【IBM通用方案】IBM-VDSB-桌面虚拟化解决方案

1、 PAGE 16基于IBM Bladecenter H的桌面系统虚拟化解决方案IBM 通过 Bladecenter H 部署的桌面系统虚拟化整合方案，帮助企业整合客户端平台、操作系统、应用平台，提供资源动态调整、虚拟HA、虚拟机动态部署迁移、虚拟备份全方位虚拟化解决方案。本次方案业务逻辑图在本次用户需求中，用户需要500个虚拟桌面，每个桌面运行AutoCAD和ProE软件，通过核心交换机10Gb级联到后端的Catalyst 3560交换机上供500个客户端去使用。刀片中心中交换机使用支持FCoE功能的交换机，上下冗余，保证业务不受故障影响。同时桥接SAN交换机，并连接存储。本次方案连接图IBM

2、公司提供的基于虚拟化技术的PC整合解决方案，使客户能充分享受及利用到IBM的刀片服务器技术及虚拟化应用软件VDSB的功能与优势：可扩展的服务器策略及RSA（可靠性、可用性和可服务性）的特点。可以帮助客户降低管理维护成本，提供更好的服务水平。IBM虚拟化平台解决方案可以给您带来以下价值： 优化并简化桌面管理 降低桌面维护和支持成本 灵活的访问能力 改善的最终用户服务级别协议 (SLA) 桌面业务连续性和快速灾难恢复 改进的数据安全性和法规遵从性典型解决方案配置对于有500个PC用户的企业IBM建议采用Bladecenter H，配置13台基于6核CPU技术的HS22v服务器，同时每台服务器上都安

3、装配置Virtual Desktop Infrastructure软件，用于在单个物理服务器实体上，利用服务器强大的处理能力，生成多个虚拟桌面，而每一个虚拟桌面，从功能、性能和操作方式上，等同于传统的单台物理PC，在每个虚拟服务器上，再安装配置Windows或Linux桌面系统，进而再安装应用软件，这样以前的每个物理PC就变身为VDI服务器上的虚拟桌面，实现数据的按需分散存储、按需集中备份以及可以最大化的发挥虚拟架构的优势。建议再额外配置一台服务器，安装上Verde Console软件，用于管理：Verde Console管理中心虚拟机 ；Virtual Bridge服务器虚拟机，用于虚拟机的

4、会话管理；Windows AD域控制虚拟机（也可用现有的AD域控制服务器）用于所有VDI桌面虚拟化用户的管理。VDSB 通过将桌面系统在服务器端的虚拟化实现桌面系统的安全性，通过联入统一的VDSB Virtual Bridge管理系统，企业将能够统一管理和调度桌面系统。用户只在需要的时候才启用服务器上的桌面系统，从而能够提升服务器的利用率，同时数据都存储在服务器端，可以提升敏感数据的安全性。VDSB支持不同存储间的虚拟桌面实时迁移，并可以将数据中心中的虚拟桌面实施迁移到远端的Branch Office，加快远程办公室虚拟桌面的访问体验。甚至可以将虚拟桌面实时迁移到本地计算机使用，提供了强大的用

5、户体验功能。VDSB支持Windows、Redhat Linux、Ubuntu Linux、Suse Linux等多种操作系统的桌面，为用户提供了多种工作环境的选择。方案拓扑图如下： IBM Virtual Desktop for Smart Business With VERDE VDI的功能与特点Virtual Bridges VERDE 5是业界非常卓越的桌面虚拟化解决方案，同时支持Windows 和Linux 桌面。VERDE 4 针对离线用户，包括便携驱动，提供按需定制显示协议和强大的支持，在线和离线两种方式，给最终客户提交高保真桌面体验。利用Rackspace 支持的VERDE O

