vmware felhasználói közösség

Posts Tagged ‘view’

Amennyiben a lenti bosszantó hibaüzenettel találkoznánk, amikor egy másik gépen szeretnénk ugyanarra a View adatközponti (PCoIP vagy RDP) session-re visszajelentkezni..

(erre egy szélsőséges példa: indulunk haza az irodából és pont kikapcsoltuk a vékony (zéró) kliensünket, szeretnénk hazafelé útközben tovább nyomkodni az iPad-en futtatható VMware View klienssel, majd hazatérve az otthoni régi gépen  tovább dolgozni családunk nagy örömére – mindezt ugyanazon az adatközponti/irodai gépen). 

“All available desktop sources for this desktop are currently busy.”

..akkor ellenőrizzük le, hogy az adott “Desktop Pool” esetén az “Allow multiple sessions per user” lehetőség nem véletlen “Yes”-re lett beállítva. A hiba jellemzően akkor jelentkezik, amikor egy “User assignment: Floating” jellegű “Manual pool” esetén próbálunk kapcsolódni. Ilyenkor a helyes beállítás itt “No”.

Itt van szó erről:

http://pubs.vmware.com/view46/view_admin_help/wwhelp/wwhimpl/js/html/wwhelp.htm#href=GUID-0359DB4C-4517-4535-8EBC-BD4F27C764F3.html

Más: a PCoIP gateway és a PCoIP kapcsolat sikertelensége esetén a leggyakoribb hiba, hogy nincs nyitva a TCP/UDP 4172 vagy a Connection Server-nek több hálózati kártyája van és rossz interfészen (IP hálózaton) figyel a PCoIP szerver. Ez egy registry beállítással szabályozható.

A héten megjelent a VMware View 4.6-os változata, melynek a legnagyobb újdonsága, hogy működik a PCoIP bárhonnan, ahol internet kapcsolat van (és két port nyitva). Ehhez, a View 4.6-os kliensnek kell telepítve lennie, valamint a 443/TCP (HTTPS/SSL) illetve 4172/TCP és 4172/UDP portoknak kell nyitva lenni az internet (View kapcsolódási szerver, PCoIP gateway) felé. Az RDP kapcsolat (ahogy korábban is), továbbra is használható csupán a 443/TCP (HTTPS/SSL) csatornán  keresztül (tcp-tunnel).

A képernyő átviteli feladatok során az RDP által használt TCP protokol nem a legoptimálisabb. Az UDP alapú PCoIP nemcsak hogy jobb felhasználói élményt nyúlt interneten kersztül (WAN), de a hálózati várakozásokat (latency) is jobban tolerálja.

Nem utolsó sorban az úgynevezett zéró kliensek (pl: Wyse P20 vagy Samsung NC190/NC240) most már “sima” internet vezetékre kötve is működnek (a legutóbbi Teradici Firmware – tera1x00_rel3_3_0_v321 esetén), nem kell site2site VPN-t varázsolni a hálózatra, hogy a PCoIP működjön (távoli elérésű irodákban nagy előny!). A notebook-kal bármikor egyszerűen be lehet lépni, nem kell (PPTP/roadwarrior) VPN-t indítani a Windows/Linux gépről.

Highlight of this release:
•    PCoIP Security Server (várva várt PCoIP gateway funkció – immár teljesen “WAN barát”)
•    USB device compatibility enhancements  (működik az Apple iPhone és iPad iTunes/USB esetén)
•    Enhance keyboard mapping (egy-két zavaró apróság javítása)
•    New and improved timeout settings for SSO users
•    Important bug fixes that continue to improve the performance and robustness of the product
•    Support for Win 7 SP1  (teljes támogatás)

További információk:
http://www.vmware.com/support/view46/doc/view-46-release-notes.html#whatsnew

Ma reggel a szokottnál többet csörgött a telefonom, ennek oka, hogy a két legújabb Microsoft  Windows 7 frissítés kiakasztotta a VMware View klienst. Kapcsolódás helyett csak homokóra. A probléma csak azokat érinti, akik Windows 7-ről kapcsolódnak. XP vagy vékony/zéró kliensek esetén a hiba érthetően nem jelentkezik. A hiba ismert, a probléma részletesen itt van leírva:

Unable to connect from the View Client on Windows 7 to the View Connection Server after installing the patch in Microsoft Knowledge Base article 2482017 or 2467023

http://kb.vmware.com/selfservice/microsites/search.do?language=en_US&cmd=displayKC&externalId=1034262

A kliens letöltése (VMware-viewclient-4.5.0-353760.exe vagy VMware-viewclient-x86_64-4.5.0-353760.exe) és frissítése megoldja a problémát.

