桌面虛擬化系統(tǒng)項(xiàng)目解決方案

1、.專業(yè)整理 .桌面虛擬化系統(tǒng)解決方案.學(xué)習(xí)幫手 .專業(yè)整理 .目錄第 1 章概述41.1項(xiàng)目背景和目的4第 2 章項(xiàng)目需求52.1功能需求5集中管理5應(yīng)用虛擬化5桌面虛擬化5存儲隔離5數(shù)據(jù)保護(hù)5遠(yuǎn)程接入訪問控制5訪問日志62.2技術(shù)需求6水平擴(kuò)展6負(fù)載均衡62.3服務(wù)器安全防護(hù)6第 3 章解決方案及對應(yīng)項(xiàng)目需求的實(shí)現(xiàn)73.1總體方案構(gòu)架73.2應(yīng)用場景描述7內(nèi)部辦公人員 ：7內(nèi)部研發(fā)人員 ：8.學(xué)習(xí)幫手 .專業(yè)整理 .3.3對應(yīng)功能需求的實(shí)現(xiàn)9集中管理9應(yīng)用虛擬化9桌面虛擬化10存儲隔離11數(shù)據(jù)保護(hù)12遠(yuǎn)程接入訪問控制13訪問日志143.4技術(shù)需求的實(shí)現(xiàn)15水平擴(kuò)展15負(fù)載均衡15服務(wù)器安全防

2、護(hù)15第 4 章系統(tǒng)預(yù)算19.學(xué)習(xí)幫手 .專業(yè)整理 .第1章概述1.1項(xiàng)目背景和目的隨著公司內(nèi)部辦公項(xiàng)規(guī)模擴(kuò)大，辦公環(huán)境的管理更加復(fù)雜，安全管理的要求也日益提升 。 利用現(xiàn)有硬件資源 ，建立一個簡單 、易用、安全的統(tǒng)一接入平臺，以有效進(jìn)行辦公環(huán)境的規(guī)范管理，支持可控的遠(yuǎn)程訪問模式，同時(shí)對于研發(fā)環(huán)境如何保護(hù)重要數(shù)據(jù)與代碼的安全提出了挑戰(zhàn)。（1）每臺使用C/S 系統(tǒng)的設(shè)備都需要安裝各個模塊的客戶端，部署和維護(hù)客戶端需要花費(fèi)大量的時(shí)間和人力（2）如何進(jìn)行遠(yuǎn)程的維護(hù) 、技術(shù)支持以及靈活的擴(kuò)展與搬遷，這是 IT 人員希望亟待解決的問題 ；（3）由于大量的數(shù)據(jù)在廣域網(wǎng)上傳輸，因此遠(yuǎn)程的訪問速度和網(wǎng)絡(luò)性能經(jīng)

3、常得不到保障 ，數(shù)據(jù)安全面臨挑戰(zhàn) ；（4）隨著軟硬件的頻繁升級與更新，客戶端設(shè)備不可避免地要被淘汰，應(yīng)該如何控制系統(tǒng)追加投資？（5）不同的 B/S 應(yīng)用系統(tǒng)需要在用戶的瀏覽器中安裝或升級不同的插件，修改相關(guān)安全設(shè)置 ，這就產(chǎn)生了插件版本管理問題、插件維護(hù)問題等 。（6）遠(yuǎn)程低帶寬時(shí)訪問效率不理想。.學(xué)習(xí)幫手 .專業(yè)整理 .第2章項(xiàng)目需求2.1功能需求集中管理將辦公環(huán)境中的應(yīng)用軟件進(jìn)行集中管理，可以根據(jù)需要隨時(shí)調(diào)整辦公環(huán)境的應(yīng)用部署 ，簡化辦公人員客戶端的辦公環(huán)境配置及部署要求。應(yīng)用虛擬化具有包括各類辦公工具在內(nèi)的應(yīng)用軟件發(fā)布功能和Web 網(wǎng)頁發(fā)布功能 。桌面虛擬化特定企業(yè)用戶可使用集中部署的虛

