923066-Ctirx思杰-介绍-实现安全的桌面虚拟化架构v1
相关主题
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
• 数据的安全边界在数据中心，终端只能看 到而不能拿到数据
• ICA策略提供的单向文件拷贝策略，数据 只进不出
• 集中设置U盘接入策略 • 提供数据从桌面云拷贝出去的接口，专人
操作，对该接口进行录屏审计 • 无需部署各类端点加密和防泄漏方案
典型安全管理场景和案例 -华为部署全球最大的安全办公桌面云
后台应用系统
数据中心
桌面/终端
应用服务器
服务器虚拟化：在物理服务器上部署 Hypervisor ，将物理服务器划分 成多个逻辑服务器，并实现更好的运维管理。 网络优化：对广域网传输进行加速优化，实现最佳的传输体验和安全
云桌面平台逻辑架构示意图
营业厅用户 呼叫中心用户
城域网
安全接入网关 互联网
远程和移动用户 （代维/OA)
•操作系统镜像只读 •安全无毒，防篡改 •“零维护” •仅对镜像升级 •只需要重启就可以加载全新的操作系统和 应用软件
Citrix如何节省运维管理成本
项目
桌面提供和变更 打补丁，重装系统，解决桌面崩毁 配置/升级/修复硬件
数据恢复，备份 应用兼容性测试 应用部署，更新，维护
传统PC 数小时甚至数天 每台机器逐一处理 现场处理，经常需要
云桌面平台层
虚拟应用 服务群集
负载均衡
虚拟应用 共享桌面
WI访问门户
VDI服务群集
局域网用户
VDI桌面池
用户/资源管理 性能监控/报表
文件/数据库服务 单点登录/审计
单一镜像版本管理
办公业务系统 营业厅系统 运维系统 呼叫中心系统
业务服务器 互联网
桌面云的安全技术特点
用户界面推送到客户端设备 鼠标与键盘输入信号发送到服务器
应用虚拟化：将后台服务器上安装的应用系统客户端在虚拟交付平 台上发布，用户登录平台访问后台应用时，应用系统客户端运行在 平台上，而不是运行在用户的本地终端上。
登录应用交付平台 访问应用
交付平台 发布后台应用客户端
所有后台应用系统部署在数据中心服务器 所有应用客户端在交付平台上运行 终端仅接受交付平台上应用运行的屏幕画面
• 任何设备、任何时间、任何地点实现“无 处不在”的办公体验
4A安全管控平台 Telnet/SSH
FTP/SFTP 唯一通路
字符网关
B/S C/S访问
Citrix
XenApp
认证反馈
图形网关
授权
日志 采集
集中审计SmartAuditor
• 该安全方案在中国移动各省市全面使用 • Citrix Netscaler作为互联网安全接入网关 • Citrix XenApp构建图形网关功能，实现B/S,C/S应用的安全访问和审计 • 采用SmartAuditor进行用户操作审计
-某银行实现坐席终端网络安全隔离和互联网访问
各种瘦客户端 Windows PC
Unix/Linux 客户端
笔记本
用户
内部办公网络源自文库
应用发布
应用虚拟化
互联网
Web Interface
XenApp服务器群
互联网集中访问平台
外网应用/桌面被虚拟化隔离 地“显示”到内网终端上，
确保业务坐席对互联网的安 全访问！
典型安全管理场景和案例
-办公终端资料防泄密解决方案：数据不落到终端
业务系统
业务系统
Data 3 业务数据
虚拟 化 平台
1 服务 请求
Data
2 业务 数据
2 服务请求
1 按键信号 鼠标位置
用户终端
用户终端 （任意设备）
4 远程屏 幕图片
传统数据交互
虚拟化后的数据交互
办公终端资料防泄密的桌面云安全措施
TCP
ICA
AUDIO CLIPBOARD
DRIVE PRINTING
COM VIDEO
ICA 有32个 虚拟通道
应用或桌面在服务器端运行
用户
防火墙、VPN
应用
