深信服桌面平移產(chǎn)品應(yīng)用解決方案

PAGE桌面平移產(chǎn)品應(yīng)用解決方案深信服科技有限公司201桌面平移產(chǎn)品應(yīng)用解決方案文檔密級：保密PAGEi深信服科技版權(quán)所有目錄TOC\o"2-3"\h\z\t"標(biāo)題1,1,SANGFOR_1_標(biāo)題1,1"第1章 需求背景 1第2章 深信服手機(jī)遠(yuǎn)程移動辦公解決方案價(jià)值 12.1 方案價(jià)值 12.1.1 系統(tǒng)信息化使用性加強(qiáng) 22.1.2 信息安全性加強(qiáng) 22.1.3 降低IT運(yùn)營成本 22.1.4 深信服手機(jī)遠(yuǎn)程移動辦公方案信息交付模式 32.1.5 設(shè)備部署方式 3第3章 深信服手機(jī)遠(yuǎn)程移動辦公方案技術(shù)特點(diǎn) 43.1 遠(yuǎn)程辦公的快速部署和發(fā)布 43.2 遠(yuǎn)程移動辦公穩(wěn)定性 43.2.1 會話復(fù)用技術(shù)： 43.2.2 資源服務(wù)器的負(fù)載均衡： 53.3 擴(kuò)展和易用性 53.3.1 多線路備份 53.3.2 集群技術(shù) 53.4 用戶管理-身份認(rèn)證 63.4.1 多種方式混合認(rèn)證 63.4.2 短信認(rèn)證 63.4.3 硬件綁定（HardCA） 73.4.4 CA認(rèn)證 83.4.5 LDAP認(rèn)證、Radius認(rèn)證 93.4.6 強(qiáng)密碼保護(hù)功能 10第4章 手機(jī)遠(yuǎn)程移動辦公實(shí)現(xiàn) 12需求背景近年來，隨著眾多單位信息化建設(shè)的發(fā)展與加強(qiáng)，組織機(jī)構(gòu)對于辦公的靈活與開放性需求得到顯著突顯，實(shí)現(xiàn)電子化無紙化辦公已成為眾多單位的迫切要求。黔源電力結(jié)合移動互聯(lián)網(wǎng)的發(fā)展趨勢及自身的管理特點(diǎn)，從提高企業(yè)內(nèi)部辦公質(zhì)量及辦公效率的角度出發(fā)，提出了本次手機(jī)遠(yuǎn)程移動辦公的建設(shè)方向。建設(shè)目標(biāo)主要是能夠?qū)崿F(xiàn)隨時(shí)隨地通過手機(jī)終端遠(yuǎn)程訪問本部各辦公系統(tǒng)，包括OA辦公，水情等生產(chǎn)系統(tǒng)等；即使是龐大的應(yīng)用客戶端，也能實(shí)現(xiàn)發(fā)布在任何一臺智能終端手機(jī)上，從而實(shí)現(xiàn)快捷地移動辦公，所有系統(tǒng)上數(shù)據(jù)和資料都將存儲在服務(wù)器端，保證數(shù)據(jù)的使用安全。深信服手機(jī)遠(yuǎn)程移動辦公解決方案價(jià)值方案價(jià)值深信服手機(jī)遠(yuǎn)程移動辦公方案，在總部設(shè)置應(yīng)用終端服務(wù)器，采用RDP協(xié)議，直接將服務(wù)器應(yīng)用程序，傳輸至訪問手機(jī)端，訪問手機(jī)端直接就可以訪問應(yīng)用系統(tǒng)。采用深信服手機(jī)遠(yuǎn)程移動辦公方案，可以實(shí)現(xiàn)以下效果系統(tǒng)信息化使用性加強(qiáng)管理集中化：應(yīng)用終端集中安裝在服務(wù)器端，維護(hù)工作集中化。