FusionCloud桌面云项目技术设计方案

1、PAGE FusionCloud桌面云项目技术设计方案目 录 TOC o 1-3 h z u HYPERLINK l _Toc523590966 1 项目概述 Error! No text of specified style in document. STYLEREF 7 Error! No text of specified style in document. DOCPROPERTY Product&Project Name Error! Unknown document property name. DOCPROPERTY DocumentName Error! Unknown doc

2、ument property name.项目概述项目需求项目背景 /根据客户现有环境，描述项目产生的背景。XXXX业务终端一直使用功能全面的传统PC。在大多数情况下，PC 提供了价格、性能与功能的最佳组合。但同时，在实际应用过程中， PC也存在各种弊端和诸多不便，主要体现在以下几方面：难以保证非法接入： PC本地有 USB口、串口、并口都可以外接设备，没有有效的管理手段，禁止非法设备的接入，存在数据泄密的风险。难以保证数据的安全： PC通常是应用系统的客户端，可接收、处理、存储应用系统的数据，若这些数据是企业的关键信息资产，容易使企业关键信息泄露。另一方面，PC工作环境下，PC上保存着员工的智

3、力数据，也是企业资产的一部分。这些数据如何能在PC出现故障或文件丢失时恢复，是一个当前IT系统的一个巨大的挑战。难以管理：面对广泛分布的 PC 硬件，用户日益要求能在任何地方访问其桌面环境，因此集中式 PC 管理极难实现。此外，众所周知，由于 PC 硬件种类繁多，用户修改桌面环境的需求各有不同，因此 PC 桌面标准化也是一个难题。高能耗、高排放： 一台PC的能耗在200瓦左右，每台PC个人电脑平均运行12小时以上，一台PC一年耗电800-1000度电左右，对于企业上万台规模的PC工作环境，一年的耗电量是一个非常惊人的数字。这当今提倡绿色环保、低碳经济的大环境下，确实是一个巨大的挑战。资源未能充

4、分利用：PC的分布式特性使人们难以通过集中资源的方式提高利用率和降低成本。结果，PC的资源利用率通常低于5%，远程办公室需要重复的桌面基础架构，移动工作人员可能需要使用复杂的远程桌面解决方案。总体拥有成本高(TCO)：PC硬件相对较低的成本优势，通常无法抵消PC管理和支持工作的高昂成本。目前，PC管理工作包括部署软件、更新和修补程序等，由于这些工作需要对多种PC配置的部署进行测试和验证，因而会耗费大量的人力。同时，由于标准化程度不高，支持人员经常需要亲临现场解决问题，这就进一步增加了支持成本。针对上述问题，建议使用桌面云技术取代传统PC。具体而言，采用在服务器系统上承载桌面映像的方法，以集中资

5、源并提高其桌面计算基础架构的可管理性。项目需求/根据调研情况描述项目需求， 桌面云的应用场景，如OA办公、软件研发、硬件研发、会议室、制造工厂、电子阅览室、营业厅、呼叫中心、公共上网（网吧）、电教室等等。每种场景的系统要求、软件要求、外设要求，规模。XXXX单位桌面云主要应用场景有：OA办公、普通软硬研发、会议室。应用场景主要需求（各项需求请根据实际项目修改）OA办公规模500（根据项目实际情况填写）系统要求WINDOWS XP/Windows 7操作系统。支持PC机、瘦客户机访问虚拟机桌面平台；虚机规格vCPU=2U,Memory=2GB, 系统盘=40GB,数据盘=80GB软件要求MS O

6、FFICE，Outlook，Project，VISIO； Internet Explorer,Acrobat Reader,视频播放软件,企业通讯软件,常用输入法，微星阅读器，金山词霸；外设要求支持USB打印机、USB键盘鼠标。 /特别注意有没有串并口外设。身份认证域帐号+域密码软件研发规模1000人（根据项目实际情况填写）系统要求与OA办公用户系统相同虚机规格vCPU=2U,Memory=2GB, 系统盘=40GB,数据盘=80GB软件要求除OA办公的软件外、还要能够安装使用Visual Studio/My Eclipse/MENTOR/ALTUIM/VC/MATLAB/等软件；外设要求支持

7、USB打印机、USB键盘鼠标身份认证域帐号+域密码功能需求/根据项目Case by Case，分析XX桌面云项目其它功能性需求，主要描述安全要求、可靠性（如备份容灾）要求、管理运维要求、组网要求等。桌面云系统应实现以下功能目标。虚拟桌面站点需接入互联网，允许进行互联网的浏览、文件上下载等常见操作。系统要支持集中管理能力，如：对操作系统镜像统一管理、软件补丁统一分发、TC终端统一管理。系统要支持互联网终端接入桌面云需求。系统要支持安全架构设计，具有完善的安全防护能力。系统支持高可用性、动态迁移等可靠性设计。系统支持通过扩容存储与计算资源实现用户平滑扩容。设计原则根据本项目需求及具体技术指标的分析

8、，本项目要求系统具备以下设计原则：高安全性安全接入，分权分域，集中管控：桌面云提供一体化的安全准入控制，集成现有的安全规程，依据相应的权限策略实现对不同安全域，不同接入类型用户的集中管控，保障核心数据，以及对不同业务资源的灵活分配、分权管理与审计。高效体验桌面云系统提供最佳的访问体验，用户不再受PC、Windows系统的频繁故障的影响。实现不同网络环境的一致访问体验，提升桌面的可用性与连续性。桌面云系统简单，易用，并提供友好用户界面与自助维护界面。高可靠性采用先进虚拟化技术，资源池化，提供热迁移，存储热迁移。所有设备均应经过大规模组网运行验证。系统的业务、管理、存储功能应该由独立的平面承载，所