4、擬桌面進(jìn)行日常辦公和設(shè)計(jì)工作，工作數(shù)據(jù)均保存在后臺服務(wù)器。存儲隔離每個用戶能建立各自的文件系統(tǒng)或存儲空間 ，相互之間不能訪問 。 但授權(quán)用戶可以訪問特定用戶組的存儲空間 ，可以通過 FTP 或者其它方式獲取用戶存儲空間的數(shù)據(jù) 。數(shù)據(jù)保護(hù)研發(fā)人員所有的代碼及辦公數(shù)據(jù)只在服務(wù)器端傳遞 ，提高系統(tǒng)數(shù)據(jù)訪問的安全性。遠(yuǎn)程接入訪問控制支持分公司遠(yuǎn)程接入的辦公模式 ，能有效控制用戶的剪貼板 、本地硬盤 、打印機(jī) 、端口等操作 ，做到分公司人員未經(jīng)授權(quán)無法從任何渠道獲取代碼、文檔和辦公數(shù)據(jù) 。 對于合作公司的遠(yuǎn)程訪問要求能有效控制 ，包括登錄時(shí)間段 、登錄用戶的監(jiān)控 。.學(xué)習(xí)幫手 .專業(yè)整理 .訪問日志用戶

5、登錄及對辦公工具和應(yīng)用軟件的訪問，應(yīng)該有日志記錄 。2.2技術(shù)需求水平擴(kuò)展服務(wù)器端支持水平擴(kuò)展 ，能通過水平增加服務(wù)器來適應(yīng)辦公需求的擴(kuò)大。負(fù)載均衡可根據(jù)用戶訪問量和資源使用情況，動態(tài)分配到到負(fù)載量最低的服務(wù)器上?？芍С质謩迂?fù)載均衡操作。2.3 服務(wù)器安全防護(hù)保證服務(wù)器對外服務(wù)時(shí) ，系統(tǒng)安全性 ，確保數(shù)據(jù)安全 。.學(xué)習(xí)幫手 .專業(yè)整理 .第3章解決方案及對應(yīng)項(xiàng)目需求的實(shí)現(xiàn)3.1總體方案構(gòu)架通過 Citrix XenApp集中部署和發(fā)布應(yīng)用客戶端軟件，整個的后臺應(yīng)用服務(wù)器架構(gòu)沒有變化 ，客戶端可以通過XenApp來訪問集中發(fā)布的各種企業(yè)應(yīng)用和辦公工具 。其整體構(gòu)架如下圖所示 ：XenDeskto

6、p 集群XenServer 資源池件內(nèi)部配置文件文辦公人員應(yīng)用程序置操作系統(tǒng)配用戶 A用戶 B用戶 C用戶 D虛擬桌面文件服務(wù)器防防Citrix XenDesktopCitrix XenDesktop序火火配置文件程墻NetScaler 12000墻Citrix Branch Repeater應(yīng)用程序用Access GateWay操作系統(tǒng)應(yīng)OAERPCRM虛擬桌面Citrix XenApp配置文件統(tǒng)域控制器Data StoreDHCP應(yīng)用程序系操作系統(tǒng)作License Server操遠(yuǎn)程用戶基礎(chǔ)架構(gòu)虛擬桌面Provisioning Server研發(fā)人員3.2 應(yīng)用場景描述內(nèi)部辦公人員 ：內(nèi)部辦

7、公人員直接訪問Citrix統(tǒng)一身份驗(yàn)證平臺 ，獲取授權(quán)的虛擬桌面和虛擬應(yīng)用程序，開展日常辦公工作，用戶數(shù)據(jù)集中保存在文件服務(wù)器。.學(xué)習(xí)幫手 .專業(yè)整理 .內(nèi)部研發(fā)人員 ：研發(fā)人員使用沒有硬盤的PC 機(jī)，通過 Citrix Provisioning Server網(wǎng)絡(luò)引導(dǎo) ，創(chuàng)建無盤工作站環(huán)境，操作系統(tǒng)鏡像保存在CitrixProvisioningServer 上，軟件更新及系統(tǒng)補(bǔ)丁只需在服務(wù)器上進(jìn)行一次更新即可完成。研發(fā)數(shù)據(jù)均保存在數(shù)據(jù)中心服務(wù)器上，未經(jīng)允許研發(fā)人員無法通過任何途徑獲得相關(guān)數(shù)據(jù)文件。常用辦公軟件 （ OA ，ERP，CRM 等）集中安裝在Citrix XenApp 上，而所有訪問

8、用戶使用終端設(shè)備只需通過IE 就可以運(yùn)行授權(quán)的虛擬桌面和應(yīng)用程序（第一次訪問時(shí)會自動提示下載安裝一個幾兆大小的CitrixICA 插件），多用戶同時(shí)訪問時(shí) ，由 XenApp管理和運(yùn)行應(yīng)用客戶端軟件的多進(jìn)程訪問，并控制向不同用戶發(fā)布的權(quán)限 。Citrix 可整合企業(yè)現(xiàn)有的活動目錄中的用戶賬戶來進(jìn)行用戶身份認(rèn)證。圖中的文件服務(wù)器 ，提供了用戶的個人數(shù)據(jù)存儲功能。通過使用Windows的目錄權(quán)限控制 ，及文件夾重定向功能，可以做到用戶數(shù)據(jù)的安全保存及漫游訪問。對于未來非辦公網(wǎng)段的應(yīng)用的部署，可以通過在相應(yīng)的網(wǎng)段部署XenApp服務(wù)器來實(shí)現(xiàn) 。備注：在本建議書中 ，由于項(xiàng)目初步階段的應(yīng)用都集中在辦公

