云桌面解决方案建议书-模板

12项目需求分析 12.1管理运维效率低 12.2难以保护数据的安全 12.3扩展性与灵活性不足 23云桌面设计方案 2 23.2双网隔离设计方案 33.2.1物理隔离方案一 33.2.2物理隔离方案二 44云桌面详细设计方案 5 5 5 6 74.2.1计算资源配置 74.3存储资源配置 8 84.3.2虚拟桌面空间占用 84.4管理中心设计 94.5安全设计 94.5.1终端准入控制 94.5.2多样化的用户认证方式 4.5.3集中的网络策略管理 4.5.4三权分立，防止越权管理 4.5.5虚拟化杀毒保障桌面安全 4.5.6数据备份与恢复 4.6高体验设计 4.6.1灵活的终端选择 4.6.2视频重定向效果 4.6.3Flash视频重定向 4.6.5TWAIN设备重定向 4.7扩展性设计 4.7.1灵活扩展 4.7.2分步云化 4.8运维管理规划 4.8.1虚拟桌面与桌面池 4.8.2快速部署和统一升级 4.8.3应用快速分发 4.8.4桌面自服务 4.8.5个人数据盘 4.9数据安全备份 4.9.1用户自助备份及恢复 4.9.2虚拟桌面备份恢复 5项目建设成效 5.2提高运维效率和降低碳排放量 5.3更高的资源利用率 5.4更高的稳定可用性 5.5更高的系统可管理性和桌面部署速度 5.6更强的按需动态扩展能力 以虚拟桌面为交付形态，基于服务器虚拟化构建IaaS平台基础支撑环境，云计算技术在安全层面需要解决传统IT基础架构面临的问题，实现统一管理、系统稳定性等需求，充分发挥后PC时代虚拟桌面带传统桌面使用PC终端难以实现规范和管理，安全漏洞多，易遭受病毒/木马攻击，从而影响办公网络采用集中管控方式，按需自由交付虚拟桌面，实现绿色IT，打造智能弹性架构。的解决方案。主要在于新型信息化发展的路线上，传统架构表现出了一些不足：终端维护和管理机器困难，用户修改桌面环境的需求各有不同，因此PC桌面标准化也是一个难题。每名工作人员都有2~3台PC、多套操作系统、多种业务软件，IT人员需要逐个终端去维护、安装和构复杂，故障率较高，所以硬件维保费用将逐年递增，同时还会带来更多的电力、空间等资源占用或经费善的数据保护机制，所以网络攻击事件发生的概率非常小，但内网终端由于缺乏必要的安全防护措施，反而存在较大的失、泄密隐患，检务工作人员可以将涉密信息下载到本地硬盘上，然后通过非法拷贝或刻录等方式，把涉密信息泄露出去。为确保涉密安全，检察机关在桌面PC上运行各类安全防护软件，但是如绕过位于PC硬盘上的防护体系，此时非法人员可以不留痕迹地获取涉密信息和植入病毒木马，影响检察当前部分工作人员对于信息安全的专业知识和技能有限，比如杀毒软件没有安装或没有升级病毒库、成本高昂，保证安全的同时降低了工作效率，安全和效率无法兼顾。在后PC时代，未来的桌面发展也朝着移动化、异地化、多应用场景等新的桌面挑发展的战略下，传统PC机已经远远无法匹配日益先进的现代化、信息化管理水平。所以，云桌面作为一种新的技术理念或行业趋势，可以部署在检务网络中，加强对涉密终端的管理，根据现状和需求分析，结合新华三虚拟桌面解决方案，制定如下模块化、易扩展、安全性高的桌面云总体架构，如下图如上图，本方案采用扁平化方式部署，即云端的VDI资源集中部署在的中心机房，端的客户机部署在各办公室，局域网来实现云与端的带宽保障。服务器系统以集群方式部署，受CVM集中管控，即一个虚拟数据中心下面直观展示所有虚拟资源，包括虚拟机、宿主机、网络硬件设备等。