云巔桌面云方案V1.0 NetApp

云巔（上海）網(wǎng)絡(luò)科技有限公司2015OWTware云巔iConn桌面云解決方案建議書V1.02修訂記錄版本變更描述變更人日期發(fā)行記錄發(fā)行日期V1.0文檔創(chuàng)建林文煒09/12/2015未發(fā)行V1.0文檔完成林文煒09/12/2015未發(fā)行桌面云項目建議書桌面云項目建議書目錄TOC\o"1-2"\h\z\u1 現(xiàn)狀分析 Owtware云巔（上海）網(wǎng)絡(luò)科技有限公司現(xiàn)狀分析虛擬化云計算技術(shù)是IT發(fā)展的熱點之一，可以有效地解決數(shù)據(jù)安全、集中管控、降低運維成本、快速部署、跨平臺訪問、節(jié)能環(huán)保等問題。隨著桌面虛擬化技術(shù)的日益成熟，桌面虛擬化技術(shù)也給越來越多用戶帶來了傳統(tǒng)PC所沒有的好處，逐步推廣桌面云平臺勢在必行。企業(yè)現(xiàn)有信息化系統(tǒng)桌面終端主要基于傳統(tǒng)的PC運維方式，辦公人員通過PC或筆記本電腦進行日常的辦公，需要在每臺辦公終端上安裝各種辦公軟件客戶端，存放數(shù)據(jù)。各種OA及業(yè)務(wù)系統(tǒng)運行在數(shù)據(jù)中心的后臺服務(wù)器上，辦公終端的辦公軟件客戶端經(jīng)由局域網(wǎng)連接后臺服務(wù)器，訪問業(yè)務(wù)數(shù)據(jù)和流程。IT人員除了需要集中維護數(shù)據(jù)中心的后臺服務(wù)器，還需為辦公人員提供Helpdesk服務(wù)，解決辦公終端的硬件、操作系統(tǒng)，及軟件問題。此外，IT人員還需定期對后臺系統(tǒng)、用戶的桌面操作系統(tǒng)和辦公軟件進行必要的更新維護，以保證內(nèi)網(wǎng)辦公的各環(huán)節(jié)都運行在最新的軟件版本之上，防止由于系統(tǒng)的漏洞導致辦公系統(tǒng)的癱瘓。目前的部署方式存在以下問題：如何保證數(shù)據(jù)的安全性業(yè)務(wù)數(shù)據(jù)直接存放于辦公終端，各種移動存儲(如U盤、移動硬盤等)的接入并無限制，且筆記本電腦經(jīng)常帶離辦公場所，業(yè)務(wù)數(shù)據(jù)難以得到正確的保護；辦公終端與后臺業(yè)務(wù)系統(tǒng)之間的交互產(chǎn)生的真實業(yè)務(wù)數(shù)據(jù)在網(wǎng)絡(luò)上傳輸，存在網(wǎng)絡(luò)數(shù)據(jù)被截取并外泄的風險；一旦辦公終端遭受惡意軟件或病毒攻擊，后臺業(yè)務(wù)也將暴露于安全風險之下；用戶對關(guān)鍵業(yè)務(wù)系統(tǒng)的訪問及操作無法進行錄像或監(jiān)控，提供不了審計、回溯等安全功能。IT人員如何對終端環(huán)境進行高效的管理終端用戶辦公環(huán)境不統(tǒng)一，應(yīng)用軟件和操作系統(tǒng)的版本差異化大，IT管理維護通常需要到終端用戶現(xiàn)場進行，導致維護管理的效率低下，容易因為終端設(shè)備的故障導致業(yè)務(wù)訪問的中斷；IT人員需要保證各種辦公軟件在用戶終端上的正確運行，一旦軟件出現(xiàn)安裝/使用/升級等問題，排錯工作量較大；數(shù)據(jù)分散在各辦公終端，IT人員無法對辦公數(shù)據(jù)進行集中備份，增大了數(shù)據(jù)丟失的風險。