseau d’une installation.
• Les fournisseurs de solutions VDI proposent à leurs clients des fonctionnalités de compression, sous forme logicielle ou matérielle, afin de résoudre les problèmes de performances.

Cependant, les outils de mise à disposition d’applications et de compression proposés par les fournisseurs constituent de puissants mécanismes de verrouillage, qui rendent l’entreprise captive d’une implémentation VDI donnée. S’il n’est jamais facile de changer de fournisseur VDI, le faire tout en devant remplacer des composants essentiels de l’infrastructure est encore plus difficile. À tel point que cela peut empêcher une organisation de prendre les meilleures décisions à long terme. En outre, les fournisseurs VDI se concentrent davantage sur la mise à disposition des applications que sur les performances du réseau. Dans la plupart des cas, il en résulte l’ajout de fonctionnalités au système VDI sans optimisations correspondantes permettant de maintenir des performances élevées.

Faites-en plus avec moins

Les ADC F5 — et plus particulièrement le système BIG-IP — sont spécialisés dans l’optimisation des performances des applications sur un réseau. Fonctionnant sous le système d’exploitation TMOS de F5, BIG-IP Local Traffic Manager (LTM) améliore les performances de toutes les applications en réseau. Les installations VDI génèrent davantage de communications réseau que la plupart des applications en réseau ; BIG-IP LTM contribue donc encore plus à améliorer leurs performances. BIG-IP LTM décharge également les serveurs VDI des opérations de chiffrement, ce qui allège leur charge de travail et augmente ainsi la puissance de traitement disponible pour héberger des postes de travail virtuels sur un serveur donné. L’ajout des fonctionnalités avancées des modules complémentaires BIG-IP en matière de sécurité, d’optimisation WAN et d’accélération web peut réduire considérablement le besoin d’infrastructures supplémentaires. Dans certains cas, les produits F5 ont permis d’éviter l’ajout de plus de 100 composants d’infrastructure — en l’occurrence, des serveurs destinés aux applications prenant en charge la VDI.

L’un des principaux facteurs de différenciation du système BIG-IP est qu’il réduit le nombre de serveurs dont les entreprises ont besoin pour prendre en charge les applications VDI. Il n’est pas nécessaire de modifier l’infrastructure, car le système BIG-IP comprend des paramètres personnalisés permettant d’optimiser les protocoles de bureau à distance de chacun des principaux fournisseurs de solutions VDI. Ainsi, une entreprise peut choisir un fournisseur de virtualisation de serveurs totalement différent de son fournisseur de virtualisation de postes de travail, tout en faisant bénéficier ces deux types de virtualisation d’une infrastructure hautement optimisée.

Naturellement, le marché de la VDI évoluera à mesure qu’il gagnera en maturité : de nouveaux fournisseurs feront leur apparition, les fournisseurs existants évolueront et de nouveaux systèmes d’exploitation pourraient même intégrer (au niveau du système d’exploitation) certaines fonctionnalités actuellement proposées uniquement par les fournisseurs de solutions VDI. Les contrôleurs ADC de F5 sont indépendants des fournisseurs et continueront de prendre en charge les principaux fournisseurs de solutions VDI, tels que Microsoft, VMware et Citrix, grâce à des équipements capables d’appréhender l’ensemble de l’écosystème réseau et applicatif. Même si le marché évolue et se développe, F5 continuera de prendre en charge les fonctions et fonctionnalités les plus indispensables pour optimiser la diffusion de contenu des principaux fournisseurs de solutions VDI.

Une fois les contrôleurs ADC F5 intégrés à un déploiement VDI, ils peuvent apporter de nombreux avantages supplémentaires au service informatique, notamment en matière d’évolutivité, de sécurité et de disponibilité.

Évolutivité

Tout comme la virtualisation des serveurs a inévitablement entraîné une prolifération des environnements virtuels, la virtualisation des postes de travail peut avoir le même effet. Lorsqu’un salarié quitte l’entreprise, il n’est plus systématiquement considéré que son ordinateur doit être effacé. Le poste de travail virtuel peut être conservé indéfiniment et le sera généralement, sauf s’il existe une raison impérieuse de le supprimer. Certains salariés auront besoin de plusieurs postes de travail virtuels et, puisque cela n’entraîne aucune dépense matérielle, le service informatique subira une forte pression pour les leur fournir. Enfin, les fusions et acquisitions sont monnaie courante dans l’environnement économique moderne ; les services informatiques capables de prévoir une importante marge d’évolutivité afin d’absorber les acquisitions confèrent un avantage à leur entreprise.

La VDI est évolutive, mais sa montée en charge nécessite de surmonter des difficultés majeures, allant de la saturation du réseau à la gestion des systèmes, et d’examiner le retour sur investissement. Lors du passage à l’échelle, les prix diminuent-ils ou les coûts restent-ils constants tout au long du cycle de vie du projet ? Et sont-ils suffisamment faibles ?