并能直观生成数据中心拓扑图，方便对外统一呈现与管理。性能；借助底层高可靠设置，保障办公业务连续性，任何一台物理主机宕机均可快速恢复。终端管理运维极其繁杂、应用软件更新的工作量大；而硬盘隔离卡多桌面切换慢，且稳定性差、易蓝屏死桌面，通过KVM切换器特定按键一键无缝切换。优势说明：内外网瘦终端之间完全物理隔离，无数据交互。终端、网络和云桌面数据完全物理隔离，内外网完全分开，文件只存放在数据中心的云桌面服务器上，且云桌面统一在后台管理，可以加大对桌面公空间，用户体验非常好。部署两套物理隔离的云桌面服务器集群（承载检察院专网办公桌面和外网桌面，两个集群之间通过网闸设内网，一套用于访问外网。同一时间只能连通一套网络，所以能够满足内外网物理隔离要求（涉密网与互联网、或非涉密网与互联网、或涉密网与非涉密网，视具体情况定时界面依然是切换前的界面，不用重新打开各类程序。网络切换器切换速度快，使用灵活，体验度好。详细设计方案以局域网办公为主，双网隔离数据中心建设设计标准内外网一致，仅接入端设计不同。网络设计遵循用户体验性能优先保障方案，采用分离式架构设计，保障不用网络流量互不干扰，并且结合虚拟交换机的QoS、vLan、Mirror等技术，具备更强的适应能力和扩展能力。千兆以太网业务分三个子网，分别连接虚拟桌面管理及集群通信，虚拟桌面业务，存储网络。根据新华三桌面云最佳实践和以往项目经验，建议将生产系统所在生产转发网络和虚拟机主机管理端方案中通过在生产网络之外为管理网络单独划分VLAN的方式实现网络分段。信的安全及流畅。每一个虚拟交换机vSwitch可以配置两个上行链路物理网络端口。对于多网口的冗余配虑采用10GbE，不过采用万兆网络在适配器和交换机上的投入成本也会相应增加。简单的方法是通过在虚拟机网络vSwitch上通过对多块1GbE端口捆绑负载均衡实现。分布式存储推荐万兆网卡，共享阵列存储则推荐HBA卡。虚拟桌面的网络带宽与用户应用强相关，列举某大型客户几种典型应用带宽需求情况如下：场景场景OA办公访问26.046.7视频播放450.2小总：普通办公桌面带宽占用约为1.5^2MB，考虑外设备等开支，建议办公桌面带宽占用3^4MB左右，最终带宽值需根据客户的实际网络环境与业务环境测试为准。如果涉及专线访问云桌面，需要通过运营商提供专线网络来承载VDI，实现市县的云与端的互联，则需要承载网提供带宽与Qos的保障。常见端到云的网络质量分如下级别：在线高清视频全屏播放效果好，可达22fps丢包率≤0.01%720P本地视频原始窗口播放效果好，可达抖动≤10ms抖动≤10ms适用场景：日常办公，少量多媒体娱乐需用户基本办公体验良好，快速拖动滚动条略有鼠标漂移现象适用场景：日常基本办公（无大量频繁外用户基本办公体验较差，鼠标和键盘操作差往返时延≤100视频播放卡顿明显，基本不可用；外设识别困难，操作卡顿，基本不可用；抖动≤40ms丢包率>0.3%不适用于桌面云使用场景恶劣往返时延>100抖动>40ms并配合HA和动态负载均衡等高级功能，实现业务的连续性，减少计划内宕机时间，提高资源利用率。在普通办公场景（主要使用Office系列软件、OA、web端管理系统等）中，视频并发不超过10%，涉及图形化办公场景中，推荐采用GPU服务器。新华三VGPU方案提供多种授权方式，满足日常图形化办公或者有图形渲染办公需求场景。