IT管理員只需要維護(hù)服務(wù)器即可，使用者終端的訪問控件自動下發(fā)、統(tǒng)一自動升級，免除維護(hù)；信息安全性加強(qiáng)1、采用集中化部署，數(shù)據(jù)存儲、運(yùn)行都在中心端，使得數(shù)據(jù)不達(dá)到終端而保證數(shù)據(jù)的絕對安全；2、深信服手機(jī)遠(yuǎn)程移動辦公方案，發(fā)布的數(shù)據(jù)除了進(jìn)行優(yōu)化處理，還進(jìn)行SSL安全封裝，保證數(shù)據(jù)在傳輸過程中的安全可靠；3、深信服手機(jī)遠(yuǎn)程移動辦公方案，還可以選用各種認(rèn)證方式，包括短信認(rèn)證、手機(jī)硬件特征碼等各種認(rèn)證，確保身份登錄安全；4、深信服手機(jī)遠(yuǎn)程移動辦公方案，針對應(yīng)用的訪問具有嚴(yán)格的細(xì)化權(quán)限分配機(jī)制，細(xì)化授權(quán)保證用戶登錄。降低IT運(yùn)營成本1、終端成本極大降低：程序運(yùn)行于服務(wù)端，手機(jī)終端無論是何種類型操作系統(tǒng)（安卓或是IOS），無論是哪種3G網(wǎng)絡(luò)，均可接入訪問，從而節(jié)省手機(jī)終端投入成本；2、IT維護(hù)成本降低：日常的IT維護(hù)工作都只圍繞著中心開展，包括配置、升級、優(yōu)化等各種工作，讓IT部門得以集中精力，減少繁雜的終端維護(hù)工作；深信服手機(jī)遠(yuǎn)程移動辦公方案信息交付模式部署深信服手機(jī)遠(yuǎn)程移動硬件設(shè)備；在應(yīng)用終端服務(wù)器上安裝SANGFORRemoteAppAgent，用來提供遠(yuǎn)程應(yīng)用服務(wù)和監(jiān)控服務(wù)器狀態(tài)信息的程序；手機(jī)客戶端自動下發(fā)RemoteAppClient：部署在用戶終端的用來連接終端服務(wù)器使用遠(yuǎn)程應(yīng)用資源的應(yīng)用程序。此程序?qū)㈦S第一次用戶登錄時(shí)隨控件一起下發(fā)，無需手動干預(yù)安裝；手機(jī)移動辦公交互過程為：通過手機(jī)應(yīng)用發(fā)布模塊進(jìn)行總體的調(diào)度，當(dāng)用戶啟用發(fā)布資源時(shí)，相應(yīng)的應(yīng)用服務(wù)器上的RemoteAppAgent獲取服務(wù)器上的資源信息，并且把相關(guān)信息如安裝路徑、運(yùn)行情況、系統(tǒng)運(yùn)行的結(jié)果等信息傳輸給手機(jī)遠(yuǎn)程移動硬件設(shè)備。而在手機(jī)客戶端，RemoteAppClient用于接受服務(wù)器的信息，并且把本地的輸入指令傳輸至服務(wù)器。設(shè)備部署方式深信服手機(jī)遠(yuǎn)程移動硬件設(shè)備可以選擇單臂模式部署，無需對現(xiàn)有網(wǎng)絡(luò)做任何的拓?fù)涓模荷钚欧謾C(jī)遠(yuǎn)程移動辦公方案技術(shù)特點(diǎn)遠(yuǎn)程辦公的快速部署和發(fā)布深信服手機(jī)遠(yuǎn)程移動辦公方案，部署特點(diǎn)：1、終端安裝于應(yīng)用終端服務(wù)器上；所有的維護(hù)工作、升級、補(bǔ)丁工作都僅僅對終端服務(wù)器進(jìn)行操作，不涉及到眾多的手機(jī)客戶端；2、深信服方案采用的是硬件設(shè)備，系統(tǒng)核心的穩(wěn)定性不依賴于外部服務(wù)器，使用內(nèi)置的獨(dú)立的控制臺進(jìn)行配置，所有的策略效果統(tǒng)一下發(fā)；3、訪問者直接使用CS客戶端進(jìn)行登錄，無需輸入任何地址，所有的控件與配置進(jìn)行自動下發(fā)；基于以上特性，整體方案部署對公司正在進(jìn)行的業(yè)務(wù)作業(yè)的影響力降到最低。