L’architecture globale requise pour un déploiement VDI est complexe, mais les contrôleurs ADC de F5 la simplifient en réduisant considérablement le nombre de serveurs nécessaires pour certains fournisseurs. Cette réduction permet de diminuer les dépenses d’investissement (CapEx), tandis que les optimisations du réseau, qui réduisent le nombre d’heures de travail nécessaires à son exploitation, permettent de diminuer les dépenses d’exploitation (OpEx).

Avec un ADC F5, la densité de machines virtuelles par serveur augmente et les communications réseau sont optimisées. La mise à l’échelle devient beaucoup moins problématique et, lorsque de nouveaux serveurs ou clusters sont nécessaires, le système BIG-IP permet au service informatique de copier simplement les fonctionnalités ADC essentielles des serveurs existants et de les appliquer aux nouveaux serveurs VDI, ce qui permet de gagner du temps et de réduire les erreurs. En effet, les ADC F5 accélèrent les cycles de déploiement des applications d’un facteur de 10 à 100 et réduisent les erreurs de configuration de 95 %. En simplifiant l’allocation des ressources réseau et en considérant le réseau du point de vue de l’application, les ADC F5 rendent les opérations informatiques et le déploiement bien plus efficaces.

Et dans le cadre d’une fusion, lorsque chaque entreprise fait appel à un fournisseur de VDI différent, F5 permet au service informatique de créer des groupes d’utilisateurs afin d’orienter chacun vers la solution VDI qui lui convient, quel que soit son point d’accès au réseau ou le centre de données dans lequel se trouvent ses serveurs VDI.

C’est ce type de flexibilité qui donne à la direction un meilleur pouvoir de négociation face aux fournisseurs existants. Bien qu’il ne soit jamais simple de changer de fournisseur de VDI, la mise en place d’une architecture capable d’optimiser non seulement l’infrastructure actuelle, mais aussi toute solution choisie à l’avenir, permet à la direction informatique ou aux responsables des achats d’envisager plus facilement de passer à un nouveau fournisseur de VDI.

Sécurité

Lorsqu’une organisation déploie une infrastructure VDI comportant un composant client externe, permettant par exemple d’accéder aux applications depuis son domicile ou en déplacement, le mécanisme de sécurité est exposé sur l’Internet public. Cela peut avoir de graves conséquences sur l’accès à distance si le serveur d’authentification est la cible d’une attaque DDoS. La VDI se retrouve également en dehors du cadre habituel des politiques et protocoles de sécurité. Il en résulte une situation dans laquelle les images de postes de travail et les postes physiques ne sont pas nécessairement soumis à des contrôles.

Le transfert d’une grande partie de la sécurité du réseau et des applications vers un contrôleur de mise à disposition d’applications (ADC) permet de centraliser la politique de sécurité pour l’ensemble des systèmes, qu’ils soient virtuels ou physiques. La possibilité pour les entreprises de décharger le chiffrement des connexions transitant par l’Internet public est l’un des nombreux moyens par lesquels les produits F5 augmentent la densité des machines virtuelles.

BIG-IP LTM est une plateforme robuste pour contrer les attaques DDoS ; elle a protégé certains des sites les plus violemment pris pour cible lors des attaques d’Anonymous en 2010.

Mais avant tout, la VDI doit faire partie intégrante des politiques centrales d’accès et de sécurité de l’organisation. Les ADC F5 contribuent à cet objectif en assurant une gestion centralisée des questions de sécurité. De l’authentification à deux facteurs aux dispositifs à mot de passe à usage unique, tels que les cartes à puce, les ADC F5 renforcent la sécurité d’un déploiement VDI tout en s’appuyant sur l’infrastructure AAA du centre de données. BIG-IP Access Policy Manager (APM) permet d’affiner la sécurité jusqu’à déterminer si « cet utilisateur, sur cet appareil client, a accès à cette ressource ». Le service informatique bénéficie ainsi d’une souplesse sans précédent pour répondre aux besoins et aux attentes des utilisateurs tout en tenant les attaquants à distance.

Disponibilité

La plupart des solutions VDI offrent une bien meilleure capacité de reprise après un incident propre à une machine que les postes de travail traditionnels. En effet, la machine virtuelle peut être arrêtée (ou, si nécessaire, supprimée et remplacée par une copie), puis redémarrée. Cette opération est bien plus rapide que d’envoyer un technicien pour résoudre le problème ou de passer une heure au téléphone à tenter d’établir un diagnostic à distance.

Même si une organisation dispose d’un plan de reprise après sinistre (PRA), une reprise localisée ne suffit pas. Dans un environnement VDI, il est plus important que dans un environnement traditionnel de pouvoir faire face à l’arrêt complet d’une baie, voire d’un centre de données entier.

