云计算（Cloud Computing）是一种互联网上的资源利用新方式，可为大众用户依托互联网异构、自治的服务进行按需即取的计算 , 云计算的资源是动态易扩展而且虚拟化的，通过互联网提供。云计算让现在的IT 环境更具生命力，实现了资源调度按需分配，环境部署自动化，降低人工运维成本，提高了生产效率。随着云计算的成熟，虚拟桌面或者说“桌面云”将成为未来终端管理和桌面系统建设的主要趋势。
桌面云，简而言之就是基于云计算的虚拟桌面，是在本地具备输入、输出设备的硬件环境，而运行环境由云端资源虚拟实现，同时，相关的应用、数据、运算都部署于云端。桌面云是云计算的重要应用领域之一，也是最具特点的应用之一。相对于传统本地桌面，桌面云具有数据安全、节能减排、易于管理、灵活访问、稳定可靠、易于备份的特点。在云计算架构中，桌面云是一种实现计算、存储、网络等资源的集中化、共享化的平台方案，能够将单台PC 的处理能力（包括CPU 和硬盘）集中到数据中心，
办公个人终端变成TC（Terminal Client），从而不需要强的处理能力和存储能力就能够搭建好整个业务平台，并兼具计算高效性和数据保密安全性。
处于后台的云数据中心将负责给每个办公终端提供虚拟化的“计算机”平台，每个终端所使用的资源都是共享的，通过云数据中心的统一调度和管理，实现对资源的“按需分配”管理。
1、桌面云准入控制架构
图1 展示了桌面云及其安全准入体系的一个基本架构。
总体来看，桌面云安全平台分为前端和后端。如图2 所示。
1.1 桌面云安全平台建设
桌面云安全平台的建设包括以下几个方面：在桌面云的前端搭建虚拟安全交付平台；在桌面云后端服务器上加装安全操作系统以及用户的各类应用系统（如CRM、收费系统及其他核心业务）的对应客户端，并将这些应用客户端发布到前端的虚拟交付平台。通过以上设计思路，在建设好桌面云安全平台之后，终端用户的安全体验即可生成，用户只需要登录到虚拟交互平台上，使用后端服务器上的操作系统自身提供的认证资源以及利用客户端访问控制系统即可实现安全交互。此时的操作系统及应用系统客户端均运行在后端服务器，而不是运行在用户的本地终端，从而实现数据、协议、操作均控制在“云”范围内的效果，大大提高了计算速度和安全性。
1.2 桌面云准入控制的技术环境
对于运维管理者而言，实现云系统的准入控制，需要组建集中化的、高性能的云计算数据中心和认证中心，其技术设备包括：
（1）计算及认证设备，基于各类后台操作系统（最好是基于安全开放的编程体系，如UNIX）对提交上来的业务数据进行计算处理，并将处理结果写入存储设备；
（2）存储设备，存储用户内部的重要业务应用系统及各类重要数据资源、各类日志等；
（3）网络设备，支撑云后端体系的通信工作；
（4）机柜系统，放置上述的硬件设备；
（5）UPS 电源系统，为全套硬件系统提供能源保障；
（6）软件系统，VM（Virtual Manufacturing）虚拟化平台、密钥管理系统、业务平台、操作系统、数据库平台等。
2、桌面云面临的威胁
许多用户在把自己的传统桌面替换成桌面云的过程中，经常会受到桌面云的安全问题的困扰，因此，在实施桌面云架构过程中必须要着重考虑安全问题。
云计算在为个人和单位用户提供丰富数据资源的同时，也对隐私、信任体系和身份产生了新的挑战。具体来说，云计算应用有很多优点，但仍然面临如下安全威胁：
1）服务可用性威胁。用户的数据和业务应用处于云计算系统中，其业务流程将依赖于云计算服务提供商所提供的服务，这对服务商的云平台服务连续性、SLA（服务等级协议）和IT 流程、安全策略、事件处理和分析等提出了挑战。另外，当发生系统故障时，如何保证用户数据的快速恢复也成为一个重要问题。
2）桌面云用户信息滥用与泄露风险。用户的资料存储、处理、网络传输等都与云计算系统有关，如果发生关键或隐私信息丢失或遭窃取，对用户来说是不能接受的。如何保证云服务提供商内部的安全管理和访问控制机制符合客户的安全需求，实施有效的安全审计，对数据操作进行安全监控，以及避免云计算环境中多用户共存带来的潜在风险等问题都成为云计算环境下所面临的安全挑战。