6、n-premise 或VERDE Hosted，Virtual Bridges 为管理员部署和管理方便提供了新的标准。VERDE 5 套件可同时满足用户在Windows 和Linux 桌面虚拟化解决方案方面的需求，为VDI 和离线用户带来了显著改善，因此使得Virtual Bridges 技术与那些更为复杂和僵硬的竞争产品相比而独树一帜。VERDE 5 为寻求改善桌面TCO 的机构带来了先进的桌面管理技术，这些机构包括管理服务供应商（MSP）、政府、教育、非盈利性机构以及其他机构。唯一的开放式管理解决方案，能够同时提供基于Web 的管理控制台和命令行界面，以满足Windows 和Linux管理

7、员的需要。针对不同用途可以提供多种显示协议（RDP、RDP7、NX、SPICE），从而为用户提供高保真的PC 使用体验唯一的分支机构解决方案，CloudBranch可以使用户在使用较慢的和不可靠的广域网连接时获得类似于局域网连接的电脑体验。针对VDI 和离线使用之间的双向数据同步处理，提供连续客户体验，具有最新操作系统、应用程序和用户文档。VERDE LEAF从USB 记忆棒中启动虚拟桌面，加速了登录的启动时间（低于1 分钟）。IBM Bladecenter客户端虚拟化解决方案的优势 BladeCenter H能提供更高的性价比，相比于行业中同类解决方案及传统的服务器平台 ，BCH可以帮助客户

8、节省：硬件成本：节省20电费冷却：节省30管理费用：节省50上线时间：节省70机房建设：节省100对数据的保护：将敏感的数据、应用程序、智能财产权存放在您的数据中心，而非近端桌上型计算机。让 IT 人员能够针对外点桌上型计算机的使用者进行集中控管。重要数据留存于计算机机房内，增加安全性。减低对硬件的支出：停止提供需要完整设定，而且安装及维护成本皆十分昂贵的桌面平台。VDI 提供了以精简型客户端取代传统 PC 的选项，以协助您节省开支。服务器和终端机因为集中化可降低硬件维护成本。较佳的管理：让远程桌面平台变得更容易支持。当您将桌上型计算机带回数据中心时，您再也不需要派遣 IT 人员至外点修复硬件

9、或重新设定 PC 。透过集中化的补丁和应用程序安装，实现标准化部署及降低对网络负载。针对外点桌上型计算机的使用者进行集中控管。在数据中心执行的单一虚拟机器将能让不同的使用者共享，并内建防止使用者修改其桌上型计算机的限制。可移动式的工作平台：执行现成、旧有或自订的应用程序，完全不需任何修改。VDI 只需要透过远程通讯协议，就可以在标准桌面平台环境中执行。使用者桌环境是可移动性的，使用者可在任何地方使用多种组件连接。资源池的概念：可将公司内的桌面运算环境视为一个资源共享的共享池。使用者相互隔离：每个使用者不受其它人使用上的问题(如出现蓝色死机画面)而受影响。确保效能体验：使用 VDSB为每位虚拟使

10、用者动态配置服务器资源，以确保良好的使用者效能体验。参考配置BCH机箱部件号描述数量46M0901IBM UltraSlim Enhanced SATA DVD-ROM169Y1909Brocade Converged 10GbE Switch Module for IBM BladeCenter249Y4216Brocade 10Gb SFP+ SR Optical Transceiver468Y6601IBM BladeCenter H 2980W AC Power Modules w/Fan Pack188524TCIBM eServer BladeCenter(tm) H Chassi

11、s with 2x2980W PSU144X1962Brocade 8 Gb SFP+ SW Optical Transceiver425R57852.8m, 200-240V, Triple 16A IEC 320-C20269Y1917Brocade Converged 10GbE Switch Port Upgrade for IBM BladeCenter2HS12 for Verde Console,AD,SQLserver部件号描述数量80142ACHS12, Celeron Single Core 445 65W 1.86GHz/1066MHz/512 KB L2, 1x1GB,