网络上只传输应用图像和键盘鼠标信息，没有真实业务数据 对用户进行统一身份认证和权限控制，例如禁止上传、下载 从外网接入使用VPN进行传输加密 可对用户所有操作进行录像审计 用户体验与使用本地系统基本一致 每个客户端平均只需20-30Kb/s带宽
屏幕更新被发送到用户终端
鼠标点击、键击被发送到接入服务器上
• 可从任何设备或客户端操作系统中访问 • 远程响应和本地性能相匹配
桌面和应用应用完全在数据 中心的服务器上运行
记录被 安全地保存 在主站点上
变革：桌面云的终端管理
办公室
➢ 个人娱乐和办公数据完全隔离 ➢ 个性化终端：BYOD ➢ 核心数据“看得见摸不着” ➢ 极大降低安全管理和维护成本 ➢ 任何地方、任何时间实现“办公无处不在”
近百个桌面会话管理策略，丰富了管理手段，有效控制用户桌面行为，优化营业厅网络带宽的需求。
设计安全
确保数据安全 – 安全地保存在数据中心
设备上不保存数据 没有数据通过防火墙传输 NetScaler Gateway
• 无缝的远程接入
• 细粒度接入控制策略
• 终端分析
安全接入认证
• NetScaler内置支持双因素认证 • 配合短信网关，NetScaler可实现动态短信认证
利用虚拟化技术构建安全的桌面架构
梁春 电信行业售前技术经理
2014.4
目录
桌面安全面临的挑战 Citrix桌面虚拟化的原理和架构
实现端到端的安全保障体系 典型安全使用场景和案例 小结：Citrix带来桌面安全和管理的提升
挑战：传统终端接入架构和安全边界
办公室
➢ 公私不分:个人和企业应用环境无法隔离 ➢ 终端管理复杂 ➢ 安全管控效率低而成本过高 ➢ 缺乏良好体验和灵活性
SmartAuditor 录像操作实现“事后可查”
屏幕录像
监控可疑操作
为法务提供录像证据
应用出错快速分析
数字签名保证录像安全
✓
File
全球企业对Citrix所代表的集中管控体系 安全性的广泛采纳
高盛集团于2007年9月完成 的对财富1000企业的信息 安全主管的调查显示：虽 然Citrix (思杰)不是传 统意义上的安全厂商，但 却被最多的企业推为其 2008年首选安全方案供应 商！
桌面云端到端的安全保障
传输协议 ICA 的安全性 • 仅传输键盘、鼠标、打印等信息及屏幕变化信息，不传输业务数据
审计操作录像 安全的应用访问
策略化控制 应用的单点登录 双因子用户认证
• 记录用户操作的实时状态“录像”，以便于审计和监管
• 安全访问网关Netscaler提供集成的 SSL VPN 方案和Smart Access 智 能的访问和行为控制
路，2台PC
0
PC生命周期管理
$ 内置单一镜像管理
0
$$ 集成式防病毒 $ 端点、网关准入控制
单一防病毒，Windows内置或
服务器防病毒(SBC)
$
0 允许任何设备安全接入，以用
户为中心而不是以设备为中心
加密、DLP、USB管理、 内置100%信息安全
电子文档安全管理
$
0
VPN
$ 内置，单点登录
0
代办点/远程分支机构 远程查询/受理
Firewall Firewall
Internet
安全访问网关
内网坐席 高级访问控制
业务坐席 管理坐席
决定可以 去哪里？
决定可以做什么？
虚拟桌面 虚拟应用服务器 Web/App Servers
File Servers IP PBX
丰富的会话控制管理功能
• USB设备会话策略 • 语音会话策略 • 使用界面会话策略 • 文件重定向策略 • 多媒体会话策略 • 端口映射会话策略 • 图形会话策略 • 打印资源会话策略 • 会话带宽策略
‘无法依赖传统的网络边界安全架构’，这
种理解将从根本上改变您构建未来企业安 全环境的思路和方式。
Forrester Research 2011
“您每天使用多少种 不同的计算设备？
家用 PC | 办公 PC | 个人笔记本 | 平板电脑 | 智能手机
42%
34%
2%
1
2
3
16% 6%
4
5+
“平均每周有几天您在 办公室之外的地点上工作？”
