某职业学院虚拟化桌面

1、目录项目概述3项目概述3总体方案4方案概述42.2 系统架构设计42.2.1 方案网络拓扑图5功能733.13.2资源管理7用户管理8日志审计9CVM 功能列表11安全设计144.1.1 终端安全1444.1.2 边界防护与控制144.1.3 杀毒系统154.1.4 数据安全性164.1.5 单向导入导出控制185 方案5.15.2硬件配置19合计19硬件资源需求205.3 主要需求216 产品优势分析211 方案概述随着两化融合以及物联网、 云计算等新技术的普及推广，信息化发展已经从数字化、网络化迈入了智能化阶段，这个阶段的特点是以智能网络和应用增强石油企业的反应能力和管理水平，降本增效，推

2、进跨合作，为业务的发展提供有力支撑。近两年大型企业已经开始大力推进新技术应用，信息化效率。与此同时，云计算环境下传统传统办公桌面运行环境的云化，在提供更高效、更安全的办公桌面的同时，也对行业原有的运维及服务带来深刻的。2 总体方案2.1 方案概述本次建设采用长天信息桌面虚拟化，建立 CVM 虚拟化办公桌面，采用长天信息研发的虚拟化安全组件对各桌面群的桌面进行安全加固，从边界安全、计算环境安全、数据安全等方面，建设全面的、符合国家虚拟化安全标准的桌面安全体系。2.2系统架构设计（系统涉密内网架构图）虚拟桌面建设架构图如上图，此次采用 CVM 桌面虚拟化，对底层基础硬件的计算资源进行池化整合，将计

3、算资源以服务的方式提供出来。利用这些计算资源在 CVM上构建满足钻探办公需求的桌面资源，将原来运行 Horizon上的桌面迁移到这些桌面上来。2.3方案网络拓扑图本次涉密网与办公网融合，涉密内网可以与普通办公桌面、3D 桌面等部署在一起，通过 CVM控制，外设管理等方式来实现涉密和非涉密部署，也可以将涉密网的设备单独配置，实现物理级别的高度安全。3功能3.1资源管理CVM 云架构下的系统管理员通过 CVM Manager Cnt 管理及其提供的功能，主要进行物理资源管理、虚拟机创建、虚拟网络配置、运维等工作。物理资源管理：管理数据中心数据中心是主机和虚拟机等对象的主要容器，在首次进入 CVMM

4、anagerCnt 时，需要新建一个数据中心。此功能可实现多个数据中心的区分管理。管理群集群集是一组共享资源和接口的主机。向群集添加主机时，主机的资源会成为群源的一部分。群集文件系统是高可用性的基础。管理主机主机是虚拟化之后的服务器，用于创建虚拟主机。主机提供为虚拟机所分配的 CPU 和内存资源，同时为虚拟机提供器和连接网络的能力。将主机加入指定集群后可以达到跨主机的集中管理，实现高可用性。虚拟机创建：系统管理员通过 CVM 提供多种方式进行虚拟机的创建：批量部署的虚拟机：（具有可被广泛使用的特性），可以将其制作成模板，在以后的虚拟机部署中通过从模板创建虚拟机的形式快速创建新虚拟机。克隆部署：

5、简单的部署多台配置及状态一致的虚拟机，减少批量部署虚拟机的时间。快照部署：可以将虚拟机的某快照节点制作成点，以方便克隆虚拟机时使用。虚拟网络配置：虚拟机创建完成后，并没有配备虚拟网卡。需要由系统管理员来分配并进行网络划分。具体分配时可以分配单张或多张虚拟网卡，可以与制定的主机物理网卡关联，多种措施提供管理的多样性和灵活性。运维：CVM 系统管理员可通过快照和群集等多种功能运维桌面虚拟化信息系统。开启群集功能，可以快速应对各种虚拟主机及物理主机故障。通过快照功能，可快速恢复故障虚拟机。通过上传文件到数据器，可在 CVM Manager Cnt客户端为未分配桌面快速部署CVM Manager Cn