9、有设备、模块节点具备冗余部署能力，确保系统及业务的可靠运行，并且系统应具有平滑扩容的能力。高可服务性降低运维成本，提高工作效率，减轻管理维护人员的工作强度与不必要的的重复劳动。桌面云系统将应用、桌面的升级、变更、维护等工作交由后台统一管理与运行；具备良好的综合定位分析及故障恢复能力，从而降低对业务的影响。供应商具备为项目长期服务和保障的能力。桌面云设计方案总体设计方案/请根据项目实际需求，完成项目总体方案图示，该图为VISIO图，请自行安装VISIO进行修改。图中已画出VDI、应用虚拟化集群、服务器虚拟化集群，请根据实际项目需要划分集群数目。总体方案示意图本项目为了实现高安全、高可靠、高性能、

10、易远程集中运维、平滑扩容的目标，采用业界主流成熟的虚拟化技术，实现虚拟桌面、服务器虚拟化等要求。本项目方案主要以下方面考虑：资源池设计：根据本项目的需求，服务器上安装华为的虚拟化软件，将服务器池化。池化后VDI桌面、应用虚拟化、服务器虚拟化的服务器分别组成集群。池化后服务器上运行虚拟机便于管理、监控。虚拟机在集群里可以实现定制策略迁移、手动热迁移、故障热迁移。资源池的设计具有高可靠、平滑扩容特性。桌面虚拟化：华为虚拟桌面管理软件FusionAccess，提供高性能且可靠的桌面投送。FusionAccess桌面虚拟化以服务器虚拟化为基础，允许多个用户桌面以虚拟机的形式独立运行，同时共享 CPU、

11、内存、网络连接和存储器等底层物理硬件资源。这种架构将虚机彼此隔离开来，同时可以实现精确的资源分配，并能保护用户免受由其他用户活动所造成的应用程序崩溃和操作系统故障的影响。FusionAccess采用业界领先的高清保真HDP桌面协议，并可将授权用户安全连接至集中式虚拟桌面。它与 FusionSphere协同工作，可提供一个完整的端到端桌面虚拟化解决方案，此解决方案不仅能增强控制能力和可管理性，还可以提供与PC一致的桌面体验，FusionAccess能简化虚拟桌面的管理、调配和部署。用户能够通过FusionAccess安全而方便地访问虚拟桌面，升级和修补工作都从单个控制台集中进行，因此可以有效地管

12、理数百甚至数千个桌面，从而节约时间和资源。配备FusionAccess桌面虚拟化方案具备下列优势：集控制能力和可管理性于一身：由于桌面在数据中心运行，因此管理员可以更轻松地对其进行部署、管理和维护。桌面云把数据、信息和知识财产将保留在数据中心内，而且永远不外流。与PC一致的体验：用户可以灵活访问与普通 PC 桌面功能相同的个性化虚拟桌面。降低总体拥有成本 (TCO)：桌面虚拟化可以减低其管理和资源成本。统一软硬件管理：为了便于硬件设备（服务器、存储、交换机）、虚拟资源的集中管理，采用华为的虚拟化管理软件FusionSphere。FusionSphere采用B/S架构，可以远程统一管理本项目中V

13、DI桌面、服务器虚拟化三个资源池。FusionSphere可管理、监控硬件资源、虚拟资源；支持虚拟机的快速部署、定制化策略调度。计算资源池计算资源池为用户提供CPU、内存计算资源。在服务器上安装华为的虚拟化软件，可以在一台服务器上虚拟出多个台虚拟机，提供弹性规格的虚拟桌面。这几个资源池归属同一朵桌面云管理系统。存储资源存储资源主要为虚拟桌面提供系统空间和数据空间、还有桌面云管理系统所需要的空间。这些存储都在主用存储上。主存储根据数据类型的不同，划分不同的数据LUN。这里的数据类型主要包括 管理数据、Windows系统数据、用户数据。典型应用场景解决方案/请根据实际项目选用相应的场景，其它不需要

14、的场景删除。OA办公桌面云解决方案OA办公应用场景OA办公桌面云应用场景特点：OA办公桌面云是指企业使用桌面云来进行正常的办公活动。用户的虚拟机运行Windows XP、Windows 7系统，运行各种文字办公软件，如Office编辑文档、Project、Visio、Internet Explorer浏览网页、Outlook处理邮件、金山词霸等。桌面云可对接入USB设备、打印设备、存储设备进行映射管理；虚拟机里可安装监控软件，提供多种安全方案，保证办公环境的信息安全。华为桌面云支持与企业已有的IT系统对接，充分利用已有的IT应用。比如利用已有的AD系统进行桌面云用户鉴权；在桌面云上使用已有的I

15、T工作流；通过DHCP给虚拟桌面分配IP地址；通过企业的DNS来进行桌面云的域名解析等。OA办公用户与虚拟机采用1：1配置，每个人独占一台虚拟机。用户通过本地瘦终端，或软终端可以远程登录虚拟机。虚拟机采用业界性能领先的HDP协议将虚拟机桌面显示投送到用户终端上。瘦终端的无本地存储，不涉密。可管控，功耗低。办公环境相对PC环境更简洁，无噪音。研发安全办公桌面云方案研发办公应用场景研发办公桌面云场景特点：企业研发环境对于信息资产的共享和安全存在不同的控制要求，受控数据传输系统满足企业信息安全管控的需求。研发人员需要支持常用办公软件：WINDOWS XP/Windows 7操作系统，MS Offic

16、e，Internet Explorer，Acrobat Reader(pdf)，MediaPlayer视频播放软件，通信软件，常用输入法，微星阅读器，用户虚拟桌面颜色至少32位，保证图像显示质量；研发桌面云还有常用的一些研发软件，如：Java(My Ecliplse), ALTUIM,Mentor，Visual Stutio，Matlab 等二维设计仿真软件。研发办公采用用户与虚拟机1：1配置，每个用户都独占一台虚拟机。研发办公桌面云采用瘦终端，只允许连接虚拟桌面，所有USB端口可禁用U盘，本地安全不留密。虚拟机的规格可以按照办公软件的负荷调整。 安全基于虚拟机级别的隔离，每个桌面都有单独的系