9、網(wǎng)段，所以在軟件及硬件配置清單中，只考慮了在辦公網(wǎng)段部署XenApp和 Xendesktop服務(wù)器 。 若在其他網(wǎng)段部署額外的XenApp和 XenDestktop服務(wù)器 ，由于Citrix 的軟件許可是基于并發(fā)用戶數(shù)，只要并發(fā)用戶數(shù)不變，可以共用已有的.學(xué)習(xí)幫手 .專業(yè)整理 .Citrix XenApp 和 XenDesktop 軟件許可 ，無需另外采購 。只需要增加相應(yīng)的服務(wù)器硬件及 Windows 授權(quán)即可 。在后端的服務(wù)器資源方面，可以采用服務(wù)器虛擬化整合之后剩余的服務(wù)器。3.3對應(yīng)功能需求的實(shí)現(xiàn)集中管理Citrix 的集中部署模式只將企業(yè)應(yīng)用部署在數(shù)據(jù)中心，由于客戶端和服務(wù)器位于同一

10、局域網(wǎng)內(nèi) ，因而應(yīng)用性能和安全性得到提升，用戶可以通過任意終端和任意網(wǎng)絡(luò)進(jìn)行訪問數(shù)據(jù)中心，非常方便 ；而企業(yè)只需對局域網(wǎng)內(nèi)的數(shù)據(jù)中心進(jìn)行管理 ，實(shí)現(xiàn)了管理維護(hù)的簡化。應(yīng)用軟件的安裝及配置變化，均可以在服務(wù)器端集中進(jìn)行 ，大大簡化了辦公環(huán)境的配置和部署。應(yīng)用虛擬化XenApp為 用 戶 提 供 了 基 于 服 務(wù) 器 的 計(jì) 算 模 式 （ Server-basedComputing ），實(shí)現(xiàn)了虛擬化應(yīng)用發(fā)布 。其技術(shù)核心是ICA 協(xié)議，ICA 協(xié)議連接了運(yùn)行在XENAPP 服務(wù)器上的應(yīng)用進(jìn)程和遠(yuǎn)端客戶端設(shè)備，通過 ICA 的 32個虛擬通道 （包括鼠標(biāo) 、鍵盤、圖像、聲音、端口、打印等等 ），

11、運(yùn)行在中心服務(wù)器上的應(yīng)用進(jìn)程的輸入輸出數(shù)據(jù)重新定向到遠(yuǎn)端客戶端機(jī)器的輸入輸出設(shè)備上，因此雖然應(yīng)用客戶端軟件并沒有運(yùn)行在客戶端設(shè)備上，但是用戶使用起來和在客戶端安裝運(yùn)行客戶端軟件相比，沒有感覺任何操作上的改變。XenApp 虛擬化應(yīng)用發(fā)布原理如下圖所示：.學(xué)習(xí)幫手 .專業(yè)整理 .應(yīng)用軟件的用戶界面在客戶端顯示（可以支持非Windows 客戶端）應(yīng)用軟件安裝和運(yùn)行都在服務(wù)器端網(wǎng)絡(luò)只傳遞通過Citrix 的 ICA 技術(shù)處理后的屏幕刷新和鍵盤敲擊和鼠標(biāo)移動信息（ 帶寬需求10-20kbs , 甚至可以是低速的撥號連接）由于 ICA 協(xié)議是一種高效率的數(shù)據(jù)交換協(xié)議，同時(shí)在中心服務(wù)器和遠(yuǎn)端終端設(shè)備之間傳

12、遞的是經(jīng)過壓縮和加密的屏幕刷新和鼠標(biāo)鍵盤信息，因此每一個連接只占用十幾K 的網(wǎng)絡(luò)帶寬 。這種模式使得企業(yè)應(yīng)用部署架構(gòu)上發(fā)生變化，從一種分布式部署變成了大集中的應(yīng)用部署 ，因而帶來了應(yīng)用訪問 、性能及安全等各個方面的提升。桌面虛擬化.學(xué)習(xí)幫手 .專業(yè)整理 .Citrix XenDesktop可提供一種端到端的桌面交付解決方案?？蓜討B(tài)按需產(chǎn)生虛擬桌面 ，用戶每次登錄時(shí)都能獲得一個干凈的、個性化的全新桌面 從而確保性能不會下降。此外， XenDesktop采用的高速交付協(xié)議還可在任何網(wǎng)絡(luò)條件下提供無與倫比的響應(yīng)速度。對于 IT 機(jī)構(gòu)而言 ， XenDesktop可通過分別交付桌面操作系統(tǒng)、應(yīng)用和用戶

