1.云桌面简述和技术分析
1.1 简述
计算机虚拟化包括了“服务器资源虚拟化”和“桌面系统虚拟化”两个主要领域。“服务器资源虚拟化”是实现后端服务器和存储设备的资源动态分配，从而最大程度提升硬件处理器能力和存储能力的利用率，“桌面系统虚拟化”是指将计算机的桌面进行虚拟化，以达到桌面使用的安全性和灵活性。
“桌面系统虚拟化”依赖于“服务器资源虚拟化”，在数据中心进行资源虚拟化，生成独立的桌面操作系统(虚拟机或者虚拟桌面)，然后根据虚拟桌面协议发送给终端设备，供用户操作使用。
目前， 桌面虚拟化通过与IAAS(infrastructure as a service)的结合，逐渐演变成云桌面(DAAS ：Desktop As a Service)，取得了较好的应用效果。
1.2 传统桌面终端与云桌面对比
1.2.1 传统桌面终端的不足
(1) 终端安全风险较高。
传统桌面终端的操作方式主要由用户直接控制终端的各项资源，如本地硬盘、USB端口、目录、文件存放、网络配置等等，终端用户往往具有管理员权限，因此对于出现误操作和重要数据文件传输失控时，缺乏有效的安全技术管理手段。
(2) 应用软件部署效率低
传统的软件安装往往需要本地部署，以管理员的权限进行安装和配置，操作一般是直接通过终端，当大量部署企业标准化业务基础软件工具和应用的时候(如Office ERP OA)，会是一项十分巨大和耗时的工作。
(3) 维护工作复杂
对传统终端电脑的维护，包括硬件和软件部分。其中，硬件故障的处理需要技术人员对电脑现场进行诊断。如果排除故障需要硬件更换，则必然涉及重新配置系统(例如驱动)，甚至数据迁移的工作，同时影响到用户关键业务工作的连续性(如：财务、生产管理等系统)。
(4) 硬件升级成本较高
一般桌面终端资产(笔记本电脑、台式机)折旧按照三年计算，同时由于软件系统不断升级对硬件资源产生的新要求，使得每年桌面电脑的硬件购置是一项巨大的成本开销。
1.2.2 云桌面的优势
云桌面的出现将虚拟化和高速网络通讯技术紧密结合到了一起，弥补了传统桌面终端的应用与维护难题，减少了前述传统桌面的不足与缺陷，虚拟化云桌面是传统 PC 的替代之选，主要优势体现在以下几个方面：
(1) 可靠、节能且经济实惠。由于虚拟云桌面机没有散热风扇和硬盘之类的移动部件，因此与 PC 相比， IT 可用性显著提高，故障率降低，低功耗，有利于节能和降低成本。
(2) 兼容性强。除了传统的办公应用程序之外，云桌面还支持全屏视频、多媒体演示、数字听写及其他要求特别苛刻的用途。
(3) 便于远程管理与统一应用部署，增强了数据应用的安全性，简化了运维工作。
(4) 未来的扩展性灵活，便于引入云计算或迁移到基于服务器的计算。
2.主流的虚拟化桌面技术综述
当前的桌面虚拟化技术已经在硬件和软件两个方面取得了突破的发展，特别是“云终端”设备的出现，虚拟桌面的实施成本得到了极大的降低，一般而言，虚拟化桌面的实现主要是通过后端高处理性能服务器集群、海量存贮以及快速以太网几项关键技术构成 (见图1)。
图1 虚拟化桌面
由于虚拟化桌面将用户的处理请求大部分发往服务器层进行处理，数据存储也都放在后端集中存贮设备，前端的客户机(云桌面)仅仅需要处理通讯和即时渲染显示，完成与用户的交互操作，因此客户机(云桌面)的硬件设计一般很低，并不用于大量专业工作站级的桌面用户，可以比较广泛地用于培训、B/S应用系统、呼叫中心、办公OA等管理领域。
3.企业信息化网络需求面临的安全挑战
在互联网时代，企业信息化管理规划已经越来越紧密地将有线网、无线网、移动办公、VPN访问集成到公司的整体信息化应用中，可以用最高效的手段迅速获取有用的数据，进行统计分析，为企业工作中的各项决策提供依据。
然而，越来越多的信息安全事件，包括网络攻击、数据泄露、病毒木马等等，不断威胁着信息系统的运行，也使得公司领导、网络管理者在大规模推动企业信息化建设中不得不谨言慎行，如履薄冰。
在纷繁复杂，甚至日新月异的各种信息恶意威胁形势下，如何对用户使用计算机进行规范化管理是安全建设的重中之重，其复杂程度远比对数据中心的服务器集群、路由器防火墙设备开展技术运维难的多，其中很重要的一个原因就是，用户使用桌面系统终端(PC)是和个人技术水平、操作习惯密切相关。
传统的桌面终端强化安全的手段包括：终端准入、域管理、用户策略限制等等，随着互联网与企业网融合需求时代到来，这种方式暴露了一些业务需求方面的不足，例如如何满足用户同时访问企业网与互联网的不同需要，如何控制互联网与企业网之间的数据交互等。
