|
1 引言 桌面虛擬化是指將計算機(jī)的桌面進(jìn)行虛擬化。以達(dá)到桌面使用的安全性和靈活性。用戶可以通過瘦客戶端、PC或者類似的設(shè)備在局域網(wǎng)或者遠(yuǎn)程訪問獲得與傳統(tǒng)終端一致的用戶體驗。 在政府部門、軍工企業(yè)等涉密網(wǎng)絡(luò)內(nèi)。信息的安全保密是至關(guān)重要的，但涉密網(wǎng)絡(luò)內(nèi)眾多的安全產(chǎn)品和軟件，加大了涉密信息系統(tǒng)的復(fù)雜性，制約了信息化應(yīng)用水平。在虛擬化技術(shù)，尤其是桌面虛擬化技術(shù)的快速發(fā)展的形勢下。能否在涉密網(wǎng)絡(luò)內(nèi)采用桌面虛擬化技術(shù)取代原有的終端桌面環(huán)境，提升信息化管理和維護(hù)水平，并保證信息的安全保密是很大的挑戰(zhàn)。 2 桌面虛擬化的優(yōu)勢 2．1降低成本 降低成本是很多人對桌面虛擬化所帶來好處的第一反應(yīng)，不過這個成本需要具體的分析。如果片面地認(rèn)為桌面虛擬化就是降低成本。則有可能產(chǎn)生一種誤解。不可否認(rèn)桌面虛擬化有降低成本的功效，但是具體情況要具體分析，尤其是初始成本方面，虛擬軟件、服務(wù)器、存儲設(shè)備以及網(wǎng)絡(luò)改造等一次性投入價格不菲，但如果把眼光放長遠(yuǎn)看，采用瘦客戶機(jī)或高性能PC配合無盤數(shù)據(jù)流模式進(jìn)行VDI(虛擬桌面架構(gòu))，就能體會出虛擬桌面在管理成本上的巨大優(yōu)勢。但這是一個“長線投資”，非?？简炛鞴苋藛T在TCO(總體擁有成本)方面的關(guān)注能力。所以，在初期桌面虛擬化并不等于降低成本，它的成本優(yōu)勢需要逐步顯現(xiàn)。 2．2便于企業(yè)IT對終端桌面的集中控管 借助于虛擬桌面，IT部門將所有的桌面管理收到了后端 的數(shù)據(jù)中心。足不出戶即可對桌面鏡像和相關(guān)的應(yīng)用進(jìn)行管理和維護(hù)，而這種管理與維護(hù)對于前端用戶來講是透明的。比如上萬個員工都是用同一個桌面鏡像，管理人員只需為這個 桌面鏡像打一次補(bǔ)丁，那么上萬個終端的桌面系統(tǒng)也就全部更新了。因此，虛擬桌面為企業(yè)IT管理提供了一個極好的管 理手段，而這種集中管理的快捷性，是傳統(tǒng)的物理桌面所不能 性。桌面虛擬化在涉密網(wǎng)內(nèi)的應(yīng)用數(shù)量并不是很常見，處于叫比擬 。 其實并不是桌面虛擬化之后就沒有個人桌面了，可以在本地桌面上再接收一個虛擬桌面或應(yīng)用，或者使用性能強(qiáng)勁的系統(tǒng)網(wǎng)絡(luò)引導(dǎo)進(jìn)入一個系統(tǒng)，或者通過硬盤引導(dǎo)進(jìn)入另一個系統(tǒng)等多種方式獲得個人獨(dú)有的桌面，來實現(xiàn)虛擬桌面與 本地個人桌面的并存。 2．3讓企業(yè)的數(shù)據(jù)與IT系統(tǒng)更為安全 桌面虛擬化少不了應(yīng)用虛擬化，而應(yīng)用的執(zhí)行是在后臺的數(shù)據(jù)中心里，那么應(yīng)用所產(chǎn)生的數(shù)據(jù)也就存儲在數(shù)據(jù)中心，而不是在用戶終端的存儲設(shè)備上，所以即使終端受損或是丟失，企業(yè)的應(yīng)用數(shù)據(jù)也不會遺失，并且使原來分散在個人客戶機(jī)硬盤內(nèi)的數(shù)據(jù)集中到數(shù)據(jù)中心的磁盤陣列上，得到了更高級別的性能和保護(hù)且便于集中備份管理，這也極大地提高了企業(yè)敏感數(shù)據(jù)的安全性。