IT人員難以限制用戶在辦公終端安裝的應(yīng)用軟件，也難以限制用戶使用的外設(shè)，不容易實現(xiàn)IT環(huán)境的標準化。如何進一步降低運維成本PC故障率高，排錯時間長，遠程技術(shù)支持需要額外的軟件?，F(xiàn)場支持時間長，效率低；傳統(tǒng)PC每臺功率超過200W，每年消耗大量用電；PC成本高，更換周期短，在當前硬件發(fā)展趨勢下，通常每3～4年需要升級硬件；PC占地大，線纜多，影響干凈整潔的辦公環(huán)境；財務(wù)等部門因為需要使用不同的軟件版本導致需要使用多臺PC設(shè)備；能否將辦公延伸至其他終端類型目前使用的各種辦公軟件大部分只有運行于PC或筆記本電腦的版本，若需將辦公延伸至其他終端類型，如平板電腦、智能手機或瘦客戶機，需要對現(xiàn)有業(yè)務(wù)系統(tǒng)或辦公軟件進行改造，涉及二次開發(fā)成本及工作量；若通過開發(fā)的方式將辦公軟件延伸至其他終端類型，用戶使用習慣的改變將難以避免，需要對用戶進行業(yè)務(wù)培訓；若將辦公軟件延伸至移動終端，需保證終端訪問的安全性，降低數(shù)據(jù)外泄的風險；若將辦公軟件延伸至移動終端，并開放公網(wǎng)的訪問，需保證用戶從公網(wǎng)訪問的便捷性、高效性及安全性。需求分析基于上述現(xiàn)狀分析，我們總結(jié)出如下的實際應(yīng)用需求目標：安全性桌面和應(yīng)用全部運行在數(shù)據(jù)中心的服務(wù)器上，集中進行安全管控；用戶無法隨意將各類的涉密信息從工作桌面上取走；可以制定嚴格的訪問策略，細粒度地控制最終用戶對桌面應(yīng)用的訪問權(quán)限，例如是否可以打印、復制粘貼或?qū)⑽募４娴奖镜?；實現(xiàn)客戶端與虛擬桌面之間的傳輸加密；支持關(guān)鍵應(yīng)用系統(tǒng)的用戶操作錄像審計，跟蹤和記錄用戶操作工程，方便回溯；支持基于角色的權(quán)限控制。最終用戶體驗良好的用戶體驗，虛擬桌面能夠提供與目前用戶使用的PC一樣的各種功能：如流暢地播放視頻，通過即時通訊軟件進行多媒體通信（包括雙向語音），流暢地觀看帶有flash的網(wǎng)頁，使用各種外設(shè)等。良好的外設(shè)支持：支持USB設(shè)備重定向、串口和并口重定向、本地磁盤重寫向，另外支持設(shè)置USB存儲設(shè)備黑白名單。終端設(shè)備上展現(xiàn)的虛擬桌面支持支持Flash的本地渲染，可流暢播放。支持動態(tài)圖像質(zhì)量調(diào)整。用戶的客戶端設(shè)備可以使用各種操作系統(tǒng)和配置的硬件設(shè)備來訪問桌面/應(yīng)用和數(shù)據(jù)。如：筆記本、PC機、瘦客戶機、各種智能手機、PDA、iPad等。管理員應(yīng)該有必要的監(jiān)測能力，評估最終用戶體驗和排除故障所需的工具，以找出問題，并計劃調(diào)整受到影響的服務(wù)質(zhì)量。未來終端用戶可以通過下列不同類型的網(wǎng)絡(luò)：高帶寬的LAN、低帶寬的WAN、Internet/3G、甚至用電話撥號的鏈路都可以流暢地進行工作。可管理性滿足用戶個性化，同時減化管理員工作量。操作系統(tǒng)采用單一模板部署，用戶自行安裝的軟件和數(shù)據(jù)重定向特定的個人盤，當操作系統(tǒng)更新時不會影響用戶安裝的軟件和個人數(shù)據(jù)。通過一個集成的管控界面實現(xiàn)對所有功能的操控；可靠性不存在直接影響整體架構(gòu)穩(wěn)定性的單點故障。