17、统盘，安全性高；个性化桌面；外设支持类型丰富；用户体验与传统PC一致；华为研发桌面云解决方案的优势：支持安全级别定制化设置：安全分区级别支持定制化分级控制机制，支持企业定制以满足差异的信息安全管理需求；单一安全分区内部支持指定桌面实例的安全组设置，满足同一分区内部的差异化管理需求。方案成熟，部署规模弹性可扩展：部署规模从数百台终端可以灵活扩展到万台规模，当前已经在华为深圳研发中心，上海研发中心完成部署，账号用户10000个，活动在线用户8000个。营业厅桌面云解决方案营业厅应用场景营业厅应用场景的特点：不同营业厅桌面要求不同：前台终端：为操作型岗位，大部分时间使用营业系统应用进行业务处理，有简

18、单的数据存储、交换需求；管理座席：为知识型岗位，除营业系统管理应用外，还有Office办公软件、多媒体播放有一定需求。所需外设多：营业厅终端需支持各种打印机、扫描仪外，还需支持SIM卡读写器、密码小键盘、摄像头、手写板等外设。企业营业厅系统划分为服务人员使用的桌面系统、业务办理的客户使用的自助系统。营业厅解决方案针对营业厅分布地域广泛，网络连接质量差异大的特点，改进了桌面云系统的调度和连接优化配置，可以有效的克服网络闪断，网络速率抖动等恶劣条件，保证企业营业厅系统的高质量服务。营业厅解决方案提供即插即用的外设终端接入方案，并通过预置的具备广泛兼容性的驱动插件支持常见的串口、并口、USB口外设；

19、支持多种类型的打印机、扫描仪、读卡器、评价器。极大的降低了企业客户部署的难度。根据企业营业厅的业务特点，桌面系统的认证方式也支持多种。对于客户自助系统的桌面还可以支持免认证登录桌面系统、即时打印服务清单等功能。华为桌面云营业厅解决方案的优势：营业厅解决方案是针对各种营业厅推出的解决方案，营业厅解决方案有如下优点：利旧原有IT外设：无需采购新的IT外设，兼容常见接口外设，并可对于外设驱动统一部署和管理，保证即插即用的客户体验。快速软件安装部署：运营软件通过云平台集中推送，做到大规模快速软件安装部署，便于企业统一新业务上线。支持客户自助系统：支持客户自助系统在桌面云的部署，可免认证使用企业为客户提

20、供的系统，即时打印服务清单等功能。会议室桌面云解决方案会议室桌面云应用场景会议室桌面的特点：典型用户：所有使用会议室电脑资源的用户场景描述：会议开始前的共享资料准备，会议中的材料共享和演示投影，会议结束清除本地会议材料。场景特点：应用场景单一，主要是资料共享和投影。使用时间短，一般是24个小时。本地员工一般有自已的私有办公桌面，自己办公点和会议室存在一定的物理距离。异地性，出差员工没有办公桌面，临时使用，使用人频繁，需要保证其使用的桌面不保留前一个使用者的数据信息。对于本地员工在会议室开会，通过会议室的本地TC可以直接登录自已的私有桌面；开完会直接注销后即可。对于出差员工使用的桌面，采用普通链

21、接克隆桌面，建立一个会议室虚拟桌面资池，以动态多用户方式（动态池）分配给用户。只需要会议室用户组与会议室虚拟桌面池绑定。出差员工每次使用登录时，系统随机分配一个可用的虚拟机，用户注销后，虚拟机被资源池回收，清除会议使用时残留数据。员工轮班桌面云解决方案（并发License方案）员工轮班桌面云应用场景员工轮班应用场景的特点：独立办公环境场景：由于办公位置有限，用户根据安排在不同的时间段同一位置，使用同一个TC办公，各自需要使用独立的办公环境，用于知识的积累和邮件的处理，如供应链的工程人员。用户总数 与 并发用户至少是双倍关系，可以考虑这个方案。用户分时使用：TC数量有限，提供与用户数量相同的虚拟

22、机，保障用户有各自独立的环境。适用人群：生产供应链操作类员工。对于这种分时轮班的使用场景，虚拟桌面一对一的分配使用，可以保证虚拟机级别的隔离;安全性高；用户使用户个性化。在配置方案时，需要关注并发用户与总用户的差别。TC、服务器数量、虚拟桌面的License都按并发用户数来配置；存储资源按总用户来配置。这样的配置可达到最优的性价比。用户在轮班时，前一班的虚拟桌面可以休眠，启动当前上班用户虚拟桌面。公共上网区/阅览室桌面云解决方案公共阅览室桌面云应用场景电子阅览室应用场景特点：电子阅览室场景中，用户只需要登陆和使用虚拟机，阅览所需要的软件提前安装在镜像中，业务比较简单。电子阅览室主要有如下特点：

23、 可以上网，网络传播的病毒、木马、防不胜防。人员流动性大，虚拟机无需经常关机。需要支持外接U盘。维护简单，提高工作效率。此场景对存储的要求也不高，安全威胁，非常适用链接克隆虚拟桌面。链接克隆共用一个只读的系统母盘，这个母盘中安装电子阅览所需要应用软件。这个母盘不会感染病毒、木马。用户登录使用时，上网、浏览产生的临时数据保存在差分盘中，即使差分盘中了病毒木马。只需要对虚拟机进行重启，差分盘即可清除，还原到系统的初始状态。管理员对要虚拟机需要升级、打补丁，只要更新母盘即可。为提高资源复用率，可使用以动态多用户方式（动态池）分配给用户。每个TC绑定固定的虚拟机账户，开机即可登录使用。流动的用户不用再