3）拒绝服务攻击威胁。云计算应用由于其用户、信息资源的高度集中，容易成为黑客攻击的目标，同时由拒绝服务攻击造成的后果和破坏性将会明显超过传统的企业网应用环境。从上面桌面云的安全问题和面临的威胁中不难看出，桌面云涉及到终端、网络、服务器、存储器、软件架构以及内部和外部等各个方面。同时，桌面云支持多种接入方式，包括移动方式的接入，如IOS 和Android 的智能手机、平板电脑等，在这种情况下，对于用户认证和接入控制不严格，会导致整个系统的不安全。因此，网络准入控制技术在愈演愈烈的“云时代”将会发挥出越来越大的作用。
3、桌面云的网络准入控制技术分析
3.1 安全控制技术需求
随着云计算的不断深入，越来越多的企业业务系统由传统的C/S 架构向B/S 架构迁移，以往访问后台数据需要安装专用软件，IT 部门控制客户端软件的许可发放，就能够大致控制访问用户的范围。而在B/S 架构中，用户只需要一个Web浏览器即可登录系统，加上智能手机、智能平板电脑和WiFi的流行，以往的限制条件消失了，任何人手中的设备都成了可能访问后台数据库的平台。在虚拟化越来越深入的云时代，网络管理部门需要得到一种可以控制众多虚拟端口的技术保障。
3.2 技术发展方向
在桌面云安全中，还有十分重要和关键的一环，就是接入云用户的身份认证。传统的“云”认证一般都是采用WindowsAD 域或加装第三方LDAP（Lightweight Directory Access Protocol，轻量目录访问协议）服务器的方式来实现，但许多用户反映要建设一个具有整体性且功能完善的AD（Active Directory，简称活动目录）域，实现及维护工作量巨大，而AD 域最大的缺陷是，当受控终端不访问云资源的时候，则完全可以逃避AD 域的控制和约束。这样一来，系统管理者在AD 域的建设上投入了大量的时间、精力和成本，但可用性却不高，而系统的管理者最终需要的是一套将桌面云用户及所有入网用户结合为一体来进行身份认证和安全控制的准入控制系统，如果重新构建这样一套系统将面临重复投资和重复性维护工作，这对绝大多数用户而言是不能接受的。
由于LDAP 服务器安全控制功能太弱，只能作为一个纯身份信息数据库的单一化节点，成为对已有强安全系统的一个便利型的补充。而在没有强入网控制系统的情况下，系统的安全便得不到保障。
对于桌面云的建设者而言，云架构本身的安全性就在于应用安全，系统数据的安全使用属于控制层次较高的使用范畴，这对于用户的业务型安全需求是基本符合的。但正因为控制层次太高，在基本IP 层或MAC 层的控制手段就形同虚设，基本通信级的接入控制非常有限，从国际通用的安全标准考虑，忽视底层的安全将带来大量的渗透风险（当然由于应用层的强力控制，这其中可能只有少部分渗透能够威胁到核心数据），但这样门户洞开对于黑客或攻击者的诱惑是相当大的。可以想象，一个每日不断被侵入的桌面云系统，其虚拟交互平台将承受巨大的攻击风险。
换句话说，如果在基本的IP 或MAC 层就进行接入控制，绝大部分的攻击将在交换机端口就得到有效的限制，从而大大减轻云前端虚拟交付平台的抗风险攻击压力。这也标志着桌面云环境中，网络准入控制系统（NAC）依然会发挥至关重要的接入控制作用，通过NAC 的底层控制和桌面云自身的高层控制，共同打造用户网络的整体安全架构。
3.3 网络准入控制技术分析
通过详细分析，这里对近年来的桌面云网络准入控制技术的发展趋势作出如下预测。
3.3.1 无客户端化成为技术发展主要趋势
2012 年是我国信息化领域提出无客户端准入的第三个年头，越来越多的机构开始进入无客户端准入的用户阵营。鉴于桌面云系统隐私、实施便捷性、维护度、故障点等多方面的原因，高端客户或对准入控制技术有深入了解的客户，也更倾向于只需要一台硬件化的设备就能够帮助自己解决绝大多数的问题。对于意欲实施NAC 的行业，尤其是在政府行业，无客户端化的准入产品已经成为了系统必需的配置，另一方面，准入选型中的无客户端化也已成为了众多安全应用部门最基本的需求。当然，此类技术的使用还需要提供可供选择的客户端配置。尤其对于重点行业用户来说，NAC 所附加的功能（如交互式提醒、虚拟防火墙、准入环境下的软件监测等）大大提升了系统管理和控制能力。
3.3.2 桌面云与网络准入控制技术的结合
NAC 与云计算的结合点从本质上看就是数据与传输的结合，由云来保证数据安全，NAC 来保障传输安全。从另一个角度说，NAC 甚至可以成为传输协议安全标准中的一部分。
