桌面虛擬化系統(tǒng)解決方案

桌面虛擬化系統(tǒng)解決方案TOC\o"1-5"\h\z\o"CurrentDocument"第1章概述4\o"CurrentDocument"項(xiàng)目背景和目的4\o"CurrentDocument"第2章項(xiàng)目需求5\o"CurrentDocument"功能需求5\o"CurrentDocument"集中管理5\o"CurrentDocument"應(yīng)用虛擬化5桌面虛擬化5\o"CurrentDocument"存儲隔離5\o"CurrentDocument"數(shù)據(jù)保護(hù)5\o"CurrentDocument"遠(yuǎn)程接入訪問控制5\o"CurrentDocument"訪問日志5\o"CurrentDocument"技術(shù)需求6\o"CurrentDocument"水平擴(kuò)展6\o"CurrentDocument"負(fù)載均衡6\o"CurrentDocument"2.3服務(wù)器安全防護(hù)6\o"CurrentDocument"第3章解決方案及對應(yīng)項(xiàng)目需求的實(shí)現(xiàn)7\o"CurrentDocument"總體方案構(gòu)架7\o"CurrentDocument"應(yīng)用場景描述7\o"CurrentDocument"內(nèi)部辦公人員：7\o"CurrentDocument"內(nèi)部研發(fā)人員：7對應(yīng)功能需求的實(shí)現(xiàn)8\o"CurrentDocument"集中管理8應(yīng)用虛擬化9桌面虛擬化10\o"CurrentDocument"存儲隔離10\o"CurrentDocument"數(shù)據(jù)保護(hù)11遠(yuǎn)程接入訪問控制12\o"CurrentDocument"訪問日志133.4技術(shù)需求的實(shí)現(xiàn)14\o"CurrentDocument"水平擴(kuò)展14\o"CurrentDocument"負(fù)載均衡14\o"CurrentDocument"服務(wù)器安全防護(hù)14\o"CurrentDocument"第4章系統(tǒng)預(yù)算18第1章概述1.1項(xiàng)目背景和目的隨著公司內(nèi)部辦公項(xiàng)規(guī)模擴(kuò)大，辦公環(huán)境的管理更加復(fù)雜，安全管理的要求也日益提升。利用現(xiàn)有硬件資源，建立一個(gè)簡單、易用、安全的統(tǒng)一接入平臺，以有效進(jìn)行辦公環(huán)境的規(guī)范管理，支持可控的遠(yuǎn)程訪問模式，同時(shí)對于研發(fā)環(huán)境如何保護(hù)重要數(shù)據(jù)與代碼的安全提出了挑戰(zhàn)。（1）每臺使用C/S系統(tǒng)的設(shè)備都需要安裝各個(gè)模塊的客戶端，部署和維護(hù)客戶端需要花費(fèi)大量的時(shí)間和人力（2）如何進(jìn)行遠(yuǎn)程的維護(hù)、技術(shù)支持以及靈活的擴(kuò)展與搬遷，這是IT人員希望亟待解決的問題；（3）由于大量的數(shù)據(jù)在廣域網(wǎng)上傳輸，因此遠(yuǎn)程的訪問速度和網(wǎng)絡(luò)性能經(jīng)常得不到保障，數(shù)據(jù)安全面臨挑戰(zhàn)；（4）隨著軟硬件的頻繁升級與更新，客戶端設(shè)備不可避免地要被淘汰，應(yīng)該如何控制系統(tǒng)追加投資？（5）不同的B/S應(yīng)用系統(tǒng)需要在用戶的瀏覽器中安裝或升級不同的插件，修改相關(guān)安全設(shè)置，這就產(chǎn)生了插件版本管理問題、插件維護(hù)問題等。（6）遠(yuǎn)程低帶寬時(shí)訪問效率不理想。第2章項(xiàng)目需求2.1功能需求2.1.1集中管理將辦公環(huán)境中的應(yīng)用軟件進(jìn)行集中管理，可以根據(jù)需要隨時(shí)調(diào)整辦公環(huán)境的應(yīng)用部署，簡化辦公人員客戶端的辦公環(huán)境配置及部署要求。