6、t 可收集有关对象的资源使用情况数据，帮助系统管理员运维。通过频繁地收集基于一系列衡量指标的数据，对这些数据进行处理，并将数据归档到 CVMvCenter 数据库中，然后查看 CVM Manager Cnt 的性能图表来统计信息。性能的对象包括主机和虚拟机。3.2用户管理桌面创建之后，系统员可通过员系统进行用户桌面的管理、策略配置和操作，以及根据需要对已配置的用户、虚拟机、池、角色等内容进行调整。系统员的管理操作包括两大部分：管理配置和用户权限配置。管理配置：通过池来简化管理范围的划分，根据项目实施具体情况，为每个构建一个文件夹，并分配一位具有池和虚拟机管理权限的管理，方便对该员工进行策略配置

7、和管理。用户权限配置：CVM 系统员可以为用户配置如下权限。USB：虚拟机是否可以使用瘦客户机的 USB 接入设备。：是否允许虚拟机使用资源。通讯加密：虚拟机与管理中心通讯是否加密。认证方式：虚拟机中操作系统的登陆加密。音频：虚拟机中的质量。：允许虚拟机使用音频设备。桌面回滚：允许虚拟机恢复至上一次快照节点。会话保持时间：在用户登出桌面后，此桌面正在运行的程序继续保持运行的时间。虚拟机镜像加密：对虚拟机磁盘文件的。自动备份：虚拟机磁盘文件自动备份的周期。用户执行快照操作：在虚拟化引擎正常运行时，管理中心与客户端断开后，客户端可继续使用虚拟机的时间。3.3日志审计CVM 提供独立的审计管理系统

8、CVM Auditor，为审计员提供针对运维日志、桌面运行日志、桌面用户日志、杀毒日志及系统信息全方位的审计管理，用于CVM 虚拟化系统中各个子系统的操作日志。CVM Auditor 提供了多种日志搜索功能，可以通过不同类型的搜索条件，查找到想搜索的日志。经筛选的日志又可以通过分页查看的功能进行查看。在日志列表后面，点击查看详情，可以查看日志的详细信息。日志:CVM Manager Cnt（系统管理员）用户操作的具体日志。日志类型包括群集、数据中心、主机、会话、分布式交换机、虚拟机。每条日志都有详细的说明，每条日志包括级别、来源、状态、状态描述、操作用户、时间、对象 ID、对象类型、对象名称、

9、日志描述。桌面运行日志：CVM Desktop Administrator（系统员）用户操作的具体日志。桌面系统日志类型包括了管理员、文件夹、策略、池、角色、会话、用户。每条日志都有详细的说明，每条日志包括级别、来源、状态、状态描述、操作用户、时间、对象 ID、对象类型、对象名称、日志描述。桌面用户日志：的是 CVM Desktop View（普通客户端）用户操作的具体日志。桌面终端日志类型包括会话和用户设置。每条日志都有详细的说明，每条日志包括级别、来源、状态、状态描述、操作用户、时间、对象 ID、对象类型、对象名称、日志描述。杀毒日志：的是物理服务器上的杀毒。物理服务器上的杀毒功能是使用的

10、 CVM endpo进行的杀毒。杀毒日志支持多物理服务器。可以同时多台物理服务器上的杀毒日志。系统信息：了运维和桌面运行日志所在磁盘信息。包括：磁盘总空间、剩余空间、使用比例、刷新时间、状态。当日志使用比例超过设定阀值时，状态给出提示。业务系统审计：通过业务审计系统，对数据库进行、审计、控制及扫描。3.4CVM 功能列表功能分类功能名称功能简介虚拟化安装和运行虚拟机创建虚拟化能提供虚拟机创建、配置和 OS 安装等操作功能分类功能名称功能简介虚拟机运行控制支持包括启动、正常关机和重启、强制断电关机、暂停和恢复等运行功能控制功能虚拟机离线克隆支持从一台关机的虚拟机 出另一台新的虚拟机， 出的虚拟机