24、输入帐户与密码，使用起来非常方便。分支机构桌面云解决方案分支机构应用场景随着企业市场的扩大，企业在各地的分支机构也会越来越多。而且这些分支机构一般人数较少，为了节约维护成本，要求统一管理。华为推出了分支机构桌面云解决方案，通过降低系统复杂性、提高分布式部署能力，极大地提升了系统的灵活性。分支机构解决方案原理：总部与各分支机构根据用户数部署虚拟桌面需要的物理资源（包含管理软件、计算、存储和网络节点）。总部人数较多，选择标准的服务器+存储设备。分支机构用户数少，也按相应用户数部署服务器+存储设备，或桌面云一体机。为了总部的统一管理，总部需要部署全套的桌面云软件FusionAccess、虚拟化管理软

25、件FusionManager与基础虚拟化软件FusionCompute。分支机构为了保障其独立性，同时又可以接受总部的管理；部署全套的桌面云软件FusionAccess、与基础虚拟化软件FusionCompute。总部通过部署FusionManager，作为统一的集中运维管理Portal；通过接入监控各分支机构的硬件资源、接入监控各分支机构的虚拟化平台资源、以及接入管理各分支机构的桌面云系统，进行资源的集中监控和运维管理。总部桌面云的FusionManager节点可做为集中桌面云运维管理Portal，支持多个分支机构的快速业务发放、桌面管理、资源统计。为了总部管理分支机构的操作流畅，分支机构与

26、总部之间的带宽最好不小于2M。为了保障总部与分支机构的安全。分支机构与总部各部署一套SVPN设备，通过SVPN建立安全隧道，实现分支机构与总部在同一内部网络中的网络互通，然后把各分支机构的数据（服务器、存储、网络）导入到总部管理节点，完成整个方案系统的环境部署。桌面管理系统统一部署在总部，与分支机构会产生管理流量的交换，用户就近登录本地分支机构的远端模块使用虚拟机，业务流只在本地产生。分支机构解决方案优势：灵活统一的管理维护：总部管理员可以集中运维，简化终端管理，大幅减少分支机构运维负担。安全策略，软件应用补丁等，由总部管理员统一发布、管理、维护。总部管理员也可为分支机构的本地管理员分配桌面云

27、相关操作权限，进行分权分域管理；虚拟机资源本地获取：分支机构与总部间仅交换管理数据，用户的业务默认由本地分支机构提供，无需远程连接到总部，降低了网络延时对业务的影响。对于网络状况不理想的分支机构极其有用。分支机构的虚拟机模板/镜像可在分支机构本地制作、本地存储，创建分支机构虚拟机时可以使用本地的虚拟机模板/镜像，以节省网络带宽，提升效率；弹性的业务部署：支持多资源集群管理，易于进行分支机构数量和规模上得扩展与缩减；高安全性：各分支机构与管理中心通过SVPN连接，并能做到各分支机构之间互相隔离，组网成本低但数据安全性比较高。移动办公桌面云解决方案移动办公应用场景/注：移动办公仅仅适合于桌面云OA

28、办公的补充，用于小规模的体验与演示，不适合客户主要办公场景商用。随着无线网络发展，智能移动终端的普及，BYOD(Bring Your Own Device)也成为企业员工提高办公效率的一大利器。办公人员可在任何时间（Anytime）、任何地点（Anywhere）使用移动终端设备安全快捷地处理与业务相关的任何事情（Anything）。办公人员摆脱了时间和空间的束缚，可以随时随地的进行工作处理，使得工作更加轻松有效，整体运作更加协调，有效提高管理效率，推动企业效益增长。传统移动办公方案只是把客户原有应用系统经过中间件转化适配到移动终端上，保证移动终端与客户原有系统业务应用系统功能保持一致。信息安全

29、差：关键信息容易外泄，信息流在公网传送，容易被截获，对用户行为监控难。终端差异化大：办公系统往往基于PC机windows系统开发，终端种类繁多，移植费时费力，成本高。移动终端处理能力较弱：由于移动终端着重于便携性强、续航性长，以电池供电，相对较弱的数据处理能力。带宽占用较大：查询信息系统需要大量数据，3G环境查询信息缓慢。基于桌面云的移动办公方案，桌面云与移动终端结合，可以完美解决这些问题。用户可以在家或非办公室时通过3G/4G网络，或通过WIFI网络接入桌面云。用户不仅可远程登陆虚拟机，同时也可以通过发布的应用程序如Word、Powerpoint，进行移动办公，此时用户无需登陆虚拟机直接使用

30、应用，对带宽的要求更低。为保证桌面云接入的安全性，增加一个接入网关。华为桌面云支持各种移动笔记本电脑、Pad、手机终端接入，可以实现无缝的随时随地接入进行远程办公，提升效率。手持终端支持的系统如下：Android系统、苹果iOS系统。基于桌面云的移动办公具有以下优势：低成本：对已有OA系统无影响，不用进行二次开发或适配。固定办公和移动办公共用一套OA系统，节省资源。管理高效：桌面/应用集中部署、集中授权、集中交付、集中监控。信息安全：网络安全，数据安全 ，应用集中管控 最佳体验：高速的应用响应，不依赖于终端的处理能力，可利用桌面云中心的主性能处理，提高处理速度与用户体验。Internet访问桌