12、 O/Bay SATA146C05124GB (2 x 2 GB) PC2-5300 CL5 ECC DDR2 667MHz SR VLP RDIMM142D0742IBM 500GB 2.5in SFF NHS 7.2K NL SATA HDD143W4068SAS Connectivity Card (CIOv)1HS12, Celeron Single Core 445 65W 1.86GHz/1066MHz/512 KB L2, 1x4GB, 500GB SATA1HS22v for Virtual Bridge部件号描述数量7871HACHS22V, Xeon 6C X5650 95

13、W 2.66GHz/1333MHz/12MB, 3x2GB, O/Bay 1.8in SAS169Y0924Intel Xeon 6C Processor Model X5650 95W 2.66GHz/1333MHz/12MB149Y14282GB (1x2GB, 2Rx8, 1.5V) PC3-10600 CL9 ECC DDR3 1333MHz VLP RDIMM-349Y14304GB (1x4GB, 2Rx4, 1.5V) PC3-10600 CL9 ECC DDR3 1333MHz VLP RDIMM1843W4068SAS Connectivity Card (CIOv)1N/A

14、VirtualDesktop SmartBusiness V2.2.01AH152MLVirtual Desktop for Smart Business 2.2 DVD Media Pack1D0HASLLIBM Virtual Desktop for Smart Business FTL Concurrent User39N/AIBM USB Memory Key for VDSB1HS22V, Xeon 6C X5650 95W 2.66GHz/1333MHz/12MB, 18x4GB, With IBM VDSB13OS for VC,AD,SQLserver,view manager

15、部件号描述数量Windows 2008企业版1客户端设备部件号描述数量49Y0557TC2B Thin Client w/256MB RAM/512MB DOM w/OS500.附录资料：不需要的可以自行删除 园区网络虚拟化无论规模如何或有什么安全需求，企业现在都能在单一物理网络上，受益于支持多个封闭用户组的虚拟化园区网络。综述随着对园区网络的需求日益复杂，可扩展解决方案也越来越需要将多个网络用户组进行逻辑分区。网络虚拟化提供了多个解决方案，能在保持现有园区设计的高可用性、可管理性、安全性和可扩展性优势的同时，实现服务和安全策略的集中。为达到出色效果，这些解决方案必须包括网络虚拟化的三个主要方

16、面：访问控制、路径隔离和服务边缘。通过实施这些解决方案，网络虚拟化即能与思科系统公司的服务导向网络架构(SONA)相结合，为迁移到智能化信息网络的企业创建一个强大的框架。SONA网络利用NAC和IEEE 802.1x协议提供身份识别服务，从而实现最优访问控制。在用户获准接入网络后，三个路径隔离解决方案GRE隧道、VRF-lite和MPLS VPN能在保留当前园区网设计优势的同时，在现有局域网上叠加分区机制，将网络划分为安全、虚拟的网络。这些解决方案解决了与分布部署服务和安全策略相关的问题。最后，共享服务和安全策略实施的集中化，大大减少了在园区网中维护不同群组的安全策略和服务所需的资本和运营开支

17、。这种集中化有助于在园区中实施一致的策略。挑战园区网络的设计建议一直缺乏一种对网络流量分区，以便为封闭用户组提供安全独立环境的方式（表1）。有许多因素都在推动对于创建封闭用户组的需要，包括： 企业中存在不同级别的访问权限：几乎每个企业都需要解决方案来为客户、厂商、合作伙伴以及园区局域网上的员工授予不同的访问级别。 法规遵从性：部分企业受法律或规定的要求，必须对较大的机构进行分区。例如，在金融公司中，银行业务必须与证券交易业务分开。 过大的企业需要简化网络：对于非常大型的园区网络，如机场、医院或大学来说，过去，为保证不同用户组或部门间的安全性，就必须构建和管理不同的物理网络，这种做法既昂贵又难以