11、启动后自动生产新的虚拟网卡 MAC 地址，源虚拟机和 虚拟机可同时开机运行互不影响虚拟机镜像文件导入导出支持虚拟机的镜像文件和配置文件导出，便于在其它虚拟化系统中导入使用该虚拟机，导出的虚拟机配置和OS 内文件内容不会发生变化，支持将导出的虚拟机配置文件和镜像文件原装导入并正常运行虚拟机模板支持通过已有的虚拟机生成虚拟机模板，并通过虚拟机模板可创建新的虚拟机模板批量部署支持基于模板以批量创建的方式创建虚拟机P2V、V2V 转换支持 P2V 方式创建虚拟化；支持 V2V 方式迁移虚拟化OVF 格式模板支持支持 OVF 标准格式虚拟机模板文件导入资源分配和调度虚拟磁盘精简供给支持按照磁盘精简供给创

12、建的虚拟机，所分配的磁盘容量是实际使用的磁盘容量的上限USB 外设重定向虚拟化系统可以将 Hypervisor 主机上的 USB设备（如 U 盘、移动硬盘、USB 接口 和扫描仪、加密狗等外设） 直通 给该 Hypervisor 服务器上运行的一台虚拟机读写，虚拟机将该外设作为一个独立的 USB设备使用网络带宽单向控制支持对虚拟机网络带宽上限值进行上下行的单向控制网络带宽双向控制支持对虚拟机网络带宽上限值的双向流入和流出进行控制分布式虚拟交换机虚拟化网络提供分布式交换机的功能负载动态分配支持根据一定范围内物理主机的 CPU 和内存负载情况，按照预设策略自动将虚拟机迁移至集群内负载较轻的物理主机

13、上，以动态平衡物理主机 CPU 和内存的负载虚拟机主机间迁移支持虚拟机在主机间迁移，解决计划内停机等问题功能分类功能名称功能简介虚拟机快照与恢复虚拟化管理系统支持 对虚拟机进行镜像快照和带内存状态快照，同一虚拟机支持多个快照，并在需要时可以选择带内存快照点恢复虚拟机状态虚拟机通信同一物理服务器内的虚拟机之间可通过虚拟交换机或网桥通信而无需通过物理网卡，虚拟化系统兼容万兆/千兆/百兆/硬件网络环境，虚拟机支持配置千兆/百兆虚拟网卡，并具备相应网络传输速度VLAN 划分虚拟机之间可以划分不同 VLAN 进行 ，同 VLAN 内虚拟网卡可通信，不同 VLAN 间虚拟网卡无法通过二层网络通信电源管理支

14、持根据虚拟机和虚拟化服务器利用率，动态迁移并集中或分散虚拟机，将空闲的虚拟化服务器关机或开机，以达到节能减排的目的虚拟支持无需通过物理， 即可提供 Hypervisor 层之上的虚拟机之间网络阻断等的功能虚拟化管理事件与管理虚拟化系统支持系统中全部配置、操作、系统中自动产生的事件信息等的详细日志主机时间同步虚拟机管理系统能够使主机及虚拟机与域服务器保持时间同步用户管理界面具备友好的系统管理界面，可实现虚拟化系统主要的配置、运行控制操作功能高可用性网络冗余配置和故障切换支持将虚拟化系统中Hypervisor 服务器上网卡配置为主备和负载均衡配置管理，并支持网络端口和链路发生故障时提供故障自动切换

15、的功能虚拟化系统管理节点 HA支持虚拟化系统管理节点的高可用功能基于共享的服务器故障切换如果在虚拟机所在物理服务器发生故障时，可以自动在其他服务器上重启虚拟机，快速恢复应用虚拟化系统稳定性要求虚拟化系统需具备高稳定性，确保能承受 POC测试虚拟机容灾不依赖第软硬件功能，支持多 VCPU 虚拟功能分类功能名称功能简介机所在主机发生故障时容灾切换功能性能优化配置虚拟化网络带宽性能物理主机的虚拟机之间的网络宽带应能够达到或超过千兆物理网络规格的 90%以上虚拟化基础要求操作系统类型支持虚拟机中能够支持 32 位/64 位 Windows、 SUSE、Red Hat 等主流操作系统及版本CPU 类型支

