Настройка платформы¶

Введение¶

Для поддержки протокола SPICE платформой TIONIX необходимо включить поддержку SPICE в Nova, установить в клиентскую систему TIONIX.VDIclient и обновить пакеты модулей TIONIX.VDIserver и TIONIX.Client. Также на всех вычислительных узлах необходимо наличие установленного TIONIX.Agent с типом spice_proxy.

Настройка поддержки протокола SPICE в OpenStack Nova¶

1. Включите протокол SPICE. Для этого в /etc/nova/nova.conf укажите необходимые параметры:

   [spice]
   agent_enabled = True
   enabled = True
   keymap = en-us
   server_listen = 127.0.0.1
   html5proxy_host = 0.0.0.0
   html5proxy_port = 6082
   # For usb redirection
   usb_controller_type = XHCI
   

   Где:

   • agent_enabled - включает поддержку VDI-агента, который необходимо запустить внутри гостевой ОС. Он предоставляет улучшенные функции по работе input-устройств, типа мыши и улучшает поддержку мультимониторности (только для QXL-драйвера). В зависимости от операционной системы:

     • В Linux достаточно установить пакет spice-vdagent.
     • Для Windows нужно установить guest-tools из пакета virtio-win.

   • enabled - параметр, включающий протокол SPICE в процессе виртуальной машины;

   • keymap - необязательный параметр, включающий по умолчанию карту символов. Желательно всегда использовать значение en-us, ввод кириллицы корректно работает с этой настройкой;

   • server_listen - адрес прослушивания для порта SPICE в процессе виртуальной машины. Всегда должен быть установлен равным 127.0.0.1 для предотвращения появления SPICE-сессии в сети в беспарольном режиме;

   • html5proxy_host - адрес прокси-сервера Nova для SPICE. Нужен для подключения к сессии SPICE noVNC-сервисом;

   • html5proxy_port - порт прокси-сервера Nova для SPICE. Нужен для подключения к сессии SPICE noVNC-сервисом;

   • usb_controller_type - тип USB-интерфейса. Возможные значения:

     • XHCI интерфейс USB, который поддерживает USB 1.1, 2.0 и 3.0. Используется по умолчанию;
     • EHCI+UHCI интерфейсы USB, которые поддерживают USB 1.1, 2.0 и 1.1 соответственно.

     Важно

     Для корректного включения устройств перенаправления USB необходимо наличие TIONIX.Agent и включение драйвера TnxLibvirtDriver на вычислительном узле, а также указания следующих параметров в DEFAULT конфигурации Nova:

     [DEFAULT]
     ...
     compute_driver = tnx_libvirt.TnxLibvirtDriver
     

     Поддержка USB-интерфейсов различными операционными системами:¶

     Хостовая операционная система	Гостевая операционная система	XHCI	EHCI+UHCI
     Linux	Linux
     Linux	Windows 7
     Linux	Windows 10
     Windows 7	Linux
     Windows 7	Windows 10
     Windows 10	Windows 10
     Windows 10	Linux

   Также рекомендуется явно выключить поддержку VNC-консоли:

   [vnc]
   enabled = False
   

2. Выполните команду:

   systemctl restart openstack-nova-compute.service
   

При подключении к уже существующим виртуальным машинам необходимо выполнить жесткую перезагрузку машины, чтобы новые настройки были применены. Для новых виртуальных машин параметры SPICE уже будут указаны.

Включение шифрования в SPICE-сессиях¶

1. Для включения шифрования в /etc/tionix/vdi_server.yaml необходимо указать соответствующий параметр (по умолчанию - False):

   VDI_TLS_ENABLED: True
   

2. После включения самой функции необходимо указать путь до серверного сертификата в вычислительных узлах:

   TLS_SERVER_CERT: '/etc/pki/tls/tionix/vdi.pem'
   

3. Если CA-сертификат серверного сертификата будет отсутствовать в системном хранилище CA в вычислительных узлах, то его путь можно указать отдельным параметром:

   CA_CERT: '/etc/pki/tls/tionix/ca.crt'
   

4. Дополнительно можно указать параметры поддомена для VDI-адресов и таймаут ответа от HAProxy (указанные значения - по умолчанию):

   VDI_HOST_SUBDOMAIN: 'vdi'
   HAPROXY_TCP_REQUEST_TIMEOUT: 30000
   

5. Для принятия изменений перезапустите службы TIONIX:

   systemctl restart tionix-*
   

Настройка DNS¶

Для полноценной работы шифрования все соединения должны использовать доменные имена. Поэтому во всех машинах, где задействуются функции VDI, должен быть указан адрес DNS-сервера с зоной для адресов вычислительных узлов в сети VDI.