18、管理。 网络整合：在合并和收购时，通常需要迅速集成所收购公司的网络。 外包：随着外包和离岸外包的普及，子承包商必须证明各客户的信息间完全隔离。尤其当一家承包商服务于相互竞争的公司时，这尤为重要。 提供网络服务的企业：零售连锁公司为其他公司支持售货亭或为加油站提供互联网接入；同样，服务于多家航空公司和零售商的机场能使用单一网络来提供隔离服务和共享服务。 表1. 不同垂直行业中网络分区的应用示例垂直行业网络虚拟化应用示例制造业生产工厂(自动装置，生产环境自动化等)，管理，销售，视频监视。 金融业交易大厅，管理，合并。政府支持不同部门的共同建筑物和设施。在部分国家，法律要求这些部门采用不同网络。医疗

19、总体趋势是在进行治疗的同时提供宾馆式服务。须隔离医护人员、核磁共振成像(MRI)和其他技术设备、病人互联网接入，以及为病人提供的广播和电视等媒体服务。 商业智能楼宇：多企业园区不同部门共享部分资源。多个公司位于同一园区，其中不同建筑物分属不同部门，但全使用相同的核心和互联网接入机制。园区所有者管理建筑物自动化体系，覆盖所有建筑物。零售售货亭，分支机构中的公共无线局域网，RF识别，WLAN设备（例如，不支持任何WLAN安全特性的较早的WLAN条码阅读器）。教育学生、教授、管理人员和外部研究团队间需要隔离。此外，分布于多个建筑物的各院系可能需要访问各自的服务器区域。而某些资源（例如互联网、电子邮件

20、和新闻）可能需要共享或通过一个服务区访问。此外，建筑物自动化体系也必须分开。园区局域网的发展网络虚拟化允许多个用户组访问同一物理网络，但从逻辑上对它们进行一定程度的隔离，以便它们无法查看其他组这是多年来网络经理面临的挑战。在上世纪90年代，L2交换是园区局域网的标志性特征，虚拟局域网(VLAN)是在一个通用基础设施中将局域网划分为不同工作组的标准。此解决方案安全高效，但无法很好地扩展，而且随着园区局域网的发展，其管理也非易事。核心和分布层中L3交换的出现，在VLAN方式的基础上对可扩展性、性能和故障排除进行了优化。过去几年中，所构建的基于L3的园区网络已经证实，它们便于扩展、功能强大，具有高性

21、能。但在网络分区和封闭用户组方面，L3园区方式有着重大缺陷和限制。在此情况下，添加封闭用户组即意味着增加成本和复杂度。解决方案：网络虚拟化因此我们需要一个便于扩展的解决方案，来保持用户组完全隔离，实现服务和安全策略的集中，并保留园区网设计的高可用性、安全性和可扩展性优势。为支持此解决方案，网络设计必须高效地解决以下问题： 访问控制：确保能识别合法用户和设备，对其分类，并允许其接入获得访问授权的网络部分。 路径隔离：确保各用户或设备都能高效地分配到正确、安全的可用资源集即正确的VPN。 服务边缘：确保合法的用户和设备能访问相应的正确服务，并集中实施策略。 思科解决方案能通过几个方式实现网络虚拟化

22、。虚拟化技术使单一物理设备或资源能作为它自己的多个物理版本，在网络中共享。网络虚拟化是思科SONA框架的一个重要组件。思科SONA使用虚拟化技术来改进服务器和存储局域网（SAN）等网络资产的使用。例如，一个物理防火墙能配置为执行多个虚拟防火墙的功能，帮助企业优化资源和安全投资。其他虚拟化战略包括集中策略管理、负载均衡和动态分配等。虚拟化能提高灵活性和网络效率，降低资本和运营开支。访问控制：身份验证和接入层安全接入层安全对于保护园区局域网免遭外部威胁十分重要。通过在威胁进入园区前即采取防御措施的特性，能对思科网络虚拟化解决方案构成补充。IEEE 802.1X即是这样一种技术，它是端口安全的标准。