Végre eljött a nap, amire vártam! Kint a Wyse PocketCloud megoldása Android telefonokra is.

Az iPhone-os verzió óta ácsingóztam már erre… Úgy tűnik a sok,  könyörgő email megtette a hatását!

Ezzel a megoldással végre a metrón ülve is elérhető az adatközponti virtuális desktop-om:).

A VDI egyik óriási előnye, hogy lehetővé teszi a virtuális desktop-ok távoli elérését is, mindenféle bonyolult VPN kialakítás nélkül. Mindössze egy RSA Authentication Manager-re van szükség, valamint néhány SecurID token-re és a VDI-ban tárolt VM-eket bárhonnan a világból egy sima Internet böngésző segítségével el tudjuk érni.

Alapvető követelmények

• RSA Authentication Manager + SecurID token-ek
• VDM Security Server (továbbiakban VDMSS)
• REPLICA VDM

A VDM távoli elérés kialakítása nagyon egyszerű, azonban elsőre elég félrevezető lehet a manual ha csak ebből indulunk ki. Van néhány alapvető dolog, amivel tisztában kell lenni:

• A VDM Security Server-t egy internet DMZ hálózati szegmensben telepítsük
• A VDMSS-nek nincs GUI felületete
• A VDMSS nem jelenik meg a VDM Connection Server web-es felületén sehol
• Az RSA-t a belső hálózatba telepítsük és ne a DMZ-be
• Az RSA-s azonosítást a belső hálózatban lévő VDM szerveren kell definiálni, emiatt
• Ha azonos VDI-t szeretnénk elérhetővé tenni belső hálóról és az internetről is, valamint szeretnénk RSA-t használni a külsős elérés biztonságának növeléséhez, akkor legalább 2 VDM szerverre lesz szükség a belső hálón.

Tűzfal konfig követelmények

• internet-> DMZ VDMSS:80, 443
• DMZ VDMSS -> internal lan REPLICA VDM:4001, 8009
• DMZ VDMSS -> VDI-on futó VM-ek:3389

(igen, a VDMSS be kell, hogy lásson a 3389-en a belső hálón lévő virtuális gépek felé!)

Előkészületek

A telepítés előtt fontos eldönteni, hogy az RSA-s azonosítást megköveteljük-e a belső hálózatból is vagy itt hagyatkozhatunk egy sima AD-s azonosításra.  Az architektúra nem teszi lehetővé, hogy a VDM különbséget tegyen a beérkező kapcsolatok között ezért ha RSA kell és nem akarjuk a csak belső hálózaton dolgozó felhasználókat szivatni az RSA-s azonosítással, akkor telepítsük egy REPLICA VDM-et a belső hálóra. Ezt fogjuk használni majd az RSA-val.

A telepítés menete

1., Replica VDM a belső hálón

2., VDMSS a dmz-ben

3., RSA Authentication Manager

4., REPLICA VDM konfig

1 REPLICA VDM

A VDM replica szerver telepítése rettenetesen egyszerű, a telepítésnél csak meg kell adni a primer VDM címét.

2 VDM Security Server

A VDMSS-t  természeten egy DMZ-ben lévő gépre kell tenni és mehet meglévő szerverre ha a 80-443-as portokan nem használja vmilyen alkalmazás rajta. Fontos, hogy a telepítésnél már működjenek a fenti tűzfal szabályok! A telepítés során válasszuk a Security Server funkciót, majd adjuk meg a belső hálón lévő REPLICA VDM szerver IP-jét. (tapasztalataim alapján DNS feloldás nem kell).

A VDMSS-en ezután már csak egy konfigurációs lépés van

1. hozzuk létre a következő file-t: C:\Program Files\VMware\VMware VDM\Server\sslgateway\conf\locked.properties
2. ezzel a tartalommal

clientHost=x.y.z.a

clientPort=443

clientProtocol=https

A clienthost az az URL legyen, amin keresztül a VDMSS-et az internet felől elérjük.