为此，互联网与企业网的安全规划，也成为一个重要的课题。在实际应用中国，出于工作需要，多数企业的公司网用户(即：内网办公用户)通过桌面系统(PC或者笔记本)，同时访
问互联网和公司内网(应用系统)，所谓“一机双网”。
但是，需要注意控制用户同时访问互联网(外网)和公司网(内网)，即“一机双网”模式可能导致的风险，防止互联网恶意软件或者黑客利用桌面系统进行“跳板攻击”，引起公司网(内网)资源数据信息泄露，或者系统损坏。
4.虚拟化桌面的解决之道—虚拟化双网方案设计
4.1 两种不同的安全防范方案
目前，为了防范风险，一些大型电力集团公司采用了“双机双网”、“物理隔离”的方式进行安全加固，其主要设计是借鉴电厂生产控制系统的“二次防护”原则，在集团本部数据中心的设计中，实现互联网(外网)与公司网(内网)的物理隔离，利用堡垒机机制进行文件传输，同时配置了文件拷贝审计，终端准入，企业CA证书等强安全认证的方式，实现了较高安全级别的网络访问控制。
本文提出一种与上述“双机双网”不同的解决方案，即“虚拟化桌面”与“虚拟化双网”技术，此方案的原则是采用虚拟化桌面技术的一些核心因素，利用虚拟环境隔离互联网与公司网的不同访问需求，满足用户工作中对网络应用的需求。
对于“一机双网”带来的网络安全风险，“虚拟化双网”的设计不同于采用“物理隔离”，“双机双网”的解决方案，而是侧重于解决用户网络操作体验便利性与网络访问控制的安全性，即可以在同一台电脑(桌面系统)上，用户仍可以访问互联网和公司网，但又完全不同于传统的“一机双网”模式，取得了对双网安全的一个平衡策略。
4.2 虚拟化桌面与虚拟化双网方案
虚拟化双网实际上是利用虚拟化环境隔离出两个不同的桌面环境用于不同的网络访问需求，即互联网和公司内网，从而解决“一机双网”带来的终端风险见图2。
图2 虚拟化双网方案
可以看到，这种典型的企业桌面网络设计中，用户同时访问公司网应用和互联网数据(蓝色箭头部分)，互联网风险存在每个桌面终端以及互联网出口，前者的问题治理十分复杂，相对而言，二者互联网出口的防火墙、路由器访问控制策略可以很好的解决，见图3。
图3 采用“虚拟化双网”技术设计之后的示意图
这种设计下，用户采用虚拟桌面系统，虚拟桌面通过后端的“云桌面服务器”访问公司网的应用(绿色颜色)，而另一虚拟环境访问互联网(橙色部分)，由于在用户终端层已经完全实现了“环境隔离”，其效果类似“物理隔离”，因此用户的操作风险、技术水平，将不再是互联网安全的风险源，而在后台“云桌面服务器”层统一加强互联网风险控制，其效果将非常便于技术管理，从而到达整体风险降低于安全提升的效果。
4.3 虚拟化桌面(终端)的设计原则
除了对“虚拟化双网”进行设计之外，用户终端的选择(虚拟化桌面)可以有两种不同的考虑：
(1) 方案一，选择专用云终端设备或者客户端软件
这个方案的优点是云终端的成本低廉，可维护性好，能耗、占用空间小，用户使用终端登录后台两个不同的虚拟化桌面，(一个用于公司网安全访问，一个用于互联网访问)，不足之处，对后台资源占用较大，网络依赖程度高。
(2) 方案二，采用中档PC机作为虚拟桌面宿主系统
这种设计的考虑是保留一台本地处理功能较强的电脑(例如台式机)，然后运行宿主系统，例如Win XP\Win7，然后安装虚拟化客户端，如VMWare运行后端虚拟机，在网络策略和路由器网段划分上，限定只有通过云桌面服务系统可以访问公司网应用，而用户的宿主系统只能访问互联网网段，这样用户使用本地系统 Windows访问互联网，而虚拟桌面访问公司网。
这个设计的优点是综合了虚拟化处理和本地计算能力，分散了互联网访问的负载到本地机，而云桌面服务系统可以更集中地部署重要的内网访问应用，同时具有独立宿主功能的PC机要在处理多媒体等方面优于云终端，适用范围更大，在云桌面网络出现问题的情况下，本地桌面系统仍可独立进行工作，临时进行一些工作处理，例如报告编制等，待云系统修复后和恢复数据，相比之下，方案一的云终端缺乏这方面的优势。
5.结语
在笔者所在的企业中，采用了方案二的设计，用联想一体机作为虚拟桌面终端，实现了“虚拟化双网”的应用，效果十分理想。在当前网络安全已经成为企业信息化建设重点工作的形势下，采用虚拟化技术解决网络的安全访问与控制，不失为一项具有前景的发展技术，本文希望通过对所经历的实践的介绍和分析，为类似的应用提供一个抛砖引玉的参考。
转载请注明出处：拓步ERP资讯网http://www.toberp.com/
本文标题：计算机虚拟化桌面与双网设计的技术应用
相关文章