2.L2應(yīng)用虛擬化具有包括各類辦公工具在內(nèi)的應(yīng)用軟件發(fā)布功能和Web網(wǎng)頁發(fā)布功能。2.L3桌面虛擬化特定企業(yè)用戶可使用集中部署的虛擬桌面進(jìn)行日常辦公和設(shè)計(jì)工作，工作數(shù)據(jù)均保存在后臺服務(wù)器。2.L4存儲隔離每個(gè)用戶能建立各自的文件系統(tǒng)或存儲空間，相互之間不能訪問。但授權(quán)用戶可以訪問特定用戶組的存儲空間，可以通過ftp或者其它方式獲取用戶存儲空間的數(shù)據(jù)。2.L5數(shù)據(jù)保護(hù)研發(fā)人員所有的代碼及辦公數(shù)據(jù)只在服務(wù)器端傳遞，提高系統(tǒng)數(shù)據(jù)訪問的安全性。2.L6遠(yuǎn)程接入訪問控制支持分公司遠(yuǎn)程接入的辦公模式，能有效控制用戶的剪貼板、本地硬盤、打印機(jī)、端口等操作，做到分公司人員未經(jīng)授權(quán)無法從任何渠道獲取代碼、文檔和辦公數(shù)據(jù)。對于合作公司的遠(yuǎn)程訪問要求能有效控制，包括登錄時(shí)間段、登錄用戶的監(jiān)控。2.L7訪問日志用戶登錄及對辦公工具和應(yīng)用軟件的訪問，應(yīng)該有日志記錄。2.2技術(shù)需求2.2.1水平擴(kuò)展服務(wù)器端支持水平擴(kuò)展，能通過水平增加服務(wù)器來適應(yīng)辦公需求的擴(kuò)大。2.2.2負(fù)載均衡可根據(jù)用戶訪問量和資源使用情況，動(dòng)態(tài)分配到到負(fù)載量最低的服務(wù)器上?？芍С质謩?dòng)負(fù)載均衡操作。2.3服務(wù)器安全防護(hù)保證服務(wù)器對外服務(wù)時(shí)，系統(tǒng)安全性，確保數(shù)據(jù)安全。第3章解決方案及對應(yīng)項(xiàng)目需求的實(shí)現(xiàn)3.1總體方案構(gòu)架通過CitrixXenApp集中部署和發(fā)布應(yīng)用客戶端軟件，整個(gè)的后臺應(yīng)用服務(wù)器架構(gòu)沒有變化，客戶端可以通過XenApp來訪問集中發(fā)布的各種企業(yè)應(yīng)用和辦公工具。其整體構(gòu)架如下圖所示：研發(fā)人員-操作系統(tǒng)AccessGateway—DataStorel.icenseServer基礎(chǔ)架構(gòu)iningServer操作系統(tǒng)配置文件應(yīng)用程序OAERPCRM3.2應(yīng)用場景描述3.2.1內(nèi)部辦公人員：研發(fā)人員-操作系統(tǒng)AccessGateway—DataStorel.icenseServer基礎(chǔ)架構(gòu)iningServer操作系統(tǒng)配置文件應(yīng)用程序OAERPCRM內(nèi)部辦公人員直接訪問Citrix統(tǒng)一身份驗(yàn)證平臺，獲取授權(quán)的虛擬桌面和虛擬應(yīng)用程序，開展日常辦公工作，用戶數(shù)據(jù)集中保存在文件服務(wù)器。3.2.2內(nèi)部研發(fā)人員：研發(fā)人員使用沒有硬盤的PC機(jī)，通過CitrixProvisioningServer網(wǎng)絡(luò)引導(dǎo)，創(chuàng)建無盤工作站環(huán)境，操作系統(tǒng)鏡像保存在CitrixProvisioningServer上，軟件更新及系統(tǒng)補(bǔ)丁只需在服務(wù)器上進(jìn)行一次更新即可完成。研發(fā)數(shù)據(jù)均保存在數(shù)據(jù)中心服務(wù)器上，未經(jīng)允許研發(fā)人員無法通過任何途徑獲得相關(guān)數(shù)據(jù)文件。