项目目的
降低办公系统能耗 提高IT管理维护效率
解决研发办公信息的安全性问题
项目计划 项目一期计划覆盖上海研究所新办公区，容量8000人 项目二期覆盖所有海外研究所及深圳总部各业务部门 目前已正式购买11万用户
班加罗尔
Green - EDC
深圳
上海
达拉斯 北京
Page 23
典型安全管理场景和案例
典型安全管理场景和案例
-中国联通实现安全的全国移动OA
挑战与需求
• 移动办公是中国联通IT应用面临的挑战，经常奔波在外的管理 人员和业务人员需要以灵活的方式、经由任何移动设备访问业 务应用系统以及时响应随时变化的情况
• 在实施移动性的同时，必需要确保企业信息数据的安全性，不 得外泄
• 通过3G交付虚拟桌面和应用 • XenApp • 面向全国移动办公
ICA协议传输图像变化和设备支持 含有 32 个虚拟通道，分别传输不同信息 传输键盘扫描码、鼠标事件和打印数据等 服务器端获得信息实现对屏幕的操控 传输图像变化在客户端显示
虚拟化技术将应用的使用和运行分开
将使用和运行分开
桌面
设备
没有应用数据通过网络传输
所有远程传输 都通过SSL/TLS加密以确保安全性
方案实施效果
• 在保证了敏感数据安全无泄漏的情况下实现移动人员跨不同终 端的统一应用接入体验
• 带宽消耗减少 75%
• 应用响应延迟减少 90%
典型安全管理场景和案例
-中国移动安全运维管控平台方案
日常维护区 唯一主帐号
远程维护用 户
Netscaler 安全网关
本地维护用户 强身份认证
认证 请求
集中认证 服务器
• 可实现细粒度的访问策略控制，各虚拟通道开关 • 单向文件拷贝
• 集成应用单点登录的功能，方便用户账号的管理
• 集成动态短信密码、智能卡、RSA SecurID 等用户认证机制，可实现与 用户账号密码的集成认证
实现多层次分业务角色的终端访问控制
基于不同业务角色的坐席接入和权限，确保多用户访问安全和独立性 基于终端类型、IP、用户等定义细粒度的安全访问策略
难于执行 数周 每设备每用户
Citrix应用交付 立即 一次处理所有用户 立即替换硬件设备，TC零维 护 集中进行
数日
一次给所有用户和设备
安全管理的改善和提升
项目
安全域划分和隔离 软件部署、分发和补丁管理 防病毒 准入控制 防信息泄露 移动办公/远程接入
传统架构
Citrix交付架构
$ 双网隔离，两套网络及线 内置安全隔离，ICA
核心生产区 C/S应用系统 B/S应用系统
数据库 主机系统 网络设备 安全设备
本地虚拟化的扩展
安全和优化的体验
真正的 Type-1 客户端虚拟化
集中控制
基于策略的管理
使PC更可靠、安全、易管理
© 2012 Virtual Computer Inc
Citrix实现轻松而安全的桌面运维
操作系统盘 个性应用
Citrix按需交付桌面云的价值
• 业界成功案例最多、最成熟的解决方案
• 维护管理更简单
• 统一平台 • 单一镜像管理+个性化桌面
• 端到端的天然安全架构
• 安全的ICA协议，使“数据不落地” • 内部核心应用完全隔离 • 分角色的细粒度安全应用访问控制 • 安全行为审计 • 安全网络准入控制 • 双因素认证和单点登录
0
21%
1-2
3-4
15%
5
12%
52%
全球 BYOD 指数 – 企业员工调查，2011 年 2 月，思杰系统公司
我们如何改变？- 基于云服务的桌面和应用交付架构
Citrix桌面虚拟化方案原理—数据可控
桌面虚拟化：在后台服务器上安装Windows桌面系统，用户登录虚 拟交付平台使用后台服务器上的Windows桌面。
用户A 用户E
用户B 用户F
用户C 用户G
用户D 用户J
镜像1
个性应用
用户K 用户P
用户L 用户Q
用户M 用户R
用户N 用户S
镜像2
个性应用
用户T 用户Y
用户U 用户Z
用户V 用户1
用户X 用户2