31、面云设计方案Internet访问桌面云网络示意图在XXX项目中，用户利用户手提电脑等移动终端通过Internet、WiFi、移动网络登录虚拟桌面，最大的要求就是保障传输的安全性。为了增强访问桌面云的安全，建议增加一个AG接入网关来保障传输安全，增加防火墙来防范网络攻击。接入网关可以使用SVN来实现。TC通过广域网接入访问VM说明：登录控制流TCSVPN（Virtual IP：LB_VIP）SVPN（Mapped IP:MIP）WIHDCHDP业务流（SVN做AG功能）TCSVPN（AG VIP）SVPN（Mapped IP:MIP）用户VM访问虚拟桌面网络配置说明：防火墙上增加一个公网IP，映

32、射为接入网关上的SSLVPN IP，进行SSL VPN的认证，用户与SVN网关之间先建立一个SSL VPN隧道，然后按照上面描述的控制流和业务流访问路径连接自己的虚拟机。VPN网关的登陆和用户登录WI的认证是一次性完成的。为了保障桌面云中心的安全，在防火墙上进一步划分安全域进行隔离。桌面云的管理节点、用户虚拟机统一划分到VDI域；SVN划分进DMZ区；WAN用户都算在Unstrust域中。几个区域按照开放端口在防火墙中配置相应的访问控制策略。PC利旧改造方案PC机利旧改造方案本项目中现网办公中还有部分PC，为了充分利用现有资源，节省资金。桌面云客户端可以利用现在的PC，桌面云上线后，PC的数据

33、利用网络共享迁移到桌面云虚拟机中，PC本地不再保留工作数据。数据迁移完成后，PC与虚拟桌面之间的网络共享通道将关闭。为了保障数据的安全，PC的本地数据也将清除，所有数据将只保留在桌面云数据中心。PC改造只能运行桌面云客户端，能做类似于瘦终端功能使用，不能再访问PC的本地程序、也不能安装其他程序，不能访问PC的本地存储。 既保障数据的安全， PC操作变简单了，那PC的故障概率也大大降低，降低了用户PC管理维护的工作量。为了实现PC利旧改造做瘦终端，华为自研了一个Access Lock的桌面锁定工具，确保用户像使用本地桌面一样使用虚拟桌面。用户需以管理员帐户在Windows的PC操作系统上安装华为

34、桌面云客户端软件“AccessClient”和桌面锁定软件“AccessLock”。管理员还需在Windows的PC操作系统上配置用户登录的WI地址，当用户启动PC后，系统可以自动跳转到WI登录界面并锁定。用户不能切换到PC本地界面。用户登录桌面云，也只能操作虚拟机。高性能图形桌面云方案GPU直通方案GPU直通高性能图形桌面由于虚拟机的虚拟显卡处理能力有限，图形软件在虚拟机上运行受到限制，出现各种问题，比如3D软件安装不上，运行出错，或者渲染过程卡屏。为了解决图形软件（如CAD、3DMAX、UG等）的在虚拟机上的运行问题，华为推出了GPU直通虚拟机。 GPU是显卡的图形处理单元。虚拟机由于运行

35、在虚拟环境中，不能直接访问硬件。我们登陆到虚拟机的设备管理器上看到形形色色的硬件，其实都是在虚拟化平台模拟的。如果虚拟机要直接访问硬件，需要CPU能够提供一种虚拟化技术才能够支持。在Intel芯片中，这种技术叫VT-d技术，在AMD芯片中，叫做IOMMU技术。借助于这种技术，虚拟机可以访问服务器上显卡。由于服务器的PCIe接口数量、空间、功率限制，只能插入少数显卡，每台服务器可以有少数几台虚拟机可以直通GPU。其他虚拟机仍是普通虚拟机。这可以满足图形处理桌面小于10%的桌面云场景。虚拟机有了GPU之后，图形软件可以使用GPU充分渲染，GPU将渲染后的位图放入显卡视频缓冲区。为了将缓冲区内容实时

36、无损地投送到TC侧，虚拟机采用CPU压缩后，有效降低了传输带宽。TC侧再解码将图像内容清晰地呈现给用户。为了让更多的人可以使用GPU直通的虚拟机，可以将所有GPU直通虚拟机放在一个资源池桌面组里。资源池桌面组是一种业务发放方式，这种业务方式中，用户数大于虚拟机的数目，这样，相同的资源可以让更多的人使用。只有真正有需要时，才通过动态池方式登陆到GPU直通虚拟机，进行图像处理。/E9000与RH2288H可插GPU显卡,配置数量参见配置器。瘦终端需要使用PC机或性能较高的CT6000(WES版)。高性能图形桌面云方案GPU共享方案GPU共享高性能图形桌面由于虚拟显卡处能力有限，图形软件在虚拟机上运

37、行受到限制，出现各种问题，比如3D软件安装不上，运行出错，或者渲染过程卡屏。为了解决图形软件（如Catia、3DMAX、UG、AutoCAD等）在虚拟机上的运行问题，华为推出了GPU直通虚拟机。但是由于GPU直通虚拟机是独占一块显卡，这在有些情况下不能充分发挥显卡的性能，造成性能上的浪费。特别是在有些图形软件对3D图形处理要求不高的情况下，更容易造成显卡资源浪费。为了充分利用显卡资源，华为推出了多虚拟机共享GPU显卡的方案。多虚拟机共享GPU时会建立一台渲染的虚拟机（Graphics Rend Server），服务器配置的显卡直接映射给这台渲染虚拟机。用户虚拟机与渲染虚拟机之间采用共享内存方式

38、通信。用户虚拟机在工作时，将需要显示渲染的3D图形先送到渲染虚拟机进行渲染。渲染虚机将显卡的显存、CUDA并行处理器核心分时分片给各个虚拟机。渲染虚机将3D图形渲染完成后再发回给用户工作虚机。用户虚拟机内置的HDP虚拟桌面插件将显示内容取出，发送给瘦客户机或PC中的软终端HDP Client。用户就可以远程使用3D图形虚拟机。现在版本每显卡可以共享给4台虚拟机使用，每服务器可以支持8台GPU共享虚拟机。剩下的显卡仍可用于做GPU直通的虚拟机。由于各种3D图形软件对GPU的消耗不尽相同，在实际使用过程中，GPU显卡适合共享给几台虚拟机使用，最好进行PoC验证。呼叫中心桌面云解决方案呼叫中心桌面云