常用辦公軟件（OA，ERP，CRM等）集中安裝在CitrixXenApp上，而所有訪問用戶使用終端設(shè)備只需通過IE就可以運(yùn)行授權(quán)的虛擬桌面和應(yīng)用程序（第一次訪問時(shí)會(huì)自動(dòng)提示下載安裝一個(gè)幾兆大小的CitrixICA插件），多用戶同時(shí)訪問時(shí)，由XenApp管理和運(yùn)行應(yīng)用客戶端軟件的多進(jìn)程訪問，并控制向不同用戶發(fā)布的權(quán)限。Citrix可整合企業(yè)現(xiàn)有的活動(dòng)目錄中的用戶賬戶來進(jìn)行用戶身份認(rèn)證。圖中的文件服務(wù)器，提供了用戶的個(gè)人數(shù)據(jù)存儲功能。通過使用Windows的目錄權(quán)限控制，及文件夾重定向功能，可以做到用戶數(shù)據(jù)的安全保存及漫游訪問。對于未來非辦公網(wǎng)段的應(yīng)用的部署，可以通過在相應(yīng)的網(wǎng)段部署XenApp服務(wù)器來實(shí)現(xiàn)。備注：在本建議書中，由于項(xiàng)目初步階段的應(yīng)用都集中在辦公網(wǎng)段，所以在軟件及硬件配置清單中，只考慮了在辦公網(wǎng)段部署XenApp和Xendesktop服務(wù)器。若在其他網(wǎng)段部署額外的XenApp和XenDestktop服務(wù)器，由于Citrix的軟件許可是基于并發(fā)用戶數(shù)，只要并發(fā)用戶數(shù)不變，可以共用已有的CitrixXenApp和XenDesktop軟件許可，無需另外采購。只需要增加相應(yīng)的服務(wù)器硬件及Windows授權(quán)即可。在后端的服務(wù)器資源方面，可以采用服務(wù)器虛擬化整合之后剩余的服務(wù)器。3.3對應(yīng)功能需求的實(shí)現(xiàn)3.3.1集中管理Citrix的集中部署模式只將企業(yè)應(yīng)用部署在數(shù)據(jù)中心，由于客戶端和服務(wù)器位于同一局域網(wǎng)內(nèi)，因而應(yīng)用性能和安全性得到提升，用戶可以通過任意終端和任意網(wǎng)絡(luò)進(jìn)行訪問數(shù)據(jù)中心，非常方便；而企業(yè)只需對局域網(wǎng)內(nèi)的數(shù)據(jù)中心進(jìn)行管理，實(shí)現(xiàn)了管理維護(hù)的簡化。應(yīng)用軟件的安裝及配置變化，均可以在服務(wù)器端集中進(jìn)行，大大簡化了辦公環(huán)境的配置和部署。

3.3.2應(yīng)用虛擬化XenApp為用戶提供了基于服務(wù)器的計(jì)算模式（Server-basedComputing）,實(shí)現(xiàn)了虛擬化應(yīng)用發(fā)布。其技術(shù)核心是ICA協(xié)議，ICA協(xié)議連接了運(yùn)行在XENAPP服務(wù)器上的應(yīng)用進(jìn)程和遠(yuǎn)端客戶端設(shè)備，通過ICA的32個(gè)虛擬通道（包括鼠標(biāo)、鍵盤、圖像、聲音、端口、打印等等），運(yùn)行在中心服務(wù)器上的應(yīng)用進(jìn)程的輸入輸出數(shù)據(jù)重新定向到遠(yuǎn)端客戶端機(jī)器的輸入輸出設(shè)備上，因此雖然應(yīng)用客戶端軟件并沒有運(yùn)行在客戶端設(shè)備上，但是用戶使用起來和在客戶端安裝運(yùn)行客戶端軟件相比，沒有感覺任何操作上的改變。XenApp虛擬化應(yīng)用發(fā)布原理如下圖所示:種高效率的數(shù)據(jù)交換協(xié)議，同時(shí)在中心服務(wù)器和遠(yuǎn)端終網(wǎng)絡(luò)只傳遞通過炊Citrix的/CA技術(shù)處理后的屏幕刷新和鍵盤敲擊和鼠標(biāo)移動(dòng)信息帶寬需求10種高效率的數(shù)據(jù)交換協(xié)議，同時(shí)在中心服務(wù)器和遠(yuǎn)端終網(wǎng)絡(luò)只傳遞通過炊Citrix的/CA技術(shù)處理后的屏幕刷新和鍵盤敲擊和鼠標(biāo)移動(dòng)信息帶寬需求10Mkbs,甚至可以是低速的撥號連接）應(yīng)用軟件的用戶界面在客應(yīng)用軟件安裝和運(yùn)行都在

