VMware Horizon: un pool de escritorios desde una imagen maestra y la conexión que falla

Qué vas a conseguir

Un pool de escritorios virtuales en VMware Horizon (ahora bajo Omnissa) que se crea desde una imagen maestra, se asigna a un grupo de Active Directory y se recrea limpio en cada sesión. Y un método fijo para el ticket "me conecto y se queda en negro" o "no aparece mi escritorio".

Antes de empezar

• Acceso a Horizon Console (https://horizon-cs-01.contoso.local/admin) con rol de administrador o de help desk.
• vCenter añadido en Settings → Servers con la cuenta de servicio que Horizon documenta, y un Connection Server sano.
• Una VM de Windows 11 Enterprise preparada como imagen maestra: unida al dominio, optimizada (OS Optimization Tool), con Horizon Agent instalado y las aplicaciones base. Apagada y con una snapshot con nombre y fecha.
• Un grupo de AD con los usuarios del pool (GG-VDI-Finanzas).

1. Las piezas (y su equivalente en Citrix)

• Connection Server: el broker; los clientes se autentican aquí (equivale al Delivery Controller).
• Horizon Agent en la VM: lo que hace que el escritorio sea gestionable (el VDA).
• Pool: el conjunto de escritorios y su política (grupo de entrega + catálogo).
• Entitlement: qué usuarios o grupos ven el pool.
• Protocolo: Blast Extreme (el de Horizon, puerto 8443/22443) o PCoIP (4172). El cliente es Horizon Client.

2. Crear un pool de clones instantáneos

Clones instantáneos: cada escritorio se crea en segundos a partir de la snapshot y se destruye al cerrar sesión. Un usuario arranca siempre limpio; lo que tiene que persistir (perfil, datos) va en FSLogix o en un perfil de DEM, nunca en el escritorio.

Después: Entitlements → Add entitlement → GG-VDI-Finanzas. Hasta que no hay entitlement, el pool existe pero nadie lo ve.

3. Comprobar que está sano

Available y Connected son los estados buenos. Agent unreachable es un escritorio cuyo agente no habla con el Connection Server (red, DNS, hora, o clon a medias): con clones instantáneos, se recrea (Machines → la máquina → Remove, el pool crea otra). Provisioning atascado largo rato suele ser vCenter o el datastore lleno.

4. "No conecta": el orden

1. ¿Ve el pool en Horizon Client? Si no: entitlement (el usuario no está en el grupo o el grupo no está en el pool) o el pool está deshabilitado. Comprueba Users and Groups → el usuario → Entitlements.
2. ¿Se queda en "Connecting…" o pantalla negra? El cliente ha llegado al Connection Server pero no al escritorio. Hace falta el puerto 8443/22443 (Blast) desde el cliente hasta la VM del escritorio (no solo al broker) cuando se conecta por túnel desactivado, o hasta el Unified Access Gateway si viene de internet. Test-NetConnection FIN-W11-002 -Port 22443 desde el equipo del usuario lo dice.
3. ¿Conecta y a los segundos se cierra? El escritorio está asignado pero el inicio de sesión falla: perfil de FSLogix bloqueado (otro escritorio tiene el contenedor abierto; se ve en el log de FSLogix C:\ProgramData\FSLogix\Logs), o la GPO de inicio tarda más que el tiempo de espera.
4. ¿Le toca siempre la misma máquina rota? En pools flotantes, Horizon reintenta la última; Reset o Remove de esa máquina desde la consola y que vuelva a entrar.

Logs del cliente cuando hay que escalar: en Windows, %LOCALAPPDATA%\VMware\VDM\Logs\ (vmware-horizon-client-*.log); en el escritorio, C:\ProgramData\VMware\VDM\logs\ (debug-*.txt del agente). Horizon Console → Help Desk (con el usuario) resume sesión, protocolo, latencia y los eventos de inicio de sesión en una pantalla: es por donde empieza el soporte de primer nivel.

5. Actualizar la imagen maestra

Cambiar algo en el pool (parche, aplicación nueva) es: encender la imagen maestra, hacer el cambio, apagarla, nueva snapshot con fecha, y en el pool Maintain → Push Image eligiendo esa snapshot y cuándo (al cerrar sesión cada usuario, o forzado en una ventana). Nunca se toca un escritorio del pool a mano: desaparece en el siguiente cierre de sesión.

Antes del Push Image, prueba la snapshot nueva en un pool de prueba de 2 máquinas. Una imagen con el agente mal instalado deja los 40 escritorios en Agent unreachable a la vez.

Siguientes pasos

• Monta FSLogix para los perfiles si no está: es lo que hace que un escritorio flotante parezca el del usuario.
• Un Unified Access Gateway en la DMZ para el acceso desde fuera sin VPN; y en el Nivel 4, Azure Virtual Desktop y Windows 365, la alternativa en nube.
• La guía de Citrix VDI es el espejo de esta: mismos problemas, otros nombres. Conocer las dos te sitúa en cualquier empresa.

¿Falta algo o en tu entorno es distinto? Escríbeme y lo corrijo.