所有功能組件必須支持冗余或高可用性，某些功能組件出現(xiàn)故障也不受影響所有用戶，其次允許個別用戶會話盡可能自動恢復。支持虛擬機故障檢測及快速回退。資源的高利用率通過采用服務(wù)器和瘦客戶機，實現(xiàn)硬件設(shè)備更長的更新周期；解決方案方案基于云巔?iConn桌面云方案構(gòu)建，云巔?iConn桌面云方案完全由云巔公司自主研發(fā)，從虛擬化內(nèi)核到用戶桌面的交付全部使用超融合架構(gòu)，云巔?iConn桌面云方案允許多個用戶桌面以虛擬機的形式獨立運行，同時共享CPU、內(nèi)存、網(wǎng)絡(luò)連接和存儲器等底層物理硬件資源。這種架構(gòu)將用戶彼此隔離開來，使每位用戶都擁有自己的操作系統(tǒng)，確保每個用戶的個性化和保留原有使用習慣，于此同時，可以對桌面實現(xiàn)應(yīng)用的管控和高效集中運維。架構(gòu)組成總體架構(gòu)拓撲圖該方案采用總部集中建設(shè)方案，數(shù)據(jù)中心建設(shè)在北京總部，所有分支機構(gòu)通過專線連接到北京總部進行集中訪問。該方案通過集中提供桌面云平臺，實現(xiàn)了應(yīng)用集中、數(shù)據(jù)集中和管理集中，從而避免了終端用戶的數(shù)據(jù)管理問題。部署架構(gòu)該方案采用分布式堆疊架構(gòu)，每臺服務(wù)器均保持獨立運行，通過軟件集群方式實現(xiàn)統(tǒng)一化管理，每臺服務(wù)器通過心跳線進行連接，確保服務(wù)器之前網(wǎng)絡(luò)結(jié)構(gòu)局域網(wǎng)絡(luò)：該網(wǎng)絡(luò)主要提供核心服務(wù)器的交換，并與樓層匯聚交換機連接，聯(lián)通各個辦公樓等廣域網(wǎng)絡(luò)：該網(wǎng)絡(luò)主要連接其他分公司辦公區(qū)域，實現(xiàn)業(yè)務(wù)數(shù)據(jù)互訪?；ヂ?lián)網(wǎng)絡(luò)該網(wǎng)絡(luò)通過外部互聯(lián)網(wǎng)絡(luò)接入，主要提供移動業(yè)務(wù)訪問，對外采用通過SSL443加密傳輸，且桌面云在網(wǎng)絡(luò)上不傳輸真實數(shù)據(jù)，保證數(shù)據(jù)安全傳輸。網(wǎng)絡(luò)帶寬需求桌面云網(wǎng)絡(luò)流量主要傳輸桌面云的桌面畫面信息，平均每用戶建議保留至少256kbps.訪問方式PC或瘦客戶機訪問流程介紹可通過PC瀏覽器(IE,Firefox,Chrome,Safari)訪問統(tǒng)一的訪問門戶，輸入用戶名和密碼：系統(tǒng)會根據(jù)用戶的權(quán)限和分配的資源自動顯示其桌面，用戶可以在頁面中預覽之前的桌面狀態(tài)，并可直接點擊進入如下圖，系統(tǒng)自動以html5方式呈現(xiàn)用戶桌面，用戶無需安裝任何客戶端應(yīng)用。手機或Pad訪問流程介紹訪問流程截圖訪問AppStore，輸入owtware下載Owtwarelens程序點擊Owtwarelens程序圖標，打開程序輸入用戶名、密碼出現(xiàn)用戶桌面，點擊桌面進入進入Windows桌面系統(tǒng)支持移動設(shè)備本地鍵盤輸入，包括中文和英文安全管控身份安全管理設(shè)計本系統(tǒng)與傳統(tǒng)桌面云方案的不同在于不依賴微軟AD域，大多數(shù)傳統(tǒng)的桌面虛擬化廠商方案幾乎都必須依賴微軟AD域作為認證核心節(jié)點，這對于大多數(shù)中國用戶來說，他們將面臨著不僅僅是用戶管理的變化，包括原有的網(wǎng)絡(luò)結(jié)構(gòu)、應(yīng)用環(huán)境、用戶權(quán)限都要發(fā)生較大的變化，這往往導致了項目上線后各種兼容性問題。