服務(wù)器端由于ICA協(xié)議是這種模式使得企業(yè)應(yīng)用部署架構(gòu)上發(fā)生變化，從一種分布式部署變成了大集中的應(yīng)用部署，因而帶來了應(yīng)用訪問、性能及安全等各個(gè)方面的提升。標(biāo)推化PCCitrixXenDesktop可提供一種端到端的桌面交付解決方案?？蓜?dòng)態(tài)按需產(chǎn)生虛擬桌面，用戶每次登錄時(shí)都能獲得一個(gè)干凈的、個(gè)性化的全新桌面一一從而確保性能不會(huì)下降。此外，XenDesktop采用的高速交付協(xié)議還可在任何網(wǎng)絡(luò)條件下提供無與倫比的響應(yīng)速度。對于IT機(jī)構(gòu)而言，XenDesktop可通過分別交付桌面操作系統(tǒng)、應(yīng)用和用戶設(shè)置，大大簡化桌面生命周期管理并顯著降低擁有成本。CitrixXenDesktop可為任意地點(diǎn)的用戶按需交付桌面，同時(shí)顯著簡化生命周期管理。它可提供一種端到端的桌面交付解決方案，為最終用戶加速交付桌面，提供更強(qiáng)大的數(shù)據(jù)保護(hù)和監(jiān)控，并降低高達(dá)40%的擁有成本。采用桌面虛擬化技術(shù)可以在數(shù)據(jù)中心集中化管理桌面，還可輕松實(shí)現(xiàn)安全防護(hù)及備份。然而，經(jīng)常出現(xiàn)的同一生命周期管理問題依然存在一一IT部門仍需對每個(gè)虛擬桌面鏡像及其所安裝的應(yīng)用程序和用戶設(shè)置進(jìn)行管理、維護(hù)和更新。另外，桌面虛擬化還會(huì)帶來新的挑戰(zhàn)一一尤其是會(huì)使用戶的網(wǎng)絡(luò)性能大大降低，使每位用戶的桌面鏡像網(wǎng)絡(luò)存儲成本大大增加。3.3.4存儲隔離通過選擇NTFS文件系統(tǒng)和WindowsServer的用戶Profile機(jī)制，每個(gè)用戶可以有自己的存儲空間。利用NTFS的文件權(quán)限的管理機(jī)制，用戶在服務(wù)器端的私有存儲空間，工作目錄，臨時(shí)文件可以被安全的管理和限制。可限制用戶的對其他用戶數(shù)據(jù)的交叉訪問。也可給予特定管理員訪問、獲取用戶數(shù)據(jù)的權(quán)限。同時(shí)可以通過配置WindowsServer2003的文件夾重定向，將MyDocuments等目錄集中重定向到集中的文件服務(wù)器，從而保證用戶不管登錄到哪臺服務(wù)器，都能一致地訪問其用戶數(shù)據(jù)。3.3.5數(shù)據(jù)保護(hù)傳統(tǒng)模式應(yīng)用分布在企業(yè)的所有客戶端上，其安全要考慮各個(gè)環(huán)節(jié)：服務(wù)器、客戶機(jī)和端到端的網(wǎng)絡(luò)；其維護(hù)和安全管理范圍需要涵蓋企業(yè)的每一臺終端設(shè)備和跨廣域網(wǎng)段。因?yàn)榭蛻舳酥苯釉L問后臺時(shí)，之間傳輸?shù)臄?shù)據(jù)是真實(shí)的企業(yè)應(yīng)用數(shù)據(jù)，該數(shù)據(jù)會(huì)被緩存在用戶本地或在傳輸中被截獲，這些都是不安全因素；而用戶訪問XenApp或XenDesktop服務(wù)器時(shí)，之間傳輸?shù)氖瞧聊辉隽孔兓畔⒑褪髽?biāo)鍵盤變化信息，用戶端無任何應(yīng)用數(shù)據(jù)緩存在本地，同時(shí)中途截獲這些信息然后反推出用戶真正的辦公操作和數(shù)據(jù)比直接截獲辦公數(shù)據(jù)困難上千倍。因而可以說數(shù)據(jù)總是存放在最安全的地方。XenApp和XenDesktop帶來的最大益處是采用應(yīng)用虛擬化方式阻止數(shù)據(jù)任何時(shí)候離開數(shù)據(jù)中心。對于遠(yuǎn)程用戶從公網(wǎng)訪問內(nèi)網(wǎng)，XenApp和XenDesktop通過嚴(yán)格的用戶認(rèn)證進(jìn)行安全權(quán)限控制。