镜像3
虚拟桌面
桌面/应用资源池
复制
镜像库 第3版 第2版 第1版
自动版本创建和管理 管理系统
特点和优势：
• ICA策略提供的单向文件拷贝策略，数据 只进不出
• 集中设置U盘接入策略 • 提供数据从桌面云拷贝出去的接口，专人
操作，对该接口进行录屏审计 • 无需部署各类端点加密和防泄漏方案
典型安全管理场景和案例 -华为部署全球最大的安全办公桌面云
后台应用系统
数据中心
桌面/终端
应用服务器
服务器虚拟化：在物理服务器上部署 Hypervisor ，将物理服务器划分 成多个逻辑服务器，并实现更好的运维管理。 网络优化：对广域网传输进行加速优化，实现最佳的传输体验和安全
云桌面平台逻辑架构示意图
营业厅用户 呼叫中心用户
城域网
安全接入网关 互联网
远程和移动用户 （代维/OA)
•操作系统镜像只读 •安全无毒，防篡改 •“零维护” •仅对镜像升级 •只需要重启就可以加载全新的操作系统和 应用软件
Citrix如何节省运维管理成本
项目
桌面提供和变更 打补丁，重装系统，解决桌面崩毁 配置/升级/修复硬件
数据恢复，备份 应用兼容性测试 应用部署，更新，维护
传统PC 数小时甚至数天 每台机器逐一处理 现场处理，经常需要
云桌面平台层
虚拟应用 服务群集
负载均衡
虚拟应用 共享桌面
WI访问门户
VDI服务群集
局域网用户
VDI桌面池
用户/资源管理 性能监控/报表
文件/数据库服务 单点登录/审计
单一镜像版本管理
办公业务系统 营业厅系统 运维系统 呼叫中心系统
业务服务器 互联网
桌面云的安全技术特点
用户界面推送到客户端设备 鼠标与键盘输入信号发送到服务器
应用虚拟化：将后台服务器上安装的应用系统客户端在虚拟交付平 台上发布，用户登录平台访问后台应用时，应用系统客户端运行在 平台上，而不是运行在用户的本地终端上。
登录应用交付平台 访问应用
交付平台 发布后台应用客户端
所有后台应用系统部署在数据中心服务器 所有应用客户端在交付平台上运行 终端仅接受交付平台上应用运行的屏幕画面
• 任何设备、任何时间、任何地点实现“无 处不在”的办公体验
4A安全管控平台 Telnet/SSH
FTP/SFTP 唯一通路
字符网关
B/S C/S访问
Citrix
XenApp
认证反馈
图形网关
授权
日志 采集
集中审计SmartAuditor
• 该安全方案在中国移动各省市全面使用 • Citrix Netscaler作为互联网安全接入网关 • Citrix XenApp构建图形网关功能，实现B/S,C/S应用的安全访问和审计 • 采用SmartAuditor进行用户操作审计
-某银行实现坐席终端网络安全隔离和互联网访问
各种瘦客户端 Windows PC
Unix/Linux 客户端
笔记本
用户
内部办公网络源自文库
应用发布
应用虚拟化
互联网
Web Interface
XenApp服务器群
互联网集中访问平台
外网应用/桌面被虚拟化隔离 地“显示”到内网终端上，
确保业务坐席对互联网的安 全访问！
典型安全管理场景和案例
-办公终端资料防泄密解决方案：数据不落到终端
业务系统
业务系统
Data 3 业务数据
虚拟 化 平台
1 服务 请求
Data
2 业务 数据
2 服务请求
1 按键信号 鼠标位置
用户终端
用户终端 （任意设备）
4 远程屏 幕图片
传统数据交互
虚拟化后的数据交互
办公终端资料防泄密的桌面云安全措施
TCP
ICA
AUDIO CLIPBOARD
DRIVE PRINTING
COM VIDEO
ICA 有32个 虚拟通道
应用或桌面在服务器端运行
用户
防火墙、VPN
应用
网络上只传输应用图像和键盘鼠标信息，没有真实业务数据 对用户进行统一身份认证和权限控制，例如禁止上传、下载 从外网接入使用VPN进行传输加密 可对用户所有操作进行录像审计 用户体验与使用本地系统基本一致 每个客户端平均只需20-30Kb/s带宽