云巔著眼中國用戶IT現(xiàn)狀，自主研發(fā)了多認證體系支持，不依賴于AD域，提供內(nèi)置的用戶認證模塊，并支持與第三方LDAP及雙因素認證進行對接，充分理解中國用戶的實際需求，提供開放、安全的用戶認證管理平臺，并高效融合在系統(tǒng)中，高度可靠、安全。數(shù)據(jù)安全管理設(shè)計數(shù)據(jù)與設(shè)備輸入輸出控制系統(tǒng)自帶針對數(shù)據(jù)與外設(shè)的控制，包括如下幾個方面安全控制內(nèi)容內(nèi)容說明USB外設(shè)可針對具體USB設(shè)備的唯一ID識別號來啟用或禁用該設(shè)備的使用，包括打印機、掃描儀等客戶端共享文件夾可針對用戶PC本地磁盤的映射數(shù)據(jù)的傳輸進行控制，可進行雙向、只讀的控制，避免非法數(shù)據(jù)帶入粘貼板可針對用戶的粘貼行為進行控制，包括單向、雙向粘貼內(nèi)容音頻控制包括對揚聲器、麥克風的支持控制視頻播放包括對攝像頭、視頻流的支持控制傳統(tǒng)端口設(shè)備包括對串口等舊有接口設(shè)備的支持控制打印使用審計控制可以對用戶打印的文件進行XPS格式的存檔，后期可以追溯用戶打印的文件及文件內(nèi)容。屏幕錄像審計控制可以對用戶屏幕操作行為進行全屏錄像，后期可以隨時調(diào)閱用戶的錄像審計，直觀展示用戶的桌面行為。病毒防控安全設(shè)計采用三級安全控制用戶虛擬機采用非持久方式，用戶退出桌面后自動清除用戶數(shù)據(jù)之外產(chǎn)生的臨時數(shù)據(jù)，實現(xiàn)系統(tǒng)自恢復，使得病毒等沒有殘留的余地，保證系統(tǒng)的安全！控制用戶數(shù)據(jù)交互通道，例如USB、磁盤映射、粘貼板等的控制，減少外部非安全數(shù)據(jù)的輸入，降低病毒防控風險通過集中文件存儲，在相應(yīng)的文件服務(wù)器上進行統(tǒng)一的防病毒操作，實現(xiàn)高效的病毒防控網(wǎng)絡(luò)安全訪問設(shè)計本方案在網(wǎng)絡(luò)上傳輸?shù)膬H是Windows操作系統(tǒng)的圖形指令，沒有其他與用戶相關(guān)的文件和數(shù)據(jù)系統(tǒng)自身對外僅提供ssl443端口服務(wù)，實現(xiàn)內(nèi)外網(wǎng)隔離，保障用戶業(yè)務(wù)訪問安全，數(shù)據(jù)中心所有對外流量只需443一個端口實現(xiàn)接入和隔離！方案特點高效的管理與運維傳統(tǒng)桌面虛擬化解決方案給用戶帶來了便捷高效的同時，也提高了信息化管理人員的技術(shù)門檻。桌面云管理員需要具備PC管理人員+服務(wù)器存儲管理人員+桌面云軟件管理人員+服務(wù)器虛擬化管理員+數(shù)據(jù)庫管理和備份管理人員+AD域管理員等，如某一個環(huán)節(jié)人員技術(shù)實力跟不上，就會給整個桌面云項目帶來影響；從用人成本來說，不但沒有下降反而提升了；云巔桌面云采用新一代硬件超融合架構(gòu)，無需配置存儲，也不需要配置額外的數(shù)據(jù)庫，支持AD域但不依賴AD域，將桌面云的管理運維難度降到普通PC管理員即可輕松上手，充分利用現(xiàn)有終端管理技術(shù)資源，降低了運維難度?？