16、持虚拟化能够支持el、AMD 等不同厂商、不同型号的 CPU服务器类型支持虚拟化能够支持联想、曙光、浪潮等国内主流 X86 服务器厂商，同时支持 IBM、HP、 DELL 等国际主流 X86 服务器。类型支持虚拟化能够支持 FC-SAN、ISCSI、NAS 等不同类型的虚拟化系统可管理规模要求单虚拟化系统可管理规模能达到上百台物理服务器或上千台虚拟机网络性能虚拟端口限速支持对同一物理服务器内的虚拟机之间通过虚拟交换机/网桥通信而无需通过物理网卡完成流量交换，虚拟交换机/网桥能够对每台虚拟机的虚拟端口进行限速交换机支持 VLAN数量虚拟交换机可配置的 VLAN 数可达到 4096 个性能指标支持

17、对物理服务器计算、内存、网络使用等指标进行可的项目至少包括：物理机 CPU 利用率；物理机内存利用率或占用量；主机本地磁盘可用容量/已用容量；共享可用容量/已用容量；虚拟机 CPU 利用率；虚拟机内存利用率或占用量；虚拟机网络发包丢包数；虚拟机网络收包丢包数支持对虚拟机和物理机的磁盘读写、网络通信性能进行可的项目包括：物理机网卡接收发送速率；物理机磁盘读写速率；虚拟机网络带宽；虚拟机磁盘读写速率故障告警指标支持对虚拟化平台的各项故障进行告警可告警的故障至少包括：虚拟化管理 服务故障；物理服务器故障； 设备故障；虚拟机故障；链路冗余丢失等支持对各项指标配置阈值的方式进行告警设置可配置的阈值节点包

18、括：容量利用率超过阈值；物理机本地磁盘容量超过阈值；虚拟机资源利用率超过阈值；物理机资源利用率超过阈值等4外设管理安全虚拟化环境下，用户通过网络接入和其计算资源和空间，为了防止用户接入，CVM 虚拟化在用户接入、认证和方面进行了周密的防护，以保证只有经过认证和的用户才能其在云计算系统中的计算资源和空间，防止 “”的终端或者用户对虚拟化系统造成损害。1）对于终端接入安全CVM强化了接入验证过程，支持三种方式来强化这个过程：MAC+SID 组成的双因子验证决定了设备是否可以被接入到虚拟化网络中。通过设备与安全网关相结合的方式来强化设备接入过程。通过含有双的 Ukey 与安全网关相结合的方式来强化设

19、备接入过程。2）对于终端运行安全CVM 对终端操作系统进行强化，强化措施如下：终端与终端间通过逻辑网络实现。终端系统通过逻辑实现磁盘写保护。终端系统只可以运行写入白中的进程。CVM 安全技术白皮书长天第 15 页 终端系统可以过滤 USB 设备，只允许获得的 USB 设备接入。 终端设备在重启后还原。针对 USB 接口的外设可以通过权限设置来控制手动/自动的接入，USB 设备包括 U 盘、USB等同时也可以针对本地的 USB 外设做出控制，让指定的 USB 才能接入。此外针对网络设计也可以无缝接入：如网络、扫描仪等。同时，管理可以实现所有设备预先控制。详细策略设置如下：1,针对全局的外设、策略

20、设置2，针对用户的外设和权限设置3，针对终端的权限下放和收回5安全设计方案5.1虚拟机迁移在日常运维中，经常会遇到计划内的停机，需要对物理服务器关机。为了保证这一过程中虚拟机不停机，CVM 建议用户配置动态迁移功能。借助 CVM 的动态迁移功能，可以在不停机的情况下将正在运行的虚拟机从一台物理服务器移动到另一台物理服务器。 整个迁移过程对虚拟机用户透明，虚拟机会保留其 CPU 环境，内存数据，网络标识和连接等，从而确保实现无缝的迁移过程。CVM 动态迁移支持业务的热迁移，包括计算和的整体迁移。迁移需要消耗较多的网络带宽。CVM 支持手动的迁移，也支持按照用户设定的策略进行自动迁移，从而实现计划