3 RSA Authentication Manager

Az RSA-t legalább olyan bonyolult feltenni, mint a VDMSS-t. Fontos, hogy ez a komponens a belső hálón kapjon helyet, mivel a REPLICA VDM-mel fog beszélgetni. Telepítés után két feladat van:

• Host Agent létrehozása: itt adjuk meg a REPLICA VDM IP-jét, NET OS host és minden felhasználó számára aktív
• Exportáljuk ki a létrehozott Host Agent-et: sdconf.rec
• Hozzunk létre felhasználókat és társítsuk hozzájuk a token-eket

4 REPLICA VDM konfig

Utolsó feladat a REPLICA VDM beállítása. Ezt a VDM szerver ugye azért hoztuk létre, hogy ide továbbítsa a bejövő kéréseket a VDMSS, valamint, hogy beszélgessen az RSA-val a token-es azonosítás kapcsán. A REPLICA VDM konfigurációját a web-es interfészen keresztül végezzük el:

• a replicaVDM-nél állítsuk be, hogy használjon RSA két faktoros azonosítást
• töltsük fel az előzőekben kiexportált sdconf.rec állományt

Újraindítás nem szükséges…

Ezek ütán már tesztelhetjük is a külső kapcsolatot. A VDMSS szerver publikus címét egy browser-be beírva még warning-ot kapunk a tanúsítvány megbíhatatlansága miatt, de ezzel most nem kell foglalkozni. Browser mellet használhatjuk még a VDM kliens alkalmazást is a távoli elérésre. Ebben az esetben elegenő a megfelelő publikus IP-t megadni a szerverhez.

Mivel az elmúlt hetekben elég sokat foglalkoztam VDI-VDM teszteléssel és gondoltam összeírok egy gyors checklistát, hogy mi is kell ehhez. Hátha más is okul belőle.

Tehát VDI-in-a-box:

• Legalább egy ESX szerver
  • RAM-mal tömjük tele… 4gb-vel elég döcögös lesz
• Active Directory környezet
  • ha nincs, akkor egy mini directory-t érdemes csinálni a teszthez. Az AD nagy hangsúlyt kap a VDI kapcsán..
• VirtualCenter
  • futhat a teszt ESX-en is
  • nem szükséges, hogy tartományi tag legyen
• VDM Connection Server
  • futhat a teszt ESX-en is
  • tagja kell, hogy legyen az AD tartománynak

A telepítés sorrendje: ESX, VC, AD, VDM

Ha minden megvan, akkor még hátra van a konfiguráció.

• VDM: eval licenszet beadni
• VDM: megadni a VirtualCenter címét
• VirtualCenter: töltsünk fel vmi XP telepítő ISO-t a datastore-ba
• VirtualCenter: Telepítsünk egy sima XP-t, tegyük fel a VMware Tools-t. (ha használunk wyse kliens-t, akkor custom telepítőt válasszuk és pipáljuk be a wyse mmr-t)
• XP: telepítsük a szükséges hotfix-eket,
  • http://support.microsoft.com/kb/323497
  • http://support.microsoft.com/kb/884020
• XP: csatlakoztassuk a tartományhoz a gépet
• XP: telepítsük a VMware VDM Agent-et
• XP: tegyük bele a Remote Desktop users lokál csoportba az AD Domain Users csoportját (hogy később ne szívjunk emiatt..)
• XP: a lokál admin fióknak üres legyen a jelszava
• XP: vegyük a domain-ből a gépet
• VirtualCenter: klónozzuk az XP-t template-té
• VirtualCenter: hozzunk létre egy Guest OS customization bejegyzést Windows XP-hez. A gépnévnél válasszuk, hogy egyezzen meg a VM nevével, domain join szükséges!
• VDM: hozzunk létre egy desktop pool-t (Inventory pont alatt)
• VDM: válasszuk a non persisten poolt, adjuk meg a nevet, hány gép legyen a poolban, válasszuk ki az előzőekben létrehozott template-et és a Guest OS beállítást. FINISH után nézzük a VirtualCenter-t, ahogy létrejönnek a gépek

Hát tömören ennyi…

Innentől már nincs már teendő, mint egy IE-ből beborzolni a VDM címét és bejelentkezni egy AD user-rel.

Holnap az RSA azonosítás integrációjáról fogok beszámolni.