39、解决方案的特点：多数企业用户部署的呼叫中心越来越多的由TDM方式的语音解决方案演进到采用IP语音解决方案。华为呼叫中心桌面云解决方案将采用低时延、大带宽的网络基础设施，采用扁平化的网络组网方案，与桌面云系统端到端的配合，确保语音质量达到传统呼叫中心的水平，并使办公环境绿色化。华为呼叫中心桌面云解决方案的优势：支持平滑迁移：完善的呼叫中心平台和桌面云的集成方案，平滑迁移客户原有呼叫中心。快速应用，优质语音：华为桌面云系统整合华为数据通信、电信设备设计制造的优势，专门针对座席使用的客户管理类应用（C/S类型或者B/S类型应用）以及语音数据流优化传输QoS和传输时延，提供了桌面应用的快速响应特点和优

40、质的语音体验。绿色节能：采用TC终端替代传统PC，降低呼叫中心的噪音、电力消耗，为客户打造绿色呼叫中心。方案一：软电话分离部署的云坐席方案 (语音分离方案)旁路软终端呼叫中心桌面云方案方案说明：华为公司openeye终端基于桌面云语音方案的现状，对软终端进行了改进，发布了分离式架构的版本，在VM中部署软终端的UI部分，在 TC当中部署软终端的编解码处理部分。在VM中UI部分利用HDP预留的扩展通道控制TC中的编解码部分。桌面采用Windows 系列操作系统，安装安装座席终端软件OpenEye的Agent,呈现软终端的UI界面；IE浏览器安装CRM系统相关插件。Openeye agent与TC

41、上的Openeye Client通过TCP传输SIP控制连续状态，登陆、话务接听、挂机、转接等功能在VoIP软终端的UI界面上进行操作，SIP信令最终由client收发。在本方案中语音流路径是由瘦终端(语音软终端语音编解码部分)、直达呼叫中心服务器及通信网络；而呼叫控制流是经瘦终端(语音软终端呼叫控制部分)、VM、呼叫中心服务器及通信网络；语音与控制分离；所以也叫语音分离方案。本方案由于语音不再经过虚拟机，减少了语音时延，而且日常呼叫中心的办公业务、语音呼叫控制等相关操作都统一在虚拟机里进行操作，提高了用户体验。方案二：软电话嵌入瘦客户端的云坐席方案 (语音旁路)TC旁路呼叫中心桌面云方案方案

42、说明：桌面云VM：提供座席桌面,桌面采用Windows 系列操作系统以及坐席软件(IE浏览器以及CRM系统相关插件 )。CRM系统包含客服人员常用的业务web界面和话务前台的web界面，用来查询计费，知识库，开始呼叫排队，对客户发起点击呼叫等。瘦终端: 嵌入安装OpenEye 软终端，使之作为SIP UE采用SIP、RTP同UAP进行通讯。瘦终端使用HDP协议连接至座席桌面,通过HDP协议完成键盘/鼠标/以及显示信息的传递,使得座席操作人员可以进行座席桌面的远程访问进行业务处理并获得同本地桌面相同的业务体验。在本方案中语音流路径与呼叫信令路径都是瘦终端(语音软终端语)、呼叫中心服务器及通信网络

43、，到达客户手机或固话。本方案由于语音不再经过虚拟机，减少了语音时延，所以语音体验较好；但日常呼叫中心的办公业务操作在虚拟机里进行，而语音呼叫控制操作需要切换到瘦终端的界面里进行。方案三：基于硬电话方式的客服桌面云方案基于硬电话呼叫中心桌面云方案方案说明：座席话机：作为座席话机终端提供语音通讯功能,采用SIP/RTP同UAP对接。客服人员直接在话机上接听和拨打电话，没有voip软终端。桌面云VM：提供座席桌面,桌面采用Windows 系列操作系统以及坐席软件(IE浏览器以及CRM系统相关插件 )。瘦终端: 瘦终端使用HDP协议连接至座席桌面,通过HDP协议完成键鼠和显示信息的传递。本方案仍采用传

44、统的POTS电话，只是将PC切换成虚拟桌面。用户在虚拟机里完成呼叫中心的业务处理。电话呼叫接听仍使用传统POTS硬电话或VOIP硬终端。方案四：软电话部署于座席虚拟机的云座席方案 (语音共路)语音共路呼叫中心桌面云方案方案说明：语音软终端（SoftPhone）:呼叫中心客服人员，用耳麦和语音软终端进行呼叫，软终端提供语音通讯功能,采用SIP/RTP同UAP（如UAP8100）对接。桌面云:包含桌面云接入网关，桌面云基础架构服务器，桌面云计算、存储和网络资源；完成桌面云统一维管，用户桌面接入等功能。 桌面云:客服人员使用的虚拟桌面,采用Windows 系列操作系统，虚拟桌面中安装客服终端VoIP

45、软终端（如OpenEye），以及座席软件(IE浏览器以及CRM系统相关插件 )。瘦客户端: 瘦终端使用HDP协议连接至座席桌面,通过HDP协议完成语音、键鼠和显示信息的传递 网络设计方案/服务器+SAN存储时的网络方案，包括E6000+SAN、RH2288+SAN、E9000+SAN方案。/采用标准桌面云时，请保留本章节。采用桌面云一体机的方案时，删除本章节。桌面云逻辑组网图每个桌面云用户可以在办公位上使用TC、或者PC接入到桌面云中心。瘦终端放在每个用户的办公位，每个位子提供百兆或千兆GE网口就可以。桌面云部署在客户的数据中心机房中；需要与客户的核心交换机对接。考虑后续扩展性，建议采用2*1