21、内的主机等。5.2虚拟机容错虚拟化容错（FT）Fault Tolerance(FT)是对需要 7x24 小时连续运行要求很高的虚拟机进行保护的高级功能，通常这些虚拟机的运行不能被中断， Fault Tolerance(FT)对受保护的虚拟机而言，会在另一台物理主机上建立实时镜像虚拟机， 一旦主服务器出现硬件故障，FT 就会自动触发故障转移，让镜像的虚拟机原有虚拟机的工作，确保零停机并防止数据丢失。在实际项目中 FT 往往应用于业务不能中断的系统上，可以确保该企业业务系统连续运行。5.3主机高可用CVM HAFS 是一项针对虚拟化服务器的容灾功能，消耗极小的冗余资源就可以有效解决硬件服务器的单点

22、故障问题，HAFS 在故障发生时会产生短暂的中断（2-5 分钟），对于绝大多数的虚拟机业务系统，CVM 建议用户构建具备 HAFS 的集群环境，实现多个虚拟化服务器的容灾。CVM HAFS 最多可以支持 16 个物理节点构建单一的群集，可以支持最多（n-1）/2 个节点故障时，系统还能正常运行。开启 CVM HAFS 功能需要至少 3 个虚拟化服务器节点，并且配置共享设备，当群集中的一台虚拟化服务器节点因为硬件故障、系统故障、网路故障宕机后，CVM HAFS 会自动将其从群集中掉，并选择群集中负载度低的虚拟化服务器运行故障服务器的原有虚拟机，从而实现业务的连续性。在实际应用中 HA往往用于保护

23、，可以在短时间（1-5 分钟）恢复中断的业务系统， 以及非计划的意外宕机。5.4数据安全5.4.1用户数据CVM Hypervisor 采用分离设备驱动模型实现 I/O 的虚拟化。该模型将设备驱动划分为前端驱动程序、后端驱动程序和原生驱动三个部分，其中前端驱动在U 中运行， 而后端驱动和原生驱动则在0 中运行。前端驱动负责将U 的 I/O 请求传递到0 中的后端驱动，后端驱动I/O 请求并映射到物理设备，提交给相应的设备驱动程序控制硬件完成 I/O 操作。换言之，虚拟机所有的 I/O 操作都会由 VMM 截获处理；VMM 保证虚拟机只能分配给它的物理磁盘空间，从而实现不同虚拟机硬盘空间的安全。

24、5.4.2数据控制系统对每个卷定义不同的策略，没有该卷权限的用户不能该卷，只有卷的真正使用者（或者具有该卷权限的用户）才可以该卷，每个卷之间是互相的。5.4.3剩余信息保护采用 RAID 技术，系统会将池空间划分成多个小粒度的数据块，基于数据块来构建 RAID 组，使得数据均匀地分布到池的所有硬盘上，然后以数据块为单元来进行资源管理，大小范围是 256KB64MB（可调） ，默认 4MB。VM 删除数据卷时，系统进行卷（Volume）资源回收时，小数据块链表将被， 进入资源池。资源重新利用时，再重新组织小数据块，这样重新分配的虚拟磁盘恢复原来数据的可能性很小。对高安全要求的场景，保证数据的安全

25、，支持在卷回收时对逻辑卷的所有 bit位进行清零。在非高安全场景，系统默认将逻辑卷的前 10M 空间进行清零。数据中心的物理硬盘更换后， 需要数据中心的系统管理员采用消磁或物理等措施保证数据彻底清除。5.4.4虚拟磁盘镜像加密1）vSafe Encrypt 将虚拟磁盘镜像文件（.vmdk）进行全文件加密，密钥可以分为两种方式： 用户设置加密在这种模式下.vmdk 文件不与数据中心绑定，只和用户绑定。 公私钥加密在这种模式下.vmdk 与数据中心绑定，只有在固定的数据中心上并且用户输入正确的后，.vmdk 文件才可以被虚拟化引擎加载。vSafe Encrypt 支持多种加密算法，初始为 AES1