焖俨渴稹⒕€性擴容傳統(tǒng)桌面虛擬化方案由各種復雜的硬件，及各種第三方軟件組成，整個安裝實施步驟復雜，某一個環(huán)節(jié)出現(xiàn)問題就會影響整個項目的進度及穩(wěn)定性。而當需要進行傳統(tǒng)桌面虛擬化系統(tǒng)擴容時，各組件、系統(tǒng)相互牽連，往往需要重新評估和升級，不然無法滿足現(xiàn)有業(yè)務(wù)需求；云巔采用超融合分布式架構(gòu)，信息技術(shù)人員可以通過一鍵安裝的形式將云巔云平臺整合到一臺X86工業(yè)標準服務(wù)器中，整個安裝實施簡單，并以此為基礎(chǔ)單元實現(xiàn)線性、海量擴容，擴容時只需購買X86服務(wù)器和軟件許可，無需對原有硬件進行升級或擴容；軟件的超融合最大程度上降低了安裝部署及后期擴容實施的復雜度；而且能有效的控制初期投入及未來的擴容成本；分布式架構(gòu)系統(tǒng)采用了分布式架構(gòu)，整體架構(gòu)更加靈活和可伸縮，針對大型企業(yè)，多數(shù)據(jù)中心和分支機構(gòu)的實際情況，系統(tǒng)支持分布式部署與集中式部署等多種交付模式，從而滿足不同應(yīng)用規(guī)模的需求。用戶體驗傳統(tǒng)桌面虛擬化方案中必須在每臺虛擬桌面操作系統(tǒng)中安裝Agent代理程序，用戶通過虛擬桌面agent程序獲得屏幕畫面及鼠標鍵盤信息的交互，因此用戶對虛擬桌面的操作都是通過代理程序提供服務(wù)；由于代理程序是運行在虛擬桌面中，因此其非常脆弱：AD故障、DNS故障、網(wǎng)絡(luò)故障、程序沖突、用戶誤刪文件甚至是禁用網(wǎng)卡等任何問題都可能影響正常工作，而且故障診斷定位非常困難。云巔桌面云服務(wù)不再依賴操作系統(tǒng)內(nèi)部的代理程序，用戶對桌面的任意操作都不會影響連接！即便用戶禁用了虛擬桌面的網(wǎng)卡，訪問連接仍然保持不會中斷；用戶操作虛擬桌面就像操作物理PC一樣的體驗。云巔桌面云可以提供多種登陸方式，客戶端，網(wǎng)頁，移動終端，而網(wǎng)頁登陸最具有代表性。可以直接通過web瀏覽器登陸桌面。只要在任何能打開web瀏覽器的設(shè)備上，都能輕松訪問。不需要安裝任何插件。給出差，家庭辦公員工提供了便利；高度的安全性傳統(tǒng)桌面虛擬化部署中需要在數(shù)據(jù)中心防火墻上為每個虛擬桌面開啟多個外部訪問端口如：443、80、1494、2598、4172等，大量端口開放口容易給信息化系統(tǒng)網(wǎng)絡(luò)帶來極大的隱患，而云巔桌面云僅需開啟443端口即可，協(xié)議通信、管理、登陸都在統(tǒng)一443端口中進行SSL加密傳輸；如要發(fā)布外網(wǎng)中，只需對應(yīng)內(nèi)網(wǎng)443端口即可。從整體信息化網(wǎng)絡(luò)建設(shè)來說，為避免造成網(wǎng)絡(luò)攻擊，黑客攻擊等問題，肯定是對外端口越少越好；整個桌面云傳輸采用NSP協(xié)議，該協(xié)議在網(wǎng)絡(luò)上僅傳輸屏幕變化、鼠標鍵盤及一些外設(shè)信息，并通過SSL加密傳輸，所有數(shù)據(jù)仍然保留在數(shù)據(jù)中心，數(shù)據(jù)集中安全可控。自主可控并可根據(jù)用戶需求定制化與客制化目前市場上的虛擬化架構(gòu)主要有：KVM、XEN、Hyper-V、VMware，不同的架構(gòu)體系所代表的產(chǎn)品功能之間會有差異，比如虛擬機畫面?zhèn)鬏?