此外，即使你丟了電腦，也可以迅速的用另一臺電腦繼續(xù)辦公，因為數(shù)據(jù)都在后臺，并且由于桌面虛擬機(jī)在數(shù)據(jù)一側(cè)，可以享受到數(shù)據(jù)中心的災(zāi)備支持，做到“永不停機(jī)”，從而也就更好地保證了業(yè)務(wù)的連續(xù)性。 另一方面，由于企業(yè)IT管理員可以在后臺對桌面和應(yīng)用進(jìn)行集中的維護(hù)，在木馬、病毒的防護(hù)上肯定要比傳統(tǒng)分散的物理桌面要強(qiáng)得多，而傳統(tǒng)的物理桌面由于會接入內(nèi)部網(wǎng)絡(luò)，所以一個終端出問題，就可能殃及整個IT系統(tǒng)。對此，桌面虛擬化顯然有良好的免疫能力，即便鏡像文件受到感染，影響的也是虛擬機(jī)，可以更快地清除和恢復(fù)。 2.4提高商業(yè)合作效率與生產(chǎn)力 對于企業(yè)協(xié)同，比如企業(yè)的一些外包服務(wù)、協(xié)同的資料處理、臨時的多公司人員集中辦公等，由于每個公司的IT架構(gòu)與系統(tǒng)并不見得相同，所以也就為這種協(xié)同辦公帶來了諸多困難。而通過桌面虛擬化，企業(yè)可以為這些業(yè)務(wù)生成相應(yīng)的虛擬計算機(jī)，部署相應(yīng)的桌面和應(yīng)用，而數(shù)據(jù)可以透明地向后臺集中，待協(xié)作結(jié)束后，只需關(guān)閉相應(yīng)的虛擬機(jī)就可以了，無需為其再單獨(dú)購買IT終端，這也就意味著提高了企業(yè)的生產(chǎn)力。 另一個提高生產(chǎn)力的要素在于，桌面虛擬化的平臺無關(guān)性，即人為屬性和物理屬性。人為屬性是指，你用的可以不是你自己的電腦.只需上網(wǎng)登錄你的賬號就可以訪問你的桌面和應(yīng)用，從而實現(xiàn)“讓應(yīng)用如影隨行”。而物理屬性上，整個網(wǎng)絡(luò)系統(tǒng)、應(yīng)用系統(tǒng)是一個完整的整體，只要介入網(wǎng)絡(luò)就能訪問相應(yīng)的數(shù)據(jù)，保證了接入設(shè)備的無關(guān)性。 3 涉密網(wǎng)內(nèi)桌面虛擬化的部署難點(diǎn) 雖然桌面虛擬化有如此之多的優(yōu)點(diǎn)但由于涉密網(wǎng)的特殊性，桌面虛擬化在涉密網(wǎng)內(nèi)的應(yīng)用數(shù)量并不是很常見，處于叫好不叫座的尷尬局面，而涉密企業(yè)的信息安全是其中的重中之重?，F(xiàn)有涉密網(wǎng)都是嚴(yán)格按照“等級保護(hù)和分級保護(hù)”等相關(guān)國家有關(guān)規(guī)定建立起來的。其中軟硬件方面主要為以下幾部分: (1)身份認(rèn)證(主要為數(shù)字證書認(rèn)證key，也有如指紋識別等其它認(rèn)證方式)。 (2)審計軟件(包括應(yīng)用審計，端口審計等諸多功能)。 (3)防火墻(構(gòu)建服務(wù)器DMZ區(qū))。 (4)入侵檢測系統(tǒng)(保護(hù)網(wǎng)絡(luò)資源的機(jī)密性、完整性、可用性)。 (5)關(guān)鍵業(yè)務(wù)使用盤陣，并定期備份。 以上幾個方面雖然可以實現(xiàn)一個相對安全的企業(yè)環(huán)境，但是卻無法規(guī)避對于用戶終端系統(tǒng)、軟件、數(shù)據(jù)的維護(hù)和配置問題。對于企業(yè)信息中心來說最重要的難題是，如何既能保證滿足現(xiàn)階段的數(shù)據(jù)安全保護(hù)要求，又能減少對終端用戶的維護(hù)量和工作量，并能提高終端數(shù)據(jù)安全性，使終端用戶也能擁有與數(shù)據(jù)中心服務(wù)器相同的安全等級。 正是因為以上問題的普遍存在才出現(xiàn)了對桌面虛擬化產(chǎn)品的強(qiáng)烈需求，但由于涉密網(wǎng)內(nèi)環(huán)境的特殊性，很多情況下商用網(wǎng)內(nèi)的一些虛擬化桌面實施辦法又無法滿足涉密網(wǎng)內(nèi)的嚴(yán)格要求。比如涉密網(wǎng)內(nèi)的身份認(rèn)證等必備軟件，由于部署時間較早，軟件在研發(fā)過程中沒有考慮到虛擬化桌面的發(fā)展需要，且部分軟件公司為了保持自己軟件在用戶系統(tǒng)內(nèi)的主導(dǎo)地位，封閉了一些非通用的技術(shù)綁定關(guān)鍵應(yīng)用。這些都導(dǎo)致了桌面虛擬化應(yīng)用產(chǎn)品無法與其它軟件的兼容。正是由于以上原因的存在才導(dǎo)致了桌面虛擬化在涉密網(wǎng)內(nèi)推廣的舉步維艱。網(wǎng) 另外同一公司內(nèi)不同部門所處的職能不同，如果一味地選擇廠家推薦的部署方案:“統(tǒng)一將原有PC更換為瘦客戶機(jī)”，第一無法滿足研發(fā)人員對使用環(huán)境的要求，第二無法滿足研發(fā)人員對桌面環(huán)境性能的要求(VDI環(huán)境下圖形的處理性能低下，如3D設(shè)計等)。 所以說如果想使涉密網(wǎng)在滿足數(shù)據(jù)安全要求的前提下，想做一些改變，部署桌面虛擬化并能受益于其所帶來的好處，那么就不能局限于已有的商業(yè)案例或廠家推廣的那些來照搬到涉密網(wǎng)內(nèi)，而必須結(jié)合涉密網(wǎng)內(nèi)自身應(yīng)用情況，在信息系統(tǒng)中因地制宜地進(jìn)行桌面虛擬化的選擇和建設(shè)。 4 涉密網(wǎng)內(nèi)桌面虛擬化部署方法 找到一種最適合于企業(yè)本身業(yè)務(wù)模式的桌面虛擬化產(chǎn)品，不要只局限于品牌知名度和市場占有率，要從整體的投資和能力以及自身業(yè)務(wù)特點(diǎn)考慮。 (1)對現(xiàn)有身份認(rèn)證或?qū)徲嬡浖M(jìn)行二次開發(fā)或升級。有的軟件已經(jīng)同我們企業(yè)的核心應(yīng)用綁定，在選定產(chǎn)品之后遇到兼容性問題的時候，二次開發(fā)和軟件升級是最好的選擇。 (2)模擬生產(chǎn)環(huán)境業(yè)務(wù)模式和需求對桌面虛擬化產(chǎn)品進(jìn)行全面測試，找到適合企業(yè)自身的部署方式。因為商業(yè)企業(yè)在安全性方面要求不高且使用的軟件比較開放，而且也無需用一種產(chǎn)品一種模式貫穿全局，完全可以根據(jù)不同的用戶需求使用不同的部署模式。 (3)當(dāng)初步測試完成后，可以進(jìn)一步在生產(chǎn)環(huán)境下進(jìn)行完全測試。由于不同方案對于防火墻、入侵檢測等安全產(chǎn)品的配置要求有所不同。如VDI模式和無盤數(shù)據(jù)流模式對防火墻和入侵檢測的配置以及帶寬要求是完全不同的，根據(jù)不同的部署方式，防火墻和入侵檢測也可能需要升級。 (4)桌面虛擬化對網(wǎng)絡(luò)依賴性更強(qiáng)，所以需要更大的帶寬來承載虛擬化傳輸?shù)臄?shù)據(jù)量，尤其是企業(yè)存在CAD等大數(shù)據(jù)量應(yīng)用情況下，才能夠保證穩(wěn)定的數(shù)據(jù)傳輸。 (S)桌面虛擬化對數(shù)據(jù)中心存儲設(shè)備的IOps要求比較高，需要配備性能更強(qiáng)的磁盤陣列存儲設(shè)備，來保護(hù)終端用戶系統(tǒng)和數(shù)據(jù)的高可靠性及安全性。 (6)由于桌面虛擬化后所有數(shù)據(jù)都在文件服務(wù)器進(jìn)行存儲，這樣對服務(wù)器及存儲的安全性要求就非常的高，文件服務(wù)器使用故障轉(zhuǎn)移群集技術(shù)，保證當(dāng)一臺服務(wù)器發(fā)生故障時，另一合服務(wù)器自動接管所有功能，繼續(xù)實施對外提供服務(wù)，不影響終端任何使用。 (7)桌面虛擬化模式必須在域環(huán)境下工作，通過在網(wǎng)絡(luò)內(nèi)配置DNS服務(wù)器、域控制器、DHCP服務(wù)器等網(wǎng)絡(luò)服務(wù)，滿足桌面虛擬化的應(yīng)用需求。因為域網(wǎng)絡(luò)的全局用戶賬戶和安全策略都是集中在一臺或者少數(shù)幾臺DC上進(jìn)行配置與管理的，所以相對工作組網(wǎng)絡(luò)來說，這些配置的安全性就更高，更不容易被人攻擊和破解。 (8)桌面虛擬化模式下，所有的終端主機(jī)系統(tǒng)均模版化管理，包括主機(jī)的操作系統(tǒng)，驅(qū)動程序以及一些常用軟件等。只需要制作一個模版后，所有相同型號主機(jī)都可以通過此模版創(chuàng)建其他主機(jī)的系統(tǒng)文件，方便快捷地完成多臺終端主機(jī)系統(tǒng)的部署。 (9)桌面虛擬化可以按照終端機(jī)器的不同品牌型號制作不同的模版，每個型號只需要制作一個模版即可，然后復(fù)制多份，給其他主機(jī)來使用，無需給每一臺終端手動安裝，大大減少了管理員的工作量及錯誤出現(xiàn)的機(jī)率。 (10)虛擬化技術(shù)實施系統(tǒng)桌面重定向，將所有終端用戶的桌面文件都重新指向在另外一個安全的文件夾中，即使系統(tǒng)發(fā)生故障，必須重新安裝操作系統(tǒng)才可以解決，也不怕數(shù)據(jù)丟失了，因為所有的桌面文件已經(jīng)不存在系統(tǒng)盤符中，這樣用戶的桌面文件仍然存在安全的地方。 5 案例分析 以國內(nèi)某研究所部署桌面虛擬化為例，由于該研究所為涉密單位，所以所內(nèi)辦公網(wǎng)絡(luò)建設(shè)是完全按照保密規(guī)定建立的，與互聯(lián)網(wǎng)物理隔離。 用戶登陸計算機(jī)終端需要經(jīng)過身份認(rèn)證Key認(rèn)證，對應(yīng)用的訪問需要經(jīng)過審計軟件的監(jiān)控和審計，對于前端計算機(jī)端口和應(yīng)用，需經(jīng)過專門的審計軟件進(jìn)行監(jiān)控。