遠(yuǎn)程移動辦公穩(wěn)定性會話復(fù)用技術(shù)：為了減少服務(wù)器的負(fù)擔(dān)，應(yīng)有發(fā)布內(nèi)核將與部署于服務(wù)器端的RemoteAppAgent之間采用會話復(fù)用技術(shù)，用戶在發(fā)起新的訪問時(shí)，將復(fù)用之間已經(jīng)建立起來的連接會話，這樣一方面可以減少建立連接的響應(yīng)時(shí)間，讓終端更快得到服務(wù)器的響應(yīng)，另外一方面是讓服務(wù)器不會因?yàn)楸活l繁訪問而反復(fù)新建會話，這樣可以節(jié)約大量的服務(wù)器性能；資源服務(wù)器的負(fù)載均衡：如果資源發(fā)布采用采用多臺服務(wù)器實(shí)現(xiàn)服務(wù)時(shí)，系統(tǒng)將管理維護(hù)終端服務(wù)器會話情況和CPU使用率情況，當(dāng)客戶端請求一個(gè)遠(yuǎn)程應(yīng)用資源時(shí)，根據(jù)客戶端參數(shù)“復(fù)用已有會話”，若已經(jīng)與該用戶建立會話的服務(wù)器上存在該資源，則在此會話上打開該資源應(yīng)用程序，如果沒有之前就建立起來的會話，將根據(jù)服務(wù)器的運(yùn)行狀態(tài)，選擇該資源關(guān)聯(lián)的服務(wù)器中負(fù)載最小的一臺服務(wù)器，響應(yīng)用戶的請求，從而讓用戶得到更佳的資源訪問體驗(yàn)。擴(kuò)展和易用性多線路備份由于VPN的穩(wěn)定性是依賴于線路本身的穩(wěn)定性，若采用單條線路，一旦中斷，將造成整個(gè)VPN系統(tǒng)陷入癱瘓。深信服手機(jī)遠(yuǎn)程移動辦公方案支持多線路備份功能，大大提高了VPN網(wǎng)絡(luò)的穩(wěn)定性。通過多線路帶寬迭加及復(fù)用技術(shù)（專利號：ZL200310112006.X），將多條線路、不同方式接入方式的上網(wǎng)線路實(shí)現(xiàn)進(jìn)行智能備份，保證了整個(gè)系統(tǒng)的持續(xù)可靠運(yùn)行。若任何一條線路出現(xiàn)故障，此方案可以將實(shí)時(shí)數(shù)據(jù)無縫切換到其他正常線路，不會影響用戶的接入和訪問。正在進(jìn)行訪問的用戶，將會通過客戶端的監(jiān)守程序?qū)€路狀況進(jìn)行實(shí)時(shí)探測，若是發(fā)現(xiàn)當(dāng)前線路隧道斷開，則立即完成數(shù)據(jù)傳輸隧道的切換，從正常的線路發(fā)送數(shù)據(jù)與硬件設(shè)備端通信。并且若故障線路恢復(fù)正常，VPN的連接隧道將自動愈合。線路的切換完全自動進(jìn)行，無需人工干預(yù)，保證了用戶的重要應(yīng)用持續(xù)、不間斷地穩(wěn)定運(yùn)行。集群技術(shù)隨著組織規(guī)模的增大和信息平臺的逐步推廣，原有的設(shè)備性能若不能很好的滿足用戶接入的并發(fā)需求。若是重新購置一臺更高端的設(shè)備，將導(dǎo)致原有購買設(shè)備的投資浪費(fèi)。同時(shí)，手機(jī)遠(yuǎn)程移動辦公作為支撐整個(gè)業(yè)務(wù)系統(tǒng)的基礎(chǔ)平臺必須具有合理高效的冗余備份功能。僅使用一臺設(shè)備提供應(yīng)用發(fā)布服務(wù)，若因斷電等原因?qū)е略O(shè)備不能正常工作，對企業(yè)造成的業(yè)務(wù)影響將非常嚴(yán)重。