，USB設(shè)備映射等，10年前就已經(jīng)提出的虛擬化技術(shù)路線，一直延伸到現(xiàn)在；隨著信息化技術(shù)的發(fā)展需要，各廠商需要不斷的完善自己的產(chǎn)品，而伴隨著就是不同的組件，不同的軟件搭配起來的解決方案，企業(yè)需要的是一種適合自己的私有云方案，而非虛擬化技術(shù)。云巔桌面云是一個滿足所有終端用戶計算服務(wù)需求的云平臺，建立在強大的的云巔云平臺之上。針對各種復雜的業(yè)務(wù)挑戰(zhàn)，提供最終用戶計算服務(wù)所需的存儲管理、設(shè)備管理、用戶生命周期管理、虛擬機管理、自助門戶和遠程訪問支持。云巔桌面云從底層虛擬化平臺到用戶訪問協(xié)議都是自主研發(fā)，并有自主知識產(chǎn)權(quán)，系統(tǒng)核心架構(gòu)師擁有微軟和Facebook十多年的軟件研發(fā)經(jīng)驗，研發(fā)團隊掌握多項云計算領(lǐng)域的核心技術(shù)，完全掌控所有核心代碼，我們可以根據(jù)不同的客戶交付不同風格的產(chǎn)品。方案對比比傳統(tǒng)方案更易于部署從上圖中，我們可以看出，傳統(tǒng)的VDI(如Citrix、VMware等)需要部署大量的第三方管理組件，包括AD域、數(shù)據(jù)庫、連接服務(wù)器、許可證服務(wù)器等，所有組件均構(gòu)建在WindowsServer服務(wù)器之上，部署極其復雜。云巔采用超融合架構(gòu)，整個安裝過程僅需一張光盤3個步驟，軟件高度融合，簡化部署過程，并通過分布式架構(gòu)，后期升級無縫平滑，按需增加即可擴展整體規(guī)模。比傳統(tǒng)方案更易于管理云巔采用超融合架構(gòu)，整個架構(gòu)僅需一個控制臺，根據(jù)不同用戶權(quán)限授予不同的管理使用能力，訪問管理簡潔，管理員和用戶入門快，所有復雜的數(shù)據(jù)庫、底層管理架構(gòu)均由云巔超融合管理平臺進行了整合，相較傳統(tǒng)VDI方案復雜的管理架構(gòu)，云巔統(tǒng)一融合的架構(gòu)易于管理和維護。比傳統(tǒng)方案體驗更好云巔NSP協(xié)議能夠提供最佳的桌面用戶體驗，特別是外設(shè)的支持，針對中國用戶特殊外設(shè)提供定制化，滿足中國用戶特殊外設(shè)的應(yīng)用需求。除此之外，對于云巔提供全面的系統(tǒng)支持，不僅僅是Windows桌面的交付，還能提供Linux系統(tǒng)的交付，且云巔平臺采用無代理架構(gòu)，用戶具有完整的桌面用戶體驗，且任何操作都不會影響桌面訪問的穩(wěn)定性。而反觀傳統(tǒng)VDI方案，用戶在桌面中的行為直接影響著虛擬桌面訪問的穩(wěn)定性，甚至用戶修改IP地址這種在桌面PC環(huán)境下看似正常的操作，到了傳統(tǒng)VDI廠商的方案中卻成了非法操作。云巔從架構(gòu)上徹底解決這些用戶體驗問題，提供用戶最佳的用戶訪問體驗。云巔采用無代理架構(gòu)，用戶桌面從虛擬化底層進行傳統(tǒng)，與用戶操作系統(tǒng)完全隔離，確保用戶體驗與桌面訪問的獨立性，保障用戶體驗和訪問性能。比傳統(tǒng)方案成本更低傳統(tǒng)VDI廠商需要大量的第三方產(chǎn)品來構(gòu)建他們的整體解決方案，實現(xiàn)同樣的效果云巔無需使用任何第三方軟硬件要求，從而大幅減少了整體投資成本。與傳統(tǒng)方案綜合比較方案配置清單硬件需求清單類型配置參數(shù)數(shù)量備注單價（元）總價（元）服務(wù)器CPU：2*IntelXeonE2600