26、28 位，用户可以提出要求，将指定的加密算法集成进来。在 AES128 位下，I/O 响应速度将降低 12%左右，不同的算法对 I/O 的影响效果不同。系统员决定哪一台虚拟桌面可以被加密，配置加密权限。用户登录自己虚拟机后，就可以完成这台虚拟机的加密。注意：管理员仅仅下发的是一个加密，真正的加密操作是由用户触发的，对于已经加密的虚拟机，用户同样可以选择不进行加理，一台虚拟化服务器中，至多有 4 台机器同时处于加密过程中。2）vSafe Encrypt 加密是伴随读写操作实时发生的。vSafe Encrypt 读写加密规则设计如下：读每 512 个字节为一个数据块，当用户尝试一个新的数据片段时，

27、vSafe Encrypt 会数据片段所归属的 512 个字节。加密每写满一个 512 个字节组成的数据块时，vSafe Encrypt 会按照指定加密算法对其进行加密。5.4.5数据备份CVM 虚拟化系统的数据采用多重备份机制，每一份数据都可以有一个或者多个备份， 即使载体（如硬盘）出现了故障，也不会引起数据的丢失，同时也不会影响系统的正常使用。系统对数据按位或字节的方式进行数据校验，并把数据校验信息均匀的分散到阵列 的各个磁盘上；阵列的磁盘上既有数据，也有数据校验信息，但数据块和对应的校验信息于不同的磁盘上，当某个数据盘被损坏后，系统可以根据同一带区的其他数据块和对应的校验信息来重构损坏的

28、数据。5.5 虚拟化安全5.5.1虚拟机安全Hypervisor 能实现同一物理机上不同虚拟机之间的资源，避免虚拟机之间的数据窃 取或，保证虚拟机的资源使用不受周边虚拟机的影响。终端用户使用虚拟机时，仅能属于自己的虚拟机的资源（如硬件、数据） ，不能其他虚拟机的资源，保证虚拟机安全。虚拟机如图所示。5.5.2vCPU 调度安全X86 架构为了保护指令的运行，提供了指令的 4 个不同 Privilege级别，术语称为 Ring，优先级从高到低依次为 Ring0（被用于运行操作系统内核） ，Ring1（用于操作系统服务），Ring2（用于操作系统服务） ，Ring 3（用于应用程序） ，各个级别对

29、可以运行的指令进行限制。vCPU 的上下文切换，由Hypervisor 负责调度。Hypervisor 使虚拟机操作系统运行在 Ring1 上，有效地防止了虚拟机 GuestOS 直接执行所有指令；应用程序运行在 Ring3 上，保证了操作系统与应用程序之间的。5.5.3内存虚拟机通过内存虚拟化来实现不同虚拟机之间的内存。内存虚拟化技术在客户机已 有地址（虚拟地址和机器地址）的基础上，引入一层新的地址“物理地址”。在虚拟化场景下，客户机 OS 将“虚拟地址”为“物理地址”；Hypervisor 负责将客户机的“物理地址”成“机器地址”，具有实际物理地址后，再交由物理处理器来执行。网络5.5.4

30、Hypervisor 提供虚拟路由器（VFR，Virtual Firewall - Router）的抽象，每个客户虚拟机都有一个或者多个在逻辑上附属于 VFR 的网络接口 VIF（Virtualerface）。从一个虚拟机上发出的数据包，先到达0，由0 来实现数据过滤和完整性检查，并和删除规则；经过认证后携带证，由0 转发给目的虚拟机；目的虚拟机检查证，以决定是否接收数据包。5.5.5磁盘 I/O虚拟机所有的 I/O 操作都会由 Hypervisor 截获处理，Hypervisor 保证虚拟机只能分配给该虚拟机的物理磁盘，实现不同虚拟机磁盘的。5.6度网络平面5.6.1将 CVM 虚拟化的网络

