方物军队桌面虚拟化解决方案--未添加案例

方物军队桌面虚拟化体系建设参考方案北京方物软件有限公司解决方案部2014年6月24日1需求与挑战以虚拟桌面为交付形态，根据服务器虚拟化构建IaaS平台基础支撑环境，云计算在安全层面需要解决传统IT基础架构面临的问题。

：IT安全问题：传统桌面使用PC终端难以实现规范和管理，造成安全漏洞多，易遭受病毒/木马攻击，从而影响办公网络及办公终端的安全性。

在企业中采用的物理隔离和逻辑隔离方法，会造成投资成本高，工作效率下降。

2运维监控问题：传统桌面运维复杂，在部署，支持，安全性上，针对终端PC难于做到标准化管理，PC硬件型号和型式多种多样，更新周期也千差万别，增加了管理的复杂度。

系统打补丁，更新和迁移问题复杂，很多时候需要到现场解决。

对终端PC的控制力度不够。

支持桌面随着桌面环境复杂度的提高而提高。

备份、恢复、远程访问的服务成本也越来越高。

终端安全问题：企业内部泄密问题越来越严重，终端可以在本地保存数据，这就使得可以将内部重要数据和商业机密保存到本地，被拷贝走或者直接被带走，使得商业机密泄露。

终端对核心业务数据进行单独访问，传统方式主要是采用网络安全隔离卡、安全隔离网闸、无盘系统的隔离、双网络系统等物理隔离的办法，采取物理隔离的方式有较高的安全性，但是数据的传输与处理仍是以明文的方式来进行，客观上还是有一定的风险存在。

物理隔离在实际使用中，还存在着不足：易用性和可扩展性差。

2.1安全桌面操作系统类型多元化每个用户存在多种办公环境，如普通办公和涉密办公，涉密办公一般使用xp安全版，普通办公有xp和win7多种桌面。

2.2外设特定的单向访问U盘等外设要求只能烤出文件，不能带走文件，具备只读的功能，传统做法封闭物理USB控，或流程审批等人为管理方式，缺乏有效的IT自动化运维的手段。

2.3终端用户权限控制控制用户权限，保证所有用户具备相对应的权限，保证涉密单位的安全性。

3整体架构3.1体系框架方物虚拟桌面安全体系提供端到端的整体解决方案，终端用户到服务器端全面构建立体防线。

首先应根据本级具体的基本要求设计本级系统的保护环境模型，保护环境按照安全计算环境、安全区域边界、安全通信网络和安全管理中心进行设计，内容涵盖基本要求的5个方面。

同时结合管理要求，形成如下图所示的保护环境模型：本方案采用虚拟桌面架构（VDI）实现，裸金属方式服务器端部署桌面系统，用户客户端可随时随地接入，按需访问自己的操作系统桌面。

业务应用部署在数据中心，管理方式从分散变为集中、严格，避免了核心业务数据泄露的风险，最大化保障信息安全。

3.2技术拓扑同时、具备强健的集群扩展功能，在音视频、图像传输等方面可获得本地物理桌面同等用户体验，轻松实现BYOD，多网隔离环境下跨网段接入，数据防泄漏等安全需求。

云桌面从终端设备、传输安全、网络安全、访问控制、桌面池可控变更、VDI数据安全、虚拟机备份七个维度构建全方位立体化的安全解决方案体系。

4详细设计4.1终端设备安全桌面按照不同的虚拟桌面进行权限的控制。

允许用户将外设连接到终端上，达到本地桌面相同的体验效果，尽管所有的计算仍然在服务器端进行。

云桌面终端支持的外设类型包括USB外设，智能卡和加密狗，打印机，串口和并口设备。

精细外设管控：多种外设访问权限类型：只读/完全/禁止/只写，外设白名单，限定只有少数USB设备才能用于访问机密数据，多种剪贴板访问权限控制：安全云桌面可以按照不同的安全桌面进行权限的控制。