La capacité à transférer les utilisateurs de manière transparente du centre de données X au centre de données Y, ou rapidement du serveur X au serveur Y, est essentielle pour maintenir la productivité pendant les interruptions de service. La plupart des solutions VDI n’offrent que des possibilités limitées dans ce domaine.

Les ADC F5 peuvent toutefois basculer instantanément les utilisateurs d’un serveur à un autre ou d’un centre de données à un autre, de manière presque transparente. Lorsque BIG-IP LTM est associé à BIG-IP Global Traffic Manager (GTM), les utilisateurs ne remarquent qu’une très brève interruption lors de leur transfert, que ce soit au sein du centre de données ou à l’autre bout du monde. Pour les clients VMware, F5 et VMware ont développé, dans le cadre de leur partenariat, un ensemble d’outils permettant d’accélérer et de sécuriser les migrations à chaud entre centres de données, afin que les administrateurs puissent déplacer les machines virtuelles pendant leur utilisation.

La VDI permet de consolider les ressources

À la base, la VDI est un protocole de couche applicative (ou un ensemble de protocoles de couche applicative) qui transmet les entrées/sorties entre les utilisateurs et des postes de travail distants. Lorsque le traitement des postes de travail est centralisé, les protocoles réseau prennent en charge la communication des entrées/sorties. F5 possède des années d’expérience dans l’optimisation des protocoles réseau afin de les rendre fiables et efficaces. Et comme l’ensemble du trafic VDI vient alourdir la charge du réseau — les applications doivent toujours effectuer tous les appels réseau qu’elles effectuaient auparavant, mais les résultats doivent également être transmis au client — l’efficacité est primordiale.

Quel que soit le fournisseur de VDI choisi par une organisation, F5 apporte à l’infrastructure de postes de travail virtuels les atouts uniques suivants :

• Des modèles d’application personnalisés pour chaque grande solution VDI, avec des configurations spécifiques testées auprès de chaque fournisseur et préconfigurées pour permettre un déploiement rapide des environnements VDI.
• Déchargement SSL pour augmenter la densité de machines virtuelles dans les déploiements VDI.
• Prise en charge d’environnements hétérogènes afin que les entreprises puissent utiliser des solutions de différents fournisseurs pour leurs projets de virtualisation des postes de travail et des serveurs, avec un même ensemble de matériel.
• Prise en charge d’autres applications : une fois déployé, un contrôleur de mise à disposition d’applications F5 peut optimiser, répartir la charge et sécuriser toute application exécutée sur le réseau. Grâce aux iApps F5 dédiées à tous les principaux logiciels d’entreprise, d’Exchange à Oracle DBMS, qui permettent une configuration rapide du point de vue des applications, la portée du système BIG-IP va bien au-delà de la VDI.
• Protection du portail d’authentification externe, afin que l’authentification VDI ne devienne pas un vecteur d’attaque
• La communauté de plus de 80 000 utilisateurs de DevCentral de F5 (devcentral.f5.com). DevCentral propose des outils, des techniques et un espace de collaboration pour aider la communauté des utilisateurs de F5 à créer des solutions et à les enrichir.
• Prise en charge du VPN SSL, avec 500 licences utilisateur incluses dans le produit de base et une compatibilité intégrée avec les appareils iPad, iPhone et Android

Conclusion

Le déploiement d’une infrastructure VDI est une initiative judicieuse pour réduire l’empreinte des postes de travail, centraliser l’administration des applications et répondre aux problématiques de licences. Il s’agit toutefois d’un système complexe qui présente de nombreuses similitudes avec la virtualisation des serveurs. La VDI accroît la charge du réseau, et l’orientation des utilisateurs vers le serveur ou le centre de données approprié nécessite des efforts de configuration qui dépassent ceux des charges de travail habituelles. F5 propose une architecture hétérogène capable de répondre à l’ensemble des besoins de virtualisation d’une organisation, tout en contribuant à rendre le déploiement VDI sécurisé, rapide et disponible. Grâce à des outils qui simplifient le déploiement et la maintenance du réseau, à de nombreuses fonctionnalités de sécurité et aux fonctionnalités ADC primées de F5, un déploiement VDI peut être plus simple et plus adaptable.

Et grâce à une infrastructure indépendante des fournisseurs, plutôt qu’à une solution commercialisée par un fournisseur VDI spécifique, F5 permet aux services informatiques de se préparer au mieux pour l’avenir, qu’il s’agisse de fusions, d’un changement de fournisseur VDI ou de la prise en charge de différents fournisseurs de solutions VDI et de virtualisation de serveurs.

PUBLIÉ LE 22 JANVIER 2012