對于性能穩(wěn)定和應(yīng)用發(fā)布穩(wěn)定的雙重問題，深信服通過253臺的非對稱集群功能提供負(fù)載均衡、穩(wěn)定保障、性能擴(kuò)充的解決方案。集群設(shè)備示意圖如下，用戶可根據(jù)性能要求、穩(wěn)定性要求選擇合適的設(shè)備構(gòu)成集群組，整個(gè)集群組對外僅顯示為同一集群IP地址。對于用戶而言，僅需要使用一個(gè)統(tǒng)一的地址接入，集群設(shè)備對其完全透明。用戶管理-身份認(rèn)證多種方式混合認(rèn)證許多部署在局域網(wǎng)內(nèi)重要的應(yīng)用都是采用最簡單的用戶名密碼進(jìn)行驗(yàn)證。使用單一用戶名密碼進(jìn)行驗(yàn)證存在帳號密碼遭人盜用而導(dǎo)致越權(quán)訪問的問題，尤其對于重要的應(yīng)用系統(tǒng)如財(cái)務(wù)、客戶信息等限定在特定部門、特定人員訪問的核心系統(tǒng)，一旦遭遇用戶名密碼被盜竊，其后果所造成的威脅將是不可估量的。深信服手機(jī)遠(yuǎn)程移動辦公方案支持多種認(rèn)證方式的多因素組合認(rèn)證，除了最基本的用戶名密碼認(rèn)證之外，還支持LDAP/AD、Radius、CA等第三方認(rèn)證，支持硬件特征碼、短信認(rèn)證（短信貓和短信網(wǎng)關(guān)）等加強(qiáng)認(rèn)證方式。單一的認(rèn)證方式容易被暴力破解，為了進(jìn)一步提高身份認(rèn)證的安全性，深信服創(chuàng)新性提出混合認(rèn)證，針對以上認(rèn)證方式可以進(jìn)行多因素的“與”、“或”組合認(rèn)證?！芭c”組合認(rèn)證可實(shí)現(xiàn)多達(dá)5種以上認(rèn)證方式的捆綁，必須同時(shí)滿足才能夠接入系統(tǒng)?！盎颉苯M合認(rèn)證可對于以上幾種認(rèn)證方式進(jìn)行或組合，只要通過一種認(rèn)證方式即可接入到應(yīng)用系統(tǒng)中。通過多因素組合認(rèn)證大大加強(qiáng)認(rèn)證安全的強(qiáng)度，確保接入應(yīng)用的用戶的身份的確認(rèn)性。短信認(rèn)證當(dāng)用戶在進(jìn)登錄認(rèn)證時(shí)，短信服務(wù)器將為該用戶自動生成一個(gè)6位的數(shù)字隨機(jī)認(rèn)證碼，并以短信的方式發(fā)送到用戶所綁定手機(jī)號碼的手持終端上，用戶即可在認(rèn)證界面上輸入該6位認(rèn)證碼通過短信認(rèn)證。短信認(rèn)證很好的解決的多因素認(rèn)證安全性與使用便捷性的問題。對于短信服務(wù)器端，深信服支持短信貓及短信網(wǎng)關(guān)兩種方式。短信貓為小硬件設(shè)備，將短信貓連入設(shè)備的CONSOLE口并進(jìn)行相應(yīng)配置即可實(shí)現(xiàn)短信認(rèn)證功能。若機(jī)房內(nèi)電磁屏蔽效果較好，為了保證使用短信貓發(fā)送隨機(jī)認(rèn)證碼短信的效果，也可在內(nèi)網(wǎng)中選擇一臺電腦安裝短信認(rèn)證軟件，并將短信貓接入電腦的COM口，同樣可實(shí)現(xiàn)短信認(rèn)證的效果。如果您的網(wǎng)絡(luò)中已經(jīng)部署了短信網(wǎng)關(guān)（移動和聯(lián)通短信網(wǎng)關(guān)），深信服可以和您的短信網(wǎng)關(guān)結(jié)合，實(shí)現(xiàn)短信認(rèn)證。