Особой настройки не требуется, главное, чтобы в конфигурационном файле /etc/resolv.conf были настроены адреса DNS.

Для прокси-сервера в HAProxy DNS предоставляет ещё одну функцию: она позволяет открыть порт прокси для сервера VDI в соответствующем интерфейсе. Об этом будет сказано далее.

Установка и настройка HAProxy¶

Требования к сертификатам TLS для протокола SPICE¶

При подключении к SPICE-серверу по протоколу TLS, клиент SPICE по умолчанию и в обязательном порядке верифицирует получаемый при соединении сертификат на инициалиацию канала шифрования. В частности:

• клиент SPICE проверяет, что сертификат был выдан корректным центром сертификации, который имеется в ОС, откуда производится подключение;
• сертификат должен содержать SAN или Subject Alternative Names, в котором указывается список доменных адресов подключения;
• клиент проверяет в строгом соответствии, то есть имя домена должно быть явно указано в SAN сертификата. Wildcard-сертификаты в SAN не поддерживается.

Так же нужно учитывать то, что брокер настраивает доступ до SPICE-сессии через отдельный интерфейс и с использованием сети, отличной от управляющей или вычислительной сети. Для адресов в этой сети брокер добавляет поддомен "vdi", который требуется добавить в зону DNS. То есть если в управляющей сети у вычислительного узла будет имя compute1.tionix.loc, то брокер для подключения клиенту будет предлагать адрес vdi.compute1.tionix.loc.

Отсюда вытекают следующие требования к сертификатам:

1. Обязательным требованием по шифрованию является наличие зоны DNS для вычислительных узлов (как часть корпоративного DNS или внутреннего сервиса) и в частности в эту зону должны быть включены имена для сети VDI. Этот DNS должен быть доступен как для вычислительных узлов, так и для клиентов.
2. В промышленной среде всегда используйте сертификаты из аккредитованных центров сертификации. Это может быть как внутренний PKI, так и внешние службы CA типа Let's Encrypt. Иными словами, в ОС клиентов сертификат CA должен быть зарегистрирован в хранилище CA.
3. Так как клиент строго проверяет соответствие имени домена для сети VDI и SAN, то лучше всего для каждого вычислительного узла сгенерировать свой личный сертификат с SAN с явным указанием его доменного имени в сети VDI в теле сертификата.
4. Этот сертификат вместе с ключом в виде отдельного файла должен быть добавлен в службу прокси для возможности инициирования канала шифрования, а путь до сертификата должен быть указан в параметрах брокера.

Пример настройки SAN в теле сертификата для вычислительного узла с доменным именем compute1.tionix.loc в управляемой сети:

Certificate:
    Data:
        Version: 3 (0x2)
        Serial Number:
            fc:74:bd:31:c1:a7:74:82:28:d3:60:04:60:85:5c:c5
    Signature Algorithm: sha256WithRSAEncryption
        Issuer: CN=compute1
        Validity
            Not Before: Apr  8 15:09:06 2021 GMT
            Not After : Jul 12 15:09:06 2023 GMT
        Subject: CN=vdi-compute1-tionix-loc
...
        X509v3 extensions:
            X509v3 Basic Constraints:
                CA:FALSE
            X509v3 Subject Key Identifier:
                2C:7A:57:55:BA:F3:F0:EF:43:89:E7:34:6B:E5:1A:FB:44:A7:C0:07
            X509v3 Authority Key Identifier:
                keyid:8C:5B:ED:71:58:F1:56:C4:EA:DF:32:6C:59:DC:B1:7D:C0:4C:13:FB
                DirName:/CN=compute1
                serial:99:4C:F4:09:2F:53:00:33

            X509v3 Extended Key Usage:
                TLS Web Server Authentication
            X509v3 Key Usage:
                Digital Signature, Key Encipherment
            X509v3 Subject Alternative Name:
                DNS:vdi.compute1.tionix.loc