在部署准入控制系统之前，传统桌面云如图3 所示。
以下是一个典型的桌面云与准入控制技术结合的应用场景，如图4 和图5 所示。
在保护了核心区域的应用、数据之后，所有需要接入网络（狭义上的物理网络）的云终端都必须通过NAC 的身份认证和安全检查，否则就没有接入物理网络的权限。
桌面云环境下可信准入认证体系结构主要包括三个逻辑层次：网络访问层NAL、可信属性评估层TEL、可信属性测量层TML。每个层次的形态可以是软件、硬件，也可以是一组函数或程序等。如图6 所示。
图6 中实体AR 中的网络访问请求部分，通常是传统的网络连接功能；认证模型具有 5 个实体，即请求接入者(Access Requestor，AR ), 策略执行者(Policy Enforcement Point ，PEP)，策略决策者(Policy Decision point，PDP)，元数据存储点(Metadata Access Point ，MAP ) ，流量控制器和感应器( Flow Controllers-Sensors，FCSS)，其中请求接入者和策略决策者是必选的实体，而其它的实体则是可选可不选的。
该认证体系通过使用基于双线性映射的 BBS+ 签名算法和属性证书机制代替平台配置信息的方式，提出了一种基于双线性映射和属性证书的远程证明方案（Bilinear Mapping and Property-Based Attestation ，BMPBA）。该方案采用的加密方法主要包括：HTTPS协议技术、非对称密钥对生成（RSA）、非对称加密/ 解密、哈希运算(SHA-1)、随机数产生（RNG）等。其中，HTTPS 协议是由HTTP+SSL协议构建的可进行加密传输、身份认证的网络协议。SSL 协议位于TCP/ IP 协议与各种应用层协议之间，为数据通讯提供安全支持。通讯双方进行身份认证、协商加密算法、交换加密密钥等实际上应用了Netscape的安全套接层（SSL）作为HTTP 应用层的子层，使用40 位关键字作为RC4 流加密算法。
3.3.3 第三方无线准入技术
目前，大部分的无线网络的安全认证依然停留在对2 层网络通信协议的安全控制上，也就是在接入SSID 时进行安全认证，比如WPA 或WPA2，或常见的IEEE802.1x 等。Wi-Fi联盟给出的定义为：
WPA = 802.1x + EAP + TKIP + MIC
WPA2 = IEEE 802.1x/EAP +AES-CCMP
但是对于需要在接入层全部覆盖NAC 的用户而言，我们不得不再次强调一个谈论了多年的原则：身份认证≠准入控制。作为无线桌面云环境，在大规模铺设了专业的WLC、Lightweight AP 等设备后，具有前瞻性的管理者已经着手制定了合理的WLAN NAC 方案，这里就囊括了基本的3 层通信协议的安全认证、安全性判别、漏洞修复、虚拟防火墙等整套NAC 架构，如图7 所示。全部方案基于无客户端模式，而需要强调的是，不同于传统NAC 在网关层面所做的工作，WLAN NAC 方案的合格要求应该是在接入AP（Access Point，无线访问节点）层就实施准入管理。在这样的要求下，目前大部分技术白皮书中以网关技术来“支持”AP 很难达到好的安全保护效果。
4、结束语
通过将准入控制技术和桌面虚拟化技术的整合，桌面云的网络准入控制技术，能够解决目前桌面云所面临的一些安全风险，整体提升云桌面解决方案的安全性能。通过对接入云服务器的终端或瘦客户端进行有效、规范的管理，能够避免非法的信息窃取。实时监测阻止对服务器的攻击；很好地保障数据在应用与传输中的安全。由此，云桌面下的准入控制也就显得格外的重要，在未来的网络环境中，这一技术必将成为业界所探究的重点。
核心关注：拓步ERP系统平台是覆盖了众多的业务领域、行业应用，蕴涵了丰富的ERP管理思想，集成了ERP软件业务管理理念，功能涉及供应链、成本、制造、CRM、HR等众多业务领域的管理，全面涵盖了企业关注ERP管理系统的核心领域，是众多中小企业信息化建设首选的ERP管理软件信赖品牌。
转载请注明出处：拓步ERP资讯网http://www.toberp.com/
本文标题：桌面云网络准入控制技术
相关文章