虚拟桌面项目中评估存储的一个关键性能指标就是IOPS，桌面系统启动时读取镜像系统并加载用户配置文件，所以IOPS消耗较高，保守估计在日常工作中每个虚拟桌面所需的IOPS平均为单个VDI桌面各节段IOPS数量调用情况（理论值桌面系统容量占用＝虚拟桌面数量x（单台桌面操作系统占用+单台桌面数据占用桌面系统WindowsXP、7、10系统盘容量数据盘容量根据用户需求确定虚拟机采用完整克隆模式：数据盘使用后置备模式，初始占据所需空间。系统盘采用链接克隆模式：数据盘使用量精简配置，随时间增加。桌面管理服务器负责计算资源的调配、用户认证、策略控制等工作，为了保证系统稳定运行，建议采.建议将2台VDIM桌面管理服务器分别安装在2台管理服务器上，另外再加1台专门运行AD/DNS/DHCP等组件（可选件也就是需要3台物理服务器跑管理组件。桌面管理服务器推荐配置规格：指定终端接入：通过在接入终端的MAC地址/MAC地址组与域用户/域用户组之间建立绑定关系，实现指定域用户/域用户组成员从指定终端/终端组接入桌面。在信息安全要求高的场合，只允许特定用户从固定地点的终端登录到包含敏感信息的虚拟桌面中，以避免敏感信息遭到泄露1、用户登录时，客户端会将用户名、域名以及MAC地址发送桌面云管理平台（Broker检查TC2、与Broker的预存绑定信息相匹配，则允许去AD鉴权，继续登录过程AD认证：账号系统统一由AD维护，具备密码重置、虚拟桌面权限配置等AD系统支持的功能。本地认证：无需AD系统，虚拟机不加入AD域，使用方式类似于物理PC不加入域，但是无法集中终端MAC认证：虚拟桌面可以指定给某一特定的终端，首次打开客户端，显示注册页面，点击“注针对单个虚拟机和桌面池集中设置策略，策略下发后自动生效；虚拟桌面访问控制：允许为虚拟桌面流量指定详细的安全访问规则（二层、三层、四层控制，双向控分布式虚拟交换机（DVS虚拟桌面在服务器主机间迁移时，相应的网络策略配置（ACL、QoS、4.5.4三权分立，防止越权管理管理系统中的账号所属角色对应的操作权限进行分离，独立的账号管理功能模块，管理员根据实际情况分配权限，实现系统管理员、桌面管理员、审计管理员的多级管理；基于集群、主机和桌面池的细粒度权限管理；满足国内涉密安全应用场景。等保标准BMB17中明确规定，系统要支持三员分立的管理。即实现系统管理员、安全管理员、安全审计员的权限制衡DeepSecurityforXX是亚信安全为XX和VDI定制开发的无代理安全软件，支持AV防病毒及DXX底层直接集成DeepSecurity安全引擎，无需在虚拟桌面中安装额外的代理软件，防病毒扫描工作实现性能优化，可以提升用户体验10%以上；分布式安全防护机制，每台物理主机有独立的安全引擎，且虚拟桌面迁移安全防护策略同步跟随；支持全自动的定时备份和手工干预的即时备份，满足不同的应用要求。支持全量、增量和差异备份及管理与恢复能力普通办公场景，没有复杂外设接口丰富，设兼容性好，性能好，有备援系统桌面中，利用钩子技术抓取DShow的视音频数据，传到客户端。动作简单，不占用CPU资源。瘦客支持多种播放器，支持跳转、缩放、全屏等操作；单虚拟机支持多路视频同时播放，在进行网页视频浏览的时候经常会出现网页视频卡顿，播放不流畅等问题。XXVDI采用业界领先压时捕获虚拟机中播放的视频区域，再转换为H.264编码在客户端解码重现。把视频流传送到客户端，客户端调用FlashPlayer解码视频流。瘦客户机要求安装FlashPlayer，但不要求联网。