31、通信平面划分为终端平面、业务平面、平面和管理平面，且四个平面之间是的。平面与业务平面、管理平面物理；终端平面属于数据管理平面，终端设备与终端设备间逻辑；管理平面与业务平面间逻辑。通过网络平面保证管理操作不影响业务运行，最终用户不能破坏基础管理。1）业务平面为虚拟机提供业务通道，为虚拟机提供虚拟网卡的通信平面，对外提供业务应用。2）平面为设备提供通信平面，并为虚拟机提供资源，但不直接与虚拟机通信，而通过虚拟化转化。3）管理平面管理员使用该网络管理虚拟化系统、业务部署、系统加载等流量的通信；用户使用该网络获取桌面。4）终端间平面隶属于管理平面，并且终端与终端间网络采用逻辑，防止终端间的桌面发生窃取

32、信息行为。5.6.2VLAN通过虚拟散列网桥实现虚拟交换功能。，虚拟网桥支持 VLAN tagging 功能，实现 VLAN， 确保虚拟机之间的安全。虚拟散列网桥的作用是桥接一个物理机上的虚拟机实例。虚拟机的网卡eth0，eth1，称为前端接口（front-end）。后端（back-end）接口为 vif，连接到 Bridge。这样，虚拟机的上下行流量将直接经过 Bridge 转发。Bridge 根据mac 地址与 vif 接口的关系作数据包转发。Bridge 支持 VLAN tagging 功能，分布在多个物理机上的同一个虚拟机安全组的虚拟机实例，可以通过 VLAN tagging 对数据帧

33、进行标识，网络中的交换机和路由器可以根据 VLAN 标识决定对数据帧路由和转发，提供虚拟网络的功能。5.6.3安全组，处于不同物理服务器上的虚拟机通过虚拟 VLAN 技术可以划分在同一个局域网内，同一个服务器上的同一个虚拟 VLAN 内的虚拟机之间通过虚拟交换机进行通信，而不同服务器上的同一虚拟 VLAN 内的虚拟机之间通过交换机进行通信，确保不同局域网的虚拟机之间的网络是的，不能进行数据交互。用户根据虚拟机安全需求创建安全组，每个安全组可以设定一组规则。当虚拟机加入安全组后，即受到该规则组的保护。用户通过在创建虚拟机时选定要加入的安全组来对自己的虚拟机进行安全和控制。同一个安全组中的虚拟机可

34、能分布在多个物理位置分散的物理机上，一个安全组内的虚拟机之间是可以相互通信，不同的安全组之间的虚拟机默认是不允许进行通信的，但可以配置为允许通信。5.6.4虚拟化环境方案在每一台虚拟机上部署 vSafeEndpo组件，这台虚拟机就受到了杀毒引擎的保护。vSafeEndpo可以使用自身启发式扫描引擎也可以使用第兼容的扫描引擎。vSafeEndpo支持两种触发模式：1）手动触发用户可以自己在虚拟机选择目标文件或者目标磁盘驱动器。2)边界触发三种情况会触发边界：U 盘数据考入虚拟机；网络数据到虚拟机；通过 CVM 单项导入模块将数据导入虚拟机。部署拓扑图如下所示：审计数据库向各个 Endpo模块下发

35、升级与管控指令，Endpo模块向审计数据库回传杀毒结果。6产品优势分析1、产品平滑过渡，不改变已有使用：CVM 采用市面上主品的的设计风格，产品管理界面简洁易用。能让用户平滑的从 VMware 的虚拟化桌面过渡到 CVM 的虚拟化桌面的使用中，不改变用户的操作，操作熟悉易上手。2、更高可靠性：CVM 具备业界领先的三层高可用架构。CVM 支持硬件、虚拟化系统、虚拟化系统内的应用的 3 层 HA 保护。为用户提供业界领先的可靠性保护。3、CVM 虚拟桌面具有更高的安全性、合规性：CVM 虚拟桌面采用三权分立的架构，弱化了超级管理员一权独大的安全风险。同时采用 CVM 虚拟化安全组件对各桌面群的桌面进行安全加固，从边界安全、计算环境安全、数据安全等方面，建设全面的、符合国家虚拟化安全标准的桌面安全体系。4