13、設(shè)置 ，大大簡化桌面生命周期管理并顯著降低擁有成本 。Citrix XenDesktop可為任意地點(diǎn)的用戶按需交付桌面，同時(shí)顯著簡化生命周期管理 。它可提供一種端到端的桌面交付解決方案，為最終用戶加速交付桌面，提供更強(qiáng)大的數(shù)據(jù)保護(hù)和監(jiān)控，并降低高達(dá) 40% 的擁有成本 。采用桌面虛擬化技術(shù)可以在數(shù)據(jù)中心集中化管理桌面，還可輕松實(shí)現(xiàn)安全防護(hù)及備份 。 然而，經(jīng)常出現(xiàn)的同一生命周期管理問題依然存在 IT 部門仍需對每個虛擬桌面鏡像及其所安裝的應(yīng)用程序和用戶設(shè)置進(jìn)行管理、維護(hù)和更新。另外 ，桌面虛擬化還會帶來新的挑戰(zhàn) 尤其是會使用戶的網(wǎng)絡(luò)性能大大降低，使每位用戶的桌面鏡像網(wǎng)絡(luò)存儲成本大大增加。存儲隔

14、離通過選擇 NTFS 文件系統(tǒng)和 WindowsServer 的用戶 Profile 機(jī)制，每個用戶可以有自己的存儲空間。利用 NTFS 的文件權(quán)限的管理機(jī)制，用戶在服務(wù)器端的私有存儲空間 ，工作目錄 ，臨時(shí)文件可以被安全的管理和限制?？上拗朴脩舻膶ζ渌脩魯?shù)據(jù)的交叉訪問。也可給予特定管理員訪問、獲取用戶數(shù)據(jù)的權(quán)限。同時(shí)可以通過配置 WindowsServer2003的文 件夾 重定 向， 將 My.學(xué)習(xí)幫手 .專業(yè)整理 .Documents等目錄集中重定向到集中的文件服務(wù)器，從而保證用戶不管登錄到哪臺服務(wù)器 ，都能一致地訪問其用戶數(shù)據(jù)。數(shù)據(jù)保護(hù)傳統(tǒng)模式應(yīng)用分布在企業(yè)的所有客戶端上，其安全要考

15、慮各個環(huán)節(jié)：服務(wù)器、客戶機(jī)和端到端的網(wǎng)絡(luò)；其維護(hù)和安全管理范圍需要涵蓋企業(yè)的每一臺終端設(shè)備和跨廣域網(wǎng)段 。因?yàn)榭蛻舳酥苯釉L問后臺時(shí)，之間傳輸?shù)臄?shù)據(jù)是真實(shí)的企業(yè)應(yīng)用數(shù)據(jù)，該數(shù)據(jù)會被緩存在用戶本地或在傳輸中被截獲，這些都是不安全因素；而用戶訪問 XenApp 或 XenDesktop 服務(wù)器時(shí) ，之間傳輸?shù)氖瞧聊辉隽孔兓畔⒑褪髽?biāo)鍵盤變化信息 ，用戶端無任何應(yīng)用數(shù)據(jù)緩存在本地 ，同時(shí)中途截獲這些信息然后反推出用戶真正的辦公操作和數(shù)據(jù)比直接截獲辦公數(shù)據(jù)困難上千倍。因而可以說數(shù)據(jù)總是存放在最安全的地方。XenApp 和 XenDesktop 帶來的最大益處是采用應(yīng)用虛擬化方式阻止數(shù)據(jù)任何時(shí)候離開數(shù)據(jù)中