硬件綁定（HardCA）對于僅使用用戶名/密碼認(rèn)證的用戶，為了保證用戶登錄限定在某一部或是某幾部手機(jī)終端上，因用戶帳號意外泄漏、帳號盜用導(dǎo)致數(shù)據(jù)的泄露問題，可對登錄終端進(jìn)行綁定。通常的終端綁定都是采用IP、MAC、IP/MAC綁定的方式實(shí)現(xiàn)，但是對于手機(jī)遠(yuǎn)程應(yīng)用用戶，采用這樣的終端訪問方式是不合適的。移動用戶需要走出局域網(wǎng)遠(yuǎn)程訪問，IP地址經(jīng)常是不固定的。而標(biāo)識網(wǎng)卡的MAC地址也能進(jìn)行手工的改動，導(dǎo)致終端存在被仿冒的威脅。深信服打破常規(guī)，通過終端的硬件特征碼綁定實(shí)現(xiàn)硬件終端的唯一標(biāo)識。通過獲取客戶端的不可改變的硬件信息，如CPU、硬盤、網(wǎng)卡等信息生成數(shù)字證書，并對證書和用戶進(jìn)行綁定實(shí)現(xiàn)用戶身份的唯一性控制。當(dāng)用戶登，客戶端的控件就會自動獲取終端的硬件信息生成一串?dāng)?shù)字與字母結(jié)合的HardID并傳送到手機(jī)辦公方案設(shè)備。需要進(jìn)行綁定的賬號用戶工作平臺若是在不同的客戶端上，我們可按不同用戶、用戶組實(shí)際需要設(shè)置不同的特征碼的個(gè)數(shù)（1-100個(gè)硬件特征碼），保證終端綁定安全的基礎(chǔ)上實(shí)現(xiàn)人性化的管理。硬件特征碼配置界面啟用了硬件特征碼認(rèn)證的用戶在通過我們的設(shè)備登錄身份認(rèn)證時(shí)，設(shè)備將自動獲取終端CPU、硬盤、網(wǎng)卡的硬件信息并生成特征碼提交到設(shè)備進(jìn)行硬件特征碼認(rèn)證，若該特征碼與該用戶名下的特征碼匹配不上，即采用非法終端登錄，系統(tǒng)將判斷該用戶為非法登錄，拒絕通過認(rèn)證。通過硬件特征碼認(rèn)證，很好的保證了用戶登錄的唯一性，一方面可在無需追加投資的基礎(chǔ)上實(shí)現(xiàn)雙因素認(rèn)證，避免單一用戶名密碼遭竊后造成的越權(quán)訪問。另一方面，通過硬件特征碼的唯一確定性，確保了用戶登錄范圍的圈定，尤其對于某些重要的應(yīng)用系統(tǒng)可限定僅使用個(gè)別安全級別高的終端登錄，保證系統(tǒng)、數(shù)據(jù)安全性。CA認(rèn)證深信服手機(jī)遠(yuǎn)程移動辦公安全網(wǎng)關(guān)內(nèi)置了CA中心，完美支持PKI體系。通過內(nèi)置CA中心，企業(yè)或者事業(yè)單位可自建CA，避免單獨(dú)購買CA的額外投資，減少投入成本。同時(shí)，深信服安全網(wǎng)關(guān)也可無縫支持已有的第三方CA認(rèn)證。LDAP認(rèn)證、Radius認(rèn)證LDAP組織已經(jīng)采用LDAP進(jìn)行用戶的管理，深信服方案可與LDAP進(jìn)行聯(lián)動，只需在設(shè)備中根據(jù)LDAP中的OU組結(jié)構(gòu)建立用戶組結(jié)構(gòu)，并為用戶組綁定相應(yīng)的OU結(jié)構(gòu)，無需在設(shè)備中一個(gè)個(gè)建立具體用戶。當(dāng)用戶提交用戶名密碼進(jìn)行身份認(rèn)證時(shí)，系統(tǒng)自動將此認(rèn)證信息提交給LDAP進(jìn)行認(rèn)證，并根據(jù)反饋信息判斷該用戶是否為合法用戶。當(dāng)用戶通過了LDAP認(rèn)證，我們的方案將根據(jù)LDAP返回該用戶的OU值，將該用戶自動歸于綁定了該OU的用戶組，該用戶即享用該用戶組所有認(rèn)證、策略、授權(quán)等屬性。