46、GE/2*10GE(请实际项目选择)上行到客户核心交换机。桌面云网络通信平面划分为业务网、存储网和管理网。三个网络之间是隔离的，保证最终用户不能破坏基础平台。存储网络：存储网络通过多路径确保链路冗余，服务器与存储设备通过存储网络二层直接互通。存储设备为虚拟机提供存储资源，但不直接与虚拟机通信，而通过虚拟化平台转化。业务网络：为用户提供业务通道，为虚拟机虚拟网卡的通信平面，对外提供业务应用。HDP协议与虚拟机访问外部应用系统都是经过这个网络。各业务部门可以细分VLAN进行访问隔离。管理网络：负责整个云计算系统的管理、业务部署、系统加载等流量的通信。BMC平面主要负责服务器的管理，BMC平面可以和

47、管理平面隔离，也可以不进行隔离。服务器采用户GE组网，每刀片采用2个业务与管理网口+2个存储网口方式进行组网，业务、管理平面通过两网口聚合确保链路冗余。服务器采用户10GE组网，每刀片出一个2个10GE网口，两网口聚合确保链路冗余。整体网络划分为两层，分别为接入层、核心层。接入层：为了收敛服务器、存储设备的网口，一般在机柜里放置接入交换机，在接入交换机划分VLAN，将管理、业务、存储三个平面逻辑隔离。接入交换机再上行汇聚到核心交换机。核心层：华为云桌面通过内部的接入交换机汇聚后，接到客户核心交换机。核心交换机配置VRRP协议，为管理网络和业务网络提供冗余网关。网络带宽需求桌面云的网络带宽与用户

48、行为强相关。几种典型应用带宽需求情况如下：操作场景 HDP 静默场景（关闭所有应用，显示桌面，用户无操作） 4kbps 英文word打字（word文档100%比例打开，5号字体输入，每秒输入字符数=10个） 70kbps Word静默 32kbps 全屏浏览图片（每秒下翻一副图片，分辨率1650*1080） 340kbps ppt播放（每秒下翻一页ppt，不含动画效果） 1150kbps ppt播放（回翻5页内ppt，不含动画效果） 17kbps ppt播放（含动画） 590kbps pdf滚轮翻页 3900kbps Internet /WWW浏览（纯文字）150kbps呼叫中心客服应用(旁路

49、/分离方案) 150kbps打印500800Kbps；窗口拖动（窗口大小=800*600） 50400kbps 双击打开文件夹（文件夹窗口大小=800*600， 平均每秒打开一个文件夹） 460kbps 480P按照640*480尺寸播放（QQ影音） =6Mbps 480P按照1280*720尺寸播放（QQ影音） =9Mbps 480P全屏播放（1680*1050分辨率）（QQ影音） =7Mbps 720P按照640*480尺寸播放（QQ影音） =7Mbps 720P按照1280*720尺寸播放（QQ影音） =15Mbps 720P全屏播放（1680*1050分辨率）（QQ影音） =15Mbp

50、s 1080P按照640*480尺寸播放（QQ影音） =7Mbps 1080P按照1280*720尺寸播放（QQ影音） =14Mbps 1080P全屏播放（1680*1050分辨率）（QQ影音） =14Mbps GPU虚拟桌面(CPU压缩): 550Mbps 0.3%往返时延 100 ms抖动 40 ms不适用于桌面云使用场景 根据上述表格：1、OA办公桌面的网络QoS的要求达到往返时延30ms，抖动10ms，丢包0.01%。2、在VoIP语音的场景下,网络QoS要求丢包0.1%、时延3.0 语音延时800ms（TC到TC）。桌面云数据中心内部通过以下方式保证QoS：二层网络启用802.1P，

51、进行流分类，标识出HDP流量；启用PQ队列调度，避免拥塞，优先转发HDP流量；传输网络需要启用区分服务保证QoS：根据RDP/HDP的优先级表示，进行不同的DSCP标记，设置为EF或者AF级别，进行优先转发，保证网络拥塞后的RDP/HDP流量优先转发；对于TC接入网络，做类似处理，保证接入侧优先级；二层网络启用802.1P和PQ队列；三层接入部分采用DSCP区分服务；IP资源需求管理网IP地址需求云管理节点FusionManager（主备）、VRM（主备）、FusionStorageManager(主备)、服务器的的BMC、服务器底层虚拟化 需要一个管理IP。对于做HA可靠性的两个节点需要多一

52、个浮动IP。桌面管理虚机： ITA+DB+HDC（主备）各需要一个IP其它硬件设备、存储（双控制器）、交换机，每节点都需要一个IP。业务网IP地址需求每台虚拟机需要分配数据中心侧的IP网段一个IP， 每个瘦终端需要分配用户接入区的一个IP。桌面管理虚机：WI（负荷分担）+ITA+DB+HDC（主备）、License+TCM、AD+DNS+DHCP各需要一个数据中心侧的IP。存储IP地址需求存储设备的每个网口、服务器的接口都需要存储网络的IP。路由核心交换机为每一个子网启用一个VLAN IF接口，并将VLAN IF地址作为网关地址。机柜内的虚拟机之间通过柜内接入交换机进行二层互通。机柜间虚拟机通

53、过核心交换机实现三层互通，将网关地址为VLAN IF地址。瘦终端访问虚拟桌面通过核心交换机三层路由转发。安全设计方案/请根据实际项目选用相应认证方案，其它不需要的场景删除。用户名+域密码认证方案XXX项目桌面云采用AD域帐号+域密码方式进行身份认证。用户输入AD域帐号与密码，登录时到AD服务器进行认证。认证成功即可以进入用户虚拟桌面。在虚拟机里Ctrl+Alt+Del就可以锁屏，输入域密码解锁。USB KEY双因子认证方案USB Key属于智能卡的一种，每个USB Key都具有硬件和PIN码保护，硬件和PIN码构成了两个必要因素（双因子认证）。用户只有同时取得USB Key和PIN码，才能登录