23、802.1X在用户及其相关的VPN间形成强大的连接，防止在未授权情况下访问禁止接入的资源。另一种补充技术是思科网络准入控制(NAC)。NAC的职责是在边缘防御威胁，在有害流量到达分布层或核心层前即将其删除。NAC有助于确保用户不会使园区基础设施遭受到任何病毒、蠕虫等威胁。路径隔离：L3 VPN为支持园区网络虚拟化，思科提供了三个非常适用于典型园区网络设计，并混合使用了L2和L3技术的解决方案： GRE隧道 VRF-lite MPLS VPN GRE隧道GRE隧道为在园区网络上创建封闭用户组提供了一种相当简单且高效的方法。GRE隧道非常适于作为托管“访客”接入的企业解决方案，使公司能为访客或来访

24、者提供全球互联网接入，而又能防止这些用户访问内部资源。在图1中，GRE隧道与Cisco VRF-lite特性共用，为访客接入创建了一个简单、易于管理的解决方案。图1. 结合使用GRE隧道和VRF-lite该解决方案的优势包括： 能跨越典型的多层园区网络（无需园区级VLAN）。 访客用户流量与其他公司局域网流量隔离。 所有访客流量的进入点位于中央位置，使安全性和服务质量(QoS)策略更易于管理。 甚至能通过广域网扩展到分支机构。 在将GRE隧道作为支持封闭用户组的解决方案时，需要注意的一个因素是隧道本身较难配置和管理，因此不建议解决方案部署超过两条隧道。此类网络虚拟化适用于需要星型拓扑的场合。V

25、RF-liteVRF-lite是一个思科特性，通常称为多VRF客户边缘，通过使用单一路由设备支持多个虚拟路由器，来提供园区分区解决方案。VRF-lite是MPLS的轻量版本。利用VRF-lite，网络经理能灵活地为任意特定VPN使用任意IP地址空间，而无论它是否与其他VPN的地址空间重叠或冲突。这种灵活性在很多场合都非常实用。例如，当所收购公司的网络合并到一个共享局域网中，所收购的网络能作为独立VPN进入基础设施，几乎或完全不会干扰网络上的日常业务流程。VRF-lite能用作端到端解决方案，如图2所示，也能与另一解决方案共用来支持封闭用户组，这将在下一部分中讨论。总体来说，VRF-lite的可

26、扩展性高于GRE隧道，但它最适用于有四或五个分区的网络。每次添加用户组时，它都需要人工重配置，因此相当耗费劳力。图2. VRF作为端到端解决方案部署MPLS VPN另一种为封闭用户组进行园区网络分区的方法为基于MPLS的L3 VPN。和GRE隧道与VRF-lite一样，MPLS VPN提供了一种安全可靠的方式，在通用物理基础设施上进行网络逻辑分区。尽管电信运营商使用MPLS技术的时间已有几年，但因为局域网交换机上缺乏对MPLS的支持，它还未在企业网络中广泛部署。而不断改变的业务需求，以及相应的新产品面世，正帮助MPLS成为园区基础设施中的重要技术。随着Cisco Catalyst 6500系列

27、提供了对于MPLS VPN的支持，对许多大型企业来说，MPLS技术已拥有了廉宜价位。MPLS VPN具有本文中讨论的其他解决方案的所有优势（参见图3）。此外，任何MPLS VPN都能通过配置，连接至用户和位于网络中任意地点的资源，而不会影响性能或网络设计。相应地，MPLS VPN也是三个思科网络基础设施虚拟化解决方案中可扩展性最高的。当添加或改动用户组时，无需人工重配置，这提高了可扩展性，降低了运营开支。当在网络边缘使用VLAN，在园区的路由部分使用L3 VPN时，保留了层次化园区网部署的所有优势，同时该解决方案还能在园区局域网中实现端到端、可扩展分区，并支持集中的安全特性和服务。和VRF-lite一样，网络定址灵活性也是MPLS VPN的另一优势。图3. MPLS VPN支持任意到任意连接统一接入提供灵活性这三个思科园区网虚拟化解决方案并不限制用户使用任何特定的接入类型。尽管他们在单一物理网络基础设施中工作，但这些解决方案能轻松地支持移动