允许用户将外设连接到终端上，然后像在本地桌面使用外设一样使用这些连接在终端上的外设，尽管所有的计算仍然在服务器端进行。

既包括常见的USB光驱，也包括各种专业的USB外设，如USB身份证扫描设备、USB转Modem、USB POS机、USB扫描仪等。

除了对主流USB外设提供支持外，还可以根据客户的业务需要，对特殊外设进行定制化开发和支持。

4.1.1外设黑白名单安全桌面支持各种类型的USB移动磁盘，包括U盘、移动硬盘等，无需另装驱动，即插即用。

还提供了对USB设备的精细化管理，用户需要使用USB移动磁盘设备时，必须先将USB设备的VID和PID提交给管理员，由管理员做授权许可后，才能使用USB设备。

4.1.2剪贴板策略USB磁盘与虚拟桌面之间的剪贴板拷贝功能也是由管理员控制的，管理员可以根据需要提供USB磁盘与虚拟桌面之间的上行传输、下行传输、双向传输权限，或完全禁止使用剪贴板拷贝功能。

4.1.3串口和并口设备安全桌面可以支持各种串口和并口设备，包括打印机、扫描仪、POS机等，只需要把设备连接到终端，就可以通过独有的FAP协议远程携带到虚拟桌面使用。

4.2传输安全4.2.1链路加密云桌面针对传输安全，特供SSL协议对网络连接进行加密。

将明文数据转换为密文数据，再进行传输。

采用方物软件FAP传输协议，虚拟桌面远程访问，支持SSL加密。

用户通过加密的连接访问到桌面，且只传输指令与显示图片，有效保障数据安全•不依赖域任何的专用传输层协议•分成多个虚拟通道–主通道–显示通道–输入通道–光标通道–音频通道和录音通道4.2.2V A CCESS代理网关代理vAccess的主要功能就是降低单个vA的并发访问压力，提高vA响应速度，提高用户体验。

其主要目的是实现简单、高速、有效的访问。

形象的说：我们可以将单个vA看做一个用户连接桌面的中转站，代理vA就是中转站组。

在一般情况下我们通过一个vA去访问虚拟桌面，vA接到用户连接的请求后，会将虚拟桌面的端口信息返回给用户，实现一个有效的连接。

当用户并发请求数量较大时，一个vA性能根本无法满足用户需求，此时代理vA通过桌面连接负载方式均衡单个vA的连接压力。

方物vAccess服务器分为三种角色：主控服务器，单机服务器，从属服务器。

主控服务器：主要负责任务调度功能，桌面链接调度分配。

可以有两种实现方式，既充当主控的同时也充当单机，也可以只充当主控。

从属服务器：被调度对象，失去独立链接桌面的能力，需要通过主控服务器统一调度连接。

单机服务器：具有调度及连接的功能，并发用户较少的情况下，单机vAccess 即可满足。

代理vA的主要实现过程是，首先设置一台主控服务器，主控服务器包含所有用户角色及虚拟桌面信息。

在主控端添加多个从属服务器，从属服务器不包含任何信息，只是实现连接的功能，具体连接过程如下：通过vAccess代理网关的使用，帮助用户均衡虚拟桌面访问压力，达到链路更高可靠性，提供企业级虚拟化整体解决方案的优质选择。

4.3网络安全4.3.1域间安全云桌面系统服务端内嵌标准交换机，虚拟桌面域间可进行流量控制和网卡绑定。

4.3.2域内安全控制桌面域内桌面虚拟机之间的安全访问，采用虚拟端口组划分广播域，不同虚拟端口组分配不同的标签。

进行带宽峰值、突发大小等流量控制。

4.4访问控制4.4.1AD域配置安全桌面可以与AD域身份认证以及动态令牌认证有机结合，与现有的认证机制配合以完成用户身份验证。

4.4.2电子令牌身份认证可以采用传统的用户名密码方式，也可以采用动态令牌的方式，并且可选与微软的域控制器结合使用4.4.3云桌面授权针对不用的用户组分配不同的使用权限，包括桌面类型、连接协议、设备映射等等。