解读项重定向两种方式及差别把网址传送到客户端，客户端调用FlashPlayer访问网址并播放视频。瘦客户机要求安装FlashPlayer，并联网。通用方法播放，视频和外窗对不齐。互联网和内网的区别核心卖点XX云桌面管理平台可对外设通道独立控制，可灵活实现信息安全，可以通过云桌面管理平台实现外设管理策略的设置、下发到客户端，控制外设的重定向规则，针对非标外设也可以设置详细的黑白名单。针对USB存储设备，可以控制设备只读。一些非典型的外设，客户端只是简单地将端口数据完整地重定向到对应的虚拟桌面中，由虚拟桌面的驱动程序去识别具体的设备类型。通过外设重定向技术可以让外设走单独的协议通道，可以支持很多类型把终端上的TWAIN接口（高拍仪、摄像头、高速扫描仪等）的外设重定向到VM中，所有对重定向的TWAIN虚拟设备的操作，都能通过VDP协议传输到终端侧的物理设备中。终端采用领先技术对摄像头视频进行高效截取，然后对视频进行压缩。虚拟机对摄像头视频进行解压缩画质还原，并上送给TWAIN软件呈现。TWAIN重定向工作于应用层，保证了对时延不敏感，工作于应用层更加稳定可靠，并且比USB重定支持多种级别的数据压缩传输(无损、低压缩、中压缩、高压缩)；虚拟计算资源紧张情况下进行动态调整，如调频虚拟CPU、虚拟内存、虚拟磁盘和虚拟网卡等。二是应用数量系统外部扩展，即通过增加虚拟机或物理服务器的方式实现，添加虚拟机可通过添加虚拟机（模板或新建）方式部署，添加物理机可融入原有集群环境，加入虚拟数据中心实现升级。第一步：交付实现阶段。稳步实现、逐步过渡。利用服务器、存储等硬件资源，整合数据中心环境，进行虚拟桌面部署，打造平稳基础平台，顺利接管桌面办公环境。第二步：稳定服役阶段。在用户体验和管理运维上接管原有物理资源，并且集中管控、智能化运维，可根据应用特征进行功能优化和配置优化，并且利用虚拟化一系列高可用技术，如HA、分布式存储等技术，保障桌面环境高效流畅使用。如资源报表展现，组织管理策略，部门间与用户权限隔离，云安全技术架构升级等。新华三桌面虚拟化方案允许管理员将虚拟桌面环境发布给用户远程使用。用户可以用终端通过网络连接到虚拟桌面环境上，像使用本地桌面一样使用虚拟桌面，但实际上虚拟桌面的所有计算处理都是在服务器端完成，终端与服务器之间的交互仅仅是输入指令和输出显示图片，不存在实际数据的交互。由于桌面虚拟化将所有的桌面环境和计算集中于服务器端，因而必须在服务器端进行集中的虚拟桌面管理。虚拟桌面主要来源于服务器上运行的虚拟机，但也可以来自物理机。为便于管理，所有的桌面都以桌面池的形式管理起来。新华三桌面虚拟化方案提供了三种不同类型的桌面池：静态桌面池、动态桌面池及手工桌面池。•对于静态桌面池来说，预授权列表中的用户一旦使用池中的虚拟机或物理机，即会与虚拟机或物理机建立绑定关系，除预授权列表外还支持直接将虚拟机或物理机直接授权给用户使用。用户与虚拟机或物理机一一对应，建立绑定关系后其他用户不能再使用。•动态或手工桌面池只支持预授权列表，预授权列表中的用户使用池中虚拟机或物理机仅会建立临时的绑定关系，支持通过释放功能解除临时绑定关系或当用户使用完退出登录后，其他用户仍可以使用。静态桌面池和动态桌面池支持采用模板克隆的方式创建，即先在后台创建一个虚拟机模板，在该模板中完成所有操作系统、应用系统的安装和相关配置。然后在创建桌面池时，以该模板为母体，批量克隆出当对桌面池的虚拟机模板进行修改时，由于