Западные VDI-платформы уходят с рынка, а рабочие места остаются: инженерам нужен доступ к CAD-системам, офису — к документам и почте, службе безопасности — к журналам подключений. Termidesk закрывает эту задачу на российском стеке и входит в экосистему «Группы Астра». Платформа развивается с 2018 года, а в рейтинге CNewsMarket занимает второе место с оценкой 430 баллов.
Продукт предлагают как замену Citrix, VMware и Microsoft RDS — там, где импортозамещение перестало быть теоретическим вопросом. Под одним именем живут два сценария с разной экономикой, и путать их дорого.
Что это меняет на практике?
Terminal и VDI: как выбрать сценарий под характер работы
Терминальный доступ собирает нескольких пользователей на одном сервере, и каждый видит только свои приложения и данные, хотя железо общее. Для сотрудников с однотипными задачами — документы, почта, базы данных — этого достаточно: индивидуальная настройка среды не нужна, а нагрузка на инфраструктуру распределяется эффективнее.
VDI работает иначе. Каждому сотруднику выделяется отдельная виртуальная машина с собственной операционной системой — полноценный виртуальный компьютер на сервере, доступ к которому идёт через тонкий клиент или обычный браузер. Такой вариант выбирают, когда нужны вычислительные ресурсы, разные рабочие среды или право устанавливать собственное ПО и сохранять настройки.
Число сотрудников здесь ни при чём: решает характер работы. Если большинству хватает набора стандартных приложений, терминальный доступ обойдётся дешевле в расчёте на пользователя. Если часть команды работает с CAD-системами или графикой, без VDI не обойтись, иначе производительность упрётся в общий сервер.
Как устроена защита: mTLS, MFA и одноразовые сессии
Безопасность в Termidesk — часть архитектуры, а не надстройка. В версии 7.0 появилась двусторонняя аутентификация mTLS между компонентами системы: сервером, гипервизором, шлюзом и внешними системами. Каждый участник соединения подтверждает подлинность на этапе установки TLS, поэтому атака «человек посередине» не проходит: подмена стороны обнаруживается до начала обмена данными.
Для защищённых контуров есть интеграция с российскими криптопровайдерами и системами многофакторной аутентификации. Механизм Access-Challenge настраивает вход с одноразовыми паролями через RADIUS, при этом внутренние сотрудники продолжают подключаться по Kerberos SSO и ничего не замечают. Все события аутентификации, включая неудачные попытки, попадают в журнал.
Отдельный сценарий — одноразовые рабочие места. Каждая сессия начинается с чистого листа: подхваченное вредоносное ПО исчезает после перезагрузки, а данные пользователя сохраняются в сетевом профиле.
Слабые места VDI прячутся не в брокере подключений.
Чаще они на уровне операционной системы виртуальных машин, настроек гипервизора и сетевой сегментации. Termidesk разворачивается на отечественных гипервизорах на базе KVM — ПК СВ «Брест», zVirt и собственных разработках «Группы Астра». Автоматической защиты это не даёт, зато снимает риск, связанный с неподдерживаемым или несертифицированным гипервизором.
На каких платформах работает и с чем совместим
Серверная часть ставится на Astra Linux Special Edition и SberLinux, рабочие места поддерживаются на Astra Linux, «Альт Рабочая станция» и РЕД ОС. Нативная поддержка Windows сохраняется с обеих сторон, и для организаций, которые миграцию ещё не закончили, это важно.
Гипервизоры не ограничены отечественным списком: VMware, OpenStack, oVirt и другие платформы виртуализации тоже поддерживаются. Протоколы доставки — собственный TERA, а также SPICE, RDP и Loudplay. Отдельная деталь, которой нет в таблице: HTML5-клиент даёт подключение прямо из браузера, без установки ПО на устройство.
| Компонент | Что поддерживается |
|---|---|
| Серверная ОС | Astra Linux Special Edition, SberLinux |
| Клиентские ОС | Astra Linux, Альт Рабочая станция, РЕД ОС, Windows, Linux (различные дистрибутивы) |
| Гипервизоры | ПК СВ «Брест», VMmanager, zVirt, Aerodisk vAir, VMware, OpenStack, oVirt |
| Протоколы доставки | TERA (собственный), SPICE, RDP, Loudplay |
Список совместимости отвечает на вопрос «заведётся ли это на нашем железе». Цена и сроки зависят не от него, а от выбранного сценария.
Сколько стоит и от чего зависит цена
В версии 7.0 редакции Terminal и VDI уступили место тарифам: «Базовый», «Стандартный», «Продвинутый». Набор функций подбирается под реальные задачи, без оплаты неиспользуемых возможностей.
Ориентиры по рынку такие: лицензия Termidesk VDI на одного пользователя сроком на 36 месяцев — около 26 000 рублей, бессрочная Termidesk Enterprise на организацию — примерно 4,4 миллиона. Цифры дают порядок величин, и итог зависит от числа пользователей, тарифа, технической поддержки и срока лицензии.
Лицензия в этой смете редко бывает главной строкой. В расчёт входят серверы для виртуальных машин, системы хранения, сетевое оборудование и резервное копирование. К ним добавляются пилот, настройка интеграции со службами каталогов, средствами ИБ и системами мониторинга, обучение администраторов и стоимость владения за несколько лет. Эти строки редко попадают в презентации, а реальный бюджет определяют именно они. Для парка в несколько сотен рабочих мест VDI может оказаться выгоднее регулярного обновления физических ПК — но только при интенсивном использовании инфраструктуры.
Чем Termidesk отличается от Citrix и VMware Horizon
Полным аналогом Citrix или VMware Horizon платформа не стала: западные продукты развивались десятилетиями, российская ведёт отсчёт с 2018 года. Разница проявляется там, где нужна тонкая настройка, — проброс специфической периферии, графические приложения в междоменной архитектуре, нестандартные системы аутентификации.
Для типовых корпоративных задач возможностей хватает: офисные приложения, работа с документами, удалённый доступ к инженерным станциям. В ПАО «Северсталь» Termidesk VDI заменил инфраструктуру на Microsoft RDS и RDGW для защищённого доступа к технологическому контуру. Среда высокозащищённая, требования жёсткие, и решение прошло конкурсный отбор, в котором рассматривались четыре альтернативы.
Перевешивает обычно другое — поддержка отечественных ОС и гипервизоров на уровне, которого западные вендоры не дают. Для защищённых контуров с обязательным сертифицированным ПО этого хватает, чтобы закрыть глаза на отдельные функциональные пробелы.
На что смотреть до пилота
Начинать стоит не с выбора продукта, а с инвентаризации сценариев: кому достаточно терминального доступа, а кому нужна персональная машина. Дальше — совместимость с тем, что уже работает: гипервизор, служба каталогов, средства защиты информации. Проверять это нужно до подписания договора, а не после.
Затем пилот на ограниченной группе и обязательно с самыми сложными сценариями подключения. Опыт «Северстали» показывает, что проблемы возникают не на установке, а при интеграции со строгими системами аутентификации и в междоменной архитектуре. В таких проектах готовность вендора дорабатывать продукт под требования заказчика весит не меньше заявленного набора функций. Пилот покажет остальное.
«Продукт прошёл путь от догоняющей позиции к полноценной конкуренции: отечественные платформы воспроизвели ключевую функциональность ушедших западных решений и масштабируются под крупные корпоративные инсталляции.»
CNewsMarket
Читайте также: Программные решения для построения защищенной инфраструктуры VDI.