4.4.4灵活的控制管理可限定用户在指定时间或IP地址段只能使用指定桌面，避免用户做与工作、学习无关的事情，支持个人数据盘，无论用户登录哪个桌面，都能自动加载自己的个人数据盘。

桌面虚拟化方案提供了基于IP的访问控制功能，能够管理用户的登录区域和IP范围，从而提供了强大的网络约束能力，灵活而又方便的管理用户的登录。

管理员可以根据需要，配置包括访问时间在内的详细的访问策略，控制桌面虚拟机的访问。

4.5桌面池可控变更4.5.1桌面克隆浮动桌面池和专用桌面池都可以采用模板克隆的方式创建，即先在后台创建一个虚拟机模板，在该模板中完成所有操作系统、应用系统的安装和相关配置。

然后在创建桌面池时，以该模板为母体，批量克隆出多个完全相同的桌面，从而实现快速大规模部署。

当对桌面池的虚拟机模板进行修改时，由于桌面池内的其他虚拟机和该虚拟机共用主镜像文件，因此当其他虚拟机重新启动时，就会自动获取更新后的虚拟机模板，从而提供给用户更新后的桌面环境。

这样，管理员只需要修改桌面池的模板，就可简单实现该桌面池内的所有桌面的统一升级。

4.5.2系统升级补丁杀毒：采用链接克隆技术通过替换模板功能完成批量部署与升级，减轻管理维护压力。

4.6V DI数据安全可以从存储中的数据和处理中的数据两个维度进行考虑。

4.6.1存储中的数据数据集中于数据中心，避免由于PC磁盘损坏而导致的数据遗失，如本地硬盘的RAID功能或存储设备的专业备份功能，保障数据安全。

用户终端只接受传输图像，业务数据与终端完全分离支持个人数据盘，用户可以将自己的数据存放在个人数据盘，与其他用户安全隔离方物桌面虚拟化方案提供了强大的数据泄密管理能力，从终端无关性、访问权限管理等多个角度防止了可能的数据泄密渠道：完善的备份与恢复：手工备份、定时备份、完整备份、增量备份、快照等功能。

4.6.2处理中的数据记录用户登录/退出日志，记录配置管理日志详尽而又精细分类整理的日志，帮助管理员快速查询和定位集中监控安全桌面的状态以及事件,基于虚拟机唯一ID对安全桌面进行管控。

4.6.3数据存储加密软加密方式或硬加密方式，软加密消耗CPU资源，硬加密外接PCI-E加密卡形式，密钥管理需要结合用户需求做定制化开发，保证存储中的数据以密文形式。

4.7虚拟机备份旨在为虚拟化及其关联的数据存储提供经济高效的数据保护整体解决方案。

4.7.1高效可靠与虚拟化紧密结合，Hypervisor无需任何代理程序，支持LAN-free备份，同时多个vBackup系统进行分布式处理，多副本机制有效避免备份文件损坏丢失。

4.7.2易于扩展-备份容量在线扩容：可选以太网或FC存储网增加vBackup结点，服务不中断状态下进行备份介质动态扩容-备份性能弹性增长：分布式文件系统性能随vBackup节点数动态增4.7.3管理便捷-在vCenter界面统一管控虚拟化功能与备份功能-策略性批量备份-图形化操作界面，更易于操作5功能设计统一桌面云平台提供了两大类虚拟化方式，分别是应用虚拟化和桌面虚拟化，桌面虚拟化又分为共享服务器桌面、一对一绑定虚拟桌面和单一镜像管理的一对多虚拟桌面。

在面对用户的使用场景时，选择的出发点如下：用户的个性化需求。

对用户个性化需求的支持从弱到强排序是：纯应用虚拟。