同時(shí)，此方案可讀取LDAP中用戶的手機(jī)號碼、IP屬性，方便實(shí)現(xiàn)短信認(rèn)證和虛擬IP的綁定。通過與LDAP的聯(lián)動，大大降低管理員對用戶管理的維護(hù)工作量。Radius組織中已經(jīng)采用Radius進(jìn)行用戶的認(rèn)證管理，可進(jìn)行與Radius的聯(lián)動。在此方案中建立相應(yīng)的用戶組結(jié)構(gòu)，并勾選Radius認(rèn)證并綁定相應(yīng)的Class屬性值。但用戶提交用戶名密碼認(rèn)證信息時(shí)，方案中的ius協(xié)議格式向Radius服務(wù)器發(fā)起認(rèn)證請求，Radius將返回認(rèn)證結(jié)果。若Radius認(rèn)證通過，則將在返回給設(shè)備的包中捎帶Class分組屬性，并綁定該屬性的用戶組賦予該用戶相應(yīng)的認(rèn)證、策略、授權(quán)等屬性。若Radius認(rèn)證未通過，則將拒絕該用戶登錄。同樣為了實(shí)現(xiàn)認(rèn)證的多樣保證身份安全，深信服支持讀取Radius中的手機(jī)號碼屬性，從而跟短信認(rèn)證可以完美結(jié)合，實(shí)現(xiàn)雙因素的認(rèn)證。深信服支持讀取Radius中的IP屬性段，從而進(jìn)行虛擬IP的綁定，保證通過Radius認(rèn)證也同樣可進(jìn)行正常的IP資源訪問。通過Radius的結(jié)合，可實(shí)現(xiàn)統(tǒng)一的用戶管理，提高管理員的管理效率。第三方數(shù)據(jù)庫結(jié)合組織中使用MySQL、SQLServer、Oracle、Access等數(shù)據(jù)庫系統(tǒng)保存用戶的賬號、密碼等認(rèn)證、屬性信息，對組織內(nèi)賬號信息進(jìn)行管理。方案同樣可進(jìn)行與數(shù)據(jù)庫系統(tǒng)中的用戶認(rèn)證信息進(jìn)行結(jié)合，實(shí)現(xiàn)統(tǒng)一管理?？稍趦?nèi)網(wǎng)中一臺主機(jī)上安裝深信服提供的Sradius軟件構(gòu)建一臺簡單的RADIUS服務(wù)器進(jìn)行數(shù)據(jù)庫用戶信息的讀取。當(dāng)用戶提交認(rèn)證信息時(shí)，將會將用戶名密碼提交給Sradius服務(wù)器，由Sradius服務(wù)器讀取后臺數(shù)據(jù)庫相應(yīng)信息進(jìn)行認(rèn)證判斷，從而實(shí)現(xiàn)與數(shù)據(jù)庫的聯(lián)動。強(qiáng)密碼保護(hù)功能整個(gè)組織的局域網(wǎng)往往具備了防火墻、防病毒等各項(xiàng)安全防護(hù)措施，但使用SSL進(jìn)行登錄的客戶端卻是在組織網(wǎng)絡(luò)的保護(hù)層之外，直接暴露在互聯(lián)網(wǎng)中的各種病毒、木馬、黑客攻擊的范圍之中。對于僅僅使用了用戶名密碼進(jìn)行認(rèn)證的用戶而言，最重要的就是保障密碼的安全，而現(xiàn)代技術(shù)的發(fā)展使得許多黑客采用暴破登錄的方式強(qiáng)攻密碼，以SSL用戶為突破口盜取組織內(nèi)部重要數(shù)據(jù)。深信服支持終端用戶的防暴破登錄設(shè)置，通過同用戶名登錄防暴破和同IP登錄防暴破設(shè)置徹底封殺已知用戶名暴破登錄和未知用戶名暴破登錄的種種可能。支持自定義設(shè)置封鎖恢復(fù)時(shí)間。單純使用用戶名密碼的用戶，對其密碼的保護(hù)更