由于該所是一個設(shè)計單位，大量的研發(fā)人員對桌面終端的處理能力有很高的要求:各個部門工作方向不同對終端的使用方式也有不同。有的部門需要并口或串口調(diào)試設(shè)備，有的部門需要高性能顯卡進(jìn)行設(shè)計等等;并且軟件和硬件丟失數(shù)據(jù)時有發(fā)生，嚴(yán)重干擾了研究所內(nèi)的辦公環(huán)境，有時還會因為數(shù)據(jù)丟失等問題造成項目推遲等狀況。但是上千臺終端的維護(hù)重任都壓在了幾個IT維護(hù)人員頭上。通過多方調(diào)研了解，研究所希望能通過部署虛擬化桌面，提高桌面的維護(hù)效率和終端數(shù)據(jù)的安全性，但前提是不能更改和替換現(xiàn)有的軟件和拓?fù)浼軜?gòu)，并要符合涉密網(wǎng)的相關(guān)規(guī)定。通過綜合考慮，決定選用無盤數(shù)據(jù)流模式，構(gòu)建虛擬桌面系統(tǒng)。 具體說來就是前端的終端設(shè)備還是使用原有PC機(jī)，只需要將硬盤去掉，系統(tǒng)盤是儲存在數(shù)據(jù)中心的磁盤陣列上，開機(jī)后通過網(wǎng)絡(luò)引導(dǎo)直接加載磁盤陣列上的系統(tǒng)盤到內(nèi)存。整個過程對于用戶來說與使用原有PC機(jī)完全相同，軟硬件兼容性也完全相同，所以順利通過了初步測試。但由于此種方式比傳統(tǒng)VDI方式有更高的帶寬需求，所以所內(nèi)將原有百兆網(wǎng)改為千兆網(wǎng)絡(luò)，改進(jìn)防火墻和入侵檢測系統(tǒng)的數(shù)據(jù)訪問策略，增加了吞吐量，在入侵檢測上對此應(yīng)用產(chǎn)生的超大包進(jìn)行了識別，增加了數(shù)據(jù)包檢測速度。 實施完成后用戶本地?zé)o磁盤，在數(shù)據(jù)中心搭建文件服務(wù)器，并搭建域控制器制定相關(guān)用戶策略。當(dāng)用戶登錄系統(tǒng)后將數(shù)據(jù)中心的網(wǎng)絡(luò)空間直接掛載到本地，由于此存儲空間動態(tài)增長，可以靈活設(shè)定最大值。通過設(shè)置桌面重定向也規(guī)避了部分用戶因系統(tǒng)崩潰而導(dǎo)致系統(tǒng)桌面放置數(shù)據(jù)丟失的問題。 這樣的實施方法實現(xiàn)了用戶系統(tǒng)和用戶數(shù)據(jù)的大集中。 為了保證系統(tǒng)和數(shù)據(jù)的安全性，通過部署持續(xù)數(shù)據(jù)保護(hù)系統(tǒng)，利用快照保護(hù)虛擬桌面系統(tǒng)和數(shù)據(jù)，支持系統(tǒng)或數(shù)據(jù)快速回復(fù)到指定備份時間點(diǎn)。 6 總結(jié) 顯然，桌面虛擬化有效地降低了涉密企業(yè)的桌面管理成本，提升了數(shù)據(jù)安全和業(yè)務(wù)持續(xù)性。但由于涉密網(wǎng)的特殊性。在現(xiàn)階段部署桌面虛擬化免不了會有這樣那樣的一些問題。但如果根據(jù)企業(yè)自身的業(yè)務(wù)特點(diǎn)進(jìn)行全面考量，以我為主，合理選擇，完全可以找到并應(yīng)用一個合適的解決方案。 |
|
|