54、系统。即使用户PIN码泄漏，只要用户持有的USB Key不被盗，合法用户的身份就不会被仿冒。如果用户USB Key遗失，拾到者因不知道用户PIN码，也无法仿冒合法用户身份。本项目提高用户接入认证的安全，用户身份认证采用USB KEY双因子认证的方案。 用户登录时，先插入USB KEY，再输入PIN码，就可以登录用户的虚拟机。这样既能保证用户的良好体验，又能最大限度地提高用户身份认证的安全。用户登录桌面时插入USB KEY，即可以登录进入用户的WindowsXP与Win7虚拟机。用户在使用USB KEY过程中，只要拨出USB KEY就可以锁屏，再插入USB KEY，输入PIN即可解锁。用户使用W

55、indows 系统TC与Linux 系统TC都可以使用单点登录。USB KEY的认证方案登录流程实现如下图所示：指纹认证方案指纹登录认证利用自动指纹识别系统通过特殊的光电转换设备和计算机图像处理技术，对用户指纹进行采集、分析和比对，自动、迅速、准确地鉴别出个人身份。指纹登录认证利用人的指纹生物特征进行强认证，难以伪造和破解，同时使用起来更便利。华为桌面云支持使用指纹登录。指纹登录需要先进行指纹注册：先使用域帐号、域密码与指纹进行绑定。后续用户每次登录只要刷一次指纹就可以登录虚拟机。域密码+指纹双因子认证方案在高安全桌面云中，要求提供用户名/密码和指纹认证的双重认证才能进入用户桌面。在虚拟机中安

56、装指纹驱动时，先进行指纹注册。注册成功指纹就与虚拟机的绑定了。用户登录WI时，展现用户输入用户名密码之后，可看到用户虚拟列表，再进入虚拟机，需要刷指纹，指纹验证成功后方可进入虚拟机，从而实现用户名/密码和指纹方式的双重认证，提高用户桌面的安全性。USB端口管控方案对于研发场景，只要求接鼠标/键盘、其余存储、打印机都不允许接入。这种场景配置安全版的瘦终端即可。另外FusionAccess中HDC具有丰富的外设映射策略，可以提供USB设备管理，能够区分USB鼠标/键盘和USB存储设备，针对USB存储设备，提供允许/禁止/只读控制能力。同时外设映射策略可以基于AD用户账号、用户组、虚拟机组进行配置。

57、固定TC/TC组认证为了进一步保证合法用户登录虚拟机，满足追溯到人的安全要求，可以限制用户只能在指定的TC/TC组上登录虚拟机。桌面云管理员可以在ITA Portal将TC/TC组的MAC与用户/用户组的域帐号绑定。这样用户只能在固定的办公、或办公区域进行访问桌面云。如果用户更换办公位、或更换瘦终端，需要通知管理员在ITA Portal重新更新MAC地址绑定关系。类别参数取值样例TC和用户信息用户帐户Alice域TC/PC MAC地址70-F3-95-0B-7E-F8描述A楼3层803802.1X网络接入认证在每个办公座位上，都有网口，为了禁止非法用户通过网口接入网络，使用网口需要802.1X

58、认证。华为的瘦客户机集成802.1X认证客户端，用户打开TC后，输入802.1X认证的用户名、密码，TC先进行802.1X认证，认证通过后，才允许使用网络。TC自动弹出用户登录WI的界面。多安全域隔离/桌面云系统需要在防火墙上做安全域隔离时选用，请根据实际项目选用，不需要时场景删除。/请根据实际项目选用更改，安全域请按实际项目要求更改。在本项目的桌面虚拟化解决方案中，采用防火墙设置了不同的安全域，通过配置防火墙的域间包过滤功能，设置不同安全域之间的访问策略。防火墙提供域间包过滤功能主要功能，支持设置ACL（Access Control List，访问控制策略）。通过设置ACL策略，可限制某一方

59、向、或某一接口上的通信流量，能有效阻止信息被访问的程度，降低信息泄露的风险。本项目的桌面云划分的安全域如下：非信任域：虚拟化终端所处的区域，该区域接入用户多，且用户类型难以控制，安全风险高。 DMZ域：隔离区域，该区域主要部署安全接入网关SVN。管理与平台域：桌面云管理FusionAccess，虚拟化引擎FusionCompute, 云管理FusionManager管理组件所在区域。部门1 部门N的用户域：各部门的用户虚拟机，每个部门的用户虚拟机划分一个安全区域。桌面云安全杀毒方案桌面云的虚拟机主要包括虚拟化管理节点虚拟机，桌面管理虚拟机与用户虚拟机。管理节点采用加固的Linux操作系统；但管

60、理节点提供外部操作平台与外界存在B/S交互操作，不存在病毒感染。可不安装杀毒软件。桌面管理虚拟机采用Windows Server 2008 R2系统，用户虚拟机采用Windows7 或Windows XP系统，都部署必须统一防病毒软件。支持在Windows Server虚拟机上部署趋势的防病毒服务器，为基础架构虚拟机提供防病毒软件功能，通过设置定期任务，定期查杀病毒，防止基础架构虚拟机遭受病毒入侵。为减小防病毒任务在虚拟化环境中执行时对共享资源的占用量，并且避免多台虚拟机同时运行全盘扫描、病毒特征码更新等任务，防止资源消耗冲突，建议用户安装为虚拟化环境提供了性能优化功能的防病毒软件。通过虚拟化