屏幕更新被发送到用户终端
鼠标点击、键击被发送到接入服务器上
• 可从任何设备或客户端操作系统中访问 • 远程响应和本地性能相匹配
桌面和应用应用完全在数据 中心的服务器上运行
记录被 安全地保存 在主站点上
变革：桌面云的终端管理
办公室
➢ 个人娱乐和办公数据完全隔离 ➢ 个性化终端：BYOD ➢ 核心数据“看得见摸不着” ➢ 极大降低安全管理和维护成本 ➢ 任何地方、任何时间实现“办公无处不在”
近百个桌面会话管理策略，丰富了管理手段，有效控制用户桌面行为，优化营业厅网络带宽的需求。
设计安全
确保数据安全 – 安全地保存在数据中心
设备上不保存数据 没有数据通过防火墙传输 NetScaler Gateway
• 无缝的远程接入
• 细粒度接入控制策略
• 终端分析
安全接入认证
• NetScaler内置支持双因素认证 • 配合短信网关，NetScaler可实现动态短信认证
利用虚拟化技术构建安全的桌面架构
梁春 电信行业售前技术经理
2014.4
目录
桌面安全面临的挑战 Citrix桌面虚拟化的原理和架构
实现端到端的安全保障体系 典型安全使用场景和案例 小结：Citrix带来桌面安全和管理的提升
挑战：传统终端接入架构和安全边界
办公室
➢ 公私不分:个人和企业应用环境无法隔离 ➢ 终端管理复杂 ➢ 安全管控效率低而成本过高 ➢ 缺乏良好体验和灵活性
SmartAuditor 录像操作实现“事后可查”
屏幕录像
监控可疑操作
为法务提供录像证据
应用出错快速分析
数字签名保证录像安全
✓
File
全球企业对Citrix所代表的集中管控体系 安全性的广泛采纳
高盛集团于2007年9月完成 的对财富1000企业的信息 安全主管的调查显示：虽 然Citrix (思杰)不是传 统意义上的安全厂商，但 却被最多的企业推为其 2008年首选安全方案供应 商！
桌面云端到端的安全保障
传输协议 ICA 的安全性 • 仅传输键盘、鼠标、打印等信息及屏幕变化信息，不传输业务数据
审计操作录像 安全的应用访问
策略化控制 应用的单点登录 双因子用户认证
• 记录用户操作的实时状态“录像”，以便于审计和监管
• 安全访问网关Netscaler提供集成的 SSL VPN 方案和Smart Access 智 能的访问和行为控制
路，2台PC
0
PC生命周期管理
$ 内置单一镜像管理
0
$$ 集成式防病毒 $ 端点、网关准入控制
单一防病毒，Windows内置或
服务器防病毒(SBC)
$
0 允许任何设备安全接入，以用
户为中心而不是以设备为中心
加密、DLP、USB管理、 内置100%信息安全
电子文档安全管理
$
0
VPN
$ 内置，单点登录
0
代办点/远程分支机构 远程查询/受理
Firewall Firewall
Internet
安全访问网关
内网坐席 高级访问控制
业务坐席 管理坐席
决定可以 去哪里？
决定可以做什么？
虚拟桌面 虚拟应用服务器 Web/App Servers
File Servers IP PBX
丰富的会话控制管理功能
• USB设备会话策略 • 语音会话策略 • 使用界面会话策略 • 文件重定向策略 • 多媒体会话策略 • 端口映射会话策略 • 图形会话策略 • 打印资源会话策略 • 会话带宽策略
‘无法依赖传统的网络边界安全架构’，这
种理解将从根本上改变您构建未来企业安 全环境的思路和方式。
Forrester Research 2011
“您每天使用多少种 不同的计算设备？
家用 PC | 办公 PC | 个人笔记本 | 平板电脑 | 智能手机
42%
34%
2%
1
2
3
16% 6%
4
5+
“平均每周有几天您在 办公室之外的地点上工作？”
项目目的
降低办公系统能耗 提高IT管理维护效率
解决研发办公信息的安全性问题