16、心。對于遠(yuǎn)程用戶從公網(wǎng)訪問內(nèi)網(wǎng) ，XenApp和 XenDesktop通過嚴(yán)格的用戶認(rèn)證進(jìn)行安全權(quán)限控制。由于網(wǎng)絡(luò)上傳輸?shù)闹皇强蛻舳说逆I盤 、鼠標(biāo)動作以及顯示界面的刷新部分，辦公數(shù)據(jù)和代碼的并不下載到客戶端本地 ；數(shù)據(jù)、緩存、 Cookie 等等全部在中央受限的環(huán)境中控制 ；另外 ICA 協(xié)議還含有多種加密技術(shù) ，保證顯示界面和用戶操作數(shù)據(jù)的安全傳輸 ；客戶端的操作感覺雖然就像在本機(jī)操作一樣 ，但未經(jīng)權(quán)限許可 ，不得擅自修改 、備份、拷盤、打印等 。通過應(yīng)用發(fā)布的方式 ，內(nèi)部員工和外部合作公司的員工只能使用本崗位的應(yīng)用程序 ，而不能打開其他的應(yīng)用軟件或數(shù)據(jù)信息 。.學(xué)習(xí)幫手 .專業(yè)整理 .對于

17、研發(fā)人員可采用無盤工作站的工作原理，客戶端均為無硬盤的PC 機(jī)通過 Citrix ProvisioningServer 的無盤啟動為開發(fā)人員提供研發(fā)環(huán)境，所有研發(fā)數(shù)據(jù)均保存在文件服務(wù)器，通過設(shè)置禁用本地所有端口（例如： USB 端口，打印端口等 ）確保企業(yè)核心數(shù)據(jù)不被泄露。遠(yuǎn)程接入訪問控制Citrix 為用戶提供了統(tǒng)一的安全接入手段 ，一個典型的接入過程如下圖所示：首先用戶需要進(jìn)行身份認(rèn)證 ， XenApp 集成了各種身份認(rèn)證手段 ，包括雙因素認(rèn)證等 ，訪問用戶提供用戶名 、口令和 passcode ：當(dāng)用戶通過認(rèn)證后 ，會通過加密鏈路進(jìn)入其個人訪問門戶 ，看到其所能訪問的各個應(yīng)用軟件 ：.學(xué)

18、習(xí)幫手 .專業(yè)整理 .當(dāng)用戶使用某一軟件 ，或訪問某一系統(tǒng) ，通過 Citrix 的虛擬化服務(wù)器和口令管理，在幾秒內(nèi)自動完成應(yīng)用調(diào)用和登陸 ，然后用戶就可以如在本地一樣使用所需軟件和應(yīng)用 。而管理員不僅可以方便地設(shè)置每個應(yīng)用允許哪些用戶的訪問 ，并且可以詳細(xì)地記錄用戶對各應(yīng)用的使用情況 。通過 Citrix 應(yīng)用交付平臺可以嚴(yán)格控制用戶對應(yīng)用的訪問 ，根據(jù)不同用戶接入時(shí)的不同場景 ，將有相應(yīng)的接入策略與之對應(yīng)，并控制用戶使用企業(yè)資源的過程和操作 。 可控制的操作和資源訪問包括 Copy/Paste 、打印、保存到本地 ，端口的訪問等 。訪問日志管理員不僅可以方便地設(shè)置每個應(yīng)用允許哪些用戶的訪問

19、 ，并且可以使用 SQL 數(shù)據(jù)庫的方式 ，詳細(xì)地記錄用戶對各應(yīng)用的使用情況 ，可以生成各種報(bào)表，如用戶登錄時(shí)間 ，運(yùn)行的應(yīng)用等 。.學(xué)習(xí)幫手 .專業(yè)整理 .3.4技術(shù)需求的實(shí)現(xiàn)水平擴(kuò)展Citrix 內(nèi)置實(shí)現(xiàn)了群集功能 ，在 Citrix 服務(wù)器配置中集群稱之為一個Farm， 當(dāng)用辦公系統(tǒng)規(guī)模擴(kuò)大時(shí) ，可以方便地通過在 Server Farm 中添加服務(wù)器來進(jìn)行水平擴(kuò)展 。負(fù)載均衡在 Citrix 的 Server Farm 中， “Data Collector ”負(fù)載均衡調(diào)度服務(wù)器負(fù)責(zé)收集每一臺服務(wù)器里面的一些動態(tài)信息 ，如 CPU，內(nèi)存等使用情況 ，并與之進(jìn)行交流；當(dāng)有應(yīng)用請求時(shí) ，自動將請求轉(zhuǎn)到負(fù)載最輕的服務(wù)器上運(yùn)行 。Server Farm 同時(shí)提供了高可用性功能，當(dāng)單點(diǎn)服務(wù)器出現(xiàn)故障時(shí)不影響用戶使用 ，用戶會重新連接到另外一臺負(fù)載較輕的服務(wù)器上 。從而避免了單點(diǎn)故障。服務(wù)器安全防護(hù)1.Windows 部分.學(xué)習(xí)幫手 .專業(yè)整理 .由于 Citrix 環(huán)境基于 Windows身