由于網(wǎng)絡(luò)上傳輸?shù)闹皇强蛻舳说逆I盤、鼠標(biāo)動(dòng)作以及顯示界面的刷新部分，辦公數(shù)據(jù)和代碼的并不下載到客戶端本地；數(shù)據(jù)、緩存、Cookie等等全部在中央受限的環(huán)境中控制；另外ICA協(xié)議還含有多種加密技術(shù)，保證顯示界面和用戶操作數(shù)據(jù)的安全傳輸；客戶端的操作感覺雖然就像在本機(jī)操作一樣，但未經(jīng)權(quán)限許可，不得擅自修改、備份、拷盤、打印等。通過應(yīng)用發(fā)布的方式，內(nèi)部員工和外部合作公司的員工只能使用本崗位的應(yīng)用程序，而不能打開其他的應(yīng)用軟件或數(shù)據(jù)信息。對于研發(fā)人員可采用無盤工作站的工作原理，客戶端均為無硬盤的PC機(jī)通過CitrixProvisioningServer的無盤啟動(dòng)為開發(fā)人員提供研發(fā)環(huán)境，所有研發(fā)數(shù)據(jù)均保存在文件服務(wù)器，通過設(shè)置禁用本地所有端口（例如：USB端口，打印端口等）確保企業(yè)核心數(shù)據(jù)不被泄露。3.3.6遠(yuǎn)程接入訪問控制Citrix為用戶提供了統(tǒng)一的安全接入手段，一個(gè)典型的接入過程如下圖所示：首先用戶需要進(jìn)行身份認(rèn)證，XenApp集成了各種身份認(rèn)證手段，包括雙因素認(rèn)證等，訪問用戶提供用戶名、口令和passcode：當(dāng)用戶通過認(rèn)證后，會(huì)通過加密鏈路進(jìn)入其個(gè)人訪問門戶，看到其所能訪問的各個(gè)應(yīng)用軟件：

當(dāng)用戶使用某一軟件，或訪問某一系統(tǒng)，通過Citrix的虛擬化服務(wù)器和口令管理，在幾秒內(nèi)自動(dòng)完成應(yīng)用調(diào)用和登陸，然后用戶就可以如在本地一樣使用所需軟件和應(yīng)用。而管理員不僅可以方便地設(shè)置每個(gè)應(yīng)用允許哪些用戶的訪問，并且可以詳細(xì)地記錄用戶對各應(yīng)用的使用情況。通過Citrix應(yīng)用交付平臺可以嚴(yán)格控制用戶對應(yīng)用的訪問，根據(jù)不同用戶接入時(shí)的不同場景，將有相應(yīng)的接入策略與之對應(yīng)，并控制用戶使用企業(yè)資源的過程和操作?？煽刂频牟僮骱唾Y源訪問包括Copy/Paste、打印、保存到本地，端口的訪問等。3.3.7訪問日志管理員不僅可以方便地設(shè)置每個(gè)應(yīng)用允許哪些用戶的訪問，并且可以使用SQL數(shù)據(jù)庫的方式，詳細(xì)地記錄用戶對各應(yīng)用的使用情況，可以生成各種報(bào)表，如用戶登錄時(shí)間，運(yùn)行的應(yīng)用等。3.4技術(shù)需求的實(shí)現(xiàn)3.4.1水平擴(kuò)展Citrix內(nèi)置實(shí)現(xiàn)了群集功能，在Citrix服務(wù)器配置中集群稱之為一個(gè)Farm,當(dāng)用辦公系統(tǒng)規(guī)模擴(kuò)大時(shí)，可以方便地通過在ServerFarm中添加服務(wù)器來進(jìn)行水平擴(kuò)展。3.4.2負(fù)載均衡應(yīng)用：ERP,CRM,Office應(yīng)用：ERP,CRM,Office應(yīng)用：ERP,CRM,OfficeCitrixXML應(yīng)用：ERP,CRM,Office應(yīng)用：ERP,CRM,Office應(yīng)用：ERP,CRM,OfficeCitrixXMLService客戶端連接到負(fù)載最優(yōu)的服務(wù)器DataCollector確定當(dāng)前最優(yōu)服務(wù)器CitrixXenApp集群在Citrix的ServerFarm中，“DataCollector”負(fù)載均衡調(diào)度服務(wù)器負(fù)責(zé)收集每一臺服務(wù)器里面