项目计划 项目一期计划覆盖上海研究所新办公区，容量8000人 项目二期覆盖所有海外研究所及深圳总部各业务部门 目前已正式购买11万用户
班加罗尔
Green - EDC
深圳
上海
达拉斯 北京
Page 23
典型安全管理场景和案例
典型安全管理场景和案例
-中国联通实现安全的全国移动OA
挑战与需求
• 移动办公是中国联通IT应用面临的挑战，经常奔波在外的管理 人员和业务人员需要以灵活的方式、经由任何移动设备访问业 务应用系统以及时响应随时变化的情况
• 在实施移动性的同时，必需要确保企业信息数据的安全性，不 得外泄
• 通过3G交付虚拟桌面和应用 • XenApp • 面向全国移动办公
ICA协议传输图像变化和设备支持 含有 32 个虚拟通道，分别传输不同信息 传输键盘扫描码、鼠标事件和打印数据等 服务器端获得信息实现对屏幕的操控 传输图像变化在客户端显示
虚拟化技术将应用的使用和运行分开
将使用和运行分开
桌面
设备
没有应用数据通过网络传输
所有远程传输 都通过SSL/TLS加密以确保安全性
方案实施效果
• 在保证了敏感数据安全无泄漏的情况下实现移动人员跨不同终 端的统一应用接入体验
• 带宽消耗减少 75%
• 应用响应延迟减少 90%
典型安全管理场景和案例
-中国移动安全运维管控平台方案
日常维护区 唯一主帐号
远程维护用 户
Netscaler 安全网关
本地维护用户 强身份认证
认证 请求
集中认证 服务器
• 可实现细粒度的访问策略控制，各虚拟通道开关 • 单向文件拷贝
• 集成应用单点登录的功能，方便用户账号的管理
• 集成动态短信密码、智能卡、RSA SecurID 等用户认证机制，可实现与 用户账号密码的集成认证
实现多层次分业务角色的终端访问控制
基于不同业务角色的坐席接入和权限，确保多用户访问安全和独立性 基于终端类型、IP、用户等定义细粒度的安全访问策略
难于执行 数周 每设备每用户
Citrix应用交付 立即 一次处理所有用户 立即替换硬件设备，TC零维 护 集中进行
数日
一次给所有用户和设备
安全管理的改善和提升
项目
安全域划分和隔离 软件部署、分发和补丁管理 防病毒 准入控制 防信息泄露 移动办公/远程接入
传统架构
Citrix交付架构
$ 双网隔离，两套网络及线 内置安全隔离，ICA
核心生产区 C/S应用系统 B/S应用系统
数据库 主机系统 网络设备 安全设备
本地虚拟化的扩展
安全和优化的体验
真正的 Type-1 客户端虚拟化
集中控制
基于策略的管理
使PC更可靠、安全、易管理
© 2012 Virtual Computer Inc
Citrix实现轻松而安全的桌面运维
操作系统盘 个性应用
Citrix按需交付桌面云的价值
• 业界成功案例最多、最成熟的解决方案
• 维护管理更简单
• 统一平台 • 单一镜像管理+个性化桌面
• 端到端的天然安全架构
• 安全的ICA协议，使“数据不落地” • 内部核心应用完全隔离 • 分角色的细粒度安全应用访问控制 • 安全行为审计 • 安全网络准入控制 • 双因素认证和单点登录
0
21%
1-2
3-4
15%
5
12%
52%
全球 BYOD 指数 – 企业员工调查，2011 年 2 月，思杰系统公司
我们如何改变？- 基于云服务的桌面和应用交付架构
Citrix桌面虚拟化方案原理—数据可控
桌面虚拟化：在后台服务器上安装Windows桌面系统，用户登录虚 拟交付平台使用后台服务器上的Windows桌面。
用户A 用户E
用户B 用户F
用户C 用户G
用户D 用户J
镜像1
个性应用
用户K 用户P
用户L 用户Q
用户M 用户R
用户N 用户S
镜像2
个性应用
用户T 用户Y
用户U 用户Z
用户V 用户1
用户X 用户2
镜像3
虚拟桌面
桌面/应用资源池
复制
镜像库 第3版 第2版 第1版
自动版本创建和管理 管理系统
特点和优势：